Wazuh-Blog

Mit Wazuh 5.0 verändert sich die Verwaltung von Sicherheitsereignissen und deren Aufbewahrung grundlegend. Statt täglich neue Indizes zu erstellen, setzt Wazuh auf Data Streams mit volumenbasierter Rotation. Das hat direkte Auswirkungen auf Storage-Planung, Datenaufbewahrung und den Aufbau einer Hot/Warm/Cold-Architektur. Besonders für Administratoren, die von Wazuh 4.x auf Wazuh 5.0 migrieren oder eine neue Produktionsumgebung planen, … Weiterlesen

Die mandantenfähige Nutzung von Wazuh stellt besondere Anforderungen an die Trennung sicherheitsrelevanter Ereignisse. Während sich Endgeräte mit installierten Wazuh-Agenten über Agent-Gruppen und Labels relativ einfach einzelnen Mandanten zuordnen lassen, ist die Situation bei agentenlosen Syslog-Quellen deutlich komplexer. Insbesondere Firewalls, Switches, Router und andere Netzwerkgeräte, die ihre Logs direkt an den Wazuh Manager senden, können zu … Weiterlesen

Einleitung Ein kontinuierlicher Anstieg der Shard-Anzahl kann in Wazuh-Umgebungen langfristig zu erheblichen Betriebsproblemen führen. Besonders bei Single-Node-Installationen mit OpenSearch als Wazuh Indexer ist die verfügbare Shard-Kapazität begrenzt. Wird das konfigurierte Limit erreicht, können keine weiteren Indizes angelegt werden. Dadurch besteht das Risiko, dass neue Security-Events nicht mehr zuverlässig indexiert und für die Analyse bereitgestellt werden. … Weiterlesen

Einleitung In größeren Wazuh-Umgebungen ist die zentrale Registrierung und Verwaltung von Agents ein wesentlicher Bestandteil der Sicherheitsarchitektur. Doch nicht jede Installation soll eine unbegrenzte Anzahl an Endpunkten aufnehmen können. Gerade in Multi-Tenant-Umgebungen, Managed-Security-Services (MSSP), Testinstallationen oder streng kontrollierten Infrastrukturen kann es erforderlich sein, die Anzahl registrierter Wazuh Agents gezielt zu begrenzen. Eine typische Anforderung lautet: … Weiterlesen

Ein Upgrade eines Wazuh-Clusters ist nicht nur eine Frage der korrekten Aktualisierung von Manager-, Worker- und Indexer-Komponenten. Gerade in größeren Umgebungen entsteht eine zusätzliche Herausforderung, sobald nach einem Wartungsfenster mehrere Tausend Wazuh-Agenten nahezu gleichzeitig ihre Verbindung zum Cluster wiederherstellen. Die Folge können kurzfristige Lastspitzen, überfüllte Decoder-Queues und im ungünstigsten Fall verlorene Security-Events sein. Besonders kritisch … Weiterlesen

Einleitung Die Integration von AWS CloudTrail in Wazuh ermöglicht es, Aktivitäten innerhalb einer AWS-Umgebung zentral zu überwachen, sicherheitsrelevante API-Aufrufe zu erkennen und Cloud-Ereignisse für spätere Untersuchungen verfügbar zu machen. Während die kontinuierliche Verarbeitung neuer CloudTrail-Ereignisse in vielen Umgebungen problemlos funktioniert, stellt der nachträgliche Import großer historischer Datenmengen besondere Anforderungen an die Wazuh-Architektur. Bereits ein einzelner … Weiterlesen

Einleitung Kritische Schwachstellen in PHP stellen Security Operations Center (SOC) vor besondere Herausforderungen. Insbesondere dann, wenn betroffene Webanwendungen außerhalb der eigenen Infrastruktur betrieben werden und keine direkte Überwachung der Webserver möglich ist. Mit den unter der Bezeichnung PHP2Shell diskutierten Schwachstellen CVE-2026-109618 und CVE-2026-109619 rückt diese Problematik erneut in den Fokus. Beide Schwachstellen werden mit einer … Weiterlesen

Einleitung Nach einem Upgrade des Wazuh Managers auf Version 4.14.7 kann beim Aufruf des Kommandozeilenwerkzeugs agent_upgrade eine Python-Warnung erscheinen: Die Meldung wirkt auf den ersten Blick wie ein Fehler im Agent-Upgrade-Prozess. Tatsächlich handelt es sich jedoch um eine Deprecation-Warnung aus der mit Wazuh ausgelieferten Python-Laufzeitumgebung. Das eigentliche CLI-Werkzeug und der Upgrade-Mechanismus können weiterhin ordnungsgemäß funktionieren. … Weiterlesen

Einleitung In produktiven Wazuh-Umgebungen entstehen regelmäßig legitime Ereignisse, die technisch auf Erkennungsregeln passen, aber keinen Sicherheitsvorfall darstellen. Typische Beispiele sind Schwachstellenscanner, Monitoring-Systeme, interne Administrationsserver oder autorisierte Penetrationstests. Solche Quellen sollen häufig von bestimmten Alarmen ausgenommen werden. Eine Ausnahme in einer einzelnen Wazuh-Regel bedeutet jedoch nicht automatisch, dass das Ereignis vollständig ignoriert wird. Passt dasselbe Ereignis … Weiterlesen