Categoria: Seguretat
Wazuh gestionat: SIEM i detecció d'amenaces en la vostra infraestructura
Un SIEM de codi obert que recull els esdeveniments dels vostres servidors, detecta el que no quadra i us avisa sense colgar-vos d'alertes, muntat al vostre compte i descrit en codi.
- On es munta
- Al vostre compte, a nom vostre
- Còpies
- Amb restauració provada
- Actualitzacions
- Planificades i documentades
- Llicència
- Open source, GPLv2 (l'indexador i el panell deriven d'OpenSearch, Apache 2.0)
En resum
Wazuh és una plataforma de seguretat de codi obert que recull registres i esdeveniments de servidors i equips, detecta amenaces i revisa configuracions. El muntem al vostre compte, despleguem els agents, ajustem regles i descodificadors per a llevar soroll, enviem les alertes allà on les mireu i el mantenim actualitzat. Operem la plataforma i revisem les alertes importants.
De què ens encarreguem?
Un SIEM acabat d’instal·lar no protegeix res: cal portar els agents a totes les màquines, ensenyar-li què és normal en els vostres sistemes i aconseguir que les alertes importants arriben a algú. Després cal mantindre’l, perquè un Wazuh desactualitzat o amb el disc ple deixa de veure just quan més falta fa.
Plataforma
Indexador, servidor i panell dimensionats per al vostre volum d’esdeveniments, en un o diversos nodes.
Agents
Desplegament automatitzat, grups per tipus de màquina i control dels que deixen d’informar.
Deteccions
Regles i descodificadors propis per a les vostres aplicacions, i excepcions documentades.
Alertes
Només l’important a correu, Slack o el vostre gestor d’incidències; la resta, consultable.
Retenció
Polítiques d’índexs, rotació i arxiu perquè el disc no decidisca per vosaltres.
Actualitzacions
Servidor, indexador, panell i agents en versions compatibles.
Quina arquitectura recomanem?
Wazuh té tres peces centrals: el servidor, que rep els esdeveniments dels agents i aplica descodificadors i regles; l’indexador, que guarda esdeveniments i alertes; i el panell, des d’on es consulta. Amb poques desenes d’agents, les tres caben en un node. Amb més volum, o si el SIEM no es pot quedar cec, separem l’indexador en un clúster de tres nodes i posem diversos nodes de servidor darrere d’un balancejador.
| Situació | El que muntem | Per què |
|---|---|---|
| Poques desenes de servidors | Un node amb les tres peces i còpies fora | Senzill d’operar i suficient per a començar |
| Centenars d’agents o molta retenció | Indexador en clúster de tres nodes i servidor en dos nodes | L’indexador és el que més creix en disc i memòria |
| Diverses xarxes o seus | Agents que envien per TLS a un punt d’entrada únic | Sense obrir el panell a internet |
El panell mai no queda exposat a internet: s’hi entra per VPN o amb inici de sessió únic, i cada persona amb el seu usuari.
Quins problemes trobem més sovint?
- Soroll: centenars d’alertes al dia que ningú no llig, i la important passa desapercebuda entre elles.
- Agents desconnectats: màquines que van deixar d’informar fa setmanes sense que ningú se n’adonara.
- Disc de l’indexador ple: sense polítiques de retenció, l’indexador deixa d’acceptar esdeveniments.
- Versions barrejades: agents més nous que el servidor o un indexador sense actualitzar.
- Panell obert a internet: amb l’usuari administrador per defecte.
- Sense destinació per a les alertes: tot es queda en el panell i ningú no l’obri.
Com llevem soroll sense perdre deteccions?
Durant les primeres setmanes revisem quines regles salten més i per què. El que és comportament normal dels vostres sistemes, com una tasca programada o un escaneig autoritzat, es converteix en una excepció concreta i documentada al repositori, no en una regla desactivada sencera. Per a les vostres aplicacions escrivim descodificadors propis, de manera que els seus registres s’entenguen i puguen generar alertes útils. Cada canvi en les regles queda en Git i es pot revisar i revertir.
Què passa amb NIS2, l’ENS i la ISO 27001?
Wazuh cobreix bé una part: registre centralitzat d’esdeveniments, detecció, integritat de fitxers, inventari i vulnerabilitats, i evidències que un auditor pot revisar. Però no us fa complir res per si sol; les polítiques, la gestió de riscos i els processos de resposta continuen sent feina de la vostra organització. Si voleu saber on sou, ho revisem en l’auditoria de fiabilitat i seguretat.
Com fem còpies i actualitzacions?
La configuració del servidor, les regles pròpies i els grups d’agents són al repositori. Els índexs es copien amb snapshots a un emmagatzematge d’objectes, i fem restauracions de prova per a comprovar que els esdeveniments es poden consultar. Per a actualitzar seguim l’ordre de la guia oficial: indexador, servidor, panell i, per últim, els agents, que mai no han d’anar per davant del servidor. Ho assagem abans en un entorn de proves i revisem que les regles pròpies continuen carregant.
Com és el suport del dia a dia?
