Какой сервер выбрать для Wazuh

Если вы подключаете небольшой офис к Wazuh, разумная отправная точка — отдельный сервер с 4 vCPU, 8 ГиБ оперативной памяти и SSD от 100 ГБ. vCPU — виртуальные ядра процессора; ГиБ — единица памяти из требований производителя. Выбирайте поддерживаемый Linux, например Ubuntu 24.04, и размещайте центральные компоненты вместе для простоты обслуживания.

На этой машине работают сбор и анализ событий, поисковый компонент и панель. Такой вариант подходит для начала, но сервер выбирают не только по числу устройств. Офисный ноутбук и сервер с подробным журналом действий могут отправлять совсем разный объём данных.

Wazuh server принимает и обрабатывает события, indexer хранит доступные для поиска индексы, dashboard показывает результаты. Память нужна всему составу, а не только программе сбора. Если поисковому компоненту не хватает RAM или скорости диска, события могут появляться в панели с задержкой.

SSD выбирайте по доступной скорости чтения и записи и свободному месту. Индексы растут, а обслуживание требует запаса. Уточните ограничения тарифа на дисковые операции, если берёте VPS; слово NVMe в названии не гарантирует любую скорость.

Предупреждения и исходные журналы — разные объёмы. Правила могут оставить в поиске небольшую часть общего потока. Если включаете полный архив, отдельно решите, где хранить его и как долго; не считайте его помещающимся в диск из стартовой таблицы.

При росте поисковых данных на 2 ГБ в день за девяносто дней получится 180 ГБ. Чтобы 25% места оставалось свободными, требуется около 240 ГБ только под эту часть данных. После добавления системы и служебного расхода рассматривайте диск от 300 ГБ и проверьте фактический рост.

Полный поток может быть больше: сто событий в секунду по условному 1 КБ дают примерно 8,64 ГБ исходных данных в сутки. Это пример с десятичными единицами, а не размер будущего индекса. Размер предупреждений, сжатие архива и служебный расход измеряются отдельно.

Проверьте подключение агентов из всех филиалов и доступ к нужным центральным компонентам. После обрыва связи поступление накопленных событий может создавать нагрузку выше обычного дня; такой сценарий включите в пробную работу.

Панель и поисковое хранилище не должны быть открыты всем в интернете. Разделите доступ устройств и администраторов, настройте шифрование соединений. Отдельно проверьте получение уведомления ответственным человеком.

В статье есть партнёрские ссылки FirstVDS и Selectel. Удельта может получить вознаграждение, если вы закажете услуги по этим ссылкам.

В месячный бюджет входят сервер, быстрые диски индексов, архив исходных событий при необходимости, копии, трафик и обслуживание. Более долгий срок поиска обычно увеличивает стоимость хранения. Сравнивайте предложения с одинаковым составом и сроком истории.

Для большой нагрузки можно разделить компоненты на несколько серверов, но такой вариант увеличит стоимость и сложность. На первом этапе полезнее измерить реальный поток и выбрать достаточный единый сервер.

Сохраняйте конфигурацию, пользовательские правила и ключи, а индексы резервируйте предусмотренным способом создания снимков. Копии должны находиться вне рабочего сервера. После восстановления проверьте поиск старого события и поступление нового от агента.

Определите, какую историю необходимо вернуть при сбое. Если нужен весь архив, время и место восстановления рассчитываются для него тоже, а не только для настроек.

Расширяйте диск до того, как свободное место начинает мешать обслуживанию индексов. Добавляйте RAM и CPU по нагрузке анализа и поиска. Если общий сервер не успевает обрабатывать реальный поток, рассчитывайте распределённое размещение; одно только число агентов для решения недостаточно.

Quickstart Wazuh ветки 4.14 сверён 6 октября 2026 года. Приведённые в нём условия хранения отделены от наших рекомендаций по запасу и примера роста данных.