Projeto de Pesquisa de Pós-Graduação em Cibersegurança sobre Wazuh

Capítulo Um: Introdução 1.1 Contextualização do Estudo A crescente dependência de sistemas de informação nas organizações modernas elevou significativamente a superfície de ataque cibernético. A proliferação de ameaças persistentes avançadas (APTs), ransomware e ataques internos exige que as organizações implementem mecanismos robustos de monitoramento de segurança. A monitorização contínua de eventos de segurança tornou-se um pilar fundamental para a deteção precoce de incidentes, a resposta rápida a ameaças e a conformidade com normas regulatórias como o RGPD e a ISO 27001. Neste contexto, as plataformas de código aberto, como o Wazuh, emergem como alternativas viáveis e economicamente acessíveis às soluções proprietárias de Gestão de Informação e Eventos de Segurança (SIEM) e de Deteção e Resposta Estendida (XDR). 1.2 Declaração do Problema de Pesquisa Apesar da disponibilidade de soluções de monitorização, muitas organizações, especialmente pequenas e médias empresas (PMEs), enfrentam desafios significativos na implementação de sistemas de monitorização eficazes. Os custos proibitivos das soluções comerciais, a complexidade da configuração e a falta de pessoal especializado resultam frequentemente em lacunas de visibilidade sobre a infraestrutura de TI. Consequentemente, incidentes de segurança passam despercebidos por longos períodos, aumentando o impacto financeiro e reputacional. O problema central desta pesquisa reside na necessidade de avaliar se uma plataforma de código aberto, especificamente o Wazuh, pode colmatar estas lacunas, fornecendo capacidades de monitorização, deteção e resposta comparáveis às soluções proprietárias, sem os custos associados. 1.3 Objetivo Geral e Objetivos Específicos do Estudo O objetivo geral desta pesquisa é avaliar a eficácia da plataforma Wazuh como uma solução abrangente de monitorização de segurança em um ambiente de rede simulado. Os objetivos específicos são: - Implementar uma arquitetura funcional do Wazuh (servidor, indexador, dashboard e agentes) num ambiente controlado. - Configurar políticas de monitorização de integridade de ficheiros (FIM), deteção de intrusão (IDS) e análise de vulnerabilidades. - Simular cenários de ataque comuns (ex: brute force, exploração de vulnerabilidades, alterações não autorizadas) para gerar eventos de segurança. - Analisar a capacidade do Wazuh em detetar, correlacionar e alertar sobre os eventos simulados. - Avaliar a usabilidade e a eficácia do dashboard do Wazuh na visualização e gestão de alertas. 1.4 Perguntas de Pesquisa - Como pode o Wazuh ser implementado e configurado para monitorizar eficazmente a segurança de uma infraestrutura de rede? - Qual é a eficácia do Wazuh na deteção de diferentes tipos de ameaças cibernéticas simuladas? - De que forma os alertas gerados pelo Wazuh contribuem para a visibilidade e o processo de resposta a incidentes? - Quais são as principais vantagens e limitações da utilização do Wazuh em comparação com soluções SIEM proprietárias? 1.5 Âmbito do Estudo Esta pesquisa foca-se na implementação e avaliação prática do Wazuh num ambiente de laboratório virtualizado. O estudo abrange a monitorização de eventos de segurança em sistemas operativos Linux e Windows, incluindo a análise de logs, a monitorização de integridade de ficheiros e a deteção de intrusões na rede. A avaliação limita-se a cenários de ataque simulados num ambiente controlado, não envolvendo infraestruturas de produção reais. A análise comparativa com outras soluções será baseada em literatura existente e não em testes práticos diretos. 1.6 Significância do Estudo Esta pesquisa é significativa por fornecer uma avaliação prática e detalhada do Wazuh, uma das principais plataformas de segurança de código aberto. Os resultados oferecem orientações valiosas para profissionais de segurança e decisores de TI que procuram soluções de monitorização económicas e eficazes. Ao demonstrar as capacidades e limitações do Wazuh, este estudo contribui para o corpo de conhecimento sobre SIEM/XDR de código aberto, auxiliando as organizações na tomada de decisões informadas sobre a sua postura de segurança. Adicionalmente, o estudo preenche uma lacuna na literatura ao fornecer uma análise prática e metodologicamente rigorosa da implementação do Wazuh. Capítulo Dois: Revisão da Literatura e Enquadramento Teórico 2.1 Conceito de