Optimiza la Seguridad Corporativa: Configuración de Alertas Wazuh con SMTP de Gmail para una Respuesta Proactiva

En el entorno corporativo actual, la seguridad informática es más crítica que nunca. La capacidad de responder de manera rápida y efectiva a incidentes de seguridad puede marcar la diferencia entre mantener una operación segura y caer víctima de una vulnerabilidad explotada. En este artículo, te guiaremos paso a paso en la configuración de alertas automáticas en Wazuh utilizando SMTP de Gmail. Descubre cómo esta configuración puede transformar la capacidad de tu equipo de seguridad para detectar y mitigar amenazas en tiempo real, protegiendo la integridad de tus datos y asegurando la continuidad operativa de tu organización.

Preparación del Entorno para la Configuración

Antes de comenzar con la configuración, es importante asegurar que todos los componentes necesarios estén instalados y correctamente configurados. Esto incluye el servidor Wazuh, Postfix para el envío de correos, y las credenciales adecuadas para acceder al servidor SMTP.

• Para crear una contraseña de aplciación en Gmail, te invito a visitar el siguiente artículo donde te enseño a crear dicha clave: Clic Aqui

AQUÍ VAMOS A VER TODOS LOS PASOS PARA QUE PUEDAS CONFIGRUAR CORRECTAMENTE LAS ALERTAS

1. Validamos nuestra versión de Wazuh

/var/ossec/bin/wazuh-control info

2. Preparación del Entorno para la Configuración

Antes de iniciar con la configuración, es esencial actualizar los paquetes y asegurarse de que todos los componentes necesarios estén instalados. Este comando instalará Postfix, junto con las utilidades y módulos necesarios para habilitar el envío de correos de manera segura.

sudo apt-get update && sudo apt-get install postfix mailutils libsasl2-2 ca-certificates libsasl2-modules

3. Configuración de Postfix

Durante la configuración de Postfix, se te presentarán varias opciones de configuración. Selecciona “Internet con smarthost” para que Postfix use un servidor SMTP externo para enviar correos. Luego, proporciona el nombre del sistema y configura smtp.gmail.com:587 como el servidor relay host, lo cual permitirá que los correos se envíen a través de Gmail.

4. Edición del Archivo de Configuración de Postfix

Usa el siguiente comando para abrir el archivo de configuración principal de Postfix. Aquí realizarás ajustes críticos que permitirán que Postfix se comunique correctamente con el servidor SMTP configurado previamente, asegurando un envío de correos seguro y eficiente.

sudo nano /etc/postfix/main.cf

Dentro del archivo main.cf, es crucial asegurarse de que las siguientes opciones estén configuradas correctamente para que Postfix funcione de manera segura y eficiente con Gmail:

Asegúrate de que relayhost esté configurado exactamente como [smtp.gmail.com]:587, ya que esto es fundamental para el correcto envío de correos a través de Gmail.

Relayhost = [smtp.gmail.com]:587
smtp_sasl_auth_enable = yes
smtp_sasl_security_options = noanonymous
smtp_sasl_password_maps = hash:/etc/postfix/sasl_passwd
smtp_use_tls = yes
smtp_tls_security_level = may
smtp_tls_CAfile = /etc/ssl/certs/ca-certificates.crt

5. Creación del Archivo de Credenciales SMTP

Con el comando siguiente, crearemos el archivo que almacenará las credenciales necesarias para autenticar a Postfix con el servidor SMTP de Gmail:

echo "[smtp.gmail.com]:587 TUCORREO@gmail.com:TU CLAVE DE APLICACIÓN" > /etc/postfix/sasl_passwd

6. Convertir el Archivo de Credenciales en un Mapa de Hash

El siguiente paso es convertir el archivo de credenciales en un mapa de hash que Postfix pueda utilizar de manera eficiente:

sudo postmap /etc/postfix/sasl_passwd

Este comando genera un archivo de índice (sasl_passwd.db) a partir del archivo de credenciales, lo que permite a Postfix acceder rápidamente a la información necesaria para autenticar los correos electrónicos enviados a través de Gmail.

