Thomas.will: Die Seite wurde neu angelegt: „=Wazuh Logging — Cheat Sheet= Wo was liegt und womit man nachsieht, wenn im Dashboard nichts ankommt. Jeder Abschnitt ist einer Maschine zugeordnet: * '''[A…“

2026-09-09T10:10:21Z

Die Seite wurde neu angelegt: „=Wazuh Logging — Cheat Sheet= Wo was liegt und womit man nachsieht, wenn im Dashboard nichts ankommt. Jeder Abschnitt ist einer Maschine zugeordnet: * '''[A…“

Neue Seite

=Wazuh Logging — Cheat Sheet=
Wo was liegt und womit man nachsieht, wenn im Dashboard nichts ankommt.

Jeder Abschnitt ist einer Maschine zugeordnet:
* '''[A]''' = auf dem Agenten (z.B. www, waf)
* '''[M]''' = auf dem Manager (wazuh.dkbi.com)

== Wo liegt was ==
{| class="wikitable"
! Datei !! Maschine !! Inhalt
|-
| ''/var/ossec/logs/ossec.log'' || A + M || Betriebsmeldungen der Dienste. Der einzige Log auf der Agent-Seite
|-
| ''/var/ossec/logs/alerts/alerts.json'' || M || Alles, was eine Regel getroffen hat
|-
| ''/var/ossec/logs/alerts/alerts.log'' || M || Dasselbe im Klartext
|-
| ''/var/ossec/logs/archives/archives.json'' || M || '''Alles''', auch ohne Regeltreffer — nur bei aktivem ''logall_json''
|-
| ''/var/ossec/logs/active-responses.log'' || A || Ausgeführte Active Responses
|}
'''Merksatz:''' Der Agent liest und sendet, er führt keine Buchhaltung. Was gesendet wurde, sieht man nur auf dem Manager.

== [A] Agent — was wird eingelesen ==
;Welche Dateien überwacht der Logcollector?
<syntaxhighlight lang="bash">
grep "Analyzing file" /var/ossec/logs/ossec.log
</syntaxhighlight>
;Konfiguration testen, bevor neu gestartet wird
<syntaxhighlight lang="bash">
/var/ossec/bin/wazuh-logcollector -t
</syntaxhighlight>
;Jede gelesene Zeile sehen — in ''/var/ossec/etc/local_internal_options.conf''
<syntaxhighlight lang="bash">
logcollector.debug=2
</syntaxhighlight>
<syntaxhighlight lang="bash">
systemctl restart wazuh-agent
tail -f /var/ossec/logs/ossec.log
</syntaxhighlight>
Danach wieder auf ''0'' setzen.
;Verbindung zum Manager
<syntaxhighlight lang="bash">
grep -E "Connected to the server|Unable to connect" /var/ossec/logs/ossec.log | tail -5
</syntaxhighlight>

== [M] Manager — was kommt an ==
;Agentenliste mit Status
<syntaxhighlight lang="bash">
/var/ossec/bin/agent_control -l
</syntaxhighlight>
;Lauscht der Manager?
<syntaxhighlight lang="bash">
ss -lnup | grep 1514
</syntaxhighlight>
;Dienste
<syntaxhighlight lang="bash">
/var/ossec/bin/wazuh-control status
</syntaxhighlight>
;Konfiguration prüfen, ohne neu zu starten
<syntaxhighlight lang="bash">
/var/ossec/bin/wazuh-analysisd -t
</syntaxhighlight>

== [M] Live mitlesen ==
;Alerts
<syntaxhighlight lang="bash">
tail -f /var/ossec/logs/alerts/alerts.json | jq -c '[.agent.name, .rule.id, .rule.description]'
</syntaxhighlight>
;Alles, auch ohne Treffer — vorher in ''/var/ossec/etc/ossec.conf'' im ''<global>''-Block
<syntaxhighlight lang="xml">
<logall_json>yes</logall_json>
</syntaxhighlight>
<syntaxhighlight lang="bash">
systemctl restart wazuh-manager
tail -f /var/ossec/logs/archives/archives.json | jq -c '[.agent.name, .decoder.name, .rule.id // "-", .full_log]'
</syntaxhighlight>
'''Achtung:''' Archives werden nicht rotiert. Nach der Übung wieder auf ''no''.
;Nach einem Agenten filtern
<syntaxhighlight lang="bash">
tail -f /var/ossec/logs/archives/archives.json | jq -c 'select(.agent.name=="www") | .full_log'
</syntaxhighlight>

== [M] Regeln und Decoder testen ==
;Interaktiv — Logzeile reinpasten, Ergebnis sofort
<syntaxhighlight lang="bash">
/var/ossec/bin/wazuh-logtest
</syntaxhighlight>
* Phase 1: Vordekodierung (Zeitstempel, Hostname)
* Phase 2: Decoder und extrahierte Felder
* Phase 3: Regel-ID und Level — bleibt leer, wenn keine Regel greift
;Aus einer Datei heraus
<syntaxhighlight lang="bash">
tail -1 /var/log/coraza/audit.log | /var/ossec/bin/wazuh-logtest
</syntaxhighlight>
;Regeln auf Dopplungen prüfen — doppelte IDs verhindern den Start des Managers
<syntaxhighlight lang="bash">
grep -rn 'rule id="1001' /var/ossec/etc/rules/
</syntaxhighlight>

== Typische Ursachen ==
{| class="wikitable"
! Symptom !! Prüfen auf !! Ursache
|-
| Gar nichts im ossec.log zur Datei || A || ''<localfile>'' fehlt oder Pfad falsch
|-
| HTTP wird geloggt, HTTPS nicht || A || SSL-vhost schreibt in ''ssl_access.log''
|-
| Datei da, aber keine Zeilen || A || Angriff kam '''vor''' dem Agent-Neustart — nur Neues wird gelesen
|-
| In archives.json, aber kein Alert || M || Keine Regel greift. Mit ''wazuh-logtest'' gegenprüfen
|-
| Manager startet nicht || M || Doppelte Regel-ID oder XML-Fehler — steht im ossec.log
|-
| Nichts erscheint, obwohl alles stimmt || — || Zu wenig Verkehr. Mit einer Schleife 20 Requests erzeugen
|}

== Nach der Übung aufräumen ==
;[A] in ''local_internal_options.conf''
<syntaxhighlight lang="bash">
logcollector.debug=0
</syntaxhighlight>
;[M] in ''ossec.conf''
<syntaxhighlight lang="xml">
<logall_json>no</logall_json>
</syntaxhighlight>

[[Kategorie:WAZUH]]

Wazuh Logging Cheat-Sheet - Versionsgeschichte

Thomas.will: Die Seite wurde neu angelegt: „=Wazuh Logging — Cheat Sheet= Wo was liegt und womit man nachsieht, wenn im Dashboard nichts ankommt. Jeder Abschnitt ist einer Maschine zugeordnet: * '''[A…“