SIEM Rules & Detection9. Februar 2026 · 5 Min. Lesezeit

Wazuh als Open-Source-SIEM: Schritt-für-Schritt-Setup für KMU

Einleitung

Ein vollwertiges SIEM ohne Lizenzkosten? Mit Wazuh geht das. Die Open-Source-Plattform vereint EDR, Log-Management, File Integrity Monitoring und Vulnerability Detection unter einer Oberfläche. Dieser Artikel führt dich vom Server-Setup bis zur ersten produktiven Detection – mit konkreten Konfigurationen, nicht nur Marketing-Versprechen.

Warum das Thema wichtig ist

KMU stehen beim Thema SIEM oft vor einer Wahl: Enterprise-Tool für ein Vermögen, fortgeschrittenes EDR-Abo mit Vendor-Lock-in oder gar nichts. Wazuh ist die dritte Option, die in der Diskussion meistens fehlt: vollständig Open Source, technisch erwachsen (Fork von OSSEC mit massiven Erweiterungen), mit Agent-Support für Windows, Linux, macOS, Solaris, AIX. Out of the box bekommst du Log-Korrelation, MITRE-ATT&CK-Mapping, CIS-Benchmarks und Schwachstellen-Scanning. Für die meisten KMU-Umgebungen ist das mehr als ausreichend.

Was Wazuh ist – und was nicht

Was Wazuh kann:

Was Wazuh nicht ist:

Für 80–90 % aller KMU-Use-Cases reicht das.

Architektur

Wazuh besteht aus drei Komponenten:

Plus Wazuh Agents auf den Endpoints, die Logs und Telemetrie zum Manager senden.

Sizing-Faustregel:

Endpoints RAM CPU Disk (90 Tage)
< 50 8 GB 4 vCPU 200 GB
50 – 200 16 GB 8 vCPU 1 TB
200 – 1000 32 GB 16 vCPU 4 TB

Für KMU < 100 Endpoints reicht eine einzelne VM mit allen drei Komponenten.

Installation: All-in-One auf Ubuntu 22.04

# Wazuh-Installer herunterladen
curl -sO https://packages.wazuh.com/4.7/wazuh-install.sh

# All-in-One Installation
sudo bash ./wazuh-install.sh -a

Nach 10–20 Minuten bekommst du Output mit den Admin-Credentials. Notiere sie sicher.

Dashboard öffnen unter https://<server-ip> – Login mit dem generierten admin-Passwort.

Ersten Agent ausrollen

Windows

Auf dem Wazuh-Dashboard: Endpoints → Deploy new agent → Windows. Du bekommst eine PowerShell-Befehlszeile, die du auf dem Zielsystem als Admin ausführst:

Invoke-WebRequest -Uri https://packages.wazuh.com/4.x/windows/wazuh-agent-4.7.0-1.msi `
  -OutFile $env:tmp\wazuh-agent.msi

msiexec.exe /i $env:tmp\wazuh-agent.msi /q `
  WAZUH_MANAGER='wazuh.example.local' `
  WAZUH_REGISTRATION_SERVER='wazuh.example.local'

NET START WazuhSvc

Linux

# Repository hinzufügen
curl -s https://packages.wazuh.com/key/GPG-KEY-WAZUH | sudo gpg --no-default-keyring \
  --keyring gnupg-ring:/usr/share/keyrings/wazuh.gpg --import
echo "deb [signed-by=/usr/share/keyrings/wazuh.gpg] https://packages.wazuh.com/4.x/apt/ stable main" \
  | sudo tee /etc/apt/sources.list.d/wazuh.list

# Agent installieren
sudo apt update
sudo WAZUH_MANAGER='wazuh.example.local' apt install -y wazuh-agent
sudo systemctl enable --now wazuh-agent

Der Agent meldet sich nach dem Start am Manager an und taucht im Dashboard auf.

