Wazuh ile Açık Kaynak Güvenlik İzleme ve Proaktif Tehdit Müdahalesi

Sistem güvenliği, modern IT altyapılarında sürekli bir zorluk teşkil eder. Geleneksel güvenlik duvarları ve antivirüs çözümleri, dinamik tehdit ortamında yetersiz kalabilir. Bu bağlamda, Security Information and Event Management (SIEM) çözümleri, log verilerini merkezi olarak toplayarak, analiz ederek ve korele ederek anormallikleri tespit etmede kritik bir rol oynar. Açık kaynak SIEM çözümleri arasında öne çıkan Wazuh, entegre host tabanlı güvenlik izleme, log analizi, bütünlük kontrolü ve güvenlik yapılandırma analizi yetenekleriyle kurumların güvenlik duruşunu güçlendirir.

Wazuh'un Mimari Yapısı ve Temel Bileşenleri

Wazuh, dağıtık bir yapıya sahiptir ve temel olarak üç ana bileşenden oluşur: Wazuh Agent, Wazuh Manager ve Wazuh Indexer & Dashboard (OpenSearch veya Elasticsearch/Kibana). Bu bileşenlerin uyumlu çalışması, güvenlik verilerinin toplanmasından görselleştirilmesine kadar tüm süreci kapsar.

• Wazuh Agent: İzlenecek her sunucu, sanal makine, konteyner veya bulut iş yüküne kurulan hafif bir istemcidir. Sistem loglarını (syslog, güvenlik logları), dosya bütünlüğü değişikliklerini, konfigürasyon değişikliklerini ve zafiyet verilerini toplar.
• Wazuh Manager: Agent'lardan gelen veriyi alır, normalize eder, kurallara göre işler ve potansiyel güvenlik olaylarını tespit eder. Active Response modülü ile otomatik müdahale yetenekleri sunar.
• Wazuh Indexer & Dashboard: İşlenmiş veriyi depolayan (OpenSearch veya Elasticsearch) ve görselleştiren (OpenSearch Dashboards veya Kibana) bileşenlerdir. Güvenlik analizcilerinin olayları araştırması, raporlaması ve trendleri izlemesi için zengin bir arayüz sağlar.

Wazuh Agent kurulumu, hedef sistemin işletim sistemine göre farklılık gösterir. Örneğin, Linux tabanlı bir sistemde agent kurulumu genellikle aşağıdaki gibi bir dizi komutla gerçekleştirilir:

curl -so ~/wazuh-agent.deb https://packages.wazuh.com/4.x/apt/pool/main/w/wazuh-agent/wazuh-agent_4.7.2-1_amd64.deb sudo WAZUH_MANAGER='192.168.1.10' dpkg -i ~/wazuh-agent.deb /var/ossec/bin/wazuh-control start

Bu komutlar, Debian tabanlı bir sisteme Wazuh Agent'ı indirir, belirli bir Manager IP adresine bağlar ve servisi başlatır. Agent, kurulduktan sonra otomatik olarak Manager ile iletişim kurar ve veri toplamaya başlar.

Olay Tespiti ve Kural Yönetimi

Wazuh Manager, Agent'lardan gelen logları, önceden tanımlanmış veya özel olarak oluşturulmuş kurallarla eşleştirerek güvenlik olaylarını tetikler. Binlerce hazır kural (Out-of-the-Box) barındırmasının yanı sıra, XML tabanlı DSRL (Domain Specific Rule Language) kullanarak kendi özel kurallarınızı yazmanıza olanak tanır. Bu esneklik, belirli tehditlere veya iş gereksinimlerine yönelik tespit mekanizmaları oluşturmak için hayati önem taşır.

Örneğin, bir Linux sunucuda beklenmedik bir ‘root’ kullanıcısı ile SSH oturumu açma girişimini tespit etmek için basit bir kural aşağıdaki gibi tanımlanabilir:

<rule id="100001" level="10">  <if_sid>5710</if_sid>  <match>authentication failure for root</match>  <description>Root kullanicisi icin SSH basarisiz giris denemesi.</description>  <group>authentication_failure,pci_dss_10.2.4,pci_dss_10.2.5,gdpr_IV_35.7.d,hipaa_164.312.b,nist_800_53_AC.7,nist_800_53_AU.14,nist_800_53_AC.7,nist_800_53_AU.6</group></rule>

Bu kural, 5710 numaralı SSH kimlik doğrulama hatası kuralı tetiklendiğinde ve log içeriğinde “authentication failure for root” ifadesi bulunduğunda 10 seviyesinde bir uyarı oluşturur. Bu, yetkisiz root erişim denemelerinin anında fark edilmesini sağlar.

Gerçek Bir Senaryo: AWS Ortamında Yetkisiz Erişim Tespiti

Bir AWS EC2 örneğinde, dışarıdan gelen brute-force SSH saldırılarını veya içeriden yetkisiz erişim denemelerini tespit etmek kritik bir güvenlik gereksinimidir. Wazuh, bu tür senaryolarda proaktif izleme ve müdahale yetenekleri sunar.

