Wazuh Nedir? Ücretsiz SIEM Kurulumu ve İlk Kurallar

Küçük bir şirketin BT sorumlusu olduğunu düşün. Elinde yirmi bilgisayar, iki sunucu ve bir güvenlik duvarı var. Ticari bir SIEM lisansına bütçe yok ama "dün gece biri sunucuya girmeye çalıştı mı?" sorusunun cevabını bilmek istiyorsun. Wazuh tam bu boşluğu doldurur.

Bu yazıda Wazuh'un ne olduğunu, hangi parçalardan oluştuğunu, kurulum için ne gerektiğini ve ilk özel kuralını nasıl yazacağını bulacaksın. Rakamlar 2026 Ekim itibarıyla Wazuh'un resmî belgelerinden alındı.

Wazuh nedir?

Wazuh, uç noktalardan güvenlik verisi toplayıp kurallarla analiz eden açık kaynak bir SIEM ve XDR platformudur. Yazılım GPLv2 lisanslıdır ve kendi sunucuna kurduğunda lisans ücreti ödemezsin. Wazuh'un GitHub sayfasına göre proje, Daniel Cid'in başlattığı OSSEC projesine dayanır.

Wazuh tek bir işi değil, birkaç güvenlik işini aynı arayüzde birleştirir:

• Log analizi: İşletim sistemi ve uygulama kayıtlarını kurallarla tarar.
• Dosya bütünlüğü izleme (FIM): Kritik dosyalardaki içerik, izin ve sahip değişikliklerini yakalar.
• Zafiyet tespiti: Ajanların yazılım envanterini CVE veritabanlarıyla karşılaştırır.
• Yapılandırma değerlendirmesi: Sistemleri sertleştirme kılavuzlarına göre denetler.
• Aktif yanıt: Belirli bir alarmda otomatik önlem çalıştırabilir, örneğin bir IP'yi engelleyebilir.
• Bulut ve konteyner izleme: AWS, Azure ve Google Cloud kayıtlarını, Docker ortamlarını izler.

SIEM kavramının kendisini SIEM nedir yazısında Splunk, Sentinel ve Elastic üzerinden anlattık. Bu yazı Wazuh'un pratiğine odaklanıyor.

Wazuh ücretsiz mi?

Wazuh yazılımının tamamı ücretsizdir; ücret yalnız barındırma ve destek hizmetinde çıkar. Kendi sunucuna kurduğun Wazuh'ta özellik kısıtı ya da ajan sınırı yoktur. Wazuh Inc. ayrıca yönetilen bir bulut hizmeti satar. Şirketin sitesinde Wazuh Cloud planları Ekim 2026'da aylık 571 dolardan başlıyor ve 14 günlük ücretsiz deneme sunuluyor.

Gerçek maliyet ise sunucu, disk ve insan emeğidir. Kurulum ücretsiz, ama kuralları ayarlamak, gürültüyü azaltmak ve alarmlara bakmak zaman ister.

Wazuh hangi bileşenlerden oluşur?

Wazuh dört bileşenden oluşur: ajan, sunucu, indeksleyici ve gösterge paneli. Ajan izlenen makinelerde çalışır, diğer üçü merkezde durur.

Ajan kurulamayan cihazlar, örneğin ağ anahtarları ve güvenlik duvarları, kayıtlarını syslog ile gönderebilir. Syslog toplayıcı (514) varsayılan olarak kapalıdır, ihtiyaç varsa açılır.

Wazuh kurulumu için ne gerekir?

Wazuh'u tek sunucuda denemek için 64 bit bir Linux makine ve en az 4 vCPU ile 8 GiB RAM gerekir. Resmî hızlı başlangıç sayfası, 90 günlük indekslenmiş veri için şu donanımı öneriyor:

Desteklenen sistemler arasında Ubuntu 16.04-24.04, Red Hat Enterprise Linux 7-10, Amazon Linux 2 ve 2023 ile CentOS Stream 10 var. 100 ajanı aşan ortamlar için belgeler dağıtık kurulum öneriyor. Ekim 2026 itibarıyla belgelerin güncel sürümü 4.14.

Kurulum adımları kabaca şöyle ilerler:

1. Laboratuvar makinesi hazırla. Üretim ağına bağlı olmayan bir sanal makine ya da ayrı bir sunucu kullan.
2. Kurulum yardımcısını çalıştır. Resmî hızlı başlangıç, sunucu, indeksleyici ve paneli tek makineye kuran wazuh-install.sh betiğini -a seçeneğiyle kullanır. Komutu her zaman documentation.wazuh.com üzerindeki güncel sayfadan al.
3. Parolayı sakla. Yardımcı bitince admin kullanıcısının parolasını ekrana basar. Tüm parolalar kurulum dizinindeki arşivde de durur; bu arşivi güvenli bir yere taşı.
4. Panele gir. Tarayıcıdan sunucunun adresine HTTPS ile bağlan. Sertifika uyarısı beklenen bir durumdur; kalıcı kurulumda güvenilir bir sertifika yapılandır.
5. Ajan ekle. Panelden ajan dağıtım sihirbazını açıp Windows ya da Linux makineye ajan kur.
6. Kayıtları doğrula. Ajanın panelde "active" göründüğünü ve olayların geldiğini kontrol et.

