19、自定义 Wazuh 规则以增强安全检测能力

julia4scientist

于 2025-09-10 14:38:02 发布

阅读量21

点赞数

CC 4.0 BY-SA版权

分类专栏： Wazuh实战：安全监控精要文章标签： Wazuh 自定义规则安全检测

本文链接：https://blog.youkuaiyun.com/julia4scientist/article/details/151525591

Wazuh实战：安全监控精要专栏收录该内容

20 篇文章 ¥499.90

订阅专栏¥69.90

会员秒杀 ¥9.9 重磅福利

超级会员免费看

自定义 Wazuh 规则以增强安全检测能力

1. PowerShell 关键日志检测规则

PowerShell 在执行过程中遇到严重错误时会生成关键警报。为了检测这些警报，我们可以创建自定义 Wazuh 规则。以下是一个示例规则：

<rule id="200103" level="12">
    <if_sid>60012</if_sid>
    <field name="win.system.providerName">^Microsoft - Windows - PowerShell$</field>
    <mitre>
        <id>T1086</id>
    </mitre>
    <options>no_full_log</options>
    <group>windows_powershell,</group>
    <description>Powershell Critical EventLog</description>
</rule>

此规则的具体说明如下：
- <field name="win.system.severityValue">^WARNING$</field> ：检查 win.system.severityValue 日志字段是否包含 WARNING