文章目录
- 背景
- Wazuh 平台基础与规则体系
- 一、Wazuh 核心架构详解
- 1. Agent（探针）
- 2. Server（服务端/Manager）
- 3. Indexer/Dashboard
- 二、核心功能模块深度解析（附实操场景）
- 三、Wazuh 安装准备与入门步骤
- 1. 环境要求（核心参考）
- 2. 快速安装步骤（Ubuntu 示例）
- 四、告警规则（Rules）深度解析与实操
- 1. 规则的核心逻辑与文件结构
- 2. 自定义规则实操案例
- 案例1：检测 PowerShell 错误日志（Windows 终端）
- 案例2：检测 Linux 系统添加新用户
- 3. 规则调试与误报处理
- 五、Wazuh 官方资源与实用工具
- 1. 官方核心资源
- 2. 实用工具集成
- 六、常见问题与避坑指南
背景
随着企业信息系统的日益复杂，单纯依靠日志收集与主机监控已难以应对快速变化的威胁环境。Wazuh 作为开源安全监控平台，能够实时收集和分析系统日志、检测异常行为，但其对外部威胁情报的整合能力相对有限。而 OpenCTI（Open Cyber Threat Intelligence）作为专业的威胁情报管理平台，可提供丰富的攻击指标、攻击者活动模式及漏洞信息，为安全分析提供决策支持。
将 Wazuh 与 OpenCTI 集成，可实现“告警驱动的威胁情报关联”，不仅提升告警的准确性和可操作性，还能将外部威胁情报直接映射到企业环境中，帮助安全团队快速识别潜在攻击、优化响应流程。本教程旨在为安全工程师提供从基础环境准备、规则优化到威胁情报集成的全流程指导，使初学者能够在实战中快速搭建可用的威胁检测与响应体系。
Wazuh 平台基础与规则体系
Wazuh 是目前最流行的开源主机入侵检测系统（HIDS）和扩展检测与响应（XDR）平台之一，凭借免费开源、功能全面、易集成等优势，成为中小企业和个人开发者的首选安全监控工具。它能全程监控服务器和终端的一举一动，从日志分析到漏洞检测，从配置核查到主动防御，构建起全方位的安全防护体系。
一、Wazuh 核心架构详解
Wazuh 采用“探针-服务端-可视化”的三层架构，各组件分工明确且协同
