Zuletzt aktualisiert: 13.08.2026 · Lesezeit: 7-9 Minuten
Was kann Wazuh konkret leisten? Leander zeigt in diesem Artikel, wie die Open Source Sicherheitsplattform Events verarbeitet, welche Module sie mitbringt und wie sich das in typischen Alltagsszenarien zusammenfügt. Im ersten Teil dieser Blogserie hat er grob eingeordnet, was Wazuh ist und wozu es verwendet wird. In diesem zweiten Teil geht es darum, ein Gefühl dafür zu bekommen, was mit Wazuh möglich ist und ein technisches Verständnis dafür aufzubauen, wie es das tut.
Das Wichtigste in 30 Sekunden
- Wazuh verarbeitet Events in der Kette Logs → Decoder → Regeln → Alert oder Archiv; erst ein Regeltreffer macht aus einem Event einen Alert mit Loglevel.
- Kernmodule sind File Integrity Monitoring, Security Configuration Assessment, Logcollector, Syscollector, Vulnerability Detector, Active Response sowie Cloud-Module für AWS, Azure und Google Cloud.
- Über Active Response reagiert Wazuh nicht nur mit einem Alert im Dashboard, sondern kann automatisiert Skripte ausführen – etwa um eine angreifende IP per Firewall-Regel zu blockieren.
Wie Wazuh Ereignisse verarbeitet
Bevor man sich die einzelnen Features anschaut, hilft ein Blick darauf, wie Wazuh Events verarbeitet. In kurz verläuft es so: Logs → Decoder → Regeln → Alerts oder Archiv. Im Weiteren gehe ich hierauf noch etwas genauer ein.
Auf den überwachten Systemen sammelt der Wazuh Agent die Daten ein – durch seine verschiedenen Module. Diese Daten werden an den Wazuh Manager geschickt, der sie zunächst in ein einheitliches Format bringt. Hier spricht man üblicherweise von der Normalisierung der Logdaten. Genau hier kommen die Decoder ins Spiel: Sie „verstehen“ die Struktur der eingehenden Logs (zum Beispiel Syslog, SSH-Logs, Webserver-Logs) und zerlegen sie in Felder wie Zeitstempel, Quelle, Benutzer, Aktion usw..
Auf die dekodierten Events wendet Wazuh dann Regeln an. Für sowohl die Regeln als auch den Decoder wird Regex für die Filterung verwendet. In diesen Regeln ist definiert, was als unauffällig, verdächtig oder kritisch gilt – zum Beispiel „mehrere fehlgeschlagene Login-Versuche in kurzer Zeit“ oder „Änderung einer sensiblen Konfigurationsdatei“. Passt ein Event zu einer Regel, bekommt es ein Level (eine Art Schweregrad) zugewiesen und wird zum Alert. Im Falle, dass keine Regel greift, wird das Event archiviert. Per Default werden archivierte Events nur auf Fileebene abgelegt und nicht an den Wazuh Indexer geschickt. Eine Weiterleitung an den Wazuh Indexer kann eingerichtet werden. Mit dieser Verhaltensweise grenzt sich Wazuh stark von herkömmlichen Log-Management Lösungen ab. Ein Alert ist also erst einmal nur ein Event, wo eine Regel gegriffen hat und dem ein Loglevel hinzugefügt wurde.
Alerts werden im Wazuh-Dashboard graphisch dargestellt. Hierzu gibt es vorgefertigte Dashboards und die Möglichkeit, sich eigene zu bauen. Alerts können wiederum Benachrichtigungen z.B. per Mail auslösen, damit das Securityteam direkt über Vorfälle ab einem gewissen Level Bescheid weiß. Auch können sogenannte Active Response getriggert werden, diese führen dann vordefinierte Scripts aus, um das Sicherheitsproblem aktiv zu beheben.
Wazuh-Module im Überblick
Nachdem wir nun verstanden haben, wie Wazuh arbeitet, möchte ich hier die wichtigsten Module/Feautures von Wazuh vorstellen.
Diese sorgen dafür, dass man sehr schnell mit der Security-Analyse beginnen kann, indem sie Fähigkeiten, Decoder und Rules liefern. Viele typische Anforderungen werden damit schon abgedeckt.
Im Folgenden stelle ich dir die wichtigsten Module kurz vor und gebe jeweils ein kleines Praxisbeispiel dazu.
