# Kullanım Kılavuzu

# Wazuh Server

Wazuh sunucusu, ajanlardan, harici API'lerden ve ağ cihazlarından aldığı verileri analiz eden Wazuh merkezi bileşenidir. Alınan verileri, güvenlik izleme ve yönetimi için uyarılar üretmek üzere önceden tanımlanmış bir kural kümesiyle ilişkilendirerek ve eşleştirerek analiz eder.

Wazuh sunucusu iki ana bileşenden oluşur; Wazuh yöneticisi ve Filebeat . Wazuh yöneticisi veri analizi ve uyarılardan sorumludur, dizinleyici entegrasyonu ise analiz edilen verileri Wazuh dizinleyicisine iletir. Nasıl kurulacağı ve ayarlanacağı hakkında bilgi için Wazuh sunucusu kurulum belgelerine bakın.

# Alarm Yönetimi

`<span class="pre">/var/ossec/logs/alerts/alerts.log</span>`Uyarılar, Wazuh aracılarından ve aracısız aygıtlardan alınan olayları işledikten sonra Wazuh yöneticisi tarafından oluşturulan bildirimlerdir. Varsayılan olarak, uyarılar ve dosyalarında saklanır `<span class="pre">/var/ossec/logs/alerts/alerts.json</span>`.

Varsayılan olarak, Wazuh sunucusu, oluşturulan uyarıları dizinleme için Wazuh dizinleyicisine iletmek için Filebeat'i kullanır. Ek olarak, Wazuh yöneticisini syslog sunucuları, e-posta sistemleri ve veritabanlarını içeren diğer sistemlere uyarıları iletecek şekilde yapılandırabilirsiniz.

<section id="bkmrk-uyar%C4%B1-e%C5%9Fi%C4%9Fi-uyar%C4%B1-e%C5%9F"><span id="bkmrk-"></span>### Uyarı Eşiği

Uyarı eşiği, bir uyarının tetiklenmesi için aşılması gereken en düşük önem seviyesidir. Wazuh yöneticisi, kurallar kümesindeki eşleşen kurala göre izlenen uç noktalardan gelen her olaya bir önem seviyesi atar. Varsayılan olarak, yalnızca önem seviyesi `<span class="pre">3</span>`veya daha yüksek olan uyarıları tetikler.

<section id="bkmrk-yap%C4%B1land%C4%B1rma-%2Fvar%2Fos">#### Yapılandırma

`<span class="pre">/var/ossec/etc/ossec.conf</span>`Uyarı eşiği , Wazuh sunucusundaki yapılandırma dosyasında XML etiketi içerisinde yapılandırılır `<span class="pre"><alerts></span>`.

Aşağıdaki kod bloğu, olaylar ve uyarıların e-posta yoluyla iletilmesi için varsayılan uyarı eşiği yapılandırmasını gösterir:

```
<ossec_config>
  <alerts>
    <log_alert_level>3</log_alert_level>
    <email_alert_level>12</email_alert_level>
  </alerts>
</ossec_config>
```

Nerede:

- `<span class="pre"><log_alert_level></span>` etiket , `<span class="pre">/var/ossec/logs/alerts/alerts.log</span>` ve/veya `<span class="pre">/var/ossec/logs/alerts/alerts.json</span>` dosyada depolanan uyarıları tetiklemek için minimum önem seviyesini ayarlar . Varsayılan değer `<span class="pre">3</span>`'dür . İzin verilen değer, <span class="doc">kurallar sınıflandırma</span> kılavuzunda belirtildiği gibi `<span class="pre">1</span>` ila `<span class="pre">16</span>` arasında herhangi bir tam sayıdır
- Etiket `<span class="pre"><email_alert_level></span>`, bir uyarının e-posta bildirimi oluşturması için minimum önem seviyesini ayarlar. Varsayılan değer 'dir `<span class="pre">12</span>`. İzin verilen değer, `<span class="pre">1</span>`'den 'e kadar herhangi bir tam sayıdır `<span class="pre">16</span>`. Bu ayar, [<span class="std std-ref">ayrıntılı e-posta uyarısı</span>](https://acikkaynak.lastguard.com.tr/books/kullanim-kilavuzu/page/alarm-yonetimi) yapılandırmasını geçersiz kılar. Ancak, bireysel kurallar içindeki `<span class="pre">alert_by_email</span>` <span class="std std-ref">seçenek</span> , bir e-posta uyarısını tetiklemek için hem genel hem de ayrıntılı uyarı düzeyi eşiklerini geçersiz kılabilir.

Uyarı eşiği yapılandırma hakkında ayrıntılı bilgi için [<span class="std std-ref">uyarı başvuru</span>](https://documentation.wazuh.com/current/user-manual/reference/ossec-conf/alerts.html#reference-ossec-alerts) kılavuzuna bakın.

<p class="callout info">Not: Yapılandırma dosyasında herhangi bir değişiklik yaptığınızda Wazuh yöneticisini yeniden başlatın. Bu eylem değişikliklerin etkili olmasını sağlar. </p>

Aşağıdaki komutla komut satırı arayüzü üzerinden Wazuh yöneticisini yeniden başlatın:

**Systemd**

```
systemctl restart wazuh-manager
```

  
**SysV Başlatma**

```
service wazuh-manager restart
```

</section></section><section id="bkmrk-uyar%C4%B1lar%C4%B1-iletmebu-b">### Uyarıları İletme

Wazuh yöneticisi, dizinleme ve analiz yetenekleri için uyarıları varsayılan olarak Wazuh dizinleyicisine iletir. Ayrıca, Wazuh yöneticisi, analiz ve yedekleme için uyarıları yapılandırma ve diğer sistemlere iletme yeteneği sağlar.

<section id="bkmrk-syslog-%C3%A7%C4%B1kt%C4%B1s%C4%B1n%C4%B1-yap">#### Syslog Çıktısını Yapılandırma

<span class="std std-ref">Syslog\_output</span> seçeneğini kullanarak Wazuh sunucusunu bir syslog sunucusuna uyarılar gönderecek şekilde yapılandırabilirsiniz . Uyarıları bir syslog sunucusuna iletmek, merkezi izleme ve özel raporlama için yararlı olabilir.

<section id="bkmrk-yap%C4%B1land%C4%B1rmabu-ba%C5%9Fl%C4%B1">##### Yapılandırma

`<span class="pre">/var/ossec/etc/ossec.conf</span>`Syslog çıktısı, blok içindeki Wazuh sunucu yapılandırma dosyasında yapılandırılır . Varsayılan olarak, Wazuh yöneticisi uyarıları UDP protokolü üzerinden `<span class="pre"><ossec_config></span>`port kullanarak syslog sunucularına iletir .`<span class="pre">514</span>`

Aşağıdaki kod bloğu, uyarıları bir syslog sunucusuna iletmek için örnek bir yapılandırmayı göstermektedir:

```
<ossec_config>
  <syslog_output>
    <level>9</level>
    <server>192.168.1.241</server>
  </syslog_output>
</ossec_config>
```

Yapılandırma seçenekleri aşağıdaki şekilde tanımlanmıştır:

- Etiket `<span class="pre"><level></span>`, syslog sunucusuna iletilecek uyarıların minimum önem seviyesini ayarlar. Örnek değer, `<span class="pre">9</span>`Wazuh sunucusunun uyarıları yalnızca uyarı seviyesi 'den yüksekse syslog sunucusuna ilettiğini gösterir `<span class="pre">9</span>`. Bu seçenek tanımlanmamışsa, Wazuh sunucusu tüm uyarıları syslog sunucusuna iletir.
- Etiket `<span class="pre"><server></span>`, uyarıları iletmek için syslog sunucusunun IP adresini veya ana bilgisayar adını ayarlar. `<span class="pre">192.168.1.241</span>`Yapılandırmadaki IP adresi bir örnek olarak kullanılır.

