Wazuh hat die fünfte und letzte Beta von Version 5.0 veröffentlicht. Laut Hersteller ist es das bisher umfangreichste Release der Open-Source-Sicherheitsplattform. Der Zeitplan ist eng: Der erste Release Candidate soll bereits nächste Woche erscheinen, die finale Version (GA) kurz danach. Wer Wazuh einsetzt, sollte jetzt mit dem Testen beginnen.
Ein gemeinsames Datenmodell als Fundament
Im Mittelpunkt steht das Wazuh Common Schema (WCS), ein einheitliches Datenmodell. Es normalisiert Ereignisse aus beliebigen Quellen und Logformaten in eine gemeinsame Struktur. Darauf bauen die beiden zentralen Neuerungen auf.
Neue Detection Engine: Die Erkennungs-Engine wurde grundlegend neu entwickelt. Sie unterstützt jetzt Sigma-Regeln, den verbreiteten herstellerunabhängigen Standard für Erkennungsregeln. Außerdem gibt es eine neue, besser lesbare Syntax für Regeln und Decoder.
Wazuh CTI: Bedrohungsinformationen werden direkt in die Installation eingespielt und laufend aktualisiert. Dazu gehören Regeln, Decoder, Indicators of Compromise (IoCs), Indicators of Attack (IoAs), Schwachstellendaten und Geo-IP-Kontext. Manuelle Updates sind nicht mehr nötig.
Weitere Neuerungen im Überblick
- Schlankere Architektur: Filebeat fällt aus der Datenpipeline weg. Agent und Manager sind voneinander entkoppelt.
- Sicherere Kommunikation: Agents kommunizieren standardmäßig über HTTPS. Agents der Version 4.x bleiben kompatibel.
- Content Manager: Für Decoder, Regeln, Integrationen, KVDBs und IoCs gibt es eigene Bereiche, jeweils mit einem Ablauf aus Entwurf, Test und Freigabe.
- KI-Assistent im Dashboard: Funde, Schwachstellen und Agent-Aktivitäten lassen sich in natürlicher Sprache abfragen.
- Case Management: Untersuchungen können direkt im Dashboard angelegt und verfolgt werden.
- Mehr Compliance-Mappings: Neu abgedeckt sind unter anderem ISO 27001, CMMC, NIS2 und FedRAMP.
Einordnung
Wazuh 5.0 ist mehr als ein gewöhnliches Versionsupdate. Mit dem gemeinsamen Datenmodell, der Sigma-Unterstützung und der integrierten Threat Intelligence rückt Wazuh näher an kommerzielle SIEM- und XDR-Lösungen heran. Sigma-Unterstützung bedeutet, dass vorhandene Regelsammlungen aus der Community deutlich einfacher übernommen werden können als bisher. Die Abdeckung von NIS2 ist besonders für Unternehmen in der EU interessant, die derzeit ihre Compliance-Nachweise aufbauen.
Für Administratoren bedeutet das Release allerdings auch Arbeit. Der Wegfall von Filebeat und die neue Regelsyntax verändern bestehende Abläufe spürbar. Eigene Decoder und Regeln sowie Integrationen, die auf der alten Pipeline beruhen, sollten vor einem Upgrade gründlich geprüft werden. Dass 4.x-Agents weiter funktionieren, erleichtert eine schrittweise Migration. Den Umstieg planen muss man trotzdem.
Mein Rat: Die Beta gehört nicht in Produktivumgebungen. Ein Testsystem aufzusetzen lohnt sich aber gerade jetzt. Wer frühzeitig testet, kann Probleme noch vor dem Release Candidate melden und ist vorbereitet, wenn die finale Version erscheint.