🛡️Großartige Listen zu allerlei interessanten Themen rund um Wazuh XDR/SIEM
# awesome-wazuh [](https://awesome.re) > Kuratierte Liste von Wazuh-Ressourcen, -Tools und -Integrationen Wazuh ist eine kostenlose Open-Source-Sicherheitsüberwachungsplattform für Bedrohungsprävention, -erkennung und -reaktion. ## Inhalt - [Offizielle Dokumentation](#offizielle-dokumentation) - [Erste Schritte](#erste-schritte) - [Einrichtungsanleitungen](#einrichtungsanleitungen) - [Bereitstellung](#bereitstellung) - [Docker](#docker) - [Kubernetes](#kubernetes) - [Terraform / OpenTofu](#terraform--opentofu) - [Ansible](#ansible) - [Cloud-Plattformen](#cloud-plattformen) - [CI/CD & Testen](#cicd--testen) - [Regeln & Erkennung](#regeln--erkennung) - [Community-Regeln](#community-regeln) - [Herstellerspezifische Regeln](#herstellerspezifische-regeln) - [Erkennungsmodule](#erkennungsmodule) - [Integrationen](#integrationen) - [Alarmierung](#alarmierung) - [Ticketing](#ticketing) - [Bedrohungsinformationen](#bedrohungsinformationen) - [Cloud-Plattformen](#cloud-plattformen-1) - [SOAR](#soar) - [Benutzerdefinierte Integrationen](#benutzerdefinierte-integrationen) - [Tools & Dienstprogramme](#tools--dienstprogramme) - [Wartung](#wartung) - [Sicherung & Wiederherstellung](#sicherung--wiederherstellung) - [Bekannte Probleme](#bekannte-probleme) - [Compliance](#compliance) - [Schulung & Zertifizierung](#schulung--zertifizierung) - [Anleitungen & Tutorials](#anleitungen--tutorials) - [KI- & LLM-Integration](#ki--llm-integration) - [Erkennung & Reaktion](#erkennung--reaktion) - [Allgemein](#allgemein) - [Botschafterprogramm](#botschafterprogramm) - [Community](#community) - [Mitwirken](#mitwirken) ## Offizielle Dokumentation - 🟢 [Wazuh-Dokumentation](https://documentation.wazuh.com/) - Installations-, Konfigurations- und Nutzungsanleitungen - 🟢 [Architekturübersicht](https://documentation.wazuh.com/current/getting-started/architecture.html) - Systemdesign und -komponenten - 🟢 [API-Referenz](https://documentation.wazuh.com/current/user-manual/api/reference.html) - REST-API-Endpunkte - 🟢 [Wazuh-Blog](https://wazuh.com/blog/) - Wöchentliche technische Artikel - 🟢 [Versionshinweise](https://documentation.wazuh.com/current/release-notes/index.html) - Versionsgeschichte und Änderungsprotokoll ## Erste Schritte - 🟢 [Installationsanleitung](https://documentation.wazuh.com/current/installation-guide/) - Schritt-für-Schritt-Bereitstellungsanweisungen - 🟢 [Schnellstart](https://documentation.wazuh.com/current/quickstart.html) - In 30-60 Minuten einsatzbereit - 🟢 [Wazuh Cloud](https://cloud.wazuh.com/) - Vollständig verwaltete SaaS-Option mit kostenloser Stufe - 🟢 [Docker-Schnellstart](https://github.com/wazuh/wazuh-docker) - Ein-Kommando-Bereitstellung zum Testen ## Einrichtungsanleitungen Schritt-für-Schritt-Einrichtungswalkthroughs für Wazuh-Installation, -Konfiguration und betriebliche Aufgaben. - 🟡 [samma-io/wazuh-help](https://github.com/samma-io/wazuh-help) - Einrichtungshilfe, Fehlerbehebung und betriebliche Hinweise für Wazuh-Bereitstellungen ## Bereitstellung ### Docker - 🟢 [Offizielle Docker-Anleitung](https://documentation.wazuh.com/current/installation-guide/docker.html) - Dokumentation zur Containerbereitstellung - 🟢 [Docker-Repository](https://github.com/wazuh/wazuh-docker) - Docker-Compose-Dateien und Images (1000+ Sterne) ### Kubernetes - 🟢 [Offizielle Kubernetes-Anleitung](https://documentation.wazuh.com/current/installation-guide/kubernetes.html) - K8s-Cluster-Bereitstellung - 🟢 [Helm-Charts](https://github.com/wazuh/wazuh-kubernetes) - Produktionstaugliche Helm-Pakete mit HA-Unterstützung ### Terraform / OpenTofu - 🟡 [Terraform/OpenTofu-Provider](https://github.com/grulicht/terraform-provider-wazuh) - Community-Provider, aktiv gepflegt - 🟡 [Terraform-Registrierung](https://registry.terraform.io/providers/grulicht/wazuh) - Offizieller Terraform-Registrierungseintrag - 🟢 [Funktionsanfrage](https://github.com/wazuh/wazuh/issues/20176) - Offizieller Wazuh-Provider (geplant) ### Ansible - 🟢 [Offizielle Ansible-Anleitung](https://documentation.wazuh.com/current/deployment-options/deploying-with-ansible/index.html) - Automatisierung der Multi-Host-Bereitstellung - 🟢 [Ansible-Playbooks](https://github.com/wazuh/wazuh-ansible) - Fertig verwendbare Playbooks (für Produktion Release-Branches verwenden) ### Cloud-Plattformen - 🟢 [AWS-Bereitstellung](https://documentation.wazuh.com/current/cloud-security/aws/index.html) - CloudTrail, GuardDuty, Security Hub, Macie - 🟢 [Azure-Bereitstellung](https://documentation.wazuh.com/current/cloud-security/azure/index.html) - Log Analytics, Microsoft Graph, Intune - 🟢 [GCP-Bereitstellung](https://documentation.wazuh.com/current/cloud-security/gcp/index.html) - Pub/Sub- und Cloud-Speicher-Integration - 🟢 [Virtuelle Maschinen (OVA/AMI)](https://github.com/wazuh/wazuh-virtual-machines) - Vorgefertigte Images für schnelle Proofs of Concept ### CI/CD & Testen - 🟢 [Wazuh QA](https://github.com/wazuh/wazuh-qa) - Automatisierte Tests und CI/CD-Infrastruktur ## Regeln & Erkennung - 🟢 [Regeldokumentation](https://documentation.wazuh.com/current/user-manual/ruleset/index.html) - Regelsyntax und Optimierung - 🟢 [Anleitung zu benutzerdefinierten Regeln](https://documentation.wazuh.com/current/user-manual/ruleset/custom.html) - Schreiben und Testen benutzerdefinierter Regeln - 🟢 [Offizielles Ruleset](https://github.com/wazuh/wazuh-ruleset) - Vollständiges Regelrepository ### Community-Regeln Allzweck-Community-Regelsammlungen. - 🟡 [socfortress/Wazuh-Rules](https://github.com/socfortress/Wazuh-Rules) - Community-Regelsammlung - 🟡 [Ghost47-coder/Wazuh-Rules](https://github.com/Ghost47-coder/Wazuh-Rules) - Benutzerdefiniertes Regelset und Decoder ### Herstellerspezifische Regeln Decoder und Rulesets für bestimmte Geräte, Appliances und Plattformen. - 🟡 [Fortigate-Regeln & Decoder](https://github.com/alextibor/wazuh-fortigate-rules-decoders) - Fortigate-Geräteüberwachung - 🟡 [Pi-hole-Decoder & Regeln](https://github.com/Tomo-9925/wazuh-pi-hole-decoder-and-rules) - Pi-hole-DNS-Sinkhole-Überwachung und -Erkennung - 🟡 [Synology DSM (st0rm-cr0w)](https://github.com/st0rm-cr0w/wazuh-synology-dsm-nas-decoder-and-rules) - Synology-DSM-Decoder und Regeln - 🟡 [Synology DSM (Tomo-9925)](https://github.com/Tomo-9925/wazuh-synology-dsm-decoder-and-rules) - Alternative Synology-DSM-Decoder-Implementierung - 🟡 [Unifi-Decoder](https://github.com/EvilForge/wazuh-unifi-decoder) - Ubiquiti-Unifi-Netzwerküberwachung ### Erkennungsmodule - 🟢 [Dateiintegritätsüberwachung (FIM)](https://documentation.wazuh.com/current/user-manual/capabilities/file-integrity-monitoring/index.html) - Unbefugte Dateiänderungen erkennen - 🟢 [Schwachstellenerkennung](https://documentation.wazuh.com/current/user-manual/capabilities/vulnerability-detection/index.html) - CVE-Scanning und -Bewertung - 🟢 [Konfigurationsbewertung (SCA)](https://documentation.wazuh.com/current/user-manual/capabilities/sec-config-assessment/index.html) - Compliance-Validierung und Härtung - 🟢 [Malware-Erkennung](https://documentation.wazuh.com/current/user-manual/capabilities/malware-detection/index.html) - ClamAV- und YARA-Integration - 🟢 [Aktive Antwort](https://documentation.wazuh.com/current/user-manual/capabilities/active-response/index.html) - Automatisierte Bedrohungsreaktion ## Integrationen Verbinden Sie Wazuh mit externen Plattformen für Alarmierung, Ticketing, Bedrohungsinformationen und Orchestrierung. ### Alarmierung - 🟢 [Slack](https://documentation.wazuh.com/current/user-manual/manager/integration-with-external-apis.html) - Echtzeit-Alarme an Slack-Kanäle - 🟢 [PagerDuty](https://documentation.wazuh.com/current/user-manual/manager/integration-with-external-apis.html) - Eskalation von Bereitschaftsvorfällen - 🟢 [E-Mail](https://documentation.wazuh.com/current/user-manual/manager/integration-with-external-apis.html) - SMTP-Alarmzustellung ### Ticketing - 🟢 [Generische API-Integration](https://documentation.wazuh.com/current/user-manual/manager/integration-with-external-apis.html) - Beliebige externe API auslösen - 🟢 [ServiceNow-Integration](https://wazuh.com/blog/integrating-servicenow-with-wazuh/) - REST-API + Python-Skript - 🟡 [Jira-Integration](https://www.songer.pro/how-to-send-wazuh-alerts-to-jira/) - Community-Anleitung ### Bedrohungsinformationen - 🟢 [VirusTotal](https://documentation.wazuh.com/current/user-manual/manager/integration-with-external-apis.html) - Datei-Hash- und URL-Anreicherung - 🟢 [CDB-Listen](https://documentation.wazuh.com/current/user-manual/ruleset/cdb-list.html) - Benutzerdefinierte Bedrohungsinformationslisten ### Cloud-Plattformen - 🟢 [AWS Security Hub](https://documentation.wazuh.com/current/cloud-security/aws/index.html) - CloudTrail-, GuardDuty- und Security-Lake-Integration - 🟢 [Azure Sentinel](https://documentation.wazuh.com/current/cloud-security/azure/index.html) - Microsoft-Sentinel-Integration - 🟢 [Google Cloud](https://documentation.wazuh.com/current/cloud-security/gcp/index.html) - Cloud-Audit-Logs-Integration ### SOAR - 🟡 [Shuffle SOAR](https://shuffler.io/) - Open-Source-SOAR mit Wazuh-Unterstützung - 🟢 [Shuffle + Teams-Integration](https://wazuh.com/blog/integrating-wazuh-with-microsoft-teams-using-shuffle/) - SOAR-basierte