Agente, servidor e indexador

Wazuh se compone de cuatro piezas. El agente corre en cada equipo vigilado y recoge sus eventos. El servidor, también llamado gestor, recibe lo que mandan los agentes, lo decodifica y lo compara con las reglas; es el cerebro que decide qué es una alerta. El indexador es el almacén: guarda las alertas y los eventos y permite buscarlos, y es un motor de búsqueda de código abierto en la familia de OpenSearch. El panel es la cara web: tableros, búsqueda y administración.

Entre el servidor y el indexador hay un transportista, Filebeat, que lleva las alertas cifradas con TLS. Esa separación importa: quien analiza no es quien guarda, y por eso un panel lento o un indexador caído no impide que el servidor siga evaluando reglas.

Abre la tabla componentes: es el mapa de la plataforma de la panificadora.

Cada conversación entre piezas usa un puerto distinto, y conocerlos sirve para dos cosas: leer un diagrama de red sin perderse y entender por qué un agente nuevo no aparece (muchas veces es un cortafuegos que no deja pasar el puerto de alta o el de conexión). Los agentes inician la conexión hacia el servidor, no al revés, y la cifran. La tabla da los puertos por defecto; en una instalación real se pueden cambiar.

Consulta componentes y busca la fila de la conexión de los agentes.

El servidor mantiene la lista de agentes con su estado y su última conexión. Un agente puede estar activo, desconectado o no haber conectado nunca. Una desconexión corta es normal: un reinicio, una actualización. Una larga es una pregunta: ¿se apagó el equipo, se rompió el agente, o alguien lo detuvo? Desde el punto de vista del SOC, un equipo que no reporta es un equipo ciego.

Mira agentes | where estado == "desconectado" y compara las fechas de última conexión con la hora de la captura, las 14:06 UTC del lunes 2.

El equipo de caja de la tarea anterior no ha generado una sola alerta en dos días, y en el panel el tablero de ese equipo se ve vacío. Alguien en el turno comenta que «ese equipo está tranquilo». Falta decidir qué se concluye de ese silencio y qué se hace.

El informe para el jefe del SOC pide un número: de los equipos con agente, cuántos están reportando ahora. Es la primera cifra de cobertura de cualquier plataforma de este tipo: sin ella, el resto de las cifras no significan nada.