一、什麼是 Vulnerability Detection？

前兩天介紹了 Wazuh 的檔案完整性監控（FIM），可以偵測檔案是否被新增、修改或刪除。
今天要介紹另一項重要功能：Vulnerability Detection（漏洞偵測）。
漏洞偵測主要用來識別系統中已安裝的軟體是否存在已知安全漏洞，讓管理者能在漏洞遭到利用之前，優先進行修補。
例如，一台 Linux 伺服器安裝了具有已知漏洞的軟體版本，Wazuh 可以透過分析軟體清單及漏洞情報，協助管理者找出潛在風險。

二、Wazuh 如何偵測漏洞？

Wazuh 主要透過以下流程進行漏洞分析：

Wazuh Agent
透過 Syscollector 收集作業系統與軟體資訊
↓
Wazuh Server
接收端點資訊並進行分析
↓
Vulnerability Detection
比對 Wazuh CTI 已知漏洞資料
↓
Wazuh Dashboard
查看漏洞清單、風險等級與相關事件

其中，Wazuh 使用 Syscollector 收集端點的系統與套件資訊，再結合 Wazuh Cyber Threat Intelligence（CTI）漏洞情報進行比對，識別可能受到已知漏洞影響的軟體。

三、認識 CVE 與 CVSS

在漏洞偵測過程中，經常會看到 CVE 與 CVSS 兩個名詞。

例如：

CVE ID：CVE-2024-XXXX
Package：example-package
Version：1.0.0
Severity：High
CVSS Score：8.1

透過這些資訊，管理者可以判斷哪些漏洞需要優先處理。

四、設定 Wazuh 漏洞偵測功能

以下以 Wazuh 4.x 常見配置為例，實際設定方式仍須依安裝版本確認。

1. 修改 Wazuh Server 設定
   在 Wazuh Server 開啟設定檔：

sudo nano /var/ossec/etc/ossec.conf

確認包含以下設定：

<vulnerability-detection>
  <enabled>yes</enabled>
  <index-status>yes</index-status>
  <feed-update-interval>60m</feed-update-interval>
</vulnerability-detection>

設定說明：

在相應版本中，這項功能預設已啟用，漏洞情報更新間隔預設為 60 分鐘。
若有修改設定，需重新啟動服務：

sudo systemctl restart wazuh-manager

2. 確認 Wazuh Agent 的 Syscollector
   在 Linux Agent 開啟設定檔：

sudo nano /var/ossec/etc/ossec.conf

確認 Syscollector 已啟用，並包含作業系統及套件清單的蒐集設定：

<wodle name="syscollector">
  <disabled>no</disabled>
  <interval>1h</interval>
  <scan_on_start>yes</scan_on_start>
  <os>yes</os>
  <packages>yes</packages>
</wodle>

這是展示主要設定的簡化片段，若原本已有 Syscollector 設定，應修改現有區塊，避免重複建立。
若有修改 Agent 設定，執行：

sudo systemctl restart wazuh-agent

Syscollector 將定期收集系統資訊，供漏洞偵測模組分析。

五、在 Dashboard 查看漏洞

完成設定並等待資料同步後，即可登入 Wazuh Dashboard。
操作步驟：

1. 開啟 Wazuh Dashboard。
2. 選擇 Vulnerability Detection。
3. 進入 Inventory 查看目前偵測到的漏洞。
4. 點選漏洞的 CVE 編號，查看詳細資訊。
5. 進入 Events 查看漏洞偵測與修補相關事件。

六、漏洞偵測實際應用

假設公司內部有一台 Linux 伺服器，安裝了存在已知漏洞的套件。
Wazuh 可以協助管理者進行以下工作：

例如，管理者可以在 Linux 系統執行：

sudo apt update
sudo apt upgrade

這些指令可更新套件清單並升級可用套件，但不代表所有漏洞都會被修復。
更新後，可等待 Syscollector 再次蒐集資料，確認 Dashboard 中的漏洞狀態是否改變。

七、使用漏洞偵測功能的注意事項

雖然 Vulnerability Detection 能協助管理者識別風險，但仍有幾項限制：

• 並非即時掃描： 偵測結果受到系統資訊蒐集與同步間隔影響。
• 並非滲透測試： 此功能主要比對軟體清單與已知漏洞情報，不代表實際驗證漏洞是否可以被利用。
• 需要持續更新： 應定期維護漏洞情報與端點套件資訊。
• 不能只看 CVSS： 修補順序還需要考慮系統重要性、對外暴露程度，以及漏洞是否已被利用。
  因此，Wazuh 漏洞偵測的價值不只是列出 CVE，而是協助資安人員建立持續性的漏洞管理流程。