Wazuh agent: como implantar e manter em centenas de equipamentos

O Wazuh agent é o programa leve que se instala em cada computador, servidor ou máquina virtual para coletar registros, verificar a integridade de arquivos, inventariar software, avaliar a configuração e detectar vulnerabilidades, enviando tudo ao servidor Wazuh. Ele funciona em Windows, Linux, macOS, Solaris, AIX e HP-UX. Para implantá-lo em centenas de equipamentos sem visitar um por um, o caminho é combinar três coisas: um instalador silencioso com as variáveis certas, grupos que entregam a configuração automaticamente e uma ferramenta de distribuição que a empresa já usa.

Pense em uma rede de lojas que instala câmeras em todas as unidades. Ninguém configura cada câmera à mão: todas saem da caixa apontando para a mesma central, e a configuração de horário e gravação é enviada pela central para cada grupo de lojas. Com o agente é igual.

Antes de instalar: o que preparar

• Conectividade: por padrão, ao iniciar pela primeira vez, o agente se registra automaticamente no servidor pela porta 1515 (TCP, o protocolo de transmissão usado) e depois envia os eventos pela porta 1514 (TCP), com criptografia AES. Firewall, VPN (rede privada virtual) e filiais precisam permitir esse tráfego.
• Versão: o servidor Wazuh precisa estar na mesma versão dos agentes ou em uma mais nova. Agentes mais novos que o servidor não têm compatibilidade garantida.
• Senha de registro: ativar uma senha de registro evita que qualquer equipamento se cadastre no servidor sem autorização.
• Nomes e grupos: decida antes como os agentes serão nomeados e em quais grupos entram, por exemplo por sistema operacional, função (servidores, estações, caixas de loja) ou unidade.
• Inventário: uma lista dos equipamentos que devem ter agente é a base para saber, depois, quem ficou de fora.

Instalação silenciosa com variáveis de implantação

Os instaladores do Wazuh aceitam variáveis de implantação que deixam o agente pronto já na instalação, sem tocar em arquivos de configuração. As mais usadas são:

No Windows, essas variáveis vão na linha de comando do instalador MSI (pacote do Windows Installer) em modo silencioso; no Linux, são passadas como variáveis de ambiente na instalação do pacote DEB (Debian e Ubuntu) ou RPM (Red Hat e derivados); no macOS, são gravadas no arquivo /tmp/wazuh_envs antes de rodar o instalador PKG (pacote de instalação do macOS). Depois, basta iniciar o serviço.

Comandos por sistema

Os exemplos usam a versão 4.14.9, da linha 4.x, a estável em novembro de 2026. Use a mesma versão do servidor ou uma anterior, e troque o endereço, a senha e o grupo pelos seus.

Windows (prompt de comando como administrador):

msiexec.exe /i wazuh-agent-4.14.9-1.msi /q WAZUH_MANAGER="10.0.0.2" WAZUH_REGISTRATION_PASSWORD="SuaSenha" WAZUH_AGENT_GROUP="lojas"
NET START WazuhSvc

Linux (Debian ou Ubuntu; em Red Hat e derivados, o mesmo com yum ou dnf):

WAZUH_MANAGER="10.0.0.2" WAZUH_REGISTRATION_PASSWORD="SuaSenha" WAZUH_AGENT_GROUP="servidores" apt-get install wazuh-agent
systemctl daemon-reload
systemctl enable wazuh-agent
systemctl start wazuh-agent

macOS (em Macs com processador Intel, o pacote termina em intel64.pkg):

echo "WAZUH_MANAGER='10.0.0.2' && WAZUH_AGENT_GROUP='administrativo'" > /tmp/wazuh_envs
sudo installer -pkg wazuh-agent-4.14.9-1.arm64.pkg -target /

O detalhe de cada sistema está na documentação oficial do Wazuh agent.

Distribuir em centenas de equipamentos

Com o comando de instalação pronto, a distribuição usa as ferramentas que a TI já tem:

• Windows com Active Directory: uma política de grupo (GPO, Group Policy Object) ou uma ferramenta de gerenciamento, como o Microsoft Intune ou o Configuration Manager, executa o MSI com as variáveis.
• Linux: ferramentas de automação, como Ansible, Puppet ou Chef, instalam o pacote com as variáveis em todos os servidores. O Wazuh mantém um repositório oficial, o wazuh-ansible, com playbooks e roles para Ansible; use a versão igual à do servidor.
• macOS: a ferramenta de gerenciamento de dispositivos da empresa distribui o PKG junto com o arquivo de variáveis.
• Qualquer sistema: uma plataforma de RMM (monitoramento e gerenciamento remoto) também pode executar o instalador em lote.

Implante por ondas, não de uma vez

1. Piloto: 10 a 20 equipamentos de perfis diferentes, para validar portas, grupos e consumo de recursos.
2. Servidores críticos: onde a visibilidade pesa mais.
3. Estações de trabalho por área ou unidade: em blocos que a equipe consiga acompanhar.
4. Equipamentos remotos e de exceção: notebooks que raramente se conectam à rede e sistemas antigos.

Em cada onda, confira no painel do servidor se os agentes aparecem como ativos e com o grupo certo antes de passar para a próxima.

Grupos e configuração centralizada

Cada grupo de agentes tem um arquivo de configuração compartilhada no servidor. Tudo o que se coloca nele, como quais registros coletar, quais pastas vigiar e quais verificações de configuração rodar, é enviado automaticamente a todos os agentes do grupo. Agentes sem grupo definido entram no grupo padrão.

