Wazuh MCP mit ChatGPT verbinden: Agents und Regeln

💡 Keine Installation? Nutze direkt cloud.anythingmcp.com. Melde dich an, klicke auf Connectors → Wazuh, füge deine Zugangsdaten ein, erzeuge einen MCP-API-Key — fertig. Kein Docker, kein git clone, kein lokaler Server.

Wazuh + ChatGPT

Lass deine KI deine Wazuh-4.x-Sicherheitsplattform über die Server-API auslesen: Manager-Version und Daemon-Status, Agents und ihren Verbindungsstatus, die Erkennungsregeln und Decoder, Ergebnisse der Security Configuration Assessment (CIS-Benchmark) und File-Integrity-Monitoring-Daten pro Agent. Nur lesend: Es startet, ändert oder löscht nie etwas. Alerts und Schwachstellen liegen im Wazuh-Indexer und werden nicht abgedeckt.

Voraussetzungen

Die vollständige Einrichtungsanleitung ist im Connector enthalten (sichtbar im In-App-Store, wenn du den Connector auswählst). Die erforderlichen Umgebungsvariablen für diesen Connector sind:

WAZUH_URL, WAZUH_USERNAME, WAZUH_PASSWORD

Schritt 1 — Zugangsdaten besorgen

Die Einrichtung dauert etwa 5 Minuten. Du brauchst eine Wazuh-4.x-Server-API (den Manager, standardmäßig Port 55000), die AnythingMCP mit einem Zertifikat erreichen kann, dem es vertraut, und einen API-Benutzer mit der eingebauten Rolle readonly.

1. Setze WAZUH_URL auf die Adresse der Server-API, normalerweise https://<manager-host>:55000, ohne abschließenden Schrägstrich. Nicht das Dashboard (Port 443) und nicht der Indexer (Port 9200).
2. Lege einen eigenen API-Benutzer für die KI an und weise ihm die eingebaute Rolle readonly zu: im Wazuh-Dashboard unter Server management → Security → Users oder mit POST /security/users und POST /security/users/{user_id}/roles.
3. Trage den Namen dieses Benutzers in WAZUH_USERNAME und sein Passwort in WAZUH_PASSWORD ein. Der Connector meldet sich damit an und erneuert das Sitzungs-Token selbst (Wazuh-Tokens gelten standardmäßig 900 Sekunden).
4. Installiere den Connector und führe wazuh_get_manager_info aus: Das Tool liefert die Manager-Version und bestätigt, dass Adresse und Anmeldung funktionieren.

Nur lesend: Jedes Tool ist ein GET-Request. Der Connector kann nichts neu starten, keine Active Responses ausführen, keine Agents hinzufügen, entfernen oder upgraden und keine Regeln, Decoder, Benutzer oder Konfigurationen bearbeiten. Die Rolle readonly deckt alle benötigten Berechtigungen ab (manager:read, agent:read, rules:read, decoders:read, sca:read und syscheck:read).

Was gelesen wird: Manager- und API-Versionen sowie der Zustand jedes Manager-Daemons; Agents mit Status, IP, Betriebssystem, Version, Gruppen und letztem Keep-Alive, Zähler nach Status (wazuh_get_agents_summary), Betriebssystem-Plattformen und Agents, die älter sind als der Manager; das Regelwerk nach Level, Gruppe, Compliance-Zuordnung (PCI DSS, GDPR, HIPAA, NIST 800-53, TSC) oder MITRE-ID sowie die Decoder; Policies der Security Configuration Assessment (CIS-Benchmark) und fehlgeschlagene Prüfungen pro Agent, mit Begründung und Abhilfe; Dateien, Hashes und der letzte Scan des File Integrity Monitoring (syscheck) pro Agent. Agent-IDs haben mindestens drei Stellen (001); 000 ist der Manager selbst.

Zertifikat: Wazuh installiert auf Port 55000 ein selbstsigniertes Zertifikat, und ein selbstsigniertes Zertifikat schlägt fehl: Der Connector hat keinen Schalter, um jedem Zertifikat zu vertrauen. Gib der API ein Zertifikat, dessen Name zu WAZUH_URL passt (https.cert und https.key in der api.yaml von Wazuh), stelle einen Reverse-Proxy mit gültigem Zertifikat davor oder starte bei self-hosted AnythingMCP mit NODE_EXTRA_CA_CERTS, das auf deine interne CA zeigt.

