Guida all'installazione di Wazuh: Sicurezza e Monitoraggio con un SIEM Open Source

Dettagli

Wazuh è una piattaforma di monitoraggio della sicurezza e gestione degli eventi (SIEM - Security Information and Event Management) Open Source, che offre funzionalità avanzate per la rilevazione di minacce, la gestione degli incidenti e la conformità normativa. Se desideri implementare un sistema di monitoraggio completo per la sicurezza della tua rete, Wazuh è una delle soluzioni più robuste e scalabili, con una forte enfasi sulla protezione dei dati, la rilevazione degli attacchi e la gestione degli eventi.

Ultima modifica: 19 Settembre 2026

In questo articolo, spiegherò i passaggi necessari per installare Wazuh su un server Ubuntu Linux, includendo l'installazione di componenti come l'agent, il server e la dashboard di Wazuh per una gestione completa della sicurezza.

Requisiti di Sistema

Prima di iniziare l'installazione, è importante verificare che il sistema soddisfi i seguenti requisiti minimi:

Sistema operativo: Wazuh supporta diversi sistemi operativi, tra cui Ubuntu, CentOS, Debian, RHEL e altre distribuzioni Linux.
Può essere installato anche su macchine Windows, ma qui ci concentreremo su un'installazione su Ubuntu Linux.
CPU: Processori moderni, meglio se multi-core.
RAM: Almeno 16 GB di RAM (32GB o più sono raccomandati per implementazioni su larga scala).
Spazio su disco: Minimo 500 GB di spazio libero (a seconda della quantità di dati raccolti e conservati).
Connettività di rete: È necessario avere accesso alla rete e una connessione internet stabile.

Fasi dell'Installazione di Wazuh

1. Installazione dei prerequisiti

Prima di installare Wazuh, è necessario preparare il sistema con alcuni pacchetti di base, per questo articolo ho installato un "Ubuntu Server" ultima versione.

Questo tipo di installazione si riferisce a un singolo server che riceve i log di sicurezza da una rete di test utilizzata a scopo dimostrativo per la redazione di questo articolo. In tale ambiente sono presenti circa 100 postazioni client Windows 10/11 e Mac e circa 20 server virtuali misti tra Windows e Linux. Il sistema riceve inoltre messaggi syslog da firewall, router, host ESX, log di Microsoft 365 e concentratori Wi-Fi. Si consideri che i SIEM sono in grado di gestire log di quasi ogni tipo, provenienti da diverse tipologie di hardware.

Dopo aver preparato il server, eseguire questi comandi per aggiornare il sistema e installare le dipendenze:

sudo apt update sudo apt install -y curl apt-transport-https lsb-release

2. Aggiungere il Repository di Wazuh

Wazuh fornisce un repository ufficiale per semplificare l'installazione. Aggiungiamo il repository al sistema e importiamo la chiave GPG:

curl -s https://packages.wazuh.com/key/GPG-KEY-WAZUH | sudo apt-key add -

Successivamente, aggiungiamo il repository di Wazuh al sistema:

echo "deb https://packages.wazuh.com/4.x/apt stable main" | sudo tee /etc/apt/sources.list.d/wazuh.list

3. Installazione di Wazuh Manager

Wazuh Manager è il componente centrale che gestisce la raccolta e l'analisi dei log. Per installarlo, esegui i seguenti comandi:

sudo apt update sudo apt install wazuh-manager

Questo comando installa il server Wazuh che riceverà e analizzerà i dati dagli agenti.

4. Installazione di Elasticsearch (per il supporto SIEM)

Per una corretta gestione e archiviazione dei dati, Wazuh utilizza Elasticsearch, una potente piattaforma di ricerca e analisi.

