¿Qué es Wazuh?

Wazuh es una plataforma de seguridad de código abierto y gratuita que ofrece capacidades unificadas de XDR (Detección y Respuesta Extendida) y SIEM (Gestión de Eventos e Información de Seguridad).

Es una solución integral que ayuda a las organizaciones a detectar amenazas, supervisar la seguridad de sus sistemas, prevenir intrusiones y responder a incidentes de forma centralizada y eficiente.

Arquitectura de Wazuh

Su arquitectura principal se compone de cuatro componentes que trabajan en conjunto:

Funcionalidades Clave

Instalación de Wazuh 4.13 en Ubuntu 24.04

Paso 0 — Preparación de la VM

Asegúrate de que tu nueva VM tenga esta configuración antes de arrancar Ubuntu 24.04:

Paso 1 — Instalación de Dependencias

Abre la terminal de tu nueva VM y actualiza la lista de paquetes. Instala las herramientas básicas necesarias:

sudo apt update
sudo apt install -y curl wget apt-transport-https software-properties-common

Paso 2 — Ejecución del Instalador Todo-en-Uno

Usaremos el script de instalación asistida de Wazuh (wazuh-install.sh) con la opción Todo-en-Uno (-a).

sudo snap install curl
curl -sO https://packages.wazuh.com/4.13/wazuh-install.sh && sudo bash ./wazuh-install.sh -a

sudo rm /var/lib/dpkg/lock-frontend
sudo rm /var/lib/dpkg/lock
sudo rm /var/cache/apt/archives/lock

sudo tar -xOf wazuh-install-files.tar wazuh-passwords.txt

// Contraseñas generadas tras la instalación — User: admin

// Dashboard de Wazuh accesible en https://192.168.1.43:443

Paso 3 — Configuración de Acceso Remoto

sudo nano /etc/wazuh-dashboard/opensearch_dashboards.yml

# Asegúrate de que esta línea esté presente y sin comentarios:
server.host: "0.0.0.0"

sudo systemctl restart wazuh-dashboard

Paso 4 — Verificación y Acceso

sudo systemctl status wazuh-indexer
sudo systemctl status wazuh-manager
sudo systemctl status wazuh-dashboard

// Pantalla de login del Dashboard de Wazuh

// Panel principal tras el acceso inicial

Análisis del Panel de Resumen

El panel de resumen se divide en dos secciones principales que te dan una instantánea del estado de seguridad y operativo de tu plataforma.

Resumen de Agentes (Agents Summary)

Alertas de Últimas 24 Horas

Esta es la sección de seguridad más importante: muestra las alertas generadas por el Wazuh Manager en el último día, clasificadas por severidad.

// Panel de alertas de las últimas 24 horas

Funciones Clave de Seguridad del Endpoint

1. Configuration Assessment

Módulo de Hardening de la Configuración. Wazuh escanea regularmente las configuraciones de seguridad de los endpoints para determinar si cumplen con las mejores prácticas y estándares como CIS Benchmarks.

• Comprueba políticas de contraseñas y permisos
• Detecta servicios innecesarios activos
• Identifica configuraciones débiles antes de que ocurra un incidente
• Valor: Reduce la superficie de ataque proactivamente

2. Malware Detection

Analiza los Indicadores de Compromiso (IOCs) en logs y actividad del sistema para detectar patrones asociados con malware, ransomware o ataques cibernéticos activos.

• Detecta ejecución de archivos sospechosos
• Identifica conexiones de red a IPs maliciosas conocidas
• Alerta sobre procesos con comportamiento anómalo
• Valor: Detección temprana de endpoints comprometidos

3. File Integrity Monitoring (FIM)

Una de las funciones más antiguas y críticas. Monitoriza archivos y directorios clave en tiempo real usando hashes MD5/SHA1.

• Detecta cambios en contenido, permisos, propiedad y atributos
• Vigila archivos críticos como /etc/passwd o configuraciones de apps
• Requisito obligatorio en normativas como PCI DSS
• Valor: Si un atacante modifica archivos de configuración o crea backdoors, FIM lo detecta inmediatamente

// Módulos de seguridad de endpoint en el Dashboard

Funciones de Inteligencia y Análisis de Amenazas

1. Threat Hunting

Herramienta proactiva que permite buscar activamente amenazas que podrían haber pasado desapercibidas para las alertas automáticas.

• Acceso directo a la consola de búsqueda de todas las alertas y logs
• Permite formular hipótesis de seguridad propias
• Ejemplo: "¿Se conectó algún servidor a esta IP maliciosa ayer?"
• Valor: Esencia de la ciberseguridad proactiva — buscar en vez de esperar

2. Vulnerability Detection

Los agentes escanean periódicamente el software instalado en cada endpoint y lo comparan con la NVD (National Vulnerability Database).

• Identifica aplicaciones, librerías o SO con CVEs conocidas y graves
• Inventario centralizado de riesgos por endpoint
• Valor: Priorizar qué sistemas deben ser parchados inmediatamente

3. MITRE ATT&CK

Marco de referencia globalm que describe tácticas y técnicas usadas por atacantes. Wazuh mapea automáticamente sus alertas a este framework.

• Correlaciona alertas con técnicas específicas (ej: T1059 — Command and Scripting Interpreter)
• Muestra la fase del ciclo de vida del ataque (Acceso Inicial, Movimiento Lateral, Persistencia…)
• Valor: Contexto táctico del incidente — entender la intención del atacante

// Vista del framework MITRE ATT&CK en Wazuh

Operaciones de Seguridad y Cumplimiento

IT Hygiene (Higiene de TI)

Monitorización continua de la configuración, software y procesos para detectar desviaciones del estado de seguridad esperado: software desactualizado, servicios innecesarios activos o permisos modificados.

Normativas de Cumplimiento

// Vista de cumplimiento normativo en el Dashboard de Wazuh

Seguridad en la Nube y Contenedores

Despliegue de Agentes

Tu plataforma está lista. El siguiente paso lógico es la instalación de tu primer agente en los endpoints a monitorizar.

Flujo de Despliegue

¿Qué hace el comando generado?

• Descarga e instala el agente
• Se configura automáticamente para apuntar a la IP del Manager (ej: 192.168.1.41)
• Se registra en el Manager, que le asigna un ID único
• Inicia el servicio con conexión cifrada (TLS)
• Comienza a enviar logs, eventos FIM e inventario de software en tiempo real

Roles en la arquitectura agente-manager