SIEM Wazuh: caso de uso de implementação em 36 servidores críticos

Implementar um SIEM Wazuh costuma ser o ponto de inflexão quando uma organização decide passar de “ver logs” para gerenciar a segurança com visibilidade, contexto e priorização.

Este caso mostra como uma empresa de médio porte do setor de energia deu esse passo para organizar seu monitoramento, melhorar sua postura de conformidade e reduzir o atrito operacional.

O gatilho não foi uma crise ou uma emergência pontual. Foi a maturidade tecnológica: a necessidade de profissionalizar o controle de eventos de segurança, ganhar rastreabilidade para auditorias e deixar uma base pronta para crescer por etapas.

Neste artigo, você verá o contexto, o desafio real (sem dramatizar), o que o cliente solicitou, como resolvemos na Wezen e quais lições aprendemos nesta primeira etapa.

Contexto: maturidade tecnológica e monitoramento fragmentado

A empresa operava com uma abordagem comum em organizações em crescimento: logs distribuídos por servidor, alertas isolados e pouca visibilidade unificada. O monitoramento existia, mas era fragmentado.

Com 36 servidores críticos, essa fragmentação se traduzia em três problemas concretos:

• Menor capacidade de detecção precoce: conhecimento tardio de eventos relevantes ou alterações não autorizadas.
• Dificuldade em responder com consistência: sem um ponto central para priorizar e correlacionar sinais.
• Rastreabilidade fraca para auditoria: evidências dispersas, difíceis de consolidar quando o negócio precisa delas.

A oportunidade era clara: com uma estratégia e coordenação corretas, era possível construir uma base de monitoramento centralizada que acompanhasse o negócio sem torná-lo lento.

O que é um SIEM e por que ele é fundamental?

Um SIEM (Security Information and Event Management) é uma plataforma que centraliza eventos (logs), os normaliza, aplica regras de detecção e permite investigar e responder com maior rapidez e critério.

Na prática, um SIEM bem implementado oferece:

• Visibilidade centralizada sobre o que acontece em seus ativos críticos.
• Alertas acionáveis, não apenas “ruído”.
• Contexto e priorização, entender o que é mais importante.
• Evidências para auditoria, relatórios, rastreabilidade e registros consistentes.

Nesse caso, a escolha foi o SIEM Wazuh por sua abordagem flexível (HIDS/SIEM), sua capacidade de crescer por módulos e sua adoção em cenários onde você precisa de controle de integridade, vulnerabilidades e correlação de eventos.

O desafio: resolver um problema operacional e de controle

O desafio não era “instalar uma ferramenta”. Era resolver um problema operacional e de controle:

• Complexidade por volume e criticidade: 36 servidores com diferentes funções e exposição.
• Visibilidade insuficiente: os eventos existiam, mas não estavam unificados nem priorizados.
• Risco de continuidade e segurança: alterações não autorizadas, configurações fracas ou acessos suspeitos podiam passar despercebidos por mais tempo do que o desejável.
• Atrito da equipe: quando a detecção não é organizada, a resposta depende do esforço manual e da memória da equipe.

O foco foi construir uma primeira fase sólida, utilizável e escalável, evitando o erro típico de “ligar tudo” e sobrecarregar a equipe com alertas.

O que o cliente solicitou?

A solicitação foi direta e alinhada à maturidade:

• Centralizar o monitoramento de segurança em servidores/terminais.
• Contar com alertas relevantes e acionáveis (menos ruído, mais sinal).
• Incorporar painéis para operação e auditoria.
• Melhorar a rastreabilidade de eventos e mudanças.
• Deixar a base preparada para adicionar integrações e casos de uso em etapas futuras.

Como resolvemos isso na Wezen?

A solução foi implementada como uma plataforma SIEM/HIDS baseada em Wazuh, com arquitetura completa e implantação progressiva. De acordo com as informações fornecidas pela equipe do cliente, a implementação foi realizada sem afetar a operação.

1. Implantação da plataforma Wazuh

Implementamos a arquitetura básica:

• Wazuh Manager
• Wazuh Indexer
• Wazuh Dashboard

Isso permitiu contar com um núcleo de ingestão, análise e visualização pronto para operar.

2. Instrumentação de ativos críticos

Instalamos e integramos agentes em 36 servidores para capturar eventos e habilitar recursos-chave do sistema.

