บทนำ: ทำไมองค์กรขนาดเล็ก-กลาง (SMB) ต้องมี SIEM และ XDR?
ในปี 2026 ภัยคุกคามทางไซเบอร์ (Cyber Threats) ไม่ได้เป็นปัญหาเฉพาะองค์กรขนาดใหญ่อีกต่อไป องค์กรขนาดเล็กและขนาดกลาง (Small and Medium Business หรือ SMB) กลายเป็นเป้าหมายหลักของผู้โจมตี เนื่องจากมักจะมีระบบรักษาความปลอดภัยที่อ่อนแอกว่า แต่ยังมีข้อมูลที่มีมูลค่าสูง เช่น ข้อมูลลูกค้า ข้อมูลทางการเงิน และทรัพย์สินทางปัญญา
การลงทุนในโซลูชัน Security Information and Event Management (SIEM) และ Extended Detection and Response (XDR) เชิงพาณิชย์ เช่น Splunk Enterprise, IBM QRadar หรือ CrowdStrike Falcon นั้นมีค่าใช้จ่ายสูงมาก ตั้งแต่หลักแสนไปจนถึงหลักล้านบาทต่อปี ซึ่งเป็นภาระที่หนักเกินไปสำหรับ SMB นี่คือจุดที่ Wazuh เข้ามาเปลี่ยนเกม เพราะเป็น Open Source SIEM/XDR ที่ทรงพลัง ใช้งานได้ฟรี และมีฟีเจอร์ระดับ Enterprise
Wazuh คืออะไร? ประวัติและพัฒนาการจาก OSSEC สู่ Wazuh
Wazuh (อ่านว่า “วา-ซูห์”) เป็นแพลตฟอร์มรักษาความปลอดภัยแบบ Open Source ที่พัฒนาต่อยอดมาจาก OSSEC (Open Source HIDS Security) ซึ่งเป็น Host-based Intrusion Detection System ที่ได้รับความนิยมมากที่สุดตัวหนึ่งในโลก
OSSEC ถูกสร้างขึ้นในปี 2004 โดย Daniel Cid และเป็นเครื่องมือ IDS ระดับ Host ที่ได้รับความนิยมมาอย่างยาวนาน อย่างไรก็ตาม ทีมพัฒนา Wazuh เห็นว่า OSSEC มีข้อจำกัดหลายประการ เช่น ไม่มี Dashboard ที่ใช้งานง่าย ไม่รองรับ Cloud Monitoring และขาดความสามารถในการตรวจจับช่องโหว่ (Vulnerability Detection) จึงได้ Fork โค้ดของ OSSEC มาและพัฒนาต่อยอดจนกลายเป็น Wazuh ที่เราใช้กันในปัจจุบัน
ณ ปี 2026 Wazuh เวอร์ชันล่าสุดได้รับการพัฒนาให้เป็นมากกว่า HIDS แบบเดิม โดยรวมความสามารถของ SIEM (Security Information and Event Management), XDR (Extended Detection and Response), Cloud Security Posture Management (CSPM) และ Compliance Monitoring เข้าไว้ด้วยกันในแพลตฟอร์มเดียว
Wazuh Components: ส่วนประกอบหลักที่ต้องเข้าใจ
1. Wazuh Manager (Server)
Wazuh Manager เป็นส่วนประกอบหลักที่ทำหน้าที่เป็นศูนย์กลางของระบบ โดยรับข้อมูลจาก Agent ทั้งหมด ประมวลผล วิเคราะห์ และสร้าง Alert Manager ทำหน้าที่หลักดังนี้:
- Analysis Engine: วิเคราะห์ Log และ Event จาก Agent โดยใช้ Rule-based Detection
- Ruleset Management: จัดการชุดกฎ (Rules) และ Decoders สำหรับการวิเคราะห์ข้อมูล
- Agent Management: จัดการ Agent ทั้งหมด รวมถึงการลงทะเบียน การอัปเดต Configuration และการจัดกลุ่ม
- Active Response: ตอบสนองต่อภัยคุกคามโดยอัตโนมัติ เช่น การบล็อก IP หรือการ Kill Process
- RESTful API: ให้บริการ API สำหรับการเชื่อมต่อกับระบบภายนอกและเครื่องมืออัตโนมัติ
2. Wazuh Agent
Wazuh Agent เป็นซอฟต์แวร์น้ำหนักเบาที่ติดตั้งบนเครื่อง Endpoint (เซิร์ฟเวอร์ เดสก์ท็อป คลาวด์อินสแตนซ์) เพื่อเก็บรวบรวมข้อมูลและส่งไปยัง Manager Agent รองรับระบบปฏิบัติการหลากหลาย ได้แก่ Windows, Linux (Ubuntu, CentOS, Debian, RHEL), macOS, AIX, HP-UX และ Solaris
