Wazuh: cos'è e quando basta come SIEM open source

La risposta breve: Wazuh è una piattaforma di sicurezza open source, con componenti rilasciati sotto GNU GPL versione 2 e Apache License 2.0, che unisce capacità SIEM e XDR. Raccoglie log ed eventi degli endpoint tramite agenti, li analizza con decoder e regole sul server e genera alert su una dashboard. Il software non costa niente in licenza. Costano l'infrastruttura che lo regge, le regole che lo rendono utile e le persone che ne leggono gli alert.

Questa pagina serve a chi sta valutando Wazuh sul serio, non a chi cerca un motivo per scartarlo. Vediamo cos'è, cosa fa, quando è la scelta giusta e quali costi la licenza gratuita non copre. La tesi, detta subito: il software è la parte facile, il team che lo tiene vivo è la parte difficile.

Che cos'è Wazuh

La documentazione ufficiale lo definisce "a free and open source security platform that unifies XDR and SIEM capabilities", cioè una piattaforma di sicurezza libera e open source che unisce capacità XDR e SIEM. Il progetto nasce come derivazione di OSSEC, lo storico host intrusion detection system: il repository ufficiale riporta la nota "Based on the OSSEC project started by Daniel Cid" e il copyright di Wazuh Inc. sotto licenza GPLv2.

Da qui la sua natura ibrida: rispetto ai prodotti descritti nella nostra guida a cos'è un SIEM e come funziona, Wazuh non nasce come SIEM puro, nasce dall'endpoint e cresce verso la correlazione centralizzata.

I quattro componenti

• Wazuh agent. Si installa su laptop, server, istanze cloud e macchine virtuali, su Linux, Windows e macOS, e invia i dati al server.
• Wazuh server. Analizza i dati ricevuti dagli agenti passandoli attraverso decoder e regole, gestisce gli agenti e può scalare orizzontalmente configurato a cluster.
• Wazuh indexer. Il motore di ricerca full-text che indicizza e conserva gli alert generati dal server.
• Wazuh dashboard. L'interfaccia web di visualizzazione, con pannelli già pronti per threat hunting, conformità normativa, vulnerabilità e configurazioni.

Esiste anche la modalità senza agente, via Syslog e SSH, per gli apparati di rete su cui non si può installare nulla.

Cosa fa Wazuh, in concreto

I casi d'uso della documentazione ufficiale coprono un'area più ampia del perimetro classico di un SIEM:

• Analisi dei log raccolti dalle varie sorgenti, con decoder e regole di correlazione.
• File integrity monitoring, il rilevamento delle modifiche non autorizzate a file e configurazioni critiche.
• Security configuration assessment, la verifica delle configurazioni rispetto a baseline di sicurezza.
• Rilevamento delle vulnerabilità sui software installati sugli endpoint monitorati.
• Rilevamento del malware e threat hunting sui dati raccolti.
• Incident response con meccanismi di risposta attiva (active response) sugli endpoint.
• Conformità normativa, con mappature e pannelli per standard come PCI DSS, GDPR, HIPAA e NIST 800-53.
• Sicurezza cloud e container, con supporto AWS, Azure, Google Cloud e integrazioni Docker e Kubernetes.

Wazuh non è un giocattolo, e chi lo tratta come tale non lo ha mai messo in produzione. Il punto critico non è la lista delle capacità, è quanto lavoro serve perché ogni voce passi da "disponibile" a "attiva e calibrata sul tuo contesto".

Quando Wazuh è la scelta giusta

Ci sono situazioni in cui adottarlo è una decisione solida, e vale la pena dirlo prima di parlare dei limiti:

• Hai competenze sistemistiche in casa e tempo da dedicarci. Wazuh premia chi sa leggere una configurazione, scrivere un decoder e mettere mano a un cluster.
• Il perimetro è contenuto e omogeneo. Poche decine di server, sistemi operativi simili, sorgenti di log prevedibili: la configurazione iniziale resta governabile.
• Ti serve visibilità e documentazione, non presidio continuo. Se l'obiettivo è sapere cosa succede sui sistemi e avere evidenze per un audit, l'aspettativa è allineata a quello che lo strumento fa da solo.

