Wazuh na empresa: o que resolve e quando ter um SOC por trás

Wazuh é uma plataforma de segurança gratuita e de código aberto que reúne funções de SIEM e de XDR: coleta e analisa os eventos de servidores, computadores e serviços em nuvem, detecta ameaças e falhas de configuração e pode responder de forma automática a alguns incidentes. O projeto nasceu em 2015 a partir do OSSEC, um sistema de detecção de intrusão mais antigo, e hoje é mantido pela empresa Wazuh, que também vende uma versão hospedada na nuvem.

Em um ambiente pequeno, a instalação all-in-one pode ficar pronta em poucas horas. O resultado, porém, depende do trabalho contínuo de ajustar as regras, acompanhar os alertas e responder a eles. Como parceiros oficiais da Wazuh, fazemos essa operação para empresas de médio porte no Brasil.

Arquitetura do Wazuh: o que dimensionar antes de instalar

A documentação oficial divide a plataforma em três componentes centrais (servidor, indexador e dashboard) e um agente instalado nos equipamentos. Entender o papel de cada um ajuda a dimensionar o ambiente e a prever onde estará o trabalho do dia a dia.

Em ambientes pequenos, o servidor, o indexador e o dashboard podem rodar juntos em uma única máquina, na instalação all-in-one descrita na documentação. Em ambientes maiores, cada componente fica em servidores próprios e o indexador passa a ser o ponto que mais exige planejamento, porque o seu tamanho acompanha o volume de eventos e o tempo que a empresa precisa guardá-los.

A central de alarme monitorada de uma empresa ajuda a visualizar a arquitetura: os sensores nas portas e janelas são os agentes; a central que recebe os sinais é o servidor; o histórico de tudo o que aconteceu é o indexador; o painel de monitoramento é o dashboard.

O que o Wazuh cobre no dia a dia de TI

O Wazuh cobre frentes que antes exigiam ferramentas separadas:

• Análise de registros. Reúne os logs de sistemas, aplicações e equipamentos de rede e aplica regras para separar o que merece atenção, a função típica de um SIEM.
• Integridade de arquivos. Avisa quando um arquivo sensível, como um executável do sistema ou uma configuração crítica, é alterado e, com o modo who-data ativado, registra o usuário e o processo responsáveis.
• Detecção de vulnerabilidades. Cruza o inventário de software de cada agente com bases públicas de falhas conhecidas, o que alimenta o ciclo de gestão de vulnerabilidades.
• Avaliação de configuração. Compara as configurações dos equipamentos com guias de segurança reconhecidos, como os benchmarks do CIS, e mostra o que está fora do padrão.
• Resposta ativa. Quando configurada, executa ações automáticas diante de certos alertas, como bloquear um endereço que tenta adivinhar senhas.
• Nuvem e conformidade. Monitora serviços como AWS, Azure e Microsoft 365 e organiza os alertas por requisito de normas como o PCI DSS.

Até onde o Wazuh vai sozinho

Na central de alarme, o sensor dispara, mas alguém precisa atender o chamado e decidir se é um intruso ou um alarme falso. No Wazuh acontece o mesmo, e é aqui que aparecem as diferenças entre a expectativa e a prática:

São tarefas de operação que qualquer SIEM exige e que raramente entram na conta quando se escolhe a ferramenta.

Wazuh na sua infraestrutura, Wazuh Cloud ou operado por um parceiro

Há três formas de usar a plataforma, e elas diferem em quem cuida da infraestrutura e em quem cuida dos alertas:

O Wazuh Cloud resolve a parte da infraestrutura, mas não a operação: os alertas continuam chegando para a sua equipe. Na hora de decidir, compare o custo da infraestrutura com as horas que a sua equipe consegue dedicar aos alertas.

Do alerta à resposta: como a operação funciona na prática

Um exemplo típico mostra onde a plataforma termina e a operação começa. Em uma madrugada de domingo, o servidor de acesso remoto recebe centenas de tentativas de login com senhas erradas em poucos minutos:

1. Detecção. As regras do Wazuh reconhecem o padrão de tentativa de adivinhar senhas e geram um alerta de nível alto.
2. Resposta automática. Se a resposta ativa estiver configurada para esse tipo de alerta, o Wazuh bloqueia o endereço de origem no próprio servidor e interrompe as tentativas.
3. Investigação. Um analista verifica se alguma das tentativas teve sucesso, se a mesma origem tentou outros servidores e se alguma conta mostra atividade fora do normal depois disso.
4. Decisão. Se uma conta foi comprometida, o analista aciona o responsável pela TI na empresa, bloqueia a conta e orienta a troca de senha e a revisão dos acessos.
5. Registro. O caso entra no relatório do mês com o que aconteceu, o que foi feito e o que muda nas regras para a próxima vez.

