🛡️Подборки awesome-списков по различным интересным темам Wazuh XDR/SIEM
# awesome-wazuh [](https://awesome.re) > Подборка ресурсов, инструментов и интеграций Wazuh Wazuh — это бесплатная платформа мониторинга безопасности с открытым исходным кодом для предотвращения, обнаружения и реагирования на угрозы. ## Содержание - [Официальная документация](#official-documentation) - [Начало работы](#getting-started) - [Руководства по настройке](#setup-guides) - [Развёртывание](#deployment) - [Docker](#docker) - [Kubernetes](#kubernetes) - [Terraform / OpenTofu](#terraform--opentofu) - [Ansible](#ansible) - [Облачные платформы](#cloud-platforms) - [CI/CD и тестирование](#cicd--testing) - [Правила и обнаружение](#rules--detection) - [Правила сообщества](#community-rules) - [Правила для вендоров](#vendor-specific-rules) - [Модули обнаружения](#detection-modules) - [Интеграции](#integrations) - [Оповещения](#alerting) - [Тикет-системы](#ticketing) - [Threat Intelligence](#threat-intelligence) - [Облачные платформы](#cloud-platforms-1) - [SOAR](#soar) - [Пользовательские интеграции](#custom-integrations) - [Инструменты и утилиты](#tools--utilities) - [Обслуживание](#maintenance) - [Резервное копирование и восстановление](#backup--restore) - [Известные проблемы](#known-issues) - [Соответствие требованиям](#compliance) - [Обучение и сертификация](#training--certification) - [Руководства и учебные пособия](#guides--tutorials) - [Интеграция с AI и LLM](#ai--llm-integration) - [Обнаружение и реагирование](#detection--response) - [Общие](#general) - [Программа амбассадоров](#ambassador-program) - [Сообщество](#community) - [Участие](#contributing) ## Официальная документация - 🟢 [Документация Wazuh](https://documentation.wazuh.com/) — руководства по установке, настройке и использованию - 🟢 [Обзор архитектуры](https://documentation.wazuh.com/current/getting-started/architecture.html) — системный дизайн и компоненты - 🟢 [Справочник API](https://documentation.wazuh.com/current/user-manual/api/reference.html) — конечные точки REST API - 🟢 [Блог Wazuh](https://wazuh.com/blog/) — еженедельные технические статьи - 🟢 [Примечания к выпускам](https://documentation.wazuh.com/current/release-notes/index.html) — история версий и журнал изменений ## Начало работы - 🟢 [Руководство по установке](https://documentation.wazuh.com/current/installation-guide/) — пошаговая инструкция по развёртыванию - 🟢 [Быстрый старт](https://documentation.wazuh.com/current/quickstart.html) — запуск за 30–60 минут - 🟢 [Wazuh Cloud](https://cloud.wazuh.com/) — полностью управляемый SaaS с бесплатным уровнем - 🟢 [Docker Quick Start](https://github.com/wazuh/wazuh-docker) — развёртывание одной командой для тестирования ## Руководства по настройке Пошаговые руководства по установке, настройке и эксплуатации Wazuh. - 🟡 [samma-io/wazuh-help](https://github.com/samma-io/wazuh-help) — помощь в настройке, устранение неисправностей и заметки по эксплуатации развёртываний Wazuh ## Развёртывание ### Docker - 🟢 [Официальное руководство по Docker](https://documentation.wazuh.com/current/installation-guide/docker.html) — документация по развёртыванию в контейнерах - 🟢 [Репозиторий Docker](https://github.com/wazuh/wazuh-docker) — файлы Docker Compose и образы (более 1000 звёзд) ### Kubernetes - 🟢 [Официальное руководство по Kubernetes](https://documentation.wazuh.com/current/installation-guide/kubernetes.html) — развёртывание в кластере K8s - 🟢 [Helm Charts](https://github.com/wazuh/wazuh-kubernetes) — production-готовые Helm-пакеты с поддержкой высокой доступности ### Terraform / OpenTofu - 🟡 [Провайдер Terraform/OpenTofu](https://github.com/grulicht/terraform-provider-wazuh) — провайдер сообщества, активно