Wazuh引擎测试框架的YAML化改造与技术演进

引言

在现代安全运维体系中，Wazuh作为一款开源的入侵检测和安全监控平台，其核心引擎的稳定性和可靠性至关重要。近期，Wazuh社区针对其引擎测试框架engine-test展开了一项重要的架构改造讨论，计划从现有的JSON配置模式迁移到更灵活的YAML格式，并扩展其对多种事件类型的支持能力。

现有架构的局限性

当前Wazuh的engine-test框架采用JSON格式的engine-test.conf配置文件，这种设计在长期使用中暴露出几个明显问题：

1. 配置复杂度高：JSON格式在多层嵌套时可读性较差，特别是当需要定义多种测试场景时，配置文件会变得臃肿难懂。

2. 事件类型支持有限：现有框架主要针对logcollector类型的事件设计，难以适应SCA(安全配置评估)、inventory(资产清单)等其他模块产生的ndjson格式数据。

3. 维护成本高：每个集成测试需要单独维护配置文件，缺乏统一的标准和结构，增加了长期维护的难度。

YAML化改造方案

配置结构重构

新的设计方案采用YAML格式的engine-conf.yml文件，每个集成测试模块拥有独立的配置文件。这种设计带来了几个显著优势：

- file-log:
    agent: {}
    module: logcollector
    collector: file
    template:
      type: logcollector
      aditional.fields: 
        log.file.path: /tmp/log
    config:
      collect-mode: single-line

1. 模块化配置：每个测试用例作为独立条目存在，可以灵活组合不同类型的测试场景。

2. 清晰的结构层次：YAML的缩进格式天然形成视觉层次，比JSON更易于人类阅读和编辑。

3. 类型自适应：通过template.type字段自动区分logcollector和ndjson等不同事件格式，框架内部可以智能选择处理方式。

多事件类型支持

新架构通过模板类型(template.type)的设计，实现了对多种事件格式的统一处理：

• logcollector类型：保持现有的header/subheader/event三级结构，支持附加字段注入
• ndjson类型：直接处理完整的JSON事件，无需额外解析
• windows-eventchannel：专门针对Windows事件日志的特殊收集模式

这种设计使框架能够无缝支持从日志收集到安全配置检查等各种Wazuh模块的测试需求。

技术实现路径

配置解析模块改造

核心改造集中在配置解析层，需要实现：

1. YAML文件加载：替换原有的JSON解析器，支持多文档YAML格式(-分隔符)
2. 结构验证：确保必填字段存在且格式正确
3. 类型路由：根据template.type自动选择run或run-raw执行路径
4. 字段注入：对logcollector类型自动补充附加字段

测试执行引擎适配

CLI接口需要相应调整以保持兼容：

1. 命令重构：
   • engine-test run自动识别YAML配置
   • create-config和add命令支持YAML生成
2. 多条目处理：单次执行可处理配置文件中的多个测试用例
3. 健康检查改进：engine-health-test智能识别测试类型，减少误判

现有集成迁移策略

针对intelligence-data目录下的现有集成，迁移工作包括：

1. 格式转换：将JSON配置手工转换为等效的YAML结构
2. 功能验证：确保转换后的测试用例行为与原始版本一致
3. 结构优化：利用YAML特性简化复杂配置，提升可维护性

架构演进的价值

这次改造将为Wazuh测试框架带来深远影响：

1. 可扩展性提升：新架构更容易支持未来可能出现的事件类型和测试场景
2. 维护成本降低：清晰的YAML结构减少了配置错误的可能性
3. 开发者体验改善：直观的配置格式加快了新测试用例的开发速度
4. 生态系统统一：与业界流行的基础设施即代码(IaC)实践保持一致

实施路线图

考虑到Wazuh的版本规划，这项改造将作为6.0版本的重大特性推出。在此之前，团队需要：

1. 完成核心框架改造和内部测试
2. 迁移所有官方维护的集成测试
3. 更新开发者文档和示例
4. 设计兼容层处理遗留JSON配置(如有必要)
5. 准备详细的迁移指南

结语

Wazuh引擎测试框架的YAML化改造代表了项目在开发者体验和架构现代化方面的重要进步。通过采用更灵活的配置方式和更强大的事件处理能力，该框架将更好地支撑Wazuh在复杂安全场景下的测试需求，为平台的长期发展奠定坚实基础。这一改造也体现了开源项目持续演进、拥抱最佳实践的健康生态。