QCoreTShield SIEM

Introducción

Centraliza logs de endpoints, servidores, autenticación y red. Login inicial: usuario admin — cámbialo en producción.

Requiere agentes en PCs Windows/Linux con el instalador QCoreTShield o paquete del agente SIEM.

Agentes

Cada endpoint envía eventos al manager en puertos 1514 (datos) y 1515 (registro).

En Wazuh 4.9.x los agentes están en el menú lateral:

Server management → Endpoints Summary

Enlace directo desde el portal SOC: pestaña SIEM → botón Ver agentes.

URL: /siem/app/wazuh#/manager/?tab=agent (no uses /siem/app/endpoints — no existe en 4.9.2).

Verifica que el agente aparece Active tras instalar en el PC.

Linux (manual)

WAZUH_MANAGER="shield.qcoret.com" WAZUH_REGISTRATION_SERVER="shield.qcoret.com" \
WAZUH_REGISTRATION_PASSWORD="<enrollment>" bash -c "$(curl -L https://packages.wazuh.com/4.x/wazuh-install.sh)"

Enrollment

La contraseña de enrollment está en .env del servidor (WAZUH_AGENT_ENROLLMENT_PASSWORD).

El instalador Windows la solicita en el wizard. Debe coincidir con la del manager.

Dashboards

Visualiza MITRE, vulnerabilidades, FIM y eventos de seguridad. Personaliza paneles por cliente o vertical.

Reglas y alertas

Ajusta decoders y reglas según criticidad. Integra notificaciones por correo o webhook hacia operaciones@qcoret.com.

Correlaciona alertas DNS con query log: DNS Query log

Integrity monitoring

File Integrity Monitoring (FIM) detecta cambios en binarios y configuraciones críticas del sistema.