Integracion Windows Defender con Wazuh SIEM

1. Introduccion

Esta guia integra Windows Defender con Wazuh SIEM a traves del agente Wazuh instalado en el propio endpoint. A diferencia de otras integraciones (por ejemplo, la de un firewall por syslog), aqui no hace falta construir un decoder ni un conjunto de reglas propio: Wazuh trae de fabrica el decoder windows_eventchannel y un ruleset completo para Windows Defender.

2. Variables de esta guia

Todos los bloques de configuracion usan los siguientes marcadores en MAYUSCULAS. Sustituyelos por los valores reales del entorno donde se aplique esta guia.

3. Arquitectura y flujo

[WINDOWS DEFENDER]
  Detecta malware o EICAR
        |
        v
[REGISTRO DE EVENTOS DE WINDOWS]
  Canal: Microsoft-Windows-Windows Defender/Operational
        |
        v
[WAZUH AGENT]   NOMBRE_AGENTE_WINDOWS
  localfile, log_format eventchannel
        |
        v
[WAZUH MANAGER]   IP_WAZUH_MANAGER
  Decoder y reglas ya incluidos (windows_eventchannel, 0600-win-wdefender_rules.xml)
        |
        v
[WAZUH INDEXER]   (OpenSearch, almacena las alertas)
        |
        v
[WAZUH DASHBOARD]
  Discover / Threat hunting

A diferencia de una integracion por syslog, aqui el evento si llega asociado a un agente con nombre propio, no al manager (agent.id: "000"), porque pasa por el agente Wazuh instalado localmente en el endpoint Windows.

4. Requisitos

• Endpoint Windows 10/11 con agente Wazuh instalado y conectado al manager.
• Wazuh Manager 4.14.x instalado y en ejecucion.
• Windows Defender activo, con proteccion en tiempo real habilitada.
• Acceso administrador al endpoint Windows (PowerShell como administrador) y al Wazuh Dashboard.

5. Configuracion individual en un agente

Antes de desplegar a un grupo entero, conviene validar el montaje en un solo equipo. Abre en el agente:

C:\Program Files (x86)\ossec-agent\ossec.conf

Añade este bloque dentro de <ossec_config>:

<localfile>
  <location>Microsoft-Windows-Windows Defender/Operational</location>
  <log_format>eventchannel</log_format>
</localfile>

Reinicia el servicio del agente para aplicar el cambio (aqui si hace falta, es configuracion local):

Restart-Service -Name WazuhSvc
Get-Service -Name WazuhSvc

Comprueba que el canal existe y esta habilitado a nivel de Windows:

Get-WinEvent -ListLog "Microsoft-Windows-Windows Defender/Operational" | Select-Object LogName, IsEnabled, RecordCount

6. Verificacion en el Wazuh Manager

En el manager, en /var/ossec/etc/ossec.conf, dentro de <global>:

<logall>yes</logall>
<logall_json>yes</logall_json>

sudo systemctl restart wazuh-manager

Buena practica: primero confirma que fluyen eventos en bruto sin filtrar, y solo despues añade el filtro:

sudo tail -f /var/ossec/logs/archives/archives.json
# una vez confirmado que fluye:
sudo tail -f /var/ossec/logs/archives/archives.json | grep -i "windows defender"

7. Generar la primera alerta: prueba EICAR

El archivo EICAR es el estandar universal para probar antivirus (no es malware real, es una cadena de texto reconocida por firma):

$eicar = 'X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*'
Set-Content -Path "C:\Users\$env:USERNAME\Downloads\eicar-test.com" -Value $eicar

Si no salta, comprueba que la proteccion en tiempo real este activa:

Get-MpComputerStatus | Select-Object AMRunningMode, RealTimeProtectionEnabled, AntivirusEnabled

8. Tabla de reglas relevantes

9. Despliegue centralizado desde el Wazuh Dashboard

Con el montaje ya validado en un agente, el despliegue real a todo un grupo se hace asi, sin acceso por SSH al manager:

1. Menu → Agents management → Groups
2. Si el grupo no existe: Add new group → nombre NOMBRE_GRUPO_WINDOWS
3. Selecciona el grupo → Manage agents → añade los agentes Windows → Apply changes
4. Dentro del grupo, pestaña Files → Edit group configuration
5. Pega el bloque XML y guarda

<agent_config>
  <localfile>
    <location>Microsoft-Windows-Windows Defender/Operational</location>
    <log_format>eventchannel</log_format>
  </localfile>
</agent_config>

10. Verificar que se aplico la configuracion

A diferencia del metodo manual (paso 5), aqui no hace falta reiniciar el servicio: el agente aplica la configuracion de grupo solo, en el siguiente keepalive (unos segundos). Tres formas de confirmarlo, de mas a menos directa:

a) En el propio agente Windows

Revisa que el bloque llego al archivo combinado que envia el manager:

Get-Content "C:\Program Files (x86)\ossec-agent\shared\merged.mg" | Select-String "Defender"

b) En el log del propio agente

Busca la confirmacion de que recargo por configuracion compartida:

Get-Content "C:\Program Files (x86)\ossec-agent\ossec.log" -Tail 50 | Select-String "shared configuration"

Deberias ver una linea similar a Agent is reloading due to shared configuration changes.

c) Desde el manager, vía API (Dev Tools del propio Dashboard)

Consulta el estado de sincronizacion del grupo para ese agente:

GET /agents?agents_list=ID_DEL_AGENTE&select=group_config_status

11. Prueba EICAR tras el despliegue centralizado

Repite la prueba de la seccion 7 en un agente que solo recibio la configuracion por el grupo, sin tocarla a mano. Si la alerta 62123 aparece igual que antes, el despliegue centralizado queda demostrado de extremo a extremo.

12. Errores comunes y como resolverlos

13. Notas de ampliacion

El montaje de esta guia cubre la deteccion basica y su despliegue a escala. Para un entorno mas completo se puede ampliar con:

• Sysmon combinado con Defender: Defender dice que detecto, Sysmon dice que proceso lo trajo (proceso padre, linea de comandos, red).
• Active response: aislar el equipo de la red o notificar a Slack/email automaticamente cuando salte una regla de nivel ≥ 12.
• YARA como capa adicional, solo para detectar lo que Defender no ve (malware personalizado, hunting proactivo) — complementario, no sustituto.
• Visualizacion dedicada en el Dashboard: un panel filtrado por rule.groups: windows_defender, separado del resto de telemetria Windows.