Wazuh · 开源 XDR/SIEM 安全平台｜部署与使用全指南
项目仓库： https://github.com/wazuh/wazuh
开源协议：引擎 AGPLv3 / 共享库 GPLv2 或 AGPLv3 双许可 / 其余 GPLv2 · 架构：Agent + Manager + Wazuh Indexer · 编排：Docker / Ansible / K8s / CloudFormation 等 · 官方文档：documentation.wazuh.com
1 项目简介
Wazuh 是开源安全平台，由部署在被监控系统上的端点安全 Agent、集中收集分析数据的管理服务器（Manager）组成，并与 Wazuh Indexer 集成提供搜索引擎与可视化。它源自 OSSEC 项目，融合 XDR、SIEM、EDR 能力。
1.1 核心信息一览
| 项目项 | 内容 |
|---|---|
| 项目名称 | Wazuh |
| 仓库地址 | github.com/wazuh/wazuh |
| 项目定位 | 开源 XDR/SIEM 安全平台 |
| 架构 | Agent + Manager + Indexer |
| 许可证 | 引擎 AGPLv3；共享库 GPLv2/AGPLv3；其余 GPLv2 |
| 编排工具 | Docker / Ansible / K8s / CloudFormation / Chef / Puppet / Salt / Bosh |
| 官方文档 | documentation.wazuh.com |
1.2 适用场景
- 端点检测与响应（XDR/EDR）。
- 日志分析与 SIEM 告警。
- 漏洞管理、文件完整性监控（FIM）、云安全。
1.3 能力边界（官方口径）
main分支为最新代码，可能有 bug。- 引擎（
src/engine/，即wazuh-manager-analysisd）采用 AGPLv3。
2 核心能力
- 日志数据分析：Agent 读取 OS/应用日志，安全转发到中心 Manager 做规则分析；无 Agent 时也可通过 syslog 接收网络设备数据。
- 漏洞检测、FIM、NIDS、云安全。
- 容器安全：原生集成 Docker，监控镜像、卷、网络与运行容器。
- WUI：Web 界面浏览安全告警。
3 官方跳转链接汇总
| 类别 | 链接 | 说明 |
|---|---|---|
| 仓库主页 | https://github.com/wazuh/wazuh | 源码 |
| 安装指南 | installation-guide | 官方安装 |
| Docker | wazuh-docker | 容器编排 |
| Kubernetes | wazuh-kubernetes | K8s |
| Ansible | wazuh-ansible | 自动化 |
4 部署方式
官方维护多种自动化编排：
- Docker 容器：wazuh-docker
- Kubernetes：wazuh-kubernetes
- Ansible：wazuh-ansible
- AWS CloudFormation：wazuh-cloudformation
- Chef / Puppet / Salt / Bosh：对应仓库
完整步骤见 安装指南。
5 架构组件
| 组件 | 作用 |
|---|---|
| Wazuh Agent | 部署在被监控端点，采集日志与事件 |
| Wazuh Manager | 集中分析、规则匹配与告警 |
| Wazuh Indexer | 搜索与可视化（WUI） |
6 常见问题
- 无 Agent 设备：可通过 syslog 接收网络设备/应用数据。
- main 分支：可能不稳定，生产用 release 版本。
- 许可证复杂：引擎 AGPLv3、共享库双许可、其余 GPLv2，商用前阅读。
7 风险与说明
- 许可证：混合许可（AGPLv3/GPLv2），注意开源义务。
- 安全场景：部署后及时配置告警规则与访问控制。
- 非官方声明：本文基于官方仓库 README 整理，安装步骤以官方文档为准。