IT-Sicherheit
Wazuh
Wazuh ist eine quelloffene Security-Plattform, die SIEM und XDR vereint: ein Agent liefert Log-Analyse, Dateiintegrität, Schwachstellen- und Konfigurationsprüfung.
- SIEM + XDR, quelloffen
- Hostbasiert (HIDS-Wurzeln)
- FIM, SCA, CVE-Abgleich
- MITRE ATT&CK, Active Response
- Compliance-Mappings
Wazuh ist eine quelloffene Sicherheitsplattform, die zwei Welten verbindet: die zentrale Ereignis-Sammlung und -Korrelation eines SIEM und die endpunktnahe Erkennung und Reaktion in Richtung XDR. Sie ist 2015 als Fork des hostbasierten OSSEC entstanden und behält dessen HIDS-Charakter im Kern.
Dieser Artikel erklärt die vier Komponenten der Plattform, die Kernfunktionen von Log-Analyse über Dateiintegrität bis Schwachstellen- und Konfigurationsprüfung, das MITRE-ATT&CK-Mapping und die Compliance-Bezüge, die Integration mit netzbasierter Erkennung sowie die ehrliche Einordnung gegenüber kommerziellem EDR.
1. Vier Komponenten
Wazuh besteht aus vier Teilen: dem Agent auf den überwachten Endpunkten (Linux, Windows, macOS und weitere), der Ereignisse sammelt und verschlüsselt an den Server schickt; dem Server (Manager) als Analyse-Engine mit Decodern und Regelwerk; dem Indexer (einem OpenSearch-Fork) für die durchsuchbare Ablage; und dem Dashboard für Visualisierung, Threat Hunting und Berichte. Netzwerkgeräte ohne Agent lassen sich per Syslog oder SSH anbinden.
2. Kernfunktionen
Auf dieser Basis liefert Wazuh ein breites Funktionsbündel:
- Log-Analyse sammelt und normalisiert System- und Anwendungslogs, erkennt Muster über Decoder und Regeln.
- File Integrity Monitoring überwacht Dateien und Registry auf Änderungen, mit Baseline und Who-Data (wer hat geändert).
- Security Configuration Assessment prüft Endpunkte gegen Härtungs-Policies, weitgehend auf Basis der CIS-Benchmarks.
- Vulnerability Detection gleicht das Software-Inventar mit Schwachstellendaten ab (CVE-Abgleich, Querverweis Vulnerability Management).
- Active Response führt definierte Reaktionen aus (IP sperren, Datei entfernen, Konto deaktivieren), wahlweise mit automatischer Rücknahme.
3. MITRE ATT&CK und Compliance
Die Wazuh-Regeln sind mit MITRE-ATT&CK-Taktiken und -Techniken verknüpft, sodass das Dashboard erkannte Aktivitäten nach Angriffsmustern einordnet. Daneben bringt Wazuh Zuordnungen (Mappings) zu Regelwerken wie PCI DSS, HIPAA, NIST 800-53 und der DSGVO mit. Wichtig in der Darstellung: Solche Mappings erleichtern den Nachweis und die Prüfung, sie sind aber keine Zertifizierung und keine Garantie der Compliance.
Compliance-Mappings sind ein Werkzeug, kein Siegel. Wazuh hilft, Anforderungen nachzuweisen, die Verantwortung für ihre Erfüllung bleibt beim Betreiber.
4. Zusammenspiel mit netzbasierter Erkennung
Wazuh ist seinem Kern nach hostbasiert (HIDS, Querverweis IDS/IPS). Netzbasierte Erkennung ergänzt es, indem es die Alarme von Suricata (deren EVE-JSON-Datei) als Log-Quelle einliest und im Dashboard mit den Endpunkt-Ereignissen zusammenführt. So entsteht aus Host- und Netzsicht ein gemeinsames Bild.
Suricata-Alarme in Wazuh einlesen (ossec.conf, Agent)
<localfile>
<log_format>json</log_format>
<location>/var/log/suricata/eve.json</location>
</localfile>5. Skalierung
Wazuh läuft als All-in-One auf einem Server (für Tests und kleine Umgebungen) oder verteilt mit getrennten Komponenten und im Cluster für Hochverfügbarkeit und Last. Der größte Ressourcentreiber ist der OpenSearch-basierte Indexer: Er braucht für größere Umgebungen dedizierte Hardware oder ein Cluster. Diese Dimensionierung gehört früh eingeplant.
6. Abgrenzung zu EDR
Wazuh nähert sich mit Active Response und Telemetrie einem EDR an (eigener Artikel), ist aber kein vollwertiger Ersatz für kommerzielle EDR-Plattformen: Verwaltete Bedrohungsdaten mit Zusage, ausgereifte automatische Reaktions-Playbooks und die Tiefe der Verhaltensanalyse am Endpunkt liegen dort höher. Wazuh deckt dafür SIEM- und HIDS-Aufgaben breit, quelloffen und kostenfrei ab.
7. Stärken und Grenzen
| Stärken | Grenzen |
|---|---|
| Quelloffen (GPLv2), keine Lizenzkosten, Datenhoheit | OpenSearch-Indexer ist ressourcenhungrig |
| SIEM + HIDS + XDR-Ansätze in einer Plattform | Regelwerk erzeugt zunächst viele Fehlalarme (Tuning nötig) |
| FIM, SCA (CIS), CVE-Abgleich, Active Response | kein vollwertiges kommerzielles EDR |
| MITRE-ATT&CK-Mapping und Compliance-Zuordnungen | Mappings unterstützen, garantieren keine Compliance |
| Suricata-Integration, breite OS-Unterstützung | kein integriertes Case-Management/SOAR (externe Tools nötig) |
Häufige Fragen zu Wazuh
Beides ein Stück weit, im Kern aber ein hostbasiertes Security-Monitoring (HIDS) mit SIEM-Funktionen. Wazuh sammelt und korreliert Logs zentral (SIEM-Aufgabe) und bietet mit Active Response und Endpunkt-Telemetrie Ansätze von XDR/EDR. Es ist jedoch kein vollwertiger Ersatz für kommerzielle EDR-Plattformen, deren Verhaltensanalyse, verwaltete Bedrohungsdaten und automatisierte Reaktion tiefer gehen. Als quelloffene SIEM-/Monitoring-Basis mit Datenhoheit ist es sehr stark.
Nein. Wazuh bringt Zuordnungen (Mappings) seiner Regeln zu Standards wie PCI DSS, HIPAA, NIST 800-53 und der DSGVO mit und erleichtert damit Prüfung und Nachweis. Diese Mappings sind aber keine Zertifizierung und keine Garantie, dass die jeweilige Anforderung erfüllt ist. Die Verantwortung für die tatsächliche Umsetzung und den Nachweis bleibt beim Betreiber; Wazuh ist dabei ein unterstützendes Werkzeug.
Auch der Autor ist nur ein Mensch, dem Fehler unterlaufen können. Wenn in diesem Beitrag etwas nicht stimmt oder unklar ist, freuen wir uns über einen kurzen Hinweis über das Kontaktformular unten, wir prüfen und korrigieren das.
Der nächste Schritt
Wazuh im eigenen Haus richtig einsetzen?
Wir klären, ob und wie der Baustein zu Ihrer Infrastruktur passt, und sagen offen, wann sich der Aufwand lohnt und wann nicht.