請以 root 在 Wazuh Manager（叢集模式為 Master 節點）執行，接著開啟 https://你的Manager_IP:5000
即時狀態、進階篩選、多選批次重啟／重連／刪除／升級。
依狀態／作業系統／版本／群組／節點／同步視覺化分布，點選即篩選，並自動更新。
加入／移出／合併／改名，CSV 匯入匯出（含預覽），編輯群組 agent.conf。
服務狀態、編輯 ossec.conf、重啟服務、下載 cluster.key、WPK 檔案、SSH 遠端操作。
Master/Worker 對 Rules、Decoders、Groups、Keys、Lists、SCA 的同步，清楚看出差異檔案。
以表單管理 <email_alerts>，免手改 XML。一鍵同步到所有 Worker，自動備份。
瀏覽、搜尋、篩選所有規則；可收合的父子階層；XML 語法上色。
上傳 WPK 檔升級 Agent，即時追蹤進度並支援批次。
跨節點檢查 Agent queue DB 用量，批次清除並自動重啟。
建立／管理 Wazuh API 使用者與角色；檢視並下載操作記錄與稽核事件。
Wazuh API 登入（JWT）、HTTPS、輸入驗證、防路徑穿越與注入、IP 鎖定。
英文、繁體中文與日文，從標題列的選單切換，偏好依瀏覽器記住。你輸入的值永遠不會被翻譯。
agent / group / node / stats 子指令，支援 table、JSON、CSV 輸出與 --dry-run。
有些實際在跑的產品，Wazuh 根本沒有對應規則。這些套件為它們補上解碼器、規則與 CDB 清單，並以整包為單位安裝：先偵測規則 ID 衝突、備份原檔、驗證規則集，任何一步失敗就整包回滾。移除時會還原被覆蓋的原檔，且拒絕刪除安裝後被你改過的檔案。
多來源的 IP 威脅清單，另有高信心清單（兩個獨立來源都列出，或來自 Spamhaus DROP 等精選來源），比對登入、對外連線、Suricata 連線與網站請求。由套件自行安裝的更新程式每六小時重建。
約 110 萬筆 MalwareBazaar 的 SHA-256，比對檔案完整性事件、Sysmon 的程序／驅動程式／下載事件、Suricata、VirusTotal 與 osquery。每天完整重建一次，每四小時併入新樣本。
偵測在 Windows、Linux、macOS 上從下載、暫存、壓縮檔與卸除式磁碟執行的程式，以及遠端控制與穿隧工具，並以實際流量調校以降低誤報。
Zimbra 的 web shell、SMTP 指令注入（CVE-2026-73570）、帳號接管（網頁、SMTP、IMAP 的密碼噴灑；新位址登入後設定轉寄、改密碼或關閉兩步驟驗證；整個信箱匯出）與檔案完整性。
依類別分級已封鎖與未封鎖的威脅、C2 與穿隧網域、挖礦池。原廠指南的解碼器在 4.14 不匹配，這份可以，且以實際流量驗證過。
DNS 過濾依清單分級，被封鎖的查詢能追溯到真正發出查詢的用戶端；另含登入、有漏洞的版本，以及轉送放行查詢時的 OAST 回呼與 DNS 通道偵測。
每個套件都以同一種方式標記每一次登入嘗試，所以同一個位址對 SSO、郵件伺服器與 Nextcloud 噴灑密碼、緊接著登入成功，或帳號在一個服務被鎖定後在另一個服務登入，會是一則告警，而不是三則互不相干的告警。
Proxmox VE 與 Ceph、Proxmox Backup Server、Proxmox Mail Gateway、OPNsense、Keycloak、Univention Corporate Server／Samba AD、Nextcloud、LibreNMS、Synology DSM、Odoo、Jitsi Meet、Z-Push（密碼噴灑、新裝置、信箱被大量拉取）、fail2ban、Docker、jt-ipam、jt-vc-portal，以及可讀的告警摘要信。
不必先填站台清單就不會洗版。登入成功只在有意義時才告警：產品內建的管理帳號、公開位址、多次失敗之後，或某帳號第一次從某位址出現。
清單並列 manager 上已安裝的版本與這裡提供的版本。更新前先列出每個檔案會怎麼處理，保留你改過的檔案與站台自己維護的清單，任何一步失敗就整包回滾。
套件可以提供例如「封鎖暴力破解來源」的主動回應。開啟時寫入叢集每個節點並逐一驗證，任一節點不接受就全部還原；關閉時把檔案還原到原本的位元組。
套件在你按下安裝前就說清楚它會做什麼：寫入哪些檔案、加入哪個以 root 執行的排程工作、建立哪個 agent 群組。
叢集會同步規則檔，但每個節點仍跑著記憶體裡的舊規則集。一個按鈕重載所有節點，且不重啟 analysisd。
載不進清單的重載仍然回應「ok」，只在一個多數工具會丟棄的欄位裡提到它剛剛停掉的規則。這個工具會讀那個欄位並顯示出來。
規則、解碼器與 CDB 清單都會送到每台 worker，但讓清單真正生效的那行宣告不會。安裝套件時會把宣告寫進每個節點，並讀回確認。
比對節點之間「真正會影響偵測」的 ossec.conf 區段，而不是整檔比對後在雜訊裡找重點。
這是一套能重啟節點、刪除代理程式、改寫 ossec.conf 的管理主控台，所以每次發版都當成資安部署看待，而不是單純的功能更新。
不需要 Wazuh Manager。認證測試由應用程式自己的路由表推導，日後新增的路由會自動被涵蓋，不必靠人記得補。
23 條使用者旅程，在真實瀏覽器中對 mock 過的 API 執行：分頁、篩選、對話框、翻譯、標頭，以及任何靜默失敗的請求。
OWASP ZAP 基線掃描，並逐 plugin 與既有紀錄比對——因為同樣的總數可能藏著「舊的消失、新的出現」。
共 21 項，其中包含「發佈內容不得含有內部主機名或位址」。靠記性維護的清單會靜默失效。
每個套件都裝進拋棄式的 Wazuh manager 容器逐案重放：每條規則都有必須命中的事件與不得命中的反例，包含檔案完整性事件與跨主機關聯。
沒有負載測試、沒有跨版本升級測試；套件沙箱在發版前執行，而不是在 CI 中；Windows 事件通道規則仍需在主機上以真實事件驗證。測試計畫裡白紙黑字寫著。
可自由執行、研究、修改與散布。若你以網路服務形式提供修改版，使用者有權取得其原始碼——介面中即附有連結。
