Wazuh: мониторинг безопасности (SIEM/XDR) для инфраструктуры на своём сервере

Большинство компаний узнают об инциденте безопасности постфактум — когда данные уже утекли, сервер заражён или кто-то получил доступ, которого у него быть не должно. Причина почти всегда одна: за инфраструктурой никто системно не наблюдает, логи разбросаны по разным машинам и никто их не читает. Коммерческие SIEM-системы, которые решают эту задачу, стоят дорого и часто завязаны на зарубежные сервисы. Wazuh — это open-source альтернатива: платформа безопасности, которую можно развернуть на собственном сервере и которая объединяет сбор логов, обнаружение угроз и контроль соответствия в одном месте. Ниже разберу, что это за инструмент, кому он нужен и что требуется для запуска.

Что такое Wazuh и какие задачи закрывает

Wazuh — это бесплатная open-source платформа для мониторинга безопасности, которая совмещает две роли: SIEM (Security Information and Event Management) и XDR (Extended Detection and Response). Если без аббревиатур, то это система, которая собирает события безопасности со всех ваших серверов и рабочих станций, анализирует их по заданным правилам, выявляет подозрительное и опасное и сообщает об этом ответственному человеку. По сути это центральный пост наблюдения за всей инфраструктурой.

Работает Wazuh по модели «агент — сервер». На каждую защищаемую машину ставится небольшой агент, который собирает логи, отслеживает изменения в файлах, проверяет состояние системы и отправляет всё это на центральный сервер. Сервер обрабатывает поток событий, сопоставляет их с базой правил и индикаторов угроз и формирует понятную картину: где спокойно, где есть отклонения, а где требуется срочное вмешательство. Результаты видны в едином веб-интерфейсе с дашбордами и поиском по событиям.

По нише Wazuh занимает то же место, что и дорогие коммерческие SIEM-решения, но с принципиальным отличием в модели владения. Коммерческую систему вы покупаете по лицензии и часто платите за объём собираемых данных, а Wazuh устанавливаете у себя и владеете полностью. Нет лицензионных платежей за количество событий, нет ситуации, когда чувствительные логи вашей инфраструктуры обрабатываются на чужой стороне. Для компаний, которым безопасность важна по-настоящему, это серьёзный аргумент.

Что умеет: логи, вторжения, целостность, уязвимости

Первая опора платформы — сбор и анализ логов. Wazuh централизованно собирает события с операционных систем, веб-серверов, баз данных, сетевого оборудования и приложений, приводит их к единому виду и анализирует. Вместо того чтобы вручную заходить на каждую машину и читать разрозненные файлы, вы получаете единый поток событий с поиском, фильтрами и группировкой. Это основа любого расследования: когда что-то случилось, нужно быстро понять, что именно и в каком порядке происходило.

Вторая опора — обнаружение вторжений и аномалий. Платформа сопоставляет события с обширной базой правил и реагирует на признаки атак: перебор паролей, попытки повышения привилегий, подозрительные команды, активность вредоносного ПО, нетипичное поведение пользователей. При срабатывании правила формируется оповещение, которое можно отправить ответственному по почте или в мессенджер. Так подозрительная активность не теряется в шуме, а попадает к человеку, который может на неё отреагировать.

Третья опора — контроль целостности файлов. Wazuh отслеживает изменения в важных системных и прикладных файлах и сообщает, если кто-то изменил, добавил или удалил то, что трогать не должны были. Это один из самых надёжных способов заметить взлом или несанкционированное вмешательство: даже аккуратный злоумышленник обычно оставляет следы в файловой системе. Сюда же примыкает мониторинг уязвимостей — платформа сверяет установленное программное обеспечение с базами известных уязвимостей и показывает, где стоят устаревшие версии, требующие обновления.

Четвёртая опора — оценка соответствия требованиям (compliance) и оповещения. Wazuh умеет проверять конфигурации систем на соответствие принятым стандартам безопасности и формировать отчёты, которые пригодятся при внутреннем или внешнем аудите. В связке с настраиваемыми оповещениями это превращает платформу из пассивного хранилища логов в активный инструмент: система не просто копит данные, а сама обращает ваше внимание на то, что требует действий.

