Wazuh中GCP VPC流日志告警问题解析

问题背景

在Wazuh安全监控平台中，用户发现GCP(Google Cloud Platform)的VPC(虚拟私有云)流日志未能正确触发告警。虽然日志数据已经成功收集到Wazuh服务器，但预期的告警规则没有被触发。

技术分析

默认规则配置

Wazuh系统内置了针对GCP VPC流日志的默认检测规则。该规则设计用于监控GCP环境中的网络流量事件，包括源/目的IP、端口、协议等关键网络信息。

问题根源

经过深入分析，发现问题的核心在于规则级别设置与系统告警阈值的匹配问题：

1. 当前GCP VPC流日志规则的级别设置为2(低级别)
2. Wazuh默认的告警触发阈值(log_alert_level)通常设置为3或更高
3. 由于规则级别低于系统告警阈值，导致相关事件不会触发告警

日志事件特征

从实际收集到的日志事件可以看出，GCP VPC流日志包含丰富的网络信息：

• 详细的连接信息(源/目的IP和端口)
• 地理位置数据(城市、国家、地区)
• 网络路由详情(AS路径)
• 实例信息(虚拟机名称、区域)
• VPC网络配置详情

解决方案

方案一：调整规则级别

可以通过自定义规则的方式提高GCP VPC流日志规则的级别，使其达到或超过系统告警阈值：

1. 创建自定义规则文件
2. 复制原有规则内容
3. 提高规则级别(如从2调整为5)
4. 确保规则ID保持不变以覆盖默认规则

方案二：降低告警阈值

调整Wazuh系统的全局告警阈值，使其能够捕获更低级别的事件：

1. 修改ossec.conf配置文件
2. 调整log_alert_level参数值
3. 注意此更改会影响所有规则的告警行为

最佳实践建议

1. 对于生产环境，建议采用方案一(自定义规则)而非全局降低告警阈值
2. 可以根据实际安全需求，为不同类型的VPC流日志设置不同的规则级别
3. 考虑将异常流量(如非标准端口、可疑IP等)设置为更高级别
4. 定期审查和优化规则级别设置，平衡告警数量和安全性需求

总结

Wazuh对GCP VPC流日志的监控功能本身工作正常，但由于默认规则级别设置较为保守，导致告警未被触发。通过合理调整规则级别或系统阈值，可以实现对GCP网络流量的有效监控。建议用户根据自身安全策略和监控需求，选择最适合的配置方案。