Wazuh-pris: licensen er gratis, driften er ikke

Du driver et par Linux-servere, du har læst, at Wazuh er gratis, og du vil vide, hvad det kommer til at koste, før du bruger en weekend på det. Licensen koster ingenting, men hardwaren og tiden til at drive den gør.

Af David Kabel · Opdateret 2026-09-24 · 11 min læsning

Licenserne bag Wazuh

Repositoriet wazuh/wazuh, som indeholder manageren og agenten, er licenseret under GNU General Public License version 2 med en ekstra tilladelse til at linke mod OpenSSL. Repositorierne for indexer og dashboard er under Apache License 2.0. Wazuhs eget websted beskriver platformen som uden licensomkostninger (no license cost) og med gratis community-support. Du behøver ikke købe noget fra Wazuh for at køre den, uanset hvor mange servere du har.

Betingelserne i GPLv2 knytter sig til kopiering, distribution og ændring af koden. Licensteksten i repositoriet siger, at the act of running the Program is not restricted, altså at det ikke er begrænset at køre programmet. Når du søger på "wazuh pris", handler det derfor om prisen på hardware og timer, eller om hvad en anden tager for at overtage begge dele.

Wazuh Cloud er den eneste udgave med en prisliste

Wazuh Cloud er den hostede udgave, som Wazuh selv driver på AWS, og det er den eneste måde at køre Wazuh på, der har offentlige priser. Priserne herunder stod på wazuh.com den 23. september 2026. Tallene for opbevaringstid og kapacitet kommer fra Cloud-dokumentationen.

Alle tre profiler inkluderer supportplanen Standard. Der betales med kort, månedligt eller årligt. Opgraderer du en indstilling, bliver det afregnet forholdsmæssigt med det samme, nedgraderinger gælder fra næste periode, og betalinger refunderes ikke, men du kan opsige når som helst og beholde miljøet, til perioden slutter. Prøveperioden er 14 dage uden kort. Du vælger selv den AWS-region, dine data ligger i. Gælder GDPR for dig, så vælg den med omtanke.

For en til ti servere er hagen, at den mindste offentliggjorte profil er dimensioneret til op til 100 agenter. Der findes et Custom-miljø, men den offentlige side angiver ingen pris for det. Det eneste ærlige tal for en virksomhed med fem servere er derfor "fra 571 USD om måneden, eller spørg".

Cloud fjerner infrastrukturarbejdet, men sikkerhedsarbejdet er stadig dit. Wazuhs tabel over delt ansvar placerer udrulning og konfiguration af agenter, udarbejdelse af egne regler og alarmpolitikker, styring af brugeradgang og håndtering af hændelser hos kunden.

Professionel support: to planer, ingen offentlig pris

Til installationer, du selv hoster, sælger Wazuh professionel support. Ingen af planerne har en offentliggjort pris. Siden slutter med en forespørgselsformular.

Samme side nævner vejledning om arkitektur, sundhedstjek og opgraderinger, egne regler og dashboards og en dedikeret customer success manager som en del af ydelsen. Prissammenligningssider offentliggør tal for Wazuh-kontrakter. Det er skøn fra tredjepart, ikke Wazuhs priser, og jeg har ikke brugt dem her.

Undtagelsen er træning. Wazuh angiver sine åbne kurser til 1.800 USD pr. deltager (Essential) og 2.200 USD pr. deltager (Advanced), hver på fire dage, live og online. Wazuh tilbyder konsulentarbejde til fast pris ud fra en opgavebeskrivelse.

Selvhosting: krav til serveren

Quickstarten installerer de tre centrale komponenter, server, indexer og dashboard, på én vært. Dokumentationen til Wazuh 4.14 siger, at det som regel er nok til op til 100 endpoints og 90 dages indekserede alarmer, og anbefaler:

Med en til ti servere er du i første række. Installationssiden for indexeren anslår 0,25 alarmer i sekundet pr. overvåget server, og det giver omkring 3,7 GB lager i indexeren pr. agent over 90 dage. Ti servere er cirka 37 GB for 90 dage. Tallene er skøn, der bygger på antallet af alarmer, så en server, der logger meget, bruger mere.

Quickstarten til 4.14 anbefaler Amazon Linux, CentOS Stream 10, RHEL 7 til 10 og Ubuntu 16.04 til 24.04 til de centrale komponenter. Debian er ikke på den liste. Jeg mener, at Wazuh-serveren hører hjemme på sin egen VM. Kører du manageren på en af de maskiner, den holder øje med, sidder den, der overtager maskinen, også på registreringen af, hvad vedkommende har gjort.