Архитектура: из чего состоит система

Чтобы понимать, что именно вы разворачиваете и почему это требует ресурсов, полезно представлять состав платформы. Wazuh — это не одна программа, а связка из четырёх компонентов.

Именно индексер и определяет большую часть требований к железу: события нужно не только принять, но и хранить в поисковом виде. Отсюда простое правило — чем длиннее срок хранения логов, тем больше диска и памяти нужно.

Есть и безагентный режим: сетевое оборудование, межсетевые экраны и устройства, куда агент не поставить, отдают логи по стандартным протоколам передачи журналов. Так в общую картину попадают маршрутизаторы и коммутаторы, на которых своего агента быть не может.

Про ресурсы честно: точные цифры зависят от количества агентов и объёма событий, но порядок такой. Для небольшой инфраструктуры на десяток-полтора машин обычно говорят о сервере с несколькими ядрами, 8–16 гигабайтами оперативной памяти и десятками гигабайт диска под события. Для сотни агентов ресурсы растут кратно, а компоненты имеет смысл разносить по разным машинам. Планируйте рост заранее: система, которая захлебнулась и перестала принимать события, хуже, чем её отсутствие, потому что создаёт ложное чувство защищённости.

Установка по шагам

Разберу порядок действий, чтобы было понятно, из чего складывается работа. Это не пошаговая инструкция с командами — конкретные команды меняются от версии к версии, и правильный источник здесь официальная документация проекта. Важнее логика этапов.

1. Подобрать сервер. Оцените число машин под наблюдением, ожидаемый поток событий и желаемый срок хранения. От этого считаются процессор, память и диск. Лучше заложить запас: расширять хранилище на работающей системе неприятно.
2. Подготовить операционную систему. Актуальная серверная Linux-система, обновления, настроенное время (расхождение часов ломает корреляцию событий), закрытый межсетевым экраном доступ.
3. Развернуть центральные компоненты. Индексер, менеджер и дашборд. Для небольшой инсталляции их ставят на одну машину, для крупной разносят и добавляют отказоустойчивость.
4. Настроить доступ. HTTPS с нормальным сертификатом, смена паролей по умолчанию, ограничение доступа к веб-интерфейсу по адресам или через отдельный защищённый канал. Система мониторинга безопасности, торчащая в интернет с дефолтным паролем, — это не ирония, а частая находка при аудитах.
5. Установить агенты и зарегистрировать их на сервере.
6. Настроить сбор данных: какие журналы читать, за какими каталогами и файлами следить, как часто проверять состояние систем.
7. Отстроить правила и уровни оповещений. Самый долгий этап. Задача — убрать шум и оставить то, на что действительно нужно реагировать.
8. Подключить уведомления в почту или мессенджер, назначить ответственных и определить, что делать по каждому типу оповещения.
9. Настроить резервное копирование конфигураций и данных. Про подход к бэкапам я писал в разборе про шифрованное резервное копирование на Duplicati.
10. Провести проверку боем. Смоделируйте события: неудачные попытки входа, изменение системного файла, установка постороннего пакета. Убедитесь, что оповещение доходит до человека, а не просто появляется в интерфейсе.

Отдельно про сроки: базовое развёртывание занимает часы, доведение до работающего состояния — недели. Основное время уходит не на установку, а на восьмой пункт.

Подключение агентов: Linux и Windows

Агенты ставятся и на серверы, и на рабочие станции, и подход к ним немного разный.

На Linux-серверах агент устанавливается из репозитория проекта, прописывается адрес менеджера и регистрационный ключ, после чего служба запускается и машина появляется в списке. Здесь обычно всё проходит гладко. Полезно сразу настроить, какие журналы читать: системный журнал, журналы веб-сервера, базы данных, почтового сервера. И включить контроль целостности для критичных каталогов — системных конфигураций, каталогов веб-приложений, файлов автозапуска.

