Keď sa GDPR formulár pýta divné veci: Wazuh pre malý DevOps/SecOps tím

Keď sa GDPR formulár pýta divné veci: DevOps/SecOps bez korporátneho rozpočtu

Predstavte si klasický deň v malej firme.

Ráno káva, trochu logov, niekde padol kontajner, niekto sa pýta, prečo staging posiela e-maily zákazníkom — čo je mimochodom výborná otázka — a do toho príde dotazník od zákazníka, partnera alebo audítora:

„Popíšte, prosím, akým spôsobom zabezpečujete kontinuálny monitoring bezpečnostných udalostí, detekciu anomálií, reakciu na incidenty, správu zraniteľností, integritu systémových súborov a súlad s požiadavkami GDPR.“

Čiže v preklade:

„Máte vlastné SOC centrum, traja analytici s nočnou službou, SIEM za cenu bytu v Bratislave a procesy nakreslené v PowerPointe tak pekne, že by si ich dal zarámovať aj ISO audítor?“

Nie. Nemáme.

Máme malý tím, veľa serverov, pár SaaS služieb, Docker, Linux, cloud, občas Windows stanicu, nejaké VPN, niekoľko databáz, zákaznícke dáta, zodpovednosť a rozpočet, ktorý sa po nákupe licencií tvári ako slovenský dôchodok po zaplatení energií.

A predsa treba odpovedať.

Nie marketingovo. Nie štýlom „bezpečnosť je našou prioritou“, čo je veta rovnako výživná ako „váš hovor je pre nás dôležitý“. Treba odpovedať vecne: čo sledujeme, ako to vieme dokázať, čo sa stane pri incidente, kde máme logy, ako dlho ich držíme a či nám niekto prepísal /etc/passwd o tretej ráno.

Tu niekde prichádza na scénu Wazuh.

Nie ako strieborná guľka. Skôr ako slušný multitool. Taký ten švajčiarsky nožík, ktorý nemá laserový zameriavač, ale otvorí konzervu, odreže špagát a ešte vám zachráni večer, keď zistíte, že „enterprise security platform“ v cenovej ponuke stojí viac ako váš ročný hosting.

GDPR dotazník: malý horor v Exceli

GDPR formuláre majú zvláštnu poetiku. Sú písané jazykom, ktorý vyzerá, že vznikol krížením právnika, bezpečnostného konzultanta a človeka, ktorý naposledy videl produkčný server v roku 2009.

Typické otázky:

Máte centralizovaný zber a uchovávanie logov?
Detegujete neoprávnené zmeny v kritických súboroch?
Viete identifikovať pokusy o brute-force útok?
Máte proces riadenia zraniteľností?
Ako monitorujete prístup k osobným údajom?
Ako preukazujete reakciu na bezpečnostný incident?
Viete poskytnúť auditnú stopu?
Sú systémy pravidelne kontrolované voči bezpečnostným baseline pravidlám?

A teraz poctivo: koľko malých firiem má na toto všetko krásne odpovede, screenshoty dashboardov, ticketovací workflow, reporty a playbooky?

Niektoré áno. Väčšina má niečo medzi:

„Logy sú na serveri.“
„Fail2ban tam asi beží.“
„Zraniteľnosti sledujeme, keď nám príde newsletter.“
„Incident response je zatiaľ Maťo, keď má zapnutý mobil.“
„Auditná stopa? Máme bash history, ak ju niekto nezmazal.“

A tu sa začína rozdiel medzi „nemáme korporátny rozpočet“ a „nemáme kontrolu“. To nie je to isté.

Malá firma nemusí mať všetko. Ale mala by vedieť ukázať, že má rozumné opatrenia primerané riziku. GDPR mimochodom nie je napísané len pre banky, telká a firmy s vlastným oddelením na oddelenie oddelení. Týka sa aj menších prevádzkovateľov a sprostredkovateľov. A áno, článok 83 GDPR pozná pokuty až do 20 miliónov eur alebo 4 % celosvetového ročného obratu, podľa toho, čo je vyššie. To je tá časť, pri ktorej aj Excel na chvíľu stíchne.

Čo vlastne chce ten formulár počuť?

