Wazuh 4.14 ile SIEM'e Giriş: Kurulum ve İlk Alarm Kuralları 10-16-2026, 08:19 AM (Son Düzenleme: 10-16-2026, 05:02 PM, Düzenleyen: Tonyukuk.)
Wazuh 4.14 ile SIEM'e Giriş
Merhaba,
Wazuh, açık kaynak XDR/SIEM platformudur. 15 Ekim 2026'da v4.14.9 yayımlandı. Bu rehberde tek düğüm lab kurulumu ve ilk alarm mantığını anlatıyoruz.
Konuda Anlatılacaklar
- Mimariye kısa bakış
- Lab kurulumu (Docker)
- Ajan bağlama
- İlk kural / uyarısı
- Kaynakça
1) Mimari
- Wazuh indexer: Log depolama / arama
- Wazuh manager: Analiz, kurallar, ajan yönetimi
- Wazuh dashboard: Web arayüzü
- Ajanlar: Uç noktalarda log ve FIM
2) Lab Kurulumu (Docker)
Resmi dokümantasyondaki tek düğüm / Docker Compose senaryosunu kendi lab sunucunuzda izleyin:
Kod:
# Örnek iskelet (sürüm numaralarını resmi dokümana göre güncelleyin)
git clone https://github.com/wazuh/wazuh-docker.git
cd wazuh-docker/single-node
docker compose up -d
# Dashboard genelde https://localhost:4433) Ajan Bağlama
Kod:
# Linux ajan (lab)
curl -s https://packages.wazuh.com/key/GPG-KEY-WAZUH | gpg --dearmor > /tmp/wazuh.gpg
# Resmi paket deposundan ajanı kurun; WAZUH_MANAGER=lab_ip ile kaydedin4) İlk Alarm Fikri
- SSH başarısız giriş eşiği
- Yeni root yetkili kullanıcı oluşturma
- Web sunucu 4xx/5xx patlaması
- FIM: /etc/passwd veya /etc/sudoers değişimi
Kod:
# Manager üzerinde kural dosyaları genelde
# /var/ossec/etc/rules/local_rules.xml
# Değişiklikten sonra:
# systemctl restart wazuh-manager5) İyi Uygulamalar
- Lab ile production'ı ayırın
- Ajan iletişimi için TLS zorunlu
- Disk doluluğunu izleyin (indexer şişer)
- Her alarm için "ne yapacağız?" runbook'u yazın
Kaynakça
Görsel: TurkTeam özgün kapak görseli.
Alıntı:Yasal Uyarı: SIEM'i yalnızca yönettiğiniz sistemlerde kurun. Başkasının loglarını izinsiz toplamak hukuka aykırıdır.