Wazuh MCP mit Gemini CLI verbinden

💡 Keine Installation? Nutze direkt cloud.anythingmcp.com. Melde dich an, klicke auf Connectors → Wazuh, füge deine Zugangsdaten ein, erstelle einen MCP-API-Key — fertig. Kein Docker, kein git clone, kein lokaler Server.

Wazuh + Gemini

Lass deine KI deine Wazuh-4.x-Sicherheitsplattform über die Server-API auslesen: Manager-Version und Daemon-Status, Agents und ihren Verbindungsstatus, die Erkennungsregeln und Decoder, Ergebnisse der Security Configuration Assessment (CIS-Benchmark) und Daten des File Integrity Monitoring pro Agent. Nur lesend: Es startet, ändert oder löscht nie etwas. Alerts und Schwachstellen liegen im Wazuh-Indexer und werden nicht abgedeckt.

Voraussetzungen

Die vollständige Einrichtungsanleitung ist im Connector enthalten (sichtbar im In-App-Store, wenn du den Connector auswählst). Die erforderlichen Umgebungsvariablen für diesen Connector sind:

WAZUH_URL, WAZUH_USERNAME, WAZUH_PASSWORD

Schritt 1 — Zugangsdaten besorgen

Die Einrichtung dauert etwa 5 Minuten. Du brauchst eine Wazuh-4.x-Server-API (der Manager, standardmäßig Port 55000), die AnythingMCP mit einem Zertifikat erreichen kann, dem es vertraut, sowie einen API-Benutzer mit der eingebauten Rolle readonly.

1. Setze WAZUH_URL auf die Adresse der Server-API, normalerweise https://<manager-host>:55000, ohne abschließenden Schrägstrich. Nicht das Dashboard (Port 443) und nicht der Indexer (Port 9200).
2. Lege einen eigenen API-Benutzer für die KI an und weise ihm die eingebaute Rolle readonly zu: im Wazuh-Dashboard unter Server management → Security → Users oder mit POST /security/users und POST /security/users/{user_id}/roles.
3. Trage den Namen dieses Benutzers in WAZUH_USERNAME und sein Passwort in WAZUH_PASSWORD ein. Der Connector meldet sich damit an und erneuert das Sitzungstoken selbst (Wazuh-Tokens gelten standardmäßig 900 Sekunden).
4. Installiere den Connector und führe wazuh_get_manager_info aus: Das Tool liefert die Manager-Version und bestätigt, dass Adresse und Anmeldung funktionieren.

Nur lesend: Jedes Tool ist eine GET-Anfrage. Der Connector kann nichts neu starten, keine Active Responses ausführen, keine Agents hinzufügen, entfernen oder aktualisieren und keine Regeln, Decoder, Benutzer oder Konfigurationen bearbeiten. Die Rolle readonly deckt alle benötigten Berechtigungen ab (manager:read, agent:read, rules:read, decoders:read, sca:read und syscheck:read).

Was gelesen wird: Manager- und API-Versionen sowie der Zustand jedes Manager-Daemons; Agents mit Status, IP, Betriebssystem, Version, Gruppen und letztem Keep-alive, Zählungen nach Status (wazuh_get_agents_summary), Betriebssystem-Plattformen und Agents, die älter als der Manager sind; das Regelwerk nach Level, Gruppe, Compliance-Zuordnung (PCI DSS, GDPR, HIPAA, NIST 800-53, TSC) oder MITRE-ID sowie die Decoder; Policies der Security Configuration Assessment (CIS-Benchmark) und fehlgeschlagene Prüfungen pro Agent, mit Begründung und Abhilfe; Dateien, Hashes und der letzte Scan des File Integrity Monitoring (syscheck) pro Agent. Agent-IDs haben mindestens drei Ziffern (001); 000 ist der Manager selbst.

Zertifikat: Wazuh installiert auf Port 55000 ein selbstsigniertes Zertifikat, und ein selbstsigniertes Zertifikat schlägt fehl: Der Connector hat keinen Schalter, um jedem Zertifikat zu vertrauen. Gib der API ein Zertifikat, dessen Name zu WAZUH_URL passt (https.cert und https.key in der api.yaml von Wazuh), setze einen Reverse-Proxy mit gültigem Zertifikat davor oder starte AnythingMCP bei Self-Hosting mit NODE_EXTRA_CA_CERTS, das auf deine interne CA zeigt.