7. Proteger el Archivo de Credenciales

Es fundamental proteger el archivo de credenciales para garantizar la seguridad de las contraseñas almacenadas. Utiliza el siguiente comando para ajustar los permisos del archivo:

sudo chmod 600 /etc/postfix/sasl_passwd /etc/postfix/sasl_passwd.db

Este comando asegura que solo el usuario root pueda leer o escribir en los archivos de credenciales, manteniendo las credenciales a salvo de accesos no autorizados.

8. Verificación de los Permisos de los Archivos

Para asegurarte de que los permisos del archivo de credenciales se han aplicado correctamente, puedes verificarlo con el siguiente comando:

ls -l /etc/postfix/sasl_passwd*

9. Reiniciar Postfix para Aplicar los Cambios

Finalmente, para que todos los cambios realizados en la configuración surtan efecto, es necesario reiniciar el servicio Postfix. Esto se logra con el siguiente comando:

sudo systemctl restart postfix

Reiniciar Postfix asegura que las nuevas configuraciones se carguen correctamente, permitiendo que el servidor envíe correos electrónicos de manera segura a través de Gmail.

Aquí tienes los pasos para configurar el archivo ossec.conf directamente desde la interfaz de la aplicación Wazuh:

10. Configuración del Archivo ossec.conf en Wazuh desde la Interfaz de la Aplicación

Deben cambiar y agregar lo que esta señala con la flecha

En la sección de configuración del manager, es crucial definir el nivel de alertas que deseas monitorear. Esto dependerá de las necesidades específicas de tu organización y de los eventos que consideres críticos.

Nivel 1-3: Alertas informativas y de bajo impacto. Útil para monitoreo general.
Nivel 4-7: Alertas de seguridad que requieren atención, como cambios inesperados en archivos o fallos de autenticación.
Nivel 8-15: Alertas críticas que podrían indicar un compromiso serio en la seguridad, como intentos de intrusión o accesos no autorizados.

Guarda los Cambios y Reinicia el Manager:

• Después de realizar las configuraciones, haz clic en Save para guardar los cambios.
• Finalmente, presiona el botón Restart Manager para aplicar las nuevas configuraciones y activar las alertas por correo.

11. Verificación de las Alertas en la Bandeja de Entrada

Una vez que hayas configurado el archivo ossec.conf y reiniciado el manager de Wazuh, es momento de verificar que las alertas se están enviando correctamente. Dirígete a la bandeja de entrada del correo electrónico que configuraste para recibir las alertas.

• Revisa la bandeja de entrada: Busca correos provenientes de Wazuh con alertas sobre los eventos monitoreados.
• Verifica también la carpeta de spam: En caso de que las alertas no lleguen a la bandeja de entrada, asegúrate de revisar la carpeta de spam o correo no deseado.

Si todo está configurado correctamente, deberías empezar a recibir alertas en tiempo real sobre los eventos de seguridad monitoreados por Wazuh.

La implementación de alertas automáticas con Wazuh y su integración con SMTP de Gmail es una herramienta poderosa para fortalecer la seguridad corporativa. Al configurar correctamente estas alertas, tu equipo de seguridad puede recibir notificaciones en tiempo real sobre eventos críticos, permitiéndoles tomar medidas inmediatas y proactivas. Esta capacidad no solo mejora la respuesta ante incidentes, sino que también ayuda a mantener la integridad y la continuidad de las operaciones de la organización.

Adoptar estas prácticas de monitoreo y alerta es un paso esencial para cualquier empresa que valore la seguridad de su infraestructura y la protección de sus datos. Con estas configuraciones, estás fortaleciendo la primera línea de defensa de tu corporación contra amenazas potenciales, asegurando un entorno más seguro y controlado.