V jadre nejde o to, či máte najdrahší nástroj. Ide o štyri otázky:

Vidíte, čo sa deje? Logy, prístupy, zmeny, chyby, pokusy o útok.
Viete rozlíšiť normálne od podozrivého? Nie každé SSH prihlásenie je problém. SSH prihlásenie z krajiny, kde nemáte ľudí, o 03:17 na účet, ktorý sa bežne nepoužíva, už možno áno.
Viete reagovať? Aspoň základne: upozorniť, zablokovať, izolovať, eskalovať, vytvoriť incident.
Viete to spätne dokázať? Lebo bez dôkazu je bezpečnosť často len „ver mi, brácho“.

GDPR miluje slovo „primerané“. Technické a organizačné opatrenia majú byť primerané riziku. Čiže malá firma nemusí simulovať Fort Knox. Ale ak spracúva osobné údaje, mala by vedieť ukázať, že nenechala dvere otvorené a na stole lístok „heslo je admin123“.

Wazuh: open-source SIEM/XDR pre ľudí, ktorí nemajú ropný vrt

Wazuh je open-source bezpečnostná platforma, často označovaná ako SIEM/XDR. V praxi to znamená, že zbiera bezpečnostné dáta z endpointov, serverov, cloudových služieb a aplikácií, vyhodnocuje ich podľa pravidiel, zobrazuje v dashboarde a vie spúšťať reakcie.

Nie je to len „ďalší dashboard na logy“. Vie pokryť viacero oblastí, ktoré GDPR formuláre milujú ako audítor miluje slovo „evidencia“:

centralizovaný zber logov,
detekcia bezpečnostných udalostí,
file integrity monitoring,
vulnerability detection,
security configuration assessment,
incident response / active response,
compliance mapovanie,
systémový inventár,
monitoring Linux, Windows, macOS aj cloud prostredí,
dashboardy a reporty.

Wazuh architektúra typicky stojí na troch hlavných častiach:

Komponent	Na čo slúži
Wazuh agent	Beží na serveroch a endpointoch, zbiera logy, stav systému, zmeny súborov a konfigurácie
Wazuh server / manager	Prijíma dáta, aplikuje pravidlá, koreluje udalosti a generuje alerty
Wazuh indexer + dashboard	Ukladanie, vyhľadávanie a vizualizácia dát

Pre malú firmu je zásadné, že Wazuh je open-source. To neznamená „zadarmo bez nákladov“, lebo nič v infraštruktúre nie je zadarmo, ani keď to má na GitHube hviezdičky. Znamená to však, že neplatíte automaticky za každého agenta, každý gigabajt logov a každý pohľad do dashboardu, ako keby ste si objednali minerálku na letisku.

Platíte hlavne časom, infraštruktúrou, správou, učením sa a disciplínou. Čo je stále menej bolestivé ako situácia, keď vám vendor pošle cenník a vy chvíľu rozmýšľate, či omylom nekupujete satelit.

File Integrity Monitoring: keď sa súbor zmení a nikto sa netvári, že to je normálne

Jedna z najpraktickejších vecí vo Wazuh je File Integrity Monitoring, skrátene FIM.

To je funkcia, ktorá sleduje zmeny v súboroch a adresároch. Napríklad:

/etc/passwd
/etc/shadow
/etc/sudoers
konfigurácie nginxu alebo Apache,
SSH konfigurácie,
aplikačné .env súbory,
systémové binárky,
adresáre s webovou aplikáciou.

Keď sa súbor zmení, Wazuh vie zaznamenať, čo sa zmenilo, kedy sa to zmenilo, na akom hoste, prípadne kto alebo aký proces zmenu spôsobil, podľa možností systému, a či súbor pribudol, zmizol alebo bol upravený.

Pre GDPR formulár je to výborná odpoveď na otázky typu:

„Ako zabezpečujete integritu systémov?“
„Ako detegujete neoprávnené zmeny?“
„Ako monitorujete kritické konfiguračné súbory?“

Odpoveď malej firmy nemusí znieť ako diplomová práca z kybernetickej obrany. Môže znieť takto:

Kritické systémové a aplikačné súbory monitorujeme pomocou Wazuh File Integrity Monitoring. Zmeny v definovaných cestách sú zaznamenávané, vyhodnocované a pri relevantných udalostiach generujú alerty. Tieto udalosti sú uchovávané centralizovane a použiteľné pri vyšetrovaní incidentu.

