ttlab-research/awesome-wazuh🛡️Listas geniales sobre todo tipo de temas interesantes de Wazuh XDR/SIEM
# awesome-wazhu [](https://awesome.re) > Lista curada de recursos, herramientas e integraciones de Wazuh Wazuh es una plataforma gratuita y de código abierto de monitoreo de seguridad para la prevención, detección y respuesta ante amenazas. ## Contenido - [Documentación Oficial](#documentación-oficial) - [Primeros Pasos](#primeros-pasos) - [Guías de Configuración](#guías-de-configuración) - [Despliegue](#despliegue) - [Docker](#docker) - [Kubernetes](#kubernetes) - [Terraform / OpenTofu](#terraform--opentofu) - [Ansible](#ansible) - [Plataformas Cloud](#plataformas-cloud) - [CI/CD y Pruebas](#cicd-y-pruebas) - [Reglas y Detección](#reglas-y-detección) - [Reglas de la Comunidad](#reglas-de-la-comunidad) - [Reglas Específicas de Fabricantes](#reglas-específicas-de-fabricantes) - [Módulos de Detección](#módulos-de-detección) - [Integraciones](#integraciones) - [Alertas](#alertas) - [Sistemas de Tickets](#sistemas-de-tickets) - [Inteligencia de Amenazas](#inteligencia-de-amenazas) - [Plataformas Cloud](#plataformas-cloud-1) - [SOAR](#soar) - [Integraciones Personalizadas](#integraciones-personalizadas) - [Herramientas y Utilidades](#herramientas-y-utilidades) - [Mantenimiento](#mantenimiento) - [Copia de Seguridad y Restauración](#copia-de-seguridad-y-restauración) - [Problemas Conocidos](#problemas-conocidos) - [Cumplimiento](#cumplimiento) - [Formación y Certificación](#formación-y-certificación) - [Guías y Tutoriales](#guías-y-tutoriales) - [Integración con IA y LLM](#integración-con-ia-y-llm) - [Detección y Respuesta](#detección-y-respuesta) - [General](#general) - [Programa de Embajadores](#programa-de-embajadores) - [Comunidad](#comunidad) - [Contribuciones](#contribuciones) ## Documentación Oficial - 🟢 [Documentación de Wazuh](https://documentation.wazuh.com/) - Guías de instalación, configuración y uso - 🟢 [Visión General de la Arquitectura](https://documentation.wazuh.com/current/getting-started/architecture.html) - Diseño del sistema y componentes - 🟢 [Referencia de la API](https://documentation.wazuh.com/current/user-manual/api/reference.html) - Endpoints de la API REST - 🟢 [Blog de Wazuh](https://wazuh.com/blog/) - Artículos técnicos semanales - 🟢 [Notas de Versión](https://documentation.wazuh.com/current/release-notes/index.html) - Historial de versiones y changelog ## Primeros Pasos - 🟢 [Guía de Instalación](https://documentation.wazuh.com/current/installation-guide/) - Instrucciones de despliegue paso a paso - 🟢 [Inicio Rápido](https://documentation.wazuh.com/current/quickstart.html) - Ponerlo en marcha en 30-60 minutos - 🟢 [Wazuh Cloud](https://cloud.wazuh.com/) - Opción SaaS totalmente gestionada con nivel gratuito - 🟢 [Inicio Rápido con Docker](https://github.com/wazuh/wazuh-docker) - Despliegue con un solo comando para pruebas ## Guías de Configuración Tutoriales paso a paso para la instalación, configuración y tareas operativas de Wazuh. - 🟡 [samma-io/wazuh-help](https://github.com/samma-io/wazuh-help) - Ayuda de configuración, resolución de problemas y notas operativas para despliegues de Wazuh ## Despliegue ### Docker - 🟢 [Guía Oficial de Docker](https://documentation.wazuh.com/current/installation-guide/docker.html) - Documentación de despliegue en contenedores - 🟢 [Repositorio Docker](https://github.com/wazuh/wazuh-docker) - Archivos e imágenes de Docker Compose (más de 1.000 estrellas) ### Kubernetes - 🟢 [Guía Oficial de Kubernetes](https://documentation.wazuh.com/current/installation-guide/kubernetes.html) - Despliegue en clúster K8s - 🟢 [Helm Charts](https://github.com/wazuh/wazuh-kubernetes) - Paquetes Helm de nivel productivo con soporte de alta disponibilidad ### Terraform / OpenTofu - 🟡 [Proveedor