Если вам нужно видеть, что происходит на серверах — кто логинится, какие файлы меняются, есть ли следы компрометации — и при этом не платить за коммерческий SIEM, Wazuh закрывает эту задачу почти полностью бесплатно. Проблема в том, что развернуть его руками долго: три сервиса, сертификаты между ними, куча переменных окружения, которые легко перепутать. Ниже — рабочий docker-compose.yml, который поднимает Wazuh с нуля, и разбор, что в нём происходит и куда чаще всего утыкаются при первом запуске.
Подробнее →