n8n-nodes-wazuh-siem

Nodos community de n8n para Wazuh (SIEM/XDR). Un aporte a la comunidad
de ciberseguridad y ciberdefensa: la API de Wazuh como nodos nativos de n8n, para automatizar
detección, alertas y respuesta sobre infraestructuras críticas.

Proyecto community, no oficial. No está afiliado ni respaldado por Wazuh Inc. "Wazuh" es marca
registrada; aquí se usa solo para identificar el software que estos nodos integran. Ver
Licencia y atribución.

UI en inglés con traducción al español (N8N_DEFAULT_LOCALE=es).

Cuatro piezas:

El nodo Wazuh expone las 182 operaciones de la API del manager, agrupadas por recurso:

Cada operación devuelve la respuesta ya separada en items de n8n (por ejemplo, un agente por item),
listos para encadenar:

Wazuh Indexer con filtros simples devuelve alertas reales listas para encadenar:

Instalación

Desde n8n: Settings > Community nodes > Install y el nombre del paquete:

n8n-nodes-wazuh-siem

Instalación manual (custom folder)

Para desarrollo o instancias sin instalación por UI:

npm run build && npm pack
# copiar el .tgz al host de n8n y extraerlo en el volumen de n8n:
docker cp n8n-nodes-wazuh-siem-0.1.0.tgz <container>:/tmp/
docker exec -u root <container> sh -c "cd /tmp && tar xzf n8n-nodes-wazuh-siem-0.1.0.tgz \
  && mkdir -p /home/node/.n8n/custom/n8n-nodes-wazuh-siem \
  && cp -r package/package.json package/dist /home/node/.n8n/custom/n8n-nodes-wazuh-siem/ \
  && chown -R node:node /home/node/.n8n/custom"
docker compose restart n8n

La carpeta del paquete va directo bajo custom/, no bajo node_modules/. Los tipos quedan
prefijados: CUSTOM.wazuh, CUSTOM.wazuhIndexer, CUSTOM.wazuhTrigger, CUSTOM.wazuhWebhookTrigger.

Credencial de la API (JWT)

Wazuh no usa API keys estáticas: hay que loguearse con Basic contra
POST /security/user/authenticate y usar el JWT devuelto (dura auth_token_exp_timeout,
900s por defecto). La credencial lo resuelve con preAuthentication, que n8n cachea y vuelve a
correr al recibir un 401.

Nota: para que n8n llame a preAuthentication, la credencial debe declarar una propiedad
type: 'hidden' con typeOptions: { expirable: true } (en este paquete, token). Sin eso el
método nunca se ejecuta, el header sale Bearer vacío y todo responde 401.

Trigger: polling vs push

• Wazuh Trigger (polling) - consulta wazuh-alerts-* en el indexer y guarda el cursor
  (@timestamp de la última alerta emitida) en workflowStaticData. Latencia = intervalo de poll.
  No toca el manager ni necesita nada instalado.
• Wazuh Webhook Trigger (push) - tiempo real. Tres modos de registro, elige el modo según el
  privilegio que quieras dar a n8n:

Modo Sidecar (recomendado)

El trigger da de alta su suscripción en el servicio wazuh-webhooks al activar el workflow, y la
borra al desactivarlo. n8n nunca ve una credencial de Wazuh. Además: entregas firmadas
(HMAC-SHA256, verificación obligatoria en este modo), reintentos con backoff, filtros por
suscripción y varios consumidores sin tocar la configuración del SIEM.

Requiere que el sidecar ya esté conectado al manager: un bloque <integration> apuntándole,
configurado una sola vez. A partir de ahí, alta y baja de workflows no tocan Wazuh.

Modo API del manager (avanzado)

Edita el ossec.conf por API (GET/PUT /manager/configuration > validar > PUT /manager/restart).
Conviene crear un usuario de API dedicado con un rol limitado, en lugar de wazuh-wui:

# rol con sólo lo necesario: leer config, actualizarla y reiniciar
POST /security/roles                {"name": "n8n-integration"}
POST /security/policies             {"name":"n8n-manager-config","policy":{
  "actions":["manager:read","manager:update_config","manager:restart"],
  "resources":["*:*:*"],"effect":"allow"}}
POST /security/roles/{role}/policies?policy_ids={policy}
POST /security/users                {"username":"n8n","password":"..."}
POST /security/users/{user}/roles?role_ids={role}

