Installer Wazuh : le serveur tout-en-un sur Proxmox

Installer Wazuh en tout-en-un, c'est placer l'indexeur, le serveur et le tableau de bord sur une seule machine Linux, avec l'assistant d'installation fourni par l'éditeur, qui génère aussi les certificats et les mots de passe. Ce chapitre installe Wazuh 4.14 sur srv-journaux, une machine virtuelle Ubuntu 24.04 LTS hébergée par Proxmox VE, puis vérifie l'installation, change les mots de passe et ferme ce qui doit l'être.

Préparer l'installation

Avant de créer la machine, fixe cinq choses.

Créer la machine virtuelle sur Proxmox VE

Les étapes ci-dessous suivent l'interface web de Proxmox VE 9, en anglais ; l'interface française reprend les mêmes onglets. La création de machines virtuelles, les ponts réseau et les VLAN sur Proxmox sont détaillés dans le cours Virtualisation.

1. Télécharge l'image ubuntu-24.04.x-live-server-amd64.iso (la dernière révision 24.04) et dépose-la dans un stockage de type ISO du nœud (local > ISO Images > Upload).
2. Clique sur Create VM, en haut à droite.
3. General : un identifiant libre (par exemple 180, pour retrouver l'adresse), le nom srv-journaux.
4. OS : l'image ISO d'Ubuntu, type Linux.
5. System : contrôleur VirtIO SCSI single, coche Qemu Agent.
6. Disks : bus SCSI, 120 Gio, coche Discard si le stockage est en allocation fine.
7. CPU : 1 socket, 4 cœurs, type host si tous les nœuds du cluster ont le même processeur.
8. Memory : 8192 Mio ; dans les options avancées, décoche Ballooning Device : l'indexeur réserve sa mémoire au démarrage et supporte mal qu'on la lui reprenne.
9. Network : pont vmbr0, VLAN Tag 20 (le VLAN des serveurs), modèle VirtIO.
10. Confirm, puis démarre la machine et ouvre sa Console.

Installe Ubuntu Server avec les choix par défaut, en cochant Install OpenSSH server. Crée un compte d'administration nominatif (pas admin). Une fois le système démarré, installe l'agent invité pour que Proxmox voie l'adresse et arrête proprement la machine :

sudo apt update && sudo apt full-upgrade -y
sudo apt install -y qemu-guest-agent
sudo systemctl enable --now qemu-guest-agent

Configurer le réseau, le nom et l'heure

L'installeur d'Ubuntu propose de fixer l'adresse ; si tu as laissé le DHCP, remplace la configuration Netplan. Repère d'abord le nom de l'interface avec ip -br link (souvent ens18 sur Proxmox), puis écris /etc/netplan/50-cloud-init.yaml (ou un fichier à toi, en supprimant l'ancien) :

network:
  version: 2
  ethernets:
    ens18:
      dhcp4: false
      addresses: [192.168.10.180/28]
      routes:
        - to: default
          via: 192.168.10.190
      nameservers:
        addresses: [192.168.10.177, 192.168.10.181]
        search: [ad.sorbier.example]

sudo chmod 600 /etc/netplan/*.yaml   # Netplan avertit si le fichier est lisible par tous
sudo netplan try                      # applique, et revient en arrière sans confirmation sous 120 s
sudo hostnamectl set-hostname srv-journaux
sudo timedatectl set-timezone Europe/Paris

netplan try est plus sûr que netplan apply quand tu travailles en SSH : si la nouvelle adresse te coupe, la configuration précédente revient d'elle-même.

Pour l'heure, Ubuntu utilise systemd-timesyncd. Dans /etc/systemd/timesyncd.conf, sous [Time], indique les contrôleurs de domaine, qui sont les serveurs NTP de Sorbier :

[Time]
NTP=192.168.10.177 192.168.10.181

sudo systemctl restart systemd-timesyncd
timedatectl timesync-status   # le serveur utilisé et l'écart mesuré

Enfin, sur srv-ad, ajoute l'enregistrement DNS pour joindre le serveur par son nom (la gestion du DNS de l'annuaire est dans le cours Windows Server) :

Add-DnsServerResourceRecordA -ZoneName "ad.sorbier.example" -Name "srv-journaux" -IPv4Address "192.168.10.180"

Lancer l'assistant d'installation

L'assistant de Wazuh installe les trois composants, génère une autorité de certification interne et les certificats de chaque composant, crée les comptes et leurs mots de passe, puis démarre tout :

curl -sO https://packages.wazuh.com/4.14/wazuh-install.sh
sudo bash ./wazuh-install.sh -a

L'option -a (all-in-one) installe l'indexeur, le serveur et le tableau de bord sur la machine. Compte une dizaine de minutes. L'assistant affiche ses étapes : vérification du système et du matériel, ajout du dépôt de paquets Wazuh, installation et configuration de l'indexeur, initialisation de son cluster, installation du serveur et de Filebeat, puis du tableau de bord. Il se termine par un résumé qui donne l'adresse du tableau de bord, l'utilisateur admin et son mot de passe.

