安全审计
📖 适合谁:超管 / 安全运维 —— 想统一查看平台与主机的安全事件(入侵检测 / 漏洞 / 日志 / 文件变更),又不想在多个外部系统之间来回切的人
📖 阅读时长:5 分钟
📖 一句话:安全审计是 YingCore 集成的外部 SIEM 平台 Wazuh 的入口——提供主机入侵检测(HIDS)、日志分析、文件完整性监控(FIM)、漏洞检测与安全告警,YingCore 通过 JWT 单点登录(SSO) 与 Wazuh 对接,管理员点击菜单即可在新窗口免登录跳转到 Wazuh 安全分析面板。顶部导航「安全审计」(新窗口打开),仅超级管理员可见。
它与「YingClaw 会话审计」的分工:安全审计 = 平台/主机的安全事件(入侵、漏洞、文件变更、日志);YingClaw 会话审计 = 数字员工的会话/命令/API 用量。两套体系各自独立、各管一段,不要混为一谈。
功能全景
一、核心价值
- 统一入口直达 Wazuh 面板:不用单独记 Wazuh 地址、不用维护两套账号——YingCore 顶导「安全审计」一键跳转,JWT 单点登录免输入密码。
- 覆盖五大安全能力:HIDS(主机入侵检测)+ 日志分析 + 文件完整性监控(FIM)+ 漏洞检测 + 安全告警——一份面板把主机侧安全事件全收口。
- 告警与响应一体化:Wazuh 规则触发后可下钻事件、定位主机/时间/规则,直接处置;不用再开第二个系统。
- 与 YingClaw 会话审计严格分离:安全审计管"机器和系统的安全"(被攻击、文件被改、有漏洞),YingClaw 管"数字员工干了什么"(调了哪个工具、跑了什么命令)。两类审计各管一段,互不重叠。
- 超管专属 + 票据过期保护:仅超级管理员可见;SSO 票据有效期约 1 小时,过期自动重发,既方便又不留长期后门。
二、主要能力
「安全审计」自身不提供独立页面——点击菜单会在新窗口打开 Wazuh Dashboard(wz-home 应用面板)。YingCore 侧提供 1 个入口 + 4 项集成能力,Wazuh 侧提供 5 大模块。
YingCore 集成层(4 能力)
| 能力 | 说明 |
|---|---|
| 顶部导航菜单 | YingCore 顶导「安全审计」,仅超管账号登录后可见 |
| JWT 单点登录(SSO) | 点击即跳转,免输入 Wazuh 用户名密码;票据有效期约 1 小时,过期再次点击即重新获取 |
| 新窗口跳转 | 点击后在浏览器新窗口/新 Tab 打开 Wazuh Dashboard,不打断当前 YingCore 操作 |
| 权限隔离 | 仅超管可见并可使用;普通用户登录后不显示此菜单,从入口层隔离 |
Wazuh 平台能力(5 模块)
| 模块 | 提供能力 |
|---|---|
| 安全事件总览 | 主机安全状态、活跃告警、风险等级分布 |
| 日志分析 | 跨主机的日志检索、过滤、聚合(对接 syslog / journald / 文件日志) |
| 文件完整性监控(FIM) | 关键文件/目录变更告警(如 /etc/passwd、配置文件、二进制变更),含 who/what/when |
| 漏洞检测 | 基于 CVE 库的资产漏洞扫描结果(操作系统 + 已安装包),按严重程度排序 |
| 告警与响应 | 规则触发 → 事件下钻 → 处置(确认/关闭/升级),含告警生命周期管理 |
横切能力(3 项)
- 多源日志接入:Wazuh agent 推送到 manager,支持 Linux/Windows/macOS
- 规则引擎:内置 MITRE ATT&CK 映射,自定义规则可按需扩展
- 告警生命周期:每条告警有 7 种状态(未处理/已确认/已升级/已解决/已关闭/误报/重复),支持团队协作处置
三、典型应用场景
- 主机被入侵排查:某主机 CPU 异常飙高 → 在 Wazuh「安全事件总览」看到 HIDS 告警 → 下钻到具体告警详情 → 查日志/文件变更,定位入侵路径。