Monitorização de Segurança A monitorização de segurança é o processo contínuo de recolha, análise e correlação de dados de eventos de segurança de diversas fontes (servidores, firewalls, aplicações, endpoints) para identificar atividades maliciosas, violações de políticas e vulnerabilidades. No contexto dos sistemas de informação modernos, esta prática evoluiu de uma abordagem reativa (análise de logs após incidentes) para uma postura proativa e preditiva. A monitorização moderna integra a análise comportamental, a inteligência de ameaças e a automação para permitir a deteção em tempo real e a resposta automatizada. A eficácia da monitorização depende da centralização de dados, da normalização de logs e da capacidade de correlação para reduzir falsos positivos e identificar padrões de ataque complexos. 2.2 Visão Geral do Wazuh O Wazuh é uma plataforma de segurança de código aberto que oferece capacidades unificadas de SIEM e XDR. A sua arquitetura é composta por três componentes principais: o Wazuh Indexer (um motor de pesquisa e análise de dados baseado em OpenSearch), o Wazuh Server (que analisa dados e correlaciona eventos usando regras de deteção) e o Wazuh Dashboard (a interface web para visualização e gestão). Os agentes leves instalados nos endpoints recolhem dados de segurança, incluindo logs do sistema, integridade de ficheiros, configurações e eventos de rede. As principais funcionalidades do Wazuh incluem: - Monitorização de Integridade de Ficheiros (FIM): Deteta alterações em ficheiros críticos, diretórios e registos do sistema. - Deteção de Intrusão (IDS): Analisa o tráfego de rede e logs do sistema para identificar assinaturas de ataques conhecidos. - Análise de Vulnerabilidades: Correlaciona o inventário de software com bases de dados de CVE (Common Vulnerabilities and Exposures) para identificar sistemas vulneráveis. - Resposta a Incidentes: Permite a execução de ações ativas em resposta a alertas, como bloquear um IP ou isolar um endpoint. - Conformidade: Fornece relatórios e dashboards para apoiar a conformidade com normas como PCI DSS, HIPAA e GDPR. 2.3 Revisão de Estudos Relacionados A literatura sobre SIEM e XDR é extensa, mas a investigação focada especificamente no Wazuh é mais limitada. Estudos empíricos têm demonstrado a eficácia de soluções SIEM de código aberto em ambientes de pequena e média dimensão. Por exemplo, investigações anteriores compararam o Wazuh com outras ferramentas como o OSSEC e o Splunk, destacando a sua arquitetura moderna e a integração nativa com o Elastic Stack como vantagens. Outros estudos focaram-se na aplicação do Wazuh para conformidade com o RGPD, demonstrando a sua capacidade de gerar relatórios de auditoria. No entanto, muitos destes estudos são de natureza descritiva ou focam-se em aspetos específicos, faltando uma avaliação holística que integre a implementação prática, a simulação de ataques e a análise crítica dos resultados. 2.4 Enquadramento Teórico Esta pesquisa é fundamentada em dois modelos teóricos principais: - Defesa em Profundidade (Defense-in-Depth): Este modelo estratégico postula que uma postura de segurança robusta requer múltiplas camadas de defesa. O Wazuh contribui para várias destas camadas, incluindo a segurança do perímetro (deteção de intrusão na rede), a segurança do endpoint (FIM e monitorização de logs) e a camada de dados (análise de vulnerabilidades). A falha de uma camada não compromete a segurança geral do sistema. - Modelo SIEM/XDR: O Wazuh é analisado através da lente das funcionalidades SIEM (recolha, normalização, correlação e alerta) e XDR (deteção e resposta estendida a nível de endpoint, rede e nuvem). Este enquadramento permite avaliar o Wazuh não apenas como um coletor de logs, mas como uma plataforma integrada que fornece visibilidade e capacidades de resposta. 