La vigilància automàtica és contínua; la resposta humana, el següent dia feiner en horari laboral, dins del SRE com a servei. Operem la plataforma i ajustem les deteccions; si necessiteu analistes revisant esdeveniments tota la nit, us ho diem abans de començar. Cada mes rebeu un informe amb agents actius, alertes rellevants, canvis en regles i estat de la retenció. Si també voleu mètriques i registres d’aplicació, ho connectem amb l’observabilitat.
- Agents WazuhEn cada servidor i equip
- Wazuh serverDescodificadors i regles
- Wazuh indexerEsdeveniments i alertes indexats
- Wazuh dashboardConsulta i informes
- AvisosCorreu, Slack o incidències
On ho muntem?
Al vostre compte, al proveïdor que ja feu servir o al que encaixe millor. Si les dades s'han de quedar a la UE, Hetzner i OVHcloud són les opcions europees.
Proveïdors on ho muntem
- Hetzner
- AWS
- Google Cloud
- Azure
- DigitalOcean
- OVH
- Servidor propi
| Proveïdor | Com ho muntem | A tindre en compte |
|---|---|---|
| Hetzner | Servidors cloud o dedicats amb indexador, servidor i panell en xarxa privada, i còpies d'índexs en Object Storage. | Bona relació entre disc i cost per a guardar mesos d'esdeveniments. |
| AWS | EC2 amb Wazuh en una o diverses instàncies, volums EBS i snapshots a S3; integració amb CloudTrail, GuardDuty i altres registres d'AWS. | No hi ha Wazuh gestionat per AWS: el muntem i el mantenim nosaltres al vostre compte. |
| Google Cloud | Compute Engine amb Wazuh i lectura dels registres d'auditoria de Google Cloud. | Sense servei gestionat de Wazuh en Google Cloud. |
| Azure | Màquines virtuals amb Wazuh i la integració amb els registres d'activitat d'Azure i Microsoft Entra ID. | Si ja pagueu Microsoft Sentinel, abans comparem què us aporta cadascun. |
| DigitalOcean | Droplets amb Wazuh i volums per als índexs. | Suficient per a poques desenes d'agents en un sol node. |
| OVH | Instàncies de Public Cloud o servidors dedicats amb Wazuh. | |
| Servidor propi | Wazuh en els vostres servidors o màquines virtuals, amb agents en tota la xarxa. | El SIEM no hauria de viure en la mateixa màquina que vigila: si cau o la comprometen, perdeu l'evidència. |
Què inclou
- Wazuh indexer, server i dashboard al vostre compte, en un node o en clúster segons el volum d'esdeveniments.
- Agents desplegats amb Ansible o amb la vostra eina de gestió en servidors Linux, Windows i macOS.
- Grups d'agents amb la configuració de registres, integritat de fitxers i auditoria de cada tipus de màquina.
- Regles i descodificadors ajustats als vostres sistemes per a baixar el soroll sense perdre deteccions.
- Alertes de nivell alt a correu, Slack o el vostre sistema d'incidències, amb el context per a decidir.
- Retenció d'esdeveniments pactada per escrit i polítiques d'índexs perquè el disc no s'òmpliga.
- Còpies de la configuració i dels índexs, amb restauració provada.
- Actualitzacions de servidor, indexador, panell i agents en l'ordre que demana Wazuh.
Preguntes freqüents
Wazuh ens fa complir NIS2, l'ENS o la ISO 27001?
No per si sol. Wazuh ajuda amb els requisits de registre d'esdeveniments, detecció, integritat de fitxers i gestió de vulnerabilitats, i genera evidències per a una auditoria. El compliment també exigeix polítiques, gestió de riscos, formació i processos de resposta que cap eina no resol sola.
Sou un SOC?
Operem la plataforma, ajustem les deteccions i revisem les alertes importants, que no és el mateix que un SOC amb analistes tota la nit. La vigilància automàtica és contínua i els avisos crítics salten a qualsevol hora; la resposta humana és el següent dia feiner, en horari laboral. Si necessiteu analistes mirant de nit, us ho diem i busquem un SOC.
Quantes alertes rebrem?
Al principi, moltes: Wazuh instal·lat tal com ve avisa de quasi tot. Les primeres setmanes ajustem regles i llindars amb els vostres sistemes reals, fins que els avisos que arriben al vostre correu o a Slack són pocs i mereixen atenció. La resta queda registrada per a consultar-la.
Wazuh Cloud o Wazuh al nostre compte?
Wazuh Cloud és el servei del mateix fabricant i us lleva el manteniment. El muntem al vostre compte quan voleu que els registres no isquen de la vostra infraestructura, controlar la retenció o ajustar el cost de l'emmagatzematge.
Quant de temps es guarden els esdeveniments?
El que pactem segons les vostres obligacions i el vostre pressupost de disc: per exemple, uns mesos consultables en l'indexador i més temps arxivats en emmagatzematge d'objectes. Queda escrit i aplicat amb polítiques d'índexs.
Expliqueu-nos el vostre cas
En una trucada gratuïta de 20 minuts veiem on sou i per on començar. Sense compromís.
Documentació oficial consultada
Les dades tècniques d'aquesta pàgina es basen en:
Revisat el