awesome-wazuh

🛡️Подборки awesome-списков по различным интересным темам Wazuh XDR/SIEM

Официальная документация

• 🟢 Документация Wazuh — руководства по установке, настройке и использованию
• 🟢 Обзор архитектуры — системный дизайн и компоненты
• 🟢 Справочник API — конечные точки REST API
• 🟢 Блог Wazuh — еженедельные технические статьи
• 🟢 Примечания к выпускам — история версий и журнал изменений

Начало работы

• 🟢 Руководство по установке — пошаговая инструкция по развёртыванию
• 🟢 Быстрый старт — запуск за 30–60 минут
• 🟢 Wazuh Cloud — полностью управляемый SaaS с бесплатным уровнем
• 🟢 Docker Quick Start — развёртывание одной командой для тестирования

Руководства по настройке

Пошаговые руководства по установке, настройке и эксплуатации Wazuh.

• 🟡 samma-io/wazuh-help — помощь в настройке, устранение неисправностей и заметки по эксплуатации развёртываний Wazuh

Развёртывание

Docker

• 🟢 Официальное руководство по Docker — документация по развёртыванию в контейнерах
• 🟢 Репозиторий Docker — файлы Docker Compose и образы (более 1000 звёзд)

Kubernetes

• 🟢 Официальное руководство по Kubernetes — развёртывание в кластере K8s
• 🟢 Helm Charts — production-готовые Helm-пакеты с поддержкой высокой доступности

Terraform / OpenTofu

• 🟡 Провайдер Terraform/OpenTofu — провайдер сообщества, активно поддерживается
• 🟡 Реестр Terraform — запись в официальном реестре Terraform
• 🟢 Запрос функции — официальный провайдер Wazuh (планируется)

Ansible

• 🟢 Официальное руководство по Ansible — автоматизация развёртывания на нескольких хостах
• 🟢 Ansible Playbooks — готовые плейбуки (для production используйте ветки релизов)

Облачные платформы

• 🟢 Развёртывание в AWS — CloudTrail, GuardDuty, Security Hub, Macie
• 🟢 Развёртывание в Azure — Log Analytics, Microsoft Graph, Intune
• 🟢 Развёртывание в GCP — интеграция Pub/Sub и Cloud Storage
• 🟢 Виртуальные машины (OVA/AMI) — предустановленные образы для быстрого POC

CI/CD и тестирование

• 🟢 Wazuh QA — автоматизированное тестирование и инфраструктура CI/CD

Правила и обнаружение

• 🟢 Документация по правилам — синтаксис и оптимизация правил
• 🟢 Руководство по пользовательским правилам — написание и тестирование собственных правил
• 🟢 Официальный набор правил — полный репозиторий правил

Правила сообщества

Коллекции правил общего назначения от сообщества.

• 🟡 socfortress/Wazuh-Rules — коллекция правил сообщества
• 🟡 Ghost47-coder/Wazuh-Rules — собственный набор правил и декодеров

Правила для вендоров

Декодеры и наборы правил для конкретных устройств, приборов и платформ.

• 🟡 Правила и декодеры Fortigate — мониторинг устройств Fortigate
• 🟡 Декодер и правила Pi-hole — мониторинг и обнаружение DNS-фильтра Pi-hole
• 🟡 Synology DSM (st0rm-cr0w) — декодер и правила для Synology DSM
• 🟡 Synology DSM (Tomo-9925) — альтернативная реализация декодера Synology DSM
• 🟡 Декодер Unifi — мониторинг сети Ubiquiti Unifi

Модули обнаружения

• 🟢 Мониторинг целостности файлов (FIM) — обнаружение несанкционированных изменений файлов
• 🟢 Обнаружение уязвимостей — сканирование и оценка CVE
• 🟢 Оценка конфигурации (SCA) — проверка соответствия и усиление защиты
• 🟢 Обнаружение вредоносного ПО — интеграция с ClamAV и YARA
• 🟢 Активное реагирование — автоматическое реагирование на угрозы

Интеграции

Подключение Wazuh к внешним платформам для оповещений, тикет-систем, threat intelligence и оркестрации.