На Windows агент ставится как служба и читает журналы событий: безопасность, система, приложения, а при необходимости — журналы конкретных программ. Здесь нужно быть аккуратнее с объёмом: журнал безопасности Windows на активной машине генерирует очень много записей, и если тянуть всё подряд, вы быстро забьёте хранилище малополезными данными. Фильтровать нужно на этапе настройки, а не потом.

Что стоит учесть при массовом подключении:

• Регистрация должна быть автоматизирована. Ставить агент руками на пятидесяти машинах — потерянная неделя. Разворачивайте через средства управления парком или скрипты.
• Связь агента с сервером должна быть разрешена на межсетевых экранах, и это первое, что стоит проверить, если машина не появляется в списке.
• Ноутбуки вне офиса. Продумайте, как они будут достукиваться до сервера: через защищённый канал или через вынесенную точку приёма.
• Нагрузка на рабочие станции. Агент лёгкий, но при агрессивных настройках контроля целостности он способен заметно нагрузить диск. Настраивайте частоту проверок разумно.
• Инвентаризация. Агент собирает список установленного ПО — это само по себе полезно, даже вне задач безопасности: вы наконец узнаете, что реально стоит на машинах сотрудников.

Полезные правила и оповещения для типового бизнеса

Из коробки правил тысячи, и включать всё подряд — верный способ утонуть в шуме. Для типовой компании я начинаю с короткого списка того, что действительно требует внимания.

• Множественные неудачные попытки входа с последующим успешным входом. Классический признак подбора пароля, который увенчался успехом.
• Вход под административной учётной записью в нерабочее время или с непривычного адреса.
• Изменение системных конфигураций — файлы настройки служб, правила межсетевого экрана, планировщик задач, автозапуск.
• Появление новых файлов в каталогах веб-приложений. Один из самых надёжных индикаторов взлома сайта: злоумышленник почти всегда оставляет загруженный скрипт.
• Создание новых учётных записей и добавление в административные группы.
• Массовое изменение или шифрование файлов — ранний признак работы шифровальщика. Здесь важны минуты, и автоматическая реакция вроде блокировки адреса или остановки службы окупает всю систему разом.
• Установка нового программного обеспечения на серверах и остановка служб безопасности.
• Обнаруженные уязвимости высокого уровня в установленном ПО по результатам сверки с базами.
• Отключение агента или пропажа машины со связи. Тишина от агента — тоже сигнал: его могли выключить намеренно.

Ключевой принцип настройки: у оповещения должен быть адресат и понятное действие. Если на сигнал никто не реагирует, его не должно быть в списке — иначе через месяц команда перестанет читать вообще все уведомления. Лучше пять правил, по которым действительно поднимают трубку, чем сто, которые уходят в отдельную папку почты.

И ещё: часть угроз лежит вообще не в плоскости технических правил. Самый аккуратно настроенный мониторинг не спасёт от сотрудника, который отдал пароль по телефону, — об этой стороне я писал в материале про то, почему сотрудники остаются главной дырой в безопасности.

Кому и для каких задач подходит

Wazuh в первую очередь нужен компаниям, для которых безопасность и аудит — не формальность, а реальное требование. Если у вас есть несколько серверов, на которых крутятся важные сервисы, базы данных с информацией клиентов или внутренние системы, то отсутствие мониторинга означает, что вы работаете вслепую. Платформа даёт ту самую видимость: что происходит с инфраструктурой прямо сейчас и что происходило в прошлом.

Особенно платформа полезна организациям, которые обрабатывают персональные данные и обязаны соблюдать требования законодательства. Здесь Wazuh помогает закрыть сразу две задачи: фиксировать события безопасности для последующего разбора и готовить отчёты о соответствии требованиям. Для бизнеса, который периодически проходит аудит или хочет к нему подготовиться, наличие выстроенного мониторинга — серьёзный плюс.

Подходит платформа и техническим командам, которым нужно отслеживать состояние парка серверов и рабочих станций без покупки дорогой коммерческой системы. Вместо того чтобы вкладываться в лицензии, можно развернуть open-source решение и направить бюджет на настройку и сопровождение под свою специфику. Это разумный выбор для компаний, которым важен контроль над собственными данными.

