¿Qué es Wazuh?
Wazuh es una plataforma de seguridad open source que combina las funcionalidades de un SIEM (Security Information and Event Management) y un XDR (Extended Detection and Response). Esto significa que no solo recolecta y analiza logs de seguridad, sino que también puede detectar amenazas avanzadas y responder automáticamente ante incidentes.
En un entorno empresarial típico, tienes decenas (o cientos) de servidores, estaciones de trabajo, firewalls, aplicaciones y servicios en la nube. Sin una herramienta como Wazuh, monitorizar la seguridad de todo esto es prácticamente imposible.
Video explicativo: Qué es Wazuh y cómo funciona
¿Para qué sirve Wazuh? Las 6 funcionalidades clave
1. Centralización y análisis de logs
Imagina tener que revisar los logs de 50 servidores diferentes cada día. Sin Wazuh, tendrías que conectarte a cada servidor individualmente, navegar por archivos de logs en bruto (muchos en formatos diferentes), y buscar manualmente patrones sospechosos. Esto puede llevar horas y es propenso a errores humanos.
Con Wazuh, todos los logs de todos tus dispositivos se envían a un punto central. Puedes:
- Buscar eventos en todos los servidores desde un solo dashboard
- Filtrar por criterios específicos: usuario, IP, tipo de evento, fecha, severidad
- Correlacionar eventos: detectar que un mismo atacante está probando credenciales en varios servidores
- Retener histórico: investigar incidentes que ocurrieron hace semanas o meses
Ahorro real: Lo que antes llevaba 2-3 horas revisando logs servidor por servidor, ahora se hace en 5-10 minutos desde el dashboard centralizado.
2. Detección de amenazas en tiempo real
Wazuh monitoriza continuamente la actividad de tus sistemas y la compara contra bases de datos de amenazas conocidas y reglas de detección. Por ejemplo:
- Nuevos exploits: Si se publica una vulnerabilidad (CVE) que afecta a un paquete instalado en tus servidores, Wazuh te notifica inmediatamente
- Intentos de intrusión: Detecta fuerza bruta SSH, inyecciones SQL, escaneos de puertos
- Malware conocido: Identifica firmas de malware y comportamientos maliciosos
- Actividad anómala: Usuarios conectándose a horas inusuales, desde países extraños, o accediendo a recursos que nunca usan
Ejemplo práctico: Sale un exploit crítico para Apache Log4j a las 10:00. A las 10:15 Wazuh ya te ha notificado qué servidores tienen versiones vulnerables y necesitan actualización urgente.
3. Monitorización de configuraciones de servidores (SCA)
El módulo Security Configuration Assessment (SCA) de Wazuh revisa automáticamente la configuración de tus servidores y la compara con benchmarks de seguridad oficiales como:
- CIS Benchmarks: Guías de configuración segura para Windows, Linux, bases de datos, etc.
- PCI-DSS: Requisitos para empresas que procesan pagos con tarjeta
- HIPAA: Regulación para datos de salud
- GDPR: Protección de datos personales en Europa
- ENS: Esquema Nacional de Seguridad (obligatorio para empresas que trabajan con administraciones públicas españolas)
El SCA te genera reportes con recomendaciones específicas: "El servidor WEB-01 tiene SSH configurado para permitir acceso root directo. Recomendación: Deshabilitar PermitRootLogin en /etc/ssh/sshd_config".
4. Análisis de vulnerabilidades
Wazuh mantiene un inventario actualizado del software instalado en cada dispositivo monitorizado y lo cruza con bases de datos de vulnerabilidades conocidas (CVE). Esto te permite:
- Detectar ransomware y amenazas avanzadas en tiempo real
- Identificar software desactualizado con vulnerabilidades conocidas
- Priorizar parches: Ver qué vulnerabilidades son críticas y cuáles pueden esperar
- Generar reportes de cumplimiento para auditorías
5. Control de integridad de ficheros (FIM)
El módulo File Integrity Monitoring (FIM) vigila archivos críticos del sistema y te alerta cuando son modificados, eliminados o cuando cambian sus permisos. Esto es crucial porque:
- Si te hackean: Los atacantes suelen modificar archivos del sistema para persistir (backdoors, rootkits)
- Cambios no autorizados: Un administrador modifica configuraciones sin documentar
- Malware: Muchos ransomware modifican extensiones de archivos o eliminan copias de seguridad
Puedes configurar qué directorios monitorizar: /etc/, /bin/, /usr/sbin/, archivos de configuración de aplicaciones críticas, etc.
Caso real: Un atacante consigue acceso a un servidor y modifica /etc/passwd para crear un usuario oculto. FIM detecta el cambio inmediatamente y genera una alerta de alta prioridad.
6. Generación de alertas y respuesta automatizada ante incidentes
Esta es una de las funcionalidades más potentes de Wazuh. No solo detecta amenazas, sino que puede reaccionar automáticamente:
- Aislar un equipo de la red si detecta comportamiento de ransomware
- Desactivar un usuario tras múltiples intentos de acceso fallidos
- Bloquear una IP en el firewall automáticamente
- Ejecutar scripts personalizados: Enviar alerta a Slack/Teams, crear ticket en Jira, etc.
- Integrarse con APIs externas: TheHive, MISP, VirusTotal, y más
Todo esto se configura mediante reglas de active response. Por ejemplo: "Si un usuario falla el login 5 veces en 2 minutos, bloquear su IP durante 30 minutos".
Artículos relacionados:
- IA para Threat Hunting en Wazuh: Guía de Instalación
- Monitorización de contenedores Docker con Wazuh
- Wazuh + Elastic Security: Configuración de SIEM completo
¿Necesitas ayuda con Wazuh?
Aprende a implementarlo tú mismo con nuestro curso intensivo, o deja que lo hagamos nosotros con implementación profesional.