поддерживается - 🟡 [Реестр Terraform](https://registry.terraform.io/providers/grulicht/wazuh) — запись в официальном реестре Terraform - 🟢 [Запрос функции](https://github.com/wazuh/wazuh/issues/20176) — официальный провайдер Wazuh (планируется) ### Ansible - 🟢 [Официальное руководство по Ansible](https://documentation.wazuh.com/current/deployment-options/deploying-with-ansible/index.html) — автоматизация развёртывания на нескольких хостах - 🟢 [Ansible Playbooks](https://github.com/wazuh/wazuh-ansible) — готовые плейбуки (для production используйте ветки релизов) ### Облачные платформы - 🟢 [Развёртывание в AWS](https://documentation.wazuh.com/current/cloud-security/aws/index.html) — CloudTrail, GuardDuty, Security Hub, Macie - 🟢 [Развёртывание в Azure](https://documentation.wazuh.com/current/cloud-security/azure/index.html) — Log Analytics, Microsoft Graph, Intune - 🟢 [Развёртывание в GCP](https://documentation.wazuh.com/current/cloud-security/gcp/index.html) — интеграция Pub/Sub и Cloud Storage - 🟢 [Виртуальные машины (OVA/AMI)](https://github.com/wazuh/wazuh-virtual-machines) — предустановленные образы для быстрого POC ### CI/CD и тестирование - 🟢 [Wazuh QA](https://github.com/wazuh/wazuh-qa) — автоматизированное тестирование и инфраструктура CI/CD ## Правила и обнаружение - 🟢 [Документация по правилам](https://documentation.wazuh.com/current/user-manual/ruleset/index.html) — синтаксис и оптимизация правил - 🟢 [Руководство по пользовательским правилам](https://documentation.wazuh.com/current/user-manual/ruleset/custom.html) — написание и тестирование собственных правил - 🟢 [Официальный набор правил](https://github.com/wazuh/wazuh-ruleset) — полный репозиторий правил ### Правила сообщества Коллекции правил общего назначения от сообщества. - 🟡 [socfortress/Wazuh-Rules](https://github.com/socfortress/Wazuh-Rules) — коллекция правил сообщества - 🟡 [Ghost47-coder/Wazuh-Rules](https://github.com/Ghost47-coder/Wazuh-Rules) — собственный набор правил и декодеров ### Правила для вендоров Декодеры и наборы правил для конкретных устройств, приборов и платформ. - 🟡 [Правила и декодеры Fortigate](https://github.com/alextibor/wazuh-fortigate-rules-decoders) — мониторинг устройств Fortigate - 🟡 [Декодер и правила Pi-hole](https://github.com/Tomo-9925/wazuh-pi-hole-decoder-and-rules) — мониторинг и обнаружение DNS-фильтра Pi-hole - 🟡 [Synology DSM (st0rm-cr0w)](https://github.com/st0rm-cr0w/wazuh-synology-dsm-nas-decoder-and-rules) — декодер и правила для Synology DSM - 🟡 [Synology DSM (Tomo-9925)](https://github.com/Tomo-9925/wazuh-synology-dsm-decoder-and-rules) — альтернативная реализация декодера Synology DSM - 🟡 [Декодер Unifi](https://github.com/EvilForge/wazuh-unifi-decoder) — мониторинг сети Ubiquiti Unifi ### Модули обнаружения - 🟢 [Мониторинг целостности файлов (FIM)](https://documentation.wazuh.com/current/user-manual/capabilities/file-integrity-monitoring/index.html) — обнаружение несанкционированных изменений файлов - 🟢 [Обнаружение уязвимостей](https://documentation.wazuh.com/current/user-manual/capabilities/vulnerability-detection/index.html) — сканирование и оценка CVE - 🟢 [Оценка конфигурации (SCA)](https://documentation.wazuh.com/current/user-manual/capabilities/sec-config-assessment/index.html) — проверка соответствия и усиление защиты - 🟢 [Обнаружение вредоносного ПО](https://documentation.wazuh.com/current/user-manual/capabilities/malware-detection/index.html) — интеграция с ClamAV и YARA - 🟢 [Активное реагирование](https://documentation.wazuh.com/current/user-manual/capabilities/active-response/index.html) — автоматическое реагирование на угрозы ## Интеграции Подключение Wazuh к внешним платформам для оповещений, тикет-систем, threat