Wazuh Manager 接收syslog日志配置指南

问题背景

在使用Wazuh安全监控平台时，很多用户会遇到无法通过syslog协议接收远程设备日志的问题。本文将详细介绍如何正确配置Wazuh Manager以接收来自网络设备的syslog日志。

系统环境说明

典型部署环境包含三个组件：

• Wazuh Manager：日志收集与分析中心
• Wazuh Agent：安装在受监控主机上的代理程序
• Syslog发送端：无法安装Agent的网络设备或系统

常见错误配置

很多用户会尝试以下两种错误配置方式：

1. 直接发送到Manager失败：将syslog直接发送到Manager的514端口，但在Wazuh界面看不到日志。

2. 通过Agent转发失败：配置Agent主机通过rsyslog转发日志到Manager，同样无法显示。

正确配置方案

方案一：直接发送到Manager

这是最简单高效的配置方式，适用于网络设备直接向Manager发送日志的场景。

1. 修改Manager配置文件/var/ossec/etc/ossec.conf：

<remote>
  <connection>syslog</connection>
  <port>514</port>
  <protocol>udp</protocol>
  <allowed-ips>192.168.1.0/24</allowed-ips>
  <local_ip>0.0.0.0</local_ip>
</remote>

2. 重启服务：

systemctl restart wazuh-manager

3. 验证端口监听状态：

ss -luntp | grep 514

4. 在Kibana界面创建wazuh-archives-*索引模式，使用timestamp字段。

方案二：通过Agent转发（复杂场景）

当网络设备无法直接访问Manager时，可通过Agent主机转发。

1. 在Agent主机配置rsyslog：

module(load="imudp")
input(type="imudp" port="514")

*.* @WazuhManager_IP:514

2. 在Agent的Wazuh配置中添加本地日志监控：

<localfile>
  <log_format>syslog</log_format>
  <location>/var/log/syslog</location>
</localfile>

3. 重启相关服务：

systemctl restart rsyslog wazuh-agent

关键配置要点

1. local_ip设置：Manager配置中<local_ip>应设为0.0.0.0而非具体IP，确保监听所有接口。

2. 协议选择：确保syslog发送端和接收端使用相同的协议（UDP/TCP）。

3. 防火墙配置：检查防火墙是否放行514端口的UDP/TCP流量。

4. 索引创建：必须在Kibana中创建正确的索引模式才能查询到日志。

排错建议

1. 使用ss -luntp命令验证端口监听状态。

2. 检查/var/ossec/logs/ossec.log获取详细错误信息。

3. 使用tcpdump抓包验证日志是否实际到达：

tcpdump -i any port 514 -vv

4. 逐步测试：先确保日志能到达主机，再检查Wazuh处理流程。

通过以上配置，Wazuh Manager可以可靠地接收并处理来自各种设备的syslog日志，为安全监控提供完整的数据源。