Açık Kaynaklı Wazuh SIEM Kurulumu, Syslog ve Windows Event Ajanları ile Merkezi Tehdit Algılama

Bir siber güvenlik olayı yaşandığında bir sistem yöneticisinin 50 farklı sunucunun Event Viewer'ını tek tek açıp arama yapması saatler kaybettirir. Üstelik içeri sızan akıllı bir saldırganın ilk yaptığı hamle, arkasında delil bırakmamak için yerel logları temizlemektir (wevtutil cl Security). Tüm sunucu ve ağ cihazlarının loglarını tek bir güvenli, kurcalanamaz merkezde toplamak ve gerçek zamanlı tehdit alarmları üretmek için Wazuh SIEM (Güvenlik Bilgisi ve Olay Yönetimi) mimarisini kurduk.

1. Neden Wazuh? (Açık Kaynak Gücü)

Wazuh; Splunk, QRadar veya Microsoft Sentinel gibi lisanslı devlerin sunduğu temel yetenekleri (Log Toplama, HIDS/XDR, Tehdit İstihbaratı ve Uyum Denetimi) tek kuruş lisans ücreti ödemeden sunar:

Wazuh Indexer (OpenSearch Tabanlı): Milyonlarca logu saniyeler içinde arayan dağıtık NoSQL motoru.
Wazuh Server & Rules Engine: Gelen logları MITRE ATT&CK matrisiyle eşleştiren ve korelasyon kuran beyin.
Wazuh Dashboard: Görsel grafikler ve interaktif SOC paneli.

2. Windows Ajanlarının GPO ile Otomatik Dağıtımı

Holding bünyesindeki 300 Windows istemciye ve 50 sunucuya Wazuh ajanını Active Directory GPO üzerinden dağıtıyoruz:

# Windows Ajanı Sessiz Kurulum Komutu
msiexec.exe /i wazuh-agent-4.7.0.msi /q WAZUH_MANAGER='siem.holding.local' WAZUH_REGISTRATION_SERVER='siem.holding.local' WAZUH_AGENT_GROUP='Corporate_Servers'
NET START Wazuh

3. Sophos ve Cisco Cihazlarından Syslog Kabulü

Ağ anahtarları ve güvenlik duvarları ajan çalıştıramaz; bu cihazlar loglarını Syslog (UDP 514) üzerinden Wazuh sunucusuna fırlatır:

<!-- /var/ossec/etc/ossec.conf içine Syslog dinleyicisi ekleme -->
<remote>
  <connection>syslog</connection>
  <port>514</port>
  <protocol>udp</protocol>
  <allowed-ips>10.10.10.0/24</allowed-ips>
</remote>

4. Şüpheli PowerShell ve Mimikatz Saldırılarını Yakalama

Wazuh'un yerleşik kuralları sayesinde, bir saldırgan sunucuda mimikatz.exe, vssadmin delete shadows veya base64 ile şifrelenmiş şüpheli bir PowerShell komutu çalıştırdığı anda:

Sistem saniyeler içinde Kural Seviyesi 12 (Yüksek Tehdit) alarmı üretir.
Saldırganın IP adresi, oturum açtığı kullanıcı ve çalıştırılan komut satırı tek ekranda belirir.

Karşılaşılan Kritik Hatalar ve Çözüm İpuçları

Disk Alanı Tükenmesi (Log Rotasyonu): Günlük 50 GB log üreten bir holdingde Wazuh index diski hızla dolabilir. OpenSearch Index State Management (ISM) kuralları yazılarak 30 günden eski loglar otomatik "Warm" katmanına alınmalı, 90 günden eskiler sıkıştırılarak arşive çekilmelidir.

Mühendis Notu

Bir SIEM sistemi kurmak işin %20'sidir; asıl mühendislik o logları okuyup gürültüyü (noise) filtreleyerek gerçek tehditleri yakalayacak özel kurallar yazmaktır. Wazuh ile kendi SOC operasyonunuzu sıfır lisans maliyetiyle inşa edebilirsiniz.