Wazuh ile Brute-Force Saldırılarını Gerçek Zamanlı Tespit Etmek
SIEM kuralları yazarken sık yapılan hatalar ve SSH loglarından anlamlı alarm üretmenin pratik yolları.
Wazuh'u kurup ilk kuralı yazdıktan sonra insanın aklına hemen şu geliyor: "Artık her şeyi görüyorum." Ama birkaç gün sonra fark ediyorsunuz — loglar akıyor, alarmlar ateşleniyor, ama yarısı gürültü.
Sorun: Threshold seçimi
SSH brute-force için en yaygın kural, 60 saniyede 5'ten fazla başarısız giriş denemesini yakalamak. Ama bu eşiği kurumun boyutuna göre ayarlamak şart. Küçük bir ağda bu kural anlamlıyken, yüzlerce geliştiriciyle çalışılan bir ortamda meşru araçlar (Ansible, deployment scriptleri) aynı alarmı tetikleyebilir.
Çözüm: Kaynak IP bazlı gruplama
Wazuh'un frequency ve timeframe direktiflerini kombinleyerek kaynak IP başına alert üretebilirsiniz. Bu sayede aynı IP'den gelen deneme sayısını ayrı ayrı takip eder, meşru iç trafiği gürültüye katmazsınız.
<rule id="100001" level="10" frequency="5" timeframe="60">
<if_matched_sid>5760</if_matched_sid>
<same_source_ip />
<description>SSH brute-force girişimi</description>
<group>authentication_failures,pci_dss_10.2.4,</group>
</rule>Active Response ile otomatik blok
Kural tetiklendiğinde firewall-drop active response'unu devreye alabilirsiniz. Wazuh, ilgili IP'yi otomatik olarak iptables/firewalld'a ekler. Dikkat: bu aksiyonu production'da devreye almadan önce whitelist'inizi dikkatlice hazırlayın.