1.檢視 Suricata 警報在 Wazuh 中的 Rule ID 與 Level
當 Suricata 偵測到網路攻擊時，會透過日誌（eve.json）傳送至 Wazuh，並觸發 Wazuh 內建的 Suricata 規則組（通常 Group 為 suricata）。
在 Wazuh Dashboard 的 Security events 中搜尋 rule.groups: suricata。
找出你想觸發自動封鎖的特定高風險警報（例如：Suricata: Alert - ET SCAN Potential SSH Scan 或特定的入侵攻擊規則）。
iThome鐵人賽
看影片追技術