跳过安装。2 分钟内即可运行。
在 cloud.anythingmcp.com 开始免费试用，一键添加 Wazuh，然后将你的 AI 客户端（Claude、ChatGPT、Copilot 或 Cursor）指向生成的 MCP 端点。无需 Docker，无需 git clone，无需任何工程经验。
摘要
让你的 AI 通过服务器 API 读取 Wazuh 4.x 安全平台的数据：管理器版本与守护进程状态、代理（agent）及其连接状态、检测规则与解码器、每个代理的安全配置评估（CIS 基准）结果以及文件完整性监控数据。只读：绝不会重启、修改或删除任何内容。告警和漏洞数据存放在 Wazuh indexer 中，不在覆盖范围内。
试试这样问
Wazuh 的示例提示
点击任意提示即可复制，然后粘贴到 Claude、ChatGPT、Cursor、Gemini、Copilot 或 OpenClaw 中，在该连接器上运行。
Claude 是 AI，可能会出错。请核对回答。
💡 无需安装？直接使用 cloud.anythingmcp.com。 登录后点击 Connectors → Wazuh，粘贴你的凭据，生成 MCP API 密钥即可。无需 Docker，无需
git clone，无需本地服务器。
Wazuh + Microsoft Copilot
让你的 AI 通过服务器 API 读取 Wazuh 4.x 安全平台的数据：管理器版本与守护进程状态、代理（agent）及其连接状态、检测规则与解码器、每个代理的安全配置评估（CIS 基准）结果以及文件完整性监控数据。只读：绝不会重启、修改或删除任何内容。告警和漏洞数据存放在 Wazuh indexer 中，不在覆盖范围内。
前提条件
请查看连接器内置的完整设置说明（在应用内商店选择该连接器即可看到）。此连接器所需的环境变量如下：
WAZUH_URL, WAZUH_USERNAME, WAZUH_PASSWORD
第 1 步 — 获取凭据
设置大约需要 5 分钟。你需要一个 AnythingMCP 能够访问、且其证书可被信任的 Wazuh 4.x 服务器 API（即管理器，默认端口 55000），以及一个拥有内置 readonly 角色的 API 用户。
- 将
WAZUH_URL设置为服务器 API 地址，通常为https://<manager-host>:55000，末尾不要带斜杠。不是仪表板（端口 443），也不是 indexer（端口 9200）。 - 为 AI 创建一个专用的 API 用户，并赋予内置的
readonly角色：可在 Wazuh 仪表板的 Server management → Security → Users 中操作，或使用POST /security/users和POST /security/users/{user_id}/roles。 - 将该用户名填入
WAZUH_USERNAME，密码填入WAZUH_PASSWORD。连接器会使用它们登录，并自行续期会话令牌（Wazuh 令牌默认有效期为 900 秒）。 - 安装连接器并运行
wazuh_get_manager_info：它会返回管理器版本，并确认地址和登录均正常。
只读：所有工具都是 GET 请求。连接器不能重启任何内容、执行主动响应、添加、移除或升级代理，也不能编辑规则、解码器、用户或配置。readonly 角色涵盖了它所需的全部权限（manager:read、agent:read、rules:read、decoders:read、sca:read 和 syscheck:read）。
读取内容：管理器和 API 版本以及各管理器守护进程的状态；代理的状态、IP、操作系统、版本、分组和最近一次 keep-alive，按状态统计的数量（wazuh_get_agents_summary）、操作系统平台以及版本比管理器旧的代理；按级别、分组、合规映射（PCI DSS、GDPR、HIPAA、NIST 800-53、TSC）或 MITRE id 筛选的规则集，以及解码器；每个代理的安全配置评估（CIS 基准）策略和未通过的检查项，附带依据和修复建议；每个代理的文件完整性监控（syscheck）文件、哈希值和最近一次扫描。代理 id 至少为三位数字（001）；000 是管理器本身。
证书：Wazuh 在端口 55000 上安装的是自签名证书，而自签名证书会导致连接失败：连接器没有"信任任意证书"的开关。你可以为 API 配置一个名称与 WAZUH_URL 匹配的证书（Wazuh api.yaml 中的 https.cert 和 https.key），在前面放置一个带有有效证书的反向代理，或者在自托管环境中，启动 AnythingMCP 时将 NODE_EXTRA_CA_CERTS 指向你的内部 CA。
Wazuh 的部署位置：在自托管的 AnythingMCP 上，位于私有地址的 Wazuh（https://10.0.0.5:55000、https://wazuh.intern:55000）需要管理员在 SSRF_ALLOWED_HOSTS 或管理设置的允许列表中放行该主机。AnythingMCP Cloud 只能访问通过公网以 HTTPS 暴露、且使用公共信任证书的 Wazuh API。
隐私：代理名称、IP 地址、操作系统、文件路径和哈希值都会描述你的基础设施。请只将该连接器分配给其用户有权查看这些信息的 MCP 服务器。
限制：列表类工具默认返回 50 条，每次调用最多 500 条。Wazuh 默认每分钟允许 300 个请求，超出后返回 429；默认情况下，5 分钟内 50 次登录失败会导致该地址被封锁 300 秒。
常见错误：401 "Invalid credentials" 表示 WAZUH_USERNAME 或 WAZUH_PASSWORD 有误。403 表示 API 用户缺少读取权限：请赋予它 readonly 角色。每次调用都返回 404 表示 WAZUH_URL 指向的是仪表板或 indexer，而不是服务器 API。"Agent does not exist"（Wazuh 错误 1701）表示不存在该 id 的代理。400 "There is no database for agent" 表示该代理从未连接过，因此还没有 SCA 或 FIM 数据。"self-signed certificate" 或 "unable to verify the first certificate" 就是上面提到的证书问题。
该连接器不读取告警和事件，也不读取漏洞检测结果（它们位于 Wazuh indexer 中，而不在此 API 内），不写入任何内容，不涉及集群配置，也不支持 Wazuh 5.x（该版本移除了其中大部分端点）。
第 2 步 — 安装适配器
curl -fsSL https://raw.githubusercontent.com/HelpCode-ai/anythingmcp/main/docker-compose.quickstart.yml -o docker-compose.yml
printf 'JWT_SECRET=%s\nENCRYPTION_KEY=%s\n' "$(openssl rand -hex 32)" "$(openssl rand -hex 32)" > .env
docker compose up -d
第 3 步 — 在 Microsoft Copilot 中添加连接器
你的服务器 URL： 在 AnythingMCP 中打开 MCP Servers → 此连接器所在的服务器，复制它的 URL（
https://cloud.anythingmcp.com/mcp/…）。本指南中出现YOUR_SERVER_ID的地方都用它替换。
Microsoft Copilot 通过在 Copilot Studio 中构建的智能体使用 MCP 服务器：把 AnythingMCP 作为工具添加到智能体，然后把智能体发布到 Microsoft 365 Copilot 和 Teams。Copilot Studio 从 Microsoft 的云端通过 Streamable HTTP 连接，AnythingMCP 支持这种方式。
- 在 Copilot Studio 中打开你的智能体（或新建一个），进入 Tools，选择 Add a tool → New tool → Model Context Protocol。
- 填写 Server name（例如
AnythingMCP）、说明连接器用途的 Server description，以及 Server URLhttps://cloud.anythingmcp.com/mcp/YOUR_SERVER_ID。Copilot Studio 根据描述决定何时调用该服务器。 - 身份验证选择 API key，把 Type 设为 Header，请求头名称填
X-API-Key，然后选择 Create。 - 在 Add tool 中选择 Create a new connection，粘贴 AnythingMCP 的 MCP API 密钥（MCP Servers → 你的服务器 → API keys），然后选择 Add to agent。
- 在智能体的 Test 窗格中试一试：提出需要用到
Wazuh的工具的请求。 - 选择 Publish，然后进入 Channels → Microsoft 365 and Microsoft Teams，保持勾选 Make agent available in Microsoft Copilot，再选择 Add channel。See agent in Teams 会为你安装该智能体；在 Microsoft 365 Copilot 中输入 @ 并选择该智能体。
