gensecaihq/wazuh-mcp-server

Wazuh SIEM用のモデルコンテキストプロトコル(MCP)サーバー。

MCPクライアント(Claude、ローカルモデルでバックアップされたOpen WebUI、またはStreamable HTTPを話す任意のクライアント)が、アラート、エージェント、脆弱性、コンプライアンスデータをクエリし、アクティブなレスポンスを発送し、スコープベースのアクセス制御と監査ログを利用できます。

クイックスタート ·クライアント ·ツール ·セキュリティ ·設定 ·ドキュメント ·チェンジログ ·アップグレード

---

概要

• 55のツールが8つのツールセットに収録:アラート、エージェント、脆弱性、脅威分析、コンプライアンス(PCI-DSS、HIPAA、SOX、GDPR、NIST、ISO 27001:2022)、マネージャー/クラスターの健康状態、検証とロールバックを伴うアクティブレスポンス。また、5つのガイド付きプロンプト、6つのリソース、3つのリソーステンプレートも含まれています。
• デフォルトで読み取り専用。 14の状態変更ツールはwazuh:writeスコープを必要としますが、暗黙的に付与されることはありません。
• MCP transport: /mcpでストリーミング可能なHTTP。プロトコルリビジョン2026-07-28(ステートレスリクエスト)およびinitializeハンドシェイクを2025-11-25、2025-06-18、2025-03-26、2024-11-05のアドレスを提供します。レガシーのHTTP+SSEエンドポイント/sseは410 Gone]を返します。
• 認証: APIキーから発行されるベアラートークン;OAuth 2.

---

Overview

• 55 tools in 8 toolsets: alerts, agents, vulnerabilities, threat analysis, compliance (PCI-DSS, HIPAA, SOX, GDPR, NIST, ISO 27001:2022), manager/cluster health, and active response with verification and rollback. Also 5 guided prompts, 6 resources and 3 resource templates.
• Read-only by default. The 14 state-changing tools require the wazuh:write scope, which is never granted implicitly.
• MCP transport: Streamable HTTP at /mcp. Serves protocol revision 2026-07-28 (stateless requests) and the initialize handshake for 2025-11-25, 2025-06-18, 2025-03-26 and 2024-11-05. The legacy HTTP+SSE endpoint /sse returns 410 Gone.
• Authentication: bearer tokens minted from an API key; OAuth 2.0 (authorization code + PKCE) with sign-in by API key or at an OpenID Connect provider (Entra ID, Google Workspace, Okta, Keycloak); or no auth for local development.
• Deployment: Docker Compose or a published multi-arch image; optional Redis for multi-instance sessions; optional multi-cluster routing.