Wofür eignet sich Wazuh?
Wazuh ist eine freie Sicherheitsplattform für zentrale Ereignisüberwachung, Datei-Integritätskontrolle und Erkennung verdächtiger Aktivitäten. Auf den zu überwachenden Servern läuft ein Agent; zentral wertet ein Wazuh-Server die Daten aus und speichert sie im Indexer, während das Dashboard die Ergebnisse anzeigt.
Wazuh ist kein Ersatz für Updates, Backups oder eine Firewall. Es hilft vor allem dabei, sicherheitsrelevante Ereignisse über mehrere Systeme hinweg sichtbar zu machen. Für einen einzelnen Server ist es oft einfacher, mit Systemlogs und Lynis zu beginnen; der Nutzen von Wazuh steigt, wenn mehrere Hosts zentral überwacht werden sollen.
Kleine Testinstallation
Die offizielle Quickstart-Anleitung installiert Manager, Indexer und Dashboard gemeinsam auf einem Host. Das ist für einen Test oder eine kleine Umgebung geeignet, nicht automatisch die richtige Produktionsarchitektur. Laut Wazuh reichen die Quickstart-Ressourcen für bis zu 100 Agents; die Empfehlung für 1–25 Agents beginnt bei 4 vCPU, 8 GiB RAM und 50 GB Speicher.
Auf einem unterstützten 64-Bit-Linux-Testserver folgen Sie der aktuellen Quickstart-Anleitung. Der dort aufgeführte Installationsassistent installiert die zentralen Komponenten:
curl -sO https://packages.wazuh.com/4.14/wazuh-install.sh
less wazuh-install.sh
sudo bash ./wazuh-install.sh -a
Prüfen Sie vor dem Ausführen, dass Sie das Skript von der offiziellen Wazuh-Domain geladen haben, und gleichen Sie Version und Vorgehen mit der aktuellen Dokumentation ab. Die angezeigten Dashboard-Zugangsdaten gehören in einen Passwortmanager, nicht in Tickets oder Shell-Historien. Das Dashboard sollte nicht ungeschützt aus dem Internet erreichbar sein.
Einen Linux-Agent anbinden
Der Agent gehört auf den Server, dessen Ereignisse Sie erfassen wollen. Er übermittelt Daten über einen verschlüsselten und authentifizierten Kanal an den Manager. Auf einem Ubuntu- oder Debian-Agenten fügen Sie zuerst das signierte Wazuh-Paket-Repository hinzu:
sudo apt-get update
sudo apt-get install gnupg apt-transport-https
curl -s https://packages.wazuh.com/key/GPG-KEY-WAZUH | sudo gpg --no-default-keyring --keyring gnupg-ring:/usr/share/keyrings/wazuh.gpg --import
sudo chmod 644 /usr/share/keyrings/wazuh.gpg
echo "deb [signed-by=/usr/share/keyrings/wazuh.gpg] https://packages.wazuh.com/4.x/apt/ stable main" | sudo tee /etc/apt/sources.list.d/wazuh.list
sudo apt-get update
Installieren und starten Sie den Agenten mit der internen Adresse Ihres Managers:
sudo WAZUH_MANAGER="wazuh.example.internal" apt-get install wazuh-agent
sudo systemctl daemon-reload
sudo systemctl enable --now wazuh-agent
sudo systemctl status wazuh-agent
Ersetzen Sie den Beispielnamen durch die interne Adresse Ihres Managers. Halten Sie die Agent-Verbindung auf die benötigten Server beschränkt und folgen Sie der Wazuh-Anleitung für Enrollment und Gruppen, statt den Manager-Port weltweit freizugeben.
Sinnvolle erste Konfiguration
Beginnen Sie mit einer kleinen Agent-Gruppe, prüfen Sie ob Logs und Systemereignisse ankommen und testen Sie einen Alarm mit einem unkritischen Testereignis. Aktivieren Sie nicht sofort jede verfügbare Regel: Zu viele unspezifische Meldungen führen zu Alarmmüdigkeit. Legen Sie fest, wer Warnungen bearbeitet, wie lange Daten gespeichert werden und welche Protokolle personenbezogene oder vertrauliche Informationen enthalten können.
Für produktive Installationen sollten Manager, Indexer und Dashboard nach den aktuellen Größen- und Sicherheitsanforderungen geplant werden. Der All-in-one-Assistent vereinfacht den Start, aber er ersetzt weder Kapazitätsplanung noch Zugriffsschutz, Backups und Update-Prozesse.