希望每个用户各自登录？请选择 OAuth 2.0 → Dynamic discovery 代替 API 密钥：每个用户会在智能体首次调用时登录 AnythingMCP。
自托管？请用你实例的公网 HTTPS 地址替换 https://cloud.anythingmcp.com。Copilot Studio 从 Microsoft 的云端连接，因此 localhost 无法使用。
可用工具
| Tool | What it does |
|---|---|
wazuh_get_api_info | 获取 Wazuh 服务器 API 自身的信息：API 版本（如 4.14.9）、修订版本、许可证、主机名和服务器时间 |
wazuh_get_manager_info | 获取 Wazuh 管理器的基本信息：版本、安装路径、类型（server）、最大代理数、OpenSSL 支持情况、时区和 uuid |
wazuh_get_manager_status | 获取每个 Wazuh 管理器守护进程（wazuh-analysisd、wazuh-remoted、wazuh-db、wazuh-modulesd、wazuh-apid 等）的状态：运行中或… |
wazuh_list_agents | 列出 Wazuh 代理，包含 id、名称、IP、状态、操作系统名称和版本、代理版本、最近一次 keep-alive、分组、集群节点和注册… |
wazuh_get_agent | 按 id 获取单个 Wazuh 代理，包含 Wazuh 保存的所有字段：名称、IP 和注册 IP、状态、操作系统（名称、版本、平台、架构、uname）… |
wazuh_get_agents_summary | 按连接状态（active、disconnected、never_connected、pending、total）和配置同步状态（synced…）统计 Wazuh 代理数量 |
wazuh_get_agents_os_summary | 列出 Wazuh 代理中存在的操作系统平台，例如 ubuntu、windows、darwin，并附带总数 |
wazuh_list_outdated_agents | 列出版本比管理器旧的 Wazuh 代理，包含 id、名称和版本，并附带总数 |
wazuh_list_rules | 搜索 Wazuh 规则集：规则 id、级别、描述、分组、文件、状态和 MITRE 技术 id，并附带总数 |
wazuh_list_rule_groups | 列出 Wazuh 规则集中使用的分组名称（如 authentication_failed、syscheck、web），并附带总数；分组是… |
wazuh_list_decoders | 列出 Wazuh 解码器：名称、文件、目录、状态和父解码器，并附带总数 |
wazuh_list_sca_policies | 列出在某个代理上扫描的安全配置评估（SCA）策略，例如 CIS 基准：policy_id、名称、通过数、失败数和… |
wazuh_list_sca_checks | 列出某个代理上某条 SCA 策略的检查项：检查 id、标题、结果（passed、failed、not applicable）、依据和修复建议，并附带… |
wazuh_list_syscheck_files | 列出文件完整性监控（FIM、syscheck）在某个代理上记录的内容：文件或注册表路径、类型、大小、所有者、权限、哈希值… |
wazuh_get_syscheck_last_scan | 获取某个代理上最近一次文件完整性监控（syscheck）扫描的开始和结束时间 |
常见问题
这适用于哪个 Copilot？ 适用于工作中的 Microsoft 365 Copilot，通过 Copilot Studio 的智能体实现。面向个人账户的 Microsoft Copilot 应用无法添加自己的 MCP 服务器。
我需要什么？ 一个可以使用 Copilot Studio 的工作账户（许可证或试用版），用于构建智能体。在 Microsoft 365 Copilot 或 Teams 中使用它的人需要拥有该智能体的访问权限：把它共享给他们，或请管理员为整个组织发布。如果你的组织对 Power Platform 连接器设置了数据策略，这些策略同样适用于 MCP 服务器。
智能体不调用工具。 检查请求头名称是否正好是 X-API-Key，密钥是否属于与 URL 相同的 MCP 服务器，并把 Server description 写得具体：Copilot Studio 根据它决定何时调用服务器。每次修改后重新发布智能体；在已打开的对话中输入 "start over" 即可使用新版本。
后续步骤
这份指南对你有帮助吗?