Wazuh 4.12.0 Alpha 1 索引生命周期管理策略测试报告

概述

Wazuh 是一款开源的安全监控平台，最新发布的 4.12.0 Alpha 1 版本对其索引生命周期管理(ISM)功能进行了重要更新。本文详细记录了在 Red Hat Enterprise Linux 8 环境下对 Wazuh Indexer 的索引保留策略进行的全面测试。

测试环境配置

测试采用全栈部署方式，包括：

• Wazuh Indexer 4.12.0
• Wazuh Server 4.12.0
• Wazuh Dashboard 4.12.0
• 代理端包括 Red Hat Enterprise Linux 8 x86_64 和 Windows 11 x86_64

索引保留策略测试

可视化编辑器策略创建

测试首先通过可视化界面创建了一个保留时间为10分钟的索引策略。该策略针对wazuh-alerts-*索引模式，配置了以下关键参数：

• 最小索引年龄：10分钟
• 删除阶段：永久删除过期索引

策略创建后成功应用于wazuh-alerts-4.x.y索引，系统正确识别并执行了该策略。

JSON编辑器策略创建

随后测试通过JSON编辑器创建了另一个保留策略，同样设置为10分钟保留时间，但针对wazuh-archives-*索引模式。由于测试环境中wazuh-archives索引不可用，策略被调整为应用于wazuh-alerts-*索引进行验证。

策略验证过程

初始策略验证

1. 生成测试告警并确认其出现在索引中
2. 等待10分钟后检查：
   • 告警记录已自动删除
   • 索引文档数量明显减少
   • 索引存储空间下降

策略修改验证

将两个策略的最小索引年龄从10分钟调整为5分钟后：

1. 重新生成测试告警
2. 5分钟后确认：
   • 告警记录按时删除
   • 索引维护操作正常执行

技术要点分析

1. 多格式策略支持：Wazuh同时支持可视化编辑和JSON编辑两种策略创建方式，满足不同用户需求。

2. 动态调整能力：策略参数可随时修改并立即生效，体现了良好的灵活性。

3. 跨平台兼容性：测试验证了策略在Linux和Windows混合环境中的一致性表现。

4. 资源优化效果：定期清理过期索引有效控制了存储增长，提升了系统整体性能。

测试结论

Wazuh 4.12.0 Alpha 1的索引生命周期管理功能表现稳定，各项测试指标均达到预期：

• 策略创建和执行流程完整可靠
• 时间参数精确有效
• 系统资源释放及时彻底
• 跨索引模式兼容性良好

该功能为大规模部署环境下的索引维护提供了自动化解决方案，显著降低了管理复杂度。建议用户根据实际业务需求合理配置保留时间，平衡存储成本与数据可用性需求。