Linux — logi dla SOC

To nie jest lista exploitów. Ćwicz czytanie własnego labu, zanim podłączysz każdy host do Wazuha.

Gdzie leży log

Na większości stacji laboratoryjnych:

• journalctl -xe / -u ssh / -u sshd / --since today
• auth: Debian/Ubuntu często /var/log/auth.log; rodzina RHEL — secure
• syslog / messages — reszta daemonów, jeśli rsyslog/syslog-ng w ogóle pisze
• kernel: dmesg albo journal

Przykłady, które sam odtwarzam:

journalctl -u ssh --since today
grep -E "Failed|Accepted" /var/log/auth.log | tail
timedatectl

Jeśli timedatectl pokazuje inną strefę niż Windows, korelacja SSH ↔ 4624 kłamie. To częstszy błąd labu niż „brak IDS”.

Pola, bez których notatka jest pusta

timestamp (strefa), hostname, process, user, source address.

SSH: udane i nieudane logowania są w auth. sudo też. Alert Wazuha bez tych pól jest kolorem, nie triażem.

Agent SIEM (patrz Wazuh — podstawy) zbiera ten sam journal/auth. Najpierw umiej przeczytać plik na hoście, potem szukaj go w dashboardzie.