Note ce mot de passe tout de suite, dans le gestionnaire de mots de passe du service. Tous les mots de passe générés (indexeur, API, tableau de bord) sont aussi dans l'archive wazuh-install-files.tar, créée dans le dossier où tu as lancé l'assistant :

sudo tar -O -xvf wazuh-install-files.tar wazuh-install-files/wazuh-passwords.txt

Vérifier l'installation

Quatre services doivent être actifs :

systemctl is-active wazuh-indexer wazuh-manager filebeat wazuh-dashboard

La commande affiche active quatre fois. Pour le détail d'un service récalcitrant, systemctl status wazuh-indexer et journalctl -u wazuh-indexer -n 50.

Vérifie ensuite les ports en écoute :

sudo ss -tlnp | grep -E ':(443|1514|1515|9200|55000)\b'

Tu dois voir le tableau de bord sur 443, le serveur sur 1514, 1515 et 55000, l'indexeur sur 9200. Le dernier contrôle est la chaîne complète : le serveur envoie-t-il bien ses alertes à l'indexeur ?

sudo filebeat test output

Filebeat se connecte à l'indexeur, vérifie le certificat et répond talk to server... OK.

Premier accès au tableau de bord

Depuis le poste d'administration (192.168.10.209), ouvre https://srv-journaux.ad.sorbier.example. Le navigateur affiche un avertissement : le certificat a été signé par l'autorité interne créée par l'assistant, que ton poste ne connaît pas. En laboratoire, accepte l'exception. En production, deux solutions propres : faire signer le certificat du tableau de bord par l'autorité de certification de l'entreprise (AD CS, cours Windows Server), ou distribuer le certificat racine de Wazuh (root-ca.pem) aux postes d'administration par GPO.

Connecte-toi avec admin et le mot de passe noté. La page d'accueil présente des cartes par grand thème ; le menu (☰, en haut à gauche) donne accès à tout :

Pour l'instant, aucun agent n'est inscrit : seul le serveur lui-même remonte ses propres événements, sous le nom de l'agent 000.

Changer les mots de passe et sécuriser le serveur

Les mots de passe. Le mot de passe d'admin généré par l'assistant est solide, mais il a été affiché à l'écran et écrit dans une archive. Change-le avec l'outil fourni, qui met à jour tous les composants concernés :

sudo bash /usr/share/wazuh-indexer/plugins/opensearch-security/tools/wazuh-passwords-tool.sh \
  -u admin -p '<NOUVEAU_MOT_DE_PASSE>'

Le mot de passe doit faire de 8 à 64 caractères, avec au moins une majuscule, une minuscule, un chiffre et un des symboles .*+?-. L'outil indique ensuite les services à redémarrer. Pour les comptes des collègues, on ne partage pas admin : on crée des comptes nominatifs (chapitre 13).

Les mises à jour automatiques. Une mise à jour des paquets Wazuh lancée par un apt upgrade de routine peut désynchroniser les composants et casser l'installation. La documentation recommande de désactiver le dépôt Wazuh et de le réactiver uniquement pour une mise à jour planifiée (chapitre 13) :

sudo sed -i "s/^deb /#deb /" /etc/apt/sources.list.d/wazuh.list
sudo apt update

Le reste du système, lui, continue de recevoir ses mises à jour de sécurité Ubuntu.

Le pare-feu local. Le pare-feu pfSense filtre déjà entre les zones, mais les machines du VLAN 20 joignent srv-journaux sans le traverser. Le pare-feu d'Ubuntu, ufw, ajoute une seconde barrière : seuls les flux du chapitre 2 sont acceptés.

sudo ufw default deny incoming
sudo ufw allow from 192.168.10.208/28 to any port 22 proto tcp     # SSH depuis le VLAN d'administration
sudo ufw allow from 192.168.10.208/28 to any port 443 proto tcp    # tableau de bord
sudo ufw allow from 192.168.10.64/26 to any port 1514:1515 proto tcp   # agents des postes
sudo ufw allow from 192.168.10.176/28 to any port 1514:1515 proto tcp  # agents des serveurs
sudo ufw allow from 192.168.10.225 to any port 1514:1515 proto tcp     # agent de srv-web (DMZ)
sudo ufw allow from 192.168.10.190 to any port 514 proto udp           # syslog du pare-feu
sudo ufw enable
sudo ufw status numbered

Les autres façons d'installer

• Installation pas à pas : la documentation détaille l'installation de chaque composant séparément (indexeur, puis serveur, puis tableau de bord), avec un fichier config.yml qui décrit les nœuds. C'est la voie du déploiement réparti.
• Image OVA : une machine virtuelle prête à l'emploi, importable dans Proxmox. Pratique pour une démonstration, mais tu n'apprends rien de l'installation et tu hérites de ses mots de passe par défaut.
• Docker : des images officielles et un fichier Compose pour un ou plusieurs nœuds ; il faut alors exploiter des volumes persistants pour ne pas perdre les alertes (cours Docker).

Pour une réalisation d'examen, l'assistant sur une Ubuntu que tu as installée toi-même est le meilleur choix : tu peux expliquer chaque étape au jury.

Dépanner l'installation

Exercices

network:
  version: 2
  ethernets:
    ens18:
      dhcp4: false
      addresses: [192.168.10.180/24]
      nameservers:
        addresses: [192.168.10.177]

sudo ufw allow from 10.30.1.161 to any port 1514:1515 proto tcp
sudo ufw allow from 10.30.1.162 to any port 1514:1515 proto tcp