Os dois primeiros passos ficam a cargo da plataforma, desde que configurados. Os três seguintes dependem de um analista com acesso e autonomia para agir.

Quando vale ter um SOC por trás do Wazuh

Um SOC (Security Operations Center, ou centro de operações de segurança) é a equipe que acompanha os alertas, investiga e responde. Se a sua empresa se reconhece em dois ou mais pontos abaixo, o Wazuh provavelmente precisa de uma operação dedicada:

• ☐ Os alertas se acumulam no painel e ninguém tem tempo de revisá-los toda semana.
• ☐ Não há ninguém acompanhando o ambiente à noite, nos fins de semana e nos feriados.
• ☐ As regras nunca foram ajustadas desde a instalação.
• ☐ Uma auditoria ou um cliente pediu evidências de monitoramento e de resposta a incidentes.
• ☐ A equipe de TI é pequena e já divide o tempo entre suporte, projetos e infraestrutura.

Com um SOC por trás, a plataforma continua a mesma; o que entra é uma rotina de regras ajustadas ao seu ambiente, alertas investigados e um relatório periódico do que foi encontrado e resolvido.

Como implantar o Wazuh sem sobrecarregar a equipe

Uma implantação em etapas evita o erro mais comum, que é instalar o agente em todos os equipamentos no primeiro dia e se afogar em alertas na primeira semana:

1. Piloto com os ativos críticos. Comece pelos servidores mais importantes e por um grupo pequeno de computadores, de áreas diferentes.
2. Ajuste das regras. Reserve algumas semanas (como referência, de duas a quatro, conforme o tamanho do ambiente) para separar o que é ruído do que é relevante e criar as exceções para o comportamento normal da sua empresa.
3. Integrações. Conecte firewall, Microsoft 365 e os serviços de nuvem que concentram o risco do seu negócio.
4. Expansão. Distribua o agente para o restante do ambiente; ferramentas de gestão remota, como a NinjaOne, fazem isso em centenas de equipamentos de uma vez.
5. Resposta e relatório. Defina o que fazer com cada tipo de alerta, quem é acionado e como o resultado é apresentado à diretoria todo mês.

Na TecnetOne, usamos o Wazuh como uma das bases do TecnetSOC Agentic, o nosso SOC agêntico: a inteligência artificial investiga cada alerta e os analistas decidem os casos críticos, com monitoramento 24x7 e atendimento em português no horário comercial do Brasil.

Perguntas frequentes sobre o Wazuh

O que significa dizer que o Wazuh é de código aberto?

Significa que o código-fonte é público, publicado sob licenças livres, e pode ser usado, auditado e modificado sem custo de licença. Na prática, a sua equipe consegue ver exatamente o que o agente coleta e escrever regras próprias sem depender do fabricante.

O Wazuh substitui o antivírus?

Não. O Wazuh detecta comportamentos suspeitos e alterações a partir dos registros, mas não substitui a proteção que bloqueia malware no próprio equipamento. O mais comum é usá-lo junto com o antivírus ou com um EDR, recebendo também os alertas dessas ferramentas.

Em quais sistemas o agente do Wazuh funciona?

O agente tem versões para Windows, Linux e macOS, além de outros sistemas Unix. Equipamentos de rede, como firewalls e switches, são monitorados por meio do envio de registros via syslog, sem agente instalado.

O Wazuh ajuda a cumprir a LGPD?

Pode ajudar. A LGPD exige medidas de segurança técnicas e administrativas para proteger dados pessoais (art. 46), e o Wazuh gera evidências de monitoramento, de controle de alterações e de resposta a incidentes. A conformidade, porém, depende de processos e documentos que vão além de qualquer ferramenta; para o caso da sua empresa, consulte a sua equipe jurídica.

Quanto custa usar o Wazuh?

O software é gratuito. O custo vem da infraestrutura, que cresce com o número de agentes, o volume de eventos e o tempo de retenção dos dados no indexador, e das horas de quem ajusta as regras e acompanha os alertas.