Подключите Wazuh к Claude AI через протокол Model Context Protocol (MCP), обеспечивающий операции безопасности на естественном языке непосредственно внутри Claude Desktop.

87 инструментов в 21 модуле домена — оповещения, уязвимости, FIM, комплаенс, MITRE ATT&CK, охота за угрозами, активное реагирование, инвентаризация флота, списки SCA, CDB, правила, информация об угрозах, инциденты, отчеты, уведомления, бортовое обслуживание, здоровье кластера, поиск архивов и подавление оповещений.

Таблица содержимого

Быстрый старт - Docker Быстрый старт — локальный (системный) Подключить Claude Desktop

• переменные окружающей среды

• Ссылка на инструмент

• MCP Prompts

• Архитектура

• Факультативные интеграции

• Вопросы безопасности

• Общие вопросы

Быстрый старт - Docker

Это рекомендуемый метод развертывания. Контейнер объединяет все зависимости и выводит MCP-сервер на порт 8000.

###1.Клонировать репозиторий

###2 Создайте свой файл

Заполните как минимум:

###3 Запуск контейнера

###4.Проверь, работает ли

Посмотреть журналы:

Остановитесь и перезапустите:

Быстрый старт — локальный (системный)

Используйте это, если вы хотите работать непосредственно на сервере Wazuh без Docker.

###1.Клонирование и установка

###2 - Настройка

###3 Запуск как системный сервис

Wazuh MCP — AI-Powered Security Operations

Connect Wazuh to Claude AI via the Model Context Protocol (MCP), enabling natural-language security operations directly inside Claude Desktop.

87 tools across 21 domain modules — alerts, vulnerabilities, FIM, compliance, MITRE ATT&CK, threat hunting, active response, fleet inventory, SCA, CDB lists, rules, threat intel, incidents, reporting, notifications, onboarding, cluster health, archive search, and alert suppression.

---

Table of Contents

• Quick Start — Docker
• Quick Start — Local (systemd)
• Connect Claude Desktop
• Environment Variables
• Tool Reference
• MCP Prompts
• Architecture
• Optional Integrations
• Security Considerations
• Common Issues

---

Quick Start — Docker

This is the recommended deployment method. The container bundles all dependencies and exposes the MCP server on port 8000.

1. Clone the repository

git clone https://github.com/adi5353/wazuh-mcp.git
cd wazuh-mcp

2. Create your environment file

cp env.example .env
nano .env

Fill in at minimum:

WAZUH_HOST=https://your-wazuh-manager:55000
WAZUH_USER=wazuh-mcp
WAZUH_PASS=YourPassword

WAZUH_INDEXER_HOST=https://your-wazuh-indexer:9200
WAZUH_INDEXER_USER=wazuh-readonly
WAZUH_INDEXER_PASS=YourPassword

WAZUH_VERIFY_SSL=false
WAZUH_MCP_TRANSPORT=http
WAZUH_MCP_HOST=0.0.0.0
WAZUH_MCP_PORT=8000

3. Start the container

docker compose up -d

4. Verify it’s running

docker compose ps
curl -si http://localhost:8000/sse | head -3
# Expected: HTTP/1.1 200 OK

View logs:

docker compose logs -f wazuh-mcp

Stop and restart:

docker compose down
docker compose up -d

---

Quick Start — Local (systemd)

Use this if you want to run directly on the Wazuh server without Docker.

1. Clone and install

git clone https://github.com/adi5353/wazuh-mcp.git
cd wazuh-mcp
python3 -m venv .venv
source .venv/bin/activate
pip install -e .

2. Configure

cp env.example .env
nano .env   # fill in WAZUH_HOST, WAZUH_USER, WAZUH_PASS, indexer credentials

3. Run as a systemd service

sudo tee /etc/systemd/system/wazuh-mcp.service << 'EOF'
[Unit]
Description=Wazuh MCP Server
After=network.target

[Service]
Type=simple
User=vagrant
WorkingDirectory=/home/vagrant/wazuh-mcp
EnvironmentFile=/home/vagrant/wazuh-mcp/.env
ExecStart=/home/vagrant/wazuh-mcp/.venv/bin/python -m wazuh_mcp
Restart=always
RestartSec=5
StandardOutput=journal
StandardError=journal

[Install]
WantedBy=multi-user.target
EOF

sudo systemctl daemon-reload
sudo systemctl enable --now wazuh-mcp
sudo systemctl status wazuh-mcp

Verify:

ss -tlnp | grep 8000   # must show 0.0.0.0:8000