Wazuh es una plataforma de seguridad de código abierto que combina las funciones de un SIEM (recolección y análisis de eventos de seguridad) y de un XDR (detección y respuesta en los equipos). Un agente instalado en servidores y computadores envía registros y estados a un servidor central, que los analiza con reglas, genera alertas y puede responder de forma automática. Es gratuito.
Qué es un SIEM y qué es un XDR
Un SIEM junta en un solo lugar los registros de servidores, firewalls, aplicaciones y equipos, y los cruza para encontrar señales de ataque: diez intentos fallidos de inicio de sesión seguidos de uno exitoso, un usuario nuevo con privilegios de administrador, un servicio que se detiene sin aviso.
Un XDR (detección y respuesta extendida) pone el foco en los equipos: vigila procesos, archivos y configuraciones, y permite actuar, por ejemplo bloqueando una IP o aislando una máquina.
Las soluciones comerciales de este tipo suelen cobrar por volumen de datos o por equipo. Wazuh entrega las dos funciones sin costo de licencia.
Cómo funciona
Wazuh tiene cuatro componentes:
| Componente | Función |
|---|---|
| Agente | Se instala en Linux, Windows o macOS y envía registros y datos del equipo |
| Servidor | Analiza los eventos con reglas y decodificadores y genera alertas |
| Indexador | Guarda y busca las alertas; es un derivado de OpenSearch |
| Dashboard | Interfaz web para revisar alertas, cumplimiento y estado de los agentes |
Además de los agentes, el servidor puede recibir registros por syslog desde firewalls, switches y otros equipos donde no se instala nada.
Qué detecta
- Intrusiones y comportamiento sospechoso. Analiza registros del sistema y de aplicaciones con miles de reglas incluidas.
- Cambios en archivos. El monitoreo de integridad avisa cuando se modifica un archivo crítico, quién lo hizo y qué cambió.
- Vulnerabilidades. Compara el software instalado en cada equipo con bases de vulnerabilidades conocidas (CVE).
- Malware. Busca indicadores de compromiso y procesos o archivos ocultos.
- Configuraciones inseguras. Revisa los equipos contra guías de buenas prácticas, como las de CIS.
- Nube y contenedores. Lee eventos de AWS, Azure, Google Cloud y Docker.
La respuesta activa permite que una alerta dispare una acción: bloquear la IP que intenta adivinar contraseñas, terminar un proceso o ejecutar un script propio.
Wazuh y la Ley Marco de Ciberseguridad
La Ley 21.663 obliga a las instituciones que prestan servicios esenciales a reportar incidentes significativos al CSIRT Nacional: una alerta temprana en 3 horas y una actualización en 72 horas (24 para operadores de importancia vital). Cumplir esos plazos exige, antes que nada, enterarse a tiempo de que hay un incidente.
Ahí es donde un SIEM sirve. Wazuh ayuda en varias de las tareas que la ley supone:
- Detectar el incidente pronto, en vez de descubrirlo días después.
- Reconstruir qué pasó con los registros centralizados, datos que el informe de actualización y el informe final necesitan (alcance, equipos afectados, indicadores de compromiso).
- Demostrar monitoreo continuo y gestión de vulnerabilidades, que forman parte del sistema de gestión de seguridad que se exige a los operadores de importancia vital.
Wazuh no cumple la ley por sí solo. Hace falta un procedimiento de respuesta a incidentes, alguien que revise las alertas y un responsable que haga el reporte. Si el incidente expone datos personales, se suma el reporte de la Ley 21.719.
Cumplimiento normativo
Las reglas de Wazuh vienen asociadas a requisitos de cinco marcos: PCI DSS (tarjetas de pago), GDPR (protección de datos en Europa), HIPAA (salud en Estados Unidos), NIST 800-53 y los Trust Services Criteria. El dashboard muestra las alertas agrupadas por requisito, lo que facilita preparar una auditoría. La propia documentación de Wazuh aclara que esas asociaciones son orientativas: instalar Wazuh no certifica el cumplimiento de ninguna norma.
Requisitos e instalación
Para probarlo, Wazuh ofrece una instalación “todo en uno” con un script oficial que deja los cuatro componentes centrales en un solo servidor. Según la guía de inicio rápido, el servidor necesita:
| Agentes | CPU | RAM | Disco (90 días de datos) |
|---|---|---|---|
| 1 a 25 | 4 vCPU | 8 GiB | 50 GB |
| 26 a 50 | 8 vCPU | 8 GiB | 100 GB |
| 51 a 100 | 8 vCPU | 8 GiB | 200 GB |
Los pasos generales:
- Prepara un servidor de 64 bits con un sistema soportado, como Ubuntu 24.04 o Red Hat Enterprise Linux 9.
- Descarga y ejecuta el asistente de instalación desde la guía de inicio rápido.
- Guarda la contraseña de administrador que muestra al terminar.
- Entra al dashboard por HTTPS y despliega agentes desde el menú, que genera el comando de instalación para cada sistema.
Sobre 100 agentes, la documentación recomienda separar los componentes en varios servidores. La versión estable vigente es la 4.14; la 5.0 está en etapa de pruebas.
Cuánto cuesta
El software es gratis. Wazuh, Inc. vende Wazuh Cloud, un servicio alojado con planes según la cantidad de agentes (desde 571 dólares al mes hasta 100 agentes, según su sitio), y soporte profesional para instalaciones propias. La mayor parte del código usa la licencia GPL v2 y el indexador, Apache 2.0. En la rama de la 5.0, el nuevo motor de análisis pasa a la AGPL v3.
El costo real de la versión libre está en otra parte: el servidor y, sobre todo, el tiempo de alguien que ajuste las reglas y revise las alertas.
Limitaciones
- Ruido al principio. Recién instalado genera muchas alertas de poca importancia. Hay que ajustar reglas durante semanas.
- Necesita a alguien mirando. Un SIEM sin nadie que revise las alertas solo acumula datos.
- Consume disco. El indexador crece rápido con muchos agentes o registros de firewall; planifica la retención.
- No reemplaza otras capas. No es un antivirus completo ni un firewall. Se complementa con monitoreo de disponibilidad como Zabbix y con buenas prácticas de contraseñas y respaldos.
Preguntas frecuentes
¿Wazuh es gratis? Sí. Wazuh es de código abierto y se puede usar sin pagar licencias ni límites de agentes. La empresa vende un servicio en la nube y soporte opcionales.
¿Wazuh es un SIEM? Sí. Wazuh une funciones de SIEM, porque centraliza y analiza registros de seguridad, y de XDR, porque vigila los equipos y puede responder de forma automática.
¿Cuánta RAM necesita Wazuh? 8 GiB para una instalación todo en uno de hasta 100 agentes, con 4 a 8 vCPU según la cantidad de agentes. Sobre ese tamaño se recomienda una instalación distribuida.
¿Wazuh sirve para cumplir la Ley 21.663? Ayuda, pero no basta solo. Permite detectar incidentes a tiempo y reunir la información del reporte, pero la ley también exige procedimientos, responsables y reportes al CSIRT Nacional.
¿Wazuh reemplaza al antivirus? No. Detecta malware e indicadores de compromiso, pero se usa junto a un antivirus o EDR, no en su lugar.
Fuentes
- Wazuh, sitio oficial, Wazuh, Inc.
- Documentación de Wazuh, Wazuh, Inc.
- Guía de inicio rápido, Wazuh, Inc.
- Cumplimiento normativo con Wazuh, Wazuh, Inc.
- Wazuh Cloud, Wazuh, Inc.
- Repositorio de Wazuh, GitHub, Wazuh, Inc.