Оповещения

• 🟢 Slack — оповещения в реальном времени в каналы Slack
• 🟢 PagerDuty — эскалация инцидентов дежурным
• 🟢 Email — доставка оповещений по SMTP

Тикет-системы

• 🟢 Общая интеграция через API — вызов любого внешнего API
• 🟢 Интеграция с ServiceNow — REST API + Python-скрипт
• 🟡 Интеграция с Jira — руководство сообщества

Threat Intelligence

• 🟢 VirusTotal — обогащение хешей файлов и URL
• 🟢 CDB Lists — пользовательские списки угроз

Облачные платформы

• 🟢 AWS Security Hub — интеграция CloudTrail, GuardDuty и Security Lake
• 🟢 Azure Sentinel — интеграция с Microsoft Sentinel
• 🟢 Google Cloud — интеграция Cloud Audit Logs

SOAR

• 🟡 Shuffle SOAR — open-source SOAR с поддержкой Wazuh
• 🟢 Интеграция Shuffle + Teams — оповещения в Teams через SOAR
• 🟡 Автоматизированное обнаружение и реагирование на угрозы (Medium) — реальная автоматизация реагирования на угрозы с Wazuh и Shuffle

Пользовательские интеграции

• 🟡 wazuh2thehive — интеграция с TheHive для управления инцидентами
• 🟡 wazuh-opencti — платформа threat intelligence OpenCTI
• 🟡 wazuh-integrations — коллекция пользовательских интеграций
• 🟡 Экспортёр Prometheus — метрики и мониторинг Prometheus
• 🟡 Sophos-Wazuh-SOC — интеграция брандмауэра Sophos и конечных точек для SOC
• 🟡 Оповещения в Telegram — скрипт уведомлений в Telegram
• 🟡 Пользовательский Telegram — расширенное форматирование оповещений в Telegram
• 🟡 wazuh-nmap — интеграция сетевого сканирования Nmap

Обслуживание

Резервное копирование и восстановление

• 🟢 Создание резервной копии — центральные компоненты — официальное руководство: каталоги для резервирования (/etc/wazuh-indexer/, /var/ossec/etc/, сертификаты) с помощью rsync + tar
• 🟢 Восстановление центральных компонентов — пошаговое восстановление для одного узла и многоузлового кластера
• 🟢 Управление резервным копированием индексов — официальный блог: снапшоты OpenSearch для данных оповещений — файловая система, S3, Azure, GCS, автоматизация SLM
• 🟡 Создание снапшотов и восстановление — практическое руководство — руководство сообщества: настройка path.repo, создание снапшотов через CLI и панель Dashboard, автоматизация через cron

Известные проблемы

Службы Wazuh не запускаются после перезагрузки на Debian/Ubuntu

Известная проблема на установках «всё в одном»: службы Wazuh (wazuh-indexer, wazuh-manager, wazuh-dashboard) не имеют зависимостей After= в своих unit-файлах systemd, что приводит к гонкам при загрузке. Симптомы: dashboard возвращает «server is not ready yet», indexer переходит в состояние failed, или manager не запускается из-за отсутствия PID-файла.

• 🟡 wazuh-indexer #201 — Indexer не запускается после перезагрузки: отсутствует каталог /var/log/wazuh-indexer/gc.log
• 🟡 wazuh-packages #1962 — Indexer переходит в состояние failed при перезагрузке (v4.4.0+)
• 🟡 wazuh/wazuh #31037 — Permission denied в журнале GC при запуске JVM

Обход: создайте переопределение systemd для принудительного порядка запуска:

Затем перезагрузите: systemctl daemon-reload. Если indexer всё ещё требует дополнительного времени для инициализации, добавьте ExecStartPre=/bin/sleep 15 в переопределение dashboard.

