Wazuh warto wdrażać od konkretnego scenariusza detekcji, a nie od liczby wykresów. Ten przewodnik pomaga zaplanować pilotaż i sprawdzić, czy dane z hostów rzeczywiście prowadzą do użytecznych alertów.
Aktualna architektura
Podstawowe elementy to Wazuh agent, Wazuh server, Wazuh indexer i Wazuh dashboard. Agent zbiera dane z hosta, serwer je analizuje, indexer przechowuje dane do wyszukiwania, a dashboard udostępnia interfejs analityczny. Rozmieszczenie komponentów dobiera się do skali i wymagań środowiska.
Ten artykuł zastępuje starszy opis oparty na Elastic Stack i obrazie OVA 4.2.1. Nie korzystaj ze starego pakietu tylko dlatego, że był podlinkowany w dawnym poradniku. Instrukcję i wymagania dobierz z aktualnego Quickstart Wazuh. Dla istniejącej instalacji najpierw zaplanuj zgodność wersji, kopię i ścieżkę aktualizacji.
Plan pilotażu w pięciu krokach
- Cel: wybierz jeden przypadek, np. zmianę wskazanego pliku konfiguracyjnego. Opisz oczekiwany alert i osobę reagującą.
- Zakres: zacznij od kilku hostów testowych. Zapisz role systemów, właścicieli i źródła danych.
- Wersje: zanotuj faktycznie zainstalowane wersje komponentów i systemów. Nie mieszaj instrukcji z różnych wydań.
- Test: wykonaj uzgodnioną zmianę na danych testowych. Sprawdź surowe zdarzenie, alert, identyfikację hosta i przekazanie do obsługi.
- Odbiór: określ akceptowalne opóźnienie, szum, obciążenie i sposób wykrywania przerwy w zbieraniu danych.
Co wpisać do protokołu
Użyj pól: scenariusz, host, wersje, konfiguracja, czas działania, identyfikator alertu, wynik, odstępstwa i właściciel poprawki. Nie traktuj pustego pulpitu jako dowodu braku zagrożeń — może oznaczać brak danych.
Od pilota do działania operacyjnego
Przed rozszerzeniem wdrożenia ustal retencję, kontrolę dostępu, kopie konfiguracji, obsługę awarii oraz dyżur lub kolejkę zgłoszeń. Mierz liczbę alertów wymagających działania, a nie tylko liczbę zainstalowanych agentów. Każdą zmianę filtrów sprawdzaj na zapisanym scenariuszu kontrolnym.
To plan wdrożenia, nie deklaracja laboratoryjnego przetestowania konkretnej wersji. Status „przetestowano” wpisz do własnego protokołu dopiero po wykonaniu scenariusza.
Źródła: architektura Wazuh i Quickstart producenta. Dokumentacja sprawdzona 15.10.2026.