Wazuh ile SIEM: ajanlar, kurallar, aktif yanıt
Wazuh yöneticisine Linux ve Windows ajanları bağlar, çözücü ve kural yazar, bütünlük ve zafiyet modüllerini açar, aktif yanıtla saldırgan IP’yi otomatik engellersin.
Seviye 201 · 16 ders · 18 pratik lab
Dersler
Kurulum ve ajanlar
- Wazuh bileşenleri ve veri akışı
- Ajan kaydı ve ajan grupları
- ossec.conf ile log toplama
- Gösterge panelinde gezinmek ve olay aramak
- Kısa görev: bir Linux ve bir Windows ajanını gruba ekle, loglarını gör
Çözücüler ve kurallar
- Çözücüler: özel bir uygulama logunu ayrıştırmak
- Kural yapısı: seviye, eşleşme, grup
- İlişkili kurallar: sıklık ve zaman penceresi
- wazuh-logtest ile kuralları sınamak
- Kısa görev: beş dakikada on hatalı girişe yüksek seviyeli uyarı yaz
Modüller
- Dosya bütünlüğü izleme modülü
- Yapılandırma değerlendirmesi (SCA)
- Zafiyet tespiti modülü
- Aktif yanıt: saldırgan IP’yi otomatik engellemek
- Kısa görev: aktif yanıtı bir yanlış pozitif seni kilitlemeyecek biçimde kur
Bitirme
- Bitirme görevi: küçük bir şirketin SIEM’ini Wazuh ile kur ve ilk saldırıyı yakala
Pratik lablar
- Yeni bir Linux ajanını gruba ekle ve günlüğünü gör: Ajanı kaydet, web sunucuları grubuna ata ve panelde ilk olayın geldiğini göster.
- Bağlantısı kopan ajanın nedenini bul: Ajan ve yönetici günlüklerini incele, anahtar ya da port sorununu gider ve ajanı etkin duruma getir.
- Özel uygulama günlüğünü ossec.conf ile topla: Grup yapılandırmasına localfile girişi ekle ve uygulama satırlarının yöneticiye ulaştığını göster.
- wazuh-logtest ile bir satırın hangi kurala düştüğünü gör: Verilen günlük satırını test et, çözücüyü, kural kimliğini ve seviyeyi yaz.
- Özel günlük biçimi için çözücü yaz: Kargo takip uygulamasının günlüğünden kullanıcı ve kaynak adresi çıkaran çözücü yaz ve logtest ile doğrula.
- Bu kuralın kaçırdığı olayı bul ve kuralı düzelt: Büyük küçük harf farkı yüzünden eşleşmeyen satırı bul, kuralı düzelt ve iki satırın da yakalandığını göster.
- On dakikada sekiz hatalı girişi yakalayan ilişkili kural yaz: frequency ve timeframe kullanan kuralı yaz, aynı kaynaktan gelen denemelerle tetikle ve seviyesini doğrula.
- Yönetici işleri için alarm seviyesini düşüren alt kural yaz: Bilinen yönetim sunucusundan gelen olayları ana kuralı bozmadan düşük seviyeye çeken alt kural ekle.
- Dosya bütünlüğü izlemeyi bir klasör için aç: Web kök dizinini gerçek zamanlı izlemeye al, bir dosyayı değiştir ve alarmı panelde bul.
- Yapılandırma değerlendirmesinde kalan maddeleri düzelt: SCA sonuçlarından üç başarısız maddeyi seç, sunucuda düzelt ve yeni taramada geçtiğini göster.
- Etkin müdahaleyi kendini kilitlemeden kur: Saldıran adresi on dakikalığına engelleyen müdahaleyi kur, beyaz listeyi ekle ve iki adresle test et.
- Zafiyet modülünün bulgusunu doğrula ve önceliklendir: Ajandaki paket sürümünü bulguyla karşılaştır, yanlış pozitifi ayır ve gerçek olanı yamala.
- Panelde bir ajanın son bir saatlik olaylarını süz: Ajan adına ve zaman aralığına göre süz, en yüksek seviyeli olayı aç ve alanlarını oku.
- Aynı adla iki kez kaydolan ajan sorununu çöz: Yeniden kurulan sunucunun eski ajan kaydıyla çakıştığını yönetici günlüğünden bul, eski kaydı kaldır, ajanı yeni anahtarla kaydet ve grubunun korunduğunu göster.
- Çok satırlı uygulama logunu tek olay olarak topla: Java hata izleri içeren logu çok satırlı okuma ayarıyla topla, bir çözücü yaz ve her hatanın tek uyarı olarak geldiğini göster.
- En çok uyarı üreten beş kuralı bul: Panodan son 24 saatte en çok tetiklenen beş kuralı ve ürettikleri uyarı sayılarını çıkar, gürültü adayı olanı işaretle.
- Bir ajanın açık envanterini panoda görüntüle: Seçilen ajanın kritik ve yüksek açıklarını paket adı ve sürümüyle listele.
- Açık tespit modülünü etkinleştir ve ilk sonuçları doğrula: Modülü yöneticide aç, ajanın paket envanterinin geldiğini kontrol et ve bir bulguyu makinedeki sürümle karşılaştır.
Kurs hakkında
Wazuh yöneticisine Linux ve Windows ajanları bağlar, çözücü ve kural yazar, bütünlük ve zafiyet modüllerini açar, aktif yanıtla saldırgan IP’yi otomatik engellersin.
Ne öğreneceksin
- Kurulum ve ajanlar
- Çözücüler ve kurallar
- Modüller
- Bitirme
Ön koşullar
Aynı yolun 101 düzeyindeki kurslarını bitirmiş olmak ya da o konuları biliyor olmak yeterlidir.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux masaüstünde geçer; araçlar pencereli arayüzleriyle hazırdır. Kurulum gerekmez, bilgisayar ekranı önerilir.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 201 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.