Jak eksportować logi Wazuh

Wazuh przechowuje swoje dane w dwóch miejscach. Na menedżerze Wazuh, alerty są zapisywane w /var/ossec/logs/alerts/alerts.json, jeden obiekt JSON na linię, i codziennie rotowane do skompresowanych plików według daty. Te same alerty są indeksowane w indeksatorze Wazuh (OpenSearch), w wazuh-alerts-4.x-*. W każdym przypadku, oryginalna linia dziennika, która zainicjowała alert, znajduje się w full_log. Aby eksportować każde zdarzenie, nie tylko te, które pasowały do reguły, menedżer musi mieć włączone archiwizowanie.

Wazuh jest najczęściej używanym open-source SIEM i XDR, a jego dane są łatwe do uzyskania, gdy wiesz, gdzie szukać. Prime Core ma 23 542 reguły detekcji dla Wazuh, zmapowane do 671 technik MITRE ATT&CK. Poniżej przedstawiono, jak eksportować alerty i zdarzenia, oczyszczać je i badać za darmo w LogTotal.

Rozpocznij za darmo

Zanim zaczniesz

Alerty czy archiwa? Alerty to zdarzenia, które pasowały do reguły Wazuh powyżej progu poziomu alertu. Archiwa zawierają wszystko, co otrzymał menedżer, ale tylko jeśli logall_json jest włączony w ossec.conf. Jeśli pytasz „co jeszcze wydarzyło się na tym hoście?”, potrzebujesz archiwów, które istnieją tylko od momentu ich włączenia.

Uprawnienia. Na menedżerze pliki należą do użytkownika i grupy wazuh, więc używaj sudo. Dla indeksatora potrzebujesz użytkownika z prawami odczytu do indeksów alertów.

Przechowywanie. Rotowane pliki menedżera pozostają do momentu, aż ktoś je usunie. Indeksator przechowuje to, na co pozwala jego polityka cyklu życia indeksu.

Opcja 1: Pliki na menedżerze

# dzisiejsze alerty do tej pory
sudo cp /var/ossec/logs/alerts/alerts.json ./wazuh_alerts_today.jsonl

# z przeszłego dnia (rotowane i skompresowane)
sudo zcat /var/ossec/logs/alerts/2026/Oct/ossec-alerts-19.json.gz > wazuh_alerts_1019.jsonl

# tylko jeden agent
jq -c 'select(.agent.name == "web-03")' wazuh_alerts_1019.jsonl > web-03_alerts_1019.jsonl

# oryginalne linie dziennika za alertami
jq -r '.full_log // empty' web-03_alerts_1019.jsonl > web-03_raw_1019.log

Przy włączonej archiwizacji, ten sam schemat działa dla /var/ossec/logs/archives/archives.json i jego rotowanych plików w /var/ossec/logs/archives///.

Opcja 2: Indeksator Wazuh

Indeksator to OpenSearch, więc nasze zastosowania działają jak napisano. Wskaż na wazuh-alerts-* i filtrowanie na agent.name i timestamp:

query = {"query": {"bool": {"filter": [
    {"term": {"agent.name": "web-03"}},
    {"range": {"timestamp": {"gte": "2026-10-19T00:00:00Z", "lt": "2026-10-20T00:00:00Z"}}},
]}}}

Dashboard Wazuh również może generować raporty, ale nie w formacie, który LogTotal czyta dzisiaj.

Załaduj, oczyść i przejrzyj w LogTotal

1. Załaduj. Otwórz logtotal.com i upuść plik: alert JSON lub surowe linie z full_log.
2. Oczyść. 
3. Przegląd.

Gdy coś idzie nie tak