Wazuh Alert를 Discord로

#!/usr/bin/python3
# Wazuh 경고를 읽고 발생 시각을 한국 시간(KST)으로 변환한 뒤,
# Discord 웹훅으로 메시지를 전송합니다.

import json
import logging
import sys
import urllib.error
import urllib.parse
import urllib.request
from datetime import datetime, timezone, timedelta


# 전송 성공·실패를 파일에 기록합니다.
# 인증 정보가 포함된 웹훅 URL은 기록하지 않습니다.
logging.basicConfig(
    filename="/var/ossec/logs/integrations.log",
    level=logging.INFO,
    format="%(asctime)s custom-discord %(levelname)s: %(message)s",
)

# 한국 시간(KST)은 세계 기준 시간인 UTC보다 9시간 빠릅니다.
KST = timezone(timedelta(hours=9))


def format_kst(raw_timestamp):
    """Wazuh 발생 시각을 읽어 한국 시간(KST)으로 변환합니다."""

    # 발생 시각이 없으면 기본 문구를 반환합니다.
    if not raw_timestamp:
        return "알 수 없음"

    # 앞뒤 공백을 제거하고, UTC를 나타내는 Z를 +0000으로 바꿉니다.
    timestamp = str(raw_timestamp).strip()
    if timestamp.endswith("Z"):
        timestamp = timestamp[:-1] + "+0000"

    # 시간대가 +00:00 또는 +09:00 형태라면 콜론을 제거합니다.
    # +0000, +0900 형태로 통일해 Python 버전 간 차이를 줄입니다.
    if (
        len(timestamp) >= 6
        and timestamp[-6] in ("+", "-")
        and timestamp[-3] == ":"
    ):
        timestamp = timestamp[:-3] + timestamp[-2:]

    # %f는 소수점 이하 초, %z는 UTC와의 시간 차이를 뜻합니다.
    # 소수점 이하 초가 있는 형식과 없는 형식을 모두 지원합니다.
    formats = (
        "%Y-%m-%dT%H:%M:%S.%f%z",
        "%Y-%m-%dT%H:%M:%S%z",
    )

    for timestamp_format in formats:
        try:
            # 지정한 형식에 맞춰 문자열을 날짜·시간 객체로 읽습니다.
            occurred_at = datetime.strptime(timestamp, timestamp_format)

            # 원본 시간대를 기준으로 KST로 변환합니다.
            # 이미 한국 시간이면 9시간을 중복으로 더하지 않습니다.
            return occurred_at.astimezone(KST).strftime(
                "%Y-%m-%d %H:%M:%S KST"
            )
        except ValueError:
            # 현재 형식과 일치하지 않으면 다음 형식을 시도합니다.
            continue

    # 시간대를 알 수 없거나 형식이 다르면 원본을 표시합니다.
    # 시간 변환이 실패해도 경고 전송은 계속합니다.
    return f"{raw_timestamp} (시간 형식 또는 시간대 확인 필요)"


def main():
    """Wazuh 경고 파일을 읽고 Discord에 메시지를 전송합니다."""

    # Wazuh가 전달하는 실행 인자:
    # 1번: 경고 파일 경로
    # 2번: API 키 — Discord 연동에서는 사용하지 않습니다.
    # 3번: 웹훅 URL
    if len(sys.argv) < 4:
        raise ValueError("필수 실행 인자가 없습니다.")

    alert_path = sys.argv[1]
    webhook_url = sys.argv[3]

    # 경고를 잘못된 주소로 보내지 않도록 Discord 주소인지 확인합니다.
    # HTTPS는 통신 내용을 암호화하는 연결 방식입니다.
    url = urllib.parse.urlsplit(webhook_url)
    if (
        url.scheme != "https"
        or url.hostname != "discord.com"
        or not url.path.startswith("/api/webhooks/")
    ):
        raise ValueError("Discord 웹훅 URL을 확인하세요.")

    # JSON 형식의 경고 파일을 읽습니다.
    # JSON은 이름과 값의 쌍으로 정보를 표현하는 데이터 형식입니다.
    with open(alert_path, encoding="utf-8") as alert_file:
        alert = json.load(alert_file)

    # rule은 경고를 발생시킨 탐지 규칙입니다.
    # agent는 Wazuh가 감시하는 장비입니다.
    rule = alert.get("rule") or {}
    agent = alert.get("agent") or {}

    # 원본 발생 시각을 한국 시간으로 변환합니다.
    display_timestamp = format_kst(alert.get("timestamp"))

    # Discord에 보낼 경고 요약을 만듭니다.
    # 민감한 정보가 포함될 수 있는 원본 로그(full_log)는 제외합니다.
    message = (
        "🚨 Wazuh 경고\n"
        f"발생 시각: {display_timestamp}\n"
        f"장비: {agent.get('name') or '알 수 없음'}\n"
        f"규칙 ID: {rule.get('id') or '알 수 없음'}\n"
        f"경고 수준: {rule.get('level', '알 수 없음')}\n"
        f"내용: {rule.get('description') or '설명 없음'}"
    )

    # payload는 Discord에 전송할 데이터입니다.
    payload = {
        # 메시지가 너무 길어지지 않도록 길이를 제한합니다.
        "content": message[:1800],

        # 경고에 @everyone 등이 포함되어도 단체 호출을 하지 않습니다.
        "allowed_mentions": {"parse": []},
    }

    # wait=true를 추가해 Discord의 메시지 처리 응답을 기다립니다.
    query = urllib.parse.parse_qs(url.query)
    query["wait"] = ["true"]
    target_url = urllib.parse.urlunsplit(
        url._replace(
            query=urllib.parse.urlencode(query, doseq=True)
        )
    )

    # POST는 서버에 데이터를 보내는 요청 방식입니다.
    # 한글이 정상적으로 전달되도록 UTF-8로 인코딩합니다.
    request = urllib.request.Request(
        target_url,
        data=json.dumps(
            payload,
            ensure_ascii=False,
        ).encode("utf-8"),
        headers={
            "Content-Type": "application/json",
            "User-Agent": "Wazuh-Discord-Integration/1.0",
        },
        method="POST",
    )

    # 응답을 무한정 기다리지 않도록 10초 제한을 둡니다.
    with urllib.request.urlopen(request, timeout=10) as response:
        logging.info("전송 성공: HTTP %s", response.status)


if __name__ == "__main__":
    try:
        main()

    except urllib.error.HTTPError as error:
        # HTTP 상태 코드는 Discord의 요청 처리 결과를 나타냅니다.
        # 예: 429는 짧은 시간에 요청을 너무 많이 보냈다는 의미입니다.
        logging.error("Discord 전송 실패: HTTP %s", error.code)
        sys.exit(1)

    except Exception as error:
        # 오류 전문에 웹훅 URL이 포함될 수 있어 오류 종류만 기록합니다.
        logging.error("전송 실패: %s", type(error).__name__)
        sys.exit(1)