Стежити Wazuh зберігає свої дані у двох місцях. На менеджері Wazuh оповіщення записуються в /var/ossec/logs/alerts/alerts.json, один JSON об’єкт на рядок, та щоденно обертаються у стиснуті файли за датою. Ті ж оповіщення індексуються в індексаторі Wazuh (OpenSearch), у wazuh-alerts-4.x-*. У обох випадках, оригінальний рядок журналу, який спричинив оповіщення, знаходиться у full_log. Щоб експортувати кожну подію, а не лише ті, які відповідали правилу, менеджер потребує увімкненого архівування.
Wazuh – це найбільш вживана відкрита SIEM та XDR, і її дані легко знайти, якщо знати, де шукати. Prime Core має 23,542 правила виявлення для Wazuh, зіставлених з 671 технікою MITRE ATT&CK. Нижче показано, як експортувати оповіщення та події, очищати їх та досліджувати безкоштовно у LogTotal.
Перш ніж ви почнете
Оповіщення чи архіви? Оповіщення – це події, які відповідали правилу Wazuh вище порогу рівня оповіщення. Архіви містять усе, що отримав менеджер, але лише якщо logall_json увімкнено в ossec.conf. Якщо питання полягає в тому, «що ще сталося на тому хості?», вам потрібні архіви, і вони існують лише з моменту їх увімкнення.
Дозволи. На менеджері файли належать користувачу та групі wazuh, тому використовуйте sudo. Для індексатора вам потрібен користувач з доступом на читання до індексів оповіщень.
Зберігання. Обертання файлів менеджера залишається, поки хтось їх не видалить. Індексатор зберігає те, що дозволяє його політика життєвого циклу індексів.
Варіант 1: Файли на менеджері
# оповіщення за сьогодні
sudo cp /var/ossec/logs/alerts/alerts.json ./wazuh_alerts_today.jsonl
# минулий день (обертані та стиснуті)
sudo zcat /var/ossec/logs/alerts/2026/Oct/ossec-alerts-19.json.gz > wazuh_alerts_1019.jsonl
# лише один агент
jq -c 'select(.agent.name == "web-03")' wazuh_alerts_1019.jsonl > web-03_alerts_1019.jsonl
# оригінальні рядки журналу за оповіщеннями
jq -r '.full_log // empty' web-03_alerts_1019.jsonl > web-03_raw_1019.log
З увімкненим архівуванням, той самий шаблон працює для /var/ossec/logs/archives/archives.json та його обертаних файлів під /var/ossec/logs/archives/<year>/<month>/.
Варіант 2: Індексатор Wazuh
Індексатор – це OpenSearch, тому наш застосовується, як написано. Спрямуйте його на wazuh-alerts-* та фільтруйте за agent.name і timestamp:
query = {"query": {"bool": {"filter": [
{"term": {"agent.name": "web-03"}},
{"range": {"timestamp": {"gte": "2026-10-19T00:00:00Z", "lt": "2026-10-20T00:00:00Z"}}},
]}}}
Панель керування Wazuh також може генерувати звіти, але не у формату, який читає LogTotal сьогодні.
Завантажити, очистити і переглянути у LogTotal
- Завантажити. Відкрити logtotal.com і завантажити файл: JSON з оповіщеннями чи оригінальні рядки з full_log.
- Очистити.
- Переглянути.
Коли щось іде не так
| Симптом | Можлива причина | Fix |
|---|---|---|
| Відмова доступу на менеджері | Файли належать користувачу wazuh | Використовуйте sudo |
| archives.json порожній або відсутній | logall_json не увімкнено | Увімкніть це на майбутнє; використовуйте оповіщення для минулого |
| Немає файлу для минулого дня | Інший шлях обертання або іменування | Список /var/ossec/logs/alerts/<year>/<month>/ |
| Деякі оповіщення не мають full_log | Не кожне оповіщення походить із рядка журналу (перевірка цілісності, виявлення вразливостей) | Завантажте JSON з оповіщеннями замість цього |
| Індексатор повертає 403 | Користувач не має доступу на читання до wazuh-alerts-* | Надати доступ на читання до індексів оповіщень |
FAQ
Я можу використовувати API Wazuh для експорту оповіщень?
API сервера Wazuh призначений для керування агентами та конфігурацією, не для пошуку оповіщень. Використовуйте файли або індексатор.
Сирі рядки чи JSON з оповіщеннями?
Сирі рядки (full_log), коли ви хочете, щоб LogTotal виконував власне виявлення на оригінальних журналах. JSON з оповіщеннями, коли ви також хочете, щоб у файлі були відповідності правил Wazuh.
