Wazuh FIM: Полное руководство по настройке.Часть 2.Whodata Linux

Привет, безопасники! В этом видео мы углубляемся в модуль whodata в File Integrity Monitoring (FIM) Wazuh. Я расскажу, что такое whodata, почему он лучше других режимов, и подробно разберу настройку на Linux. Что внутри: Введение в whodata: реальное время + аудит (кто, когда, как изменил файлы). Audit mode: требования (auditd, плагины), конфигурация в ossec.conf, примеры правил, алерты с полями (user, effective_user, process). eBPF mode: преимущества (быстрее, без auditd), требования (kernel 5.8+), настройка с queue_size, fallback на audit. Примеры: мониторинг /etc/ssh/sshd_config, визуализация алертов в дашборде. Это must-have для compliance (PCI DSS, HIPAA) и расследований инцидентов. Подходит системным админам, DevOps и специалистам по безопасности. Ссылки на документацию: