# Установка Wazuh Agent 4.14 - Linux, Windows, macOS

> Установка агента Wazuh 4.14 на Linux (DEB/RPM), Windows (MSI) и macOS (pkg) - регистрация, настройка групп, массовое развертывание и устранение неполадок

Source: https://opennix.org/docs/wazuh/installation/wazuh-agent-installation/


Wazuh Agent - это легковесный компонент, устанавливаемый на контролируемых конечных точках. Агент собирает данные о событиях безопасности, выполняет локальные проверки и передает результаты на [Wazuh Server](/docs/wazuh/installation/wazuh-server-installation/) для анализа. Данное руководство описывает установку агента на Linux, Windows и macOS.

## Совместимость версий

Версия агента должна быть равна или ниже версии Wazuh Manager. Агент 4.14 совместим с менеджером 4.14 и выше. Обратная совместимость не гарантирована - не устанавливайте агент версии выше, чем версия менеджера.

## Переменные развертывания

При установке агента можно задать параметры подключения через переменные окружения:

| Переменная | Описание | Пример |
|---|---|---|
| `WAZUH_MANAGER` | IP-адрес или hostname менеджера | `10.0.0.2` |
| `WAZUH_AGENT_NAME` | Имя агента (отображается в дашборде) | `web-server-01` |
| `WAZUH_AGENT_GROUP` | Группа агента для централизованного управления | `linux-servers` |
| `WAZUH_REGISTRATION_PASSWORD` | Пароль для авторизованной регистрации | `MyPassword` |

## Установка на Linux (DEB - Ubuntu/Debian)

### Добавление репозитория

```bash
apt-get install gnupg apt-transport-https
curl -s https://packages.wazuh.com/key/GPG-KEY-WAZUH | gpg --no-default-keyring \
  --keyring gnupg-ring:/usr/share/keyrings/wazuh.gpg --import && chmod 644 /usr/share/keyrings/wazuh.gpg
echo "deb [signed-by=/usr/share/keyrings/wazuh.gpg] https://packages.wazuh.com/4.x/apt/ stable main" \
  | tee -a /etc/apt/sources.list.d/wazuh.list
apt-get update
```

### Установка пакета

```bash
WAZUH_MANAGER="<IP_МЕНЕДЖЕРА>" apt-get install wazuh-agent
```

С дополнительными параметрами:

```bash
WAZUH_MANAGER="<IP_МЕНЕДЖЕРА>" \
WAZUH_AGENT_NAME="web-server-01" \
WAZUH_AGENT_GROUP="linux-servers" \
apt-get install wazuh-agent
```

### Запуск службы

```bash
systemctl daemon-reload
systemctl enable wazuh-agent
systemctl start wazuh-agent
```

## Установка на Linux (RPM - CentOS/RHEL)

### Добавление репозитория

**CentOS / RHEL 8 и ранее (YUM):**

```bash
rpm --import https://packages.wazuh.com/key/GPG-KEY-WAZUH
cat > /etc/yum.repos.d/wazuh.repo << EOF
[wazuh]
gpgcheck=1
gpgkey=https://packages.wazuh.com/key/GPG-KEY-WAZUH
enabled=1
name=EL-\$releasever - Wazuh
baseurl=https://packages.wazuh.com/4.x/yum/
protect=1
EOF
```

**RHEL 9+ / CentOS Stream 10 (DNF):**

```bash
rpm --import https://packages.wazuh.com/key/GPG-KEY-WAZUH
cat > /etc/yum.repos.d/wazuh.repo << EOF
[wazuh]
gpgcheck=1
gpgkey=https://packages.wazuh.com/key/GPG-KEY-WAZUH
enabled=1
name=EL-\$releasever - Wazuh
baseurl=https://packages.wazuh.com/4.x/yum/
priority=1
EOF
```

### Установка пакета

```bash
WAZUH_MANAGER="<IP_МЕНЕДЖЕРА>" yum install wazuh-agent
```

Или через DNF:

```bash
WAZUH_MANAGER="<IP_МЕНЕДЖЕРА>" dnf install wazuh-agent
```

### Запуск службы

```bash
systemctl daemon-reload
systemctl enable wazuh-agent
systemctl start wazuh-agent
```

Для систем без systemd:

```bash
chkconfig --add wazuh-agent
service wazuh-agent start
```

## Установка на Windows

### Загрузка пакета

Скачайте MSI-инсталлятор:

```
https://packages.wazuh.com/4.x/windows/wazuh-agent-4.14.4-1.msi
```