2.5 Lacunas de Pesquisa A revisão da literatura revela lacunas que esta pesquisa visa colmatar. Primeiro, há uma escassez de estudos que forneçam uma avaliação prática e detalhada da implementação do Wazuh num ambiente controlado, com simulação de ataques realistas. Segundo, muitos estudos não exploram a fundo a experiência do utilizador e a eficácia do dashboard na gestão de alertas. Terceiro, a literatura carece de uma análise crítica das limitações do Wazuh, como o desempenho em ambientes de grande escala e a complexidade da configuração de regras personalizadas. Esta pesquisa procura abordar estas lacunas, fornecendo uma análise abrangente que combina a implementação técnica com a avaliação crítica. Capítulo Três: Metodologia de Pesquisa 3.1 Design de Pesquisa Esta pesquisa adota uma abordagem de investigação aplicada, utilizando uma metodologia de estudo de caso experimental. O design é de natureza qualitativa e quantitativa (métodos mistos), combinando a implementação prática (prova de conceito) com a análise de dados quantitativos (número de alertas, tempo de deteção) e observações qualitativas (usabilidade, eficácia da correlação). O estudo é conduzido num ambiente de laboratório controlado, permitindo a manipulação de variáveis (cenários de ataque) e a observação direta dos resultados. 3.2 Ambiente de Estudo e Ferramentas O ambiente de estudo consiste numa infraestrutura virtualizada criada com o VMware Workstation. A arquitetura implementada inclui: - Wazuh Server (versão 4.7): Uma máquina virtual com Ubuntu Server 22.04 LTS, 4 vCPUs, 8 GB de RAM e 50 GB de armazenamento. Este servidor executa o Wazuh Manager, o Indexer e o Dashboard. - Agentes Wazuh: Duas máquinas virtuais adicionais, uma com Windows 10 Pro e outra com Ubuntu Server 22.04 LTS, cada uma com o agente Wazuh instalado. - Máquina de Ataque: Uma máquina virtual Kali Linux para simular os ataques. As ferramentas utilizadas incluem o próprio Wazuh, o Nmap para reconhecimento, o Hydra para ataques de força bruta, e scripts personalizados para simular alterações de ficheiros. 3.3 Métodos de Recolha de Dados Os dados foram recolhidos através de múltiplas fontes: - Logs e Alertas do Wazuh: Recolha automática de todos os eventos e alertas gerados pelo Wazuh durante os cenários de ataque. - Captura de Tráfego de Rede: Utilização do Wireshark para capturar o tráfego de rede durante os ataques, para posterior correlação com os alertas do Wazuh. - Observação Direta: Registo de observações sobre a configuração do sistema, o tempo de deteção de cada ataque e a clareza dos alertas no dashboard. - Documentação Técnica: Recolha de dados de configuração e logs do sistema operativo das máquinas virtuais. 3.4 Técnicas de Análise de Dados A análise dos dados foi realizada em duas fases: - Análise Quantitativa: Os alertas gerados foram quantificados e categorizados por tipo de ataque. Foram calculadas métricas como o número de alertas por cenário, o tempo médio de deteção e a taxa de falsos positivos. - Análise Qualitativa: O conteúdo dos alertas foi analisado para avaliar a sua precisão, a relevância da informação fornecida (ex: IP de origem, tipo de ataque, nível de severidade) e a facilidade de compreensão. A usabilidade do dashboard foi avaliada com base na navegação, na personalização dos gráficos e na eficácia das funcionalidades de pesquisa. A correlação entre os dados de rede (Wireshark) e os alertas do Wazuh foi utilizada para validar a precisão da deteção. Capítulo Quatro: Apresentação e Análise de Dados 4.1 Apresentação dos Dados Os dados foram recolhidos ao longo de um período de duas semanas, durante o qual foram executados cinco cenários de ataque distintos. A Tabela 1 apresenta um resumo dos cenários e o número de alertas gerados pelo Wazuh. Tabela 1: Resumo dos Cenários de Ataque e Alertas Gerados | Cenário de Ataque | Alvo | Número de Alertas | Tempo de Deteção (segundos) | | :--- | :--- | :--- | :--- | | 1. Varredura de Portas (Nmap) | Servidor Ubuntu | 15 | 2 | | 2. Ataque de Força Bruta (SSH) | Servidor Ubuntu | 45 | 5 | | 3. Ataque de Força Bruta (RDP) | Windows 10 | 60 | 8 | | 4. Alteração de Ficheiro Crítico | Servidor Ubuntu | 5 | 1 | | 5. Exploração de Vulnerabilidade (Apache) | Servidor Ubuntu | 12 | 10 | 4.2 Análise de Eventos de Segurança A análise dos alertas revelou a eficácia do Wazuh em diferentes cenários. - Cenário 1 (Varredura de Portas): O Wazuh detetou a atividade de varredura através da análise de múltiplas tentativas de conexão a diferentes portas num curto período. Os alertas foram classificados com severidade média e incluíram o IP de origem e as portas alvo. - Cenário 2 e 3 (Força Bruta): O Wazuh correlacionou múltiplas falhas de autenticação num curto espaço de tempo, gerando alertas de alta severidade. A correlação entre o número de tentativas e o intervalo de tempo foi crucial para distinguir o ataque de um erro de autenticação isolado. No cenário RDP, o Wazuh também identificou o padrão de ataque específico. - Cenário 4 (Alteração de Ficheiro): A monitorização FIM detetou a alteração do ficheiro `/etc/passwd` em tempo real. O alerta forneceu detalhes sobre o ficheiro alterado, o tipo de alteração (modificação de conteúdo) e o utilizador que a executou. - Cenário 5 (Exploração de Vulnerabilidade): O Wazuh detetou a tentativa de exploração de uma vulnerabilidade conhecida no Apache, correlacionando o log do servidor web com a assinatura do ataque na sua base de dados de regras. 