📚 课程目录第2章 Wazuh架构与数据流

2. Wazuh架构与数据流

Wazuh 不是单一程序，而是一组协同工作的组件。理解它的关键在于把“数据从哪来、经过谁处理、最终存到哪、又由谁展示”这条链路看清楚。Wazuh 的核心组件包括 Agent（代理）、Manager（管理器）、Indexer（索引器） 和 Dashboard（仪表盘）。它们各自承担不同职责，又通过明确的接口串联成一条完整的数据流。

先看整体分工。Agent 部署在被监控主机上，负责采集日志、文件完整性、系统调用、漏洞与配置合规等数据，并做初步的本地预处理；Manager 是分析中枢，接收 Agent 上报的事件，通过解码器（decoder）和规则（rule）进行解析、匹配、告警判定，同时下发配置、管理 Agent 生命周期；Indexer 基于 OpenSearch，负责接收 Manager 产生的告警与归档数据并建立索引，提供检索与聚合能力；Dashboard 基于 OpenSearch Dashboards，从 Indexer 读取数据，以可视化方式呈现安全态势。四者形成“采集—分析—存储—展示”的闭环。

理解这条链路后，部署拓扑设计就有了依据。Wazuh 官方提供两种典型形态：单节点（All-in-One） 与 分布式。单节点把 Manager、Indexer、Dashboard 装在同一台主机上，适合测试、演示或小规模环境，部署快但存在单点故障，且 Indexer 对内存要求较高（建议至少 4GB，生产更推荐 8GB 以上）。分布式则把 Manager 集群、Indexer 集群、Dashboard 分离部署，Agent 通过负载均衡或配置多个 Manager 地址接入，Indexer 以多节点分片副本保证高可用，适合中大型生产环境。

数据流的关键细节值得展开。Agent 与 Manager 之间默认使用 1514/TCP 上报事件，使用 1515/TCP 进行 Agent 注册（enrollment），Manager 通过 55000/TCP 提供 RESTful API 供 Dashboard 和运维调用。Manager 分析完成后，把告警写入 Indexer 的 9200/TCP，索引名通常为 wazuh-alerts-4.x-YYYY.MM.DD，按天滚动；若开启归档，原始事件进入 wazuh-archives-*。Dashboard 通过 443/TCP 对外提供 Web 访问，内部再向 Indexer 查询。

下面是一段 Manager 端 ossec.conf 中与数据流相关的关键配置示例，用于说明告警如何送往 Indexer：

<ossec_config>
  <!-- Agent 接入端口 -->
  <remote>
    <connection>secure</connection>
    <port>1514</port>
    <protocol>tcp</protocol>
    <allowed-ips>10.0.0.0/24</allowed-ips>
  </remote>

  <!-- 告警输出到 Indexer -->
  <indexer>
    <hosts>https://10.0.0.20:9200</hosts>
    <ssl>
      <certificate_authorities>
        <ca>/etc/wazuh-indexer/certs/root-ca.pem</ca>
      </certificate_authorities>
    </ssl>
  </indexer>
</ossec_config>

配置完成后，判断链路是否打通有几个可观察点。在 Agent 端查看 /var/ossec/logs/ossec.log，出现 Connected to the server 说明上报通道正常；在 Manager 端查看 /var/ossec/logs/alerts/alerts.json，若有新告警写入，说明解码与规则匹配生效；在 Indexer 端执行 curl -k -u admin:密码 https://10.0.0.20:9200/_cat/indices/wazuh-alerts-*，能看到索引及文档数增长，说明存储链路正常；最后在 Dashboard 的 Security Events 面板中确认事件计数同步上升，整条链路即闭环。

部署拓扑设计时，建议先明确规模：Agent 数量在 100 以内可考虑单节点；超过 100 或对可用性有要求时，采用 Manager 集群 + Indexer 集群。Indexer 节点应使用 SSD，并预留足够堆内存（通常为物理内存的一半，不超过 32GB）。

需要特别注意的是，Manager 与 Indexer 之间的证书信任、Dashboard 与 Indexer 的凭据配置，是链路中最容易出问题的环节。若 Dashboard 能登录但看不到数据，优先检查 Indexer 中是否存在 wazuh-alerts-* 索引，以及 Dashboard 的 wazuh.yml 中 API 地址与凭据是否正确。把这条“Agent → Manager → Indexer → Dashboard”的链路和对应端口、索引、日志位置记清楚，后续的规则调优、告警排查和容量规划都会顺畅很多。