Para que a detecção não fosse uma “caixa-preta”, trabalhamos o inventário e a categorização:

• Rotulagem por função e criticidade.
• Organização de ativos para facilitar filtros, relatórios e priorização.

3. Regras, alertas e casos iniciais

Em vez de habilitar tudo no modo “máximo”, priorizamos eventos relevantes para uma primeira fase operacional:

• Eventos de autenticação.
• Mudanças de privilégios.
• Sinais associados a mudanças de configuração.

O objetivo era que os alertas tivessem um destino claro: ser compreendidos e acionados.

4. Controle de integridade (FIM) em rotas-chave

O File Integrity Monitoring (FIM) foi configurado para monitorar alterações em rotas relevantes do sistema. Isso proporciona visibilidade imediata diante de modificações inesperadas e melhora a rastreabilidade para auditoria.

5. Vulnerabilidades: linha de base e priorização

O módulo de gerenciamento de vulnerabilidades foi habilitado e uma linha de base inicial foi construída para começar a priorizar as descobertas em função do ativo e sua criticidade.

6. Painéis e relatórios

Painéis básicos orientados a duas necessidades foram entregues:

• Operação: visibilidade diária, eventos relevantes, foco.
• Auditoria: evidência, rastreabilidade e relatórios por ativo/categoria.

7. Ajuste inicial para reduzir falsos positivos

Desde o início, regras e exclusões foram ajustadas para diminuir o “ruído” e garantir que a equipe recebesse alertas úteis. A lógica aplicada foi clara: primeiro qualidade, depois escala.

Resultados da implementação do SIEM Wazuh

Sem inventar métricas, estes foram os resultados observados, de acordo com as informações fornecidas pela equipe do cliente e pela equipe técnica da Wezen:

• Visibilidade centralizada do estado de segurança dos 36 servidores críticos.
• Detecção mais precoce de eventos suspeitos e alterações não autorizadas.
• Melhor rastreabilidade para auditorias, com evidências e relatórios mais consistentes.
• Priorização inicial de vulnerabilidades por ativo e criticidade.
• Base técnica preparada para crescer, adicionar mais fontes, integrações e casos de uso em etapas posteriores.

O encerramento da fase 1 deixou um backlog natural para evoluir (mais ajustes, novos casos de detecção e integrações adicionais), sem comprometer a operacionalidade do ambiente.

O que aprendemos nesta implementação

• Inventário e etiquetagem primeiro: classificar os ativos no início economiza tempo e melhora a priorização posteriormente.
• Menos alertas, melhores alertas: começar com um conjunto limitado e acionável evita a fadiga da equipe.
• O ajuste faz parte do projeto: ajustar regras e exclusões não é algo “posterior”, é parte do valor.
• FIM bem definido reduz o ruído: rotas claras, exclusões documentadas e controle real.
• Projetar para crescer: deixar a arquitetura preparada para adicionar integrações simplifica as etapas futuras.

O depoimento do líder do projeto resume quais foram os resultados obtidos e como isso impacta futuras implementações.

“O melhor foi ver resultados rápidos: em poucos dias já tínhamos visibilidade real e alertas úteis. Depois, o trabalho minucioso foi ajustar regras e filtros (o que é normal), mas a base ficou sólida e pronta para continuar adicionando tecnologia.”

Pablo Alarcón Rivera – Líder de Segurança Informática da Wezen

Por que escolher um parceiro estratégico

Implementar o SIEM Wazuh não se resume apenas a instalar componentes. Trata-se de converter eventos em decisões: o que observar, o que priorizar, o que relatar e como responder sem prejudicar os negócios.

Um parceiro estratégico contribui com o que muitas vezes falta em projetos de segurança:

• Abordagem por etapas (sem “big bang”).
• Priorização alinhada ao risco real.
• Ajuste e governança operacional desde o primeiro dia.
• Resultados úteis para operação e auditoria.
• Base escalável para que o investimento não fique “estagnado”.

Na Wezen, podemos ajudá-lo a avaliar seu cenário, definir um roteiro por etapas e implementar um SIEM com foco no sinal, não no ruído. Escreva para nós.

Imagem: Gerado por IA (DALL·E 3 – GPT-4o), OpenAI, 2026.