Quelltext der Seite Wazuh-Regeln gezielt unterdrücken: PowerShell Policy Test-Dateien korrekt ignorieren

== Einleitung ==

In produktiven SIEM-Umgebungen mit Wazuh ist ein präzises Alert-Tuning essenziell. Gerade auf Windows-Systemen entstehen regelmäßig Events, die sicherheitsrelevant erscheinen, in der Praxis jedoch legitime Systemprozesse darstellen. Ein typisches Beispiel sind temporäre Dateien mit dem Präfix <code>__PSScriptPolicyTest_</code>, die im Zusammenhang mit PowerShell-Ausführungsrichtlinien erzeugt werden.

Wenn diese Dateien durch Windows Event Logs erfasst werden, können mehrere Wazuh-Regeln aus dem Windows-Sysmon- oder Security-Regelwerk ausgelöst werden. Ohne gezielte Filterung führt dies zu unnötigen Alerts und erhöhtem Rauschen im SIEM. Dieser Artikel zeigt, wie solche Events korrekt über eine Custom Rule unterdrückt werden, wenn bestimmte Dateipfade im Feld <code>win.eventdata.targetFilename</code> auftreten.

== Ausgangslage / Problemstellung ==

In einer Wazuh-Installation wurden regelmäßig Alerts durch die folgenden Regel-IDs erzeugt:

* <code>92201</code>
* <code>92205</code>
* <code>92212</code>
* <code>92213</code>

Diese Regeln reagierten auf Dateioperationen, bei denen temporäre PowerShell-Testdateien erzeugt wurden. Die betroffenen Dateipfade hatten stets das folgende Muster:

<syntaxhighlight lang="text">
C:\Windows\Temp\__PSScriptPolicyTest_*
C:\Windows\SystemTemp\__PSScriptPolicyTest_*
C:\Users\<user>\AppData\Local\Temp\__PSScriptPolicyTest_*
</syntaxhighlight>

Ziel war es, diese Events vollständig zu unterdrücken, indem eine Custom Rule mit Level <code>0</code> erstellt wird. Dadurch werden entsprechende Alerts im Wazuh Manager ignoriert.

Eine erste Implementierung sah folgendermaßen aus:

<syntaxhighlight lang="text">
<rule id="121233" level="0">
  <if_sid>92201,92205,92212,92213</if_sid>
  <match>C:\\Windows\\Temp\\__PSScriptPolicyTest_|C:\\Windows\\SystemTemp\\__PSScriptPolicyTest_.*|C:\\Users\\<user>\\AppData\\Local\\Temp\\__PSScriptPolicyTest_.*</match>
  <options>no_full_log</options>
  <description>Ignore RULE</description>
</rule>
</syntaxhighlight>

Die Regel wurde jedoch nicht ausgelöst und die Alerts blieben weiterhin aktiv.

== Technische Analyse ==

Die Ursache lag in der Verwendung des falschen Matching-Mechanismus innerhalb der Wazuh-Regel.

=== Problem 1: Verwendung von <code><match></code> ===

Das <code><match></code>-Element durchsucht den '''kompletten Log-String''' nach einem Pattern. In strukturierten Windows-Events arbeitet Wazuh jedoch mit '''dekodierten Feldern''', die gezielt adressiert werden können.

Der relevante Wert befindet sich in:

<syntaxhighlight lang="text">
win.eventdata.targetFilename
</syntaxhighlight>

Wenn stattdessen <code><match></code> verwendet wird, erfolgt keine gezielte Prüfung auf dieses Feld.

=== Problem 2: Regex-Escaping für Windows-Pfade ===

Windows-Dateipfade enthalten Backslashes (<code>\</code>). In Wazuh-Regeln müssen diese:

# Für XML interpretiert werden
# Für Regex korrekt escaped sein

Dadurch entsteht ein '''doppeltes Escaping'''.

Beispiel:

<syntaxhighlight lang="text">
C:\Windows\Temp
</syntaxhighlight>

wird in der Regel zu:

<syntaxhighlight lang="text">
C:\\\\Windows\\\\Temp
</syntaxhighlight>

=== Problem 3: Feldbasierte Filterung ===

Wazuh unterstützt direkte Feldprüfungen über das <code><field></code>-Element. Dadurch kann eine Regel exakt auf den Wert eines dekodierten Logfeldes reagieren.

Dies ist wesentlich robuster als ein globales Pattern-Matching.

== Lösung / Best Practices ==

Die korrekte Lösung besteht darin, das Feld <code>win.eventdata.targetFilename</code> direkt zu prüfen und die Regel auf die betroffenen Rule-IDs zu beschränken.