Teams-Alarmierung - 🟡 [Automatisierte Bedrohungserkennung & -reaktion (Medium)](https://medium.com/@naseefhussain83/automated-threat-detection-response-using-wazuh-shuffle-777bee8370fc) - Praktische Automatisierung der Bedrohungsreaktion mit Wazuh + Shuffle ### Benutzerdefinierte Integrationen - 🟡 [wazuh2thehive](https://github.com/crow1011/wazuh2thehive) - TheHive-Fallmanagement-Integration - 🟡 [wazuh-opencti](https://github.com/juaromu/wazuh-opencti) - OpenCTI-Bedrohungsinformationsplattform - 🟡 [wazuh-integrations](https://github.com/maikroservice/wazuh-integrations) - Sammlung benutzerdefinierter Integrationen - 🟡 [Prometheus-Exporter](https://github.com/pyToshka/wazuh-prometheus-exporter) - Prometheus-Metriken und -Überwachung - 🟡 [Sophos-Wazuh-SOC](https://github.com/JoernSchoenyan/Sophos-Wazuh-SOC) - Sophos-Firewall- und Endpunkt-Integration für SOC-Betrieb - 🟡 [Telegram-Alarmierung](https://github.com/bayusky/wazuh-telegram) - Telegram-Benachrichtigungsskript - 🟡 [Benutzerdefiniertes Telegram](https://github.com/eugenehr/wazuh-custom-telegram) - Erweiterte Telegram-Alarmformatierung - 🟡 [wazuh-nmap](https://github.com/juaromu/wazuh-nmap) - Nmap-Netzwerkscan-Integration ## Wartung ### Sicherung & Wiederherstellung - 🟢 [Erstellen eines Backups – Zentrale Komponenten](https://documentation.wazuh.com/current/migration-guide/files-backup/creating/wazuh-central-components.html) - Offizielle Anleitung: zu sichernde Verzeichnisse (`/etc/wazuh-indexer/`, `/var/ossec/etc/`, Zertifikate) mit `rsync` + `tar` - 🟢 [Wiederherstellen zentraler Komponenten](https://documentation.wazuh.com/current/migration-guide/restoring/wazuh-central-components.html) - Schritt-für-Schritt-Wiederherstellung für Einzelknoten- und Multi-Knoten-Cluster - 🟢 [Index-Backup-Verwaltung](https://wazuh.com/blog/index-backup-management/) - Offizieller Blog: OpenSearch-Snapshots für Alarmdaten – Dateisystem, S3, Azure, GCS, SLM-Automatisierung - 🟡 [Snapshot and Restore – Praktischer Leitfaden](https://sobanmalikk.medium.com/snapshot-and-restore-configuration-in-wazuh-addb9ac3180e) - Community-Walkthrough: `path.repo`-Konfiguration, Snapshot über CLI und Dashboard-UI, Cron-Automatisierung ### Bekannte Probleme **Wazuh-Dienste starten nach Neustart auf Debian/Ubuntu nicht** Ein bekanntes Problem bei All-in-One-Installationen: Wazuh-Dienste (`wazuh-indexer`, `wazuh-manager`, `wazuh-dashboard`) haben keine `After=`-Abhängigkeiten in ihren systemd-Units, was zu Wettlaufsituationen beim Booten führt. Symptome: Dashboard gibt „server is not ready yet“ zurück, Indexer wechselt in den Status `failed`, oder Manager schlägt aufgrund einer fehlenden PID-Datei fehl. - 🟡 [wazuh-indexer #201](https://github.com/wazuh/wazuh-indexer/issues/201) - Indexer schlägt nach Neustart fehl: fehlendes Verzeichnis `/var/log/wazuh-indexer/gc.log` - 🟡 [wazuh-packages #1962](https://github.com/wazuh/wazuh-packages/issues/1962) - Indexer wechselt nach Neustart in den Status `failed` (v4.4.0+) - 🟡 [wazuh/wazuh #31037](https://github.com/wazuh/wazuh/issues/31037) - `Permission denied` auf GC-Log