Wie man Wazuh-Protokolle exportiert

Wazuh speichert seine Daten an zwei Orten. Auf dem Wazuh-Manager werden die Warnungen in /var/ossec/logs/alerts/alerts.json geschrieben, ein JSON-Objekt pro Zeile, und täglich in komprimierte Dateien nach Datum rotiert. Dieselben Warnungen werden im Wazuh-Indexer (OpenSearch) in wazuh-alerts-4.x-* indiziert. In jedem Fall befindet sich die ursprüngliche Log-Zeile, die eine Warnung ausgelöst hat, in full_log. Um jedes Ereignis zu exportieren, nicht nur diejenigen, die mit einer Regel übereinstimmten, muss das Archivieren auf dem Manager aktiviert sein.

Wazuh ist das weltweit am häufigsten genutzte Open-Source-SIEM und XDR, und seine Daten sind leicht zugänglich, sobald man weiß, wo man suchen muss. Prime Core verfügt über 23.542 Erkennungsregeln für Wazuh, die auf 671 MITRE ATT&CK-Techniken abgebildet sind. Im Folgenden wird beschrieben, wie man Warnungen und Ereignisse exportiert, sie bereinigt und kostenlos in LogTotal untersucht.

Kostenlos loslegen

Bevor Sie beginnen

Warnungen oder Archive? Warnungen sind die Ereignisse, die mit einer Wazuh-Regel über dem Schwellenwert des Warnungslevels übereinstimmten. Archive enthalten alles, was der Manager empfangen hat, aber nur, wenn logall_json in ossec.conf aktiviert ist. Wenn die Frage lautet: „Was ist sonst noch auf diesem Host passiert?“, benötigen Sie Archive, die nur ab dem Zeitpunkt existieren, ab dem sie aktiviert wurden.

Berechtigungen. Auf dem Manager sind die Dateien im Besitz des Wazuh-Benutzers und der Gruppe, daher verwenden Sie sudo. Für den Indexer benötigen Sie einen Benutzer mit Lesezugriff auf die Warnungsindizes.

Aufbewahrung. Die rotierten Dateien des Managers bleiben erhalten, bis sie jemand löscht. Der Indexer behält, was seine Richtlinie zur Lebenszyklusverwaltung erlaubt.

Option 1: Dateien auf dem Manager

# Warnungen von heute bisher
sudo cp /var/ossec/logs/alerts/alerts.json ./wazuh_alerts_today.jsonl

# ein vergangener Tag (rotiert und komprimiert)
sudo zcat /var/ossec/logs/alerts/2026/Oct/ossec-alerts-19.json.gz > wazuh_alerts_1019.jsonl

# nur ein Agent
jq -c 'select(.agent.name == "web-03")' wazuh_alerts_1019.jsonl > web-03_alerts_1019.jsonl

# die ursprünglichen Log-Zeilen hinter den Warnungen
jq -r '.full_log // empty' web-03_alerts_1019.jsonl > web-03_raw_1019.log

Bei aktiviertem Archivieren funktioniert dasselbe Muster für /var/ossec/logs/archives/archives.json und deren rotierte Dateien unter /var/ossec/logs/archives/<jahr>/<monat>/.

Option 2: Der Wazuh-Indexer

Der Indexer ist OpenSearch, daher gilt unser apply wie geschrieben. Zeigen Sie auf wazuh-alerts-* und filtern Sie nach agent.name und timestamp:

query = {"query": {"bool": {"filter": [
{"term": {"agent.name": "web-03"}},
{"range": {"timestamp": {"gte": "2026-10-19T00:00:00Z", "lt": "2026-10-20T00:00:00Z"}}},
]}}}

Das Wazuh-Dashboard kann auch Berichte generieren, jedoch nicht in einem Format, das LogTotal heute liest.

Hochladen, bereinigen und in LogTotal überprüfen

1. Hochladen. Öffnen logtotal.com und legen Sie die Datei ab: die Alert-JSON oder die rohen Zeilen aus full_log.
2. Bereinigen. 
3. Überprüfen.

Wenn etwas schiefgeht