Graylog

Graylog centraliza los logs del entorno: recibe los eventos de los firewalls OPNsense y del Wazuh Manager (vía Kafka), los indexa en OpenSearch y escala las alertas críticas a TheHive.

Parámetro	Valor
VM	102 · graylog
Redes	prod0 + log0
IP (prod0)	172.17.33.153
Acceso	http://172.17.33.153:9000/
Otros puertos	Kafka 9092 (broker, sin interfaz web)
Versión probada	Graylog 6.3.4-1
Depende de	OpenSearch arrancado y en green

Arranque

qm start 102
qm status 102

Validación

No basta con que la VM figure como running en Proxmox: estas comprobaciones confirman que el componente funciona correctamente y se comunica con el resto del entorno.

Dentro de la VM:

systemctl status graylog-server
ss -lntup
curl -I http://172.17.33.153:9000/

Desde la interfaz web o la API, verifica:

• el nodo aparece running, alive y procesando mensajes;
• los inputs OPNSense y Wazuh están en estado RUNNING;
• existen los index sets TheHive, OPNSense FW y wazuh_all;
• los streams están habilitados;
• existe la definición de evento graylog2thehive - CRITICAL;
• existen las notificaciones Kafka graylog-alerts y Thehive;
• hay un índice activo creado en OpenSearch;
• no hay fallos de indexación nuevos (no confundas fallos históricos conservados por el backup con fallos posteriores al arranque: compara las marcas de tiempo).

La validación de las notificaciones hacia TheHive queda pendiente hasta que TheHive esté arrancado.

Configuración aplicada

La configuración siguiente ya viene aplicada en el backup. Úsala para verificar el estado restaurado o para reconstruirla si fuera necesario.

Inputs

Dos inputs configurados en System → Inputs:

• OPNSense: recibe los logs de los dos firewalls OPNsense — el perimetral (WAN) y el de los laboratorios internos.
• Wazuh: recibe los eventos procesados por el Wazuh Manager, enviados a través de Kafka.

System → Inputs: input OPNsense.

System → Inputs: input Wazuh.

Index sets

En System → Indices hay tres index sets, uno por origen de datos:

Index set TheHive.

Index set OPNSense FW.

Index set wazuh_all.

Streams

Los streams clasifican y enrutan los mensajes entrantes según su origen: OPNSense FW, Thehive y Wazuh.

Casing literal, no erratas

Los nombres de objetos en Graylog no siguen un casing consistente entre sí (herencia de cómo se configuraron originalmente): el index set se llama TheHive (H mayúscula) pero el stream y la notificación asociados se llaman Thehive (h minúscula); el input y el stream del firewall usan OPNSense (S mayúscula). Los nombres de esta página son literales, tal como aparecen en la interfaz — no los corrijas al reconstruirlos.

Streams configurados.

Alertas y escalado a TheHive

En Alerts → Notifications existen dos notificaciones: Kafka graylog-alerts y Thehive.

Alerts → Notifications.

Sobre ellas se apoya la definición de evento graylog2thehive - CRITICAL, que envía las alertas críticas a TheHive:

Alerts → Event Definitions → graylog2thehive - CRITICAL.

Detalles del evento: prioridad Critical.

El filtro que dispara el evento:

rule_level:[10 TO 15] OR rule_description:"SQL injection attempt."

Filter & Aggregation del evento.

La definición añade campos personalizados que viajan con la alerta hacia TheHive: Destination_IP, Full_log, ID, Mitre y Source_IP.

Campos personalizados del evento.

Notificaciones asociadas al evento.

Credenciales

Acceso	Usuario	Contraseña
Consola/su	root	Root.Graylog
SSH	lab	Lab.Graylog
Web (9000)	admin	Admin.Graylog
Web (9000)	analista	Analista.Graylog

Cambia las credenciales por defecto

Cambia estas credenciales inmediatamente después de validar el despliegue.

Siguiente paso

Con Graylog procesando, continúa con Wazuh y Velociraptor.