Wo Wazuh läuft: Bei einem self-hosted AnythingMCP braucht ein Wazuh auf einer privaten Adresse (https://10.0.0.5:55000, https://wazuh.intern:55000) einen Administrator, der den Host in SSRF_ALLOWED_HOSTS oder in der Allowlist in den Admin-Einstellungen freigibt. AnythingMCP Cloud erreicht nur eine Wazuh-API, die über HTTPS mit einem öffentlich vertrauenswürdigen Zertifikat im öffentlichen Internet erreichbar ist.

Datenschutz: Agent-Namen, IP-Adressen, Betriebssysteme, Dateipfade und Hashes beschreiben deine Infrastruktur. Weise den Connector nur MCP-Servern zu, deren Benutzer das sehen dürfen.

Limits: Listen-Tools liefern standardmäßig 50 Einträge und höchstens 500 pro Aufruf. Wazuh erlaubt standardmäßig 300 Anfragen pro Minute und antwortet darüber mit 429; standardmäßig sperren 50 fehlgeschlagene Anmeldungen innerhalb von 5 Minuten die Adresse für 300 Sekunden.

Häufige Fehler: 401 „Invalid credentials“ bedeutet ein falsches WAZUH_USERNAME oder WAZUH_PASSWORD. 403 bedeutet, dass dem API-Benutzer eine Leseberechtigung fehlt: Weise ihm die Rolle readonly zu. 404 bei jedem Aufruf bedeutet, dass WAZUH_URL auf das Dashboard oder den Indexer statt auf die Server-API zeigt. „Agent does not exist“ (Wazuh-Fehler 1701) bedeutet, dass kein Agent diese ID hat. 400 „There is no database for agent“ bedeutet, dass der Agent nie verbunden war und daher noch keine SCA- oder FIM-Daten hat. „self-signed certificate“ oder „unable to verify the first certificate“ ist das oben beschriebene Zertifikatsproblem.

Der Connector liest keine Alerts und Events und keine Ergebnisse der Schwachstellenerkennung (sie liegen im Wazuh-Indexer, nicht in dieser API), schreibt nichts, deckt keine Cluster-Konfiguration ab und unterstützt Wazuh 5.x nicht, das die meisten dieser Endpunkte entfernt.

Schritt 2 — Den Adapter installieren

curl -fsSL https://raw.githubusercontent.com/HelpCode-ai/anythingmcp/main/docker-compose.quickstart.yml -o docker-compose.yml
printf 'JWT_SECRET=%s\nENCRYPTION_KEY=%s\n' "$(openssl rand -hex 32)" "$(openssl rand -hex 32)" > .env
docker compose up -d

Schritt 3 — Den Connector in Gemini hinzufügen

Deine Server-URL: Öffne in AnythingMCP MCP Servers → den Server, auf dem dieser Connector liegt, und kopiere seine URL (https://cloud.anythingmcp.com/mcp/…). Setze sie überall ein, wo diese Anleitung YOUR_SERVER_ID zeigt.

Gemini CLI liest MCP-Server aus ~/.gemini/settings.json (unter Windows %USERPROFILE%\.gemini\settings.json). Füge hinzu:

{
  "mcpServers": {
    "anythingmcp": {
      "httpUrl": "https://cloud.anythingmcp.com/mcp/YOUR_SERVER_ID",
      "headers": { "X-API-Key": "YOUR_MCP_API_KEY" }
    }
  }
}

1. Erstelle in AnythingMCP unter MCP Servers → dein Server → API keys einen MCP-API-Key und setze ihn anstelle von YOUR_MCP_API_KEY ein.
2. Speichere die Datei und starte gemini neu.
3. Führe in der Gemini CLI /mcp aus (oder gemini mcp list im Terminal) — anythingmcp sollte als verbunden erscheinen.
4. Leg los: Gemini CLI kann jetzt die Wazuh-Tools aufrufen.

Verfügbare Tools

FAQ

Wo sucht Gemini CLI nach MCP-Servern? In ~/.gemini/settings.json für deinen Benutzer oder in .gemini/settings.json innerhalb eines Projekts. gemini mcp list zeigt jeden Server und ob er sich verbindet.

Nächste Schritte

• Connector-Landingpage
• Mit Claude verbinden
• Mit ChatGPT verbinden