File Integrity Monitoring (FIM)
Das File Integrity Monitoring überwacht Dateien und Verzeichnisse auf Änderungen. Wazuh berechnet dazu Prüfsummen (Hashes) von wichtigen Dateien – etwa Konfigurationsdateien, Systembinaries oder Skripten – und merkt sich deren Zustand. Ändert sich etwas, registriert Wazuh das und erzeugt ein entsprechendes Event. Ein typischer Einsatz ist die Überwachung von /etc auf Linux-Servern oder kritischen Konfigurationsverzeichnissen von Anwendungen. So siehst du sehr schnell, wenn jemand eine SSH-Konfiguration, eine Webserver-Config oder ein wichtiges Skript unerwartet verändert hat.
Security Configuration Assessment (SCA)
Mit Security Configuration Assessment prüft Wazuh, ob Systeme bestimmte Sicherheitsrichtlinien einhalten. Die Checks sind in YAML-Policies definiert, zum Beispiel angelehnt an CIS Benchmarks oder andere Hardening-Guidelines. Der Agent vergleicht den Ist-Zustand des Systems – etwa Passwort-Policy, offene Dienste, Berechtigungen – mit den definierten Vorgaben und meldet Abweichungen. So lässt sich recht einfach feststellen, ob beispielsweise ein Linux-Server den gewünschten Mindeststandard an Härtung erfüllt. Ein konkreter Anwendungsfall wäre eine Umgebung, in der du alle Linux-Server gegen einen Satz von CIS-ähnlichen Vorgaben prüfen möchtest, ohne jedes System einzeln anfassen zu müssen.
Logcollector-Modul
Das Logcollector-Modul kümmert sich um das Einsammeln der Logs auf dem Agenten. Es liest Logdateien (z. B. in /var/log), kann Journald-Einträge verarbeiten und auf Windows die Events aus dem Event Viewer holen. Auf Serverseite kann Wazuh darüber hinaus Syslog-Nachrichten direkt entgegennehmen, etwa von Firewalls, Switches oder anderen Appliances. Damit dient der Logcollector als „Einfallstor“ für sehr viele unterschiedliche Quellen – egal ob klassische Server-Logs, Netzwerkgeräte oder spezialisierte Appliances. In der Praxis bedeutet das: Du hast eine zentrale Stelle, an der alles zusammenläuft.
Command-Modul
Das Command-Modul ermöglicht es, auf den Agenten definierte Kommandos auszuführen und deren Ausgabe an den Server zu schicken. Das können zum Beispiel ps, netstat oder andere Diagnosebefehle sein. Spannend wird das, wenn du bestimmte Kommandos regelmäßig oder ereignisbasiert ausführen lässt, um zusätzliche Informationen zu sammeln. Ein Beispiel wäre: Wenn eine verdächtige Netzwerkverbindung erkannt wird, lässt du automatisch netstat laufen und bekommst Kontext dazu, welcher Prozess dahintersteckt.
Syscollector-Modul
Das Syscollector-Modul sammelt Inventar- und Konfigurationsinformationen vom jeweiligen Agenten ein. Dazu gehören unter anderem installierte Pakete, laufende Prozesse, offene Ports, Netzwerkschnittstellen und bestimmte Hardware-Infos.
Auf dem Server entsteht so eine zentrale Übersicht, welche Software-Versionen auf welchen Systemen laufen, welche Dienste aktiv sind und wie sich die Umgebung über die Zeit verändert. Das ist nicht nur für Security spannend, sondern auch für klassisches Asset- und Patch-Management.
Vulnerability Detector
Der Vulnerability Detector prüft die auf einem System installierte Software gegen bekannte Schwachstellen. Dazu nutzt Wazuh verschiedene Feeds, zum Beispiel NVD oder distributionsspezifische Datenbanken von Red Hat, Debian und anderen.
Praktisch sieht das so aus: Der Agent meldet, welche Pakete und Versionen installiert sind; der Vulnerability Detector gleicht das mit den CVE-Datenbanken ab und erzeugt Alerts, wenn bekannte Sicherheitslücken gefunden werden. Damit bekommst du einen ersten Überblick, welche Systeme dringenden Patch-Bedarf haben.
Wazuh in deiner Umgebung aufsetzen?
Unsere Consultants bringen Wazuh von der Pilotumgebung bis zum produktiven Betrieb inklusive Anbindung an bestehende Monitoring- und Alerting-Prozesse.
