Wazuh MCP mit Claude verbinden: Agents und CIS

💡 Keine Installation? Nutze direkt cloud.anythingmcp.com. Melde dich an, klicke auf Connectors → Wazuh, füge deine Zugangsdaten ein, erstelle einen MCP-API-Key — fertig. Kein Docker, kein git clone, kein lokaler Server.

Wazuh + Claude

Lass deine KI deine Wazuh-4.x-Sicherheitsplattform über die Server-API auslesen: Manager-Version und Daemon-Status, Agents und ihren Verbindungsstatus, die Erkennungsregeln und Decoder, Ergebnisse der Security Configuration Assessment (CIS-Benchmark) und Daten des File Integrity Monitoring pro Agent. Nur lesend: Es startet, ändert oder löscht nie etwas. Alerts und Schwachstellen liegen im Wazuh-Indexer und werden nicht abgedeckt.

Voraussetzungen

Die vollständige Einrichtungsanleitung ist im Connector enthalten (sichtbar im In-App-Store, wenn du den Connector auswählst). Die erforderlichen Umgebungsvariablen für diesen Connector sind:

WAZUH_URL, WAZUH_USERNAME, WAZUH_PASSWORD

Schritt 1 — Zugangsdaten besorgen

Die Einrichtung dauert etwa 5 Minuten. Du brauchst eine Wazuh-4.x-Server-API (der Manager, standardmäßig Port 55000), die AnythingMCP mit einem Zertifikat erreichen kann, dem es vertraut, sowie einen API-Benutzer mit der eingebauten Rolle readonly.

1. Setze WAZUH_URL auf die Adresse der Server-API, normalerweise https://<manager-host>:55000, ohne abschließenden Schrägstrich. Nicht das Dashboard (Port 443) und nicht der Indexer (Port 9200).
2. Lege einen eigenen API-Benutzer für die KI an und weise ihm die eingebaute Rolle readonly zu: im Wazuh-Dashboard unter Server management → Security → Users oder mit POST /security/users und POST /security/users/{user_id}/roles.
3. Trage den Namen dieses Benutzers in WAZUH_USERNAME und sein Passwort in WAZUH_PASSWORD ein. Der Connector meldet sich damit an und erneuert das Sitzungstoken selbst (Wazuh-Tokens gelten standardmäßig 900 Sekunden).
4. Installiere den Connector und führe wazuh_get_manager_info aus: Das Tool liefert die Manager-Version und bestätigt, dass Adresse und Anmeldung funktionieren.

Nur lesend: Jedes Tool ist eine GET-Anfrage. Der Connector kann nichts neu starten, keine Active Responses ausführen, keine Agents hinzufügen, entfernen oder aktualisieren und keine Regeln, Decoder, Benutzer oder Konfigurationen bearbeiten. Die Rolle readonly deckt alle benötigten Berechtigungen ab (manager:read, agent:read, rules:read, decoders:read, sca:read und syscheck:read).

Was gelesen wird: Manager- und API-Versionen sowie der Zustand jedes Manager-Daemons; Agents mit Status, IP, Betriebssystem, Version, Gruppen und letztem Keep-alive, Zählungen nach Status (wazuh_get_agents_summary), Betriebssystem-Plattformen und Agents, die älter als der Manager sind; das Regelwerk nach Level, Gruppe, Compliance-Zuordnung (PCI DSS, GDPR, HIPAA, NIST 800-53, TSC) oder MITRE-ID sowie die Decoder; Policies der Security Configuration Assessment (CIS-Benchmark) und fehlgeschlagene Prüfungen pro Agent, mit Begründung und Abhilfe; Dateien, Hashes und der letzte Scan des File Integrity Monitoring (syscheck) pro Agent. Agent-IDs haben mindestens drei Ziffern (001); 000 ist der Manager selbst.

Zertifikat: Wazuh installiert auf Port 55000 ein selbstsigniertes Zertifikat, und ein selbstsigniertes Zertifikat schlägt fehl: Der Connector hat keinen Schalter, um jedem Zertifikat zu vertrauen. Gib der API ein Zertifikat, dessen Name zu WAZUH_URL passt (https.cert und https.key in der api.yaml von Wazuh), setze einen Reverse-Proxy mit gültigem Zertifikat davor oder starte AnythingMCP bei Self-Hosting mit NODE_EXTRA_CA_CERTS, das auf deine interne CA zeigt.

