🛡️Listes impressionnantes sur toutes sortes de sujets intéressants de Wazuh XDR/SIEM
# awesome-wazuh [](https://awesome.re) > Liste organisée de ressources, outils et intégrations Wazuh Wazuh est une plateforme de surveillance de sécurité gratuite et open-source pour la prévention, la détection et la réponse aux menaces. ## Sommaire - [Documentation officielle](#documentation-officielle) - [Pour commencer](#pour-commencer) - [Guides d'installation](#guides-dinstallation) - [Déploiement](#déploiement) - [Docker](#docker) - [Kubernetes](#kubernetes) - [Terraform / OpenTofu](#terraform--opentofu) - [Ansible](#ansible) - [Plateformes cloud](#plateformes-cloud) - [CI/CD & Tests](#cicd--tests) - [Règles & Détection](#règles--détection) - [Règles communautaires](#règles-communautaires) - [Règles spécifiques aux fournisseurs](#règles-spécifiques-aux-fournisseurs) - [Modules de détection](#modules-de-détection) - [Intégrations](#intégrations) - [Alerting](#alerting) - [Ticketing](#ticketing) - [Renseignement sur les menaces](#renseignement-sur-les-menaces) - [Plateformes cloud](#plateformes-cloud-1) - [SOAR](#soar) - [Intégrations personnalisées](#intégrations-personnalisées) - [Outils & Utilitaires](#outils--utilitaires) - [Maintenance](#maintenance) - [Sauvegarde & Restauration](#sauvegarde--restauration) - [Problèmes connus](#problèmes-connus) - [Conformité](#conformité) - [Formation & Certification](#formation--certification) - [Guides & Tutoriels](#guides--tutoriels) - [Intégration IA & LLM](#intégration-ia--llm) - [Détection & Réponse](#détection--réponse) - [Général](#général) - [Programme Ambassadeur](#programme-ambassadeur) - [Communauté](#communauté) - [Contribuer](#contribuer) ## Documentation officielle - 🟢 [Documentation Wazuh](https://documentation.wazuh.com/) - Guides d'installation, de configuration et d'utilisation - 🟢 [Vue d'ensemble de l'architecture](https://documentation.wazuh.com/current/getting-started/architecture.html) - Conception du système et composants - 🟢 [Référence API](https://documentation.wazuh.com/current/user-manual/api/reference.html) - Points de terminaison de l'API REST - 🟢 [Blog Wazuh](https://wazuh.com/blog/) - Articles techniques hebdomadaires - 🟢 [Notes de version](https://documentation.wazuh.com/current/release-notes/index.html) - Historique des versions et changelog ## Pour commencer - 🟢 [Guide d'installation](https://documentation.wazuh.com/current/installation-guide/) - Instructions de déploiement étape par étape - 🟢 [Démarrage rapide](https://documentation.wazuh.com/current/quickstart.html) - Opérationnel en 30 à 60 minutes - 🟢 [Wazuh Cloud](https://cloud.wazuh.com/) - Option SaaS entièrement gérée avec niveau gratuit - 🟢 [Démarrage rapide Docker](https://github.com/wazuh/wazuh-docker) - Déploiement en une commande pour les tests ## Guides d'installation Guides pas à pas pour l'installation, la configuration et les tâches opérationnelles de Wazuh. - 🟡 [samma-io/wazuh-help](https://github.com/samma-io/wazuh-help) - Aide à l'installation, dépannage et notes opérationnelles pour les déploiements Wazuh ## Déploiement ### Docker - 🟢 [Guide Docker officiel](https://documentation.wazuh.com/current/installation-guide/docker.html) - Documentation de déploiement en conteneur - 🟢 [Dépôt Docker](https://github.com/wazuh/wazuh-docker) - Fichiers et images Docker Compose (1 000+ étoiles) ### Kubernetes - 🟢 [Guide Kubernetes officiel](https://documentation.wazuh.com/current/installation-guide/kubernetes.html) - Déploiement en cluster K8s - 🟢 [Helm Charts](https://github.com/wazuh/wazuh-kubernetes) - Paquets Helm de qualité production avec support HA ### Terraform / OpenTofu - 🟡 [Fournisseur Terraform/OpenTofu](https://github.com/grulicht/terraform-provider-wazuh) - Fournisseur