Agent ทำหน้าที่สำคัญหลายอย่าง ได้แก่ การเก็บ System Log, การตรวจสอบ File Integrity (FIM), การเก็บข้อมูล System Inventory, การตรวจจับช่องโหว่ และการตรวจสอบ Security Configuration
3. Wazuh Indexer (OpenSearch-based)
Wazuh Indexer เป็นส่วนที่ใช้สำหรับจัดเก็บและ Index ข้อมูล Alert และ Event ทั้งหมด พัฒนาบนพื้นฐานของ OpenSearch (Fork จาก Elasticsearch) ซึ่งรองรับการค้นหาแบบ Full-text Search, การ Aggregate ข้อมูล และการสร้าง Visualization ต่างๆ Indexer สามารถ Scale แบบ Cluster ได้ โดยเพิ่ม Node เข้าไปเพื่อรองรับปริมาณข้อมูลที่เพิ่มขึ้น
4. Wazuh Dashboard
Wazuh Dashboard เป็น Web Interface สำหรับการดูข้อมูล Alert, Event และ Report ต่างๆ พัฒนาบนพื้นฐานของ OpenSearch Dashboards ทำให้ผู้ดูแลระบบสามารถ Monitor สถานะความปลอดภัยขององค์กรได้แบบ Real-time ผ่าน Browser โดยมี Dashboard สำเร็จรูปสำหรับ Security Events, File Integrity Monitoring, Vulnerability Detection และ Compliance Monitoring
การติดตั้ง Wazuh: แบบ Single-node, Cluster และ Docker
Single-node Installation (เหมาะกับ SMB)
การติดตั้งแบบ Single-node เหมาะสำหรับองค์กรที่มี Agent ไม่เกิน 100-200 ตัว ใช้เซิร์ฟเวอร์เครื่องเดียว โดย Wazuh ให้สคริปต์ติดตั้งอัตโนมัติที่ใช้งานง่ายมาก
ข้อกำหนดขั้นต่ำสำหรับ Single-node คือ CPU 4 cores, RAM 8 GB, Disk 50 GB SSD บนระบบปฏิบัติการ Ubuntu 22.04/24.04 LTS, CentOS 8/9, Amazon Linux 2/2023 หรือ RHEL 8/9 ขั้นตอนการติดตั้งมีดังนี้:
# ดาวน์โหลดและรัน Wazuh Installation Assistant
curl -sO https://packages.wazuh.com/4.9/wazuh-install.sh
sudo bash wazuh-install.sh -a
สคริปต์นี้จะติดตั้ง Wazuh Manager, Wazuh Indexer และ Wazuh Dashboard ทั้งหมดในเครื่องเดียว หลังจากติดตั้งเสร็จ จะแสดง URL ของ Dashboard พร้อม Username และ Password สำหรับเข้าสู่ระบบ โดยปกติจะเข้าถึงได้ที่ https://your-server-ip:443
Multi-node Cluster Installation
สำหรับองค์กรที่มี Agent จำนวนมาก (ตั้งแต่หลายร้อยถึงหลายพัน) การติดตั้งแบบ Cluster จะช่วยกระจายภาระงานและเพิ่มความพร้อมใช้งาน (High Availability) โดยแบ่ง Node ออกเป็น 3 ประเภทหลัก:
- Wazuh Manager Nodes: แนะนำ 2 nodes (Master + Worker) สำหรับ HA
- Wazuh Indexer Nodes: แนะนำ 3 nodes เพื่อให้ได้ Quorum สำหรับ Cluster
- Wazuh Dashboard Node: 1-2 nodes พร้อม Load Balancer
การติดตั้ง Cluster ต้องสร้าง Configuration File ที่ระบุ Node ทั้งหมดก่อน จากนั้นรัน Installation Assistant บนแต่ละ Node ตามลำดับ เริ่มจาก Indexer Nodes, Manager Nodes และ Dashboard Node
Docker Installation (เหมาะกับ Dev/Lab)
Wazuh มี Docker Compose Template สำเร็จรูปสำหรับการติดตั้งแบบ Containerized ซึ่งเหมาะมากสำหรับการทดสอบ การฝึกอบรม หรือสภาพแวดล้อม Development