### Тихая установка (CMD)

```cmd
wazuh-agent-4.14.4-1.msi /q WAZUH_MANAGER="<IP_МЕНЕДЖЕРА>"
```

С дополнительными параметрами:

```cmd
wazuh-agent-4.14.4-1.msi /q WAZUH_MANAGER="<IP_МЕНЕДЖЕРА>" WAZUH_AGENT_NAME="win-desktop-01" WAZUH_AGENT_GROUP="windows-workstations"
```

### Тихая установка (PowerShell)

```powershell
.\wazuh-agent-4.14.4-1.msi /q WAZUH_MANAGER="<IP_МЕНЕДЖЕРА>"
```

### Запуск службы

**CMD:**

```cmd
NET START WazuhSvc
```

**PowerShell:**

```powershell
Start-Service wazuhsvc
```

### Путь установки

Агент устанавливается в `C:\Program Files (x86)\ossec-agent\`.

## Установка на macOS

### Загрузка пакета

**Apple Silicon (M1/M2/M3/M4):**

```
https://packages.wazuh.com/4.x/macos/wazuh-agent-4.14.4-1.arm64.pkg
```

**Intel:**

```
https://packages.wazuh.com/4.x/macos/wazuh-agent-4.14.4-1.intel64.pkg
```

### Установка

**Apple Silicon:**

```bash
echo "WAZUH_MANAGER='<IP_МЕНЕДЖЕРА>'" > /tmp/wazuh_envs && \
sudo installer -pkg wazuh-agent-4.14.4-1.arm64.pkg -target /
```

**Intel:**

```bash
echo "WAZUH_MANAGER='<IP_МЕНЕДЖЕРА>'" > /tmp/wazuh_envs && \
sudo installer -pkg wazuh-agent-4.14.4-1.intel64.pkg -target /
```

С дополнительными параметрами:

```bash
echo "WAZUH_MANAGER='<IP_МЕНЕДЖЕРА>' WAZUH_AGENT_NAME='mac-dev-01' WAZUH_AGENT_GROUP='macos-workstations'" > /tmp/wazuh_envs && \
sudo installer -pkg wazuh-agent-4.14.4-1.arm64.pkg -target /
```

### Запуск службы

```bash
sudo launchctl bootstrap system /Library/LaunchDaemons/com.wazuh.agent.plist
```

### Путь установки

Агент устанавливается в `/Library/Ossec/`.

## Методы регистрации

### Регистрация по IP менеджера

Основной метод - указание IP-адреса менеджера через переменную `WAZUH_MANAGER` при установке. Агент автоматически подключается к менеджеру и запрашивает ключ аутентификации.

### Регистрация с паролем

Для ограничения регистрации только авторизованными агентами настройте пароль на менеджере:

```bash
echo "MyRegistrationPassword" > /var/ossec/etc/authd.pass
chmod 640 /var/ossec/etc/authd.pass
chown root:wazuh /var/ossec/etc/authd.pass
systemctl restart wazuh-manager
```

При установке агента укажите пароль:

```bash
WAZUH_MANAGER="<IP_МЕНЕДЖЕРА>" \
WAZUH_REGISTRATION_PASSWORD="MyRegistrationPassword" \
apt-get install wazuh-agent
```

### Ручная регистрация после установки

Если агент установлен без указания менеджера, настройте подключение вручную.

Отредактируйте `/var/ossec/etc/ossec.conf` (Linux/macOS) или `C:\Program Files (x86)\ossec-agent\ossec.conf` (Windows):

```xml
<client>
  <server>
    <address><IP_МЕНЕДЖЕРА></address>
    <port>1514</port>
    <protocol>tcp</protocol>
  </server>
</client>
```

Перезапустите агент после изменения конфигурации.

## Ключевые секции конфигурации агента

Файл `ossec.conf` агента содержит основные параметры работы:

| Секция | Описание |
|---|---|
| `<client>` | Адрес и порт менеджера, протокол подключения |
| `<syscheck>` | Мониторинг целостности файлов - директории, частота, исключения |
| `<rootcheck>` | Обнаружение руткитов |
| `<localfile>` | Локальные лог-файлы для мониторинга |
| `<active-response>` | Настройки автоматического реагирования |
| `<labels>` | Пользовательские метки агента |

## Массовое развертывание

### Ansible

Используйте роль `wazuh-agent` из официальной коллекции:

```yaml
- hosts: all
  roles:
    - role: wazuh-agent
      wazuh_manager_ip: "<IP_МЕНЕДЖЕРА>"
      wazuh_agent_group: "linux-servers"
```

### Group Policy (Windows)

Для развертывания через GPO:

1. Поместите MSI-пакет в сетевую папку, доступную целевым компьютерам
2. Создайте GPO с назначением программного обеспечения (Computer Configuration - Software Installation)
3. Используйте трансформацию MST для указания параметров `WAZUH_MANAGER` и `WAZUH_AGENT_GROUP`

### SCCM / Intune

Создайте пакет развертывания с командной строкой:

```cmd
msiexec /i wazuh-agent-4.14.4-1.msi /q WAZUH_MANAGER="<IP_МЕНЕДЖЕРА>" WAZUH_AGENT_GROUP="windows-workstations"
```

### Скрипт массового развертывания (Linux)

Пример скрипта для развертывания через SSH:

```bash
#!/bin/bash
MANAGER_IP="10.0.0.2"
HOSTS="host1 host2 host3"

for HOST in $HOSTS; do
  ssh root@$HOST "
    curl -s https://packages.wazuh.com/key/GPG-KEY-WAZUH | gpg --no-default-keyring \
      --keyring gnupg-ring:/usr/share/keyrings/wazuh.gpg --import && \
      chmod 644 /usr/share/keyrings/wazuh.gpg && \
    echo 'deb [signed-by=/usr/share/keyrings/wazuh.gpg] https://packages.wazuh.com/4.x/apt/ stable main' \
      | tee /etc/apt/sources.list.d/wazuh.list && \
    apt-get update && \
    WAZUH_MANAGER='$MANAGER_IP' apt-get -y install wazuh-agent && \
    systemctl daemon-reload && systemctl enable wazuh-agent && systemctl start wazuh-agent
  "
done
```

## Проверка подключения

### На агенте

```bash
# Linux / macOS
/var/ossec/bin/wazuh-control status

# Windows (CMD, от имени администратора)
"C:\Program Files (x86)\ossec-agent\wazuh-control.exe" status
```

### На сервере

```bash
/var/ossec/bin/agent_control -l
```

Или через REST API:

```bash
TOKEN=$(curl -sk -u wazuh-wui:<WUI_PASSWORD> \
  -X POST "https://localhost:55000/security/user/authenticate?raw=true")

curl -sk -H "Authorization: Bearer $TOKEN" \
  "https://localhost:55000/agents?status=active&limit=10" | python3 -m json.tool
```

## Устранение неполадок

### Агент не подключается к менеджеру

1. Проверьте доступность портов 1514 и 1515 на менеджере:
   ```bash
   nc -zv <IP_МЕНЕДЖЕРА> 1514
   nc -zv <IP_МЕНЕДЖЕРА> 1515
   ```

2. Проверьте лог агента:
   ```bash
   cat /var/ossec/logs/ossec.log | tail -30    # Linux/macOS
   type "C:\Program Files (x86)\ossec-agent\ossec.log"  # Windows
   ```

3. Убедитесь, что IP менеджера корректно указан в `ossec.conf`

### Ошибка аутентификации

- Убедитесь, что пароль регистрации совпадает на агенте и менеджере
- Проверьте лог менеджера: `cat /var/ossec/logs/ossec.log | grep -i "error\|auth"`
- При необходимости удалите агент с менеджера и повторите регистрацию:
  ```bash
  /var/ossec/bin/manage_agents -r <AGENT_ID>
  ```

### Несовпадение версий

Если версия агента выше версии менеджера, агент может работать некорректно. Проверьте версии:

```bash
# На агенте
/var/ossec/bin/wazuh-control info | grep version

# На менеджере
/var/ossec/bin/wazuh-control info | grep version
```

### Агент не отправляет данные

- Проверьте статус службы:
  ```bash
  systemctl status wazuh-agent    # Linux
  sc query WazuhSvc               # Windows
  ```
- Убедитесь, что агент зарегистрирован: проверьте наличие файла `/var/ossec/etc/client.keys`
- Перезапустите агент:
  ```bash
  systemctl restart wazuh-agent   # Linux
  NET STOP WazuhSvc && NET START WazuhSvc  # Windows
  ```

## Отключение автоматических обновлений

**Ubuntu / Debian:**

```bash
sed -i "s/^deb /#deb /" /etc/apt/sources.list.d/wazuh.list
apt-get update
```

**CentOS / RHEL:**

```bash
sed -i "s/^enabled=1/enabled=0/" /etc/yum.repos.d/wazuh.repo
```

## Дальнейшие шаги

- [Архитектура Wazuh](/docs/wazuh/getting-started/wazuh-architecture/) - понимание взаимодействия компонентов
- [Компоненты Wazuh](/docs/wazuh/getting-started/wazuh-components/) - подробное описание агента и сервера
- [Удаление Wazuh](/docs/wazuh/installation/wazuh-uninstalling/) - корректное удаление агента