Стоит честно сказать и об обратной стороне: совсем небольшим проектам с одним сервером и без чувствительных данных полноценный SIEM может оказаться избыточным. Wazuh раскрывается там, где есть что защищать и кому реагировать на оповещения — то есть там, где безопасность встроена в рабочие процессы, а не существует на бумаге.

Что нужно для запуска: сервер, настройка, сопровождение

Wazuh — это серьёзная серверная система, и для неё нужна соответствующая площадка. Центральный сервер, который принимает и анализирует поток событий со всех машин, требователен к ресурсам: ему нужны процессор, оперативная память и достаточный объём дискового пространства, потому что логи и события занимают много места и должны храниться какое-то время для расследований и отчётности. Чем больше машин под наблюдением и чем дольше срок хранения, тем мощнее должен быть сервер.

Кроме самого сервера понадобится установка агентов на все защищаемые системы, настройка защищённого соединения между агентами и сервером, доступ к веб-интерфейсу по HTTPS и продуманное резервное копирование. Поскольку речь о данных безопасности, сама система мониторинга тоже должна быть надёжно защищена — иначе она сама станет привлекательной целью.

Ключевой момент, о котором важно сказать прямо: Wazuh — это не история про «поставил и забыл». Базовая установка из коробки даёт лишь старт. Реальная ценность появляется тогда, когда правила обнаружения настроены под вашу инфраструктуру, лишний шум отфильтрован, важные оповещения доходят до нужных людей, а ложные срабатывания не приучают команду игнорировать сигналы. Это требует грамотной первоначальной настройки и постоянного сопровождения: правила нужно поддерживать в актуальном состоянии, реагировать на новые угрозы и подстраивать систему по мере развития инфраструктуры.

Отдельный плюс собственной установки — контроль над данными. Все логи и события безопасности остаются на вашем сервере, который можно разместить в российской юрисдикции с учётом требований 152-ФЗ. Это удобнее, чем доверять чувствительную информацию о вашей инфраструктуре стороннему облачному сервису, и проще выстраивается под требования аудита.

Соответствие требованиям: 152-ФЗ и аудит

Здесь важно сразу расставить акценты, потому что тему любят подавать некорректно. Ни один инструмент не делает компанию соответствующей требованиям закона. Соответствие — это процессы, документы и организационные меры, а технические средства их поддерживают. Wazuh закрывает именно техническую часть, и делает это хорошо.

Что конкретно он даёт при работе с персональными данными и при подготовке к проверкам:

• Регистрация событий безопасности. Кто, когда и к каким системам обращался, какие действия выполнял, были ли неудачные попытки доступа. Это базовое требование любой методики защиты информации, и без централизованного сбора логов оно не выполняется физически.
• Контроль целостности. Фиксация несанкционированных изменений в файлах и конфигурациях — отдельное требование, которое системой закрывается напрямую.
• Управление уязвимостями. Регулярная сверка установленного ПО с базами известных уязвимостей и понятный отчёт, что нужно обновить.
• Проверка конфигураций на соответствие принятым практикам безопасности, с отчётами и историей изменений.
• Доказательная база при инциденте. Если что-то произошло, у вас есть хронология событий, а не догадки. Это принципиально и для внутреннего разбора, и для взаимодействия с регулятором.
• Хранение логов внутри контура. Данные не уезжают в чужое облако — размещение на собственном сервере в российской юрисдикции снимает целый пласт вопросов.

Чего Wazuh не делает: не пишет за вас политику обработки персональных данных, не оформляет уведомление регулятору, не назначает ответственного и не проводит классификацию информационных систем. Организационная часть остаётся на компании. Что именно требуется по документам, я разбирал в материале про аудит по 152-ФЗ, а базовую техническую гигиену для веб-части — в чек-листе безопасности сайта из 47 пунктов.

Wazuh против платных SIEM

Вопрос «а почему не купить коммерческую систему» абсолютно правомерный. Сравню честно, без агитации в обе стороны.

