imported>TechCorner-Redaktion: Import aus Wazuh-Blog (m.a.x. it, eigenes Copyright)

2026-09-15T00:00:00Z

Import aus Wazuh-Blog (m.a.x. it, eigenes Copyright)

Neue Seite

'''Einleitung'''
[https://wazuh-blog.max-it.de/anleitungen/agents/auditd-auf-debian-installieren-und-fuer-wazuh-optimieren/ Auditd-Logs] gehören zu den wichtigsten Telemetriedaten für Sicherheits-Monitoring, Incident Response und forensische Analysen. Besonders in Linux-Umgebungen liefern sie reichhaltige Informationen zu Systemaufrufen, Ausführungsparametern und Prozessmetadaten. Eine Herausforderung in Wazuh ist dabei die Decodierung von <code>PROCTITLE</code>, dem Feld, das die vollständige Prozess-Commandline enthält. Dieser Artikel zeigt, wie Sie Ihre auditd-Decoder in Wazuh so erweitern, dass <code>PROCTITLE</code> zuverlässig extrahiert wird – basierend auf Best Practices und offiziellen Quellen.

'''Ausgangslage / Problemstellung'''
Auditd erzeugt pro Audit-Event mehrere Record-Typen (z. B. <code>SYSCALL</code>, <code>EXECVE</code>, <code>PATH</code>, <code>PROCTITLE</code>). Diese können – wie im Beispiel unten – in einer einzigen Logzeile zusammenlaufen. Standardmäßig parsen viele Wazuh-Rulesets <code>SYSCALL</code> und <code>EXECVE</code>, lassen aber oft das <code>PROCTITLE</code>-Feld außen vor, obwohl es für die Rekonstruktion der vollständigen Commandline essenziell ist.
Beispiel (gekürzt):

<syntaxhighlight lang="text">
type=SYSCALL ... type=EXECVE ... type=PATH ... type=PROCTITLE msg=audit(...): proctitle=7368002D6300...
</syntaxhighlight>

Ohne einen passenden Decoder bleibt <code>audit.proctitle</code> in Wazuh leer, was die Erkennungs- und Analysequalität mindert.

'''Technische Analyse'''
Auditd-Logs bestehen aus mehreren Feldern, die über Schlüssel-Werte paare repräsentiert werden. <code>PROCTITLE</code> tritt meist am Ende eines zusammengesetzten Events auf und enthält die Prozess-Commandline in hex-kodierter Form – Standardverhalten von auditd, da NUL-Bytes und Sonderzeichen sonst Parsing-Probleme bereiten würden. (Docs Red Hat Security Guide, Abschnitt Audit-Log-Dateien)
Wazuh-Decoder arbeiten hierarchisch: Basismatcher (<code><prematch></code>) identifizieren Events, <code><parent></code>-Deklarationen ordnen Child-Decoder zu, und <code><regex></code> mit Offsets steuern, '''in welcher Reihenfolge''' Felder extrahiert werden. Wenn der <code>PROCTITLE</code>-Regex zu früh im Decodierfluss steht oder nicht auf den korrekten Event-Block zielt, wird das Feld nicht gefüllt.

Die gängige Problemlage ist daher: Der Decoder für <code>SYSCALL</code> ist vorhanden und extrahiert viele Felder, aber der Regex für <code>proctitle=…</code> ist nicht korrekt positioniert bzw. nutzt keinen passenden Offset.

'''Lösung / Best Practices'''
Um <code>audit.proctitle</code> zuverlässig zu extrahieren, erweitern Sie Ihren bestehenden <code>auditd-syscall</code>-Decoder um einen zusätzlichen Child-Decoder, der speziell auf <code>proctitle</code> zielt. Der folgende XML-Block ist korrekt positioniert '''nach''' dem Basismatcher und extrahiert das Feld unmittelbar aus dem zusammengesetzten Log:

<syntaxhighlight lang="text">

<decoder name="auditd-syscall">
<parent>auditd-syscall</parent>
<regex offset="after_parent">proctitle=(\S+)</regex>
<order>audit.proctitle</order>
</decoder>
</syntaxhighlight>

'''Warum diese Version funktioniert'''

* Der <code><parent></code>-Eintrag bindet diesen Decoder an den bestehenden <code>auditd-syscall</code>-Block.
* <code>offset="after_parent"</code> sorgt dafür, dass dieses Regex erst nach dem Erkennen des <code>SYSCALL</code>-Events angewendet wird.
* <code>\S+</code> erfasst die hex-kodierte Zeichenkette ohne Whitespace.
* Durch <code><order></code> wird das Feld <code>audit.proctitle</code> in das Wazuh-Event injiziert und steht für Rules/Decoders zur Verfügung.