Wichtige Module konfigurieren

File Integrity Monitoring (FIM)

In der Agent-Konfiguration (ossec.conf auf Linux, Wazuh\ossec.conf auf Windows):

<syscheck>
  <directories check_all="yes" realtime="yes">/etc,/usr/bin,/usr/sbin</directories>
  <directories check_all="yes" realtime="yes">/var/spool/cron</directories>
  <directories check_all="yes" report_changes="yes">/etc/ssh</directories>
  <ignore>/var/log</ignore>
  <frequency>43200</frequency>
</syscheck>

Log-Collection

<localfile>
  <log_format>syslog</log_format>
  <location>/var/log/auth.log</location>
</localfile>

<localfile>
  <log_format>eventchannel</log_format>
  <location>Microsoft-Windows-Sysmon/Operational</location>
</localfile>

Vulnerability Detection (Manager-seitig)

In /var/ossec/etc/ossec.conf:

<vulnerability-detector>
  <enabled>yes</enabled>
  <interval>5m</interval>
  <run_on_start>yes</run_on_start>
  <provider name="canonical">
    <enabled>yes</enabled>
    <os>focal</os>
    <os>jammy</os>
  </provider>
  <provider name="msu">
    <enabled>yes</enabled>
  </provider>
  <provider name="nvd">
    <enabled>yes</enabled>
  </provider>
</vulnerability-detector>

Manager neustarten: systemctl restart wazuh-manager. Findings landen unter Vulnerabilities im Dashboard.

CIS-Benchmarks (SCA)

Standardmäßig aktiv. Findings unter Security configuration assessment. Was den CIS-Benchmark bricht, fliegt direkt ins Dashboard.

Eigene Detection-Regel schreiben

Eine Wazuh-Regel besteht aus Decoder (parst das Log) und Rule (matcht auf parserisierte Felder).

Beispiel: Detection für mehrfach fehlgeschlagene SSH-Logins (existiert bereits, aber gut zum Verstehen).

In /var/ossec/etc/rules/local_rules.xml:

<group name="local,sshd,">
  <rule id="100100" level="10" frequency="6" timeframe="60">
    <if_matched_sid>5716</if_matched_sid>
    <same_source_ip />
    <description>SSH brute force – 6 Failures in 60 seconds from $(srcip)</description>
    <mitre>
      <id>T1110.001</id>
    </mitre>
  </rule>
</group>

Manager neustarten – die Regel ist aktiv. Im Dashboard taucht sie bei Auslösen unter Threat Hunting auf.

SIGMA-Rules nach Wazuh konvertieren

Mit sigma-cli und dem Wazuh-Backend kannst du SIGMA-Regeln in Wazuh-Format umwandeln:

sigma plugin install wazuh
sigma convert -t wazuh office_mshta.yml

Active Response: Mehr als nur Alerts

Wazuh kann auf Alerts reagieren. Beispiel: SSH-Brute-Force → IP für 10 Minuten blocken.

<active-response>
  <command>firewall-drop</command>
  <location>local</location>
  <rules_id>100100</rules_id>
  <timeout>600</timeout>
</active-response>

Vorsicht: Active Response ist mächtig und kann False Positives in Outages verwandeln. Anfangs nur in Testphase.

Tuning: Der wichtigste Schritt

Out-of-the-box produziert Wazuh viele Alerts – manche relevant, viele Rauschen. Tuning ist Pflicht:

  1. Top-Alerts der ersten Woche analysieren
  2. Bekannte legitime Quellen auf eine Whitelist setzen
  3. Rules anpassen oder per <no_log>1</no_log> unterdrücken
  4. Regelmäßig wiederholen

Praxis-Checkliste

Fazit

Wazuh ist kein Spielzeug. Es ist ein produktives SIEM mit ernsthaften EDR-Funktionen, das viele KMU-Anforderungen abdeckt – ohne Lizenzkosten, ohne Cloud-Zwang. Der Aufwand für Setup ist überschaubar (ein Tag für die Erst-Installation, eine Woche für die ersten 50 Agents). Tuning bleibt eine kontinuierliche Aufgabe – aber das gilt für jedes SIEM.

Wenn du tiefer einsteigen willst: Im Newsletter zeige ich jeden Monat konkrete Wazuh-Konfigurationen, Detection-Rules und Tuning-Tipps. Trag dich ein.

← Zurück zur Übersicht