企业官网建设流程全解析

环境：
wazuh服务端（linux）
Windows主机（接入wazuh的agent采集日志）

首先下载sysmon
前往微软官方手册查看https://learn.microsoft.com/zh-cn/sysinternals/downloads/sysmon
其中包含sysmon的下载链接和使用方式，本文不再赘述

下载sysmon后打开终端管理员，输入命令 执行默认安装

sysmon-accepteula-i

使用配置文件安装（配置文件微软官方手册有模板）

sysmon-accepteula-ic:\windows\config.xml

安装好后打开事件查看器检查是否安装成功
位置：
应用程序和服务日志-Microsoft-Windows-Sysmon

确认没问题后开始配置wazuh的agent
打开"C:\Program Files (x86)\ossec-agent\ossec.conf"在<ossec_config>标签里面添加

<localfile><location>Microsoft-Windows-Sysmon/Operational</location><log_format>eventchannel</log_format></localfile>

重启agent就好了

之后回到linux服务端
编辑/var/ossec/etc/ossec.conf，开启全量日志。因为不开启的话只有命中告警规则才会记录日志。会丢失大量日志

找到这一部分标签把no改成yes

<global><logall>yes</logall><logall_json>yes</logall_json></global>

重启服务：sudo systemctl restart wazuh-manager
之后执行whoami后就可以在wazuh看到告警了。