Comment Exporter les Journaux Wazuh

Wazuh conserve ses données à deux endroits. Sur le manager Wazuh, les alertes sont enregistrées dans /var/ossec/logs/alerts/alerts.json, un objet JSON par ligne, et sont tournantes quotidiennement dans des fichiers compressés par date. Les mêmes alertes sont indexées dans l’indexeur Wazuh (OpenSearch), dans wazuh-alerts-4.x-*. Quoi qu’il en soit, la ligne de log originale qui a déclenché une alerte se trouve dans full_log. Pour exporter chaque événement, pas seulement ceux qui ont correspondance à une règle, le manager doit avoir l’archivage activé.

Wazuh est le SIEM et XDR open-source le plus utilisé, et ses données sont faciles à obtenir une fois que vous savez où chercher. Prime Core dispose de 23 542 règles de détection pour Wazuh, mappées à 671 techniques MITRE ATT&CK. Voici comment exporter des alertes et des événements, les assainir, et les examiner gratuitement dans LogTotal.

Commencez gratuitement

Avant de commencer

Alertes ou archives ? Les alertes sont les événements qui ont correspondu à une règle Wazuh au-dessus du seuil de niveau d’alerte. Les archives contiennent tout ce que le manager a reçu, mais uniquement si logall_json est activé dans ossec.conf. Si la question est « que s’est-il passé d’autre sur cet hôte ? », vous voulez des archives, et elles n’existent qu’à partir du moment où elles ont été activées.

Permissions. Sur le manager, les fichiers appartiennent à l’utilisateur et au groupe wazuh, donc utilisez sudo. Pour l’indexeur, vous avez besoin d’un utilisateur avec un accès en lecture aux indices d’alerte.

Rétention. Les fichiers tournants du manager restent jusqu’à ce que quelqu’un les supprime. L’indexeur garde ce que sa politique de cycle de vie de l’index permet.

Option 1 : Fichiers sur le manager

# alertes d'aujourd'hui jusqu'ici
sudo cp /var/ossec/logs/alerts/alerts.json ./wazuh_alerts_today.jsonl

# un jour passé (tourné et compressé)
sudo zcat /var/ossec/logs/alerts/2026/Oct/ossec-alerts-19.json.gz > wazuh_alerts_1019.jsonl

# un seul agent
jq -c 'select(.agent.name == "web-03")' wazuh_alerts_1019.jsonl > web-03_alerts_1019.jsonl

# les lignes de log originales derrière les alertes
jq -r '.full_log // empty' web-03_alerts_1019.jsonl > web-03_raw_1019.log

Avec l’archivage activé, le même schéma fonctionne pour /var/ossec/logs/archives/archives.json et ses fichiers tournants sous /var/ossec/logs/archives/<année>/<mois>/.

Option 2 : L’indexeur Wazuh

L’indexeur est OpenSearch, donc notre s’applique tel quel. Pointez-le sur wazuh-alerts-* et filtrez sur agent.name et timestamp :

query = {"query": {"bool": {"filter": [
{"term": {"agent.name": "web-03"}},
{"range": {"timestamp": {"gte": "2026-10-19T00:00:00Z", "lt": "2026-10-20T00:00:00Z"}}},
]}}}

Le tableau de bord Wazuh peut également générer des rapports, mais pas dans un format que LogTotal lit aujourd’hui.

Téléversement, assainissement et examen dans LogTotal

1. Téléverser. Ouvrir logtotal.com et déposez-y le fichier : le JSON des alertes, ou les lignes brutes de full_log.
2. Assainir. 
3. Examiner.

Quand cela va mal