一、什麼是安全事件調查？

在前一天的文章中，我們介紹了 Wazuh Dashboard 的視覺化功能。當管理者發現異常警報時，下一步就是進行安全事件調查（Security Incident Investigation）。

安全事件調查的目的，是透過日誌、警報資訊及系統活動紀錄，判斷異常事件是否具有安全風險。

Wazuh 能夠集中收集不同設備的安全事件，並提供查詢與分析功能，協助管理者追蹤可疑活動。

二、安全事件調查的基本流程

一般而言，使用 Wazuh 進行安全事件調查，可以分成五個階段。

這個流程能幫助管理者建立有系統的事件分析方式，而不是單純依賴警報數量判斷安全狀態。

三、模擬 SSH 暴力破解攻擊事件

假設某台 Linux 伺服器遭到大量 SSH 登入嘗試，攻擊者可能透過反覆猜測帳號密碼來取得系統存取權限。

以下為模擬的 SSH 登入失敗日誌：

Oct 23 10:15:01 server sshd[1234]: Failed password for root from 192.0.2.10 port 52100 ssh2
Oct 23 10:15:05 server sshd[1235]: Failed password for root from 192.0.2.10 port 52101 ssh2
Oct 23 10:15:09 server sshd[1236]: Failed password for root from 192.0.2.10 port 52102 ssh2

從上述紀錄可以發現：

• 相同 IP 位址持續嘗試登入。
• 登入帳號皆為 root。
• 短時間內出現多次密碼驗證失敗。
  這些現象可能與 SSH 暴力破解攻擊有關，但仍需透過更多日誌確認，不能只憑幾筆失敗紀錄就認定攻擊成功。

四、使用 Dashboard 調查警報

當 Wazuh 偵測到可疑登入事件時，可以透過 Dashboard 查看相關資訊。
操作步驟如下：

1. 登入 Wazuh Dashboard。
2. 進入 Threat Hunting 或安全事件相關頁面。
3. 設定欲調查的時間範圍。
4. 使用 Agent 名稱、規則編號等條件篩選。
5. 展開警報，查看完整事件內容。
   調查過程中，可以優先檢查以下欄位：

透過這些欄位，可以逐步還原事件發生的時間與來源。

五、分析警報嚴重程度

Wazuh 使用不同的規則等級（Rule Level）表示事件的嚴重程度，等級範圍為 0～16。
以下列出部分常見等級：

警報等級越高，通常代表越需要優先調查，但實際風險仍應結合事件內容與系統環境評估。

六、模擬安全事件分析結果

假設管理者透過 Wazuh 收集到以下安全事件：

透過分析這些事件，可以發現不同警報之間可能存在關聯。
例如，若同一台主機先出現大量登入失敗，接著發生異常登入成功及重要檔案修改，就應進一步確認是否有帳號遭到入侵。

七、安全事件的後續處理

當管理者確認事件具有安全風險時，可以依照事件類型採取適當措施。

其中，部分處置可以結合先前介紹的 Wazuh Active Response 自動執行，例如在符合特定規則時封鎖可疑 IP。
不過，自動封鎖也可能造成正常使用者無法連線，因此應先確認規則條件及影響範圍，再於正式環境啟用。

八、建立安全事件調查紀錄

完成事件分析後，可以建立簡單的調查紀錄，方便後續追蹤與管理。
例如：

事件名稱：SSH 異常登入事件
發生時間：2026-10-23 10:15
受影響主機：Linux Server
可疑來源 IP：192.0.2.10

事件描述：
短時間內出現多次 SSH 登入失敗紀錄。

初步判斷：
疑似 SSH 暴力破解行為。

處理方式：
檢查登入紀錄、確認帳號安全，
必要時封鎖來源 IP。

事件狀態：
持續觀察

透過統一的事件紀錄格式，可以讓管理者更容易比較不同事件，也方便日後進行資安事件回顧與改善。