docker-wazuh-agent

镜像概述和主要用途

Wazuh 是一款免费、开源的企业级安全监控解决方案，用于威胁检测、完整性监控、事件响应和合规性管理。本镜像为 Wazuh Agent 的 Docker 封装，具备自动注册到 Wazuh 服务器的功能，同时支持部署到 Kubernetes 集群作为 DaemonSet 运行。当前 Agent 版本为 4.0.4。

核心功能和特性

• 自动注册：支持自动注册到 Wazuh 服务器，简化部署流程
• 多环境兼容：可在本地 Docker 环境运行，也可作为 Kubernetes DaemonSet 部署，实现集群节点全覆盖
• 灵活配置：通过环境变量自定义服务器连接参数、认证信息、节点标识等
• 健康监控：支持通过进程列表配置健康检查，确保 Agent 核心组件运行正常
• 第三方集成：提供 VirusTotal API 密钥配置，支持病毒扫描功能集成
• 系统级监控：可挂载主机文件系统（只读）和 Docker 套接字，实现对主机及容器的全面监控

使用场景和适用范围

• Docker 环境：适用于需要在容器化环境中部署安全监控代理，对主机或容器进行威胁检测和合规性检查的场景
• Kubernetes 集群：通过 DaemonSet 实现集群内所有节点的安全代理部署，满足分布式环境下的统一安全监控需求
• 企业级安全运维：适用于需要集中管理多节点安全事件、日志收集和合规性报告的企业环境

环境变量配置说明

使用方法和配置说明

Docker 环境部署

基础运行

最简单的容器启动命令：

shell
docker run --rm kennyopennix/wazuh-agent:latest

高级配置示例

包含主机挂载、网络配置和服务器认证的完整示例：

bash
docker run -d --name wazuh-agent \
  -v /:/rootfs:ro \                      # 挂载主机根目录（只读）用于文件完整性监控
  -v /etc/os-release:/etc/os-release \   # 挂载系统版本信息
  -v /var/run/docker.sock:/var/run/docker.sock \  # 挂载 Docker 套接字监控容器事件
  --net host \                           # 使用主机网络栈确保通信正常
  --hostname ${HOSTNAME} \               # 设置容器主机名为当前主机名
  -e JOIN_MANAGER_MASTER_HOST=172.17.0.1 \  # Wazuh 主服务器地址
  -e JOIN_MANAGER_WORKER_HOST=172.17.0.1 \  # Wazuh 工作节点地址
  -e JOIN_MANAGER_USER=user \            # 服务器认证用户名
  -e JOIN_MANAGER_PASSWORD=test123 \     # 服务器认证密码
  kennyopennix/wazuh-agent:latest

Kubernetes DaemonSet 部署

环境变量配置

在 wazuh-daemon-sets.yaml 中配置环境变量，示例如下：

yaml
env:
  - name: JOIN_MANAGER
    value: "wazuh.wazuh.svc.cluster.local"  # Wazuh 服务域名
  - name: JOIN_MANAGER_MASTER_HOST
    value: "wazuh.wazuh.svc.cluster.local"  # 主服务器地址
  - name: JOIN_MANAGER_WORKER_HOST
    value: "wazuh-workers.wazuh.svc.cluster.local"  # 工作节点地址
  - name: JOIN_MANAGER_PROTOCOL
    value: "https"  # 通信协议
  - name: NODE_NAME
    valueFrom:
      fieldRef:
        fieldPath: spec.nodeName  # 使用 Kubernetes 节点名称
  - name: WAZUH_GROUPS
    value: "default"  # 加入的 Wazuh 组
  - name: JOIN_MANAGER_USER
    valueFrom:
      secretKeyRef:
        name: wazuh-api-cred  # 从 Secret 获取用户名
        key: username
  - name: JOIN_MANAGER_PASSWORD
    valueFrom:
      secretKeyRef:
        name: wazuh-api-cred  # 从 Secret 获取密码
        key: password
  - name: JOIN_MANAGER_API_PORT
    value: "55000"  # API 端口
  - name: JOIN_MANAGER_PORT
    value: "1514"   # 通信端口
  - name: HEALTH_CHECK_PROCESSES
    value: "ossec-execd,ossec-syscheckd,ossec-logcollector,wazuh-modulesd,ossec-authd"  # 健康检查进程列表

部署命令

应用 DaemonSet 配置（假设文件名为 wazuh-daemon-sets.yaml）：

bash
kubectl apply -f wazuh-daemon-sets.yaml

注：DaemonSet 将部署至 wazuh 命名空间（需确保该命名空间已创建）。

镜像构建方法

如需自定义构建镜像，执行以下命令：

bash
docker build . -t wazuh-agent:latest