Po instalacji agenta łatwo przyjąć, że „Windows jest monitorowany”. To stwierdzenie wymaga doprecyzowania. Agent Wazuh domyślnie obserwuje kanały System, Application i Security. Inne źródła, na przykład Sysmon i dziennik operacyjny PowerShell, trzeba uwzględnić w konfiguracji zgodnie z potrzebą i sprawdzić, czy same źródła wytwarzają zdarzenia.
Najpierw pytanie, potem kanał
Zacznij od trzech pytań: jaką sytuację chcesz wykryć, na jakich urządzeniach i które zdarzenie jest do tego potrzebne? Dla stacji roboczej może to być seria nieudanych logowań. Dla serwera administracyjnego mogą być ważne zdarzenia dotyczące uruchamiania narzędzi i zmian konfiguracji. Samo włączenie kolejnych kanałów zwiększa ilość danych, lecz nie zapewnia ich użyteczności.
Przygotuj prostą kartę źródeł: rola hosta, kanał Windows, powód zbierania, osoba analizująca, przykładowe zdarzenie testowe. Dzięki temu łatwiej ocenić, czy filtr nie odciął zdarzeń istotnych dla analizy.
Jak skonfigurować dodatkowy kanał
Dokumentacja Wazuh opisuje użycie bloku localfile z nazwą kanału w location i wartością eventchannel w log_format. Przykładowa konfiguracja agenta dla kanału Sysmon ma postać:
<localfile>
<location>Microsoft-Windows-Sysmon/Operational</location>
<log_format>eventchannel</log_format>
</localfile>Wskazany kanał musi istnieć i generować zdarzenia na komputerze. Ten fragment nie instaluje ani nie konfiguruje samego Sysmon. Zanim dodasz PowerShell lub inne źródło, sprawdź w dokumentacji Wazuh dokładną nazwę kanału i we własnym środowisku potwierdź jego działanie. Po zmianie konfiguracji agenta zastosuj ją zgodnie z instrukcją dla danej metody wdrożenia i ponów test.
Jedna konfiguracja dla grupy urządzeń
Przy większej liczbie hostów ręczne poprawianie każdego ossec.conf utrudnia utrzymanie. Wazuh pozwala przypisać agentów do grup i przekazać im konfigurację centralną z pliku agent.conf odpowiedniej grupy. Utwórz osobne grupy, na przykład dla stacji i serwerów, gdy wymagają innego zakresu logów. Nowe agenty należą domyślnie do grupy default, dlatego przed zmianą tej grupy sprawdź, ilu urządzeń dotknie modyfikacja.
Rekomendacja praktyczna: najpierw przypisz konfigurację do niewielkiej grupy pilotażowej, potwierdź skutki i dopiero potem rozszerz ją na pozostałe hosty. Zapisz wersję konfiguracji oraz datę zmiany.
Test odbiorczy
Na jednym hoście testowym wybierz bezpieczne, powtarzalne zdarzenie. Ustal jego czas, odszukaj je lokalnie w odpowiednim kanale Windows, a następnie w Wazuh. Porównaj nazwę agenta, czas, kanał, pola zdarzenia i ewentualną regułę. Brak alertu nie zawsze znaczy brak przesłanego logu: zbieranie, dekodowanie i generowanie alertu to osobne etapy. Weryfikację prowadź dla każdego nowo dodanego źródła.
Materiał rozwija wcześniejszy poradnik Monitoring Windows — logi, Sysmon i test skuteczności zbierania zdarzeń.