Seguir O Wazuh mantém seus dados em dois lugares. No gerente Wazuh, os alertas são escritos em /var/ossec/logs/alerts/alerts.json, um objeto JSON por linha, e rotacionados diariamente em arquivos comprimidos por data. Os mesmos alertas são indexados no indexador Wazuh (OpenSearch), em wazuh-alerts-4.x-*. De qualquer forma, a linha de log original que acionou um alerta está em full_log. Para exportar todos os eventos, não apenas aqueles que corresponderam a uma regra, o gerente precisa ter o arquivamento ativado.
Wazuh é o SIEM e XDR de código aberto mais usado, e seus dados são fáceis de acessar uma vez que você saiba onde procurar. O Prime Core tem 23.542 regras de detecção para o Wazuh, mapeadas para 671 técnicas MITRE ATT&CK. Abaixo está como exportar alertas e eventos, sanitizá-los e investigá-los gratuitamente no LogTotal.
Antes de começar
Alertas ou arquivos? Alertas são os eventos que corresponderam a uma regra Wazuh acima do limiar do nível de alerta. Arquivos contêm tudo que o gerente recebeu, mas somente se logall_json estiver habilitado no ossec.conf. Se a pergunta for “o que mais aconteceu naquele host?”, você quer arquivos, e eles existem apenas a partir do momento em que foram ativados.
Permissões. No gerente, os arquivos são de propriedade do usuário e grupo wazuh, então use sudo. Para o indexador, você precisa de um usuário com acesso de leitura aos índices de alerta.
Retenção. Os arquivos rotacionados do gerente permanecem até que alguém os exclua. O indexador mantém o que sua política de ciclo de vida de índice permite.
Opção 1: Arquivos no gerente
# alertas de hoje até agora
sudo cp /var/ossec/logs/alerts/alerts.json ./wazuh_alerts_today.jsonl
# um dia passado (rotacionado e comprimido)
sudo zcat /var/ossec/logs/alerts/2026/Oct/ossec-alerts-19.json.gz > wazuh_alerts_1019.jsonl
# apenas um agente
jq -c 'select(.agent.name == "web-03")' wazuh_alerts_1019.jsonl > web-03_alerts_1019.jsonl
# as linhas de log originais por trás dos alertas
jq -r '.full_log // empty' web-03_alerts_1019.jsonl > web-03_raw_1019.log
Com o arquivamento ativado, o mesmo padrão funciona para /var/ossec/logs/archives/archives.json e seus arquivos rotacionados em /var/ossec/logs/archives/
Opção 2: O indexador Wazuh
O indexador é OpenSearch, então nosso aplica conforme escrito. Aponte-o para wazuh-alerts-* e filtre por agent.name e timestamp:
query = {"query": {"bool": {"filter": [
{"term": {"agent.name": "web-03"}},
{"range": {"timestamp": {"gte": "2026-10-19T00:00:00Z", "lt": "2026-10-20T00:00:00Z"}}},
]}}}
O painel Wazuh também pode gerar relatórios, mas não em um formato que o LogTotal leia hoje.
Carregar, sanitizar e revisar no LogTotal
- Enviar. Abrir logtotal.com e soltar no arquivo: o JSON de alerta, ou as linhas brutas de full_log.
- Sanitizar.
- Revisar.
Quando der errado
| Sintoma | Causa provável | Fix |
|---|---|---|
| Permissão negada no gerente | Arquivos pertencem ao usuário wazuh | Use sudo |
| archives.json vazio ou ausente | logall_json não está habilitado | Habilite para o futuro; use alertas para o passado |
| Nenhum arquivo para um dia passado | Caminho ou nomeação de rotação diferente | Listar /var/ossec/logs/alerts/ |
| Alguns alertas não têm full_log | Nem todo alerta vem de uma linha de log (verificações de integridade, detecção de vulnerabilidade) | Carregue o JSON de alerta em vez disso |
| Indexador retorna 403 | Usuário não tem acesso de leitura aos wazuh-alerts-* | Conceda leitura nos índices de alerta |
FAQ
Posso usar a API do Wazuh para exportar alertas?
A API do servidor Wazuh é para gerenciar agentes e configuração, não para pesquisar alertas. Use os arquivos ou o indexador.
Linhas brutas ou JSON de alerta?
Linhas brutas (full_log) quando você quer que o LogTotal execute suas próprias detecções nos logs originais. JSON de alerta quando você também quer os matches de regras do Wazuh no arquivo.
