Come Esportare i Log di Wazuh

Wazuh conserva i suoi dati in due posti. Sul manager Wazuh, gli avvisi vengono scritti su /var/ossec/logs/alerts/alerts.json, un oggetto JSON per linea, e ruotati quotidianamente in file compressi per data. Gli stessi avvisi sono indicizzati nel motore di ricerca Wazuh (OpenSearch), in wazuh-alerts-4.x-*. In entrambi i casi, la riga di log originale che ha attivato un avviso è in full_log. Per esportare ogni evento, non solo quelli che hanno corrisposto a una regola, il manager ha bisogno che l’archiviazione sia attivata.

Wazuh è il SIEM e XDR open-source più utilizzato e i suoi dati sono facili da ottenere una volta che sai dove guardare. Prime Core ha 23.542 regole di rilevamento per Wazuh, mappate su 671 tecniche MITRE ATT&CK. Di seguito come esportare avvisi ed eventi, pulirli e indagarli gratuitamente in LogTotal.

Inizia gratis

Prima di iniziare

Avvisi o archivi? Gli avvisi sono gli eventi che hanno corrisposto a una regola di Wazuh sopra la soglia del livello di avviso. Gli archivi contengono tutto ciò che il manager ha ricevuto, ma solo se logall_json è abilitato in ossec.conf. Se la domanda è “cos’altro è successo su quell’host?”, vuoi gli archivi, e esistono solo dal momento in cui sono stati attivati.

Permessi. Sul manager, i file sono di proprietà dell’utente e del gruppo wazuh, quindi usa sudo. Per l’indicizzatore, hai bisogno di un utente con accesso in lettura agli indici degli avvisi.

Conservazione. I file ruotati del manager rimangono fino a quando qualcuno non li cancella. L’indicizzatore conserva ciò che la sua politica di ciclo di vita dell’indice permette.

Opzione 1: file sul manager

# avvisi di oggi finora
sudo cp /var/ossec/logs/alerts/alerts.json ./wazuh_alerts_today.jsonl

# un giorno passato (ruotato e compresso)
sudo zcat /var/ossec/logs/alerts/2026/Oct/ossec-alerts-19.json.gz > wazuh_alerts_1019.jsonl

# solo un agente
jq -c 'select(.agent.name == "web-03")' wazuh_alerts_1019.jsonl > web-03_alerts_1019.jsonl

# le linee di log originali dietro gli avvisi
jq -r '.full_log // empty' web-03_alerts_1019.jsonl > web-03_raw_1019.log

Con l’archiviazione abilitata, lo stesso schema funziona per /var/ossec/logs/archives/archives.json e i suoi file ruotati in /var/ossec/logs/archives///.

Opzione 2: l’indicizzatore Wazuh

L’indicizzatore è OpenSearch, quindi il nostro si applica come scritto. Puntalo su wazuh-alerts-* e filtra su agent.name e timestamp:

query = {"query": {"bool": {"filter": [
    {"term": {"agent.name": "web-03"}},
    {"range": {"timestamp": {"gte": "2026-10-19T00:00:00Z", "lt": "2026-10-20T00:00:00Z"}}},
]}}}

La dashboard di Wazuh può anche generare report, ma non in un formato leggibile da LogTotal oggi.

Carica, pulisci e revisa in LogTotal

1. Carica. Apri logtotal.com e inserisci nel file: l’alert JSON, o le righe grezze da full_log.
2. Pulisci. 
3. Revisa.

Quando va male