To je už úplne iná liga ako „Jožo si všimne, keď niečo nejde“.

Vulnerability Detection: „apt update“ nie je bezpečnostná stratégia

Ďalšia oblasť, kde Wazuh pomáha, je detekcia zraniteľností.

V malej firme často vzniká zraniteľnostný manažment takto:

Objaví sa CVE.
Niekto to pošle do Slacku.
Všetci napíšu „pozrieme“.
Nikto nevie, či sa ich to týka.
O tri týždne sa zistí, že áno.

Wazuh vie pomôcť s inventárom softvéru a porovnávaním nainštalovaných balíkov voči známym zraniteľnostiam. To znamená, že namiesto pocitu „hádam sme v pohode“ máte aspoň zoznam:

ktorý server má zraniteľný balík,
aké CVE sa ho týka,
aká je závažnosť,
čo treba aktualizovať.

Nie je to náhrada za celý vulnerability management program. Ale je to obrovský krok od „nevieme“ k „vieme a máme prioritu“.

A v bezpečnosti je „vieme“ často prvý moment, keď sa dá niečo riadiť. Bez viditeľnosti len dúfate. A nádej je krásna ľudská vlastnosť, ale veľmi slabý kontrolný mechanizmus.

Security Configuration Assessment: baseline nie je len slovo do prezentácie

Wazuh má aj Security Configuration Assessment. To je schopnosť kontrolovať systémy voči bezpečnostným pravidlám alebo baseline požiadavkám.

Napríklad:

či je SSH root login zakázaný,
či sú nastavené rozumné práva,
či sú povolené alebo zakázané určité služby,
či systém spĺňa vybrané hardening odporúčania,
či konfigurácia neodchádza od očakávaného štandardu.

Toto je veľmi užitočné práve v menšej firme. Lebo priznajme si: prvý server nastavíme pekne, druhý podobne, tretí „dočasne“, štvrtý „len na test“, piaty zdedíme po niekom, kto odišiel, a šiesty beží tak dlho, že má pravdepodobne občiansky preukaz.

Baseline kontroly pomáhajú odhaliť drift. Teda stav, keď sa systémy postupne odchyľujú od toho, čo sme kedysi považovali za bezpečné.

A ak sa vo formulári objaví otázka:

„Vykonávate pravidelné kontroly konfigurácie systémov?“

Môžete odpovedať:

Áno, vybrané systémy sú pravidelne kontrolované pomocou Wazuh Security Configuration Assessment. Výsledky sú dostupné v dashboarde, vrátane identifikovaných nesúladov a odporúčaní na nápravu.

Znie to lepšie ako:

„Raz sme mali Ansible playbook, ale potom sa pokazil inventory file.“

Centralizované logy: lebo hľadať incident cez SSH na piatich serveroch je folklór

Bez centralizovaných logov sa incident vyšetruje asi takto:

prihlásiť sa na server,
pozrieť /var/log/auth.log,
potom na druhý server,
potom zistiť, že logrotate už niečo zmazal,
potom hľadať v kontajneroch,
potom zistiť, že kontajner už neexistuje,
potom ticho pozerať do steny.

Wazuh umožňuje centralizovať bezpečnostné udalosti z viacerých systémov. Agenti posielajú dáta na server, kde sa udalosti ukladajú, korelujú a zobrazujú.

Pre GDPR a auditné otázky je toto zásadné. Nie preto, že logy sú magické. Ale preto, že bez logov neviete spätne preukázať, čo sa stalo.

Ak nastane incident s osobnými údajmi, potrebujete odpovedať na otázky:

kedy sa to stalo,
aký účet bol použitý,
z akej IP adresy,
aké systémy boli dotknuté,
či došlo k exfiltrácii,
aké kroky ste podnikli,
či sa incident opakoval.

Nie vždy budete mať všetky odpovede. Ale bez centralizovaných logov často nemáte ani začiatok.