communautaire, activement maintenu - 🟡 [Registre Terraform](https://registry.terraform.io/providers/grulicht/wazuh) - Entrée officielle du registre Terraform - 🟢 [Demande de fonctionnalité](https://github.com/wazuh/wazuh/issues/20176) - Fournisseur Wazuh officiel (prévu) ### Ansible - 🟢 [Guide Ansible officiel](https://documentation.wazuh.com/current/deployment-options/deploying-with-ansible/index.html) - Automatisation de déploiement multi-hôtes - 🟢 [Playbooks Ansible](https://github.com/wazuh/wazuh-ansible) - Playbooks prêts à l'emploi (utiliser les branches de release pour la production) ### Plateformes cloud - 🟢 [Déploiement AWS](https://documentation.wazuh.com/current/cloud-security/aws/index.html) - CloudTrail, GuardDuty, Security Hub, Macie - 🟢 [Déploiement Azure](https://documentation.wazuh.com/current/cloud-security/azure/index.html) - Log Analytics, Microsoft Graph, Intune - 🟢 [Déploiement GCP](https://documentation.wazuh.com/current/cloud-security/gcp/index.html) - Intégration Pub/Sub et Cloud Storage - 🟢 [Machines virtuelles (OVA/AMI)](https://github.com/wazuh/wazuh-virtual-machines) - Images pré-construites pour POC rapide ### CI/CD & Tests - 🟢 [Wazuh QA](https://github.com/wazuh/wazuh-qa) - Infrastructure de tests automatisés et CI/CD ## Règles & Détection - 🟢 [Documentation sur les règles](https://documentation.wazuh.com/current/user-manual/ruleset/index.html) - Syntaxe des règles et optimisation - 🟢 [Guide des règles personnalisées](https://documentation.wazuh.com/current/user-manual/ruleset/custom.html) - Écriture et test de règles personnalisées - 🟢 [Ruleset officiel](https://github.com/wazuh/wazuh-ruleset) - Dépôt complet des règles ### Règles communautaires Collections de règles communautaires à usage général. - 🟡 [socfortress/Wazuh-Rules](https://github.com/socfortress/Wazuh-Rules) - Collection de règles communautaires - 🟡 [Ghost47-coder/Wazuh-Rules](https://github.com/Ghost47-coder/Wazuh-Rules) - Ensemble de règles personnalisées et décodeurs ### Règles spécifiques aux fournisseurs Décodeurs et rulesets pour des appareils, appliances et plateformes spécifiques. - 🟡 [Règles & Décodeurs Fortigate](https://github.com/alextibor/wazuh-fortigate-rules-decoders) - Surveillance des appareils Fortigate - 🟡 [Décodeur & Règles Pi-hole](https://github.com/Tomo-9925/wazuh-pi-hole-decoder-and-rules) - Surveillance et détection du DNS sinkhole Pi-hole - 🟡 [Synology DSM (st0rm-cr0w)](https://github.com/st0rm-cr0w/wazuh-synology-dsm-nas-decoder-and-rules) - Décodeur et règles Synology DSM - 🟡 [Synology DSM (Tomo-9925)](https://github.com/Tomo-9925/wazuh-synology-dsm-decoder-and-rules) - Implémentation alternative du décodeur Synology DSM - 🟡 [Décodeur Unifi](https://github.com/EvilForge/wazuh-unifi-decoder) - Surveillance réseau Ubiquiti Unifi ### Modules de détection - 🟢 [Surveillance de l'intégrité des fichiers (FIM)](https://documentation.wazuh.com/current/user-manual/capabilities/file-integrity-monitoring/index.html) - Détecter les modifications non autorisées de fichiers - 🟢 [Détection de vulnérabilités](https://documentation.wazuh.com/current/user-manual/capabilities/vulnerability-detection/index.html) - Analyse et évaluation CVE - 🟢 [Évaluation de configuration (SCA)](https://documentation.wazuh.com/current/user-manual/capabilities/sec-config-assessment/index.html) - Validation de conformité et durcissement - 🟢 [Détection de malwares](https://documentation.wazuh.com/current/user-manual/capabilities/malware-detection/index.html) - Intégration ClamAV et YARA - 🟢 [Réponse active](https://documentation.wazuh.com/current/user-manual/capabilities/active-response/index.html) - Réponse automatisée aux menaces ## Intégrations Connectez Wazuh à des plateformes externes pour l'alerting, le