Wazuh-Rules 自定义规则贡献指南从写出第一条规则到被合入完整路径教程【免费下载链接】Wazuh-RulesAdvanced Wazuh Rules for more accurate threat detection. Feel free to implement within your own Wazuh environment, contribute, or fork!项目地址: https://gitcode.com/GitHub_Trending/wa/Wazuh-Rules以下内容覆盖向 Wazuh-Rules 贡献自定义规则的完整路径环境准备、写出并本地验证第一条规则、提交 PR、响应审核。看一遍就能动手。贡献路线一图看懂阶段核心动作常见坑环境准备本地部署 Wazuh-Manager 4.x熟悉规则语法管理器版本不达标写规则建分支、选对目录、写 XML 规则放错目录本地验证规则部署到本地观察触发、查误报只测 happy path提交 PRcommit、push、建 PR 并写清改动提交信息含糊响应审核逐条回复意见、迭代、跟进新威胁被拒后失联哪一步不熟悉直接跳到对应小节看细节。动手之前环境准备与规则规范要点环境要求本地部署 Wazuh-Manager 4.x规则没有管理器加载不会生效会基本 Git 操作动手前过一遍 Wazuh 规则语法文档不用背不写错就行先把仓库克隆下来# 克隆 Wazuh-Rules 仓库到本地 git clone https://gitcode.com/GitHub_Trending/wa/Wazuh-Rules规则 ID、命名与级别约定ID 唯一性是红线⚠️ 规则 ID 重复会直接导致 Wazuh-Manager 服务启动失败写新规则前先查一遍仓库里已占用的 ID 区间文件命名沿用目录内NNNNNN-name.xml的格式名称要能准确描述检测目标level 设置0-15 之间数字越大越严重按实际风险定别为博眼球抬高档位写出第一条规则并在本地验证分支命名fork 项目后在本地建专用分支用「规则类别/检测目标」命名# 以 Sysmon 进程注入检测规则为例建分支 git checkout -b sysmon/process-injection选对存放目录规则类型存放目录Windows 端点Windows_Sysmon/、Windows Powershell/、Windows Autoruns/Linux 端点Sysmon Linux/、Auditd/威胁情报源MISP/、AbuseIPDB/、OpenCTI/、Maltrail/商业安全产品Crowdstrike/、Sophos/、Office Defender/拿不准就看同目录现有文件比如 Windows Chainsaw/200001-windows_chainsaw_rules.xml 就是不错的格式参照。XML 写法要点每条规则有唯一id和清晰的descriptionlevel按实际风险设置reference里附上 MITRE ATTCK 或相关参考链接检测逻辑复杂的加注释说明方便审核者读懂本地测试验证把规则集部署到本地 Wazuh-Manager 观察。仓库自带 wazuh_socfortress_rules.sh 可批量部署规则它会覆盖已有自定义规则跑之前先备份验证时问三个问题喂入匹配检测目标的样本日志确认规则能如预期触发跑几天看日常业务操作是否频繁触发频繁就收紧匹配条件或降 level带阈值的规则如 N 次触发才告警确认阈值有效最典型的错误喂一条样本日志能触发就以为万事大吉。提交commit、push 与创建 PRcommit 信息要能说明「这条规则针对什么检测场景」别写「update」这类含糊词# 提交并推送规则分支 git commit -m Add Sysmon process injection detection rule git push origin sysmon/process-injectionPR 描述里写清楚四件事检测目标与适用场景规则 ID 区间确认与现有规则无冲突验证方式用什么日志触发、误报多少样本日志或触发截图响应审核持续迭代维护者留评论后逐条回复意见合理就改完直接 push 更新有分歧就在评论里说清理由附上测试数据别让评论悬着没人接。被拒不是终点多数拒绝源于误报率偏高或 ID 冲突。把意见看完改完重新提交如果检测思路本身有争议可以先开 issue 对齐认知再动手改。规则合入后也别撒手新攻击手法出现、日志格式变化规则都需要跟进这也是提交新 PR 的机会。排坑高频问题快答Q日志格式特殊没有对应 decoder规则怎么写A先补一个 decoder 把原始日志解析成字段规则再对这些字段匹配decoder 和规则可以放进同一个 PR。Q误报偏高怎么判断A本地跑一周日常业务操作反复触发就说明偏多收紧匹配条件或降 level。Q除了规则接受其他类型的贡献吗A接受。部署脚本、decoder 文件、文档都可以放进对应集成目录即可。QPR 提了之后一直没人看怎么办A在 PR 里留言顶一下或到相关 issue 里请维护者再帮看一眼。从开头那条 git clone 命令开始fork 仓库、建分支提交第一条自定义规则。它被合入后就会成为 Wazuh-Rules 检测集的一部分。【免费下载链接】Wazuh-RulesAdvanced Wazuh Rules for more accurate threat detection. Feel free to implement within your own Wazuh environment, contribute, or fork!项目地址: https://gitcode.com/GitHub_Trending/wa/Wazuh-Rules创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考 