intelligence и оркестрации. ### Оповещения - 🟢 [Slack](https://documentation.wazuh.com/current/user-manual/manager/integration-with-external-apis.html) — оповещения в реальном времени в каналы Slack - 🟢 [PagerDuty](https://documentation.wazuh.com/current/user-manual/manager/integration-with-external-apis.html) — эскалация инцидентов дежурным - 🟢 [Email](https://documentation.wazuh.com/current/user-manual/manager/integration-with-external-apis.html) — доставка оповещений по SMTP ### Тикет-системы - 🟢 [Общая интеграция через API](https://documentation.wazuh.com/current/user-manual/manager/integration-with-external-apis.html) — вызов любого внешнего API - 🟢 [Интеграция с ServiceNow](https://wazuh.com/blog/integrating-servicenow-with-wazuh/) — REST API + Python-скрипт - 🟡 [Интеграция с Jira](https://www.songer.pro/how-to-send-wazuh-alerts-to-jira/) — руководство сообщества ### Threat Intelligence - 🟢 [VirusTotal](https://documentation.wazuh.com/current/user-manual/manager/integration-with-external-apis.html) — обогащение хешей файлов и URL - 🟢 [CDB Lists](https://documentation.wazuh.com/current/user-manual/ruleset/cdb-list.html) — пользовательские списки угроз ### Облачные платформы - 🟢 [AWS Security Hub](https://documentation.wazuh.com/current/cloud-security/aws/index.html) — интеграция CloudTrail, GuardDuty и Security Lake - 🟢 [Azure Sentinel](https://documentation.wazuh.com/current/cloud-security/azure/index.html) — интеграция с Microsoft Sentinel - 🟢 [Google Cloud](https://documentation.wazuh.com/current/cloud-security/gcp/index.html) — интеграция Cloud Audit Logs ### SOAR - 🟡 [Shuffle SOAR](https://shuffler.io/) — open-source SOAR с поддержкой Wazuh - 🟢 [Интеграция Shuffle + Teams](https://wazuh.com/blog/integrating-wazuh-with-microsoft-teams-using-shuffle/) — оповещения в Teams через SOAR - 🟡 [Автоматизированное обнаружение и реагирование на угрозы (Medium)](https://medium.com/@naseefhussain83/automated-threat-detection-response-using-wazuh-shuffle-777bee8370fc) — реальная автоматизация реагирования на угрозы с Wazuh и Shuffle ### Пользовательские интеграции - 🟡 [wazuh2thehive](https://github.com/crow1011/wazuh2thehive) — интеграция с TheHive для управления инцидентами - 🟡 [wazuh-opencti](https://github.com/juaromu/wazuh-opencti) — платформа threat intelligence OpenCTI - 🟡 [wazuh-integrations](https://github.com/maikroservice/wazuh-integrations) — коллекция пользовательских интеграций - 🟡 [Экспортёр Prometheus](https://github.com/pyToshka/wazuh-prometheus-exporter) — метрики и мониторинг Prometheus - 🟡 [Sophos-Wazuh-SOC](https://github.com/JoernSchoenyan/Sophos-Wazuh-SOC) — интеграция брандмауэра Sophos и конечных точек для SOC - 🟡 [Оповещения в Telegram](https://github.com/bayusky/wazuh-telegram) — скрипт уведомлений в Telegram - 🟡 [Пользовательский Telegram](https://github.com/eugenehr/wazuh-custom-telegram) — расширенное форматирование оповещений в Telegram - 🟡 [wazuh-nmap](https://github.com/juaromu/wazuh-nmap) — интеграция сетевого сканирования Nmap ## Обслуживание ### Резервное копирование и восстановление - 🟢 [Создание резервной копии — центральные компоненты](https://documentation.wazuh.com/current/migration-guide/files-backup/creating/wazuh-central-components.html) — официальное руководство: каталоги для резервирования (`/etc/wazuh-indexer/`, `/var/ossec/etc/`, сертификаты) с помощью `rsync` + `tar` - 🟢 [Восстановление центральных компонентов](https://documentation.wazuh.com/current/migration-guide/restoring/wazuh-central-components.html) — пошаговое восстановление для одного узла и многоузлового кластера - 🟢 [Управление резервным копированием индексов](https://wazuh.com/blog/index-backup-management/) — официальный блог: снапшоты OpenSearch