ticketing, le renseignement sur les menaces et l'orchestration. ### Alerting - 🟢 [Slack](https://documentation.wazuh.com/current/user-manual/manager/integration-with-external-apis.html) - Alertes en temps réel vers les canaux Slack - 🟢 [PagerDuty](https://documentation.wazuh.com/current/user-manual/manager/integration-with-external-apis.html) - Escalade d'incidents pour les astreintes - 🟢 [Email](https://documentation.wazuh.com/current/user-manual/manager/integration-with-external-apis.html) - Remise d'alertes SMTP ### Ticketing - 🟢 [Intégration API générique](https://documentation.wazuh.com/current/user-manual/manager/integration-with-external-apis.html) - Déclencher n'importe quelle API externe - 🟢 [Intégration ServiceNow](https://wazuh.com/blog/integrating-servicenow-with-wazuh/) - API REST + script Python - 🟡 [Intégration Jira](https://www.songer.pro/how-to-send-wazuh-alerts-to-jira/) - Guide communautaire ### Renseignement sur les menaces - 🟢 [VirusTotal](https://documentation.wazuh.com/current/user-manual/manager/integration-with-external-apis.html) - Enrichissement des hachages de fichiers et des URL - 🟢 [Listes CDB](https://documentation.wazuh.com/current/user-manual/ruleset/cdb-list.html) - Listes personnalisées de renseignement sur les menaces ### Plateformes cloud - 🟢 [AWS Security Hub](https://documentation.wazuh.com/current/cloud-security/aws/index.html) - Intégration CloudTrail, GuardDuty et Security Lake - 🟢 [Azure Sentinel](https://documentation.wazuh.com/current/cloud-security/azure/index.html) - Intégration Microsoft Sentinel - 🟢 [Google Cloud](https://documentation.wazuh.com/current/cloud-security/gcp/index.html) - Intégration des journaux d'audit Cloud ### SOAR - 🟡 [Shuffle SOAR](https://shuffler.io/) - SOAR open-source avec support Wazuh - 🟢 [Intégration Shuffle + Teams](https://wazuh.com/blog/integrating-wazuh-with-microsoft-teams-using-shuffle/) - Alerting Teams basé sur SOAR - 🟡 [Détection et réponse automatisées aux menaces (Medium)](https://medium.com/@naseefhussain83/automated-threat-detection-response-using-wazuh-shuffle-777bee8370fc) - Automatisation de la réponse aux menaces avec Wazuh + Shuffle dans un contexte réel ### Intégrations personnalisées - 🟡 [wazuh2thehive](https://github.com/crow1011/wazuh2thehive) - Intégration de la gestion de cas TheHive - 🟡 [wazuh-opencti](https://github.com/juaromu/wazuh-opencti) - Plateforme de renseignement sur les menaces OpenCTI - 🟡 [wazuh-integrations](https://github.com/maikroservice/wazuh-integrations) - Collection d'intégrations personnalisées - 🟡 [Exportateur Prometheus](https://github.com/pyToshka/wazuh-prometheus-exporter) - Métriques et surveillance Prometheus - 🟡 [Sophos-Wazuh-SOC](https://github.com/JoernSchoenyan/Sophos-Wazuh-SOC) - Intégration pare-feu Sophos et endpoint pour les opérations SOC - 🟡 [Alerting Telegram](https://github.com/bayusky/wazuh-telegram) - Script de notification Telegram - 🟡 [Telegram personnalisé](https://github.com/eugenehr/wazuh-custom-telegram) - Formatage avancé d'alertes Telegram - 🟡 [wazuh-nmap](https://github.com/juaromu/wazuh-nmap) - Intégration de scan réseau Nmap ## Maintenance ### Sauvegarde & Restauration - 🟢 [Créer une sauvegarde — Composants centraux](https://documentation.wazuh.com/current/migration-guide/files-backup/creating/wazuh-central-components.html) - Guide officiel : répertoires à sauvegarder (`/etc/wazuh-indexer/`, `/var/ossec/etc/`, certificats) avec `rsync` + `tar` - 🟢 [Restauration des composants centraux](https://documentation.wazuh.com/current/migration-guide/restoring/wazuh-central-components.html) - Restauration étape par étape pour nœud unique et cluster multi-nœuds - 🟢 [Gestion des sauvegardes d'index](https://wazuh.com/blog/index-backup-management/) - Blog officiel : snapshots OpenSearch pour les données d'alerte — système de fichiers, S3, Azure, GCS, automatisation SLM - 🟡 [Snapshot et restauration — Guide pratique](https://sobanmalikk.medium.com/snapshot-and-restore-configuration-in-wazuh-addb9ac3180e) - Tutoriel communautaire : configuration `path.repo`, snapshot via CLI et Dashboard UI, automatisation cron ### Problèmes connus **Les services Wazuh ne démarrent pas après un redémarrage sur Debian/Ubuntu** Un problème bien connu sur les installations tout-en-un : les services Wazuh (`wazuh-indexer`, `wazuh-manager`, `wazuh-dashboard`) n'ont pas de dépendances `After=` dans leurs unités systemd, ce qui provoque des conditions de course au démarrage. Symptômes : le dashboard renvoie « server is not ready yet », l'indexeur passe en état `failed`, ou le manager échoue en raison d'un fichier PID manquant. - 🟡 [wazuh-indexer #201](https://github.com/wazuh/wazuh-indexer/issues/201) - Échec de l'indexeur après redémarrage : répertoire `/var/log/wazuh-indexer/gc.log` manquant - 🟡 [wazuh-packages #1962](https://github.com/wazuh/wazuh-packages/issues/1962) - L'indexeur passe en état `failed` au redémarrage (v4.4.0+) - 🟡 [wazuh/wazuh #31037](https://github.com/wazuh/wazuh/issues/31037) - `Permission denied` sur le journal GC au démarrage JVM **Solution de contournement** : créez un override systemd pour imposer l'ordre de démarrage : ```ini # /etc/systemd/system/wazuh-manager.service.d/override.conf [Unit] After=wazuh-indexer.service network-online.target ``` ```ini # /etc/systemd/system/wazuh-dashboard.service.d/override.conf [Unit] After=wazuh-indexer.service network-online.target ``` Puis rechargez : `systemctl daemon-reload`. Si l'indexeur a encore besoin de temps supplémentaire pour s'initialiser, ajoutez `ExecStartPre=/bin/sleep 15` dans l'override du dashboard. ## Outils & Utilitaires - 🟡 [Wazuh Tools](https://github.com/branchnetconsulting/wazuh-tools) - Collection de scripts utilitaires opérationnels - 🟡 [Wazuh Auto-Generator](https://github.com/21Yeet21/wazuh-auto-generator) - Génération de décodeurs et règles à partir d'échantillons de logs bruts par analyse de motifs déterministe, avec analyse par lots et simulation d'extraction de champs dans l'application - 🟡 [MCP Server Wazuh](https://github.com/gbrigandi/mcp-server-wazuh) - Serveur Model Context Protocol pour Wazuh - 🟡 [Wazuh MCP Server](https://github.com/gensecaihq/Wazuh-MCP-Server) - Implémentation alternative de MCP ## Conformité Faites correspondre les capacités de Wazuh aux cadres réglementaires. - 🟢 [PCI-DSS](https://documentation.wazuh.com/current/compliance/pci-dss/index.html) - Norme de sécurité des données de l'industrie des cartes de paiement - 🟢 [GDPR](https://documentation.wazuh.com/current/compliance/gdpr/index.html) - Règlement européen sur la protection des données - 🟢 [NIS-2](https://wazuh.com/blog/ensuring-nis2-compliance-with-wazuh/) - Directive européenne sur les infrastructures critiques (échéance d'audit : 30 juin 2026) - 🟢 [ISO 27001](https://documentation.wazuh.com/current/compliance/index.html) - Norme de gestion de la sécurité de l'information - 🟢 [HIPAA](https://documentation.wazuh.com/current/compliance/hipaa/index.html) - Protection des données de santé - 🟢 [NIST 800-53](https://documentation.wazuh.com/current/compliance/nist/index.html) - Contrôles de sécurité fédéraux - 🟢 [TSC (SOC 2)](https://documentation.wazuh.com/current/compliance/tsc/index.html) - Critères de service de confiance ## Formation & Certification - 🟢 [Cours de formation officiels](https://wazuh.com/services/training-courses/) - Programme de certification autorisé de 4 jours - 🟡 [Tutoriels YouTube](https://www.youtube.com/c/WazuhProject) - Guides vidéo officiels - 🟡 [Udemy - Cours complet