Wazuh-Sicherheitsbetrieb aus eigener Infrastrukturpraxis.
Über fünf Jahre interner Betrieb von selbst gehostetem Wazuh, mit Agenten auf unserer gesamten Infrastruktur, Kundenbereitstellungen und Detection Engineering.
Geprüft vom UHL-Team ·
Betriebserfahrung vor Empfehlungen
Wir betreiben Wazuh selbst und das seit über fünf Jahren. Agenten auf unserer gesamten Infrastruktur liefern die Betriebsansicht für die Untersuchung von Änderungen und Sicherheitsereignissen. Diese Erfahrung fliesst in Kundenarchitektur, Registrierung, Upgrades und Aufbewahrungsplanung ein.
Eigene Inhalte für die tatsächlich betriebenen Systeme
Unsere Arbeit umfasst eigene Plugins, Dashboards, Deployment-Konfiguration, Decoder, angepasste Regeln und neue Erkennungen. Wir verbinden Anwendungs- und Infrastruktursignale, prüfen Fehlalarme und sorgen für eine vereinbarte Zuständigkeit bei der Reaktion.
Automatisch aktualisierte Informationen zu schädlichen IP-Adressen
Für Kunden pflegen wir im Rahmen unseres Sicherheitsangebots eine automatisch aktualisierte Datenbank schädlicher IP-Adressen. Sie ergänzt Untersuchungen und vereinbarte Erkennungs- oder Reaktionsabläufe. Ein Reputationstreffer ist ein zu prüfendes Signal und kein abschliessender Beweis für einen Angriff.
Bereitstellung und laufende Betreuung
Wir vereinbaren Endpunkte, Ereignisvolumen, Aufbewahrung, Zugriffsrollen und Alarmzuständigkeit. Änderungen werden versioniert und vor der Freigabe getestet. Monitoring, Backups und Wiederherstellung gehören gemeinsam mit Anwendung und Netzwerk zum Betriebsplan.
Was betreutes Wazuh im Alltag leistet
Eine Wazuh-Bereitstellung ist nur nützlich, wenn jemand liest, was sie findet. Unser Security-Betrieb umfasst Agent-Rollout und Gruppierung, Rule- und Decoder-Tuning, Alert-Triage, Threat-Intel-Feeds und Eskalationswege - plus die unglamourösen Teile: Speicher-Dimensionierung für Aufbewahrung, Indexer-Performance und ein gepatchtes Manager-System.
Detection-Content wird wie Code gepflegt. Eigene Regeln werden geprüft, gegen Beispiel-Events getestet und versioniert; laute Defaults werden heruntergeregelt, damit echte Befunde sichtbar bleiben statt in Fehlalarmen zu versinken.
Ihre Umgebung, Ihre Daten
Wazuh läuft auf unserer Talos-Kubernetes-Plattform oder in Infrastruktur, der Sie bereits vertrauen. Logs und Security-Events bleiben am vereinbarten Ort - wichtig für Organisationen, die Sicherheitstelemetrie nicht an eine ausländische SaaS liefern können.
Wir dokumentieren, was überwacht wird, was wie lange aufbewahrt wird. Schwellenwerte, Eskalationskontakte und Verhalten ausserhalb der Bürozeit werden schriftlich vereinbart - damit ein Vorfall um 02:00 einem Plan folgt statt Improvisation.
Referenzen und Dokumentation
Upstream-Referenzen, die wir verfolgen: Wazuh-Dokumentation, MITRE ATT&CK für Detection-Coverage-Mapping, OSQuery-Docs für Endpoint-Telemetrie.
Häufige Fragen
Was umfasst ein betreuter Wazuh-Dienst?
Bereitstellung und Härtung, Agent-Rollout, Rule- und Decoder-Tuning, Alert-Triage mit vereinbarter Eskalation, Threat-Intel-Feeds, Retention-Dimensionierung und Plattform-Updates. Der Umfang wird pro Engagement dokumentiert - ein Dienst, keine Blackbox.
Kann Wazuh Cloud-VMs und Büro-Laptops gemeinsam überwachen?
Ja - Agents decken Linux-, Windows- und macOS-Endgeräte sowie Cloud-Workloads ab. Wir gruppieren und tunen pro Umgebung, damit ein Entwickler-Laptop nicht denselben Lärmpegel produziert wie ein Produktionsserver.
Wie unterscheidet sich betreutes Wazuh vom SIEM-Lizenzkauf?
Eine Lizenz überlässt Betrieb, Tuning und Reaktion Ihnen. Betreutes Wazuh heisst: unser Team betreibt die Plattform, pflegt Detection-Content und triagiert Alerts unter einem vereinbarten Eskalationsplan - Sie kaufen das Ergebnis, nicht die Konsole.
Wo liegen unsere Logs und Security-Events?
Auf mit Ihnen vereinbarter Infrastruktur - typischerweise unserer Schweizer Kubernetes-Plattform oder Ihrer eigenen. Ort, Aufbewahrung und Zugriff halten wir vor dem Rollout schriftlich fest.