长河君 · 2026/10/24 1:47:34 · 阅读 1.2k Wazuh-Rules 自定义规则贡献指南：从写出第一条规则到被合入（完整路径教程）
Wazuh-Rules 自定义规则贡献指南从写出第一条规则到被合入完整路径教程【免费下载链接】Wazuh-RulesAdvanced Wazuh Rules for more accurate threat detection. Feel free to implement within your own Wazuh environment, contribute, or fork!项目地址: https://gitcode.com/GitHub_Trending/wa/Wazuh-Rules以下内容覆盖向 Wazuh-Rules 贡献自定义规则的完整路径环境准备、写出并本地验证第一条规则、提交 PR、响应审核。看一遍就能动手。贡献路线一图看懂阶段核心动作常见坑环境准备本地部署 Wazuh-Manager 4.x熟悉规则语法管理器版本不达标写规则建分支、选对目录、写 XML 规则放错目录本地验证规则部署到本地观察触发、查误报只测 happy path提交 PRcommit、push、建 PR 并写清改动提交信息含糊响应审核逐条回复意见、迭代、跟进新威胁被拒后失联哪一步不熟悉直接跳到对应小节看细节。动手之前环境准备与规则规范要点环境要求本地部署 Wazuh-Manager 4.x规则没有管理器加载不会生效会基本 Git 操作动手前过一遍 Wazuh 规则语法文档不用背不写错就行先把仓库克隆下来# 克隆 Wazuh-Rules 仓库到本地 git clone https://gitcode.com/GitHub_Trending/wa/Wazuh-Rules规则 ID、命名与级别约定ID 唯一性是红线⚠️ 规则 ID 重复会直接导致 Wazuh-Manager 服务启动失败写新规则前先查一遍仓库里已占用的 ID 区间文件命名沿用目录内NNNNNN-name.xml的格式名称要能准确描述检测目标level 设置0-15 之间数字越大越严重按实际风险定别为博眼球抬高档位写出第一条规则并在本地验证分支命名fork 项目后在本地建专用分支用「规则类别/检测目标」命名# 以 Sysmon 进程注入检测规则为例建分支 git checkout -b sysmon/process-injection选对存放目录规则类型存放目录Windows 端点Windows_Sysmon/、Windows Powershell/、Windows Autoruns/Linux 端点Sysmon Linux/、Auditd/威胁情报源MISP/、AbuseIPDB/、OpenCTI/、Maltrail/商业安全产品Crowdstrike/、Sophos/、Office Defender/拿不准就看同目录现有文件比如 Windows Chainsaw/200001-windows_chainsaw_rules.xml 就是不错的格式参照。XML 写法要点每条规则有唯一id和清晰的descriptionlevel按实际风险设置reference里附上 MITRE ATTCK 或相关参考链接检测逻辑复杂的加注释说明方便审核者读懂本地测试验证把规则集部署到本地 Wazuh-Manager 观察。仓库自带 wazuh_socfortress_rules.sh 可批量部署规则它会覆盖已有自定义规则跑之前先备份验证时问三个问题喂入匹配检测目标的样本日志确认规则能如预期触发跑几天看日常业务操作是否频繁触发频繁就收紧匹配条件或降 level带阈值的规则如 N 次触发才告警确认阈值有效最典型的错误喂一条样本日志能触发就以为万事大吉。提交commit、push 与创建 PRcommit 信息要能说明「这条规则针对什么检测场景」别写「update」这类含糊词# 提交并推送规则分支 git commit -m Add Sysmon process injection detection rule git push origin sysmon/process-injectionPR 描述里写清楚四件事检测目标与适用场景规则 ID 区间确认与现有规则无冲突验证方式用什么日志触发、误报多少样本日志或触发截图响应审核持续迭代维护者留评论后逐条回复意见合理就改完直接 push 更新有分歧就在评论里说清理由附上测试数据别让评论悬着没人接。被拒不是终点多数拒绝源于误报率偏高或 ID 冲突。把意见看完改完重新提交如果检测思路本身有争议可以先开 issue 对齐认知再动手改。规则合入后也别撒手新攻击手法出现、日志格式变化规则都需要跟进这也是提交新 PR 的机会。排坑高频问题快答Q日志格式特殊没有对应 decoder规则怎么写A先补一个 decoder 把原始日志解析成字段规则再对这些字段匹配decoder 和规则可以放进同一个 PR。Q误报偏高怎么判断A本地跑一周日常业务操作反复触发就说明偏多收紧匹配条件或降 level。Q除了规则接受其他类型的贡献吗A接受。部署脚本、decoder 文件、文档都可以放进对应集成目录即可。QPR 提了之后一直没人看怎么办A在 PR 里留言顶一下或到相关 issue 里请维护者再帮看一眼。从开头那条 git clone 命令开始fork 仓库、建分支提交第一条自定义规则。它被合入后就会成为 Wazuh-Rules 检测集的一部分。【免费下载链接】Wazuh-RulesAdvanced Wazuh Rules for more accurate threat detection. Feel free to implement within your own Wazuh environment, contribute, or fork!项目地址: https://gitcode.com/GitHub_Trending/wa/Wazuh-Rules创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考