Wazuh 官方定位开源一体化 XDR SIEM 安全平台前身是 OSSEC经典 HIDSWazuh一句话概括以主机侧 Agent 为核心采集终端日志与主机行为做集中日志存储、告警分析、威胁狩猎、漏洞管理、基线合规的开源 SOC 平台。首先对于学习者来说强力推荐使用虚拟机安装也可以docker部署或者手动部署。这里介绍虚拟机安装首先去到wazuh官网手册https://documentation.wazuh.com/current/deployment-options/virtual-machine/virtual-machine.html下载虚拟机或者直接使用下载链接点击下载下载好后双击下载好的ova文件导入虚拟机导入后如果你是amd 的cpu还需要做一步找到导入后的虚拟机文件夹找到vmx后缀的文件用记事本打开在末尾追加cpuid.0.eax0000:0000:0000:0000:0000:0000:0000:1011cpuid.0.ebx0111:0101:0110:1110:0110:0101:0100:0111cpuid.0.ecx0110:1100:0110:0101:0111:0100:0110:1110cpuid.0.edx0100:1001:0110:0101:0110:1110:0110:1001cpuid.1.eax0000:0000:0000:0001:0000:0110:0111:0001cpuid.1.ebx0000:0010:0000:0001:0000:1000:0000:0000cpuid.1.ecx1000:0010:1001:1000:0010:0010:0000:0011cpuid.1.edx0000:0111:1000:1011:1111:1011:1111:1111featureCompat.enableFALSE开机前要调整一下网络一般使用桥接模式有些虚拟网络编辑器在箭头所指的编辑里可能也有问题要有桥接模式桥接网卡要最好要改为自己的无线网卡导入后直接开启虚拟机开机后使用账户密码登录使用这些凭证登录。你可以使用虚拟化平台或者通过SSH访问。user: wazuh-user password: wazuh成功登录后直接访问wazuh的web端可以在你的宿主机访问wazuh虚拟机ip可以在虚拟机终端执行Ifconfig 或者 ip a命令查看https://你的wazuh虚拟机的ip访问后用这个登录user: admin password: admin接下来要连接被监测的主机进入后打开agent管理进入后agent为目前空接下来前往官方下载agenthttps://documentation.wazuh.com/current/installation-guide/wazuh-agent/index.html这里侧重介绍Windows其他系统安装agent方式请参考官方文档Windows agenthttps://packages.wazuh.com/4.x/windows/wazuh-agent-4.14.8-1.msi下载后直接双击安装直接下一步一直到最好把最后一个选项勾上直接完成就行打开后是这样子里面第一个ip直接填你的wazuh虚拟机ip就行第二个不用管直接点击保存然后打开服务Windowsr快捷键打开命令框输入services.msc找到wazuh服务启动一下然后回到web的agent管理界面就出现window主机了平台会自动收集主机日志和其他漏洞信息。linux安装过程https://documentation.wazuh.com/current/installation-guide/wazuh-agent/wazuh-agent-package-linux.html把官方的命令给敲一遍然后打开/var/ossec/etc/ossec.conf这个目录把服务器地址改一下然后重启服务就好了systemctl restart wazuh-agent.service