• Um agente pode pertencer a vários grupos e recebe a configuração de todos. Se houver conflito, prevalece o último grupo da lista do agente, normalmente o atribuído por último.
• Mudar a configuração de centenas de equipamentos vira editar um arquivo no servidor, sem tocar em nenhuma máquina.
• Grupos por função facilitam regras diferentes: um caixa de loja não precisa da mesma coleta que um servidor de banco de dados.

Exemplo: uma rede de farmácias com 300 equipamentos

Veja um caso hipotético. A rede tem 40 servidores Linux, 220 computadores Windows nas lojas e 40 notebooks da administração. A TI cria três grupos: servidores, lojas e administrativo. A instalação nas lojas sai por GPO, com WAZUH_AGENT_GROUP=lojas; nos servidores, por um playbook de Ansible. Duas semanas depois, quando a área de segurança pede para vigiar uma pasta nova nos computadores das lojas, a mudança é feita uma vez, no arquivo do grupo lojas, e chega aos 220 equipamentos.

Manter: atualizações, agentes desconectados e limpeza

• Atualizar remotamente: o servidor lista os agentes desatualizados e atualiza um, vários ou todos de uma vez, com pacotes assinados WPK, pela ferramenta de linha de comando ou pela API (interface de programação) do Wazuh; em cluster, a documentação recomenda a API. Atualize primeiro o servidor e depois os agentes, respeitando a regra de versão.
• Agentes desconectados: revise com frequência os agentes que pararam de se comunicar. Pode ser um notebook desligado, mas também um serviço parado ou um agente removido por alguém.
• Limpeza: equipamentos descartados ou reinstalados devem ter o agente antigo removido do servidor, para que o painel mostre a realidade e os nomes não se repitam.
• Cobertura: compare periodicamente a lista de agentes ativos com o inventário de equipamentos. Cada máquina sem agente fica fora da visibilidade do servidor.

Erros comuns

• Instalar agentes mais novos que o servidor.
• Deixar o registro aberto, sem senha.
• Colocar tudo no grupo padrão e perder a chance de configurar por função.
• Ativar coleta de tudo em todos os equipamentos e sobrecarregar o servidor com ruído.
• Usar um grupo que ainda não foi criado no servidor.
• Deixar o repositório do Wazuh ativo nos servidores Linux: uma atualização geral do sistema pode deixar o agente mais novo que o servidor.
• Implantar e não acompanhar os alertas que os agentes passam a gerar.

O agente não aparece no painel: por onde olhar

1. Portas bloqueadas: confirme que o equipamento alcança o servidor nas portas 1515 e 1514.
2. Senha de registro errada: o registro é recusado sem aviso para o usuário.
3. Grupo inexistente: o agente não entra no grupo esperado.
4. Versão mais nova que o servidor: a compatibilidade não é garantida.
5. Registro do agente: o arquivo ossec.log, na pasta de instalação do agente, mostra o motivo da falha na maioria dos casos.

Para entender o que o Wazuh resolve e até onde vai, veja o artigo sobre Wazuh na empresa.

Quando a implantação e a operação ficam com um parceiro

Implantar o agente é a parte rápida. O trabalho contínuo está em manter centenas de agentes atualizados, ajustar a coleta e, principalmente, olhar os alertas todos os dias.

No TecnetSOC, o nosso SOC agêntico 24x7, você baixa e instala o agente TecnetSOC conforme o seu sistema operacional: Windows, macOS DMG/PKG ou Linux DEB/RPM. Sem configurações manuais adicionais, ele ativa automaticamente o que o seu plano inclui. Um agente revisa cada alerta assim que aparece (aqui, agente é a inteligência artificial do TecnetSOC, não o programa instalado nos equipamentos) e, no plano Response, a contenção de ameaças 24x7 é feita pela equipe TecnetSOC. A TecnetOne é Gold Partner da Wazuh.

Perguntas frequentes sobre o Wazuh agent

O que significa Wazuh agent?

É o componente do Wazuh instalado em cada equipamento monitorado. Ele coleta registros, verifica a integridade de arquivos, inventaria software e configuração e envia tudo, criptografado, ao servidor Wazuh, onde os eventos são analisados.

Quais portas o Wazuh agent usa?

Por padrão, a porta 1515 (TCP) para o registro no servidor e a 1514 (TCP) para o envio de eventos. As duas podem ser alteradas, por exemplo com as variáveis WAZUH_MANAGER_PORT e WAZUH_REGISTRATION_PORT.

O agente pode ser mais novo que o servidor?

Não é recomendado. A compatibilidade é garantida quando o servidor está na mesma versão dos agentes ou em uma mais nova. Por isso, nas atualizações, o servidor vem primeiro.

Como instalar o Wazuh agent em vários equipamentos de uma vez?

Com o instalador silencioso e as variáveis de implantação, como WAZUH_MANAGER e WAZUH_AGENT_GROUP, distribuído por GPO, Intune, Ansible ou uma plataforma de RMM. Assim, cada agente já se registra no grupo certo.

O Wazuh agent pesa no computador?

É um agente leve, mas o consumo depende do que está ativado. Coletar registros demais ou vigiar pastas muito movimentadas aumenta o uso de recursos; por isso vale ajustar a configuração por grupo e testar no piloto.