Senaryo: Bir geliştirme EC2 instance'ına, internete açık SSH portu üzerinden (doğru olmayan bir güvenlik uygulaması olsa da) yetkisiz SSH denemeleri yapıldığını varsayalım. Bu saldırıları Wazuh ile nasıl izleriz?

1. Log Toplama: EC2 instance'ına kurulu Wazuh Agent, /var/log/auth.log (veya dağıtıma göre benzeri) dosyasını sürekli izler. Bu log dosyası, SSH bağlantı denemeleri dahil tüm kimlik doğrulama olaylarını içerir.
2. Kural Eşleştirme: Agent tarafından toplanan loglar Manager'a gönderilir. Manager, bu logları hazır SSH kurallarıyla (örneğin, syslog ve sshd decoder'ları tarafından işlenen 5710 numaralı kural) eşleştirir. Belirli bir IP adresinden art arda başarısız SSH denemeleri olduğunda, Wazuh otomatik olarak daha yüksek seviyeli bir uyarı tetikler.
3. Otomatik Müdahale (Active Response): Wazuh'un Active Response özelliği sayesinde, belirli bir kural tetiklendiğinde otomatik olarak bir script çalıştırılabilir. Bu senaryoda, aynı IP adresinden belirli sayıda başarısız denemenin ardından o IP adresini güvenlik duvarında (iptables/firewalld) engellemek için bir script devreye sokulabilir.

ossec.conf içinde Active Response yapılandırması şu şekilde olabilir:

<ossec_config>  <active-response>    <command>firewall-drop</command>    <location>local</location>    <rules_id>5712</rules_id>    <timeout>600</timeout>  </active-response></ossec_config>

Bu yapılandırma, 5712 (SSH brute-force) kuralı tetiklendiğinde firewall-drop komutunu yerel olarak çalıştırır ve saldırgan IP adresini 600 saniye boyunca engeller. Bu, saldırının yayılmasını engellemek için hızlı ve otomatik bir tepki sağlar.

Güvenlik Duruşu Yönetimi ve Uyumluluk

Wazuh, sadece olay tespiti yapmakla kalmaz, aynı zamanda Security Configuration Assessment (SCA) modülü ile sistemlerin güvenlik duruşunu değerlendirir. CIS Benchmarks, PCI DSS ve GDPR gibi uluslararası standartlara uygunluk denetimleri için özel ilkeler (policies) tanımlayabilir. SCA, sistem konfigürasyonlarını düzenli olarak kontrol ederek, zayıf parolalar, açık portlar veya hatalı dosya izinleri gibi uyumsuzlukları raporlar.

<!-- /var/ossec/etc/shared/default/cis_centos7_linux_level1_workstation.yml --><policy>  <id>cis_centos7_linux_level1_workstation</id>  <name>CIS CentOS 7 Linux Level 1 Workstation Benchmark</name>  <description>Checks for CIS CentOS 7 Linux Level 1 Workstation compliance.</description>  <rules>    <rule id="1.1.1">      <check type="audit">        <file>/etc/fstab</file>        <condition>      <search>nodev .* /tmp</search>        </condition>      </check>      <description>1.1.1 Ensure /tmp is configured</description>    </rule>    <rule id="1.1.2">      <check type="audit">        <file>/etc/fstab</file>        <condition>      <search>noexec .* /tmp</search>        </condition>      </check>      <description>1.1.2 Ensure /tmp is configured</description>    </rule>  </rules></policy>

Yukarıdaki örnek bir SCA ilke dosyası parçası, /tmp dizininin nodev ve noexec seçenekleriyle bağlı olup olmadığını kontrol ederek CIS CentOS 7 uyumluluğunu denetler. Bu, sistem yöneticilerine uyumluluk açıklarını proaktif olarak tespit etme imkanı sunar.

Ölçeklenebilirlik ve Entegrasyonlar

Büyük ve karmaşık altyapılarda Wazuh, Manager bileşenlerinin yük dengelemesi (load balancing) ve dağıtık Indexer mimarisi ile kolayca ölçeklenebilir. Ayrıca, SOAR (Security Orchestration, Automation and Response) platformları, ITSM (IT Service Management) araçları ve diğer güvenlik çözümleriyle API'ler aracılığıyla entegre edilebilir. Bu entegrasyonlar, olay müdahale süreçlerini otomatize eder ve mevcut IT operasyonlarına sorunsuz bir şekilde entegrasyon sağlar.

Wazuh, kapsamlı izleme, tespit, analiz ve müdahale yetenekleriyle kurumların siber güvenlik direncini artırmak için güçlü ve maliyet etkin bir açık kaynak SIEM çözümüdür. Gerçek zamanlı görünürlük sağlayarak, güvenlik ekiplerinin tehditleri daha hızlı tespit etmesine ve etkili bir şekilde müdahale etmesine olanak tanır.