Wazuh](https://www.udemy.com/course/complete-wazuh-course/) - Du débutant à l'avancé - 🟡 [initMAX - Formation Wazuh](https://www.initmax.com/wazuh-training/) - Certification Wazuh Professional - 🟡 [SIEM Intelligence - Administrateur certifié Wazuh](https://www.siemintelligence.com/wazuh-admin-training) - Certification CWA ## Guides & Tutoriels Guides fournis par la communauté pour des cas d'usage spécifiques et des configurations avancées. ### Intégration IA & LLM - 🟡 [Ollama local dans le dashboard Wazuh](https://blog.pytoshka.me/en/post/local-ollama-in-the-wazuh-dashboard-for-llm-powered-insights/) - Informations d'alerte alimentées par LLM via une instance Ollama locale intégrée au dashboard Wazuh - 🟡 [Wazuh + AWS Bedrock + MCP (Partie 1)](https://blog.pytoshka.me/en/post/wazuh-aws-bedrock-mcp-part-1/) - Intégration de Wazuh avec AWS Bedrock et Model Context Protocol pour une analyse de sécurité pilotée par IA - 🟡 [Wazuh + AWS Bedrock + MCP (Partie 2)](https://blog.pytoshka.me/en/post/wazuh-aws-bedrock-mcp-part-2/) - Configuration avancée et cas d'usage pour l'intégration Wazuh + AWS Bedrock + MCP ### Détection & Réponse - 🟡 [Guide SOAR Flow](https://github.com/malwarekid/SOAR-Flow) - Modèles d'orchestration et d'automatisation SOAR - 🟡 [Guide de détection par force brute](https://github.com/hasanaijaz/Wazuh-SIEM-Bruteforce-Detection) - Détection et réponse aux attaques par force brute ### Général - 🟡 [Guide complet Wazuh](https://github.com/Esther7171/Wazuh-Complete-Guide) - Guide complet d'installation et de configuration de Wazuh ## Programme Ambassadeur Représentez Wazuh dans votre région. Devenez ambassadeur et partagez votre expertise. - 🟢 [Programme Ambassadeur Wazuh](https://wazuh.com/community/) - Comment devenir ambassadeur - [Guide des activités de l'ambassadeur](https://github.com/ttlab-research/awesome-wazuh/blob/main/docs/ambassador.md) - Création de contenu, conférences, formation, partenariats ## Communauté - 🟢 [Communauté Wazuh](https://wazuh.com/community/) - Espace Slack et forums - 🟢 [Discussions GitHub](https://github.com/wazuh/wazuh/discussions) - Questions/Réponses et demandes de fonctionnalités - 🟢 [Organisation GitHub](https://github.com/wazuh) - 31+ dépôts (14 600+ étoiles sur le principal) - 🟢 [Support professionnel](https://wazuh.com/services/professional-support/) - Services de support avec SLA ## Exemples Ce dépôt inclut des modèles de déploiement et des exemples : - Docker Compose ([examples/docker-compose/](https://github.com/ttlab-research/awesome-wazuh/blob/main/examples/docker-compose)) - Configurations mono-nœud et multi-nœuds - Terraform ([examples/terraform/](https://github.com/ttlab-research/awesome-wazuh/blob/main/examples/terraform)) - Modèles infrastructure-as-code (compatible OpenTofu) - Ansible ([examples/ansible/](https://github.com/ttlab-research/awesome-wazuh/blob/main/examples/ansible)) - Playbooks multi-hôtes - Vagrant ([examples/vagrant/](https://github.com/ttlab-research/awesome-wazuh/blob/main/examples/vagrant)) - Laboratoire local basé sur des VM ## Contribuer Les contributions sont les bienvenues. Pour ajouter une ressource : 1. Vérifiez que le lien fonctionne (HTTP 200) 2. Utilisez le badge approprié : 🟢 Officiel (projet Wazuh) | 🟡 Communauté 3. Limitez la description à 1-2 lignes, concrète et utile 4. Ajoutez dans la catégorie correcte, par ordre alphabétique 5. Soumettez une pull request Consultez [CONTRIBUTING.md](https://github.com/ttlab-research/awesome-wazuh/blob/main/CONTRIBUTING.md) pour les directives. **Organisé par** : Franco Tampieri ([TTlab® - Security & DevOps](https://ttlab.it/)) | [email protected] ## Licence [MIT](https://github.com/ttlab-research/awesome-wazuh/blob/main/LICENSE) --- **Badges** : 🟢 = Officiel (Wazuh) | 🟡 = Communauté
