Wazuh服务器与Rsyslog集成问题排查指南

问题背景

在Wazuh安全监控平台与Rsyslog日志收集系统的集成过程中，管理员可能会遇到日志转发成功但告警缺失的情况。本文通过一个典型案例，详细分析问题原因并提供完整的解决方案。

典型问题现象

在Wazuh v4.11.2环境中，配置了Rsyslog将日志从客户端(rsyslog-test)转发到中转服务器(wazuh-agent-test)，再转发到Wazuh服务器。虽然网络抓包确认日志已到达Wazuh服务器并记录在archives.log中，但alerts.log中却未见相应告警。

根本原因分析

通过wazuh-logtest工具测试发现，Rsyslog默认添加的日志前缀(2025 Apr 03 07:06:33 rsyslog-test->10.18.4.80)导致Wazuh无法正确解析日志内容。此外，还存在以下潜在问题：

1. 日志格式问题：原始Rsyslog转发未使用标准化模板，导致日志格式混乱
2. 规则匹配问题：测试使用的sudo日志样本可能不符合告警触发条件
3. 索引服务问题：Wazuh索引器存在认证失败情况

完整解决方案

1. 标准化Rsyslog转发配置

在Rsyslog配置中，使用CleanLogFormat模板确保日志格式统一：

$template CleanLogFormat,"%TIMESTAMP% %HOSTNAME% %syslogtag%%msg%\n"
*.* action(type="omfwd" target="Wazuh服务器IP" port="514" template="CleanLogFormat")

此模板确保日志只包含必要信息：时间戳、主机名、标签和消息内容，避免冗余信息干扰解析。

2. 验证日志解析效果

使用useradd和userdel命令生成更典型的测试日志，这些操作通常有明确的告警规则对应。通过以下方式验证：

tail -f /var/ossec/logs/alerts/alerts.json

3. 解决索引服务认证问题

当修改Wazuh默认密码后，需执行以下完整步骤：

1. 更新Wazuh索引器中的凭据存储
2. 重启Filebeat服务使配置生效：

   systemctl restart filebeat
   

技术要点总结

1. 日志格式标准化是系统集成的关键，混乱的日志格式会导致解析失败
2. 测试用例选择应考虑规则库的覆盖范围，sudo相关日志可能需特定配置才会触发告警
3. 服务间认证变更后需要完整的配置更新流程，包括相关服务的重启

最佳实践建议

1. 在集成前，使用wazuh-logtest工具预先验证日志解析效果
2. 建立分阶段的测试方案：先验证日志传输，再验证解析，最后验证告警
3. 维护详细的变更记录，特别是在修改认证信息时
4. 定期检查各服务日志，及时发现类似认证失败等潜在问题

通过系统化的排查方法和标准化的配置方案，可以确保Wazuh与Rsyslog的稳定集成，充分发挥安全监控平台的效能。