# Clone Wazuh Docker repository
git clone https://github.com/wazuh/wazuh-docker.git -b v4.9.0
cd wazuh-docker/single-node
# สร้าง SSL certificates
docker compose -f generate-indexer-certs.yml run --rm generator
# เริ่มต้น Wazuh stack
docker compose up -d
ข้อดีของ Docker Installation คือติดตั้งง่าย ลบแล้วสร้างใหม่ได้เร็ว เหมาะสำหรับการทดลองก่อนใช้จริง อย่างไรก็ตาม สำหรับ Production Environment แนะนำให้ใช้การติดตั้งแบบ Native เพื่อประสิทธิภาพที่ดีกว่า
การติดตั้ง Agent บน Windows, Linux และ macOS
Windows Agent
การติดตั้ง Wazuh Agent บน Windows สามารถทำได้ผ่าน MSI Installer โดยดาวน์โหลดจากเว็บไซต์ Wazuh หรือใช้คำสั่ง PowerShell ดังนี้:
# ดาวน์โหลดและติดตั้ง Wazuh Agent ผ่าน PowerShell
Invoke-WebRequest -Uri https://packages.wazuh.com/4.x/windows/wazuh-agent-4.9.0-1.msi -OutFile $env:TEMP\wazuh-agent.msi
msiexec.exe /i $env:TEMP\wazuh-agent.msi /q WAZUH_MANAGER="YOUR_MANAGER_IP" WAZUH_AGENT_NAME="win-server-01"
# เริ่มบริการ
NET START WazuhSvc
สำหรับการ Deploy จำนวนมากบน Windows สามารถใช้ Group Policy (GPO), SCCM หรือ Ansible เพื่อ Push การติดตั้งไปยังเครื่องทั้งหมดได้อัตโนมัติ
Linux Agent
บน Linux การติดตั้ง Agent ทำได้ผ่าน Package Manager ของแต่ละ Distribution:
# Ubuntu/Debian
curl -s https://packages.wazuh.com/key/GPG-KEY-WAZUH | gpg --no-default-keyring --keyring gnupg-ring:/usr/share/keyrings/wazuh.gpg --import && chmod 644 /usr/share/keyrings/wazuh.gpg
echo "deb [signed-by=/usr/share/keyrings/wazuh.gpg] https://packages.wazuh.com/4.x/apt/ stable main" | tee /etc/apt/sources.list.d/wazuh.list
apt-get update && apt-get install wazuh-agent -y
# ตั้งค่า Manager IP
sed -i 's/MANAGER_IP/YOUR_MANAGER_IP/' /var/ossec/etc/ossec.conf
systemctl daemon-reload && systemctl enable --now wazuh-agent
macOS Agent
บน macOS ใช้ PKG Installer โดยดาวน์โหลดจากเว็บไซต์ Wazuh จากนั้นตั้งค่า Manager IP ในไฟล์ Configuration และเริ่มบริการด้วยคำสั่ง:
# ติดตั้งจาก .pkg file
sudo installer -pkg wazuh-agent-4.9.0-1.pkg -target /
# แก้ไข Configuration
sudo sed -i '' 's/MANAGER_IP/YOUR_MANAGER_IP/' /Library/Ossec/etc/ossec.conf
# เริ่มบริการ
sudo /Library/Ossec/bin/wazuh-control start
File Integrity Monitoring (FIM): ตรวจจับการเปลี่ยนแปลงไฟล์สำคัญ
File Integrity Monitoring (FIM) เป็นหนึ่งในฟีเจอร์ที่ทรงพลังที่สุดของ Wazuh ซึ่งช่วยตรวจจับการเปลี่ยนแปลงของไฟล์และไดเรกทอรีบนระบบ ไม่ว่าจะเป็นการสร้างไฟล์ใหม่ การแก้ไข การลบ หรือการเปลี่ยนแปลง Permission
FIM ทำงานโดยการสแกนไฟล์และเก็บ Hash (MD5, SHA-1, SHA-256) ของไฟล์เป้าหมาย เมื่อมีการเปลี่ยนแปลงเกิดขึ้น FIM จะตรวจจับความแตกต่างและสร้าง Alert ทันที ซึ่งเป็นประโยชน์อย่างยิ่งในการตรวจจับ Malware ที่แก้ไขไฟล์ระบบ, Rootkit ที่ซ่อนตัวในระบบ, หรือผู้ดูแลระบบที่แก้ไข Configuration โดยไม่ได้รับอนุญาต
