implementing-endpoint-detection-with-wazuh

使用 Wazuh 实现端点检测

概述

Wazuh 是一个开源 SIEM 和 XDR 平台，用于端点监控、威胁检测和合规性管理。本技能涵盖通过 Wazuh REST API 管理 Agent、以 XML 创建组织专用检测规则的自定义解码器和规则、查询告警，以及使用 logtest 端点测试规则逻辑。

适用场景

• 在环境中部署或配置 Wazuh 端点检测功能
• 建立符合合规要求的安全控制措施
• 构建或改进此领域的安全架构
• 开展需要此实现方案的安全评估

前置条件

• 已部署并启用 API 的 Wazuh Manager 4.x
• Python 3.9+ 和 requests 库
• API 凭据（用于 JWT 身份验证的用户名和密码）
• 了解 Wazuh 解码器和规则的 XML 语法

步骤

步骤 1：向 Wazuh API 进行身份验证

通过向 /security/user/authenticate 发送 POST 请求获取 JWT 令牌。

步骤 2：列出并监控 Agent

通过 /agents 端点查询 Agent 状态、版本和最后一次 keep-alive 时间。

步骤 3：查询安全告警

按规则 ID、严重级别、Agent 或时间范围搜索告警。

步骤 4：使用 Logtest 测试自定义规则

使用 /logtest 端点，根据示例日志行验证解码器和规则逻辑。

预期输出

包含 Agent 清单、告警统计信息、规则覆盖范围和 Logtest 验证结果的 JSON 报告。