作者 gensecaihq · gensecaihq/Wazuh-MCP-Server
Wazuh 对话式 SOC——用纯英文查询告警、搜索威胁、检查漏洞、触发主动响应，配合 48 个工具和审计日志。
Wazuh-MCP-Server 把你的 Wazuh SIEM 变成聊天驱动的 SOC。包含告警、agent、漏洞、主动响应、合规性等 48 个工具。为真实 SOC 工作而生：输出清理、速率限制、熔断器、工具级 RBAC、以及破坏性操作审计日志。
%APPDATA%\Claude\claude_desktop_config.json{
"mcpServers": {
"wazuh": {
"command": "uvx",
"args": [
"Wazuh-MCP-Server"
],
"_inferred": true
}
}
}打开 Claude Desktop → Settings → Developer → Edit Config。保存后重启应用。
{
"mcpServers": {
"wazuh": {
"command": "uvx",
"args": [
"Wazuh-MCP-Server"
],
"_inferred": true
}
}
}Cursor 使用与 Claude Desktop 相同的 mcpServers 格式。项目级配置优先于全局。
{
"mcpServers": {
"wazuh": {
"command": "uvx",
"args": [
"Wazuh-MCP-Server"
],
"_inferred": true
}
}
}点击 Cline 侧栏中的 MCP Servers 图标，然后选 "Edit Configuration"。
{
"mcpServers": {
"wazuh": {
"command": "uvx",
"args": [
"Wazuh-MCP-Server"
],
"_inferred": true
}
}
}格式与 Claude Desktop 相同。重启 Windsurf 生效。
{
"mcpServers": [
{
"name": "wazuh",
"command": "uvx",
"args": [
"Wazuh-MCP-Server"
]
}
]
}Continue 使用服务器对象数组，而非映射。
{
"context_servers": {
"wazuh": {
"command": {
"path": "uvx",
"args": [
"Wazuh-MCP-Server"
]
}
}
}
}加入 context_servers。Zed 保存后热重载。
claude mcp add wazuh -- uvx Wazuh-MCP-Server一行命令搞定。用 claude mcp list 验证，claude mcp remove 卸载。
何时使用： 班次开始。夜间有数百个告警。你需要找出真实的告警，而不必逐行查看。
结果： 在不增加人手的情况下更快地降低 MTTD/MTTR。
何时使用： 周五向领导层汇报。有多少个 CVE 未修复？位置在哪里？与上周相比的趋势如何？
结果： 董事会级别的安全态势摘要。
何时使用： 告警触发：端点上有明确的恶意软件。你需要快速隔离。
结果： 被入侵的主机在几分钟内隔离。
| 工具 | 输入参数 | 何时调用 | 成本 |
|---|---|---|---|
| list_alerts | filter: obj, from, to, limit | 按时间/严重级别/规则调查 | 1 API call |
| get_agent | agent_id | 分析特定端点 | 1 API call |
| list_vulnerabilities | agent_id?, severity? | 漏洞态势检查 | 1 API call |
| trigger_active_response | agent_id, command, arguments? | 隔离 / 杀死进程 / 禁用账户——破坏性；需确认 | 1 API call + physical effect |
| compliance_report | framework: 'pci'|'hipaa'|'nist', scope | 审计就绪状态 | 1 API call |
limit。不要列出一周的告警而不分组。Wazuh API 用户作用域为仅读进行检查；主动响应时提升权限不向开发/评估实例授予主动响应作用域来自 Wazuh API 的 401凭据错误或 JWT 过期。服务器自动轮转；如果持续出现，检查 ENV。
尽管有已知告警，但告警列表为空从 MCP 容器无法访问索引器 (Elasticsearch)。检查 docker-compose 网络。
主动响应失败 / 无效果确认该 agent 上已启用主动响应脚本 (ossec.conf)。某些操作仅在 agent 端执行。
| 替代方案 | 何时用它替代 | 权衡 |
|---|---|---|
| Splunk / Sentinel MCPs | 你改用 Splunk 或 Sentinel | 不同的 SIEM |
| 直接使用 Wazuh UI | 深入单个告警 | 更慢；没有 LLM 合成 |