Terraform/OpenTofu](https://github.com/grulicht/terraform-provider-wazuh) - Proveedor comunitario, mantenido activamente - 🟡 [Registro de Terraform](https://registry.terraform.io/providers/grulicht/wazuh) - Entrada oficial en el registro de Terraform - 🟢 [Solicitud de Funcionalidad](https://github.com/wazuh/wazuh/issues/20176) - Proveedor oficial de Wazuh (planificado) ### Ansible - 🟢 [Guía Oficial de Ansible](https://documentation.wazuh.com/current/deployment-options/deploying-with-ansible/index.html) - Automatización de despliegue en múltiples hosts - 🟢 [Playbooks de Ansible](https://github.com/wazuh/wazuh-ansible) - Playbooks listos para usar (use ramas de versión para producción) ### Plataformas Cloud - 🟢 [Despliegue en AWS](https://documentation.wazuh.com/current/cloud-security/aws/index.html) - CloudTrail, GuardDuty, Security Hub, Macie - 🟢 [Despliegue en Azure](https://documentation.wazuh.com/current/cloud-security/azure/index.html) - Log Analytics, Microsoft Graph, Intune - 🟢 [Despliegue en GCP](https://documentation.wazuh.com/current/cloud-security/gcp/index.html) - Integración con Pub/Sub y Cloud Storage - 🟢 [Máquinas Virtuales (OVA/AMI)](https://github.com/wazuh/wazuh-virtual-machines) - Imágenes preconstruidas para pruebas de concepto rápidas ### CI/CD y Pruebas - 🟢 [Wazuh QA](https://github.com/wazuh/wazuh-qa) - Infraestructura de pruebas automatizadas y CI/CD ## Reglas y Detección - 🟢 [Documentación de Reglas](https://documentation.wazuh.com/current/user-manual/ruleset/index.html) - Sintaxis y optimización de reglas - 🟢 [Guía de Reglas Personalizadas](https://documentation.wazuh.com/current/user-manual/ruleset/custom.html) - Cómo escribir y probar reglas personalizadas - 🟢 [Conjunto Oficial de Reglas](https://github.com/wazuh/wazuh-ruleset) - Repositorio completo de reglas ### Reglas de la Comunidad Colecciones de reglas comunitarias de propósito general. - 🟡 [socfortress/Wazuh-Rules](https://github.com/socfortress/Wazuh-Rules) - Colección de reglas comunitarias - 🟡 [Ghost47-coder/Wazuh-Rules](https://github.com/Ghost47-coder/Wazuh-Rules) - Conjunto de reglas y decodificadores personalizados ### Reglas Específicas de Fabricantes Decodificadores y conjuntos de reglas para dispositivos, electrodomésticos y plataformas específicas. - 🟡 [Reglas y Decodificadores para Fortigate](https://github.com/alextibor/wazuh-fortigate-rules-decoders) - Monitoreo de dispositivos Fortigate - 🟡 [Decodificador y Reglas para Pi-hole](https://github.com/Tomo-9925/wazuh-pi-hole-decoder-and-rules) - Monitoreo y detección del sumidero DNS de Pi-hole - 🟡 [Synology DSM (st0rm-cr0w)](https://github.com/st0rm-cr0w/wazuh-synology-dsm-nas-decoder-and-rules) - Decodificador y reglas para Synology DSM - 🟡 [Synology DSM (Tomo-9925)](https://github.com/Tomo-9925/wazuh-synology-dsm-decoder-and-rules) - Implementación alternativa del decodificador Synology DSM - 🟡 [Decodificador Unifi](https://github.com/EvilForge/wazuh-unifi-decoder) - Monitoreo de red Ubiquiti Unifi ### Módulos de Detección - 🟢 [Monitoreo de Integridad de Archivos (FIM)](https://documentation.wazuh.com/current/user-manual/capabilities/file-integrity-monitoring/index.html) - Detecta cambios no autorizados en archivos - 🟢 [Detección de Vulnerabilidades](https://documentation.wazuh.com/current/user-manual/capabilities/vulnerability-detection/index.html) - Escaneo y evaluación de CVE - 🟢 [Evaluación de Configuración (SCA)](https://documentation.wazuh.com/current/user-manual/capabilities/sec-config-assessment/index.html) - Validación de cumplimiento y endurecimiento - 🟢 [Detección de Malware](https://documentation.wazuh.com/current/user-manual/capabilities/malware-detection/index.html) - Integración con ClamAV y YARA - 🟢 [Respuesta Activa](https://documentation.wazuh.com/current/user-manual/capabilities/active-response/index.html) - Respuesta automatizada a amenazas ## Integraciones Conecta Wazuh con plataformas externas para alertas, tickets, inteligencia de amenazas y orquestación. ### Alertas - 🟢 [Slack](https://documentation.wazuh.com/current/user-manual/manager/integration-with-external-apis.html) - Alertas en tiempo real a canales de Slack - 🟢 [PagerDuty](https://documentation.wazuh.com/current/user-manual/manager/integration-with-external-apis.html) - Escalamiento de incidentes de guardia - 🟢 [Correo Electrónico](https://documentation.wazuh.com/current/user-manual/manager/integration-with-external-apis.html) - Entrega de alertas por SMTP ### Sistemas de Tickets - 🟢 [Integración Genérica con API](https://documentation.wazuh.com/current/user-manual/manager/integration-with-external-apis.html) - Disparar cualquier API externa - 🟢 [Integración con ServiceNow](https://wazuh.com/blog/integrating-servicenow-with-wazuh/) - API REST + script Python - 🟡 [Integración con Jira](https://www.songer.pro/how-to-send-wazuh-alerts-to-jira/) - Guía comunitaria ### Inteligencia de Amenazas - 🟢 [VirusTotal](https://documentation.wazuh.com/current/user-manual/manager/integration-with-external-apis.html) - Enriquecimiento de hash de archivos y URLs - 🟢 [Listas CDB](https://documentation.wazuh.com/current/user-manual/ruleset/cdb-list.html) - Listas personalizadas de inteligencia de amenazas ### Plataformas Cloud - 🟢 [AWS Security Hub](https://documentation.wazuh.com/current/cloud-security/aws/index.html) - Integración con CloudTrail, GuardDuty y Security Lake - 🟢 [Azure Sentinel](https://documentation.wazuh.com/current/cloud-security/azure/index.html) - Integración con Microsoft Sentinel - 🟢 [Google Cloud](https://documentation.wazuh.com/current/cloud-security/gcp/index.html) - Integración con Cloud Audit Logs ### SOAR - 🟡 [Shuffle SOAR](https://shuffler.io/) - SOAR de código abierto con soporte para Wazuh - 🟢 [Integración Shuffle + Teams](https://wazuh.com/blog/integrating-wazuh-with-microsoft-teams-using-shuffle/) - Alertas a Teams basadas en SOAR - 🟡 [Detección y Respuesta Automatizada de Amenazas (Medium)](https://medium.com/@naseefhussain83/automated-threat-detection-response-using-wazuh-shuffle-777bee8370fc) - Automatización de respuesta a amenazas con Wazuh + Shuffle en el mundo real ### Integraciones Personalizadas - 🟡 [wazuh2thehive](https://github.com/crow1011/wazuh2thehive) - Integración con TheHive para gestión de casos - 🟡 [wazuh-opencti](https://github.com/juaromu/wazuh-opencti) - Plataforma de inteligencia de amenazas OpenCTI - 🟡 [wazuh-integrations](https://github.com/maikroservice/wazuh-integrations) - Colección de integraciones personalizadas - 🟡 [Exportador Prometheus](https://github.com/pyToshka/wazuh-prometheus-exporter) - Métricas y monitoreo con Prometheus - 🟡 [Sophos-Wazuh-SOC](https://github.com/JoernSchoenyan/Sophos-Wazuh-SOC) - Integración de firewall y endpoint Sophos para operaciones SOC - 🟡 [Alertas por Telegram](https://github.com/bayusky/wazuh-telegram) - Script de notificaciones para Telegram - 🟡 [Telegram Personalizado](https://github.com/eugenehr/wazuh-custom-telegram) - Formato avanzado de alertas para Telegram - 🟡 [wazuh-nmap](https://github.com/juaromu/wazuh-nmap) - Integración de escaneo de red con Nmap ## Mantenimiento ### Copia de Seguridad y Restauración - 🟢 [Crear una Copia de Seguridad — Componentes Centrales](https://documentation.wazuh.com/current/migration-guide/files-backup/creating/wazuh-central-components.html) - Guía oficial: directorios a respaldar (`/etc/wazuh-indexer/`, `/var/ossec/etc/`, certificados) usando `rsync` + `tar` - 🟢 [Restaurar Componentes Centrales](https://documentation.wazuh.com/current/migration-guide/restoring/wazuh-central-components.html) - Restauración paso a paso para nodo único y clúster multi-nodo - 🟢 [Gestión de Copias de Seguridad de