Sbharadwaj05/Wazuh-NIST-Rules-Set
GitHub: Sbharadwaj05/Wazuh-NIST-Rules-Set
一套开源的、经过自动化测试的Wazuh规则集，将50条检测规则精确映射到NIST CSF v2.0和MITRE ATT&CK，使安全告警直接具备合规证据。
Stars: 6 | Forks: 0
# Wazuh NIST CSF v2.0 检测规则包
[](https://wazuh.com)
[](https://www.nist.gov/cyberframework)
[](rules/)
[](tests/EVIDENCE_REPORT.md)
[](LICENSE)
## 💡 问题所在
Wazuh 功能强大，但将自定义检测映射到新的 **NIST CSF v2.0** 框架通常意味着耗费数小时手动维护电子表格和零散文档。大多数团队最终只能看到告警触发，却无法追溯其合规输出——这让审计人员不满，分析人员不堪重负。
## 🎯 解决方案
本仓库在检测逻辑与合规证据之间架起了桥梁。它提供了一套 **可直接用于生产的、经过严格测试的 50 条 Wazuh 规则**，这些规则原生带有了 NIST CSF v2.0 和 MITRE ATT&CK 标签——因此您的告警一旦到达仪表板，便已具备合规性。
## 🏗️ 架构与工作流程
```
graph LR
A[Endpoint Telemetry] -->|Sysmon / Auditd| B[Wazuh Agent]
B -->|Log Stream| C[Wazuh Manager]
C -->|Custom Decoders| D[Rules Engine]
D -->|NIST/MITRE Mapping| E[Security Alert]
E --> F[Dashboard / SIEM]
```
## 🧪 实验室测试环境
所有规则已在受控实验室中针对真实遥测源进行了验证：
* **操作系统**: Ubuntu 22.04 LTS 与 Windows Server 2022
* **Wazuh**: Manager 与 Agent v4.8.0
* **遥测数据**: Sysmon (Windows)、Auditd 与 Syslog (Linux)
* **验证**: 自动化证据测试工具 —— [57 PASS, 0 FAIL](tests/EVIDENCE_REPORT.md)
## 🚀 快速开始
### 前置条件
在部署之前，请确认您的环境满足以下要求：
- **Wazuh Manager** v4.8.0 或更高版本
- 具备 Wazuh Manager 主机的 **root 访问权限**
- **端点**已配置所需的遥测代理：
- Windows: [Sysmon + 审核策略](docs/prerequisites.md)
- Linux: [Auditd + iptables 日志](docs/prerequisites.md)
- **CDB 列表引用**已添加到 `ossec.conf`（参见下面的步骤 3）
### 1. 克隆并部署
```
git clone https://github.com/Sbharadwaj05/Wazuh-NIST-Rules-Set.git
cd Wazuh-NIST-Rules-Set
```
将规则和解码器复制到您的 Wazuh Manager：
```
sudo cp -r rules/* /var/ossec/etc/rules/nist-csf/
sudo cp decoders/nist_custom_decoders.xml /var/ossec/etc/decoders/
sudo cp lists/rare-ports lists/c2-domains /var/ossec/etc/lists/
```
详细步骤请参阅完整的[部署指南](docs/deployment-guide.md)。
### 2. 注册 CDB 列表
在 `/var/ossec/etc/ossec.conf` 的 `` 块内添加以下内容：
```
- etc/lists/rare-ports
- etc/lists/c2-domains
标签：Auditd, Cloudflare, MITRE ATT&CK, NIST CSF 2.0, Sysmon, URL发现, Wazuh规则, Windows Server, 二进制发布, 动态调试, 合规映射, 安全检测, 实验室验证, 开源工具, 端点检测, 网络安全框架, 证据报告, 逆向工具, 风险覆盖