Wazuh监控Cisco设备日志的配置与问题排查指南

问题背景

在网络安全监控领域，Wazuh作为一款开源的SIEM解决方案，能够有效监控网络设备日志。但在实际部署中，用户经常遇到Cisco设备日志无法正确显示在Wazuh仪表盘的问题。本文将深入分析这一常见问题的根源，并提供完整的解决方案。

典型配置问题分析

1. 日志格式不匹配

Cisco设备发送的原始日志通常包含以下三部分：

• Rsyslog添加的头部信息（时间戳和IP地址）
• 设备运行时间标记（如"17w5d:"）
• 实际日志内容（如接口状态变更）

这种复合格式会导致Wazuh内置的解码器无法正确识别日志内容。

2. 日志级别过滤

Wazuh默认配置会过滤掉低级别的日志事件（默认log_alert_level为3）。例如：

• %LINK-5-CHANGED这类5级日志会被过滤
• %LINK-3-UPDOWN这类3级日志会显示

完整解决方案

第一步：优化Rsyslog配置

修改/etc/rsyslog.conf文件，确保日志以原始格式存储：

$template CiscoFormat,"%msg%\n"
$ActionFileDefaultTemplate CiscoFormat

第二步：调整Cisco设备配置

在Cisco设备上禁用运行时间显示：

configure terminal
no service timestamps log uptime
end

第三步：Wazuh代理配置

在/var/ossec/etc/ossec.conf中添加：

<localfile>
  <log_format>syslog</log_format>
  <location>/var/log/cisco.log</location>
</localfile>

第四步：自定义解码规则（可选）

对于特殊格式的日志，可创建自定义解码器：

<decoder name="cisco-custom">
  <parent>cisco-ios</parent>
  <prematch>^%</prematch>
  <regex>%(\S+)-(\d+)-(\S+):\s+(.*)</regex>
  <order>cisco.facility,cisco.severity,cisco.mnemonic,remaining</order>
</decoder>

第五步：自定义告警规则

提升特定日志的告警级别：

<rule id="100100" level="5">
  <if_sid>4715</if_sid>
  <match>administratively down</match>
  <description>Cisco接口被管理员关闭</description>
</rule>

高级排查技巧

1. 日志测试工具：使用Wazuh的/var/ossec/bin/wazuh-logtest工具验证日志解析结果

2. 解码过程分析：关注三个关键阶段：

   • 预处理阶段（Pre-decoding）
   • 解码阶段（Decoding）
   • 规则匹配阶段（Filtering）

3. 日志级别调整：临时修改log_alert_level为0可查看所有日志事件

最佳实践建议

1. 对不同类型的Cisco日志创建不同的规则：

   • 配置变更（CONFIG_I）
   • 接口状态变更（LINK-CHANGED）
   • 阈值告警（THRESHOLD_VIOLATION）

2. 为关键操作（如管理员登录、配置变更）设置更高级别的告警

3. 定期审查和更新自定义规则，确保覆盖新出现的日志类型

通过以上配置和优化，Wazuh可以全面、准确地监控Cisco网络设备的各种日志事件，为网络安全运维提供有力支持。