Cómo instalar Wazuh paso a paso como SIEM y XDR en Linux

Objetivo de esta guía: instalar los componentes centrales de Wazuh en Ubuntu Server, acceder al panel web, configurar el firewall, desplegar agentes y dejar una base segura para un laboratorio o una pequeña organización.

Importante: el despliegue todo en uno es apropiado para aprendizaje, pruebas y entornos pequeños. Una empresa con gran volumen de eventos, alta disponibilidad o más de cien endpoints debería evaluar una arquitectura distribuida.

• Wazuh Agent: se instala en cada endpoint y envía eventos de seguridad.
• Wazuh Server: recibe, decodifica, correlaciona y genera alertas.
• Wazuh Indexer: almacena e indexa los eventos para realizar búsquedas.
• Wazuh Dashboard: proporciona la interfaz web para consultas, gráficos, administración y reportes.

sudo apt update
sudo apt full-upgrade -y
sudo apt install -y curl ca-certificates gnupg
sudo reboot

hostnamectl
ip -br address
ip route
timedatectl

Consejo: asigna una dirección IP estática o una reserva DHCP. Los agentes deben poder localizar siempre al servidor Wazuh mediante la misma IP o nombre DNS.

curl -sO https://packages.wazuh.com/4.14/wazuh-install.sh

sudo bash ./wazuh-install.sh -a

INFO: --- Summary ---
INFO: You can access the web interface https://IP_DEL_SERVIDOR
User: admin
Password: CONTRASEÑA_GENERADA
INFO: Installation finished.

sudo tar -O -xvf wazuh-install-files.tar \
wazuh-install-files/wazuh-passwords.txt

sudo systemctl status wazuh-manager --no-pager
sudo systemctl status wazuh-indexer --no-pager
sudo systemctl status wazuh-dashboard --no-pager
sudo systemctl status filebeat --no-pager

sudo ss -tulpen | grep -E '443|1514|1515|55000|9200'

sudo ufw allow OpenSSH
sudo ufw allow from 192.168.1.0/24 to any port 443 proto tcp
sudo ufw allow from 192.168.1.0/24 to any port 1514 proto tcp
sudo ufw allow from 192.168.1.0/24 to any port 1515 proto tcp
sudo ufw enable
sudo ufw status verbose

No expongas públicamente los puertos 9200 y 55000. El indexador y la API deben permanecer restringidos al propio servidor o a las redes administrativas que realmente los necesiten.

https://IP_DEL_SERVIDOR

• Usuario: admin.
• Contraseña: la generada durante la instalación.

sudo apt-get install -y gnupg apt-transport-https

curl -s https://packages.wazuh.com/key/GPG-KEY-WAZUH | 
sudo gpg --no-default-keyring 
--keyring gnupg-ring:/usr/share/keyrings/wazuh.gpg --import

sudo chmod 644 /usr/share/keyrings/wazuh.gpg

echo "deb [signed-by=/usr/share/keyrings/wazuh.gpg] https://packages.wazuh.com/4.x/apt/ stable main" | 
sudo tee /etc/apt/sources.list.d/wazuh.list

sudo apt-get update

sudo WAZUH_MANAGER="192.168.1.50" apt-get install -y wazuh-agent

sudo systemctl daemon-reload
sudo systemctl enable --now wazuh-agent

sudo systemctl status wazuh-agent --no-pager

sudo tail -f /var/ossec/logs/ossec.log

msiexec.exe /i .\wazuh-agent-4.14.6-1.msi /q WAZUH_MANAGER="192.168.1.50"

Start-Service wazuhsvc

Agents management > Summary

sudo /var/ossec/bin/agent_control -l

logger -p auth.notice "WAZUH-LAB evento de prueba controlado"

sudo touch /etc/wazuh-lab-test.conf
sudo sh -c 'echo "prueba=1" >> /etc/wazuh-lab-test.conf'
sudo rm /etc/wazuh-lab-test.conf

1. Cambia las credenciales iniciales y guárdalas en un gestor seguro.
2. Instala un certificado TLS de confianza para el dashboard.
3. Restringe el acceso al panel mediante VPN o redes administrativas.
4. No publiques el indexador ni la API directamente en Internet.
5. Configura copias de seguridad del indexador y de los archivos de configuración.
6. Define una política de retención para evitar que el disco se llene.
7. Crea usuarios y roles separados en lugar de compartir la cuenta admin.
8. Supervisa CPU, RAM, disco y crecimiento de índices.
9. Prueba las actualizaciones primero en un entorno de laboratorio.

sudo sed -i "s/^deb /#deb /" /etc/apt/sources.list.d/wazuh.list
sudo apt update

• Instalar Wazuh sin calcular el almacenamiento necesario.
• Exponer el dashboard directamente a Internet.
• Compartir la cuenta administrativa entre todo el equipo.
• Activar respuestas automáticas sin probarlas previamente.
• Recolectar todos los logs sin una estrategia de retención.
• No sincronizar la hora de servidores y endpoints.
• Actualizar manager y agentes sin revisar compatibilidad.
• Tratar Wazuh como sustituto completo de backups, firewall o gestión de parches.
• Acumular alertas sin definir responsables y procedimientos de atención.

¿Wazuh es un SIEM o un XDR?

Ofrece capacidades de ambos. Centraliza y correlaciona eventos como SIEM, mientras que sus agentes proporcionan telemetría, detección y respuesta sobre endpoints como XDR.

¿Wazuh es realmente gratuito?

Los componentes principales son open source. La organización debe asumir los costos de infraestructura, almacenamiento, mantenimiento, capacitación y soporte cuando corresponda.

¿Puedo instalarlo en una máquina virtual?

Sí. Puede instalarse en una VM Linux o utilizar la imagen OVA oficial. La virtualización debe contar con recursos suficientes y almacenamiento rápido.

¿Cuántos equipos soporta una instalación todo en uno?

La guía rápida oficial considera este modelo apropiado para hasta cien endpoints, dependiendo del volumen de eventos, recursos y retención.

¿Necesito instalar un agente en todos los equipos?

Para obtener telemetría completa del endpoint, sí. Wazuh también puede recibir determinados logs mediante syslog, integraciones cloud y otras fuentes.

¿Wazuh bloquea automáticamente las amenazas?

Puede ejecutar respuestas activas, pero deben configurarse y probarse cuidadosamente. Una regla incorrecta podría bloquear usuarios o servicios legítimos.

¿Sirve para una empresa pequeña?

Sí. Una instalación todo en uno puede centralizar eventos y mejorar la visibilidad, siempre que alguien revise las alertas y mantenga la plataforma.

• Las mejores herramientas SIEM de código abierto para ciberseguridad
• Cómo implementar un SOC utilizando herramientas open source
• Cómo proteger un servidor Linux contra ransomware y amenazas modernas
• Cómo detectar si un servidor Linux tiene problemas de seguridad

Conclusión editorial

Wazuh puede reducir la barrera económica para implementar monitoreo de seguridad, pero no elimina la necesidad de procesos y personal capacitado. Un SIEM sin revisión se convierte en un almacén de eventos; un SIEM bien operado puede convertirse en el centro de detección y respuesta de la organización.