Ako povedal bezpečnostný klasik Bruce Schneier:

„Security is a process, not a product.“

Čiže nie, nákup nástroja vás nezachráni. Ale dobrý nástroj môže podporiť proces, ktorý by inak existoval len ako odrážka v dokumente.

Active Response: keď systém nielen kričí, ale aj niečo spraví

Wazuh vie aj active response — teda spúšťať akcie pri určitých udalostiach.

Príklady:

zablokovať IP adresu po opakovaných neúspešných pokusoch o prihlásenie,
spustiť skript,
izolovať alebo označiť systém,
vytvoriť reakciu na konkrétny typ alertu.

Samozrejme, tu treba opatrne. Automatická reakcia je super, kým si nezablokujete vlastnú kanceláriu, VPN alebo jediného človeka, ktorý vie reštartovať produkciu. Automatizácia je ako motorová píla: výborná vec, keď viete, čo robíte.

V malej firme odporúčam začať konzervatívne:

najprv alertovať,
potom merať false positives,
až potom automatizovať,
kritické zásahy radšej s manuálnym potvrdením,
všetko logovať.

Active response je výborná odpoveď na formulárovú otázku:

„Máte definovaný proces reakcie na bezpečnostné udalosti?“

Áno. A nielen v hlave jedného admina.

Compliance dashboardy: nie sú dôkaz spásy, ale pomáhajú

Wazuh má aj oblasti zamerané na regulatory compliance, vrátane GDPR. Treba si však povedať jednu dôležitú vec:

Nástroj vás neurobí GDPR compliant.

Rovnako ako kúpa bežeckých topánok neurobí maratónca. Hoci pri pohľade na ceny niektorých compliance nástrojov by človek čakal aspoň automatické schudnutie.

Wazuh vie pomôcť s technickými dôkazmi a kontrolami. Vie mapovať udalosti a schopnosti na compliance oblasti. Vie ukázať, že monitorujete, kontrolujete a evidujete. Ale GDPR zahŕňa aj:

právne základy spracúvania,
informačné povinnosti,
zmluvy so sprostredkovateľmi,
práva dotknutých osôb,
minimalizáciu údajov,
retenčné lehoty,
DPIA,
interné procesy,
školenia,
organizačné opatrenia.

Wazuh rieši technickú časť skladačky. Nie celú skladačku.

Ale keď sa vás niekto opýta:

„Ako preukazujete technické monitorovanie a bezpečnostné kontroly?“

Wazuh je veľmi slušná odpoveď.

Malá firma, veľké riziká, menší rozpočet

Korporát si kúpi nástroj, konzultantov, integrátorov, 24/7 SOC, právnikov, interný audit, externý audit, audit auditu a ešte niekoho, kto preloží audit do prezentácie pre board.

Malá firma má často:

jedného DevOps človeka,
jedného vývojára, ktorý „vie Linux“,
externého právnika,
backlog,
produkciu,
zákazníkov,
a Slack kanál #incidenty, ktorý dúfame, že zostane tichý.

To však neznamená, že bezpečnosť musí byť divadlo.

Dobrá stratégia pre malú firmu je:

Zmapovať kritické systémy — kde sú osobné údaje, ktoré servery sú produkčné, ktoré služby sú verejné.
Nasadiť agentov tam, kde to dáva zmysel — produkčné servery, databázové hosty, bastion, VPN, kritické endpointy.
Zbierať správne logy — nie všetko. Správne veci: auth logy, systémové udalosti, web server logy, aplikačné bezpečnostné udalosti.
Zapnúť FIM na kritické cesty — menej je viac. Ak monitorujete celý filesystem bez rozmyslu, utopíte sa v šume.
Použiť vulnerability detection — prioritizovať podľa závažnosti a expozície.
Nastaviť alerting — nie 500 alertov denne. Alert, ktorý nikto nečíta, je len digitálny tapetový vzor.
Mať jednoduchý incident process — kto čo robí, kde sa dokumentuje, kedy sa eskaluje, kto komunikuje.
Raz mesačne pozrieť stav — dashboardy, zraniteľnosti, failed checks, top alerty.
Udržiavať dokumentáciu — nie román. Stačí praktický dokument: čo monitorujeme, kde sú logy, čo robíme pri incidente.
Testovať obnovu a reakciu — lebo „máme backup“ je veta, ktorá sa počíta až po úspešnom restore.

