Wazuh (supervision de sécurité)

Un SIEM et XDR open source en un seul déploiement - ce que vous obtenez, comment y connecter vos machines, et ce qui reste à votre charge.

Wazuh surveille vos machines. Un petit programme installé sur chacune, l'agent, rapporte ce qui s'y passe - connexions, fichiers modifiés, paquets installés, processus en cours - et le serveur transforme ces rapports en alertes : une tentative d'intrusion, une vulnérabilité connue, un fichier qui n'aurait pas dû changer.

Sur ISOGrid, il se déploie depuis Sécurité → Outils de sécurité, comme une solution : choisissez une taille, un réseau, puis déployez. Quelques minutes plus tard, le tableau de bord répond à sa propre adresse.

Ce qui est déployé

Trois conteneurs, dans les versions que Wazuh publie ensemble :

Élément	Rôle
Tableau de bord	L'interface web. Le seul élément qui a une adresse web.
Gestionnaire	Reçoit les rapports des agents et applique les règles de détection.
Indexeur	Stocke les alertes et les événements, et répond aux recherches du tableau de bord.

Ils tournent sur un seul nœud, sur un réseau privé qui leur est propre. L'indexeur, qui contient toutes les alertes, n'est joignable de nulle part ailleurs.

Trois choses sont faites pour vous, que l'installation d'origine vous laisse :

Aucun mot de passe par défaut. Le mot de passe de l'administrateur est généré pour votre déploiement, et les comptes que les trois éléments utilisent entre eux lui sont propres. Les comptes de démonstration de l'installation d'origine n'existent pas.
Certificats. Les trois éléments communiquent en TLS, avec des certificats émis par une autorité créée pour votre déploiement.
Mot de passe d'enrôlement. Une machine ne peut s'enregistrer comme agent qu'avec le mot de passe affiché dans l'onglet Agents.

Taille

La plus petite taille proposée a 4 Go de mémoire ; l'indexeur en utilise la plus grande part. Au-delà de quelques dizaines d'agents, ou pour conserver plusieurs mois d'événements, prenez 8 Go ou plus. La taille se change ensuite depuis l'onglet Taille.

Se connecter

Ouvrez le déploiement, puis Connexion. L'utilisateur est admin ; le mot de passe se trouve dans l'onglet Aperçu.

Connecter une machine

L'onglet Agents donne la commande à exécuter sur chaque machine, pour Debian et Ubuntu, RHEL et ses dérivés, Windows et macOS. Elle contient l'adresse du gestionnaire, ses deux ports et le mot de passe d'enrôlement : il n'y a rien à compléter. La machine apparaît sur le tableau de bord environ une minute plus tard.

Il existe deux adresses :

Depuis l'extérieur de la plateforme - vos propres serveurs, des postes de travail, un autre cloud - les agents se connectent à l'adresse et aux deux ports affichés dans l'onglet. Ce trafic est chiffré par Wazuh lui-même.
Depuis une application du même réseau privé, les agents joignent le gestionnaire par son nom interne, sur les ports 1514 et 1515, sans sortir du réseau. Choisissez Dans votre réseau dans l'onglet.

Le mot de passe d'enrôlement sert une seule fois. L'agent détient ensuite sa propre clé, et supprimer l'agent depuis le tableau de bord la révoque.

Ce qui reste à votre charge

Règles et configuration. La configuration du gestionnaire, ses règles et ses décodeurs sont à vous : modifiez-les depuis le tableau de bord ou depuis l'onglet Fichiers.
Disque. Les événements s'accumulent. Définissez dans le tableau de bord (Indexer management → Index management) une durée de conservation adaptée à la taille achetée.
Sauvegardes. L'onglet Sauvegardes couvre la configuration du gestionnaire : ses règles, ses décodeurs et les clés des agents enrôlés. Les événements indexés n'en font pas partie.

S'il n'est pas publié

Sans adresse publique, le tableau de bord n'est joignable que depuis votre réseau privé, et seules les applications de ce réseau peuvent lui envoyer des rapports. Publiez-le de nouveau : l'adresse et les ports des agents sont les mêmes qu'avant.

Guide

Qu'est-ce qu'ISOGrid — Une plateforme cloud construite en Algérie, pour les équipes qui veulent livrer sans gérer de serveurs.

Premiers pas — D'un compte à quelque chose qui tourne sur Internet.

Votre niveau d'expérience — Trois questions à la première connexion décident de l'organisation de votre page d'accueil et de la façon dont l'assistant vous parle - et de rien d'autre.

Déployer une application — D'un dépôt à une adresse en service, et ce qui se passe à chaque étape.

La détection de la construction — Quels fichiers comptent comme Dockerfile ou comme fichier Compose, comment le port est trouvé, et ce qui se passe quand il y a plusieurs candidats ou aucun.

Fichiers Compose et fichiers de stack — Déployer un fichier Docker Compose ou un fichier de stack Swarm - ce qui est appliqué, ce qui ne l'est pas, et ce que fait une nouvelle application du fichier.

