HIDS 客户端上报口
开源主机入侵检测系统的客户端上报端口：OSSEC 与 Wazuh agent 默认通过 1514 把日志与文件完整性事件送到 manager，注册阶段另用 1515。事件通道一断等于入侵检测停摆，因此在监控里它属于关键链路。
基本信息
| 服务 | Wazuh / OSSEC agent 上报 |
|---|---|
| 协议 | TCP（部分环境可用 UDP，常叠加 TLS） |
| 默认端口 | 1514（注册 1515） |
| 组件 | agent 与 manager |
| 暴露面 | 仅安全平台网段 |
典型使用场景
- 文件完整性监控事件上报
- 系统与认证日志集中收集
- 漏洞与合规检查结果回传
- 主动响应：agent 执行 manager 下发的处置命令
- 纳管新主机时的注册流程
通道与在线状态核对
通道与在线状态核对
ss -lntp | grep -E '1514|1515'
# manager 侧查看已纳管 agent:
/var/ossec/bin/agent_control -l # OSSEC 及兼容版本
# 新版 Wazuh 也可用 wazuh-control status 与 manager 日志
# 配置: ossec.conf 中 <client><server><address>...<port>1514排障与核对
| 检查项 | 做法 | 异常表现 |
|---|---|---|
| 端口监听 | ss -lntp | grep -E '1514|1515' | 1514 不在：manager 未起或被防火墙拦 |
| Agent 在线 | agent_control 或平台界面 | 显示 disconnected：检测出现盲区 |
| 加密 | 服务端与客户端的 TLS 配置 | 未加密：事件可被窃听或伪造 |
| 队列 | manager 日志中的队列信息 | 大规模重连时队列积压，事件延迟上报 |
manager 重启或升级后所有 agent 会集中重连，规模大时要评估 1514 的连接风暴与解析压力；把 agent 在线率纳入告警，比只关心某个检测项是否触发更重要。
为什么它必须被监控
HIDS 的价值完全依赖 agent 与 manager 之间的通道：通道断开时系统不会产生任何告警，看起来一切正常，实际已经失去检测能力。正因如此，干扰或切断这类上报通道本身就是常见的攻击前置动作，通道状态要当可用性指标来盯。
注册端口 1515 只在纳管新主机时使用，可以按需开关或限制来源；日常运行只保留 1514 通道，既减少暴露面，也便于审计哪些主机被加入过平台。
HIDS 通道断开却不告警：入侵检测形同虚设，可能数周无人发现，事后连日志都不完整。
agent 与 manager 之间时间不同步时事件时间戳会错位，攻击链回溯时会得到错误的先后关系；平台侧统一时间同步是基本要求。