Подключить Wazuh MCP к Gemini CLI: агенты и файлы

💡 Не хочешь ничего устанавливать? Используй cloud.anythingmcp.com напрямую. Войди, нажми Connectors → Wazuh, вставь свои учётные данные, создай API-ключ MCP — готово. Без Docker, без git clone, без локального сервера.

Wazuh + Gemini

Позволь своему ИИ читать данные платформы безопасности Wazuh 4.x через API сервера: версию менеджера и состояние демонов, агентов и их статус подключения, правила обнаружения и декодеры, результаты Security Configuration Assessment (бенчмарк CIS) и данные File Integrity Monitoring по каждому агенту. Только чтение: ничего не перезапускается, не изменяется и не удаляется. Оповещения и уязвимости хранятся в индексаторе Wazuh и здесь не охвачены.

Предварительные требования

Полные инструкции по настройке встроены в коннектор (они видны в магазине внутри приложения, когда ты выбираешь коннектор). Для этого коннектора нужны следующие переменные окружения:

WAZUH_URL, WAZUH_USERNAME, WAZUH_PASSWORD

Шаг 1 — Получи учётные данные

Настройка занимает около 5 минут. Тебе нужен API сервера Wazuh 4.x (менеджер, по умолчанию порт 55000), доступный для AnythingMCP, с сертификатом, которому AnythingMCP доверяет, и пользователь API со встроенной ролью readonly.

1. Укажи в WAZUH_URL адрес API сервера, обычно https://<manager-host>:55000, без завершающего слеша. Это не дашборд (порт 443) и не индексатор (порт 9200).
2. Создай для ИИ отдельного пользователя API и назначь ему встроенную роль readonly: в дашборде Wazuh в разделе Server management → Security → Users либо через POST /security/users и POST /security/users/{user_id}/roles.
3. Впиши имя этого пользователя в WAZUH_USERNAME, а его пароль — в WAZUH_PASSWORD. Коннектор входит с их помощью и сам обновляет токен сессии (токены Wazuh по умолчанию действуют 900 секунд).
4. Установи коннектор и запусти wazuh_get_manager_info: он вернёт версию менеджера и подтвердит, что адрес и вход работают.

Только чтение: каждый инструмент — это GET-запрос. Коннектор не может ничего перезапускать, запускать активные ответы, добавлять, удалять или обновлять агентов, а также редактировать правила, декодеры, пользователей или конфигурацию. Роль readonly покрывает все нужные разрешения (manager:read, agent:read, rules:read, decoders:read, sca:read и syscheck:read).

Что он читает: версии менеджера и API и состояние каждого демона менеджера; агентов со статусом, IP, ОС, версией, группами и последним keep-alive, количество по статусам (wazuh_get_agents_summary), платформы ОС и агентов старше менеджера; набор правил по уровню, группе, сопоставлению с требованиями (PCI DSS, GDPR, HIPAA, NIST 800-53, TSC) или идентификатору MITRE, а также декодеры; политики Security Configuration Assessment (бенчмарк CIS) и проваленные проверки по каждому агенту, с обоснованием и рекомендациями по устранению; файлы File Integrity Monitoring (syscheck), хеши и последнее сканирование по каждому агенту. Идентификаторы агентов состоят минимум из трёх цифр (001); 000 — это сам менеджер.

Сертификат: Wazuh устанавливает на порт 55000 самоподписанный сертификат, и он не проходит проверку: в коннекторе нет переключателя, чтобы доверять любому сертификату. Выдай API сертификат, имя в котором совпадает с WAZUH_URL (https.cert и https.key в api.yaml Wazuh), поставь перед ним обратный прокси с действительным сертификатом или, при самостоятельном хостинге, запусти AnythingMCP с NODE_EXTRA_CA_CERTS, указывающим на твой внутренний CA.

Где работает Wazuh: при самостоятельно размещённом AnythingMCP для Wazuh на частном адресе (https://10.0.0.5:55000, https://wazuh.intern:55000) администратору нужно разрешить хост в SSRF_ALLOWED_HOSTS или в списке разрешённых в настройках администратора. AnythingMCP Cloud может достучаться только до API Wazuh, доступного из публичного интернета по HTTPS с общедоверенным сертификатом.

Конфиденциальность: имена агентов, IP-адреса, операционные системы, пути к файлам и хеши описывают твою инфраструктуру. Назначай коннектор только тем MCP-серверам, пользователям которых разрешено это видеть.

Ограничения: инструменты списков по умолчанию возвращают 50 элементов и не более 500 за вызов. Wazuh по умолчанию допускает 300 запросов в минуту и отвечает 429 при превышении, а 50 неудачных входов за 5 минут по умолчанию блокируют адрес на 300 секунд.

Частые ошибки: 401 "Invalid credentials" означает неверные WAZUH_USERNAME или WAZUH_PASSWORD. 403 означает, что у пользователя API нет разрешения на чтение: назначь ему роль readonly. 404 на каждый вызов означает, что WAZUH_URL указывает на дашборд или индексатор, а не на API сервера. "Agent does not exist" (ошибка Wazuh 1701) означает, что агента с таким идентификатором нет. 400 "There is no database for agent" означает, что агент никогда не подключался, поэтому данных SCA или FIM по нему ещё нет. "self-signed certificate" или "unable to verify the first certificate" — это проблема с сертификатом, описанная выше.

Коннектор не читает оповещения и события, а также результаты обнаружения уязвимостей (они хранятся в индексаторе Wazuh, а не в этом API), ничего не записывает, не охватывает конфигурацию кластера и не поддерживает Wazuh 5.x, в котором большинство этих эндпоинтов удалено.

Шаг 2 — Установи адаптер

curl -fsSL https://raw.githubusercontent.com/HelpCode-ai/anythingmcp/main/docker-compose.quickstart.yml -o docker-compose.yml
printf 'JWT_SECRET=%s\nENCRYPTION_KEY=%s\n' "$(openssl rand -hex 32)" "$(openssl rand -hex 32)" > .env
docker compose up -d

Шаг 3 — Добавь коннектор в Gemini

URL вашего сервера: в AnythingMCP откройте MCP Servers → сервер, на котором находится этот коннектор, и скопируйте его URL (https://cloud.anythingmcp.com/mcp/…). Используйте его везде, где в этом руководстве указано YOUR_SERVER_ID.

Gemini CLI читает MCP-серверы из ~/.gemini/settings.json (в Windows — %USERPROFILE%\.gemini\settings.json). Добавь:

{
  "mcpServers": {
    "anythingmcp": {
      "httpUrl": "https://cloud.anythingmcp.com/mcp/YOUR_SERVER_ID",
      "headers": { "X-API-Key": "YOUR_MCP_API_KEY" }
    }
  }
}

1. Создай MCP API-ключ в AnythingMCP в разделе MCP Servers → твой сервер → API keys и вставь его вместо YOUR_MCP_API_KEY.
2. Сохрани файл и перезапусти gemini.
3. Выполни /mcp в Gemini CLI (или gemini mcp list в терминале) — anythingmcp должен отображаться как подключённый.
4. Начинай писать промпты: Gemini CLI теперь может вызывать инструменты Wazuh.

Доступные инструменты

FAQ

Где Gemini CLI ищет MCP-серверы? В ~/.gemini/settings.json для твоего пользователя или в .gemini/settings.json внутри проекта. gemini mcp list показывает каждый сервер и статус подключения.

Следующие шаги

• Страница коннектора
• Подключение к Claude
• Подключение к ChatGPT