Dikkat edilecek bir nokta var: panel ve API'yi internete açık bırakma. Yönetim arayüzlerine yalnız yönetim ağından ya da VPN üzerinden erişilmeli.

Wazuh'ta ilk özel kural nasıl yazılır?

Wazuh'ta özel kurallar /var/ossec/etc/rules/local_rules.xml dosyasına ve 100000-120000 arasındaki kimliklerle yazılır. Resmî belge bu aralığın, hazır kurallarla çakışmayı önlemek için ayrıldığını söylüyor. Büyük değişiklikler için aynı dizinde ayrı kural dosyası açmak da önerilen yol.

Kurgusal bir örnekle başlayalım. Active Directory'de bir kullanıcının global bir güvenlik grubuna eklenmesi, olay kimliği 4728 ile kaydedilir. Domain Admins da böyle bir gruptur. Bu olayı yüksek önemde bir alarma çevirmek isteyelim:

<group name="ozel_ad_kurallari,">
  <rule id="100100" level="12">
    <if_sid>60103</if_sid>
    <field name="win.system.eventID">^4728$</field>
    <description>Global güvenlik grubuna üye eklendi (4728)</description>
  </rule>
</group>

Kuralı okuyalım. id özel aralıkta. level 0-15 arası önem derecesidir; 12 yüksek önemi gösterir. if_sid, kuralın hangi hazır kuralın alt kuralı olarak çalışacağını söyler. Buradaki 60103, Wazuh topluluk forumlarında Windows güvenlik olayları için anılan üst kuraldır. Kendi kurulumunda bu kimliği mutlaka wazuh-logtest çıktısıyla doğrula. field satırı, Windows olay kimliği alanının tam olarak 4728 olmasını şart koşar. Her grup değişikliği için alarm istemiyorsan, grup adını süzen ikinci bir alan koşulu ekleyip kuralı yalnız Domain Admins gibi ayrıcalıklı gruplara daraltabilirsin.

Kuralı canlıya almadan önce şu sırayı izle:

1. Test et. /var/ossec/bin/wazuh-logtest aracına örnek bir olay ver ve kuralın tetiklendiğini gör.
2. Toplamayı kontrol et. Ajanın Windows Security kanalından 4728 olayını gerçekten topladığını doğrula; bazı yapılandırmalar belirli olay kimliklerini dışarıda bırakır.
3. Yeniden başlat. Kuralın alarm üretmesi için sunucuyu systemctl restart wazuh-manager ile yeniden başlat.
4. Gürültüyü ölç. Bir hafta boyunca kaç alarm geldiğine bak. Meşru yönetici işlemleri çoksa, istisnayı kurala ekle.

Hangi Windows olaylarının izlenmeye değer olduğunu Active Directory nedir yazısındaki tabloda topladık. Güvenlik duvarı kayıtlarını okumak için de firewall log analizi yazısı iyi bir tamamlayıcı.

Wazuh ile ticari SIEM arasındaki fark nedir?

Wazuh lisans maliyetini sıfırlar, ama ölçek, destek ve hazır içerik konusunda ticari SIEM'lerin gerisinde kalabilir. Seçim, ekibin büyüklüğüne ve iç uzmanlığa bağlıdır.

Önemli bir uyarı: Wazuh'un uyumluluk panoları PCI DSS ya da GDPR gibi standartlara hazırlığı kolaylaştırır. Ama bir aracı kurmak, bir kurumu tek başına KVKK ya da herhangi bir standarda uygun hâle getirmez. Uyum süreç, politika ve denetim ister.

Wazuh öğrenmek SOC kariyerinde işe yarar mı?

Wazuh öğrenmek, SOC analistliğine hazırlanan biri için ücretsiz ve gerçekçi bir pratik alanıdır. Kendi laboratuvarında ajan kurmak, kural yazmak ve yanlış pozitifi ayıklamak, iş görüşmelerinde anlatılabilecek somut deneyim üretir. Kural yazma mantığı da araçtan araca taşınır: Wazuh'ta öğrendiğin eşik ve istisna düşüncesi Sigma, SPL ve KQL'de de işe yarar.

SOC rolünün genel çerçevesi için SOC analisti nedir yazısına göz at.

Wazuh mantığını nerede uygulamalı öğrenirsin?

Tespit mantığını en hızlı, gerçek alarmları ve kuralları inceleyerek öğrenirsin. AltaySec Akademi'nin ücretsiz Mavi Takım yolunda Sigma kural anatomisi dersi kuralın parçalarını, EDR ve SIEM kapsamı dersi neyin görünüp neyin kaçtığını anlatır. Eşiğin Kaçırdığı Hesap labında bir eşik kuralının neden alarm vermediğini kendin bulursun. Bir SOC vardiyasını baştan sona yaşamak istersen SOC Vardiya sayfasında alarm listesinden olay dosyasına kadar ilerleyebilirsin.

Kaynaklar

• Wazuh Documentation, Quickstart (4.14)
• Wazuh Documentation, Architecture ve gerekli portlar
• Wazuh Documentation, Custom rules
• Wazuh GitHub deposu (GPLv2, OSSEC kökeni)
• Wazuh Cloud fiyatlandırma
• Wazuh Google Group, Windows grup değişikliği kuralları tartışması