Инструменты и утилиты

• 🟡 Wazuh Tools — сборник операционных скриптов-утилит
• 🟡 Wazuh Auto-Generator — генерация декодеров и правил из образцов сырых логов с помощью детерминированного анализа шаблонов, пакетный анализ логов и эмуляция извлечения полей в приложении
• 🟡 MCP Server Wazuh — сервер Model Context Protocol для Wazuh
• 🟡 Wazuh MCP Server — альтернативная реализация MCP

Соответствие требованиям

Сопоставление возможностей Wazuh с регуляторными рамками.

• 🟢 PCI-DSS — стандарт безопасности данных индустрии платежных карт
• 🟢 GDPR — регламент ЕС по защите данных
• 🟢 NIS-2 — директива ЕС по критической инфраструктуре (срок аудита — 30 июня 2026 г.)
• 🟢 ISO 27001 — стандарт управления информационной безопасностью
• 🟢 HIPAA — защита данных в здравоохранении
• 🟢 NIST 800-53 — федеральные меры безопасности
• 🟢 TSC (SOC 2) — критерии доверия к услугам

Обучение и сертификация

• 🟢 Официальные учебные курсы — 4-дневная авторизованная программа сертификации
• 🟡 Учебные пособия на YouTube — официальные видео-руководства
• 🟡 Udemy — Полный курс Wazuh — от начального до продвинутого уровня
• 🟡 initMAX — Обучение Wazuh — сертификация Certified Wazuh Professional
• 🟡 SIEM Intelligence — Сертифицированный администратор Wazuh — удостоверение CWA

Руководства и учебные пособия

Руководства от сообщества для конкретных сценариев использования и продвинутых конфигураций.

Интеграция с AI и LLM

• 🟡 Локальная Ollama в панели Wazuh — аналитика оповещений на основе LLM с использованием локального экземпляра Ollama, встроенного в Wazuh Dashboard
• 🟡 Wazuh + AWS Bedrock + MCP (Часть 1) — интеграция Wazuh с AWS Bedrock и Model Context Protocol для анализа безопасности с ИИ
• 🟡 Wazuh + AWS Bedrock + MCP (Часть 2) — продвинутая настройка и сценарии использования интеграции Wazuh + AWS Bedrock + MCP

Обнаружение и реагирование

• 🟡 Руководство по SOAR Flow — шаблоны оркестрации и автоматизации SOAR
• 🟡 Руководство по обнаружению брутфорса — обнаружение и реагирование на атаки методом перебора

Общие

• 🟡 Полное руководство по Wazuh — исчерпывающее руководство по установке и настройке Wazuh

Программа амбассадоров

Представляйте Wazuh в своём регионе. Станьте амбассадором и делитесь опытом.

• 🟢 Программа амбассадоров Wazuh — как стать амбассадором
• Руководство по деятельности амбассадора — создание контента, выступления, обучение, партнёрства

Сообщество

• 🟢 Сообщество Wazuh — рабочее пространство Slack и форумы
• 🟢 Обсуждения на GitHub — вопросы и ответы, запросы функций
• 🟢 Организация на GitHub — более 31 репозитория (14 600+ звёзд на основном)
• 🟢 Профессиональная поддержка — услуги поддержки с гарантированным SLA

Примеры

Этот репозиторий содержит шаблоны развёртывания и примеры:

• Docker Compose (examples/docker-compose/) — одноузловая и многоузловая конфигурации
• Terraform (examples/terraform/) — шаблоны «инфраструктура как код» (совместимо с OpenTofu)
• Ansible (examples/ansible/) — плейбуки для нескольких хостов
• Vagrant (examples/vagrant/) — локальная лаборатория на базе ВМ

Участие

Приветствуются любые вклады. Чтобы добавить ресурс:

1. Проверьте, что ссылка работает (HTTP 200)
2. Используйте соответствующий значок: 🟢 Официальный (проект Wazuh) | 🟡 Сообщество
3. Описание должно быть 1–2 строки, конкретным и полезным
4. Добавляйте в правильную категорию и в алфавитном порядке
5. Отправьте pull request

Подробнее в CONTRIBUTING.md.

Куратор: Franco Tampieri (TTlab® - Security & DevOps) | [email protected]

Лицензия

MIT

Значки: 🟢 = Официальный (Wazuh) | 🟡 = Сообщество