Transportes de este modo: shuffle (viene de fábrica, sin firma) o custom-n8n (script del
repo, copiado una vez, con firma HMAC):

cp integrations/custom-n8n /var/ossec/integrations/custom-n8n
chown root:wazuh /var/ossec/integrations/custom-n8n
chmod 750 /var/ossec/integrations/custom-n8n

shuffle saltea reglas: su SKIP_RULE_IDS está hardcodeado en shuffle.py e incluye
5710 (sshd: Attempt to login using a non-existent user). Al probar con esa regla, el
integrator invoca el script y no entrega nada, sin error visible. Usa otra (por ejemplo 5715).

Entrega interna: si quien entrega comparte red Docker con n8n, usa la base interna en
URL Base De Entrega (http://n8n:5678). Si no, se registra la URL pública de n8n, que suele
ser una IP privada y el sidecar la rechaza por su guard anti-SSRF (con un mensaje que lo explica).

Enriquecer las alertas con datos de IP

Casi toda alerta de Wazuh con origen de red trae la IP en data.srcip. Dos nodos community
hermanos agregan contexto de esa IP como nodos nativos de n8n, útiles para el triage y para decidir
la respuesta:

• n8n-nodes-ip-api - geolocalización, ASN/ISP
  y flags de reputación (proxy, hosting/datacenter, mobile) desde ip-api.com. La operación
  batch toma la IP de cada item (campo configurable, por ejemplo data.srcip) y resuelve varias por
  request.
• n8n-nodes-ipquery - geolocalización, ASN/ISP
  y detección de datacenter desde ipquery.io, sin API key.

Patrón típico:

Wazuh Trigger (nivel ≥ N)  ->  IP-API (batch sobre data.srcip)  ->  notificación

Así cada alerta sale con país, ISP y si la IP pertenece a un datacenter/VPS, señal fuerte de que no
es tráfico de un usuario legítimo. Ambos se instalan desde n8n: Settings > Community nodes >
Install.

Regenerar desde una versión nueva de Wazuh

# 1. sacar el spec del manager
docker compose cp wazuh.manager:/var/ossec/framework/python/lib/python3.10/site-packages/api/spec/spec.yaml ./spec.yaml
# 2. normalizarlo a JSON (el YAML de upstream no es válido para parsers estrictos)
python3 -c "import yaml,json;json.dump(yaml.safe_load(open('spec.yaml')),open('tools/spec/wazuh-api-spec-X.Y.Z.json','w'),ensure_ascii=False,default=str)"
# 3. regenerar + compilar
npm run generate && npm run build && npm run lint

nodes/Wazuh/generated/ es generado: no se edita a mano.

Desarrollo

npm install
npm run build      # tsc + iconos
npm run lint       # eslint-plugin-n8n-nodes-base
npm run generate   # regenera los recursos desde el spec

# smoke test contra un Wazuh real (sin n8n):
WAZUH_URL=https://host:55000 WAZUH_USER=wazuh-wui WAZUH_PASS=... \
INDEXER_URL=https://host:9200 INDEXER_USER=admin INDEXER_PASS=... \
SMOKE_INSECURE=1 node tools/smoke.mjs

No correr npm run lintfix sobre strings con acentos: el autofix de sentence-case de
eslint-plugin-n8n-nodes-base corrompe UTF-8 ('código' > 'c digo'). Las correcciones de
casing y puntuación se hacen en el generador.

Licencia y atribución

GPL-2.0-only. Copyright (C) 2026 Hernan Herrera. Ver LICENSE.

Estos nodos se generan a partir del spec OpenAPI oficial de Wazuh (tools/spec/), que Wazuh
publica bajo GPL-2.0. Los nombres, descripciones y la estructura de las operaciones derivan de
ese spec. Por eso el paquete adopta la misma licencia: es lo coherente para un aporte al ecosistema de
Wazuh, y respeta la licencia de la obra de la que deriva.

• Wazuh es un proyecto de Wazuh Inc. (https://wazuh.com), bajo GPL-2.0. Este paquete no es un
  producto oficial de Wazuh ni está afiliado a Wazuh Inc.; sólo integra su API.
• El spec versionado en tools/spec/wazuh-api-spec-4.14.6.json es una copia normalizada del spec del
  manager (GPL 2.0, ver info.license del propio archivo).