Wazuh w labie jest po to, żeby zobaczyć powstawanie alertu, nie żeby udawać platformę enterprise.
Zanim napiszesz skomplikowaną regułę, odpowiedz na:
- skąd jest log
- jak trafia do managera
- co z niego zostaje po dekoderze
- kiedy powstaje alert
- co widzi analityk
- jak to odtworzyć albo odrzucić jako FP
SIEM nie zastąpi triażu. Szablon przeglądu reguły jest w Zasobach — puste pole znaczy „nie włączaj”.