如何用Wazuh 4.3 API/界面获取/var/ossec/logs/alerts日志？调用接口未果

一、API正确调用方式 #

/manager/logs接口默认返回的是Wazuh管理器的系统日志（如ossec.log），并非alert目录下的日志。要获取目标路径的日志，必须指定log_path参数：

1. curl请求示例：

curl -k -X GET "https://192.168.186.134:55000/manager/logs?log_path=/var/ossec/logs/alerts/alerts.log" \
  -H "Authorization: Bearer YOUR_API_TOKEN"

• 替换YOUR_API_TOKEN为你的Wazuh API令牌
• 若需获取alerts.json或其他alert日志，修改log_path对应的完整路径即可

2. 可选参数：

• offset：指定从日志的第N行开始读取
• limit：限制返回的日志行数，用于分页读取大文件

二、Web界面操作步骤 #

1. 登录Wazuh Dashboard
2. 左侧菜单进入Management > Logs
3. 在页面顶部的Log file下拉框中选择目标alert日志（如alerts.log或alerts.json），即可直接查看日志内容

三、常见排查点 #

• 确认log_path参数填写的是完整绝对路径，Wazuh 4.3中alert日志默认路径为/var/ossec/logs/alerts/
• 检查API令牌是否拥有manager_logs权限（可通过/security/users接口验证用户权限配置）
• 若返回权限错误，需为对应用户分配包含manager_logs权限的角色

内容的提问来源于stack exchange，提问作者julylies