https://wiki.ixheim.de/index.php?action=history&feed=atom&title=Wazuh_Cheat-Sheet_%28Manager-Konsole%29 2026-07-06T05:58:29Z Versionsgeschichte dieser Seite in Xinux Wiki MediaWiki 1.35.1 https://wiki.ixheim.de/index.php?title=Wazuh_Cheat-Sheet_(Manager-Konsole)&diff=71503&oldid=prev 2026-06-28T06:01:26Z

<p>Die Seite wurde neu angelegt: „= Wazuh Cheat-Sheet (Manager-Konsole) = Alle Tools liegen in &#039;&#039;&#039;/var/ossec/bin/&#039;&#039;&#039; und sind nicht im PATH — immer mit vollem Pfad aufrufen oder einmal &lt;code…“</p> <p><b>Neue Seite</b></p><div>= Wazuh Cheat-Sheet (Manager-Konsole) =<br /> <br /> Alle Tools liegen in '''/var/ossec/bin/''' und sind nicht im PATH — immer mit<br /> vollem Pfad aufrufen oder einmal &lt;code&gt;export PATH=$PATH:/var/ossec/bin&lt;/code&gt; setzen.<br /> <br /> == Dienst steuern ==<br /> ;Status aller Wazuh-Daemons<br /> */var/ossec/bin/wazuh-control status<br /> <br /> ;Start / Stop / Neustart (alle Daemons auf einmal)<br /> */var/ossec/bin/wazuh-control start<br /> */var/ossec/bin/wazuh-control stop<br /> */var/ossec/bin/wazuh-control restart<br /> <br /> ;Alternativ über systemd<br /> *systemctl status wazuh-manager<br /> *systemctl restart wazuh-manager<br /> <br /> == Agents anzeigen ==<br /> ;Alle registrierten Agents auflisten (ID, Name, IP, Status)<br /> */var/ossec/bin/agent_control -l<br /> <br /> ;Nur verbundene Agents<br /> */var/ossec/bin/agent_control -lc<br /> <br /> ;Details zu einem Agent (z. B. ID 003)<br /> */var/ossec/bin/agent_control -i 003<br /> <br /> ;Liste direkt aus der Key-Datei<br /> *cat /var/ossec/etc/client.keys<br /> <br /> == Agent neu starten ==<br /> ;Einen Agent per Manager neu starten<br /> */var/ossec/bin/agent_control -R 003<br /> <br /> ;Alle Agents neu starten<br /> */var/ossec/bin/agent_control -R -a<br /> <br /> == Agent hinzufügen ==<br /> ;Interaktives Menü (A=add, E=key extrahieren, L=list, R=remove)<br /> */var/ossec/bin/manage_agents<br /> <br /> ;Nicht-interaktiv: Agent anlegen<br /> */var/ossec/bin/manage_agents -a 172.26.54.20 -n web01<br /> <br /> ;Key eines Agents extrahieren (auf dem Agent importieren)<br /> */var/ossec/bin/manage_agents -e 003<br /> <br /> == Agent entfernen ==<br /> ;Per Flag (ID angeben)<br /> */var/ossec/bin/manage_agents -r 003<br /> <br /> ;Oder interaktiv: manage_agents starten -&gt; R -&gt; ID eingeben<br /> */var/ossec/bin/manage_agents<br /> <br /> Nach dem Entfernen den Manager neu starten, damit die Key-Datei sauber neu<br /> eingelesen wird.<br /> *systemctl restart wazuh-manager<br /> <br /> == Agent-Gruppen ==<br /> ;Vorhandene Gruppen anzeigen<br /> */var/ossec/bin/agent_groups -l<br /> <br /> ;Agent einer Gruppe zuweisen<br /> */var/ossec/bin/agent_groups -a -i 003 -g linux-server<br /> <br /> == Wichtige Konfigurationsdateien ==<br /> {| class=&quot;wikitable&quot;<br /> ! Datei !! Zweck<br /> |-<br /> | /var/ossec/etc/ossec.conf || Hauptkonfiguration des Managers<br /> |-<br /> | /var/ossec/etc/client.keys || Registrierte Agents (ID, Name, IP, Key)<br /> |-<br /> | /var/ossec/etc/rules/local_rules.xml || Eigene Regeln<br /> |-<br /> | /var/ossec/etc/decoders/local_decoder.xml || Eigene Decoder<br /> |-<br /> | /var/ossec/etc/shared/default/agent.conf || Zentrale Agent-Konfig (pro Gruppe)<br /> |-<br /> | /var/ossec/ruleset/rules/ || Mitgelieferte Regeln (NICHT editieren)<br /> |-<br /> | /var/ossec/ruleset/decoders/ || Mitgelieferte Decoder (NICHT editieren)<br /> |}<br /> <br /> Eigene Anpassungen immer in die '''local_''' Dateien — die Ruleset-Verzeichnisse<br /> werden bei Updates überschrieben.<br /> <br /> == Logs ==<br /> {| class=&quot;wikitable&quot;<br /> ! Datei !! Inhalt<br /> |-<br /> | /var/ossec/logs/ossec.log || Manager-Hauptlog (Fehler, Start, Decoder-Probleme)<br /> |-<br /> | /var/ossec/logs/alerts/alerts.log || Alerts lesbar<br /> |-<br /> | /var/ossec/logs/alerts/alerts.json || Alerts strukturiert (für Dashboard/Index)<br /> |-<br /> | /var/ossec/logs/archives/archives.json || Alle Events (nur wenn logall_json aktiv)<br /> |}<br /> <br /> ;Manager-Log live mitlesen<br /> *tail -f /var/ossec/logs/ossec.log<br /> <br /> ;Alerts live mitlesen<br /> *tail -f /var/ossec/logs/alerts/alerts.log<br /> <br /> == Regeln und Decoder testen ==<br /> ;Eine Logzeile durch die Decoder-/Regel-Kette jagen<br /> */var/ossec/bin/wazuh-logtest<br /> <br /> ;Verbose (zeigt jeden geprüften Decoder-Schritt)<br /> */var/ossec/bin/wazuh-logtest -v<br /> <br /> == Konfiguration prüfen ==<br /> ;ossec.conf auf Syntaxfehler testen (ohne Neustart)<br /> */var/ossec/bin/wazuh-logtest-legacy -t<br /> */var/ossec/bin/verify-agent-conf<br /> <br /> == API (kurz) ==<br /> ;Token holen (Default-Port 55000)<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> TOKEN=$(curl -s -u wazuh:wazuh -k -X POST \<br /> &quot;https://localhost:55000/security/user/authenticate?raw=true&quot;)<br /> &lt;/syntaxhighlight&gt;<br /> <br /> ;Agents über die API auflisten<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> curl -s -k -H &quot;Authorization: Bearer $TOKEN&quot; \<br /> &quot;https://localhost:55000/agents?pretty=true&quot;<br /> &lt;/syntaxhighlight&gt;<br /> <br /> [[Kategorie:WAZUH]]</div>

Thomas.will