gensecaihq/wazuh-mcp-server

Wazuh SIEM용 모델 컨텍스트 프로토콜(MCP) 서버입니다.

MCP 클라이언트 — Claude, 로컬 모델로 지원되는 Open WebUI, 또는 Streamable HTTP를 사용하는 모든 클라이언트 — 가 경고, 에이전트, 취약점 및 준수 데이터를 조회하고, 범위 기반 접근 제어 및 감사 기록을 통해 능동적 응답을 발동할 수 있습니다.

빠른 시작 · 클라이언트 · 도구 · 보안 · 구성 · 문서 · 변경 로그 · 업그레이드

---

개요

• 55개의 도구가 8개 툴셋에 포함: 경고, 에이전트, 취약점, 위협 분석, 컴플라이언스(PCI-DSS, HIPAA, SOX, GDPR, NIST, ISO 27001:2022), 관리자/클러스터 건강, 그리고 검증 및 롤백이 포함된 능동적 대응. 또한 5개의 가이드 프롬프트, 6개의 리소스, 3개의 리소스 템플릿.
• 기본적으로 읽기 전용입니다. 14개의 상태 변경 도구는 wazuh:write 범위를 필요로 하지만, 이는 암묵적으로 부여되지 않습니다.
• MCP 전송: /mcp에서 스트리밍 가능한 HTTP. 프로토콜 개정판 2026-07-28(상태 없는 요청)과 2025-11-25, 2025-06-18, 2025-03-26, 2024-11-05의 initialize 핸드셰이크를 제공합니다. 레거시 HTTP+SSE 엔드포인트 /sse는 410 Gone를 반환합니다.
• 인증: API 키에서 발행된 베어러 토큰; OAuth 2.

---

Overview

• 55 tools in 8 toolsets: alerts, agents, vulnerabilities, threat analysis, compliance (PCI-DSS, HIPAA, SOX, GDPR, NIST, ISO 27001:2022), manager/cluster health, and active response with verification and rollback. Also 5 guided prompts, 6 resources and 3 resource templates.
• Read-only by default. The 14 state-changing tools require the wazuh:write scope, which is never granted implicitly.
• MCP transport: Streamable HTTP at /mcp. Serves protocol revision 2026-07-28 (stateless requests) and the initialize handshake for 2025-11-25, 2025-06-18, 2025-03-26 and 2024-11-05. The legacy HTTP+SSE endpoint /sse returns 410 Gone.
• Authentication: bearer tokens minted from an API key; OAuth 2.0 (authorization code + PKCE) with sign-in by API key or at an OpenID Connect provider (Entra ID, Google Workspace, Okta, Keycloak); or no auth for local development.
• Deployment: Docker Compose or a published multi-arch image; optional Redis for multi-instance sessions; optional multi-cluster routing.