Wazuh: instale o SIEM open source em servidor Linux

O Wazuh é um SIEM (Security Information and Event Management) open source: centraliza logs de servidores, firewalls e endpoints, detecta intrusão, monitora integridade de arquivos e ainda faz varredura de vulnerabilidades — tudo sem custo de licença. A instalação all-in-one oficial roda em uma única máquina com o comando wazuh-install.sh -a e fica pronta em 10 a 15 minutos.

O que o Wazuh resolve

Redes com FortiGate, MikroTik, switches TP-Link e servidores Linux geram log em formatos diferentes, cada um preso ao próprio console. O Wazuh unifica essa coleta: agentes leves (cerca de 35 MB de RAM cada) enviam eventos ao manager, que correlaciona com mais de 3 mil regras prontas e alerta em tempo real.

Os módulos que mais pesam na prática:

• Análise de log — correlaciona eventos de autenticação, firewall e aplicação.
• FIM (File Integrity Monitoring) — avisa quando um binário ou arquivo de configuração crítico muda.
• Detecção de vulnerabilidades — cruza o inventário de pacotes instalados com bases CVE.
• Resposta ativa — pode bloquear um IP automaticamente via script no próprio agente.

Requisitos antes de instalar

A instalação all-in-one (indexer + manager + dashboard na mesma máquina) pede recursos reais — é um stack baseado em OpenSearch, não um daemon leve:

• Mínimo: 2 vCPU, 4 GB de RAM, 50 GB de disco.
• Recomendado para produção: 4 vCPU, 8 GB de RAM, 100 GB em SSD.

Abaixo do mínimo o indexer (OpenSearch) derruba o serviço sob carga — é a causa mais comum de instalação que “funciona mas cai sozinha” depois de um dia. Libere também as portas: 443 (dashboard web), 1514 (recepção de eventos dos agentes), 1515 (registro/enrollment de agentes) e 55000 (API REST do manager).

Passo a passo: instalação all-in-one

1. Atualize o sistema (testado em Ubuntu 22.04/24.04):

   sudo apt update && sudo apt upgrade -y

2. Baixe o instalador oficial. A URL leva a série de versão atual — confira o número mais recente em documentation.wazuh.com/current/quickstart.html antes de rodar, porque o Wazuh lança novas séries 4.x com frequência:

   curl -sO https://packages.wazuh.com/4.x/wazuh-install.sh

3. Rode a instalação all-in-one (indexer, manager e dashboard juntos):

   sudo bash ./wazuh-install.sh -a

   O script leva de 10 a 15 minutos. Ele configura certificados TLS internos automaticamente — não pule etapas nem interrompa o processo no meio.

4. Guarde a senha gerada. Ao final, o instalador imprime a senha do usuário admin do dashboard uma única vez. Se perder, recupere assim:

   sudo tar -xf wazuh-install-files.tar
   sudo bash wazuh-passwords-tool.sh -u admin -p

5. Acesse o dashboard em https://IP-DO-SERVIDOR com o usuário admin e a senha guardada no passo anterior. O certificado é autoassinado — o navegador vai alertar, é esperado nesse cenário.

Registrando o primeiro agente

Sem agente instalado nos endpoints, o Wazuh só monitora a si mesmo. Para adicionar um servidor Linux à coleta:

1. No dashboard, vá em Agents management → Deploy new agent, selecione o sistema operacional do endpoint e a versão. A interface já monta o comando de instalação com o IP do manager embutido.
2. No endpoint, cole o comando gerado. Ele baixa o pacote do agente e já grava o IP do manager no arquivo ossec.conf — não é preciso editar manualmente.
3. Inicie o serviço:

   sudo systemctl daemon-reload
   sudo systemctl enable wazuh-agent
   sudo systemctl start wazuh-agent

4. Confirme a conexão no manager:

   sudo /var/ossec/bin/agent_control -l

   O agente deve aparecer com status Active. Se ficar em Never connected, o problema quase sempre é porta 1514/1515 bloqueada no firewall entre agente e manager.

Boas práticas que evitam retrabalho

Ativar o FIM (monitoramento de integridade de arquivos) em toda a árvore de disco parece mais seguro, mas não é: cada alteração de arquivo vira um evento, e em servidores com muita escrita (logs de aplicação, cache) isso satura o indexer e afoga alertas relevantes em ruído. Restrinja o FIM a diretórios sensíveis — /etc, binários do sistema, diretórios de configuração de serviços críticos — via syscheck no ossec.conf do agente.

Para quem já roda FortiGate, MikroTik ou switches TP-Link na rede, vale encaminhar o log dessas appliances por syslog para o próprio manager Wazuh: ele já tem decoders prontos para os formatos mais comuns de firewall, o que evita escrever parser próprio.

Perguntas frequentes

O Wazuh substitui um firewall como o FortiGate?
Não. O Wazuh é um SIEM — ele detecta e alerta sobre eventos de segurança, mas não filtra tráfego de rede. Os dois trabalham juntos: o firewall bloqueia, o Wazuh correlaciona os logs desse bloqueio com o resto do ambiente.

Preciso pagar alguma licença?
Não. O core do Wazuh (manager, indexer, dashboard e agentes) é open source sob licença GPLv2. A empresa por trás do projeto vende suporte e serviços gerenciados, mas o software em si é gratuito.

Dá para instalar o manager e o indexer em máquinas separadas?
Dá, e é o recomendado a partir de algumas centenas de agentes — o guia de instalação distribuída do Wazuh separa indexer, manager e dashboard em nós próprios para escalar cada camada de forma independente.

Quantos endpoints um único manager all-in-one aguenta?
Na configuração recomendada (4 vCPU, 8 GB de RAM), a referência prática gira em torno de algumas dezenas a baixa centena de agentes antes de precisar migrar para arquitetura distribuída — o número exato depende do volume de log gerado por cada endpoint.

O agente Windows funciona igual ao Linux?
Sim, o fluxo de instalação e registro é o mesmo pela interface do dashboard; a diferença fica nos decoders específicos que o Wazuh já traz prontos para Event Log do Windows.

Conclusão

O Wazuh entrega em uma tarde de trabalho o que muita infraestrutura pequena nunca chega a ter: visibilidade centralizada de segurança. Comece pela instalação all-in-one em uma VM de teste, registre dois ou três servidores críticos como agentes e calibre o FIM antes de expandir para o restante do parque — é mais fácil ajustar regras de alerta com dez agentes do que com cem.