'''Testen mit Wazuh-Tools'''
Nutzen Sie das Tool <code>wazuh-logtest</code> zum Testen Ihrer Decodierung – es zeigt auf, welche Felder erfolgreich extrahiert wurden und vermeidet so Blindarbeit beim Regeln-Tuning (Tools-Dokumentation). Ebenso kann <code>wazuh-regex</code> helfen, regex-Muster allein gegen Beispielzeilen zu prüfen.

'''Lessons Learned / Best Practices'''

* '''Reihenfolge beachten:''' Die Reihenfolge der Child-Decoder entscheidet, ob ein Feld gelesen wird. Platzieren Sie <code>proctitle</code>-Decoder nach relevanten anderen Extraktionen im selben Event.
* '''Hex ist normal:''' Auditd liefert <code>proctitle</code> hex-kodiert. Für menschenlesbare Darstellung sollten Sie eine nachgelagerte Transformation in Ihrem SIEM/Indexer erwägen.
* '''Testen nicht raten:''' Nutzen Sie stets <code>wazuh-logtest</code> und reale Logbeispiele, da Online-Regex-Tester nicht die gleiche Engine wie Wazuh verwenden.
* '''Custom Decoder File:''' Legen Sie solche Anpassungen in einem Custom Decoder File ab, damit Upgrades des Wazuh-Rulesets Ihre Änderungen nicht überschreiben.

'''Fazit'''
Die Ergänzung eines gezielten <code>proctitle</code>-Decoders in den <code>auditd-syscall</code>-Block erlaubt es, in Wazuh das essenzielle Feld <code>audit.proctitle</code> zuverlässig zu extrahieren. Die korrekte Positionierung und Nutzung von <code>offset="after_parent"</code> sind dabei die Schlüssel zum Erfolg. Mit diesem Setup steht Ihnen die vollständige Prozess-Commandline für Erkennungsregeln, Alerting und forensische Analysen zur Verfügung.

[https://wazuh.slack.com/archives/C0A933R8E/p1766748829291749 https://wazuh.slack.com/archives/C0A933R8E/p1766748829291749]

Mehr zu Wazuh …
[https://wazuh.com/?utm_source=ambassadors&utm_medium=referral&utm_campaign=ambassadors+program https://wazuh.com/?utm_source=ambassadors&utm_medium=referral&utm_campaign=ambassadors+program]

Mehr zum Wazuh Ambassador Program …
[https://wazuh.com/ambassadors-program/?utm_source=ambassadors&utm_medium=referral&utm_campaign=ambassadors+program https://wazuh.com/ambassadors-program/?utm_source=ambassadors&utm_medium=referral&utm_campaign=ambassadors+program]

'''Quellen / Referenzen'''

* Red Hat Enterprise Linux Security Guide – Understanding Audit Log Files: [https://docs.redhat.com/en/documentation/red_hat_enterprise_linux/7/html/security_guide/sec-understanding_audit_log_files?utm_source=chatgpt.com https://docs.redhat.com/en/documentation/red_hat_enterprise_linux/7/html/security_guide/sec-understanding_audit_log_files]
* Wazuh Decoder Syntax und Best Practices: [https://documentation.wazuh.com/current/user-manual/ruleset/ruleset-xml-syntax/decoders.html?utm_source=chatgpt.com https://documentation.wazuh.com/current/user-manual/ruleset/ruleset-xml-syntax/decoders.html]
* Wazuh Tools – <code>wazuh-logtest</code>: [https://documentation.wazuh.com/current/user-manual/reference/tools/wazuh-logtest.html?utm_source=chatgpt.com https://documentation.wazuh.com/current/user-manual/reference/tools/wazuh-logtest.html]

== Quelle ==
Dieser Artikel stammt aus dem [https://wazuh-blog.max-it.de/auditd-decoder-in-wazuh-erweitern-proctitle-korrekt-extrahieren/ Wazuh-Blog von m.a.x. it] (veröffentlicht am 16. Januar 2026).

== Unterstützung von m.a.x. it ==
Bei Einführung, Betrieb und Feintuning von Wazuh (SIEM) unterstützt Sie m.a.x. it mit [https://www.max-it.de/it-services/siem-open-source/ SIEM-Services auf Open-Source-Basis].

{{Uebermax}}
[[Kategorie:Wazuh]]

Auditd-Decoder in Wazuh erweitern: PROCTITLE korrekt extrahieren - Versionsgeschichte

imported>TechCorner-Redaktion: Import aus Wazuh-Blog (m.a.x. it, eigenes Copyright)