การตั้งค่า FIM สามารถกำหนดได้ในไฟล์ ossec.conf ของ Agent โดยระบุไดเรกทอรีที่ต้องการ Monitor เช่น:
<syscheck>
<frequency>43200</frequency>
<directories check_all="yes" realtime="yes">/etc,/usr/bin,/usr/sbin</directories>
<directories check_all="yes" realtime="yes">/bin,/sbin,/boot</directories>
<directories check_all="yes" report_changes="yes">/etc/hosts,/etc/passwd,/etc/shadow</directories>
<ignore>/etc/mtab</ignore>
<ignore type="sregex">.log$|.swp$</ignore>
</syscheck>
สำหรับ Windows สามารถ Monitor ไฟล์ระบบ, Registry Keys และ Registry Values ได้ด้วย เช่น การ Monitor Run Keys ที่ Malware มักใช้เพื่อ Persist ตัวเองในระบบ
Vulnerability Detection: ค้นหาช่องโหว่บน Endpoint
Wazuh มีโมดูล Vulnerability Detector ที่สามารถสแกนซอฟต์แวร์ที่ติดตั้งบน Agent แต่ละตัว แล้วเปรียบเทียบกับฐานข้อมูลช่องโหว่ (CVE Database) จากแหล่งต่างๆ เช่น NVD (National Vulnerability Database), Canonical, Red Hat, Debian และ Microsoft โมดูลนี้ช่วยให้ทีม IT สามารถระบุซอฟต์แวร์ที่มีช่องโหว่ จัดลำดับความสำคัญตาม CVSS Score และวางแผนการ Patch ได้อย่างมีประสิทธิภาพ
การเปิดใช้งาน Vulnerability Detector ทำได้โดยแก้ไข Configuration ของ Manager:
<vulnerability-detector>
<enabled>yes</enabled>
<interval>5m</interval>
<min_full_scan_interval>6h</min_full_scan_interval>
<run_on_start>yes</run_on_start>
<provider name="nvd">
<enabled>yes</enabled>
<update_interval>1h</update_interval>
</provider>
<provider name="canonical">
<enabled>yes</enabled>
</provider>
<provider name="redhat">
<enabled>yes</enabled>
</provider>
</vulnerability-detector>
Dashboard จะแสดงผลลัพธ์การสแกนเป็นรายการช่องโหว่ พร้อม CVSS Score, คำอธิบาย CVE และคำแนะนำในการแก้ไข ซึ่งช่วยให้ทีม Security สามารถ Prioritize การ Patch ได้อย่างมีข้อมูลสนับสนุน
Compliance Checking: ตรวจสอบมาตรฐานความปลอดภัย PCI-DSS, HIPAA, GDPR และ PDPA
หนึ่งในจุดแข็งสำคัญของ Wazuh คือความสามารถในการตรวจสอบการปฏิบัติตามมาตรฐานความปลอดภัยต่างๆ (Compliance Monitoring) ซึ่งเป็นสิ่งจำเป็นสำหรับองค์กรที่ต้องปฏิบัติตามกฎระเบียบ
PCI-DSS (Payment Card Industry Data Security Standard)
สำหรับองค์กรที่รับชำระเงินด้วยบัตรเครดิต Wazuh ช่วยตรวจสอบ Requirement ต่างๆ ของ PCI-DSS เช่น การจัดการ Firewall, การตรวจสอบ Access Control, การ Monitor Log และการทดสอบความปลอดภัยเป็นประจำ Wazuh สามารถสร้าง PCI-DSS Report อัตโนมัติที่ Map Alert แต่ละรายการไปยัง PCI-DSS Requirement ที่เกี่ยวข้อง
HIPAA (Health Insurance Portability and Accountability Act)