Prima di installare Elasticsearch, aggiungi il repository ufficiale:

curl -fsSL https://artifacts.elastic.co/GPG-KEY-elasticsearch | sudo apt-key add -

Aggiungi il repository di Elasticsearch:

echo "deb https://artifacts.elastic.co/packages/7.x/apt stable main" | sudo tee /etc/apt/sources.list.d/elastic-7.x.list

Installa Elasticsearch:

sudo apt update

sudo apt install elasticsearch

Avvia e abilita Elasticsearch:

sudo systemctl start elasticsearch

sudo systemctl enable elasticsearch

5. Installazione di Kibana (Dashboard di Wazuh)

Kibana è il componente di visualizzazione che consente di esplorare i dati raccolti da Elasticsearch attraverso una dashboard interattiva.

Per installare Kibana, aggiungi il repository e installa il pacchetto:

sudo apt install kibana

Avvia e abilita Kibana:

sudo systemctl start kibana

sudo systemctl enable kibana

6. Configurazione di Wazuh con Elasticsearch e Kibana

Dopo aver installato tutti i componenti necessari, è necessario configurare Wazuh per integrarsi correttamente con Elasticsearch e Kibana.

Modifica il file di configurazione di Wazuh (/etc/wazuh/wazuh.yml) per abilitare l'integrazione con Elasticsearch.
Configura Kibana per caricare l'applicazione Wazuh. Puoi farlo modificando il file di configurazione di Kibana e aggiungendo il modulo Wazuh. Su Kibana, vai su Management > Kibana Settings > Wazuh.

7. Installazione degli Agent Wazuh sui Client

Per raccogliere i log dai sistemi client, è necessario installare l'agente Wazuh su ogni macchina che vuoi monitorare.

Per installare un agent Wazuh su una macchina Linux, esegui:

sudo apt install wazuh-agent

Configura l'agente Wazuh modificando il file di configurazione /var/ossec/etc/ossec.conf, impostando l'IP del Wazuh Manager.

Avvia l'agente:

sudo systemctl start wazuh-agent

sudo systemctl enable wazuh-agent

Puoi verificare che l'agente sia in comunicazione con il server Wazuh usando:

sudo wazuh-control status

Per installarlo su Windows va scaricato l'ultimo pacchetto Agent dal sito ufficiale Wazuh ma la versione dell'agent deve corrispondere alla versione del server o al massimo può essere una versione inferiore e va eseguito sulla postazione singola o tramite policy di dominio o in altri metodi automatizzati il comando

Usando CMD:

msiexec.exe /i wazuh-agent-4.14.7.msi /q /norestart WAZUH_MANAGER="192.168.10.128"

Usando PowerShell:

msiexec.exe /i .\wazuh-agent-4.14.7.msi /q /norestart WAZUH_MANAGER="192.168.10.128"

dove "wazuh-agent-4.14.7.msi" è il nome dell'agent che avrete scaricato, /q e /norestart fa in modo di non fare apparire nulla a video e non esegue il reboot della postazione, l'IP 192.168.10.128 è l'indirizzo del server Wazuh dove verranno inviati i log, nel caso di Windows i log di Sicurezza dell'Event Viewer.

8. Verifica dell'Installazione

Per verificare che Wazuh sia correttamente configurato e operativo, accedi alla dashboard tramite web, nel nostro caso l'URL sarà https:\\192.168.10.128

Verifica che i dati provenienti dai client siano visibili, puoi anche utilizzare i comandi di log sul server Wazuh per assicurarti che l'analisi dei dati sia in corso senza errori:

sudo tail -f /var/ossec/logs/ossec.log

Conclusioni

L'installazione di Wazuh ti consente di avere una solida infrastruttura di monitoraggio della sicurezza per la rete. Con l'integrazione di Elasticsearch per l'analisi dei log e Kibana per la visualizzazione dei dati, Wazuh diventa un potente strumento per la gestione degli incidenti di sicurezza.

Ricorda che, essendo una piattaforma altamente scalabile, Wazuh può essere configurato in modo avanzato per supportare ambienti complessi, incluso il monitoraggio di container, ambienti cloud e molto altro.

wazuh siem