Değişikliklerin her yapılandırmadan sonra uygulanması için Wazuh yönetici hizmetini yeniden başlatın:

</section>**Systemd**

```
systemctl restart wazuh-manager
```

  
**SysV Başlatma**

<section id="bkmrk-service-wazuh-manage">```
service wazuh-manager restart
```

<div class="sphinx-tabs docutils container"><div aria-labelledby="tab-1-U3lzdGVtZA==" class="sphinx-tabs-panel group-tab" id="bkmrk--3" name="U3lzdGVtZA==" role="tabpanel" tabindex="0"><div class="highlight-console notranslate"><div class="highlight" data-pagefind-weight="0.5">  
</div></div></div></div>Yapılandırma dosyasında blok `<span class="pre"><syslog_output></span>`içerisinde birden fazla blok tanımlayarak uyarıları birden fazla syslog sunucusuna iletebilirsiniz .`<span class="pre"><ossec_config></span>``<span class="pre">/var/ossec/etc/ossec.conf</span>`

```
<ossec_config>
  <syslog_output>
    <server>192.168.1.240</server>
  </syslog_output>

  <syslog_output>
    <level>9</level>
    <server>192.168.1.241</server>
  </syslog_output>
</ossec_config>
```

Yukarıdaki yapılandırmada,

- İlk `<span class="pre"><syslog_output></span>`blok tüm uyarıları filtrelemeden IP adresine sahip syslog sunucusuna gönderir `<span class="pre">192.168.1.240</span>`.
- İkinci blok , yalnızca uyarı seviyesi 'den yüksekse `<span class="pre"><syslog_output></span>`syslog sunucusuna uyarılar gönderir .`<span class="pre">192.168.1.241</span>``<span class="pre">9</span>`

</section></section><section id="bkmrk-e-posta-uyar%C4%B1lar%C4%B1n%C4%B1-">#### E-posta Uyarılarını Yapılandırma

Wazuh, bir Wazuh sunucusunda oluşturulduğunda e-posta sistemlerine uyarılar göndermek için bir özellik sunar. Kurallar tetiklendiğinde veya özelleştirilmiş ayarlara göre bir veya daha fazla e-posta adresine e-posta uyarıları göndermek üzere yapılandırabilirsiniz. Bu yapılandırma günlük olay raporları ve daha fazlası için size yardımcı olabilir.

Kural kimliği `<span class="pre">553</span>`tetiklendiğinde Wazuh tarafından gönderilen örnek bir e-posta aşağıda gösterilmektedir:

```
  Wazuh Notification.
  2024 Apr 29 08:58:30

  Received From: wazuh-server->syscheck
  Rule: 553 fired (level 7) -> "File deleted."
  Portion of the log(s):

  File '/var/ossec/test_dir/somefile.
  txt' deleted
  Mode: realtime

  Attributes:
   - Size: 0
   - Permissions: rw-r--r--
   - Date: Mon Apr 29 08:46:12 2024
   - Inode: 841858
   - User: root (0)
   - Group: root (0)
   - MD5: d41d8cd98f00b204e9800998ecf8427e
   - SHA1: da39a3ee5e6b4b0d3255bfef95601890afd80709
   - SHA256: e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855


--END OF NOTIFICATION
```

<section id="bkmrk-genel-e-posta-se%C3%A7ene">##### Genel E-posta Seçenekleri

Wazuh'un e-posta uyarıları göndermesini yapılandırmak için `<span class="pre">/var/ossec/etc/ossec.conf</span>` dosyanın `<span class="pre"><global></span>` bölümündeki e-posta seçeneklerini yapılandırıyoruz .

E-posta adresine uyarı göndermek için örnek bir e-posta yapılandırması `<span class="pre"><a href="mailto:me@test.com">me@test.com</a></span>` aşağıda gösterilmektedir:

```
<ossec_config>
  <global>
    <email_notification>yes</email_notification>
    <email_to>me@test.com</email_to>
    <smtp_server>mail.test.com</smtp_server>
    <email_from>wazuh@test.com</email_from>
  </global>
  ...
</ossec_config>
```

Yukarıdakiler yapılandırıldıktan sonra, `<span class="pre">email_alert_level</span>`bir e-postayı tetiklemek için seçeneğin minimum uyarı seviyesine ayarlanması gerekir. Varsayılan olarak, bu seviye olarak ayarlanır `<span class="pre">12</span>`.

Aşağıdaki örnek yapılandırma, e-posta uyarılarının gönderileceği minimum seviyeyi belirler `<span class="pre">10</span>`:

```
<ossec_config>
  <alerts>
    <email_alert_level>10</email_alert_level>
  </alerts>
  ...
</ossec_config>
```

Değişikliklerin her yapılandırmadan sonra uygulanması için Wazuh yönetici hizmetini yeniden başlatın:

**Systemd**

</section></section></section>```
systemctl restart wazuh-manager
```

  
**SysV İnit**

```
service wazuh-manager restart
```

<div class="highlight" data-pagefind-weight="0.5" id="bkmrk--1"></div><section id="bkmrk-uyar%C4%B1%3A-%C2%A0wazuh-smtp-k"><section id="bkmrk-uyar%C4%B1%3A-%C2%A0wazuh-smtp-k-1"><section id="bkmrk-uyar%C4%B1%3A-%C2%A0wazuh-smtp-k-2"><p class="callout warning">Uyarı: Wazuh SMTP kimlik doğrulamasını işlemez. E-posta servisiniz bunu kullanıyorsa, [<span class="std std-ref">bir sunucu rölesi yapılandırmanız</span>](https://documentation.wazuh.com/current/user-manual/manager/alert-management.html#smtp-server-with-authentication) gerekir .</p>

</section><section id="bkmrk-ayr%C4%B1nt%C4%B1l%C4%B1-e-posta-se">#####   
Ayrıntılı E-posta Seçenekleri

Wazuh, e-posta uyarıları için ayrıntılı yapılandırma seçeneklerine izin verir. Bu ayar, dosyanın bölümünde yapılandırılan [genel e-posta seçeneklerini](https://acikkaynak.lastguard.com.tr/books/kullanim-kilavuzu/page/alarm-yonetimi) genişletir. Ayrıntılı e-posta yapılandırmaları, dosyanın etiketi içinde tanımlanır .`<span class="pre"><global></span>``<span class="pre">/var/ossec/etc/ossec.conf</span>``<span class="pre"><email_alerts></span>``<span class="pre">/var/ossec/etc/ossec.conf</span>`

<p class="callout warning">Uyarı: Bölümde yapılandırılan minimum önem düzeyi `<span class="pre"><alerts></span>`bu ayrıntılı e-posta yapılandırmalarına uygulanır ve bunları geçersiz kılar. Örneğin, Wazuh yöneticisini kural tetiklendiğinde bir e-posta gönderecek şekilde yapılandırırsanız `<span class="pre">526</span>`ancak kuralın düzeyi bölümde belirtilen minimum düzeyden düşükse `<span class="pre"><alerts></span>`uyarı gönderilmez.</p>

<section id="bkmrk-seviyeye-g%C3%B6re-e-post">#####   
Seviyeye Göre E-posta Uyarısı

Bu seçenek, Wazuh yöneticisini, önem düzeyi ayarlanan değere eşit veya daha büyük olduğunda e-posta uyarıları gönderecek şekilde yapılandırır. Bu seçenek aşağıdaki şekilde yapılandırılır:

```
<email_alerts>
  <email_to>you@example.com</email_to>
  <level>4</level>
  <do_not_delay/>
</email_alerts>
```

`<span class="pre">you@example.com</span>`Bu yapılandırma, Wazuh yöneticisinin , seviyesi eşit veya daha büyük olan herhangi bir kural tetiklendiğinde bir e-posta göndermesine olanak tanır `<span class="pre">4</span>`.

<p class="callout info">Not: Buradaki önem seviyesi `<span class="pre"><alerts></span>` bölümde yapılandırılan `<span class="pre">email_alert_level</span>` önem seviyesinden daha düşükse , e-posta gönderilmeyecektir.</p>

<div class="admonition note"> </div></section><section id="bkmrk-etkinlik-lokasyonuna">##### Etkinlik Lokasyonuna Göre E-posta Uyarısı

Bu `<span class="pre">event_location</span>`seçenek, olayın kaynaklandığı konuma göre e-posta uyarıları göndermeyi içerir. Oluşturulan uyarı, e-posta yoluyla iletilmek üzere olay konumuyla eşleşmelidir. Bu seçenek için izin verilen değerler Wazuh aracı adı, ana bilgisayar adı, IP adresi veya günlük dosyasıdır.

