Wazuh MCP Server

🛠️ Wazuh MCP Server 是什么？

Wazuh MCP Server 是一个用于连接网络安全监控系统与 AI 应用的数据服务工具。它不处理攻击防御，也不替代 SIEM 分析，而是专注于一件事：把 Wazuh 产生的安全告警数据，转换成 AI 模型能直接理解的标准化格式。它的作用是让安全信息在不同系统之间流动得更顺畅，特别是当你要用大模型辅助分析威胁时。

为什么需要它？

以往要让 AI 理解 Wazuh 的告警内容，你需要手动从 Elasticsearch 查询日志，筛选字段，再把原始 JSON 转换成提示词可用的结构。这个过程不仅重复、容易出错，还要求你熟悉 Kibana 查询语法和数据索引布局。一旦告警格式变化，脚本就得重写。

Wazuh MCP Server 解决了这个问题。它自动连接到 Wazuh 的后端存储，持续监听最新的安全事件，提取关键信息（如源 IP、攻击类型、时间戳、规则 ID），并统一输出为标准的 MCP JSON 格式。你不再需要自己写数据清洗逻辑，也不用担心字段映射错误。

⚡ 核心能力速览

1. 自动化数据提取
直接对接 Elasticsearch，定时或按需拉取 Wazuh 告警索引中的最新记录。无需人工导出或编写查询脚本，关键字段自动识别并提取。

2. 标准化输出格式
所有告警都被转换为通用的 MCP JSON 结构，确保每次返回的数据字段一致、语义清晰。AI 工具可以直接消费，减少解析失败的风险。

3. 安全可靠的访问控制
通过 JWT 认证机制保护 /mcp 接口，确保只有经过授权的应用才能获取数据。传输过程中不暴露敏感凭证，也不依赖网络白名单等粗粒度策略。

4. 简洁的 HTTP 接口
基于 Flask 实现，提供单一端点 /mcp，支持 GET 或 POST 请求。LLM 工具链或自研平台只需一次 HTTP 调用即可获取当前上下文，集成成本极低。

💡 适合谁？怎么用？

这个工具最适合两类使用者：
一是安全团队中尝试引入 AI 辅助分析的工程师，你可以快速搭建一个能“看懂”实时告警的聊天机器人，用于初步研判或生成响应建议。
二是开发智能 SOC 功能的后端开发者，你在构建自动化响应流程或可视化面板时，可以直接调用该服务获取结构化上下文，省去中间适配层。

如果你正在做威胁情报聚合、应急响应助手或安全培训模拟系统，可以先部署 Wazuh MCP Server，把它当作安全数据的“出口网关”。它不会改变现有架构，但能让后续的智能化步骤推进得更快。