一、什麼是 Active Response？

在前幾天的文章中，我們介紹了 Wazuh 的檔案完整性監控（FIM）與 VirusTotal 威脅情資整合，讓系統能夠偵測可疑行為。

然而，偵測到攻擊後，如果仍需要管理員手動處理，可能錯過最佳防禦時機。

因此，Wazuh 提供 Active Response（主動回應） 功能，能夠在特定安全規則被觸發時，自動執行對應的防禦措施。

常見應用包括：

• 自動封鎖可疑來源 IP。
• 阻擋 SSH 暴力破解攻擊。
• 執行自訂安全防護腳本。
• 暫時停用可疑帳號。

二、Active Response 的運作原理

Active Response 主要透過以下流程運作：

1. 事件偵測：Wazuh Agent 收集系統日誌。
2. 規則比對：Wazuh Manager 判斷是否符合安全規則。
3. 觸發回應：符合設定條件時啟動 Active Response。
4. 執行指令：系統自動執行封鎖 IP 等操作。
5. 記錄結果：將執行情況寫入日誌，供管理員查看。
   例如，當某個來源 IP 持續嘗試 SSH 登入並觸發暴力破解規則時，Wazuh 可以自動封鎖該 IP 一段時間。

三、設定 Active Response

本次以 Linux 系統為例，示範如何利用 Wazuh 自動封鎖 SSH 暴力破解來源 IP。

步驟 1：開啟 Wazuh Manager 設定檔
在 Wazuh Server 執行：

sudo nano /var/ossec/etc/ossec.conf

步驟 2：確認封鎖指令
Wazuh 預設提供 firewall-drop 指令，可用於封鎖特定 IP。

確認設定檔中有以下內容：

<command>
  <name>firewall-drop</name>
  <executable>firewall-drop</executable>
  <timeout_allowed>yes</timeout_allowed>
</command>

若原本已存在相同設定，就不需要重複新增。

步驟 3：設定觸發條件
在 <ossec_config> 區塊內加入：

<active-response>
  <disabled>no</disabled>
  <command>firewall-drop</command>
  <location>local</location>
  <rules_id>5763</rules_id>
  <timeout>180</timeout>
</active-response>

設定參數說明：

其中，規則 ID 5763 對應 SSH 暴力破解偵測規則。

當此規則被觸發時，系統會嘗試封鎖攻擊來源 IP 180 秒。

四、重新啟動 Wazuh Manager

完成設定後，執行：

sudo systemctl restart wazuh-manager

接著確認服務是否正常：

sudo systemctl status wazuh-manager

如果服務顯示 active (running)，表示 Wazuh Manager 已正常啟動。

五、模擬 SSH 暴力破解事件

為了測試 Active Response，可以在隔離的實驗環境中，使用另一台測試電腦模擬多次 SSH 登入失敗。

步驟 1：確認 SSH 服務
在受測 Linux 主機執行：

sudo systemctl status ssh

確認 SSH 服務正常運作。

步驟 2：模擬登入失敗
從另一台測試主機執行：

ssh testuser@192.168.1.100

其中 192.168.1.100 為示範 IP，請替換成自己的測試主機位址。

使用不存在的帳號或錯誤密碼，重複數次登入測試。

當登入失敗事件符合 Wazuh 的 SSH 暴力破解偵測條件時，系統就可能觸發規則 5763。

注意： 不同環境的 SSH 日誌設定、規則條件及事件頻率都可能影響觸發結果。單次登入失敗通常不足以觸發暴力破解規則。

請勿在正式營運主機或未經授權的系統進行測試，也應避免封鎖自己的遠端管理 IP。

六、查看 Active Response 執行紀錄

Wazuh Agent 會將主動回應的執行情況記錄在日誌中。

在受測 Linux 主機執行：

sudo tail -f /var/ossec/logs/active-responses.log

若封鎖成功，可從日誌確認指令執行情況。

也可以透過 Wazuh Dashboard 搜尋相關事件，例如：

rule.id: 5763

這個條件可用於查看 SSH 暴力破解警報，但要確認封鎖是否真正執行，仍應檢查 Active Response 日誌。

七、Active Response 的常見應用

除了封鎖 SSH 暴力破解來源 IP，Active Response 還能應用於不同安全事件。

其中，惡意檔案隔離等操作通常需要另外撰寫自訂腳本，並不是啟用 Active Response 後就會自動具備所有防護功能。

八、Active Response 的優點與限制