Вывод простой. Если у вас есть свой специалист или подрядчик, готовый сопровождать систему, Wazuh даёт возможности уровня коммерческого решения без лицензионных платежей. Если внутренней экспертизы нет совсем и никто не готов вести систему, коммерческий продукт с контрактом на поддержку может оказаться разумнее — платите не за софт, а за то, что за него отвечает кто-то другой. Общая логика такого выбора та же, что в разборе про свою разработку против готового решения по стоимости владения.

Типичные ошибки и подводные камни

Собрал то, что вижу чаще всего при разборе чужих инсталляций.

• Поставили и не настроили. Самая массовая история. Система работает, дашборд красивый, правила дефолтные, оповещения никуда не идут. Формально мониторинг есть, фактически — нет.
• Шум вместо сигнала. Включили всё подряд, получили сотни уведомлений в день, через две недели команда завела правило в почте «в отдельную папку». Дальше система бесполезна.
• Недооценили диск. Логи растут быстрее ожиданий, хранилище заполняется, сбор событий останавливается — и часто об этом узнают через месяц.
• Не защитили сам сервер мониторинга. Открытый веб-интерфейс, пароли по умолчанию, отсутствие обновлений. Система, знающая всё о вашей инфраструктуре, — лакомая цель.
• Нет ответственного. Оповещения приходят на общий ящик, который никто не читает. Мониторинг без человека — это просто архив.
• Нет реакции на инцидент. Сигнал получили, а что делать — не написано. Нужен хотя бы короткий регламент: кто отключает машину, кто меняет пароли, кому звонить.
• Забыли про резервные копии самой системы. Конфигурации и правила, которые настраивались месяц, живут в единственном экземпляре.
• Не следят за отвалившимися агентами. Половина машин молчит уже полгода, а по дашборду кажется, что всё спокойно.
• Мониторинг вместо резервных копий. Wazuh покажет, что вас шифруют, но не вернёт данные. Про то, почему бэкапы важнее, чем кажется, есть отдельный материал.

Когда Wazuh избыточен

Скажу прямо, потому что это честнее, чем продавать всем подряд. Полноценный SIEM нужен не каждому, и в ряде случаев деньги лучше потратить на другое.

Вам, скорее всего, рано, если: у вас один сайт на хостинге и нет своих серверов; в компании нет человека, который будет читать оповещения; чувствительных данных немного, а базовая защита ещё не выстроена. В такой ситуации разумнее сначала закрыть фундамент — нормальные пароли и менеджер паролей, двухфакторная аутентификация, регулярные обновления, работающие резервные копии, разграничение прав доступа. Эти меры дают больше защиты на вложенный рубль, чем самый продвинутый мониторинг.

Более лёгкие альтернативы для промежуточного этапа: мониторинг доступности на Uptime Kuma, если задача — знать, что сервис упал; Zabbix, если нужен мониторинг состояния инфраструктуры без акцента на безопасность. Это разные инструменты про разное, и они не заменяют друг друга.

Wazuh становится оправданным, когда у вас несколько серверов и парк рабочих станций, есть данные, потеря которых реально навредит бизнесу, и есть человек или подрядчик, который будет с системой работать. Организационную часть при этом всё равно придётся выстраивать — начать можно с базовой гигиены для распределённой команды, о которой я писал в разборе про кибербезопасность удалённой команды.

Как внедрить под ключ

Самостоятельное развёртывание Wazuh — это заметно больше, чем установка приложения. Нужно подобрать сервер достаточной мощности под ожидаемый объём событий, развернуть центральный компонент и хранилище, установить и подключить агенты на все машины, настроить шифрование, доступы и резервное копирование. И это только техническая база — дальше начинается главное: адаптация правил под вашу инфраструктуру, чтобы система ловила реальные угрозы, а не заваливала вас бесполезными уведомлениями.