Wo Wazuh läuft: Bei einem self-hosted AnythingMCP muss ein Administrator für ein Wazuh auf einer privaten Adresse (https://10.0.0.5:55000, https://wazuh.intern:55000) den Host in SSRF_ALLOWED_HOSTS oder in der Allowlist der Admin-Einstellungen freigeben. AnythingMCP Cloud kann nur eine Wazuh-API erreichen, die über HTTPS mit einem öffentlich vertrauenswürdigen Zertifikat im öffentlichen Internet erreichbar ist.

Datenschutz: Agent-Namen, IP-Adressen, Betriebssysteme, Dateipfade und Hashes beschreiben deine Infrastruktur. Weise den Connector nur MCP-Servern zu, deren Benutzer das sehen dürfen.

Limits: Listen-Tools liefern standardmäßig 50 Einträge und höchstens 500 pro Aufruf. Wazuh erlaubt standardmäßig 300 Requests pro Minute und antwortet darüber hinaus mit 429; standardmäßig sperren 50 fehlgeschlagene Anmeldungen innerhalb von 5 Minuten die Adresse für 300 Sekunden.

Häufige Fehler: 401 „Invalid credentials“ bedeutet ein falsches WAZUH_USERNAME oder WAZUH_PASSWORD. 403 bedeutet, dass dem API-Benutzer eine Leseberechtigung fehlt: Weise ihm die Rolle readonly zu. 404 bei jedem Aufruf bedeutet, dass WAZUH_URL auf das Dashboard oder den Indexer statt auf die Server-API zeigt. „Agent does not exist“ (Wazuh-Fehler 1701) bedeutet, dass kein Agent diese ID hat. 400 „There is no database for agent“ bedeutet, dass der Agent nie verbunden war und deshalb noch keine SCA- oder FIM-Daten hat. „self-signed certificate“ oder „unable to verify the first certificate“ ist das oben beschriebene Zertifikatsproblem.

Der Connector liest keine Alerts und Events oder Ergebnisse der Schwachstellenerkennung (sie liegen im Wazuh-Indexer, nicht in dieser API), schreibt nichts, deckt die Cluster-Konfiguration nicht ab und unterstützt Wazuh 5.x nicht, da dort die meisten dieser Endpunkte entfallen.

Schritt 2 — Den Adapter installieren

curl -fsSL https://raw.githubusercontent.com/HelpCode-ai/anythingmcp/main/docker-compose.quickstart.yml -o docker-compose.yml
printf 'JWT_SECRET=%s\nENCRYPTION_KEY=%s\n' "$(openssl rand -hex 32)" "$(openssl rand -hex 32)" > .env
docker compose up -d

Schritt 3 — Den Connector in ChatGPT hinzufügen

Deine Server-URL: Öffne in AnythingMCP MCP Servers → den Server, auf dem dieser Connector liegt, und kopiere dessen URL (https://cloud.anythingmcp.com/mcp/…). Verwende sie überall dort, wo in dieser Anleitung YOUR_SERVER_ID steht.

ChatGPT fügt MCP-Server als Plugins auf der Seite Plugins hinzu, im Web und in kostenpflichtigen Tarifen. Der Developer Mode wird nicht mehr benötigt. In einem Business-Workspace können nur Admins und Owner einen hinzufügen; in Enterprise und Edu kann ein Admin die Berechtigung Create plugins with MCPs erteilen.

1. Gehe zu chatgpt.com/plugins, klicke auf Add und dann auf Add custom MCP server.
2. Gib einen Namen ein, z. B. Name: Wazuh.
3. Gib unter Connection als Server URL https://cloud.anythingmcp.com/mcp/YOUR_SERVER_ID ein und lass Authentication auf OAuth.
4. Wähle I understand and want to continue und dann Create as a plugin. Wenn ChatGPT dich dazu auffordert, melde dich bei AnythingMCP an und erlaube den Zugriff.
5. Installiere das neue Plugin aus deinen persönlichen Plugins, tippe dann in einem Chat @ und wähle es aus.

Verfügbare Tools

FAQ

Funktioniert der kostenlose ChatGPT-Tarif mit eigenen MCP-Servern? OpenAI dokumentiert eigene MCP-Server nur für kostenpflichtige Tarife; der Free-Tarif steht nicht auf der Liste.

Nächste Schritte

• Connector-Landingpage
• Mit Claude verbinden