Wazuh 4.12.0 Alpha 1 中 Amazon CloudWatch Logs 集成测试报告

测试环境搭建

本次测试基于 Wazuh 4.12.0 Alpha 1 版本，构建了一个完整的端到端安全监控系统。测试环境采用 Ubuntu 24.04 LTS 作为服务器平台，部署了 Wazuh 的核心组件（Indexer、Server 和 Dashboard），同时配置了 Fedora 40/41 系统的代理节点。

服务器端硬件配置为 AMD EPYC 7R32 处理器，4 核 CPU，7.6GB 内存和 29GB 存储空间。代理节点则分别测试了 x86_64 和 aarch64 两种架构，确保跨平台兼容性。

安装与配置过程

Wazuh 核心组件通过官方提供的安装脚本一键部署，特别值得注意的是，在预发布版本测试中需要使用特定的参数来指定预发布仓库。代理节点的安装则根据操作系统类型选择对应的安装方式，Fedora 系统推荐使用 yum 仓库安装。

在配置 Amazon CloudWatch Logs 集成时，需要特别注意以下几点：

1. 必须预先配置 AWS 凭证文件，包含有效的访问密钥和密钥 ID
2. 需要安装 Python 3 及相关依赖包（boto3、pyarrow、numpy）
3. 配置文件需明确指定 AWS 日志组和区域信息

CloudWatch 集成测试

测试主要验证了两种 AWS 日志组的集成情况：

1. /aws/lambda/Scan-Findings-Logger - 条目较少的日志组
2. /aws/lambda/ec2-instance-autodeletion - 条目较多的日志组

测试发现，当日志组包含大量条目时，处理时间会显著增加。通过配置 only_logs_after 参数可以限制获取日志的时间范围，但需要注意该参数仅影响后续处理，不会减少初始获取的数据量。

高级功能验证

测试重点验证了 discard_regex 功能的使用效果。通过在配置中添加如下的过滤规则：

<discard_regex field="eventSource">.*ec2:DescribeInstances.*</discard_regex>

可以有效地过滤掉包含特定模式的事件。测试结果表明该功能工作正常，能够按预期丢弃匹配指定正则表达式的日志条目。

跨平台兼容性测试

测试覆盖了不同架构的代理节点：

1. Fedora 40 x86_64
2. Fedora 41 aarch64

测试发现当前 AWS 官方镜像库中缺少 Fedora 40 aarch64 的镜像，这是一个需要注意的兼容性问题。在其他测试平台上，CloudWatch 日志收集功能均表现正常。

性能观察与优化建议

在处理大型日志组时，系统表现出以下特点：

1. 初始同步可能需要较长时间（观察到最长3小时）
2. 内存占用相对稳定
3. 后续增量同步效率较高

针对性能优化，建议：

1. 合理设置 only_logs_after 参数限制时间范围
2. 对于生产环境，考虑使用较小的日志组或增加同步间隔
3. 监控系统资源使用情况，必要时扩展硬件配置

总结

Wazuh 4.12.0 Alpha 1 中的 Amazon CloudWatch Logs 集成功能整体表现稳定，能够有效地收集和处理 AWS 环境中的日志数据。跨平台支持良好，高级过滤功能工作正常。对于大型日志组的处理效率问题，可以通过合理配置参数来优化。

建议用户在实际部署时，根据自身环境特点调整配置参数，并密切关注系统资源使用情况，以获得最佳的使用体验。