1.設定 Wazuh Agent 讀取 Suricata 日誌：2 分鐘。開啟 Windows 端（或 Linux 靶機端）的 Wazuh Agent 設定檔 ossec.conf（通常位於 C:\Program Files (x86)\ossec-agent\ossec.conf 或 /var/ossec/etc/ossec.conf），加入以下 logcollector 區塊以監控 Suricata 的 eve.json：

2.驗證 Wazuh Manager 是否接收到網路警報：2 分鐘。登入 Wazuh Dashboard，前往 Modules $\rightarrow$ Security events，在搜尋欄輸入 suricata 或篩選 rule.groups: suricata。如何驗證： 頁面中能夠即時搜尋到來自 Suricata 解析出的網路攻擊或流量異常事件。

3.觸發測試性網路告警：3 分鐘。在受監控的主機上執行簡單的測試（例如對內部或外部測試網段發動簡單的 port scan 或存取已知測試特徵），讓 Suricata 產生告警。如何驗證： 在 Wazuh Dashboard 的圖表中看到新增的警報數據上升，且等級符合預期。

心得:今天完成了將 Suricata 入侵偵測系統（IDS） 的網路流量日誌（eve.json）成功串接到 Wazuh SIEM/XDR 的關鍵整合！
從前幾天建立 Docker 容器、安裝 Agent、調校系統層級的日誌與告警規則，到今天跨入網路層級（Network-level）的即時安全監控，整體安全防禦架構變得更加立體。