Le quattro cose che la licenza gratuita non copre

Qui sta la parte che si scopre al terzo mese. Non è una critica al progetto: sono lavori che nessun software, open source o commerciale, può fare al posto tuo.

1. L'infrastruttura cresce prima di te

La quickstart ufficiale è esplicita: l'all-in-one, con server, indexer e dashboard sullo stesso host, "is usually enough for monitoring up to 100 endpoints and for 90 days of queryable/indexed alert data", cioè copre di norma fino a 100 endpoint e 90 giorni di alert interrogabili. La tabella indica, per la fascia 50-100 agenti, 8 vCPU, 8 GiB di RAM e 200 GB di storage. Oltre quella soglia la documentazione raccomanda un deployment distribuito, con cluster multi nodo per server e indexer.

Tradotto per il mid-market: con 500 endpoint non si parte dall'all-in-one, si parte da un'architettura distribuita da dimensionare, aggiornare e mettere in alta disponibilità. E lo storage cresce con la retention, che non è una scelta libera quando ci sono obblighi normativi di mezzo.

2. Le regole non si calibrano da sole

Wazuh arriva con un set di regole e decoder pronti: è un ottimo punto di partenza, non il punto di arrivo. Ogni azienda ha gestionali con formati di log propri, processi notturni che somigliano a esfiltrazioni, accessi da paesi insoliti che sono trasferte commerciali. Senza detection engineering continuo, il risultato tipico è una dashboard che segnala tutto e quindi non segnala niente.

È il problema dei falsi positivi comune a ogni SIEM, con una differenza pratica: su una piattaforma gestita quel lavoro è incluso nel servizio di qualcuno, qui è tuo.

3. Gli alert arrivano anche di notte

Questo punto ribalta tutti i conti. Un SIEM produce alert, e qualcuno deve leggerli, qualificarli e decidere, anche il venerdì sera e ad agosto. Coprire le 24 ore richiede una rotazione di circa 6 analisti, che come dato di mercato significa 400.000-600.000 euro l'anno di solo personale, prima ancora di contare strumenti e formazione. I due modelli sono messi a confronto in SOC interno o gestito, come scegliere.

La domanda quindi non è "Wazuh o un SIEM commerciale", è "chi guarda gli alert quando l'ufficio è chiuso". Un SIEM non presidiato dà lo stesso risultato che sia open source o commerciale: nessuno se ne accorge. La differenza è solo l'importo della fattura.

4. La conoscenza sta in una persona sola

C'è un rischio organizzativo che nei confronti tecnici non compare mai. Nelle aziende che adottano Wazuh da sole, capita spesso che installazione, regole custom e scelte di retention vivano nella testa di una persona. Quando quella persona cambia ruolo o azienda, la piattaforma resta in piedi ma smette di evolvere, e l'aggiornamento di versione diventa un rischio che si rimanda. È la fisiologia di ogni sistema mantenuto da una persona sola, ma va messo nel conto.

Wazuh e NIS2: cosa copre e cosa resta a te

Molti arrivano a Wazuh partendo dalla conformità, quindi conviene essere precisi. La determinazione ACN 379907/2025 stabilisce le misure di sicurezza di base per i soggetti NIS, da adottare entro 18 mesi (ottobre 2026) dalla ricezione della comunicazione di inserimento nell'elenco nazionale NIS: allegato 1 per i soggetti importanti, allegato 2 per i soggetti essenziali. Due misure dell'allegato 2 riguardano da vicino chi valuta un SIEM.

