Caddy Logs per Wazuh Agent einsammeln

[marcquark]

Auf meiner OPNsense läuft Caddy als Reverse Proxy für diverse Dienste, die teilweise auch aus dem Internet erreichbar sind. Ich spiele gerade mit Wazuh rum und es wäre ja naheliegend, die Caddy Access Logs mit dem Agent einzusammeln. Allein es scheint nicht zu funktionieren. Was ich bisher gemacht habe:

• Wazuh Server aufgesetzt
• Wazuh Agent auf OPNsense installiert und bei Applications entsprechend meiner Nutzung folgendes mitgenommen:
  
  • audit
  • caddy
  • configd.py
  • dhcpd
  • filterlog
  • firewall
  • kernel
  • lighttpd
  • miniupnpd
  • ntpd
  • unbound
  • bgpd
  • zebra
  • wireguard
• Am Wazuh Server geprüft, dass Daten prinzipiell ankommen
• Auf OPNsense /var/ossec/logs/opnsense_syslog.log geprüft - hier sind keine Caddy Access Logs
• In den Caddy Settings Log HTTP Access in JSON Format aktiviert und deaktiviert - kein Unterschied

Ich sehe kein einziges Event aus dem Caddy Log in Wazuh. Hat das schon mal jemand gemacht? Mach' ich was falsch oder interpretiere ich die Application caddy in den Wazuh Agent Settings falsch, und die überträgt gar keine Access Logs?

[Patrick M. Hausen]

Ich weiß nicht, wie Wazuh funktioniert, aber die Access Logs von Caddy landen in /var/log/caddy/access/*, nicht in /var/ossec/logs/opnsense_syslog.log.

[marcquark]

Ich weiß nicht, wie Wazuh funktioniert, aber die Access Logs von Caddy landen in /var/log/caddy/access/*, nicht in /var/ossec/logs/opnsense_syslog.log.

Mittlerweile bin ich da aufgeklärt (aka hab' den Mittag mit Code Durchwühlen verbracht). Das Wazuh Agent Plugin klinkt sich in syslog-ng ein und muss dann aber alles, was zu Wazuh soll, noch mal in ein lokales File schreiben, damit der Wazuh Agent sie auslesen kann. Das ist die /var/ossec/logs/opnsense_syslog.log. Eine Pipe geht wohl derzeit seitens Wazuh nicht.


Dass die Caddy Logs nicht mit kommen ist ein Bug, der sich wiederum aus der Caddy Syslog Integration ergibt. Lösungsansätze gibt's mehrere, ich hoffe mir antwortet einer der Maintainer was bevorzugt wäre :) https://github.com/opnsense/plugins/issues/5859