การแจ้งเตือนสร้างด้วย wazuh-logtest แต่ไม่ใช่ของจริง

ฉันสร้างตัวถอดรหัสที่กำหนดเองและกฎที่กำหนดเองเพื่อสร้างการแจ้งเตือนเมื่อได้รับบันทึก UniFi ผ่าน syslog เมื่อฉันใช้ wazuh-logtest ไบนารีเพื่อทดสอบสิ่งเหล่านี้ด้วยบันทึก UniFi กฎที่กำหนดเองจะถูกเรียกใช้และสร้างการแจ้งเตือน แต่เอาเข้าจริงก็ไม่มีอะไรเกิดขึ้น...

นี่คือตัวถอดรหัสและกฎของฉัน:

<decoder name="unifi">
    <prematch type="pcre2">UAP-</prematch>
</decoder>

<rule id="100013" level="5">
    <decoded\_as>unifi</decoded\_as>
    <description>UniFi wifi log</description>
</rule>

นี่คือวิธีที่ฉันกำหนดค่าผู้จัดการ Wazuh ของฉันให้รับฟัง Syslog :

<remote>
    <connection>syslog</connection>
    <port>514</port>
    <protocol>udp</protocol>
    <allowed-ips>my LAN IP range</allowed-ips>
</remote>

สำหรับตอนนี้ มันง่ายมาก เพราะฉันแค่ต้องการทริกเกอร์กฎและสร้างการแจ้งเตือนพร้อมกับข้อความใดๆ ที่ได้รับจากตัวควบคุม UniFi ฉันต้องการแน่ใจว่าบันทึกตรงกับตัวถอดรหัสของฉัน ไม่จำเป็นต้องดึงข้อมูลใด ๆ ในตอนนี้

FYI นี่คือลักษณะของบันทึก UniFi (ฟังจากเซิร์ฟเวอร์ Syslog):

28 พฤษภาคม 17:36:23 น. wap001 78455819c06f,UAP-AC-InWall-6.0.18+13660: เคอร์เนล: [ 205.373214] ol_ath_vap_set_param: ขณะนี้รองรับ MGMT RATE คือ 6000 (kbps) และรหัสอัตรา: 0x3

อย่างที่ฉันพูดไป มันทริกเกอร์กฎและสร้างการแจ้งเตือนเมื่อฉันลองใช้ /var/ossec/bin/wazuh-logtestแต่ไม่ได้ใช้งานจริง

ฉันกำหนดค่าสิ่งเดียวกันสำหรับบันทึกของ Synology แล้วและใช้งานได้ดี แต่สำหรับ Unifi นั้นไม่ใช่

ฉันใช้ Wazuh v4.2.5 และ UniFi controller v7.1.65 เซิร์ฟเวอร์ Wazuh และ Unifi ของฉันเป็นทั้ง Debian VM ไม่ได้ติดตั้งตัวแทน Wazuh บนตัวควบคุม Unifi ฉันต้องการใช้ Syslog ในตอนนี้เท่านั้น

ขอบคุณมากสำหรับความช่วยเหลือของคุณ !

ถามครั้งแรกใน Reddit