Я беру эту работу на себя. Подбираю сервер под ваши задачи и масштаб, разворачиваю платформу, подключаю агенты, настраиваю сбор логов, контроль целостности файлов, обнаружение угроз и оповещения, проверяю систему на реальных сценариях и передаю вам работающий мониторинг с понятными дашбордами. При необходимости настраиваю отчёты для аудита и остаюсь на связи для сопровождения, обновления правил и реагирования на изменения в инфраструктуре.

За плечами 16+ лет в IT и опыт развёртывания open-source решений под конкретные задачи бизнеса. Если вам нужно видеть, что происходит с безопасностью ваших серверов, ловить инциденты вовремя и быть готовыми к аудиту — без дорогих коммерческих SIEM и с данными под вашим контролем — разверну и настрою Wazuh под ключ, а вы получите систему, которой можно доверять.

Частые вопросы

Чем Wazuh отличается от коммерческих SIEM? По задачам он закрывает ту же нишу: сбор логов, обнаружение угроз, оповещения и отчётность. Разница в модели владения — Wazuh open-source, его ставят на свой сервер без лицензионных платежей за объём данных, и все события безопасности остаются у вас, а не у поставщика.

Можно ли поставить и забыть? Нет, и это важно понимать честно. Wazuh требует грамотной настройки правил под вашу инфраструктуру и постоянного сопровождения: иначе он либо будет молчать о реальных угрозах, либо завалит команду ложными срабатываниями. Это рабочий инструмент, а не разовая установка.

Помогает ли Wazuh с требованиями 152-ФЗ и аудитом? Платформа помогает фиксировать события безопасности и готовить отчёты о соответствии, а размещение на вашем сервере в российской юрисдикции упрощает контроль над данными. При этом сам по себе инструмент не делает компанию автоматически соответствующей закону — он лишь поддерживает процессы, которые выстраивает организация.

Сколько ресурсов нужно серверу? Это зависит от числа подключённых машин, объёма событий и срока хранения логов. Чем больше инфраструктура, тем мощнее нужен центральный сервер. Под конкретный масштаб ресурсы рассчитываются заранее, и я помогаю это сделать на этапе подбора.

Из чего состоит система? Из четырёх частей: менеджер принимает и анализирует события, агенты собирают данные на защищаемых машинах, индексер хранит и индексирует события для поиска, дашборд показывает картину в браузере. Для небольшой инфраструктуры центральные компоненты ставятся на один сервер, для крупной разносятся.

Работает ли Wazuh с Windows? Да. Агент ставится как служба и читает журналы событий Windows, а также контролирует целостность файлов и инвентаризирует установленное ПО. Важно на этапе настройки отфильтровать лишние события: журнал безопасности Windows очень многословен и способен быстро забить хранилище.

Когда Wazuh не нужен? Если у вас один сайт на хостинге, нет своих серверов и некому читать оповещения. В этом случае полезнее сначала закрыть базу: пароли, двухфакторная аутентификация, обновления, резервные копии, разграничение доступа. Для задачи «узнать, что сервис упал» достаточно более простого мониторинга доступности.

Мы не держим штатного специалиста по безопасности — нам это подойдёт? Установку и настройку я беру на себя и передаю систему с понятными дашбордами и инструкцией. Для сопровождения и реагирования на оповещения нужен человек, который будет за этим следить, — эту роль можно закрыть как силами вашей команды, так и через регулярную поддержку с моей стороны.

Коротко о главном

Wazuh — это зрелая open-source платформа безопасности, совмещающая SIEM и XDR: сбор и анализ логов, обнаружение вторжений и аномалий, контроль целостности файлов, мониторинг уязвимостей, оценку соответствия требованиям и оповещения об инцидентах. Главная ценность — видимость того, что реально происходит с безопасностью инфраструктуры, и возможность ловить подозрительную активность вовремя, а не узнавать об инциденте постфактум. Платформа подходит компаниям, для которых важны безопасность и аудит, и помогает с требованиями по защите данных, оставляя всё под вашим контролем. Это серьёзный инструмент, который требует грамотной настройки и сопровождения, поэтому запуск разумнее доверить специалисту — чтобы сразу получить работающую систему мониторинга, а не разбираться с настройкой правил в одиночку.