Ako odpovedať v GDPR formulári bez toho, aby sme si vymýšľali

Najhoršia vec, ktorú môžete urobiť, je hrať sa na korporát, ktorým nie ste.

Nepíšte:

„Prevádzkujeme nepretržité bezpečnostné operačné centrum so sofistikovanou detekciou hrozieb.“

Ak realita je:

„Wazuh posiela alerty do e-mailu a Maťo ich číta medzi deploymi.“

To nie je hanba. Hanba je klamať.

Lepšia odpoveď:

Prevádzkujeme centralizovaný bezpečnostný monitoring vybraných produkčných systémov prostredníctvom platformy Wazuh. Riešenie zbiera systémové a bezpečnostné logy, monitoruje zmeny kritických súborov, vyhodnocuje zraniteľnosti a poskytuje alerty pri definovaných bezpečnostných udalostiach. Incidenty sú eskalované zodpovedným osobám podľa interného postupu. Rozsah monitoringu pravidelne revidujeme podľa rizikovosti systémov.

To je presné, obhájiteľné a neznie to ako sci-fi.

Ak ešte nemáte všetko hotové, dá sa povedať:

Aktuálne máme zavedený monitoring pre kľúčové produkčné systémy. Rozširovanie monitoringu na ďalšie systémy prebieha podľa interného plánu a priorít rizika.

To je lepšie ako predstierať dokonalosť. V bezpečnosti je dokonalosť podozrivá. Väčšinou znamená, že sa niekto nepýtal dosť otázok.

Fun fact: logy sú nudné, kým ich nepotrebujete

Logy majú zvláštnu vlastnosť. Väčšinu času sú nezaujímavé, hlučné a zaberajú disk. A potom príde incident a zrazu sú cennejšia vec ako ranná káva.

Je to podobné ako poistka, hasiaci prístroj alebo dokumentácia k DNS. Všetci ich ignorujú, kým niečo nehorí.

Ďalší fun fact: veľká časť bezpečnostnej práce nie je dramatická. Nie je to kapucňa, Matrix a zelené písmenká. Je to:

správne nastavený log retention,
aktualizované balíky,
alert na neúspešné prihlásenia,
zablokovaný root login,
prehľad o tom, kde beží stará verzia OpenSSL,
a niekto, kto si raz týždenne pozrie dashboard.

Kyberbezpečnosť je často menej „hackeri útočia“ a viac „prosím vás, prečo má testovací server verejnú databázu“.

Kde má Wazuh limity

Aby sme nepredávali rozprávku: Wazuh nie je bez práce.

Treba počítať s tým, že:

potrebuje infraštruktúru,
potrebuje tuning,
môže generovať veľa alertov,
pravidlá treba prispôsobiť realite,
dashboardy samé o sebe nič nevyriešia,
niekto sa o to musí starať,
storage pre logy nie je nekonečný,
integrácia s cloudom a aplikáciami chce čas.

Tiež platí, že Wazuh nie je náhrada za:

právnu GDPR analýzu,
DPO,
procesy práv dotknutých osôb,
riadenie dodávateľov,
bezpečný vývoj,
zálohovanie,
IAM,
network segmentation,
školenie ľudí.

Ale je to veľmi dobrý základ technického monitoringu a dôkaznej vrstvy pre firmu, ktorá chce robiť bezpečnosť rozumne, nie teatrálne.

Praktický minimálny setup pre malú firmu

Keby sme mali začať pragmaticky, bez korporátneho rozpočtu, urobil by som toto:

1. Wazuh server + dashboard

Jeden rozumný VM/server podľa veľkosti prostredia. Nie na Raspberry Pi pod stolom, ak na tom chcete mať produkčný monitoring. Áno, viem, že by to bolo romantické. Nie, nerobme to.

2. Agenti na kritické systémy

Najprv produkčné web servery, databázové servery, bastion/jump host, VPN server, systémy s osobnými údajmi a prípadne kľúčové administrátorské stanice.