Die funktionierende Custom Rule lautet:

<syntaxhighlight lang="text">
<rule id="121233" level="0">
  <if_sid>92201,92205,92212,92213</if_sid>
  <field name="win.eventdata.targetFilename" type="pcre2">
    C:\\\\Windows\\\\Temp\\\\__PSScriptPolicyTest_.*|
    C:\\\\Windows\\\\SystemTemp\\\\__PSScriptPolicyTest_.*|
    C:\\\\Users\\\\*\\\\AppData\\\\Local\\\\Temp\\\\__PSScriptPolicyTest_.*
  </field>
  <options>no_full_log</options>
  <description>Ignore PowerShell Script Policy Test Files</description>
</rule>
</syntaxhighlight>

=== Funktionsweise der Regel ===

# '''if_sid'''Die Regel wird nur angewendet, wenn eine der folgenden Regeln bereits ausgelöst wurde:

* 92201
* 92205
* 92212
* 92213
# '''field-Prüfung'''Das Feld <code>win.eventdata.targetFilename</code> wird gegen einen PCRE2-Regex geprüft.
# '''Regex-Muster'''Die Regel erkennt drei mögliche Pfade:

<syntaxhighlight lang="text">
C:\Windows\Temp\__PSScriptPolicyTest_*
C:\Windows\SystemTemp\__PSScriptPolicyTest_*
C:\Users\*\AppData\Local\Temp\__PSScriptPolicyTest_*
</syntaxhighlight>

# '''Level 0'''Events, die diese Bedingungen erfüllen, werden vollständig unterdrückt.

=== Deployment-Schritte ===

# Regel in einer Custom Rules Datei ablegen, z. B.:

<syntaxhighlight lang="text">
/var/ossec/etc/rules/local_rules.xml
</syntaxhighlight>

# Wazuh Manager neu starten:

<syntaxhighlight lang="text">
systemctl restart wazuh-manager
</syntaxhighlight>

# Funktion testen:

<syntaxhighlight lang="text">
/var/ossec/bin/wazuh-logtest
</syntaxhighlight>

== Lessons Learned / Best Practices ==

=== 1. Immer feldbasierte Regeln verwenden ===

Bei strukturierten Logs (Windows Events, JSON Logs) sollte immer <code><field></code> statt <code><match></code> verwendet werden.

=== 2. Regex-Escaping sorgfältig prüfen ===

Windows-Pfade benötigen doppeltes Escaping:

<syntaxhighlight lang="text">
\  →  \\\\
</syntaxhighlight>

Fehler in diesem Bereich führen häufig dazu, dass Regeln nicht matchen.

=== 3. Alert-Suppression gezielt auf Parent-Regeln beschränken ===

Mit <code><if_sid></code> wird verhindert, dass die Regel unbeabsichtigt andere Events beeinflusst.

=== 4. Regeln immer mit <code>wazuh-logtest</code> validieren ===

Damit lassen sich Parsing- und Regex-Probleme sofort erkennen.

=== 5. Temporäre Systemdateien frühzeitig filtern ===

Viele Windows-Systemprozesse erzeugen temporäre Artefakte. Werden diese nicht gefiltert, steigt die Alert-Frequenz unnötig.

== Fazit ==

Das Unterdrücken legitimer Systemereignisse ist ein zentraler Bestandteil eines sauberen SIEM-Betriebs. In Wazuh sollten hierfür gezielte Feldprüfungen genutzt werden, anstatt globale Log-Matches.

Durch die Kombination aus <code><if_sid></code> und einer feldbasierten Regex-Prüfung auf <code>win.eventdata.targetFilename</code> lassen sich PowerShell-Testdateien zuverlässig ignorieren, ohne das übrige Regelwerk zu beeinflussen. Das reduziert Alert-Noise erheblich und sorgt für eine präzisere Erkennung tatsächlich sicherheitsrelevanter Aktivitäten.

== Quellen ==

Wazuh Rules Syntax
[https://documentation.wazuh.com/current/user-manual/ruleset/ruleset-xml-syntax/rules.html#field https://documentation.wazuh.com/current/user-manual/ruleset/ruleset-xml-syntax/rules.html#field]

Wazuh Regex Syntax
[https://documentation.wazuh.com/current/user-manual/ruleset/ruleset-xml-syntax/regex.html https://documentation.wazuh.com/current/user-manual/ruleset/ruleset-xml-syntax/regex.html]

Mehr zu Wazuh …
[https://wazuh.com/?utm_source=ambassadors&utm_medium=referral&utm_campaign=ambassadors+program https://wazuh.com/?utm_source=ambassadors&utm_medium=referral&utm_campaign=ambassadors+program]

Mehr zum Wazuh Ambassador Program …
[https://wazuh.com/ambassadors-program/?utm_source=ambassadors&utm_medium=referral&utm_campaign=ambassadors+program https://wazuh.com/ambassadors-program/?utm_source=ambassadors&utm_medium=referral&utm_campaign=ambassadors+program]

[https://wazuh.slack.com/archives/C0A933R8E/p1772695158154109 https://wazuh.slack.com/archives/C0A933R8E/p1772695158154109]

== Quelle ==
Dieser Artikel stammt aus dem [https://wazuh-blog.max-it.de/wazuh-regeln-gezielt-unterdruecken-powershell-policy-test-dateien-korrekt-ignorieren/ Wazuh-Blog von m.a.x. it] (veröffentlicht am 10. März 2026).

== Unterstützung von m.a.x. it ==
Bei Einführung, Betrieb und Feintuning von Wazuh (SIEM) unterstützt Sie m.a.x. it mit [https://www.max-it.de/it-services/siem-open-source/ SIEM-Services auf Open-Source-Basis].

{{Uebermax}}
[[Kategorie:Wazuh]]