Wazuh Decoder: Warum user als dstuser erscheint

Problem

Ihr habt einen Custom-Decoder für Trellix/McAfee Web Gateway gebaut und extrahiert usrName erfolgreich:

<decoder name="McAfee_Web_Gateway">
  <parent>McAfee_Web_Gateway</parent>
  <regex>\.+\pusrName=(\.+)\|</regex>
  <order>username</order>
</decoder>

Sobald ihr aber versucht, das Feld auf einen „statischen“ Namen zu ändern …

<order>user</order>

… taucht das Ergebnis nicht als user, sondern als dstuser auf.

Ursache

Das ist kein Bug in eurem Regex, sondern erwartetes Verhalten:

• In Wazuh-Decodern ist user ein reservierter Alias
• Dieser Alias wird automatisch auf das kanonische Feld dstuser gemappt

Darum wird aus <order>user</order> immer dstuser, selbst wenn ihr „user“ erzwingen wollt.

Lösungsmöglichkeiten

Option A (einfach & korrekt): Bleibt bei einem nicht-reservierten Feldnamen, z. B.

• username (wie bei euch bereits erfolgreich)
• srcuser / dstuser (falls semantisch passend)

Option B (wenn ihr unbedingt user braucht): Umbenennung nachgelagert durchführen, z. B. in:

• OpenSearch / Wazuh Indexer Ingest Pipeline (Painless Script / Rename Processor)
• Logstash/Elastic Ingest (falls im Einsatz)

➡️ Wichtig: Im Decoder selbst könnt ihr kein internes Feld „user“ erzwingen, wenn es mit einem Wazuh-Alias kollidiert.

Takeaway

Wenn ein <order>-Feld „komisch“ umbenannt wird, lohnt sich immer der Blick auf reservierte Decoder-Feldnamen/Aliase. In diesem Fall ist user fest an dstuser gebunden.

https://wazuh.slack.com/archives/C0A933R8E/p1765804058202159

Mehr zu Wazuh …

Mehr zum Wazuh Ambassador Program …

Quelle

Dieser Artikel stammt aus dem Wazuh-Blog von m.a.x. it (veröffentlicht am 20. Februar 2026).

Unterstützung von m.a.x. it

Bei Einführung, Betrieb und Feintuning von Wazuh (SIEM) unterstützt Sie m.a.x. it mit SIEM-Services auf Open-Source-Basis.

Über m.a.x. it Die m.a.x. Informationstechnologie AG ist seit über 30 Jahren IT-Partner mittelständischer und großer Unternehmen in München und bietet maßgeschneiderte Lösungen und Services in den Bereichen Cloud, Cybersecurity, Netzwerk, Windows, Linux und Softwareentwicklung. Sie haben eine Frage zu diesem Artikel oder brauchen Unterstützung? Kontakt aufnehmen