Паспорт источника
Паспорт включает Wazuh manager/release, агента или источник, decoder/ruleset, конфигурацию alerts и канал доставки в indexer. Сначала установите, на каком этапе ожидается запись: поступление, декодирование, правило, файл alert или индекс. Существующее описание current не подтверждает параметры вашей установки. Название продукта и класс SIEM/XDR не превращают любой alert в нативное событие исходного устройства.
Сбор и доступ
Читайте доступную исходную запись и сохранённые результаты обработки. alerts.log/alerts.json находятся на manager; порог log_alert_level влияет на сохранение. Доставку в indexer проверяйте отдельно. Не редактируйте правила и не снижайте порог в ходе чтения. Если используется вывод logtest, сохраняйте его как результат диагностики, отличая от события, реально прошедшего производственную цепочку.
Форма и пример
Учебное резюме показывает три этапа: запись, JSON decoder и совпадение правила. Это авторская схема, не alerts.json. ID и level фазы правил относятся к Wazuh, а код исходного продукта остаётся в своём namespace. Порог 3 и уровень 5 иллюстрируют сравнение, но не удостоверяют текущую конфигурацию. Нельзя искать такой текстовый шаблон как обязательный нативный JSON.
Хранение и сопоставление
В паспорте опишите хранение исходников, alert-файлов и индекса независимо: одно не гарантирует другое. Сохраняйте время, agent/source identity и правила нормализации для связи. При повторной доставке не считайте копии разными срабатываниями без проверки. Для сообщения об отсутствии различайте «запись не пришла», «не разобрана», «правило не сработало» и «alert не доставлен».
Проверка наблюдаемости
Сравните выделенные decoder поля с исходным сообщением, затем уровень и описание совпавшего правила с ожидаемыми условиями. Проверьте файл manager и соответствующий документ в indexer. Совпадение правила не доказывает успешную атаку; для расследования нужна телеметрия источника. В выводе укажите последний подтверждённый этап и следующий непроверенный переход, чтобы проблема доставки не маскировалась как отсутствие события.
Ограничения и отсутствие данных
Проверьте подключение источника, выбор decoder, ruleset/порог и состояние вывода файлов, затем доставку и временной фильтр dashboard. Ошибка JSON-разбора отличается от отсутствия совпадения правила. Пустая панель не доказывает пустой файл manager, а отсутствие alert не доказывает отсутствие исходной записи. Зафиксируйте конкретный компонент и период, где заканчивается подтверждённая цепочка.