Wo Wazuh läuft: Bei einem self-hosted AnythingMCP braucht ein Wazuh auf einer privaten Adresse (https://10.0.0.5:55000, https://wazuh.intern:55000) einen Administrator, der den Host in SSRF_ALLOWED_HOSTS oder in der Allowlist in den Admin-Einstellungen freigibt. AnythingMCP Cloud erreicht nur eine Wazuh-API, die über HTTPS mit einem öffentlich vertrauenswürdigen Zertifikat im öffentlichen Internet erreichbar ist.

Datenschutz: Agent-Namen, IP-Adressen, Betriebssysteme, Dateipfade und Hashes beschreiben deine Infrastruktur. Weise den Connector nur MCP-Servern zu, deren Benutzer das sehen dürfen.

Limits: Listen-Tools liefern standardmäßig 50 Einträge und höchstens 500 pro Aufruf. Wazuh erlaubt standardmäßig 300 Anfragen pro Minute und antwortet darüber mit 429; standardmäßig sperren 50 fehlgeschlagene Anmeldungen innerhalb von 5 Minuten die Adresse für 300 Sekunden.

Häufige Fehler: 401 „Invalid credentials“ bedeutet ein falsches WAZUH_USERNAME oder WAZUH_PASSWORD. 403 bedeutet, dass dem API-Benutzer eine Leseberechtigung fehlt: Weise ihm die Rolle readonly zu. 404 bei jedem Aufruf bedeutet, dass WAZUH_URL auf das Dashboard oder den Indexer statt auf die Server-API zeigt. „Agent does not exist“ (Wazuh-Fehler 1701) bedeutet, dass kein Agent diese ID hat. 400 „There is no database for agent“ bedeutet, dass der Agent nie verbunden war und daher noch keine SCA- oder FIM-Daten hat. „self-signed certificate“ oder „unable to verify the first certificate“ ist das oben beschriebene Zertifikatsproblem.

Der Connector liest keine Alerts und Events und keine Ergebnisse der Schwachstellenerkennung (sie liegen im Wazuh-Indexer, nicht in dieser API), schreibt nichts, deckt keine Cluster-Konfiguration ab und unterstützt Wazuh 5.x nicht, das die meisten dieser Endpunkte entfernt.

Schritt 2 — Den Adapter installieren

curl -fsSL https://raw.githubusercontent.com/HelpCode-ai/anythingmcp/main/docker-compose.quickstart.yml -o docker-compose.yml
printf 'JWT_SECRET=%s\nENCRYPTION_KEY=%s\n' "$(openssl rand -hex 32)" "$(openssl rand -hex 32)" > .env
docker compose up -d

Schritt 3 — Den Connector in Claude hinzufügen

Deine Server-URL: Öffne in AnythingMCP MCP Servers → den Server, dem dieser Connector zugewiesen ist, und kopiere seine URL (https://cloud.anythingmcp.com/mcp/…). Verwende sie überall dort, wo diese Anleitung YOUR_SERVER_ID zeigt.

Empfohlener Weg — funktioniert im claude.ai-Web ohne Bearbeitung einer Konfigurationsdatei.

1. Öffne in Claude Customize → Connectors.
2. Klicke auf + und dann auf Add custom connector.
3. Gib einen Namen ein, z. B. Wazuh, und die URL des Remote-MCP-Servers https://cloud.anythingmcp.com/mcp/YOUR_SERVER_ID, und klicke dann auf Add.
4. Klicke auf Connect und melde dich bei AnythingMCP an (OAuth), um den Zugriff zu erlauben.

Alle unten aufgeführten Tools erscheinen in deinem Chat — du kannst direkt mit Prompts loslegen.

Verfügbare Tools

FAQ

Funktioniert es mit Claude Code ebenso wie mit Claude Desktop? Ja — richte beide auf https://cloud.anythingmcp.com/mcp/YOUR_SERVER_ID.

Nächste Schritte

• Connector-Landingpage
• Mit ChatGPT verbinden