Wazuh Docker容器

镜像概述和主要用途

Wazuh Docker容器是构建端到端安全监控解决方案的容器化集合，包含三个核心组件：Wazuh manager（运行安全管理器、API和Filebeat OSS）、Wazuh dashboard（Web用户界面）和Wazuh indexer（日志索引服务，支持单节点或多节点集群）。通过Docker部署，可快速搭建企业级安全事件检测、日志集中管理和合规性监控系统，适用于单节点测试环境和多节点生产环境。

核心功能和特性

核心组件功能

• Wazuh manager：处理安全事件收集与分析，提供RESTful API接口，集成Filebeat OSS实现日志转发。
• Wazuh dashboard：可视化安全告警数据，展示代理配置与状态，支持多合规标准扩展（如PCI DSS、GDPR）。
• Wazuh indexer：基于OpenSearch的索引服务，支持单节点部署或多节点集群，需调整主机vm.max_map_count参数（详见Wazuh文档）。

关键特性

• 支持SSL/TLS加密通信，需配置或生成SSL证书。
• 丰富的环境变量配置，自定义API凭据、索引器连接参数等。
• 提供单节点（1管理器+1索引器+1仪表板）和多节点（2管理器+3索引器+1仪表板）部署模板。
• 兼容多种Wazuh版本与依赖组件（如ODFE、XPACK）。

使用场景和适用范围

• 企业安全监控：集中收集服务器、终端的安全日志与事件，实时检测异常行为。
• 日志集中管理：通过Filebeat和索引器实现日志的存储、检索与分析。
• 合规性审计：支持PCI DSS、GDPR、HIPAA等合规标准的监控与报告生成。
• 高可用部署：多节点集群配置满足关键业务系统的高可用性需求。

详细使用方法和配置说明

前提条件

• 环境：Linux主机，已安装Docker和Docker Compose。
• 系统参数：运行Wazuh indexer需设置vm.max_map_count=262144（临时：sysctl -w vm.max_map_count=262144；永久：修改/etc/sysctl.conf）。
• SSL证书：启动前需提供SSL证书（自签名或CA颁发），生成方法见Wazuh Docker文档。

部署模式

单节点部署（测试环境）

1. 进入单节点配置目录：

   bash
   cd single-node
   

2. 生成索引器证书（如需）：

   bash
   docker-compose -f generate-indexer-certs.yml up
   

3. 启动服务：

   bash
   docker-compose up -d
   

多节点部署（生产环境）

1. 进入多节点配置目录：

   bash
   cd multi-node
   

2. 生成索引器证书：

   bash
   docker-compose -f generate-indexer-certs.yml up
   

3. 启动服务：

   bash
   docker-compose up -d
   

环境变量配置

Wazuh组件环境变量

Dashboard环境变量

目录结构说明

• build-docker-images：构建Wazuh镜像的脚本与资源，详见目录内README。
• indexer-certs-creator：生成索引器SSL证书的工具，详见目录内README。
• single-node/multi-node：单节点/多节点部署模板，包含docker-compose.yml及配置文件。

兼容性矩阵

参考文档

• Wazuh完整文档
• Wazuh Docker文档
• Docker Hub

许可证和版权

Wazuh Docker Copyright (C) 2017, Wazuh Inc.（许可证GPLv2）

相关链接

Wazuh官网