Bu seçenek aşağıdaki şekilde yapılandırılır:

```
<email_alerts>
  <email_to>you@example.com</email_to>
  <event_location>server1</event_location>
  <do_not_delay/>
</email_alerts>
```

`<span class="pre">you@example.com</span>`Bu yapılandırma, Wazuh yöneticisinin uyarıları oluşturan olayların Wazuh adlı aracıda kaynaklandığı zaman adresine bir e-posta göndermesine olanak tanır `<span class="pre">server1</span>`.

</section><section id="bkmrk-kural-kimli%C4%9Fine-daya">##### Kural Kimliğine Dayalı E-posta

Bu `<span class="pre">rule_id</span>`seçenek, kural kimliklerine dayalı uyarı e-postaları göndermek için kullanılır. Bu seçenek, yalnızca belirli tanımlanmış kurallar tetiklendiğinde e-postaların gönderilmesini sınırlar.

Bu seçenek aşağıdaki şekilde yapılandırılır:

```
<email_alerts>
  <email_to>you@example.com</email_to>
  <rule_id>515, 516</rule_id>
  <do_not_delay/>
</email_alerts>
```

Bu yapılandırma , Wazuh yöneticisinin `<span class="pre">you@example.com</span>`kurallar tetiklendiğinde bir e-posta göndermesine olanak tanır .`<span class="pre">515</span>``<span class="pre">516</span>`

</section><section id="bkmrk-kural-grubuna-dayal%C4%B1">##### Kural Grubuna Dayalı E-posta

Seçenek `<span class="pre">group</span>`, uyarıların ait olduğu bir veya daha fazla kural grubuna göre e-posta göndermek üzere yapılandırılabilir.

Bu seçenek aşağıdaki şekilde yapılandırılır:

```
<email_alerts>
  <email_to>you@example.com</email_to>
  <group>pci_dss_10.6.1,</group>
</email_alerts>
```

`<span class="pre">you@example.com</span>`Bu yapılandırma, Wazuh yöneticisinin, grubun parçası olan herhangi bir kural `<span class="pre">pci_dss_10.6.1</span>`herhangi bir Wazuh izlenen uç noktasında tetiklendiğinde bir e-posta göndermesine olanak tanır.

</section><section id="bkmrk-birden-fazla-se%C3%A7enek">##### Birden Fazla Seçenek ve Birden Fazla E-posta

E-posta uyarıları, her biri benzersiz kriterlere sahip birden fazla e-posta adresine gönderilebilir.

Aşağıdaki örnek yapılandırma, birden fazla kritere sahip e-posta uyarılarının birden fazla e-posta adresine nasıl gönderileceğini gösterir:

```
<ossec_config>
  <email_alerts>
    <email_to>alice@test.com</email_to>
    <event_location>endpoint1|endpoint2</event_location>
  </email_alerts>

  <email_alerts>
    <email_to>is@test.com</email_to>
    <event_location>/log/secure$</event_location>
  </email_alerts>

  <email_alerts>
    <email_to>bob@test.com</email_to>
    <event_location>192.168.</event_location>
  </email_alerts>

  <email_alerts>
    <email_to>david@test.com</email_to>
    <level>12</level>
  </email_alerts>
</ossec_config>
```

Bu yapılandırma şunları gönderir:

- `<span class="pre">alice@test.com</span>`Herhangi bir uyarı tetiklendiğinde `<span class="pre">endpoint1</span>`e -posta adresinize gönderilecek `<span class="pre">endpoint2</span>`.
- `<span class="pre">is@test.com</span>`Uyarıların dosyadan gelip gelmediğine dair bir e-posta `<span class="pre">/log/secure</span>`.
- `<span class="pre">bob@test.com</span>`Uyarıların ağdaki herhangi bir uç noktadan gelip gelmediğine dair bir e-posta `<span class="pre">192.168.0.0/24</span>`.
- `<span class="pre">david@test.com</span>`Uyarıların seviyesi eşit veya daha yüksekse e-posta gönderilecektir `<span class="pre">12</span>`.