3. FIM na citlivé cesty

Nie celý disk. Cielene: systémové účty, sudoers, SSH config, web config, aplikačné konfigurácie, deployment scripts a adresáre s produkčnou aplikáciou.

4. Vulnerability detection

Zapnúť, sledovať, prioritizovať: kritické CVE, internet-facing systémy, systémy s osobnými údajmi a známe exploity.

5. Alerting do reálne používaného kanála

E-mail, Slack, Teams, Telegram, ticket systém — čokoľvek, čo niekto reálne číta.

Alert, ktorý končí v mailboxe security@, do ktorého sa nikto neprihlásil od pandémie, nie je alert. Je to pietne miesto.

6. Mesačný mini-review

Raz mesačne pozrieť top kritické alerty, otvorené zraniteľnosti, failed compliance checks, nové systémy bez agenta, či alerty dávajú zmysel a či niekto nevypol monitoring „dočasne“.

7. Jednostránkový incident process

Nie 40-stranový dokument. Jedna stránka:

kto je incident owner,
kde sa zapisuje priebeh,
kedy sa eskaluje,
koho kontaktovať,
ako izolovať systém,
ako zachovať dôkazy,
kedy riešiť GDPR notifikáciu.

Čo napísať do formulára, keď sa pýtajú na Wazuh

Tu je použiteľný text, ktorý sa dá prispôsobiť:

Na vybraných produkčných a kritických systémoch prevádzkujeme bezpečnostný monitoring pomocou platformy Wazuh. Wazuh slúži na centralizovaný zber a vyhodnocovanie systémových a bezpečnostných logov, monitoring integrity kritických súborov, detekciu známych zraniteľností, kontrolu bezpečnostnej konfigurácie a generovanie alertov pri podozrivých udalostiach.

Udalosti sú uchovávané centralizovane a používajú sa pri vyšetrovaní bezpečnostných incidentov a spätnej auditnej analýze. Rozsah monitoringu je nastavovaný podľa rizikovosti systémov a spracúvaných údajov. Kritické alerty sú eskalované zodpovedným osobám podľa interného procesu incident response.

A ak chcete byť ešte úprimnejší:

Keďže ide o menšiu organizáciu, rozsah monitoringu a reakčných procesov je navrhnutý primerane veľkosti tímu, rizikám a dostupným zdrojom. Preferujeme praktické, overiteľné opatrenia pred formálnou komplexitou bez reálneho prevádzkového prínosu.

Tú poslednú vetu by som najradšej vytlačil na tričko.

Záver: divné otázky nie sú problém, ak máme normálne odpovede

GDPR formuláre budú vždy trochu divné. Budú sa pýtať na veci, ktoré znejú, akoby každá firma mala vlastnú NASA miestnosť s monitorovacou stenou a človekom, ktorý dramaticky povie „we have a breach“.

Realita malej firmy je iná. Ale to neznamená, že musí byť chaotická.

Wazuh je jeden z nástrojov, ktorý pomáha preklenúť priepasť medzi:

„Nemáme enterprise budget“

„Nemáme poňatie, čo sa deje.“

Nie je to zázrak. Nie je to compliance v krabici. Nie je to náhrada za procesy, ľudí ani zdravý rozum. Ale je to silný, praktický a dostupný základ pre monitoring, detekciu, auditnú stopu a technické dôkazy.

A keď vám nabudúce príde formulár s otázkou:

„Ako zabezpečujete detekciu a reakciu na bezpečnostné incidenty v prostredí spracúvajúcom osobné údaje?“

Nemusíte sa potiť nad prázdnym políčkom.

Môžete povedať:

Vidíme, čo sa deje. Máme logy. Sledujeme zmeny. Kontrolujeme zraniteľnosti. Máme alerty. Vieme spätne dohľadať udalosti. A keď sa niečo pokazí, máme postup.

Čo je v malej firme často oveľa hodnotnejšie než krásna prezentácia s ikonami štítov, zámkov a modrých hexagónov.

Lebo bezpečnosť nie je o tom vyzerať ako korporát.

Je o tom vedieť, kde sú riziká, mať ich pod kontrolou a neodpovedať na incident vetou:

„Počkať, my sme vôbec logovali?“