环境wazuh服务端linuxWindows主机接入wazuh的agent采集日志首先下载sysmon前往微软官方手册查看https://learn.microsoft.com/zh-cn/sysinternals/downloads/sysmon其中包含sysmon的下载链接和使用方式本文不再赘述下载sysmon后打开终端管理员输入命令 执行默认安装sysmon-accepteula-i使用配置文件安装配置文件微软官方手册有模板sysmon-accepteula-ic:\windows\config.xml安装好后打开事件查看器检查是否安装成功位置应用程序和服务日志-Microsoft-Windows-Sysmon确认没问题后开始配置wazuh的agent打开C:\Program Files (x86)\ossec-agent\ossec.conf在ossec_config标签里面添加localfilelocationMicrosoft-Windows-Sysmon/Operational/locationlog_formateventchannel/log_format/localfile重启agent就好了之后回到linux服务端编辑/var/ossec/etc/ossec.conf开启全量日志。因为不开启的话只有命中告警规则才会记录日志。会丢失大量日志找到这一部分标签把no改成yesgloballogallyes/logalllogall_jsonyes/logall_json/global重启服务sudo systemctl restart wazuh-manager之后执行whoami后就可以在wazuh看到告警了。