beim JVM-Start **Workaround**: systemd-Override erstellen, um die Startreihenfolge zu erzwingen: ```ini # /etc/systemd/system/wazuh-manager.service.d/override.conf [Unit] After=wazuh-indexer.service network-online.target ``` ```ini # /etc/systemd/system/wazuh-dashboard.service.d/override.conf [Unit] After=wazuh-indexer.service network-online.target ``` Dann neu laden: `systemctl daemon-reload`. Falls der Indexer noch zusätzliche Zeit zum Initialisieren benötigt, `ExecStartPre=/bin/sleep 15` zum Dashboard-Override hinzufügen. ## Tools & Dienstprogramme - 🟡 [Wazuh Tools](https://github.com/branchnetconsulting/wazuh-tools) - Sammlung betrieblicher Hilfsskripte - 🟡 [Wazuh Auto-Generator](https://github.com/21Yeet21/wazuh-auto-generator) - Generiert Decoder und Regeln aus rohen Log-Beispielen mittels deterministischer Musteranalyse, mit Bulk-Log-Analyse und integrierter Feld-Extraktionssimulation - 🟡 [MCP Server Wazuh](https://github.com/gbrigandi/mcp-server-wazuh) - Model Context Protocol Server für Wazuh - 🟡 [Wazuh MCP Server](https://github.com/gensecaihq/Wazuh-MCP-Server) - Alternative MCP-Implementierung ## Compliance Ordnen Sie Wazuh-Funktionen regulatorischen Rahmenwerken zu. - 🟢 [PCI-DSS](https://documentation.wazuh.com/current/compliance/pci-dss/index.html) - Zahlungskarten-Industrie-Datensicherheitsstandard - 🟢 [GDPR](https://documentation.wazuh.com/current/compliance/gdpr/index.html) - EU-Datenschutzverordnung - 🟢 [NIS-2](https://wazuh.com/blog/ensuring-nis2-compliance-with-wazuh/) - EU-Richtlinie für kritische Infrastrukturen (Prüffrist 30. Juni 2026) - 🟢 [ISO 27001](https://documentation.wazuh.com/current/compliance/index.html) - Standard für Informationssicherheitsmanagement - 🟢 [HIPAA](https://documentation.wazuh.com/current/compliance/hipaa/index.html) - Schutz von Gesundheitsdaten - 🟢 [NIST 800-53](https://documentation.wazuh.com/current/compliance/nist/index.html) - Bundes-Sicherheitskontrollen - 🟢 [TSC (SOC 2)](https://documentation.wazuh.com/current/compliance/tsc/index.html) - Trust Service Criteria ## Schulung & Zertifizierung - 🟢 [Offizielle Schulungskurse](https://wazuh.com/services/training-courses/) - 4-tägiges autorisiertes Zertifizierungsprogramm - 🟡 [YouTube-Tutorials](https://www.youtube.com/c/WazuhProject) - Offizielle Video-Anleitungen - 🟡 [Udemy – Kompletter Wazuh-Kurs](https://www.udemy.com/course/complete-wazuh-course/) - Vom Anfänger zum Fortgeschrittenen - 🟡 [initMAX – Wazuh-Schulung](https://www.initmax.com/wazuh-training/) - Qualifikation als Certified Wazuh Professional - 🟡 [SIEM Intelligence – Certified Wazuh Administrator](https://www.siemintelligence.com/wazuh-admin-training) - CWA-Zertifizierung ## Anleitungen & Tutorials Von der Community beigesteuerte Anleitungen für bestimmte Anwendungsfälle und erweiterte Konfigurationen. ### KI- & LLM-Integration - 🟡 [Lokales Ollama im Wazuh-Dashboard](https://blog.pytoshka.me/en/post/local-ollama-in-the-wazuh-dashboard-for-llm-powered-insights/) - LLM-gestützte Alarm-Erkenntnisse mit einer lokalen Ollama-Instanz, eingebettet in das Wazuh-Dashboard - 🟡 [Wazuh + AWS Bedrock + MCP (Teil 1)](https://blog.pytoshka.me/en/post/wazuh-aws-bedrock-mcp-part-1/) - Integration von Wazuh mit AWS Bedrock und Model Context Protocol für KI-gesteuerte Sicherheitsanalyse - 🟡 [Wazuh + AWS Bedrock + MCP (Teil 2)](https://blog.pytoshka.me/en/post/wazuh-aws-bedrock-mcp-part-2/) - Erweiterte Konfiguration und Anwendungsfälle für die Wazuh + AWS Bedrock + MCP-Integration ### Erkennung & Reaktion - 🟡 [SOAR Flow Guide](https://github.com/malwarekid/SOAR-Flow) - SOAR-Orchestrierungs- und Automatisierungsmuster - 🟡 [Bruteforce-Erkennungsanleitung](https://github.com/hasanaijaz/Wazuh-SIEM-Bruteforce-Detection) - Erkennung und Reaktion auf Brute-Force-Angriffe ### Allgemein - 🟡 [Wazuh Complete Guide](https://github.com/Esther7171/Wazuh-Complete-Guide) - Umfassende Anleitung zur Einrichtung und Konfiguration von Wazuh ## Botschafterprogramm Vertreten Sie Wazuh in Ihrer Region. Werden Sie Botschafter und teilen Sie Ihr Fachwissen. - 🟢 [Wazuh-Botschafterprogramm](https://wazuh.com/community/) - So werden Sie Botschafter - [Anleitung zu Botschafteraktivitäten](https://github.com/ttlab-research/awesome-wazuh/blob/main/docs/ambassador.md) - Inhaltserstellung, Vorträge, Schulungen, Partnerschaften ## Community - 🟢 [Wazuh-Community](https://wazuh.com/community/) - Slack-Arbeitsbereich und Foren - 🟢 [GitHub-Diskussionen](https://github.com/wazuh/wazuh/discussions) - Fragen & Antworten und Funktionsanfragen - 🟢 [GitHub-Organisation](https://github.com/wazuh) - 31+ Repositories (14.600+ Sterne auf dem Hauptprojekt) - 🟢 [Professioneller Support](https://wazuh.com/services/professional-support/) - Support-Dienste mit SLA ## Beispiele Dieses Repository enthält Bereitstellungsvorlagen und Beispiele: - Docker Compose ([examples/docker-compose/](https://github.com/ttlab-research/awesome-wazuh/blob/main/examples/docker-compose)) - Einzel- und Multi-Knoten-Setups - Terraform ([examples/terraform/](https://github.com/ttlab-research/awesome-wazuh/blob/main/examples/terraform)) - Infrastructure-as-Code-Vorlagen (kompatibel mit OpenTofu) - Ansible ([examples/ansible/](https://github.com/ttlab-research/awesome-wazuh/blob/main/examples/ansible)) - Multi-Host-Playbooks - Vagrant ([examples/vagrant/](https://github.com/ttlab-research/awesome-wazuh/blob/main/examples/vagrant)) - Lokales VM-basiertes Labor ## Mitwirken Beiträge sind willkommen. So fügen Sie eine Ressource hinzu: 1. Überprüfen Sie, ob der Link funktioniert (HTTP 200) 2. Verwenden Sie das passende Badge: 🟢 Offiziell (Wazuh-Projekt) | 🟡 Community 3. Halten Sie die Beschreibung auf 1-2 Zeilen, konkret und nützlich 4. Fügen Sie in der richtigen Kategorie und alphabetischer Reihenfolge hinzu 5. Reichen Sie einen Pull Request ein Siehe [CONTRIBUTING.md](https://github.com/ttlab-research/awesome-wazuh/blob/main/CONTRIBUTING.md) für Richtlinien. **Kuratiert von**: Franco Tampieri ([TTlab® - Security & DevOps](https://ttlab.it/)) | [email protected] ## Lizenz [MIT](https://github.com/ttlab-research/awesome-wazuh/blob/main/LICENSE) --- **Badges**: 🟢 = Offiziell (Wazuh) | 🟡 = Community