Jetzt beraten lassen →
Active Response
Mit Active Response kann Wazuh auf bestimmte Events automatisch reagieren. Das Modul führt Skripte auf überwachten Endpunkten aus, wenn eine Warnung mit einer bestimmten Regel-ID, einem bestimmten Level oder aus einer bestimmten Regelgruppe ausgelöst wird.
Ein typisches Beispiel ist der Umgang mit SSH-Brute-Force-Angriffen: Erkennt Wazuh anhand seiner Regeln ungewöhnlich viele fehlgeschlagene Login-Versuche von einer IP-Adresse, kann automatisch ein Skript gestartet werden, das eine Firewall-Regel anlegt und diese IP blockiert. So wird aus bloßem Erkennen direkt ein Gegensteuern.
Cloud-Module
Neben klassischen On-Prem-Systemen kann Wazuh auch Events aus Cloud-Umgebungen auswerten. Es gibt Integrationen für AWS, Azure und Google Cloud, die Logs und Events von Cloud-Diensten und -Instanzen einsammeln und analysieren.
Damit lassen sich zum Beispiel IAM-Änderungen, API-Calls oder sicherheitsrelevante Ereignisse aus Cloud-Workloads in dasselbe Monitoring integrieren wie die On-Prem-Server. Für viele Umgebungen, die zunehmend hybrid unterwegs sind, wird das immer wichtiger.
Konkrete Use Cases aus dem Alltag
Zum Abschluss ein paar Beispiele, wie sich diese Bausteine in der Praxis anfühlen können.
1. SSH-Brute-Force erkennen und automatisch blocken
Stell dir vor, du betreibst mehrere Linux-Server mit öffentlich erreichbarem SSH. Regelmäßig laufen automatisierte Scans und Brute-Force-Versuche gegen diese Hosts. Der Wazuh Agent sammelt die SSH-Logs ein, Decoder und Regeln erkennen verdächtige Login-Muster, zum Beispiel viele Fehlversuche in kurzer Zeit von derselben IP.
Wazuh erzeugt nicht nur einen Alert im Dashboard, sondern triggert über Active Response ein Skript, das die angreifende IP per Firewall-Regel blockiert. Du siehst im Dashboard, was passiert ist, und gleichzeitig wird der Angriff aktiv eingedämmt, ohne dass du manuell eingreifen musst.
2. Überblick über Konfigurations- und Compliance-Status
In vielen Unternehmen gibt es Vorgaben, wie ein Server „aussehen“ soll. Passwort-Policy, Logging-Einstellungen, abgeschaltete Dienste usw. Mit SCA kannst du definieren (oder vorhandene Policies nutzen), wie ein System konfiguriert sein sollte. Der Agent prüft regelmäßig den Ist-Zustand und meldet Abweichungen.
Zusammen mit Syscollector entsteht so ein recht klares Bild: Welche Server entsprechen der Policy, wo gibt es Schwachstellen, wo laufen vielleicht noch alte Dienste. Für Audits oder Zertifizierungen kannst du diese Informationen nutzen, um nachzuweisen, dass du deine Systeme regelmäßig gegen definierte Standards prüfst.
3. Schwachstellen im eigenen Bestand identifizieren
Angenommen, du verwaltest eine Mischung aus Linux- und Windows-Systemen mit unterschiedlichsten Applikationen. Irgendwo taucht eine kritische CVE für eine weit verbreitete Bibliothek oder ein Webframework auf. Anstatt mühsam per Hand herauszufinden, welche Systeme betroffen sein könnten, nutzt du den Vulnerability Detector.
Das Modul gleicht die Inventardaten aus Syscollector mit den Schwachstellenfeeds ab und zeigt dir, wo genau die verwundbaren Versionen laufen. Du kannst deine Patch-Aktivitäten priorisieren und siehst im Nachgang, ob und wo die Lücke noch offen ist.
Mit diesen Beispielen solltest du eine bessere Vorstellung haben, was Wazuh im Alltag konkret leisten kann, von der Log-Sammlung über die Bewertung von Security-Events bis hin zu automatischen Reaktionen. In weiteren Teilen der Serie könnte man dann tiefer in einzelne Module oder typische Architektur-Setups einsteigen, etwa wie man eine Pilotumgebung aufbaut oder Wazuh in bestehende Monitoring-Landschaften integriert.
