Managed Wazuh SIEM und Sicherheitsbetrieb.
Wazuh-SIEM-Bereitstellung, angepasste Erkennungen und laufende Betreuung. Aufbewahrung, Zugriffe, Wartung und Reaktion auf Befunde werden vereinbart.
Geprüft vom UHL-Team ·
Betriebserfahrung vor Empfehlungen
Wir betreiben Wazuh selbst und das seit über fünf Jahren. Agenten auf unserer gesamten Infrastruktur liefern die Betriebsansicht für die Untersuchung von Änderungen und Sicherheitsereignissen. Diese Erfahrung fliesst in Kundenarchitektur, Registrierung, Upgrades und Aufbewahrungsplanung ein.
Was ein Wazuh-SIEM bietet
Wazuh ist eine Open-Source-Sicherheitsplattform, die vereint, was kommerzielle SIEM-Suiten getrennt verkaufen: zentrale Logdatenanalyse, File-Integrity-Monitoring, Schwachstellenerkennung, Korrelation von Sicherheitsereignissen und Endpoint-Sichtbarkeit, unter einem Agenten und einem Dashboard.
Für Organisationen, die echte Security-Operations-Fähigkeit ohne Lizenzpreis pro Endpoint brauchen, liefert Wazuh den Kern eines SOC: Was ist passiert, auf welchem System, entspricht es einem bekannten Muster, und hat sich etwas verändert, das nicht hätte verändert werden dürfen.
Bereitstellungsarchitektur passend zur Umgebung
Eine Wazuh-Bereitstellung beginnt mit den zu überwachenden Systemen: deren Anzahl, Ereignisvolumen, Aufbewahrungsanforderungen und Netzwerkgrenzen. Wir entwerfen die Manager-, Indexer- und Dashboard-Topologie danach, vom einzelnen leistungsfähigen Knoten für eine kleine Umgebung bis zur skalierten, redundanten Bereitstellung mit hunderten Endpunkten.
Agenten decken Linux- und Windows-Server, Arbeitsstationen, Container und Netzwerkgeräte ab, wo agentenlose Erfassung besser passt. Enrolment, Konnektivität und Segmentierung werden Teil des Deployments entworfen, nicht nachträglich entdeckt.
Detection Engineering statt nur Installation
Ein installiertes SIEM ist noch kein funktionierendes SIEM. Der Wert steckt im Detection-Content: Wazuh liefert einen breiten Regelsatz, und wir passen ihn an die tatsächlich überwachten Systeme an, eigene Decoder und Regeln für Anwendungslogs, abgestimmte Schwellenwerte, damit echte Signale das Rauschen überstehen, und Use Cases auf die MITRE-ATT&CK-Techniken abgebildet, die die Plattform bereits verfolgt.
File-Integrity-Monitoring wird auf die Pfade ausgerichtet, die zählen, Web-Roots, Konfigurationen, Credential-Speicher. Die Schwachstellenerkennung inventarisiert Ihre Agentensysteme und zeigt, was gepatcht werden muss, nach den tatsächlich vorhandenen CVEs gereiht statt nach einer abstrakten Richtlinie.
Vom Alert zur Aktion
Ein Dashboard, auf das niemand reagiert, ist Dekoration. Wir gestalten das Betriebsmodell mit Ihnen: welche Meldungen jemanden wecken, wer einen Befund übernimmt und wie der Behebungspfad aussieht, ob durch Ihr Team oder durch uns. Active Response kann bei verstandenen Ereignissen den ersten Eindämmungsschritt automatisieren; alles Folgenreiche entscheiden Menschen.
Eigene Inhalte für die tatsächlich betriebenen Systeme
Unsere Arbeit umfasst eigene Plugins, Dashboards, Deployment-Konfiguration, Decoder, angepasste Regeln und neue Erkennungen. Wir verbinden Anwendungs- und Infrastruktursignale, prüfen Fehlalarme und sorgen für eine vereinbarte Zuständigkeit bei der Reaktion.
Automatisch aktualisierte Informationen zu schädlichen IP-Adressen
Für Kunden pflegen wir im Rahmen unseres Sicherheitsangebots eine automatisch aktualisierte Datenbank schädlicher IP-Adressen. Sie ergänzt Untersuchungen und vereinbarte Erkennungs- oder Reaktionsabläufe. Ein Reputationstreffer ist ein zu prüfendes Signal und kein abschliessender Beweis für einen Angriff.
Wazuh auf kontrollierter Infrastruktur betreiben
Wir betreiben Wazuh im grossen Massstab auf unserer eigenen Talos- und Kubernetes-Plattform, und stellen es für Kunden genauso bereit: versionierte Konfiguration, kontrollierte Upgrades, auf echte Anforderungen dimensionierte Aufbewahrung, Zugriffskontrolle mit definierten Rollen und Backup der relevanten Zustände. Ihre Sicherheitstelemetrie bleibt in der Infrastruktur Ihrer Wahl, On-Premise, in Ihrer Cloud oder in unserer.
