Was ist Wazuh? Das Open-Source-SIEM im Homelab und wie es Zabbix ergänzt

Zabbix sagt mir, ob ein Server erreichbar ist, ob die Datenbank antwortet und wann das Zertifikat einer Website abläuft. Trotzdem bleiben Fragen offen: Wer hat sich auf dem Server angemeldet? Welche Pakete haben bekannte Sicherheitslücken? Hat jemand die SSH-Konfiguration verändert? Dafür habe ich zusätzlich Wazuh eingerichtet, ein Open-Source-SIEM.

Wazuh sammelt und bewertet Sicherheitsinformationen. In meinem Homelab laufen inzwischen zwölf Linux-Agenten: auf zwei Proxmox-Servern mit zahlreichen VMs und auf zwei VPS bei Hetzner. Dazu kommen die Ereignisse meines UniFi-Gateways. Entscheidend war für mich allerdings nicht die Zahl der gesammelten Logs. Erst mit einem verständlichen Dashboard und gezielten Benachrichtigungen wurde daraus ein Werkzeug, das ich im Alltag verwenden kann.

Wazuh als SIEM: was es eigentlich macht

SIEM steht für Security Information and Event Management. Ein SIEM führt Sicherheitsereignisse verschiedener Systeme zusammen. Damit lässt sich beispielsweise ein fehlgeschlagener SSH-Login auf einem Webserver neben einer Firewall-Meldung betrachten. Wazuh ergänzt die Logauswertung um Funktionen auf den überwachten Rechnern, darunter Dateiintegritätskontrolle, Paketinventar und Konfigurationsprüfungen. Der Hersteller beschreibt die Plattform als Open-Source-SIEM und XDR. Wazuh

Für mein Netzwerk sind fünf Fragen besonders hilfreich:

• Gibt es ungewöhnliche Anmeldungen oder wiederholte Loginversuche?
• Welche installierten Pakete werden bekannten CVEs zugeordnet?
• Welche wichtigen Konfigurationsdateien wurden verändert?
• Welche Härtungsprüfungen schlagen auf welchem System fehl?
• Welche Sicherheits- und Verwaltungsereignisse liefert UniFi?

Ein roter Eintrag beantwortet zunächst nur, welche Regel ausgelöst wurde. Er beweist keinen Einbruch. Diese Unterscheidung gehört direkt ins Dashboard, weil man sonst schnell die Anzahl der Meldungen mit der Anzahl tatsächlicher Angriffe verwechselt.

Wazuh und Zabbix übernehmen unterschiedliche Aufgaben

Die letzte Zeile ist leicht zu übersehen. Ein Wazuh-Monitor kann fehlende Daten erkennen, solange sein Indexer und die Benachrichtigung noch funktionieren. Fällt der komplette Wazuh-Server aus, braucht es eine Kontrolle außerhalb dieses Servers. Deshalb überwacht Zabbix bei mir unter anderem die Erreichbarkeit und den Zustand der Wazuh-Dienste.

Wer mit der Infrastrukturüberwachung anfangen möchte, findet die Schritte in der Zabbix-Installation und im Zabbix-Dashboard-Artikel.

Aus welchen Teilen die Installation besteht

Der Agent läuft auf einem überwachten Rechner. Der Manager nimmt seine Daten entgegen und wertet Ereignisse aus. Der Indexer speichert die durchsuchbaren Daten. Das Dashboard stellt sie dar. Für Netzwerkgeräte, auf denen kein Agent installiert werden kann, ist Syslog ein zusätzlicher Eingang. Wazuh-Architektur

Bei mir laufen Manager, Indexer und Dashboard in Docker auf einem Unraid-Server. Die Agenten sitzen auf den Linux-Systemen. Das funktioniert für meine Umgebung, macht den einzelnen Unraid-Host aber nicht redundant. Wer Hochverfügbarkeit benötigt, muss die Architektur entsprechend anders planen.

Warum die Standardansichten für mich nicht gereicht haben

Nach der Installation konnte ich sehr viele Ereignisse durchsuchen. Für einen schnellen Überblick musste ich jedoch zwischen Agenten, Schwachstellen, Loginmeldungen und Netzwerklogs hin- und herspringen. Ich habe deshalb sechs Dashboard-Seiten aufgebaut: Sicherheitslage, Anmeldungen und Web, Schwachstellen, Systeme und Härtung, UniFi und Netzwerk sowie Betrieb und Alarmierung.

Wichtig ist eine gemeinsame Sprache: Ein Paketbefund heißt Paketbefund. Ein fehlender Logeingang heißt fehlender Logeingang. Ein Gerät wird dadurch weder automatisch kompromittiert noch automatisch offline.

Für wen sich der Aufwand lohnt

Wenn du mehrere Linux-Systeme, öffentlich erreichbare Dienste oder ein größeres UniFi-Netz betreibst, hilft die zentrale Sicht bei der täglichen Kontrolle. Bei einem einzigen Rechner ist der Betrieb eines zusätzlichen Managers und Indexers dagegen ein spürbarer Aufwand. Wazuh braucht Pflege: Regeln, Updates, Speicherplatz, Backups und die Bewertung von Treffern bleiben deine Aufgabe.

Meine Empfehlung ist deshalb ein kleiner Anfang: Wazuh installieren, einen Agenten anbinden, ein echtes Ereignis prüfen und eine Benachrichtigung testen. Erst danach kommen weitere Systeme und die eigene Übersicht dazu. Im nächsten Artikel installiere ich den Docker-Stack.