สำหรับองค์กรด้านสุขภาพ Wazuh ช่วยตรวจสอบการปกป้องข้อมูลสุขภาพ (PHI) ตามข้อกำหนด HIPAA โดยเฉพาะด้าน Access Control, Audit Controls และ Integrity Controls
GDPR (General Data Protection Regulation)
สำหรับองค์กรที่จัดการข้อมูลส่วนบุคคลของพลเมือง EU Wazuh ช่วย Monitor การเข้าถึงข้อมูลส่วนบุคคล ตรวจจับการรั่วไหลของข้อมูล (Data Breach) และสร้าง Report สำหรับ GDPR Compliance
PDPA (พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล)
สำหรับองค์กรในประเทศไทย Wazuh สามารถปรับแต่ง Rules เพื่อรองรับ PDPA ได้ โดยการ Monitor การเข้าถึงฐานข้อมูลที่เก็บข้อมูลส่วนบุคคล ตรวจจับการ Export ข้อมูลปริมาณมาก และแจ้งเตือนเมื่อมีพฤติกรรมผิดปกติที่อาจเป็นการรั่วไหลของข้อมูล ซึ่งสอดคล้องกับข้อกำหนดของ PDPA ในเรื่องการรักษาความปลอดภัยของข้อมูลส่วนบุคคล
Security Configuration Assessment (SCA)
นอกจาก Compliance Framework ข้างต้น Wazuh ยังมีโมดูล SCA ที่ตรวจสอบ Configuration ของ Agent เทียบกับ Best Practice เช่น CIS Benchmarks สำหรับ Windows, Linux, macOS, Apache, Nginx, MySQL และอื่นๆ SCA จะให้คะแนนและคำแนะนำในการ Harden ระบบ
Active Response: ตอบสนองต่อภัยคุกคามอัตโนมัติ
Active Response เป็นฟีเจอร์ที่ทำให้ Wazuh ไม่ได้เป็นเพียง “ระบบตรวจจับ” แต่เป็น “ระบบตอบสนอง” ด้วย เมื่อตรวจพบภัยคุกคาม Wazuh สามารถดำเนินการตอบสนองอัตโนมัติได้ทันที เช่น:
- Firewall Block: บล็อก IP ที่โจมตีด้วย iptables, Windows Firewall หรือ PF
- Account Lockout: ล็อกบัญชีผู้ใช้ที่พยายาม Brute Force
- Process Kill: หยุด Process ที่เป็นอันตราย
- Custom Script: รันสคริปต์ที่กำหนดเอง เช่น การส่ง Notification ผ่าน LINE, Slack หรือ Microsoft Teams
- Network Isolation: แยก Host ที่ติด Malware ออกจากเครือข่าย
ตัวอย่างการตั้งค่า Active Response ให้บล็อก IP ที่พยายาม Brute Force SSH เกิน 5 ครั้ง:
<active-response>
<command>firewall-drop</command>
<location>local</location>
<rules_id>5763</rules_id>
<timeout>3600</timeout>
</active-response>
สิ่งสำคัญคือต้องทดสอบ Active Response อย่างรอบคอบก่อนใช้จริง เพื่อป้องกัน False Positive ที่อาจทำให้ผู้ใช้ที่ถูกต้องถูกบล็อก
Integration กับ ELK Stack และ OpenSearch
Wazuh ออกแบบมาให้ทำงานร่วมกับ OpenSearch (และ Elasticsearch/Kibana สำหรับเวอร์ชันเก่า) ได้อย่างสมบูรณ์แบบ ตั้งแต่เวอร์ชัน 4.x Wazuh ใช้ Wazuh Indexer (ที่อิงจาก OpenSearch) เป็น Default Storage Backend ซึ่งรองรับ Full-text Search, Aggregations และ Visualization
สำหรับองค์กรที่ใช้ ELK Stack อยู่แล้ว สามารถ Integrate Wazuh เข้ากับ Elasticsearch และ Kibana ที่มีอยู่ได้ โดยใช้ Wazuh Kibana Plugin ซึ่งจะเพิ่ม Dashboard สำหรับ Security Monitoring เข้าไปใน Kibana โดยตรง
นอกจากนี้ Wazuh ยังรองรับการส่ง Alert ไปยังระบบภายนอกผ่าน Integration Module เช่น:
- Slack / Microsoft Teams สำหรับ Real-time Notification
- PagerDuty สำหรับ On-call Alert
