跳过安装。2 分钟内即可运行。
在 cloud.anythingmcp.com 开始免费试用，一键添加 Wazuh，然后将你的 AI 客户端（Claude、ChatGPT、Copilot 或 Cursor）指向生成的 MCP 端点。无需 Docker，无需 git clone，无需任何工程经验。
摘要
通过服务器 API 让你的 AI 读取 Wazuh 4.x 安全平台:管理节点版本和守护进程状态、智能体及其连接状态、检测规则和解码器、每个智能体的安全配置评估(CIS 基准)结果以及文件完整性监控数据。只读:不会重启、修改或删除任何内容。告警和漏洞存放在 Wazuh indexer 中,不在覆盖范围内。
试试这样问
Wazuh 的示例提示
点击任意提示即可复制，然后粘贴到 Claude、ChatGPT、Cursor、Gemini、Copilot 或 OpenClaw 中，在该连接器上运行。
Claude 是 AI，可能会出错。请核对回答。
💡 无需安装?直接使用 cloud.anythingmcp.com。 登录后点击 Connectors → Wazuh,粘贴你的凭据,生成 MCP API 密钥即可。无需 Docker,无需
git clone,无需本地服务器。
Wazuh
通过服务器 API 让你的 AI 读取 Wazuh 4.x 安全平台:管理节点版本和守护进程状态、智能体及其连接状态、检测规则和解码器、每个智能体的安全配置评估(CIS 基准)结果以及文件完整性监控数据。只读:不会重启、修改或删除任何内容。告警和漏洞存放在 Wazuh indexer 中,不在覆盖范围内。
设置
设置大约需要 5 分钟。你需要一个 AnythingMCP 能够访问、且使用其信任证书的 Wazuh 4.x 服务器 API(即管理节点,默认端口 55000),以及一个拥有内置 readonly 角色的 API 用户。
- 将
WAZUH_URL设置为服务器 API 的地址,通常是https://<manager-host>:55000,末尾不要加斜杠。不是仪表板(端口 443),也不是 indexer(端口 9200)。 - 为 AI 创建一个专用的 API 用户,并赋予内置的
readonly角色:可以在 Wazuh 仪表板的 Server management → Security → Users 中操作,也可以使用POST /security/users和POST /security/users/{user_id}/roles。 - 将该用户的用户名填入
WAZUH_USERNAME,密码填入WAZUH_PASSWORD。连接器会使用它们登录,并自行续期会话令牌(Wazuh 令牌默认有效期为 900 秒)。 - 安装连接器并运行
wazuh_get_manager_info:它会返回管理节点版本,并确认地址和登录均正常。
只读:所有工具都是 GET 请求。连接器无法重启任何内容、执行主动响应、添加、移除或升级智能体,也无法编辑规则、解码器、用户或配置。readonly 角色涵盖了它所需的全部权限(manager:read、agent:read、rules:read、decoders:read、sca:read 和 syscheck:read)。
读取内容:管理节点和 API 的版本以及各管理节点守护进程的状态;智能体的状态、IP、操作系统、版本、分组和最近一次保活时间,按状态统计的数量(wazuh_get_agents_summary)、操作系统平台以及版本低于管理节点的智能体;按级别、分组、合规映射(PCI DSS、GDPR、HIPAA、NIST 800-53、TSC)或 MITRE id 划分的规则集,以及解码器;每个智能体的安全配置评估(CIS 基准)策略和失败的检查项,附带依据和修复建议;每个智能体的文件完整性监控(syscheck)文件、哈希值和最近一次扫描。智能体 id 至少为三位数字(001);000 是管理节点本身。
证书:Wazuh 会在端口 55000 上安装自签名证书,而自签名证书会校验失败:连接器没有“信任任意证书”的开关。你可以给 API 配置一个名称与 WAZUH_URL 匹配的证书(Wazuh api.yaml 中的 https.cert 和 https.key),或者在前面放置一个带有有效证书的反向代理;如果是自托管,也可以在启动 AnythingMCP 时让 NODE_EXTRA_CA_CERTS 指向你的内部 CA。
Wazuh 的运行位置:在自托管的 AnythingMCP 上,位于私有地址的 Wazuh(https://10.0.0.5:55000、https://wazuh.intern:55000)需要管理员在 SSRF_ALLOWED_HOSTS 或管理设置的允许列表中放行该主机。AnythingMCP Cloud 只能访问通过公网以 HTTPS 暴露、且使用公共信任证书的 Wazuh API。
隐私:智能体名称、IP 地址、操作系统、文件路径和哈希值都会描述你的基础设施。请只把该连接器分配给其用户有权查看这些信息的 MCP 服务器。
限制:列表类工具默认返回 50 条,每次调用最多 500 条。Wazuh 默认每分钟允许 300 次请求,超出后返回 429;并且默认情况下,5 分钟内登录失败 50 次会导致该地址被封锁 300 秒。