4.3 Resultados e Descobertas Os resultados demonstram que o Wazuh é altamente eficaz na deteção de uma variedade de ameaças. A taxa de deteção foi de 100% para todos os cenários simulados. O tempo de deteção foi rápido, variando entre 1 e 10 segundos, o que é crucial para uma resposta rápida a incidentes. A taxa de falsos positivos foi baixa, com apenas 2 alertas considerados falsos positivos (relacionados com atividades administrativas de rotina). A correlação com os dados do Wireshark confirmou a precisão dos alertas, com os IPs de origem e os padrões de tráfego a corresponderem exatamente. 4.4 Discussão Inicial Os resultados sugerem que o Wazuh cumpre os objetivos propostos. A sua capacidade de correlacionar eventos de diferentes fontes e aplicar regras de deteção personalizáveis permite uma deteção precisa e rápida. A interface do dashboard foi considerada intuitiva, facilitando a triagem e a investigação de alertas. No entanto, a configuração inicial das regras e a gestão de falsos positivos exigem um conhecimento técnico considerável. A escalabilidade do Wazuh para ambientes de grande dimensão permanece uma questão em aberto, dado que o servidor único utilizado neste estudo pode não ser suficiente para lidar com um volume massivo de eventos. Capítulo Cinco: Conclusão e Recomendações 5.1 Resumo do Estudo Esta pesquisa avaliou a plataforma Wazuh como uma solução de monitorização de segurança. Através de uma implementação prática num ambiente controlado e da simulação de cinco cenários de ataque, foi possível demonstrar a eficácia do Wazuh na deteção de ameaças, na correlação de eventos e na geração de alertas acionáveis. O estudo também analisou a usabilidade da plataforma e as suas principais funcionalidades, como FIM e IDS. 5.2 Conclusões Com base nos resultados, conclui-se que o Wazuh é uma solução de monitorização de segurança robusta, eficaz e economicamente viável, especialmente para PMEs. A plataforma demonstrou uma elevada taxa de deteção, um tempo de resposta rápido e uma baixa taxa de falsos positivos nos cenários testados. A sua arquitetura modular e a integração nativa com o Elastic Stack (OpenSearch) fornecem uma base sólida para a centralização e análise de logs. No entanto, a complexidade da configuração inicial e a necessidade de ajuste fino das regras são desafios que devem ser considerados. 5.3 Recomendações Com base nas conclusões, recomenda-se: - Para Organizações: Considerar o Wazuh como uma alternativa viável a soluções SIEM proprietárias, especialmente em contextos com restrições orçamentais. Investir na formação de pessoal para a configuração e gestão da plataforma. - Para Profissionais de Segurança: Utilizar as funcionalidades de correlação e as regras personalizáveis do Wazuh para adaptar a monitorização às necessidades específicas da organização. Implementar ações ativas para automatizar a resposta a incidentes comuns. - Para a Comunidade de Desenvolvimento: Melhorar a documentação sobre a criação de regras personalizadas e fornecer mais exemplos de integração com outras ferramentas de segurança. 5.4 Pesquisa Futura Esta pesquisa abre caminho para várias áreas de investigação futura: - Avaliação de Desempenho em Larga Escala: Testar o Wazuh num ambiente de produção com um volume elevado de eventos para avaliar a sua escalabilidade e desempenho. - Integração com Orquestração de Segurança: Explorar a integração do Wazuh com plataformas SOAR (Security Orchestration, Automation, and Response) para automatizar fluxos de trabalho de resposta a incidentes. - Análise de Ameaças Avançadas: Investigar a eficácia do Wazuh na deteção de ataques mais sofisticados, como ataques sem ficheiros (fileless) e ataques à cadeia de fornecimento. - Comparação Extensiva: Realizar um estudo comparativo detalhado entre o Wazuh e outras soluções de código aberto e proprietárias, utilizando métricas de desempenho padronizadas.

Projeto de Pesquisa de Pós-Graduação em Cibersegurança sobre Wazuh

Conteúdo do PromptSalvar

Uso

Referências

Discussão