Dokumentationens test af, om serveren kan følge med, er to tællere, der skal blive på nul. Stiger en af dem, taber serveren hændelser eller kasserer beskeder fra agenterne.

sudo grep -E 'events_dropped|discarded_count' \
  /var/ossec/var/run/wazuh-analysisd.state \
  /var/ossec/var/run/wazuh-remoted.state

Selvhosting: timerne er den tilbagevendende udgift

VM'en er én linje på din hostingfaktura. Den tilbagevendende udgift er opmærksomhed, fordelt på opgaverne nedenfor. Jeg sætter ikke et timetal på dem. Det afhænger af, hvor meget støj dine servere laver, og hvor tit du ændrer dem, så ethvert tal her ville være opdigtet.

1. Tune regler, til alarmerne betyder noget Wazuh kan ikke vide, at dine udrulninger, cron-job og backupkørsler er normale. Tuning betyder at kopiere regler til /var/ossec/etc/rules/ og markere dem overwrite="yes", fordi dokumentationen advarer om, at ændringer i filer i /var/ossec/ruleset/rules bliver overskrevet ved opgradering. En installation, der ikke er tunet, giver alarmer, som ingen læser, sådan som guiden om overvågning af filintegritet forklarer.
2. Opgradere i den rigtige rækkefølge Alle centrale komponenter skal køre præcis samme version, helt ned til patchniveau, og manageren skal have samme version som agenterne eller nyere. Ved hver udgivelse opgraderer du indexer, server og dashboard samlet og derefter agenterne. Siden 4.12.0 kan indexeren ikke gå tilbage til 4.11 eller ældre uden en ny installation, så tag backuppen før opgraderingen.
3. Sætte opbevaringstiden selv Hardwaretabellen går ud fra 90 dages alarmer. At holde indexeren på det kræver en Index State Management-politik, som du selv opretter. Dokumentationen gennemgår en, der sletter wazuh-alerts-*-indekser efter en fastsat alder. Dens skabelon dækker nye indekser, og eksisterende skal tilknyttes manuelt.
4. Passe certifikaterne Komponenterne stoler på hinanden via en rod-CA, som installationen genererer. Hvert nodecertifikat skal indeholde nodens IP-adresse eller DNS-navn, og dokumentationen siger, at du skal gemme rod-CA'en, fordi den underskriver de andre komponenters certifikater. Ændrer du en adresse eller tilføjer en node, skal du udstede certifikater. Dashboardets certifikat er ikke fra en betroet udsteder, før du udskifter det.
5. Tage backup af manageren Wazuhs backupguide opregner, hvad der skal kopieres: ossec.conf, dine lokale regler og decodere, client.keys (den unikke nøgle, manageren har genereret til hver tilmeldt agent), certifikater og konfiguration for indexer og dashboard, og managerens databaser, kopieret mens manageren er stoppet. Som med al anden backup tæller den først, når du har gendannet fra den.

Ingen af mulighederne fjerner opgaven med at læse, hvad Wazuh finder, og handle på det. Wazuh Cloud lader håndteringen af hændelser blive hos dig. Planerne for professionel support beskriver supportsager, sundhedstjek, opgraderinger og egne regler, og ingen af dem lover, at nogen holder øje med dine alarmer.

Selvhostet, Wazuh Cloud eller driftsleverandør side om side

Den sidste kolonne kan ikke sammenlignes direkte med de to andre. Wardios pris pr. maskine dækker for eksempel også patching, backup og overvågning, så hold en driftspris op mod alt det, du ellers selv skulle gøre, og ikke kun mod linjen for Wazuh Cloud. Hos Wardio er en garanteret responstid uden for arbejdstid en selvstændig aftale, som prissiden beskriver.

Har I en til ti servere og en person, der læser alarmerne hver uge og tager sig af opgraderingerne, er selvhosting på en lille dedikeret VM efter min vurdering den billigste vej målt i penge. Wazuh Cloud passer til et team, der vil læse alarmer, men ikke vil drive en indexer, og som accepterer at betale for en profil dimensioneret til flere agenter, end det har. Læser ingen alarmerne, løser ingen af delene det, for begge lader læsningen blive hos dig. Det er det hul, en driftsleverandør skal udfylde. Står Wazuh på din liste, fordi PCI DSS kræver overvågning af filintegritet og opbevaring af logs, viser compliance-siden, hvilken kontrol der opfylder hvilket krav.