常见错误:401 “Invalid credentials” 表示 WAZUH_USERNAME 或 WAZUH_PASSWORD 错误。403 表示 API 用户缺少读取权限:请赋予它 readonly 角色。每次调用都返回 404,说明 WAZUH_URL 指向的是仪表板或 indexer,而不是服务器 API。“Agent does not exist”(Wazuh 错误 1701)表示不存在该 id 的智能体。400 “There is no database for agent” 表示该智能体从未连接过,因此还没有 SCA 或 FIM 数据。“self-signed certificate” 或 “unable to verify the first certificate” 就是上文所说的证书问题。
该连接器不读取告警和事件,也不读取漏洞检测结果(它们存放在 Wazuh indexer 中,而不在此 API 里),不写入任何内容,不涉及集群配置,也不支持 Wazuh 5.x,因为 5.x 移除了其中大部分端点。
前提条件:WAZUH_URL、WAZUH_USERNAME、WAZUH_PASSWORD
在本地安装连接器
curl -fsSL https://raw.githubusercontent.com/HelpCode-ai/anythingmcp/main/docker-compose.quickstart.yml -o docker-compose.yml
printf 'JWT_SECRET=%s\nENCRYPTION_KEY=%s\n' "$(openssl rand -hex 32)" "$(openssl rand -hex 32)" > .env
docker compose up -d
打开 http://localhost:3000/connectors/store,选择 Wazuh,然后粘贴“前提条件”中列出的环境变量。
可用工具
| 工具 | 功能 |
|---|---|
wazuh_get_api_info | 获取 Wazuh 服务器 API 自身的信息:API 版本(例如 4.14.9)、修订号、许可证、主机名和服务器时间 |
wazuh_get_manager_info | 获取 Wazuh 管理节点的基本信息:版本、安装路径、类型(server)、最大智能体数、OpenSSL 支持、时区和 uuid |
wazuh_get_manager_status | 获取每个 Wazuh 管理节点守护进程(wazuh-analysisd、wazuh-remoted、wazuh-db、wazuh-modulesd、wazuh-apid 等)的状态:运行中或… |
wazuh_list_agents | 列出 Wazuh 智能体,包含 id、名称、IP、状态、操作系统名称和版本、智能体版本、最近一次保活时间、分组、集群节点和注册… |
wazuh_get_agent | 按 id 获取单个 Wazuh 智能体,包含 Wazuh 保存的所有字段:名称、IP 和注册 IP、状态、操作系统(名称、版本、平台、架构、uname)… |
wazuh_get_agents_summary | 按连接状态(active、disconnected、never_connected、pending、total)和配置同步状态(synced…)统计 Wazuh 智能体数量 |
wazuh_get_agents_os_summary | 列出 Wazuh 智能体中存在的操作系统平台,例如 ubuntu、windows、darwin,并附带总数 |
wazuh_list_outdated_agents | 列出版本低于管理节点的 Wazuh 智能体,包含 id、名称和版本,以及总数 |
wazuh_list_rules | 搜索 Wazuh 规则集:规则 id、级别、描述、分组、文件、状态和 MITRE 技术 id,以及总数 |
wazuh_list_rule_groups | 列出 Wazuh 规则集中使用的分组名称(例如 authentication_failed、syscheck、web),以及总数;分组是… |
wazuh_list_decoders | 列出 Wazuh 解码器:名称、文件、目录、状态和父解码器,以及总数 |
wazuh_list_sca_policies | 列出在某个智能体上扫描的安全配置评估(SCA)策略,例如 CIS 基准:policy_id、名称、通过数、失败数和… |
wazuh_list_sca_checks | 列出某个智能体上某条 SCA 策略的检查项:检查 id、标题、结果(passed、failed、not applicable)、依据和修复建议,以及… |
wazuh_list_syscheck_files | 列出文件完整性监控(FIM、syscheck)在某个智能体上记录的内容:文件或注册表路径、类型、大小、所有者、权限、哈希值… |
wazuh_get_syscheck_last_scan | 获取某个智能体上最近一次文件完整性监控(syscheck)扫描的开始和结束时间 |
后续步骤
这份指南对你有帮助吗?