- 关键文件被改告警:监控
/etc/passwd、/etc/shadow、Nginx 配置等关键文件 → Wazuh FIM 检测到变更 → 告警推送 → 管理员第一时间确认是运维正常操作还是攻击。 - 资产漏洞批量修复:漏洞检测扫描出 50 台主机有同一个高危 CVE → 按主机/严重程度筛选 → 排期修复 → 重扫确认闭环。
- 跨主机日志溯源:某用户反馈操作失败 → 在 Wazuh「日志分析」按时间窗/关键字搜跨主机日志 → 定位是哪个服务/哪台机器出的问题。
四、使用指南
1. 入口与权限
- 顶部一级导航「安全审计」(图标为盾牌),点击在新窗口打开 Wazuh Dashboard
- 仅超级管理员可见;普通用户登录后不显示此菜单(入口层隔离)
- 首次使用需确保平台管理员已完成 Wazuh 服务对接与共享密钥配置
2. SSO 跳转 → 看 Wazuh 面板
- 在 YingCore 顶导点「安全审计」→ 自动完成 SSO 校验 → 新浏览器窗口打开 Wazuh 主页(
wz-home) - 进入后按需使用 5 大模块:
- 安全事件总览 看当前告警与主机状态
- 日志分析 跨主机搜日志(支持关键字/时间窗/主机过滤)
- 文件完整性监控(FIM) 查关键文件变更(who/what/when)
- 漏洞检测 看资产漏洞列表,按 CVE 严重程度排序
- 告警与响应 处理活跃告警(确认/升级/关闭)
- Wazuh 面板的具体操作由 Wazuh 平台提供,本文档仅说明如何进入与基本导航
3. 异常处理与回滚
| 异常 | 处理 |
|---|---|
| 点击「安全审计」提示「获取 Wazuh 跳转链接失败」 | 联系平台管理员检查 Wazuh 服务是否在线 + 共享密钥配置是否正确 |
| 跳转后 Wazuh 提示登录/会话过期 | SSO 票据有效期约 1 小时,过期后回到 YingCore 重新点击菜单即可重新获取票据 |
| 普通用户看不到「安全审计」菜单 | 这是设计不是故障——菜单仅超管可见;如需给某用户授权,先在 YingCore 提升其角色为超级管理员 |
| 在 Wazuh 看到告警但 YingCore 没看到 | 两套审计是分离的——Wazuh 告警不会回推 YingCore;需要在 Wazuh 内处置,不要到 YingCore 找告警 |
| 想审计"数字员工干了什么" | 走「YingClaw 会话审计」(管命令/API 用量),不是本菜单;两套审计各管一段,详见 YingClaw 文档对应章节 |
4. 退出与重新进入
- 直接关闭 Wazuh 窗口即可,YingCore 侧的 SSO 票据随会话结束失效
- 1 小时内再次点「安全审计」可免登录跳转;1 小时后需重新触发 SSO
五、最佳实践
- 仅超管使用:「安全审计」菜单仅超管可见——普通用户看不到,不要为了"方便"把账号提权,会扩大安全攻击面。
- SSO 票据 1 小时,过期自动重发:不要为了省事把票据缓存到本地;Wazuh 票据默认 1 小时,过期再点菜单即重新获取。
- 跳转失败先查密钥:点击后报错 → 80% 是 Wazuh 服务/共享密钥问题;不要重试 YingCore,先找平台管理员查 Wazuh 配置。
- 不要混淆两套审计:安全审计 = 平台/主机的安全事件(入侵/漏洞/文件变更);YingClaw 会话审计 = 数字员工的命令/API 用量。两套体系各管一段,不要互相替代。
- Wazuh 侧的账号独立管理:不要在 YingCore 改 Wazuh 密码,Wazuh 有自己的用户体系;改完不影响 YingCore 侧登录。
- 共享密钥由平台管理员保管:JWT 共享密钥只在平台管理员手里,不要下发给普通用户;定期轮换(建议季度一次)。
- 告警批量处置时按主机分组:同一类告警可能跨多台主机 → 在 Wazuh 用「按主机分组」批量处置,比逐条点快 5-10 倍。