Collegare Wazuh a Gemini CLI via MCP: agenti e file

💡 Nessuna installazione? Usa direttamente cloud.anythingmcp.com. Accedi, clicca Connectors → Wazuh, incolla le tue credenziali, genera una chiave API MCP — fatto. Niente Docker, niente git clone, nessun server locale.

Wazuh + Gemini

Lascia che la tua AI legga la tua piattaforma di sicurezza Wazuh 4.x tramite la server API: versione del manager e stato dei daemon, agent e il loro stato di connessione, regole di rilevamento e decoder, risultati della Security Configuration Assessment (benchmark CIS) e dati di File Integrity Monitoring per ogni agent. Sola lettura: non riavvia, non modifica e non elimina nulla. Gli alert e le vulnerabilità risiedono nel Wazuh indexer e non sono coperti.

Prerequisiti

Consulta le istruzioni di configurazione complete incluse nel connettore (visibili nello store dell'app quando selezioni il connettore). Le variabili d'ambiente richieste per questo connettore sono:

WAZUH_URL, WAZUH_USERNAME, WAZUH_PASSWORD

Passo 1 — Ottieni le credenziali

La configurazione richiede circa 5 minuti. Ti serve una server API di Wazuh 4.x (il manager, porta 55000 per impostazione predefinita) raggiungibile da AnythingMCP con un certificato di cui si fidi, e un utente API con il ruolo integrato readonly.

1. Imposta WAZUH_URL sull'indirizzo della server API, normalmente https://<manager-host>:55000, senza slash finale. Non la dashboard (porta 443) e non l'indexer (porta 9200).
2. Crea un utente API dedicato per l'AI e assegnagli il ruolo integrato readonly: nella dashboard di Wazuh in Server management → Security → Users, oppure con POST /security/users e POST /security/users/{user_id}/roles.
3. Inserisci il nome di quell'utente in WAZUH_USERNAME e la sua password in WAZUH_PASSWORD. Il connettore accede con queste credenziali e rinnova da solo il token di sessione (i token di Wazuh durano 900 secondi per impostazione predefinita).
4. Installa il connettore ed esegui wazuh_get_manager_info: restituisce la versione del manager e conferma che indirizzo e accesso funzionano.

Sola lettura: ogni tool è una richiesta GET. Il connettore non può riavviare nulla, eseguire active response, aggiungere, rimuovere o aggiornare agent, né modificare regole, decoder, utenti o configurazione. Il ruolo readonly copre tutti i permessi necessari (manager:read, agent:read, rules:read, decoders:read, sca:read e syscheck:read).

Cosa legge: versioni del manager e dell'API e stato di ogni daemon del manager; agent con stato, IP, sistema operativo, versione, gruppi e ultimo keep-alive, conteggi per stato (wazuh_get_agents_summary), piattaforme dei sistemi operativi e agent più vecchi del manager; il set di regole per livello, gruppo, mappatura di conformità (PCI DSS, GDPR, HIPAA, NIST 800-53, TSC) o id MITRE, e i decoder; policy della Security Configuration Assessment (benchmark CIS) e controlli falliti per agent, con motivazione e rimedio; file, hash e ultima scansione del File Integrity Monitoring (syscheck) per agent. Gli id degli agent hanno almeno tre cifre (001); 000 è il manager stesso.

Certificato: Wazuh installa un certificato autofirmato sulla porta 55000, e un certificato autofirmato non viene accettato: il connettore non ha nessuna opzione per fidarsi di qualsiasi certificato. Assegna alla API un certificato il cui nome corrisponda a WAZUH_URL (https.cert e https.key in api.yaml di Wazuh), metti davanti un reverse proxy con un certificato valido oppure, in self-hosting, avvia AnythingMCP con NODE_EXTRA_CA_CERTS che punti alla tua CA interna.

Dove gira Wazuh: su un AnythingMCP self-hosted, un Wazuh su un indirizzo privato (https://10.0.0.5:55000, https://wazuh.intern:55000) richiede che un amministratore autorizzi l'host in SSRF_ALLOWED_HOSTS o nella allowlist nelle impostazioni di amministrazione. AnythingMCP Cloud può raggiungere solo una API Wazuh esposta su internet pubblico tramite HTTPS con un certificato pubblicamente attendibile.

Privacy: nomi degli agent, indirizzi IP, sistemi operativi, percorsi dei file e hash descrivono la tua infrastruttura. Assegna il connettore solo a server MCP i cui utenti possono vedere queste informazioni.

Limiti: i tool di elenco restituiscono 50 elementi per impostazione predefinita e al massimo 500 per chiamata. Wazuh consente 300 richieste al minuto per impostazione predefinita e risponde con 429 oltre tale soglia; inoltre, per impostazione predefinita, 50 accessi falliti in 5 minuti bloccano l'indirizzo per 300 secondi.

Errori comuni: 401 "Invalid credentials" indica un WAZUH_USERNAME o WAZUH_PASSWORD errato. 403 significa che all'utente API manca un permesso di lettura: assegnagli il ruolo readonly. 404 su ogni chiamata significa che WAZUH_URL punta alla dashboard o all'indexer invece che alla server API. "Agent does not exist" (errore Wazuh 1701) significa che nessun agent ha quell'id. 400 "There is no database for agent" significa che l'agent non si è mai connesso, quindi non ha ancora dati SCA o FIM. "self-signed certificate" o "unable to verify the first certificate" è il problema del certificato descritto sopra.

Il connettore non legge alert ed eventi né i risultati del rilevamento delle vulnerabilità (risiedono nel Wazuh indexer, non in questa API), non scrive nulla, non copre la configurazione del cluster e non supporta Wazuh 5.x, che rimuove la maggior parte di questi endpoint.

Passo 2 — Installa l'adapter

curl -fsSL https://raw.githubusercontent.com/HelpCode-ai/anythingmcp/main/docker-compose.quickstart.yml -o docker-compose.yml
printf 'JWT_SECRET=%s\nENCRYPTION_KEY=%s\n' "$(openssl rand -hex 32)" "$(openssl rand -hex 32)" > .env
docker compose up -d

Passo 3 — Aggiungi il connettore in Gemini

L'URL del tuo server: in AnythingMCP apri MCP Servers → il server su cui si trova questo connettore e copia il suo URL (https://cloud.anythingmcp.com/mcp/…). Usalo ovunque questa guida mostra YOUR_SERVER_ID.

Gemini CLI legge i server MCP da ~/.gemini/settings.json (su Windows %USERPROFILE%\.gemini\settings.json). Aggiungi:

{
  "mcpServers": {
    "anythingmcp": {
      "httpUrl": "https://cloud.anythingmcp.com/mcp/YOUR_SERVER_ID",
      "headers": { "X-API-Key": "YOUR_MCP_API_KEY" }
    }
  }
}

1. Crea una chiave API MCP in AnythingMCP da MCP Servers → il tuo server → API keys e incollala al posto di YOUR_MCP_API_KEY.
2. Salva il file e riavvia gemini.
3. Esegui /mcp in Gemini CLI (oppure gemini mcp list dal terminale): anythingmcp dovrebbe risultare connesso.
4. Inizia a scrivere prompt: Gemini CLI ora può chiamare i tool di Wazuh.

Tool disponibili

FAQ

Dove cerca i server MCP Gemini CLI? In ~/.gemini/settings.json per il tuo utente, oppure in .gemini/settings.json dentro un progetto. gemini mcp list mostra ogni server e se si connette.

Prossimi passi

• Pagina del connettore
• Collegarlo a Claude
• Collegarlo a ChatGPT