Sicherheitsnachweise und Betriebsgrenzen
Logdaten, Dateiintegritätsereignisse und Schwachstelleninformationen können interne Kontrollen und Untersuchungen unterstützen. Benötigte Nachweise, Aufbewahrung und Zugriffe richten sich nach Ihrer Umgebung. Eine Wazuh-Installation zertifiziert weder das Unternehmen noch bestätigt sie rechtliche Konformität.
Der offizielle Wazuh-Komponentenleitfaden beschreibt Agenten, Server, Indexer und Dashboard. Wir vereinbaren die Verantwortung je Komponente, zu prüfende Erkennungen und den menschlichen Reaktionsweg. Betreuter Betrieb bedeutet keine durchgehende Incident Response ohne ausdrücklichen Vertrag.
Grundlagen für Deployment- und Erkennungsänderungen
Der Wazuh-Architekturleitfaden, die Upgrade-Dokumentation und Ruleset-Grundlagen unterstützen geplante Änderungen. Kundenspezifische Datenflüsse, Erkennungen und Zuständigkeiten werden trotzdem vor der Freigabe validiert.
Erkennungsregeln für Ihre Systemumgebung
Wazuh kommt mit breiten Defaults; der Wert liegt im Tuning. Wir pflegen eigene Rules und Decoder für die Systeme, die Sie wirklich betreiben - Kubernetes-Audit-Logs, Authentifizierungs-Events der Anwendungen, File-Integrity auf den Pfaden, die zählen - geprüft und versioniert wie Code, gegen Beispiel-Events getestet, bevor sie live gehen.
Threat-Intel-Feeds werden dort eingebunden, wo sie die Erkennung schärfen statt Lärm zu erzeugen. Zielzustand ist eine Queue, die kurz genug ist, dass ein echter Befund nie auf Seite drei landet.
Auf die Reaktion kommt es an
Monitoring ohne Reaktionsplan ist ein Log-Museum. Wir vereinbaren Eskalationswege, Verhalten ausserhalb der Bürozeit und Reporting-Rhythmus schriftlich vor dem Rollout - wer wird gerufen, was pausiert, worauf wir autonom handeln.
Kunden mit eigenem SOC erhalten die getunte Plattform und den Detection-Content mit Übergabe; Kunden ohne SOC übernehmen wir die Reaktion selbst - unter einem definierten Umfang.
Referenzen
Upstream-Referenzen, die wir verfolgen: Wazuh-Dokumentation, MITRE ATT&CK für Detection-Mapping.
Von Telemetrie zur verantworteten Reaktion
Agenten und Logquellen
Vereinbarte Sicherheitssignale erfassen
Zentrale Wazuh-Komponenten
Server, Indexer und Dashboard
Menschliche Prüfung und Reaktion
Befunde prüfen und Behebung zuweisen
Konzeptioneller Leistungsablauf. Architektur und Betreuungsumfang werden für Ihre Umgebung vereinbart.
Häufige Fragen
Ist Wazuh ein vollwertiges SIEM?
Ja, Wazuh deckt die zentralen SIEM-Funktionen ab: Logerfassung und -analyse, Korrelationsregeln, File-Integrity-Monitoring, Schwachstellenerkennung und Incident-Dashboards. Es ist Open Source mit aktivem Projekt und kommerziellem Ökosystem. Was es nicht mitbringt, ist eine Lizenzgebühr pro Endpoint, deshalb skaliert es wirtschaftlich dort, wo kommerzielle Werkzeuge es nicht tun.
Wie viele Systeme kann eine Wazuh-Bereitstellung bewältigen?
Von einer Handvoll Server bis zu tausenden Endpunkten, die Architektur skaliert horizontal über Indexer- und Manager-Knoten. Die eigentliche Dimensionierungsfrage ist das Ereignisvolumen pro Tag und die Aufbewahrungsdauer, nicht die Agentenzahl. Wir dimensionieren anhand gemessenen Volumens, nicht aus Schätzungen.
Wo liegen unsere Sicherheitsdaten?
Wazuh läuft On-Premise, in Ihrer Cloud-Umgebung oder auf Infrastruktur, die wir am vereinbarten Hosting-Standort betreiben. Speicherung der Telemetrie, Zugriffe und Datenflüsse vereinbaren wir vor der Bereitstellung, einschliesslich allfälliger Anforderungen an die Datenresidenz.
Kann Wazuh unser Antivirus oder EDR ersetzen?
Wazuh überschneidet sich mit Teilen von EDR, Endpoint-Sichtbarkeit, File Integrity, Active Response, und integriert sich mit Sicherheitswerkzeugen statt einen Austausch zu erzwingen. Viele Bereitstellungen betreiben Wazuh neben bestehendem Endpoint-Schutz, als zentrale Sichtbarkeits- und Korrelationsschicht. Wir beraten je Umgebung, wo es ersetzt, ergänzt oder integriert.