implementing-endpoint-detection-with-wazuh
部署并配置 Wazuh SIEM/XDR 进行终端检测，包括 Agent 管理、自定义解码器和规则 XML 创建、通过 Wazuh REST API 查询告警，以及自动化响应动作。
Best use case
implementing-endpoint-detection-with-wazuh is best used when you need a repeatable AI agent workflow instead of a one-off prompt.
部署并配置 Wazuh SIEM/XDR 进行终端检测，包括 Agent 管理、自定义解码器和规则 XML 创建、通过 Wazuh REST API 查询告警，以及自动化响应动作。
Teams using implementing-endpoint-detection-with-wazuh should expect a more consistent output, faster repeated execution, less prompt rewriting.
When to use this skill
- You want a reusable workflow that can be run more than once with consistent structure.
When not to use this skill
- You only need a quick one-off answer and do not need a reusable workflow.
- You cannot install or maintain the underlying files, dependencies, or repository context.
Installation
Claude Code / Cursor / Codex
Manual Installation
- Download SKILL.md from GitHub
- Place it in
.claude/skills/implementing-endpoint-detection-with-wazuh/SKILL.mdinside your project - Restart your AI agent — it will auto-discover the skill
How implementing-endpoint-detection-with-wazuh Compares
| Feature / Agent | implementing-endpoint-detection-with-wazuh | Standard Approach |
|---|---|---|
| Platform Support | Not specified | Limited / Varies |
| Context Awareness | High | Baseline |
| Installation Complexity | Unknown | N/A |
Frequently Asked Questions
What does this skill do?
部署并配置 Wazuh SIEM/XDR 进行终端检测，包括 Agent 管理、自定义解码器和规则 XML 创建、通过 Wazuh REST API 查询告警，以及自动化响应动作。
Where can I find the source code?
You can find the source code on GitHub using the link provided at the top of the page.
SKILL.md Source
# 使用 Wazuh 实现终端检测 ## 概述 Wazuh 是一个开源的安全信息和事件管理（SIEM）和扩展检测与响应（XDR）平台，用于终端监控、威胁检测和合规管理。本技能涵盖通过 Wazuh REST API 管理 Agent、创建自定义 XML 解码器和规则以支持组织特定的检测需求、查询告警，以及使用 logtest 端点测试规则逻辑。 ## 前置条件 - 已部署并启用 API 的 Wazuh Manager 4.x - Python 3.9+ 及 `requests` 库 - API 凭据（用于 JWT 身份验证的用户名/密码） - 了解 Wazuh 解码器和规则 XML 语法 ## 步骤 ### 步骤 1：向 Wazuh API 进行身份验证 通过 POST 请求发送至 /security/user/authenticate 获取 JWT 令牌。 ### 步骤 2：列出并监控 Agent 通过 /agents 端点查询 Agent 状态、版本和最后心跳时间。 ### 步骤 3：查询安全告警 按规则 ID、严重性、Agent 或时间范围搜索告警。 ### 步骤 4：使用 Logtest 测试自定义规则 使用 /logtest 端点针对样本日志行验证解码器和规则逻辑。 ## 预期输出 包含 Agent 清单、告警统计信息、规则覆盖范围和 logtest 验证结果的 JSON 报告。
Related Skills
performing-yara-rule-development-for-detection
通过识别可执行文件中的唯一字节模式、字符串和行为指标，开发精准的 YARA 恶意软件检测规则，同时将误报率降至最低。
performing-steganography-detection
使用隐写分析（Steganalysis）工具检测和提取嵌入在图像、音频及其他媒体文件中的隐藏数据，揭露隐蔽通信渠道。
performing-lateral-movement-detection
检测横向移动（Lateral Movement）技术，包括哈希传递（Pass-the-Hash）、PsExec、WMI 执行、 RDP 转移和基于 SMB 的传播，使用 SIEM 关联 Windows 事件日志、网络流数据和终端遥测， 映射到 MITRE ATT&CK 横向移动战术（TA0008）技术。
performing-endpoint-vulnerability-remediation
通过基于风险评分对 CVE 进行优先级排序、部署补丁、应用配置变更和验证修复 来执行端点漏洞修复。适用于修复漏洞扫描发现的问题、响应严重 CVE 公告 或维护端点合规性与补丁管理 SLA 的场景。适用于涉及漏洞修复、CVE 补丁、 端点漏洞管理或安全修复部署的请求。
performing-endpoint-forensics-investigation
对受损端点执行数字取证调查，包括内存获取、磁盘镜像、工件分析和时间线重建。 适用于调查安全事件、为法律诉讼收集证据或分析端点受损范围的场景。 适用于涉及端点取证、内存分析、磁盘取证或事件调查的请求。
performing-dns-tunneling-detection
通过计算 DNS 查询名称的香农熵（Shannon Entropy）、分析查询长度分布、检测 TXT 记录载荷以及 识别高子域名基数，检测 DNS 隧道（DNS Tunneling）攻击。使用 scapy 进行数据包捕获分析， 结合统计方法区分合法 DNS 流量和隐蔽信道。适用于数据泄露猎威场景。
performing-container-escape-detection
通过分析命名空间配置、特权容器检查、危险能力分配和宿主机路径挂载，使用 kubernetes Python 客户端检测容器逃逸尝试。识别通过 cgroup 滥用的 CVE-2022-0492 类型逃逸。 适用于审计容器安全态势或调查逃逸尝试。
performing-adversary-in-the-middle-phishing-detection
检测和响应中间人（AiTM）钓鱼攻击，这类攻击使用 EvilProxy、Evilginx 和 Tycoon 2FA 等反向代理工具包绕过 MFA 并窃取会话令牌。
implementing-zero-trust-with-hashicorp-boundary
使用 HashiCorp Boundary 实现具备动态凭据代理、会话录制和 Vault 集成的身份感知零信任基础设施访问管理。
implementing-zero-trust-with-beyondcorp
使用身份感知代理（IAP，Identity-Aware Proxy）、上下文感知访问策略、设备信任验证和 Access Context Manager，部署 Google BeyondCorp Enterprise 零信任访问控制，对 GCP 资源和内部应用强制执行基于身份和安全态势的访问。
implementing-zero-trust-network-access
通过配置身份感知代理、微分段、基于条件访问策略的持续验证，以及在 AWS、Azure 和 GCP 环境中以 BeyondCorp 风格的架构替代传统 VPN 访问，在云环境中实施零信任网络访问（ZTNA）。
implementing-zero-trust-network-access-with-zscaler
使用 Zscaler 实施零信任网络访问（Zero Trust Network Access，ZTNA），通过 Zscaler Private Access（ZPA）配置应用分段、访问策略和连接器，替代传统 VPN 架构