Dépôts Git — Connecter GitHub ou GitLab, décider qui dans l'organisation peut construire à partir de vos dépôts, et ce qui se passe quand vous partez.

Adresses et domaines — L'adresse que reçoit chaque application, utiliser votre propre nom à la place, et ce qui casse quand le DNS est faux.

Connecter votre propre réseau (passerelle VPN) — Atteignez les services d’un réseau privé depuis votre portable, votre bureau ou un autre cloud, par alias, via une passerelle WireGuard ouverte depuis la page Réseaux.

Bases de données — En commander une, ce à quoi chaque disposition survit, et pourquoi la réplication n'est pas une sauvegarde.

Recherche vectorielle et IA avec pgvector — Stockez des embeddings dans votre base de données PostgreSQL et recherchez-les par le sens - activer pgvector, un exemple qui fonctionne, les index, et ce qu'il faut vérifier d'abord.

Stockage objet — Espaces de stockage et buckets, ce à quoi survivent un nœud et plusieurs nœuds, les clés limitées par bucket, et la connexion en S3.

Volumes — Un disque qui survit à une copie. D'où il vient, ce à quoi il survit, comment le parcourir et le sauvegarder.

Services gérés — Kafka, RabbitMQ, Redis et Keycloak - ce que vous obtenez, ce à quoi chaque disposition survit, et comment une application s'y connecte.

Clusters privés sans dépendance — Ce qui tourne sur vos machines est du Docker Swarm ou du Kubernetes standard, et continue de tourner si vous partez.

Supabase — Un backend complet sur PostgreSQL en un déploiement - ce que vous obtenez, quelle base choisir, et où sont vos clés.

Votre propre cluster avec l’agent Nomad — Déployez depuis la console ISOGrid sur un Docker Swarm ou un Kubernetes que vous exploitez vous-même, sans donner à ISOGrid le moindre accès à vos machines ni à vos secrets.

Wazuh (supervision de sécurité) — Un SIEM et XDR open source en un seul déploiement - ce que vous obtenez, comment y connecter vos machines, et ce qui reste à votre charge.

Rôles, groupes de permissions et accès — Les trois niveaux qui décident de ce que chaque membre peut faire, les groupes dont dispose toute organisation dès le départ, et les règles qui empêchent quiconque de s'élever.

La sandbox du Studio IA — L'espace de travail derrière chaque projet Studio - la démarrer, la mettre en pause, la redémarrer, ce qui se passe quand elle reste inutilisée, et comment vos fichiers reviennent.

L'agent DevOps et votre code — Comment l'agent déploie des dépôts que vous avez déjà, ce qu'il demande avant d'agir, et quand le code qu'il a cloné est supprimé.

API REST — L'adresse, comment un script se connecte, comment l'organisation est choisie, à quoi ressemblent les erreurs, et des exemples complets avec curl.

Prix et facturation — Les prix de l'abonnement, pourquoi les prix des ressources sont fixés par région, ce qui se paie d'avance et ce qui se paie à l'heure, ce qui se passe quand le crédit est épuisé, et comment obtenir une facture.

Quand ça ne va pas — Les pannes que vous rencontrerez le plus probablement, ce que chacune signifie réellement, et quoi faire.

Ligne de commande

Installer la CLI — Une seule commande sous Linux, macOS ou Windows, une somme de contrôle pour chaque téléchargement, et comment la mettre à jour ou la supprimer.

Référence des commandes — Chaque groupe de commandes, ce qu'il fait, et la page où il est expliqué en détail.

Automatiser les applications — Créer, configurer, déployer et supprimer des applications depuis un terminal ou un script, avec chaque option expliquée.

Déployer depuis la CI/CD — Déployer à chaque push depuis GitHub Actions ou GitLab CI/CD, avec un identifiant restreint et un job qui échoue quand le déploiement échoue.

Dépôts, groupes et accès — Décider qui peut construire depuis un dépôt, gérer les groupes de permissions et savoir qui détient quoi, depuis le terminal.

Tutoriels

Votre premier déploiement — D'un dépôt à une adresse qui fonctionne, avec les erreurs signalées avant que vous ne les commettiez.

Une application avec une base de données — Une API et un PostgreSQL managé, reliés par un secret, en deux copies, avec une sauvegarde que vous avez restaurée une fois.

Déployer à chaque push — D'un premier déploiement à la main à un déploiement à chaque push, depuis GitHub Actions ou GitLab CI/CD, avec un identifiant qui ne peut rien faire de plus, et ce qui se passe quand une version échoue.

Politiques

Disponibilité et support — Ce à quoi la plateforme s'engage, ce à quoi elle ne s'engage pas, et comment joindre une personne.

Utilisation acceptable — Ce que vous pouvez exécuter, ce que vous ne pouvez pas exécuter, et ce qui se passe si une limite est franchie.

Confidentialité — Les données personnelles qu'ISOGrid conserve, pourquoi, qui d'autre les voit, combien de temps elles sont gardées, et comment supprimer votre compte.