1. 理解 Wazuh Decoder 與 Rule 的運作機制
   Decoder（解碼器）：負責使用正規表達式（Regex）去剖析原始日誌（Raw Log），將其拆解成結構化欄位（例如提取出使用者帳號、來源 IP、動作狀態等）。

Rule（規則）：針對解碼後的結構化欄位進行邏輯判斷與評分（給定 Rule ID、Level、Description），當符合條件時即觸發對應的警報。
2. 編寫自訂 Decoder（以自定義應用程式日誌為例）
開啟 Wazuh Manager 的自訂解碼器檔案 /var/ossec/etc/decoders/local_decoder.xml，新增一個解碼規則來捕捉特定的應用程式登入失敗日誌：

<program_name>my-custom-app</program_name>
LOGIN_FAIL
user=(\S+) ip=(\S+) reason=(\S+)
user, srcip, extra_data

3.編寫自訂 Rule 觸發警報與評分
開啟 Wazuh Manager 的自訂規則檔案 /var/ossec/etc/rules/local_rules.xml，新增對應的偵測規則：

XML


<decoded_as>custom-app-login</decoded_as>
Custom Application: Repeated login failure for user '$(user)' from IP $(srcip).
authentication_failures,

今日學習與實作重點：

解碼器（Decoder）設計原理：運用正規表達式（Regex）將雜亂無章的 Raw Log 轉化為帶有欄位的結構化數據。

規則（Rule）邏輯與分級：設定專屬的 Rule ID、Level 與警報描述，讓系統精準捕捉特定異常行為。

命令列測試工具（ossec-logtest）：學習在不上線測試的情況下，安全且快速地驗證規則與解碼器的正確性。