Índices](https://wazuh.com/blog/index-backup-management/) - Blog oficial: instantáneas de OpenSearch para datos de alertas — sistema de archivos, S3, Azure, GCS, automatización SLM - 🟡 [Instantáneas y Restauración — Guía Práctica](https://sobanmalikk.medium.com/snapshot-and-restore-configuration-in-wazuh-addb9ac3180e) - Tutorial comunitario: configuración de `path.repo`, instantáneas mediante CLI y Dashboard UI, automatización con cron ### Problemas Conocidos **Los servicios de Wazuh no se inician después de reiniciar en Debian/Ubuntu** Un problema conocido en instalaciones todo-en-uno: los servicios de Wazuh (`wazuh-indexer`, `wazuh-manager`, `wazuh-dashboard`) no tienen dependencias `After=` en sus unidades systemd, lo que provoca condiciones de carrera al arrancar. Síntomas: el dashboard devuelve "server is not ready yet", el indexador entra en estado `failed`, o el manager falla debido a un archivo PID faltante. - 🟡 [wazuh-indexer #201](https://github.com/wazuh/wazuh-indexer/issues/201) - El indexador falla tras reinicio: falta el directorio `/var/log/wazuh-indexer/gc.log` - 🟡 [wazuh-packages #1962](https://github.com/wazuh/wazuh-packages/issues/1962) - El indexador entra en estado `failed` al reiniciar (v4.4.0+) - 🟡 [wazuh/wazuh #31037](https://github.com/wazuh/wazuh/issues/31037) - `Permission denied` en el log de GC al iniciar la JVM **Solución**: crear una anulación de systemd para forzar el orden de arranque: ```ini # /etc/systemd/system/wazuh-manager.service.d/override.conf [Unit] After=wazuh-indexer.service network-online.target ``` ```ini # /etc/systemd/system/wazuh-dashboard.service.d/override.conf [Unit] After=wazuh-indexer.service network-online.target ``` Luego recargar: `systemctl daemon-reload`. Si el indexador aún necesita tiempo extra para inicializarse, añadir `ExecStartPre=/bin/sleep 15` a la anulación del dashboard. ## Herramientas y Utilidades - 🟡 [Wazuh Tools](https://github.com/branchnetconsulting/wazuh-tools) - Colección de scripts de utilidad operativa - 🟡 [Wazuh Auto-Generator](https://github.com/21Yeet21/wazuh-auto-generator) - Genera decodificadores y reglas a partir de muestras de logs sin procesar mediante análisis de patrones determinista, con análisis masivo de logs y simulación de extracción de campos en la aplicación - 🟡 [MCP Server Wazuh](https://github.com/gbrigandi/mcp-server-wazuh) - Servidor del Protocolo de Contexto de Modelo para Wazuh - 🟡 [Wazuh MCP Server](https://github.com/gensecaihq/Wazuh-MCP-Server) - Implementación alternativa de MCP ## Cumplimiento Mapea las capacidades de Wazuh con marcos regulatorios. - 🟢 [PCI-DSS](https://documentation.wazuh.com/current/compliance/pci-dss/index.html) - Estándar de Seguridad de Datos para la Industria de Tarjetas de Pago - 🟢 [GDPR](https://documentation.wazuh.com/current/compliance/gdpr/index.html) - Reglamento General de Protección de Datos de la UE - 🟢 [NIS-2](https://wazuh.com/blog/ensuring-nis2-compliance-with-wazuh/) - Directiva de infraestructuras críticas de la UE (fecha límite de auditoría: 30 de junio de 2026) - 🟢 [ISO 27001](https://documentation.wazuh.com/current/compliance/index.html) - Estándar de gestión de seguridad de la información - 🟢 [HIPAA](https://documentation.wazuh.com/current/compliance/hipaa/index.html) - Protección de datos sanitarios - 🟢 [NIST 800-53](https://documentation.wazuh.com/current/compliance/nist/index.html) - Controles de seguridad federales - 🟢 [TSC (SOC 2)](https://documentation.wazuh.com/current/compliance/tsc/index.html) - Criterios de Servicio de Confianza ## Formación y Certificación - 🟢 [Cursos de Formación Oficiales](https://wazuh.com/services/training-courses/) - Programa de certificación autorizado de 4 días - 🟡 [Tutoriales en YouTube](https://www.youtube.com/c/WazuhProject) - Guías oficiales en video - 🟡 [Udemy - Curso Completo de