для данных оповещений — файловая система, S3, Azure, GCS, автоматизация SLM - 🟡 [Создание снапшотов и восстановление — практическое руководство](https://sobanmalikk.medium.com/snapshot-and-restore-configuration-in-wazuh-addb9ac3180e) — руководство сообщества: настройка `path.repo`, создание снапшотов через CLI и панель Dashboard, автоматизация через cron ### Известные проблемы **Службы Wazuh не запускаются после перезагрузки на Debian/Ubuntu** Известная проблема на установках «всё в одном»: службы Wazuh (`wazuh-indexer`, `wazuh-manager`, `wazuh-dashboard`) не имеют зависимостей `After=` в своих unit-файлах systemd, что приводит к гонкам при загрузке. Симптомы: dashboard возвращает «server is not ready yet», indexer переходит в состояние `failed`, или manager не запускается из-за отсутствия PID-файла. - 🟡 [wazuh-indexer #201](https://github.com/wazuh/wazuh-indexer/issues/201) — Indexer не запускается после перезагрузки: отсутствует каталог `/var/log/wazuh-indexer/gc.log` - 🟡 [wazuh-packages #1962](https://github.com/wazuh/wazuh-packages/issues/1962) — Indexer переходит в состояние `failed` при перезагрузке (v4.4.0+) - 🟡 [wazuh/wazuh #31037](https://github.com/wazuh/wazuh/issues/31037) — `Permission denied` в журнале GC при запуске JVM **Обход**: создайте переопределение systemd для принудительного порядка запуска: ```ini # /etc/systemd/system/wazuh-manager.service.d/override.conf [Unit] After=wazuh-indexer.service network-online.target ``` ```ini # /etc/systemd/system/wazuh-dashboard.service.d/override.conf [Unit] After=wazuh-indexer.service network-online.target ``` Затем перезагрузите: `systemctl daemon-reload`. Если indexer всё ещё требует дополнительного времени для инициализации, добавьте `ExecStartPre=/bin/sleep 15` в переопределение dashboard. ## Инструменты и утилиты - 🟡 [Wazuh Tools](https://github.com/branchnetconsulting/wazuh-tools) — сборник операционных скриптов-утилит - 🟡 [Wazuh Auto-Generator](https://github.com/21Yeet21/wazuh-auto-generator) — генерация декодеров и правил из образцов сырых логов с помощью детерминированного анализа шаблонов, пакетный анализ логов и эмуляция извлечения полей в приложении - 🟡 [MCP Server Wazuh](https://github.com/gbrigandi/mcp-server-wazuh) — сервер Model Context Protocol для Wazuh - 🟡 [Wazuh MCP Server](https://github.com/gensecaihq/Wazuh-MCP-Server) — альтернативная реализация MCP ## Соответствие требованиям Сопоставление возможностей Wazuh с регуляторными рамками. - 🟢 [PCI-DSS](https://documentation.wazuh.com/current/compliance/pci-dss/index.html) — стандарт безопасности данных индустрии платежных карт - 🟢 [GDPR](https://documentation.wazuh.com/current/compliance/gdpr/index.html) — регламент ЕС по защите данных - 🟢 [NIS-2](https://wazuh.com/blog/ensuring-nis2-compliance-with-wazuh/) — директива ЕС по критической инфраструктуре (срок аудита — 30 июня 2026 г.) - 🟢 [ISO 27001](https://documentation.wazuh.com/current/compliance/index.html) — стандарт управления информационной безопасностью - 🟢 [HIPAA](https://documentation.wazuh.com/current/compliance/hipaa/index.html) — защита данных в здравоохранении - 🟢 [NIST 800-53](https://documentation.wazuh.com/current/compliance/nist/index.html) — федеральные меры безопасности - 🟢 [TSC (SOC 2)](https://documentation.wazuh.com/current/compliance/tsc/index.html) — критерии доверия к услугам ## Обучение и сертификация - 🟢 [Официальные учебные курсы](https://wazuh.com/services/training-courses/) — 4-дневная авторизованная программа сертификации - 🟡 [Учебные пособия на YouTube](https://www.youtube.com/c/WazuhProject) — официальные видео-руководства - 🟡 [Udemy — Полный курс Wazuh](https://www.udemy.com/course/complete-wazuh-course/) — от начального до