- TheHive สำหรับ Incident Response
- MISP สำหรับ Threat Intelligence
- VirusTotal สำหรับ File Hash Lookup
- Shuffle SOAR สำหรับ Security Orchestration
Wazuh + Suricata IDS: ยกระดับการตรวจจับภัยคุกคามด้วย Network IDS
การใช้ Wazuh ร่วมกับ Suricata (Network-based IDS/IPS) เป็นการผสมผสานที่ทรงพลังมาก โดย Suricata จะตรวจจับภัยคุกคามในระดับ Network Traffic ในขณะที่ Wazuh ตรวจจับในระดับ Host ทำให้ได้ Visibility ครอบคลุมทั้งสองระดับ
การ Integrate ทำได้โดยให้ Wazuh Agent อ่าน Log ของ Suricata (eve.json) และส่งไปยัง Manager เพื่อวิเคราะห์ Wazuh มี Rules สำหรับ Suricata Alert ในตัว ซึ่งจะ Map Alert ของ Suricata เข้ากับ MITRE ATT&CK Framework ทำให้เห็นภาพรวมของการโจมตีได้ชัดเจน
# ตั้งค่าให้ Wazuh อ่าน Suricata Log
<localfile>
<log_format>json</log_format>
<location>/var/log/suricata/eve.json</location>
</localfile>
Cloud Monitoring: AWS CloudTrail และ Azure
ในยุคที่องค์กรย้ายไปใช้ Cloud มากขึ้น Wazuh รองรับ Cloud Monitoring สำหรับผู้ให้บริการ Cloud หลักทั้งหมด
AWS CloudTrail Integration
Wazuh สามารถดึง Log จาก AWS CloudTrail เพื่อ Monitor กิจกรรมบน AWS Account ได้ เช่น การสร้าง/ลบ EC2 Instance, การเปลี่ยน Security Group, การเข้าถึง S3 Bucket และการเปลี่ยนแปลง IAM Policy
<wodle name="aws-s3">
<disabled>no</disabled>
<interval>10m</interval>
<run_on_start>yes</run_on_start>
<bucket type="cloudtrail">
<name>your-cloudtrail-bucket</name>
<access_key>YOUR_ACCESS_KEY</access_key>
<secret_key>YOUR_SECRET_KEY</secret_key>
<only_logs_after>2026-01-01</only_logs_after>
</bucket>
</wodle>
Azure Activity Log Integration
สำหรับ Azure สามารถ Monitor Azure Activity Log, Azure AD Sign-in Log และ Azure AD Audit Log เพื่อตรวจจับกิจกรรมผิดปกติบน Azure Subscription
นอกจากนี้ Wazuh ยังรองรับ Google Cloud Platform (GCP) Pub/Sub, Office 365 Audit Log และ GitHub Audit Log อีกด้วย ทำให้สามารถ Monitor ระบบ Cloud ทั้งหมดจากจุดเดียว
Custom Rules และ Decoders: ปรับแต่งการตรวจจับให้เหมาะกับองค์กร
แม้ว่า Wazuh จะมี Rules สำเร็จรูปมากกว่า 4,000 กฎ แต่ทุกองค์กรมีความต้องการเฉพาะตัว การสร้าง Custom Rules และ Decoders ช่วยให้สามารถตรวจจับพฤติกรรมที่เฉพาะเจาะจงกับองค์กรได้
Custom Decoder
Decoder ทำหน้าที่ Parse Log ให้เป็น Structured Data เพื่อให้ Rules สามารถวิเคราะห์ได้ ตัวอย่างการสร้าง Custom Decoder สำหรับ Application Log เฉพาะ:
<decoder name="myapp">
<prematch>^MYAPP: </prematch>
</decoder>
<decoder name="myapp_login">
<parent>myapp</parent>
<regex>LOGIN (\S+) from (\S+)</regex>
<order>user, srcip</order>
</decoder>
Custom Rule
Rules กำหนดเงื่อนไขที่จะสร้าง Alert โดยอ้างอิงข้อมูลจาก Decoder ตัวอย่าง Custom Rule สำหรับตรวจจับ Login ผิดปกตินอกเวลาทำงาน:
<group name="myapp,authentication">
<rule id="100001" level="10">
<decoded_as>myapp_login</decoded_as>
<time>10pm - 6am</time>
<description>MyApp: Login outside business hours</description>
<mitre>
<id>T1078</id>
</mitre>
</rule>
</group>
Wazuh ยังรองรับ MITRE ATT&CK Framework Mapping ใน Rules ทำให้สามารถ Classify Alert ตาม Tactics และ Techniques ได้ ซึ่งช่วยทีม Security ในการวิเคราะห์และตอบสนองต่อภัยคุกคามได้อย่างเป็นระบบ
Wazuh vs Splunk vs SIEM เชิงพาณิชย์: เปรียบเทียบค่าใช้จ่าย
การเปรียบเทียบค่าใช้จ่ายเป็นหนึ่งในเหตุผลหลักที่ทำให้ Wazuh โดดเด่นสำหรับ SMB:
| รายการ | Wazuh (Open Source) | Splunk Enterprise | IBM QRadar |
|---|---|---|---|
| License Cost | ฟรี | ~$2,000-5,000/GB/day/year | ~$800-2,000/EPS/year |
| Agent Support | ไม่จำกัด | ตามข้อมูล (GB/day) | ตาม EPS |
| Infrastructure | Self-hosted | Cloud/Self-hosted | Cloud/Appliance |
| FIM | รวมในตัว | ต้องซื้อ Add-on | รวมในตัว |
| Vulnerability Scanner | รวมในตัว | ต้องซื้อ Add-on | ต้องซื้อ Add-on |
| XDR Capability | รวมในตัว | ต้องซื้อ Add-on | รวมบางส่วน |
| Community Support | ดีมาก (GitHub, Slack) | ดี | ปานกลาง |
| ค่าใช้จ่ายโดยประมาณ (100 Agent) | ฟรี (เฉพาะ HW) | ~1.5-5 ล้านบาท/ปี | ~1-3 ล้านบาท/ปี |
ข้อควรพิจารณาคือ แม้ว่า Wazuh จะไม่มีค่า License แต่ยังมีค่าใช้จ่ายสำหรับ Infrastructure (เซิร์ฟเวอร์), บุคลากรที่ดูแล และการฝึกอบรม อย่างไรก็ตาม ค่าใช้จ่ายรวมยังคงต่ำกว่า SIEM เชิงพาณิชย์อย่างมาก
Scaling Wazuh: การขยายระบบรองรับการเติบโต
Wazuh ออกแบบมาให้ Scale ได้ตั้งแต่องค์กรขนาดเล็กไปจนถึงองค์กรขนาดใหญ่ที่มี Agent หลายหมื่นตัว กลยุทธ์การ Scale มีดังนี้:
- Vertical Scaling: เพิ่ม CPU, RAM และ Disk ให้กับ Manager และ Indexer Node
- Horizontal Scaling: เพิ่ม Worker Node ใน Manager Cluster และ Node ใน Indexer Cluster
- Data Tiering: ใช้ Hot-Warm-Cold Architecture สำหรับ Indexer เพื่อจัดการข้อมูลเก่า
- Index Lifecycle Management: ตั้งค่าการ Rotate และลบ Index เก่าอัตโนมัติ
- Agent Group Management: จัดกลุ่ม Agent ตามบทบาทหรือสถานที่ เพื่อลด Configuration ที่ไม่จำเป็น
แนวทางการ Sizing สำหรับ Manager:
- 1-50 Agent: 4 CPU, 8 GB RAM, 50 GB SSD
- 50-200 Agent: 8 CPU, 16 GB RAM, 200 GB SSD
- 200-1,000 Agent: 16 CPU, 32 GB RAM, 500 GB SSD, Cluster Mode
- 1,000+ Agent: Multi-node Cluster พร้อม Load Balancer
Wazuh สำหรับ MSP/MSSP: โมเดลธุรกิจบริการ Security
Managed Security Service Provider (MSSP) และ Managed Service Provider (MSP) สามารถใช้ Wazuh เป็นพื้นฐานในการให้บริการ Security Monitoring แก่ลูกค้าหลายรายได้ เนื่องจาก Wazuh รองรับ Multi-tenancy ผ่าน Agent Group และ RBAC (Role-Based Access Control)
โมเดลการให้บริการที่นิยมมีดังนี้:
- Shared Infrastructure: ใช้ Wazuh Cluster เดียวสำหรับลูกค้าทุกราย แยกข้อมูลด้วย Agent Group และ Index Pattern เหมาะสำหรับลูกค้าขนาดเล็ก
- Dedicated Manager: แต่ละลูกค้ามี Manager แยก แต่ใช้ Indexer Cluster ร่วมกัน เหมาะสำหรับลูกค้าที่ต้องการ Privacy สูง
- Fully Dedicated: แต่ละลูกค้ามี Wazuh Stack แยกทั้งหมด เหมาะสำหรับลูกค้าระดับ Enterprise
MSSP สามารถสร้างรายได้จากบริการหลายรูปแบบ เช่น SOC-as-a-Service (24/7 Monitoring), Incident Response, Compliance Reporting, Vulnerability Management และ Security Consulting ด้วย Wazuh เป็นเครื่องมือหลัก ค่าใช้จ่ายด้าน Software License เป็นศูนย์ ทำให้ Margin สูงขึ้นเมื่อเทียบกับการใช้ SIEM เชิงพาณิชย์
Best Practices สำหรับการ Deploy Wazuh ในองค์กร
เพื่อให้การใช้งาน Wazuh มีประสิทธิภาพสูงสุด ควรปฏิบัติตามแนวทางเหล่านี้:
- เริ่มต้นด้วย Use Case ที่ชัดเจน: กำหนดว่าต้องการตรวจจับอะไรบ้าง เช่น Brute Force, Malware, Unauthorized Change แล้วค่อยๆ เพิ่ม Use Case ตามลำดับความสำคัญ
- จัด Agent Group อย่างเป็นระบบ: แบ่งกลุ่ม Agent ตามระบบปฏิบัติการ บทบาท (Web Server, Database, Workstation) และสถานที่ เพื่อให้ Configuration ตรงกับความต้องการของแต่ละกลุ่ม
- Tune Rules อย่างสม่ำเสมอ: ปรับ Rule Level และ Active Response เพื่อลด False Positive ควรมีกระบวนการ Review Alert รายสัปดาห์
- วางแผน Storage ล่วงหน้า: คำนวณปริมาณ Log ที่จะเกิดขึ้นต่อวัน และกำหนด Retention Policy ที่เหมาะสม เช่น Hot (30 วัน), Warm (90 วัน), Cold (365 วัน)
- Backup Configuration: สำรอง Rules, Decoders และ Configuration ลงใน Git Repository เพื่อให้สามารถ Version Control และ Rollback ได้
- อัปเดต Wazuh อย่างสม่ำเสมอ: ติดตาม Release ใหม่และอัปเดตเพื่อรับ Security Fix และ Feature ใหม่ๆ
- ฝึกอบรมทีม: ลงทุนในการฝึกอบรมทีม IT Security ให้เข้าใจ Wazuh อย่างลึกซึ้ง รวมถึงการเขียน Custom Rules และการวิเคราะห์ Alert
สรุป: Wazuh คือทางเลือกที่ดีที่สุดสำหรับ SMB ที่ต้องการ Security Monitoring ระดับ Enterprise
Wazuh เป็น Open Source Security Platform ที่ครบครัน ตั้งแต่ SIEM, XDR, FIM, Vulnerability Detection ไปจนถึง Compliance Monitoring ในแพลตฟอร์มเดียว ด้วยค่าใช้จ่ายที่ต่ำกว่า SIEM เชิงพาณิชย์อย่างมาก ทำให้เป็นทางเลือกที่เหมาะสมสำหรับองค์กรขนาดเล็ก-กลางที่ต้องการยกระดับ Security Posture โดยไม่ต้องลงทุนหลักล้านในซอฟต์แวร์ License
ไม่ว่าคุณจะเป็นผู้ดูแลระบบที่ต้องการ Monitor เซิร์ฟเวอร์ขององค์กร, ทีม Security ที่ต้องการ SIEM สำหรับ SOC หรือ MSSP ที่ต้องการเครื่องมือสำหรับให้บริการลูกค้า Wazuh เป็นตัวเลือกที่คุ้มค่าที่สุดในปี 2026 เริ่มต้นด้วยการติดตั้งแบบ Single-node ทดลองใช้งาน แล้วค่อยขยายเมื่อองค์กรเติบโต Community ของ Wazuh มีขนาดใหญ่และพร้อมช่วยเหลือ ไม่ว่าจะผ่าน Slack, GitHub หรือ Forum อย่ารอช้า เริ่มปกป้ององค์กรของคุณด้วย Wazuh วันนี้
