Windows上ossec-agent不启动是因服务注册未指定正确配置路径，需勾选“Register agent manually”、用sc命令防禁用、调高syscheck频率、禁用rootcheck、启用Security日志采集并确保密钥为二进制client.keys。
ossec-agent 在 Windows 上安装后不启动服务
Windows 端 ossec-agent 安装后服务状态常显示“已停止”，且手动启动失败，日志里反复出现 ERROR: Unable to open conf file '/var/ossec/etc/ossec.conf' —— 这是因为 Windows 客户端默认仍尝试读取 Linux 路径，实际配置文件在 C:\Program Files (x86)\ossec-agent\ossec.conf，但服务注册时没指定正确路径。
- 安装时必须勾选“Register agent manually”，否则会跳过 server 地址和密钥绑定步骤
- 安装完成后，用管理员权限运行
cmd，执行：sc failure "OssecSvc" reset= 0 actions= restart/60000/restart/60000/restart/60000
避免因启动失败被系统禁用服务 - 确认
ossec.conf中<client>段的<server-ip>指向的是 Linux server 的真实 IP（不是localhost或内网 DNS 名），且防火墙放行 UDP 1514 端口
ossec-server 收不到 Windows agent 心跳，但 Linux agent 正常
Linux server 日志 /var/ossec/logs/ossec.log 里有 Received request to register agent from '192.168.x.x'，但后续无心跳记录，说明注册成功但通信中断。根本原因通常是 Windows agent 使用了默认的 syscheck 扫描策略，触发大量 NTFS 元数据读取，在某些杀毒软件或高负载下直接卡死进程。
Linux系统管理专家，覆盖12大模块：用户权限、SSH、存储、网络、systemd、防火墙、日志监控、备份恢复、TLS证书、Ansible、容器、IaC。提供配置、验证、加固、监控、备份、自动化、故障排查、回滚闭环。关键词：useradd、sudo、sshd_config、chmod、SEL...
- 编辑 Windows 端
C:\Program Files (x86)\ossec-agent\ossec.conf，把<syscheck>块中<frequency>从默认 43200（12 小时）调高到 86400（24 小时），并添加<skip-nfs>yes</skip-nfs> - 禁用 Windows agent 的 rootkit 检测：
<rootcheck><disabled>yes</disabled></rootcheck>，它在非管理员上下文容易静默失败 - 确保 Linux server 的
/var/ossec/etc/ossec.conf中<auth>段启用了<use_password>no</use_password>（默认开启），否则 Windows agent 无法完成预共享密钥认证
跨平台规则里 Windows 事件日志解析不生效
想用 ossec-logcollector 抓取 Windows Security Event Log，但 ossec.log 里始终没有对应条目，windows 类型日志根本进不了规则引擎。这不是配置遗漏，而是 ossec 默认只采集 Application/System 日志，Security 日志需要显式启用且依赖权限。
- Windows agent 安装必须使用 Administrator 账户，普通用户无法订阅 Security 日志
- 在
ossec.conf的<localfile>块中，必须写全路径：<localfile> <log_format>eventchannel</log_format> <location>Security</location> </localfile>
注意<location>是事件查看器里的“日志名称”，不是文件路径 - Linux server 端需在
/var/ossec/ruleset/rules/下新增自定义规则文件（如win-security_rules.xml），用<rule id="100200" level="7">匹配win_eventchannel类型事件，不能复用 Linux 的syslog规则
agent 注册后 server 显示 “agent is never connected”
执行 /var/ossec/bin/agent_control -l 可看到 agent 列表，但状态始终是 Never connected，即使 Windows 服务显示“正在运行”。这通常意味着 agent 发送的加密包被 server 解密失败，根源在密钥同步环节。
- 不要用
manage_agents在 server 上导出密钥再手动复制到 Windows —— Windows agent 不识别 base64 编码格式的密钥文件，必须用manage_agents -e <agent_id>导出原始二进制密钥，并保存为client.keys（无扩展名），放在C:\Program Files (x86)\ossec-agent\下 - 检查 Windows agent 进程是否以 SYSTEM 账户运行：任务管理器 → 详细信息 → 查看 → 选择列 → 勾选“用户名”，若显示为安装时的普通用户，则需在服务属性中勾选“允许服务与桌面交互”并重设登录账户为
NT AUTHORITY\SYSTEM - Linux server 的
/var/ossec/etc/ossec.conf中<auth>段必须包含<port>1515</port>（manager 认证端口），而 agent 配置里<server-ip>对应的端口是1514（数据接收端口），两者不能混用
ossec.log 最后五行有没有 Started syscheck scan 或 Connected to server——没这两句，其他都白搭。 
