Wazuh 로그를 내보내는 방법

Wazuh는 데이터를 두 곳에 저장합니다. Wazuh 매니저에서는 경고가 /var/ossec/logs/alerts/alerts.json에 각각의 JSON 객체로 한 줄씩 기록되고, 날짜별로 압축 파일로 매일 회전합니다. 동일한 경고는 Wazuh 인덱서 (OpenSearch)에서도 wazuh-alerts-4.x-*에 인덱싱됩니다. 어쨌든 경고를 트리거한 원래 로그 라인은 full_log에 있습니다. 매니저가 규칙과 일치한 이벤트뿐만 아니라 모든 이벤트를 내보내려면 아카이빙이 활성화되어야 합니다.

Wazuh는 가장 많이 사용되는 오픈 소스 SIEM 및 XDR이며, 어디서 데이터를 찾아야 할지 알게 되면 데이터를 쉽게 얻을 수 있습니다. Prime Core는 671개의 MITRE ATT&CK 기법에 매핑된 23,542개의 Wazuh 탐지 규칙을 갖고 있습니다. 아래는 경고와 이벤트를 내보내고, 이를 정리하고, 무료로 LogTotal에서 조사하는 방법입니다.

무료로 시작하기

시작하기 전에

경고 또는 아카이브? 경고는 경고 레벨 임계값을 초과하는 Wazuh 규칙과 일치한 이벤트입니다. 아카이브는 매니저가 수신한 모든 내용을 보관하지만, ossec.conf에서 logall_json이 활성화된 경우에만 가능합니다. 질문이 “해당 호스트에서 또 어떤 일이 발생했는가?”라면, 아카이브가 필요하며, 이는 켜진 이후에만 존재합니다.

권한. 매니저에서는 파일이 wazuh 사용자 및 그룹의 소유이므로, sudo를 사용합니다. 인덱서의 경우엔, 경고 인덱스에 대한 읽기 접근 권한이 있는 사용자가 필요합니다.

보존. 매니저의 회전된 파일은 누군가가 삭제할 때까지 유지됩니다. 인덱서는 인덱스 수명 정책이 허용하는 한 보관합니다.

옵션 1: 매니저의 파일

# 오늘까지의 경고
sudo cp /var/ossec/logs/alerts/alerts.json ./wazuh_alerts_today.jsonl

# 과거 일 (회전 및 압축)
sudo zcat /var/ossec/logs/alerts/2026/Oct/ossec-alerts-19.json.gz > wazuh_alerts_1019.jsonl

# 특정 에이전트만
jq -c 'select(.agent.name == "web-03")' wazuh_alerts_1019.jsonl > web-03_alerts_1019.jsonl

# 경고 뒤에 있는 원래 로그 라인
jq -r '.full_log // empty' web-03_alerts_1019.jsonl > web-03_raw_1019.log

아카이빙 활성화 시, 동일한 패턴이 /var/ossec/logs/archives/archives.json 및 /var/ossec/logs/archives/// 아래의 회전된 파일에서도 작동합니다.

옵션 2: Wazuh 인덱서

인덱서는 OpenSearch이므로, 우리의 진행사항이 그대로 적용됩니다. wazuh-alerts-*를 가리키고 agent.name과 timestamp로 필터링하세요:

query = {"query": {"bool": {"filter": [
    {"term": {"agent.name": "web-03"}},
    {"range": {"timestamp": {"gte": "2026-10-19T00:00:00Z", "lt": "2026-10-20T00:00:00Z"}}},
]}}}

Wazuh 대시보드는 보고서 생성도 가능하지만, 오늘날 LogTotal이 읽는 형식은 아닙니다.

LogTotal에서 업로드, 정리 및 검토

1. 업로드. 열기 logtotal.com 에 파일을 드롭하세요: 경고 JSON 또는 full_log의 원본 라인.
2. 정리. 
3. 검토.

문제가 발생할 때