Faldgruber

• En kopieret regel uden overwrite="yes" bliver ignoreret. Vi kopierede regel 550 ind i local_rules.xml med niveau 10. Uden attributten startede manageren normalt, loggede advarsel 7612, "Rule ID '550' is duplicated. Only the first occurrence will be considered.", og den næste filændring gav stadig en alarm på niveau 7. Med overwrite="yes" gav samme ændring en alarm på niveau 10. Søg efter 7612 i ossec.log efter hver ændring af en regel, og udløs en testhændelse.
• En agent, der er nyere end manageren, bliver afvist. Vores 4.14.8-manager svarede på en tilmeldingsanmodning fra en agent, der meldte 4.15.0, med "Agent version must be lower or equal to manager version. Unable to add agent". Den accepterede en, der meldte 4.14.9, så kontrollen stopper ved minor-versionen, og en forskel i patchversion må du selv holde styr på. Opgrader altid manageren først.
• Tilmelding er åben som standard. Serverens standardkonfiguration sætter use_password til no. Én linje sendt med openssl s_client til port 1515 tilmeldte en opdigtet agent og returnerede dens nøgle. Intet bad om en adgangskode eller en licensnøgle. Tillad kun port 1515 fra dine egne servere, eller kræv en adgangskode, som dokumentationen om tilmelding beskriver, og fjern fremmede agenter med manage_agents -r.
• Sundhedstællerne kræver root. På vores manager havde /var/ossec filrettighederne 0750 og var ejet af root og gruppen wazuh, og derfor bruger kontrollen ovenfor sudo. Kørt som almindelig bruger skrev grep "Permission denied" for begge filer og sluttede med exitkode 2 i stedet for at vise et nul. Samme kommando kørt med gruppen wazuh virkede, så giv et overvågningsscript den gruppe frem for root.

Sådan blev det testet. Den 23. september 2026 kørte vi Wazuh 4.14.8-manageren fra det officielle Docker-image (wazuh/wazuh-manager:4.14.8, Amazon Linux 2023) og installerede pakken wazuh-agent 4.14.8-1 fra packages.wazuh.com på Debian 13, i Docker på en Ubuntu 24.04-vært. Vi tilmeldte agenten, tunede en regel, kørte kontrollen af state-filerne ovenfor og genererede certifikater med wazuh-certs-tool.sh fra 4.14. Intet bad om en licensnøgle. Agentpakkens copyright-fil angiver GPL version 2, og manager-pakkens metadata siger GPL. Med én agent og uden indexer og dashboard brugte manager-containeren omkring 560 MiB hukommelse i tomgang, hvilket intet siger om dimensioneringstabellen. Ikke testet: indexer og dashboard, og dermed hverken quickstartens dimensionering, politikker for opbevaringstid eller grænsen for nedgradering fra 4.12; en rigtig opgradering; backup og gendannelse; Wazuh Cloud, support og træning, hvis priser og vilkår kommer fra Wazuhs sider nedenfor, med Cloud-priserne tjekket igen den 23. september 2026.

Kilder

1. Wazuh Cloud, Wazuh Inc., priser tjekket 23. september 2026
2. Sign up for a trial (profile settings), Wazuh-dokumentation 4.14
3. Wazuh Cloud settings, Wazuh-dokumentation 4.14
4. Wazuh Cloud billing FAQ, Wazuh-dokumentation 4.14
5. Wazuh Cloud service FAQ, Wazuh-dokumentation 4.14
6. Wazuh Cloud service (shared responsibility model), Wazuh-dokumentation 4.14
7. Professional support, Wazuh Inc., tjekket 23. september 2026
8. Training courses, Wazuh Inc., tjekket 23. september 2026
9. Consulting services, Wazuh Inc., tjekket 23. september 2026
10. Wazuh home page, Wazuh Inc., tjekket 23. september 2026
11. wazuh/wazuh LICENSE (GPLv2), GitHub
12. wazuh/wazuh-indexer LICENSE (Apache 2.0), GitHub
13. wazuh/wazuh-dashboard LICENSE (Apache 2.0), GitHub
14. Quickstart, Wazuh-dokumentation 4.14
15. Wazuh indexer installation: requirements, Wazuh-dokumentation 4.14
16. Wazuh server installation: requirements and scaling, Wazuh-dokumentation 4.14
17. Upgrade guide: components compatibility, Wazuh-dokumentation 4.14
18. Upgrading the Wazuh central components, Wazuh-dokumentation 4.14
19. Custom rules, Wazuh-dokumentation 4.14
20. Index lifecycle management, Wazuh-dokumentation 4.14
21. Certificates deployment, Wazuh-dokumentation 4.14
22. Backup guide: Wazuh central components, Wazuh-dokumentation 4.14
23. Wazuh agent enrollment, Wazuh-dokumentation 4.14