SIEM/Log Management Tự động hóa cài đặt Wazuh Agent cho Cluster (Failover) trên Ubuntu

Nếu bạn đang vận hành hệ thống giám sát an ninh với Wazuh, chắc hẳn bạn đã biết đến mô hình Cluster (nhiều node Manager hoạt động cùng lúc để chịu tải và dự phòng).​

Tuy nhiên, việc cài đặt Agent thủ công và trỏ về Cluster thường gặp một vấn đề khó chịu:

1. Mặc định Wazuh Agent chỉ nhận 1 địa chỉ Manager IP.
2. Để kích hoạt tính năng Failover (tự động chuyển node khi Master chết), bạn phải sửa file XML ossec.conf thủ công để thêm nhiều block <server>.

Bài viết này sẽ chia sẻ một Bash Script giúp bạn tự động hóa hoàn toàn quy trình này trên Ubuntu/Debian. Script sẽ tự động cài đặt Agent, đăng ký key, và quan trọng nhất: Tự động cấu hình danh sách IP Cluster để Agent không bao giờ mất kết nối.

Giải thích cơ chế hoạt động​

1. Dọn dẹp: Sử dụng sed để xóa sạch cấu hình server mặc định (vốn chỉ hỗ trợ 1 IP).
2. Vòng lặp (Loop): Script chạy qua danh sách các IP bạn nhập vào (172.0.0.3, 172.0.0.4...), với mỗi IP, nó tạo ra một đoạn mã XML chuẩn của Wazuh.
3. Chèn (Injection): Sử dụng perl (mạnh hơn sed trong việc xử lý chuỗi nhiều dòng) để chèn toàn bộ khối XML mới vào ngay sau thẻ mở <client>.

Hướng dẫn sử dụng​

Bước 1: Tạo tải script trên máy Ubuntu cần cài Agent và giải nén file ra:
Bước 2: Cấp quyền thực thi:

chmod +x install.sh

Nhấn để mở rộng...

Bước 3: Chạy script với quyền Root:

sudo ./install.sh

Nhấn để mở rộng...

Bước 4: Nhập danh sách IP Cluster của bạn (ngăn cách ip bằng dấu cách hoặc dấu phẩy):
Bước 5: Đợi cài đặt và xem kết quả trả về

Một số lưu ý về Failover (Chuyển đổi dự phòng)​

Mặc định, Wazuh Agent sẽ mất khoảng 60-90 giây để chuyển sang node mới nếu node hiện tại bị chết (do tham số time-reconnect mặc định là 60s).