Wazuh è una piattaforma di sicurezza difensiva che riunisce due funzioni di solito affidate a prodotti diversi: la raccolta e la correlazione dei log tipica di un SIEM e il monitoraggio degli endpoint proprio di un XDR. La sviluppa la società Wazuh Inc., che fa risalire i propri inizi al 2015, e il codice deriva da OSSEC, il sistema di rilevamento delle intrusioni avviato da Daniel Cid, come ricorda il repository ufficiale. La maggior parte del progetto è distribuita con licenza GPL v2, mentre alcune componenti più recenti usano la AGPL v3.
La versione 4.14.9 è uscita il 14 ottobre 2026, secondo le note di rilascio della documentazione, con binari Linux compilati in modo più protetto e diverse correzioni all’agente.
A cosa serve Wazuh
L’architettura si basa su quattro elementi. Un agente unico, installato su ogni macchina da sorvegliare, invia i log del sistema e delle applicazioni, l’inventario del software installato e le modifiche ai file sensibili. Il server riceve questi dati, li decodifica e li confronta con un ricco insieme di regole. L’indexer, una derivazione di OpenSearch con licenza Apache 2.0, archivia gli avvisi e li rende interrogabili, mentre la dashboard web consente di consultarli, filtrarli per macchina e seguire lo stato dell’intera infrastruttura.
Su queste basi Wazuh copre esigenze molto varie. Segnala i file modificati indicando l’utente o il processo responsabile, incrocia l’inventario software con i dati sulle vulnerabilità CVE, verifica le impostazioni dei sistemi rispetto alle guide di hardening e produce report utili per standard come PCI DSS. La funzione di risposta attiva può avviare una contromisura automatica, per esempio bloccare l’indirizzo da cui parte un attacco a forza bruta. Moduli dedicati raccolgono gli eventi degli account AWS, Azure e Google Cloud, e l’agente sorveglia anche gli host Docker con i relativi container.
Wazuh osserva le macchine dall’interno, attraverso ciò che registrano nei log. Zeek e Suricata invece si collocano sulla rete ed esaminano il traffico che scorre tra i computer, mentre Falco si concentra sul comportamento dei container in esecuzione. Sono strumenti complementari più che concorrenti, e quando Wazuh segnala una macchina sospetta un analista può passare a Volatility o ad Autopsy per esaminarne a fondo la memoria o il disco.
Per chi è?
Wazuh si rivolge ai team di sicurezza e agli amministratori di sistema che vogliono centralizzare il monitoraggio senza pagare una licenza per postazione: piccole e medie imprese, enti locali, scuole e università, fornitori di servizi gestiti che seguono più clienti, centri operativi di sicurezza in fase di avvio. Anche gli studenti di cybersicurezza vi trovano un laboratorio realistico, installabile su una sola macchina virtuale.
Le esigenze vanno però valutate. La documentazione indica almeno quattro CPU virtuali, 8 GB di memoria e 50 GB di disco per un server all-in-one che segue fino a venticinque agenti conservando novanta giorni di avvisi, e consiglia un’architettura distribuita oltre il centinaio di agenti. All’inizio le regole generano molti avvisi e la loro messa a punto richiede tempo e una buona conoscenza dei sistemi sorvegliati. Wazuh non sostituisce una sonda di rete né un antivirus completo: chi deve leggere il contenuto delle comunicazioni di rete farà meglio a rivolgersi a Zeek o a Suricata.
Scaricare Wazuh in sicurezza
Tutto si trova su documentation.wazuh.com e nell’organizzazione wazuh su GitHub. La guida rapida fornisce un assistente che installa server, indexer e dashboard su una macchina Linux a 64 bit con Ubuntu, Red Hat Enterprise Linux, CentOS Stream o Amazon Linux. La stessa documentazione propone una macchina virtuale pronta all’uso, un’installazione con container Docker e i pacchetti degli agenti: un file MSI per Windows, due pacchetti per macOS distinti tra Mac Intel e Apple Silicon, oltre alle versioni per Linux, Solaris, AIX e HP-UX.
Il software è completamente gratuito. L’azienda vende invece supporto professionale, consulenza, corsi di formazione e Wazuh Cloud, un’edizione ospitata che gestisce e aggiorna direttamente. Wazuh Cloud si prova per quattordici giorni senza carta di credito, poi il piano Small è indicato a 571 dollari al mese per cento agenti, il Medium a 923 dollari per duecentocinquanta agenti e il Large a 1.467 dollari per cinquecento agenti. Poiché un agente di sicurezza gira con privilegi elevati su ogni postazione, un pacchetto preso da una fonte diversa da packages.wazuh.com esporrebbe l’infrastruttura proprio al tipo di minaccia che lo strumento dovrebbe intercettare.
Domande frequenti
Wazuh è davvero gratuito?
Sì. Server, indexer, dashboard e agenti sono open source e gratuiti, qualunque sia il numero di macchine sorvegliate. Sono a pagamento solo Wazuh Cloud, il supporto professionale e la formazione.
Che differenza c’è tra Wazuh e Zeek?
Wazuh usa agenti installati sulle macchine e ne analizza log, file e configurazione. Zeek osserva il traffico di rete da una sonda, senza installare nulla sulle postazioni. Molti team li usano insieme.
Si può usare Wazuh senza installare un server?
Sì, con Wazuh Cloud, l’edizione ospitata dall’azienda. In questo caso basta distribuire gli agenti sulle macchine. Il servizio è a pagamento dopo una prova gratuita di quattordici giorni.