продвинутого уровня - 🟡 [initMAX — Обучение Wazuh](https://www.initmax.com/wazuh-training/) — сертификация Certified Wazuh Professional - 🟡 [SIEM Intelligence — Сертифицированный администратор Wazuh](https://www.siemintelligence.com/wazuh-admin-training) — удостоверение CWA ## Руководства и учебные пособия Руководства от сообщества для конкретных сценариев использования и продвинутых конфигураций. ### Интеграция с AI и LLM - 🟡 [Локальная Ollama в панели Wazuh](https://blog.pytoshka.me/en/post/local-ollama-in-the-wazuh-dashboard-for-llm-powered-insights/) — аналитика оповещений на основе LLM с использованием локального экземпляра Ollama, встроенного в Wazuh Dashboard - 🟡 [Wazuh + AWS Bedrock + MCP (Часть 1)](https://blog.pytoshka.me/en/post/wazuh-aws-bedrock-mcp-part-1/) — интеграция Wazuh с AWS Bedrock и Model Context Protocol для анализа безопасности с ИИ - 🟡 [Wazuh + AWS Bedrock + MCP (Часть 2)](https://blog.pytoshka.me/en/post/wazuh-aws-bedrock-mcp-part-2/) — продвинутая настройка и сценарии использования интеграции Wazuh + AWS Bedrock + MCP ### Обнаружение и реагирование - 🟡 [Руководство по SOAR Flow](https://github.com/malwarekid/SOAR-Flow) — шаблоны оркестрации и автоматизации SOAR - 🟡 [Руководство по обнаружению брутфорса](https://github.com/hasanaijaz/Wazuh-SIEM-Bruteforce-Detection) — обнаружение и реагирование на атаки методом перебора ### Общие - 🟡 [Полное руководство по Wazuh](https://github.com/Esther7171/Wazuh-Complete-Guide) — исчерпывающее руководство по установке и настройке Wazuh ## Программа амбассадоров Представляйте Wazuh в своём регионе. Станьте амбассадором и делитесь опытом. - 🟢 [Программа амбассадоров Wazuh](https://wazuh.com/community/) — как стать амбассадором - [Руководство по деятельности амбассадора](https://github.com/ttlab-research/awesome-wazuh/blob/main/docs/ambassador.md) — создание контента, выступления, обучение, партнёрства ## Сообщество - 🟢 [Сообщество Wazuh](https://wazuh.com/community/) — рабочее пространство Slack и форумы - 🟢 [Обсуждения на GitHub](https://github.com/wazuh/wazuh/discussions) — вопросы и ответы, запросы функций - 🟢 [Организация на GitHub](https://github.com/wazuh) — более 31 репозитория (14 600+ звёзд на основном) - 🟢 [Профессиональная поддержка](https://wazuh.com/services/professional-support/) — услуги поддержки с гарантированным SLA ## Примеры Этот репозиторий содержит шаблоны развёртывания и примеры: - Docker Compose ([examples/docker-compose/](https://github.com/ttlab-research/awesome-wazuh/blob/main/examples/docker-compose)) — одноузловая и многоузловая конфигурации - Terraform ([examples/terraform/](https://github.com/ttlab-research/awesome-wazuh/blob/main/examples/terraform)) — шаблоны «инфраструктура как код» (совместимо с OpenTofu) - Ansible ([examples/ansible/](https://github.com/ttlab-research/awesome-wazuh/blob/main/examples/ansible)) — плейбуки для нескольких хостов - Vagrant ([examples/vagrant/](https://github.com/ttlab-research/awesome-wazuh/blob/main/examples/vagrant)) — локальная лаборатория на базе ВМ ## Участие Приветствуются любые вклады. Чтобы добавить ресурс: 1. Проверьте, что ссылка работает (HTTP 200) 2. Используйте соответствующий значок: 🟢 Официальный (проект Wazuh) | 🟡 Сообщество 3. Описание должно быть 1–2 строки, конкретным и полезным 4. Добавляйте в правильную категорию и в алфавитном порядке 5. Отправьте pull request Подробнее в [CONTRIBUTING.md](https://github.com/ttlab-research/awesome-wazuh/blob/main/CONTRIBUTING.md). **Куратор**: Franco Tampieri ([TTlab® - Security & DevOps](https://ttlab.it/)) | [email protected] ## Лицензия [MIT](https://github.com/ttlab-research/awesome-wazuh/blob/main/LICENSE) --- **Значки**: 🟢 = Официальный (Wazuh) | 🟡 = Сообщество
