如何定制Wazuh自定义SCA策略?

Wazuh 的 SCA 检查提示“不合规”，不一定是服务器配置有问题，也可能是规则拿错了“户型图”：站点不在默认目录、PHP-FPM 使用独立账号，却仍按标准单站架构检查。定制策略的目的，是让检查贴合实际部署，而不是把红色告警全部改成绿色。

先确定规则要检查什么

动手修改前，先记录站点根目录、Web 与 PHP-FPM 的运行账号、上传目录的存储方式，以及更新由后台还是发布流程完成。这些信息决定了检查边界。

例如，WordPress 部署在 /srv/www/site1，规则却查找 /var/www/html，应该调整检测路径，而不是搬动网站。核心文件由发布账号持有、PHP 进程只读，也不能仅因属主不是 www-data 就判定为风险。

复制策略，再修改判定逻辑

可以克隆现有 WordPress/linux SCA YAML 策略文件，保留原文件用于对照和回退。在副本中逐项核对 rules: 判定块里的路径与检查条件，将默认路径调整为实际部署路径。不要把路径替换当作全部工作：多站点、独立运行账号和挂载目录，都可能需要分别判断。

遇到失败项，先区分三种情况：

• 真实风险：例如敏感文件允许过宽的写入权限，应整改配置，而非放宽规则。
• 规则不适用：调整检查条件；需要豁免时，记录原因和安全补偿措施。
• 探测失败：核查 Agent 的读取权限和匹配逻辑，不能直接当作通过。

上传目录尤其容易误判。若已在 Nginx/Apache 层阻断其中的 .php 请求，就应核验这项控制，而不是为了通过检查，取消媒体上传所需的写入权限。

用复扫验证策略是否可靠

先在单站点试行，让 Agent 使用修改后的策略重新评估，并将结果与人工检查对账。既要确认合理配置不再误报，也要确认原本存在的风险没有被宽松条件掩盖。涉及业务配置变更时，还应验证后台登录、媒体上传和更新流程。

一份可维护的自定义策略，应该能解释“查哪里、为什么这样判、哪些情况不适用”。通过率只是结果，判断是否可信才是重点。