Wazuh](https://www.udemy.com/course/complete-wazuh-course/) - De principiante a avanzado - 🟡 [initMAX - Formación Wazuh](https://www.initmax.com/wazuh-training/) - Credencial de Profesional Certificado Wazuh - 🟡 [SIEM Intelligence - Administrador Certificado Wazuh](https://www.siemintelligence.com/wazuh-admin-training) - Credencial CWA ## Guías y Tutoriales Guías aportadas por la comunidad para casos de uso específicos y configuraciones avanzadas. ### Integración con IA y LLM - 🟡 [Ollama Local en el Dashboard de Wazuh](https://blog.pytoshka.me/en/post/local-ollama-in-the-wazuh-dashboard-for-llm-powered-insights/) - Perspectivas de alertas potenciadas por LLM usando una instancia local de Ollama integrada en el Dashboard de Wazuh - 🟡 [Wazuh + AWS Bedrock + MCP (Parte 1)](https://blog.pytoshka.me/en/post/wazuh-aws-bedrock-mcp-part-1/) - Integración de Wazuh con AWS Bedrock y el Protocolo de Contexto de Modelo para análisis de seguridad impulsado por IA - 🟡 [Wazuh + AWS Bedrock + MCP (Parte 2)](https://blog.pytoshka.me/en/post/wazuh-aws-bedrock-mcp-part-2/) - Configuración avanzada y casos de uso para la integración de Wazuh + AWS Bedrock + MCP ### Detección y Respuesta - 🟡 [Guía de Flujo SOAR](https://github.com/malwarekid/SOAR-Flow) - Patrones de orquestación y automatización SOAR - 🟡 [Guía de Detección de Fuerza Bruta](https://github.com/hasanaijaz/Wazuh-SIEM-Bruteforce-Detection) - Detección y respuesta a ataques de fuerza bruta ### General - 🟡 [Guía Completa de Wazuh](https://github.com/Esther7171/Wazuh-Complete-Guide) - Guía exhaustiva de configuración y puesta en marcha de Wazuh ## Programa de Embajadores Representa a Wazuh en tu región. Conviértete en embajador y comparte tu experiencia. - 🟢 [Programa de Embajadores de Wazuh](https://wazuh.com/community/) - Cómo convertirse en embajador - [Guía de Actividades del Embajador](https://github.com/ttlab-research/awesome-wazuh/blob/main/docs/ambassador.md) - Creación de contenido, charlas, formación, alianzas ## Comunidad - 🟢 [Comunidad de Wazuh](https://wazuh.com/community/) - Espacio de trabajo en Slack y foros - 🟢 [Discusiones en GitHub](https://github.com/wazuh/wazuh/discussions) - Preguntas y respuestas, y solicitudes de funcionalidades - 🟢 [Organización en GitHub](https://github.com/wazuh) - Más de 31 repositorios (más de 14.600 estrellas en el principal) - 🟢 [Soporte Profesional](https://wazuh.com/services/professional-support/) - Servicios de soporte con SLA ## Ejemplos Este repositorio incluye plantillas y ejemplos de despliegue: - Docker Compose ([examples/docker-compose/](https://github.com/ttlab-research/awesome-wazuh/blob/main/examples/docker-compose)) - Configuraciones de nodo único y multi-nodo - Terraform ([examples/terraform/](https://github.com/ttlab-research/awesome-wazuh/blob/main/examples/terraform)) - Plantillas de infraestructura como código (compatible con OpenTofu) - Ansible ([examples/ansible/](https://github.com/ttlab-research/awesome-wazuh/blob/main/examples/ansible)) - Playbooks multi-host - Vagrant ([examples/vagrant/](https://github.com/ttlab-research/awesome-wazuh/blob/main/examples/vagrant)) - Laboratorio local basado en VM ## Contribuciones Las contribuciones son bienvenidas. Para añadir un recurso: 1. Verifica que el enlace funcione (HTTP 200) 2. Usa la insignia adecuada: 🟢 Oficial (proyecto Wazuh) | 🟡 Comunidad 3. Mantén la descripción en 1-2 líneas, concreta y útil 4. Añade en la categoría correcta y en orden alfabético 5. Envía un pull request Consulta [CONTRIBUTING.md](https://github.com/ttlab-research/awesome-wazuh/blob/main/CONTRIBUTING.md) para obtener directrices. **Curado por**: Franco Tampieri ([TTlab® - Security & DevOps](https://ttlab.it/)) | [email protected] ## Licencia [MIT](https://github.com/ttlab-research/awesome-wazuh/blob/main/LICENSE) --- **Insignias**: 🟢 = Oficial (Wazuh) | 🟡 = Comunidad
