Das Problem
Die Logs liegen auf jedem Server einzeln, und niemand sieht sie sich an. Von einer kritischen Lücke in der eigenen Software erfährt man durch eine Meldung von außen – oder durch Zufall. Ob die Server noch so gehärtet sind wie bei der Einrichtung, weiß keiner genau.
Unsere Lösung
Wazuh ist eine Open-Source-Plattform für Sicherheitsüberwachung. Ein Agent auf jedem Server meldet Ereignisse, Softwarestände und Konfiguration an einen zentralen Manager. Der wertet sie nach Regeln aus und zeigt, wo es brennt: welche Systeme bekannte Schwachstellen haben, welche von der Härtungsrichtlinie abweichen und wo sich kritische Dateien geändert haben.
Wir setzen Wazuh in unserer eigenen Infrastruktur und bei Kunden ein. Was wir Ihnen empfehlen, kennen wir aus dem täglichen Betrieb.
Was Wazuh prüft
| Funktion | Was Sie sehen | Grenze |
|---|---|---|
| Schwachstellenerkennung | installierte Software mit bekannten CVEs je System | nur, was im Inventar erfasst ist; kein Ersatz für einen Penetrationstest |
| Härtungsprüfung (SCA) | Abweichungen von CIS-orientierten Richtlinien | ein bestandener Check ist kein Compliance-Nachweis für sich |
| Dateiintegrität (FIM) | Änderungen an ausgewählten Dateien und Verzeichnissen | nur sinnvoll für vorher festgelegte, wirklich kritische Pfade |
| Systeminventar | Pakete, Betriebssystem, Netzwerkschnittstellen | erfasst, was der Agent auslesen kann |
| Log-Auswertung | sicherheitsrelevante Ereignisse aus System- und Dienstlogs | nur angebundene Quellen liefern Sichtbarkeit |
| Automatische Reaktion | definierte Gegenmaßnahmen, etwa eine IP sperren | nur nach Test und Freigabe – falsche Regeln stören den Betrieb |
Aufbau
Die Agents verbinden sich verschlüsselt mit dem Manager. Das Dashboard ist nicht aus dem Internet erreichbar, die Anmeldung läuft über Ihr Firmenkonto.
Aus dem eigenen Betrieb
Wazuh überwacht bei uns die Proxmox-Hosts, den Backup-Server, GitLab, NetBox, das Ticketsystem und weitere Dienste sowie Server unserer Kunden. Die Agents rollen wir mit Ansible aus und ordnen sie nach Kunde und Standort in Gruppen ein – dieselbe Zuordnung wie in NetBox. Die Agent-Version ist festgeschrieben und nie neuer als der Manager, damit ein Update nicht unbemerkt die Verbindung kappt.
So gehen wir vor
- Bestandsaufnahme – Welche Systeme, welche Logquellen, welche Risiken stehen im Vordergrund?
- Aufbau – Wazuh-Server bei Ihnen oder in unserem Rechenzentrum in Karlsruhe.
- Agent-Rollout – gestuft per Ansible, zuerst eine Pilotgruppe.
- Regeln abstimmen – Ausnahmen festlegen, Fehlalarme reduzieren, kritische Pfade für die Dateiintegrität bestimmen.
- Alarmwege festlegen – wer welche Meldung bekommt und was dann passiert.
- Betrieb – Updates, Pflege der Regeln und Auswertung nach Vereinbarung.
Servicezeiten
Alarme bearbeiten wir in unserer Servicezeit, montags bis freitags von 8:00 bis 17:30 Uhr. Bei schweren Sicherheitsvorfällen sind wir rund um die Uhr erreichbar, auch nachts, am Wochenende und an Feiertagen. Feste Reaktionszeiten legen wir im Vertrag fest.
Datenschutz
Logdaten können personenbezogene Daten enthalten, etwa Benutzernamen oder IP-Adressen. Vor dem Produktivbetrieb legen wir gemeinsam fest, welche Quellen angebunden werden, wer Zugriff hat und wie lange Daten aufbewahrt werden. Läuft Wazuh bei uns, schließen wir einen AV-Vertrag nach Art. 28 DSGVO ab.
Leistungsumfang
- Architektur und Aufbau des Wazuh-Servers
- Agent-Rollout per Ansible
- Härtungs- und Schwachstellenprüfung
- Regeln und Ausnahmen
- Alarmwege
- Updates und laufende Pflege
- technische Nachweise für Audits
Technischer Einblick
Manager, Indexer und Dashboard laufen bei uns als All-in-one-Installation mit Docker auf einer per Terraform angelegten VM. Die Agents melden sich über die Ports 1514 und 1515; von außen sind diese nur für freigegebene Kunden-IPs offen, die Registrierung verlangt ein Passwort. Die Server-API ist nicht öffentlich erreichbar. Härtungsprüfung und Dateiintegrität laufen alle zwölf Stunden, das Systeminventar stündlich. Die Anmeldung am Dashboard erfolgt per Single Sign-on mit Microsoft Entra. Den Rollout und unsere Stolpersteine beschreiben wir im Beitrag Wazuh mit Ansible ausrollen. Was die drei Prüfungen im Einzelnen leisten, steht im Beitrag Was die drei Wazuh-Prüfungen leisten. Welche NIS-2-Pflichten Monitoring und Backup abdecken, ordnen wir in einem eigenen Beitrag ein.
Bei Containern überwacht der Agent den Docker-Host, nicht jeden einzelnen Container. Für Kubernetes gibt es eigene Bereitstellungsmodelle mit jeweils anderen Sichtbarkeitsgrenzen – das klären wir im Projekt.
Warum cloudbase.run
- Wir betreiben Wazuh selbst – für unsere Infrastruktur und für Kunden.
- Rollout und Konfiguration liegen als Code vor; ein neuer Server ist nach dem nächsten Lauf angebunden.
- Kombinierbar mit TISAX-Vorbereitung, Monitoring und IT-Dokumentation.
Für wen geeignet
- Unternehmen mit eigenen Linux- und Windows-Servern ohne zentrale Sicherheitsüberwachung
- Firmen, die Schwachstellen- und Härtungsnachweise für TISAX, NIS-2 oder Kundenaudits brauchen
- IT-Teams, die eine Open-Source-Lösung ohne Lizenzkosten pro Gerät suchen
Für wen nicht geeignet
- Wer eine Sicherheitsleitstelle (SOC) sucht, die rund um die Uhr jeden einzelnen Alarm auswertet – die ist nicht Teil dieses Angebots
- Wer einen Penetrationstest oder eine forensische Untersuchung braucht