1. 啟用 Wazuh Manager 記錄封存設定 (Log Archiving)
   除了將事件寫入 Indexer 供即時查詢外，為了長期的稽核與鑑識需求，我們通常會將原始日誌（Raw Logs）與警報（Alerts）進行封存。
   開啟 Wazuh Manager 的設定檔 /var/ossec/etc/ossec.conf，檢查並調整 區塊中的封存設定：
   <jsonout_output>yes</jsonout_output>
   <alerts_log>yes</alerts_log>
   yes
   <logall_json>yes

2. 定期檢視與管理封存日誌
   封存的日誌檔案會隨著系統納管端點增加而快速成長。我們需要確保磁碟空間足夠，或配合日誌輪替（Log Rotation）政策將舊的封存檔備份至外部儲存體（例如雲端物件儲存或備份伺服器），避免佔滿主機空間。

3. 在 Wazuh Dashboard 匯出資安稽查報表

今日學習與實作重點：

Raw Log 封存機制：了解如何透過設定開啟完整日誌與警報的長期儲存（logall）。

archives.json 結構與管理：掌握後端檔案的存放路徑與備份要點。

資安稽查與報表匯出：學會透過 Dashboard 快速匯出結構化數據，將枯燥的日誌轉化為專業的資安健檢報告。