日志与资产平台

这一章解决什么问题

网络分区解决了「进不来」，身份收敛解决了「没权限」，终端加固解决了「难横向」——但这三件事都做完，还有一个空白：你并不知道它们有没有生效，也不知道异常是什么时候开始的。

日志平台填这个空白。它把分散在各台机器上的事件收上来，回答三个问题：

1. 资产 —— 网络里到底有什么？（资产台账）
2. 行为 —— 谁在什么时候动了什么？（事件关联）
3. 基线 —— 什么行为是不正常的？（行为基线）

第 3 个问题是终极目标，但它依赖前两个问题被回答过——没有资产台账和行为日志，「异常」无从谈起。

采集链路

┌─────────────────────────────────────────────────────────┐
│                   每一台 Windows 终端                   │
│           Sysmon · 安全日志 · PowerShell 日志           │
└─────────────────────────────────────────────────────────┘
                             │                             
┌─────────────────────────────────────────────────────────┐
│          Wazuh Agent（逐台安装，随域策略下发）          │
└─────────────────────────────────────────────────────────┘
                             │                             
┌─────────────────────────────────────────────────────────┐
│           Wazuh Manager（管理区 VM · Ubuntu）           │
│             Indexer · Dashboard · 规则引擎              │
│               资产台账 · 告警 · 行为分析                │
└─────────────────────────────────────────────────────────┘

三个设计要点：

• Agent 装在终端上，Server 装在管理区的 Linux VM 里。为什么不把服务端装在 Windows 上，见 Wazuh 部署架构。
• Sysmon 日志、Windows 安全日志、PowerShell 日志统一进 Wazuh。一套管道，不做第二套。
• 资产台账配合资产对应表，解决「1:N:N」的问题：一个人有多台设备、一台设备有多份日志、一份日志关联多个身份——这三层对应关系记不清，告警就永远停留在「某台机器」而不是「某个人」。

部署底座

平台跑在虚拟化之上，隔离、快照、回滚都靠它：

VM	系统	职责
VM1	Windows Server	AD 域控、GPO、NPS
VM2	Ubuntu Server	Wazuh（Manager + Indexer + Dashboard）
VM3	Docker	ntopng 及杂项服务
后期 VM	按需	Suricata、Zeek、测试环境、Kali

Windows Server 跑在虚拟机里完全没问题，甚至更推荐：可以做快照（域控挂了能救）、环境隔离、方便扩展。资源底线是 CPU 不低于 2 核、内存 8GB 起步——域控加上后续服务，低于这个数会开始出现各种说不清的慢。

后期 Suricata 与 Zeek 资源占用较高，等服务器升级之后再上，不要硬塞。

这一章的两篇文章

• Wazuh 部署架构 —— 服务端装在哪、为什么、Dashboard 与 Kibana 的关系、日志怎么统一。
• 资产摸底与扫描 —— 台账从哪来：五阶段扫描 SOP，从被动发现到持续监控。

一个提醒

平台上线之后，真正的成本不是部署而是维护：规则调优、误报处理、每周一次的例行查看。没有这个环节的监控系统，三个月后就是一台跑着占资源的机器——所以「有人每周花固定时间看一次」是验收标准的一部分，不是可选项。