• PR.PS-04, "I registri di log sono generati e resi disponibili per il monitoraggio continuo". Non chiede solo di raccogliere: per almeno i sistemi informativi e di rete rilevanti chiede che i log necessari al monitoraggio degli eventi di sicurezza siano conservati "in modo sicuro e possibilmente centralizzato" e che le tempistiche di conservazione siano definite e documentate in accordo agli esiti della valutazione del rischio (misura ID.RA-05).
• DE.CM-01, "Le reti e i servizi di rete sono monitorati per individuare eventi potenzialmente avversi". Il primo punto chiede, per almeno i sistemi informativi e di rete rilevanti, strumenti tecnici "presenti, aggiornati, mantenuti e configurati in modo adeguato" per rilevare tempestivamente gli incidenti significativi, e altri punti chiedono che le relative procedure siano adottate e documentate.

Il tema ricorrente è leggibile a occhio nudo: aggiornati, mantenuti, configurati in modo adeguato, documentati. Wazuh copre la parte strumentale di entrambe le misure; resta a te ciò che un auditor guarderà davvero, cioè procedure scritte, evidenze di manutenzione e prova che il rilevamento sia tempestivo.

Si aggiunge l'articolo 25 del D.Lgs. 138/2024, che fissa i tre tempi di notifica al CSIRT Italia: preallarme entro 24 ore, notifica entro 72 ore, relazione finale entro un mese. Quelle 24 ore decorrono da quando ti accorgi dell'incidente, e nessuna piattaforma accorcia da sola il tempo tra l'alert generato e l'alert letto.

Open source non vuol dire senza costi

Il conto si costruisce su voci che non compaiono in nessun listino: infrastruttura (nodi server e indexer, storage dimensionato sulla retention, ridondanza se il servizio è critico), tempo di progetto, manutenzione continua, presidio e supporto. Su quest'ultimo punto Wazuh Inc. offre anche un servizio cloud gestito e ore professionali, un modo legittimo di spostare parte di queste voci.

Sono le voci di qualunque piattaforma: qui la licenza vale zero e il resto pesa di più. Sul canone di un servizio gestito c'è quanto costa un SOC gestito.

Cinque domande prima di decidere

1. Quanti endpoint e quante sorgenti devi collegare? Sotto i 100 endpoint l'all-in-one documentato regge, sopra si entra in un progetto infrastrutturale.
2. Chi scrive e mantiene le regole? Serve un nome e cognome con del tempo allocato, non una buona intenzione del team IT.
3. Chi legge gli alert alle tre di notte? Se la risposta è "nessuno", il problema non è quale SIEM scegliere.
4. Quanta retention ti serve, per contratto o per norma? È la voce che determina lo storage e quindi il costo reale dell'infrastruttura.
5. Cosa succede se chi lo gestisce cambia lavoro? Senza documentazione e senza un secondo presidio, la piattaforma ha un solo punto di rottura.

Gestito o fai da te: come la vediamo

La scelta non è tra open source e commerciale, è tra una capacità che costruisci e una che acquisti già in esercizio. Wazuh è un ottimo modo di costruirla se hai competenze, tempo e continuità; un servizio gestito è il modo di averla dal primo giorno se quelle tre cose non ci sono. Profili di spesa e di rischio diversi, non livelli di qualità diversi.

AmagisTech costruisce SOC gestiti per il mid-market italiano su Google SecOps, con agenti AI che accelerano triage e investigazione e un team italiano che presidia: detection engineering, manutenzione e ore notturne diventano lavoro nostro. Per inquadrare gli acronimi c'è MDR, SIEM e SOC a confronto, per i servizi observability e SecOps.

Se stai valutando Wazuh e vuoi un parere onesto su cosa riesci a reggere in casa e cosa conviene affidare, parliamone in una call: ti diciamo anche quando il fai da te è la scelta giusta.

In sintesi: Wazuh è una piattaforma open source seria, con componenti sotto GPL versione 2 e Apache License 2.0, che unisce SIEM e XDR e copre analisi dei log, integrità dei file, vulnerabilità, configurazioni e risposta attiva. La licenza è gratuita, il resto no: architettura oltre i 100 endpoint, calibrazione delle regole, presidio 24 ore su 24 e documentazione richiesta dalle misure ACN restano lavoro tuo. Il software è la parte facile, il team che lo tiene vivo è la parte difficile.