BSI: IT-Sicherheitsempfehlungen<\/a>.<\/p>\n\n\n\nFAQ: Wazuh SIEM<\/h2>\n\n\n\nIst Wazuh wirklich kostenlos, oder gibt es versteckte Kosten?<\/h3>\n\n\n\n
Wazuh ist vollst\u00e4ndig Open Source unter der GPL-2.0-Lizenz. Das gilt f\u00fcr alle Komponenten: Manager, Indexer, Dashboard und Agenten. Es gibt keine Agentenlizenzen, keine Datenmengen-Beschr\u00e4nkungen und keine kommerziellen Features hinter einer Paywall. Wazuh Inc. bietet kommerzielle Support-Pakete an, die Hosting, professionellen Support und dedizierte Threat-Intelligence-Feeds einschlie\u00dfen. Die Software selbst bleibt ohne jede Einschr\u00e4nkung kostenlos nutzbar.<\/p>\n\n\n\n
Wie viele Agenten kann ein einzelner Wazuh-Server verwalten?<\/h3>\n\n\n\n
Ein Single-Node-Wazuh-Server mit 8 CPU-Kernen und 16 GB RAM verwaltet nach Wazuh-Dokumentation zuverl\u00e4ssig bis zu 500 Agenten. Mit einem Manager-Cluster (Master + Worker) skaliert Wazuh auf \u00fcber 100.000 Agenten. Der Wazuh-Indexer ist der Flaschenhals bei der Skalierung; f\u00fcr mehr als 1.000 Agenten empfiehlt Wazuh einen 3-Knoten-OpenSearch-Cluster mit dedizierten Coordinator-Nodes.<\/p>\n\n\n\n
Kann Wazuh einen kommerziellen EDR ersetzen?<\/h3>\n\n\n\n
Wazuh liefert viele Kernfunktionen eines EDR: Prozess\u00fcberwachung, FIM, Schwachstellenerkennung und Active Response. F\u00fcr KMUs ist es ein vollwertiger EDR-Ersatz. Enterprise-EDR-Produkte wie CrowdStrike Falcon oder SentinelOne bieten dar\u00fcber hinaus ML-basierte Verhaltensanalyse, automatische Forensik-Snapshots und integrierte Threat-Intelligence-Feeds mit IOC-Matching in Echtzeit. Wazuh l\u00e4sst sich mit MISP oder OTX-Threat-Intelligence-Feeds erweitern, erfordert aber mehr Konfigurationsaufwand als kommerzielle L\u00f6sungen.<\/p>\n\n\n\n
Wie lange dauert die Einrichtung in einem Unternehmensumfeld realistisch?<\/h3>\n\n\n\n
Die reine Server-Installation dauert 45 Minuten. Das Onboarding der ersten 10 Agenten ben\u00f6tigt weitere 1-2 Stunden. Die Erstanpassung der Regelkonfiguration an die Unternehmensumgebung (False-Positive-Tuning, eigene Regelkonfiguration, Integrations-Setup) dauert in einem 50-Personen-Unternehmen typischerweise 2 bis 3 Werktage. Die laufende Pflege betr\u00e4gt ca. 2 bis 4 Stunden pro Woche f\u00fcr einen erfahrenen Administrator.<\/p>\n\n\n\n
Kann Wazuh Cloud-Dienste wie AWS CloudTrail \u00fcberwachen?<\/h3>\n\n\n\n
Ja. Wazuh hat eingebaute Module f\u00fcr AWS CloudTrail, AWS S3, AWS Config, AWS GuardDuty, Azure Active Directory, Azure Log Analytics, Azure Activity und Google Cloud Pub\/Sub. Die Protokolle werden direkt \u00fcber die jeweiligen Cloud-APIs abgeholt, ohne einen Agenten auf Cloud-Infrastruktur zu ben\u00f6tigen. F\u00fcr Microsoft 365 gibt es das Microsoft Graph API-Modul, das Teams-, Exchange- und SharePoint-Aktivit\u00e4ten erfasst.<\/p>\n\n\n\n
Wazuh versteht nativ \u00fcber 400 Protokollformate: Syslog (RFC 3164 und 5424), Apache\/Nginx\/IIS-Zugriffsprotokolle, Windows Event Log (EVTX und XML), MySQL\/PostgreSQL Query Logs, Cisco IOS, Palo Alto PAN-OS, Fortinet FortiGate, Auditd, Suricata-EVE-JSON, Zeek (fr\u00fcher Bro), OpenVPN und viele mehr. F\u00fcr unbekannte Formate definierst du eigene Decoder mit regul\u00e4ren Ausdr\u00fccken in \/var\/ossec\/etc\/decoders\/local_decoder.xml<\/code>.<\/p>\n\n\n\nWie sichere ich das Wazuh-Dashboard gegen unbefugten Zugriff ab?<\/h3>\n\n\n\n
Das Dashboard l\u00e4uft standardm\u00e4\u00dfig auf Port 443 mit einem selbst signierten Zertifikat. Empfohlene H\u00e4rtungsma\u00dfnahmen: Erstens, ersetze das selbst signierte Zertifikat durch ein Let’s-Encrypt- oder Unternehmens-CA-Zertifikat. Zweitens, aktiviere TOTP-basierte Zwei-Faktor-Authentifizierung \u00fcber das OpenSearch Security Plugin. Drittens, beschr\u00e4nke den Dashboard-Zugriff per iptables oder Nginx Reverse Proxy auf definierte Admin-IP-Ranges. Viertens, \u00e4ndere alle Standard-Credentials aus der Passwortdatei unmittelbar nach der Installation und setze starke Passw\u00f6rter (min. 24 Zeichen).<\/p>\n","protected":false},"excerpt":{"rendered":"
Wazuh SIEM erkennt Angriffe, die andere Tools \u00fcbersehen. Das quelloffene Security-Information-and-Event-Management-System verarbeitet Protokolle von Tausenden Endpunkten, korreliert Ereignisse in Echtzeit und liefert Alerts nach dem MITRE ATT&CK-Framework. In diesem Tutorial\u2026<\/p>\n","protected":false},"author":9,"featured_media":265,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[3],"tags":[],"class_list":["post-264","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-security"],"_links":{"self":[{"href":"https:\/\/shattered.io\/de\/wp-json\/wp\/v2\/posts\/264","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/shattered.io\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/shattered.io\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/shattered.io\/de\/wp-json\/wp\/v2\/users\/9"}],"replies":[{"embeddable":true,"href":"https:\/\/shattered.io\/de\/wp-json\/wp\/v2\/comments?post=264"}],"version-history":[{"count":1,"href":"https:\/\/shattered.io\/de\/wp-json\/wp\/v2\/posts\/264\/revisions"}],"predecessor-version":[{"id":266,"href":"https:\/\/shattered.io\/de\/wp-json\/wp\/v2\/posts\/264\/revisions\/266"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/shattered.io\/de\/wp-json\/wp\/v2\/media\/265"}],"wp:attachment":[{"href":"https:\/\/shattered.io\/de\/wp-json\/wp\/v2\/media?parent=264"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/shattered.io\/de\/wp-json\/wp\/v2\/categories?post=264"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/shattered.io\/de\/wp-json\/wp\/v2\/tags?post=264"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}