Препарируем Wazuh. Часть 3: источники не из коробки

[Nec_Romancer]

level="0"

в правиле сразу дропнет событие, если не будет поверх другого с этим в <if_sid>. А в примере нет ничего другого, так что ничего он не залогирует.