Mit Wazuh 5.0 steht eine Beta-Version bereit, die weit über ein gewöhnliches Versionsupdate hinausgeht. Die Entwickler haben die interne Architektur grundlegend überarbeitet, zahlreiche Altlasten entfernt und die Plattform konsequent auf eine einfachere Administration sowie eine bessere Skalierbarkeit ausgerichtet.
Während Anwender kleiner Installationen vor allem von einer vereinfachten Installation profitieren, dürften Betreiber größerer Umgebungen mit mehreren hundert oder tausend Agenten die technischen Verbesserungen besonders zu schätzen wissen.
Direkte Kommunikation zwischen Manager und Indexer
Die wichtigste Änderung betrifft den Datenfluss innerhalb der Wazuh-Architektur. Bisher wurden Ereignisse über Filebeat an den Wazuh Indexer weitergeleitet. Diese zusätzliche Komponente entfällt in Version 5.0 vollständig.
Wazuh 4.x
Agent
│
Manager
│
Filebeat
│
Wazuh Indexer
Wazuh 5.0
Agent
│
Manager
│
Indexer Connector
│
Wazuh Indexer
Der Wegfall von Filebeat reduziert den Installations- und Wartungsaufwand erheblich. Gleichzeitig sinkt die Anzahl möglicher Fehlerquellen, da eine komplette Softwarekomponente inklusive ihrer Konfiguration entfällt.
Automatische Einrichtung des Indexers
Auch die Installation wurde deutlich vereinfacht. Der Indexer übernimmt künftig zahlreiche Aufgaben automatisch, darunter:
- Erstellen der Index Templates
- Einrichten der Data Streams
- Konfiguration der ISM-Richtlinien (Index State Management)
- Anlegen der erforderlichen Standard-Indizes
Dadurch reduziert sich die Zahl manueller Konfigurationsschritte erheblich.
Data Streams ersetzen klassische Indizes
Eine weitere wichtige Neuerung ist die konsequente Nutzung von Data Streams.
Anstatt kontinuierlich neue Indizes anzulegen und manuell zu verwalten, übernimmt Wazuh diese Aufgaben automatisch. Rollovers erfolgen selbstständig und ältere Daten lassen sich anhand definierter Richtlinien archivieren oder löschen.
Die Vorteile:
- bessere Performance
- geringerer Verwaltungsaufwand
- effizientere Nutzung des Speichers
- bessere Skalierbarkeit großer Installationen
Intelligenteres Agenten-Management
Auch die Kommunikation zwischen Agent und Manager wurde grundlegend überarbeitet.
In Wazuh 4.x mussten Informationen wie
- File Integrity Monitoring (FIM)
- Security Configuration Assessment (SCA)
- System Inventory
regelmäßig mit dem Manager synchronisiert werden.
In Version 5.0 werden diese Informationen überwiegend lokal auf dem Agenten verwaltet. Dadurch sinken sowohl der Netzwerkverkehr als auch die Last auf dem Manager.
Gerade in großen Umgebungen dürfte sich diese Änderung deutlich bemerkbar machen.
Neuer Content Manager
Eine weitere Neuerung ist der Content Manager.
Er verwaltet künftig zentral
- Regeln
- Decoder
- Threat-Intelligence-Daten
- Indicators of Compromise (IoCs)
- benutzerdefinierte Inhalte
Darüber hinaus unterstützt er verschiedene Entwicklungsstufen wie Draft, Test und Production, sodass neue Inhalte zunächst getestet werden können, bevor sie produktiv eingesetzt werden.
Vergleich: Wazuh 4.x und Wazuh 5.0
| Bereich | Wazuh 4.x | Wazuh 5.0 |
|---|---|---|
| Datenübertragung | Filebeat erforderlich | Direkte Kommunikation mit dem Indexer |
| Installation | mehrere manuelle Schritte | weitgehend automatisiert |
| Datenspeicherung | klassische Indizes | Data Streams |
| Indexverwaltung | überwiegend manuell | automatische ISM-Richtlinien |
| Agenten | stärkere Synchronisation mit dem Manager | lokale Zustandsverwaltung |
| Skalierbarkeit | gut | nochmals deutlich verbessert |
| Wartungsaufwand | höher | geringer |
Migration sorgfältig planen
Die neue Architektur bringt allerdings auch einige Breaking Changes mit sich. Dazu gehören unter anderem:
- neues Kommunikationsprotokoll zwischen Agent und Manager
- geänderte Verzeichnisstruktur
- Wegfall von Filebeat
- Anpassungen bei der Datenhaltung
Für produktive Installationen empfiehlt es sich daher, die Migration sorgfältig zu planen und die offizielle Dokumentation vorab gründlich zu studieren.
Fazit
Wazuh 5.0 stellt einen wichtigen Meilenstein in der Weiterentwicklung der Open-Source-SIEM-Plattform dar. Die neue Architektur beseitigt einige der größten Schwachstellen früherer Versionen und reduziert gleichzeitig die Komplexität der Installation und Administration.
Besonders der Verzicht auf Filebeat, die Einführung von Data Streams sowie die verbesserte Kommunikation zwischen Agenten und Manager machen deutlich, dass sich Wazuh zunehmend an den Anforderungen moderner, skalierbarer Sicherheitsinfrastrukturen orientiert.
Wer Wazuh in größeren Unternehmensnetzwerken oder als Managed Security Service betreibt, sollte sich frühzeitig mit den Neuerungen beschäftigen. Auch wenn eine Migration sorgfältig vorbereitet werden muss, bietet Version 5.0 eine zukunftssichere Grundlage für kommende Erweiterungen der Plattform.