</section></section><section id="bkmrk-bir-uyar%C4%B1y%C4%B1-e-postay">#### Bir Uyarıyı E-postayla İletmeyi Zorla

E-posta yoluyla uyarı göndermek için minimum önem seviyesi `<span class="pre">12</span>`varsayılan olarak. Wazuh yöneticisini yapılandırılmış minimum önem seviyesinin altında bir e-posta uyarısı göndermek üzere yapılandırabilirsiniz. Bunu yapmak için aşağıdaki [<span class="std std-ref">kural</span>](https://documentation.wazuh.com/current/user-manual/ruleset/ruleset-xml-syntax/rules.html#rules-options) seçeneklerinden birini kullanmanız gerekir:

- `<span class="pre">alert_by_email</span>`her zaman e-posta ile uyarmak.
- `<span class="pre">no_email_alert</span>`asla e-posta yoluyla uyarıda bulunmayın.
- `<span class="pre">no_log</span>`Bu uyarının kaydedilmemesi için.

Örneğin, aşağıdaki kural tanımı, `<span class="pre">502</span>`minimum önem düzeyi ne olarak ayarlanmış olursa olsun, kural her tetiklendiğinde bir e-posta gönderir:

```
<rule id="502" level="3">
  <if_sid>500</if_sid>
  <options>alert_by_email</options>
  <match>Ossec started</match>
  <description>Ossec server started.</description>
</rule>
```

</section><section id="bkmrk-kimlik-do%C4%9Frulamal%C4%B1-s">#### Kimlik Doğrulamalı SMTP Sunucusu

Wazuh e-posta uyarıları, Gmail gibi kimlik doğrulaması olan SMTP sunucularını desteklemez. Ancak, bu e-postaları Postfix gibi bir sunucu rölesi aracılığıyla gönderebilirsiniz.

Postfix'i Gmail ile yapılandırmak için aşağıdaki adımları röle sunucunuzda gerçekleştirin.

1. Gerekli paketleri yüklemek için bu komutu çalıştırın. Posta sunucusu yapılandırma türü hakkında sorulursa *Yapılandırma yok'u seçin.*  **CentOS**
    
    ```
    yum update && yum install postfix mailx cyrus-sasl cyrus-sasl-plain
    ```
    
      
    Ubuntu**
    
    ```
    apt-get update && apt-get install postfix mailutils libsasl2-2 ca-certificates libsasl2-modules
    ```
    
    <div class="sphinx-tabs docutils container"><div aria-labelledby="tab-3-Q2VudE9T" class="sphinx-tabs-panel group-tab" name="Q2VudE9T" role="tabpanel" tabindex="0"><div class="highlight-console notranslate"><div class="highlight" data-pagefind-weight="0.5">  
    </div></div></div></div><div class="sphinx-tabs docutils container"><div aria-labelledby="tab-3-Q2VudE9T" class="sphinx-tabs-panel group-tab" id="bkmrk--8" name="Q2VudE9T" role="tabpanel" tabindex="0"></div></div>
2. Postfix'i yapılandırmak için bu satırları dosyaya ekleyin `<span class="pre">/etc/postfix/main.cf</span>`. Eksikse dosyayı oluşturun.  
      
    **CentOS**
    
    ```
    relayhost = [smtp.gmail.com]:587
    smtp_sasl_auth_enable = yes
    smtp_sasl_password_maps = hash:/etc/postfix/sasl_passwd
    smtp_sasl_security_options = noanonymous
    smtp_tls_CAfile = /etc/ssl/certs/ca-bundle.crt
    smtp_use_tls = yes
    ```
    
      
    **Ubuntu**
    
    <div class="sphinx-tabs docutils container"><div aria-labelledby="tab-4-Q2VudE9T" class="sphinx-tabs-panel group-tab" name="Q2VudE9T" role="tabpanel" tabindex="0"><div class="highlight-console notranslate"><div class="highlight" data-pagefind-weight="0.5">  
    </div></div></div></div>```
    relayhost = [smtp.gmail.com]:587
    smtp_sasl_auth_enable = yes
    smtp_sasl_password_maps = hash:/etc/postfix/sasl_passwd
    smtp_sasl_security_options = noanonymous
    smtp_tls_CAfile = /etc/ssl/certs/ca-certificates.crt
    smtp_use_tls = yes
    smtpd_relay_restrictions = permit_mynetworks, permit_sasl_authenticated, defer_unauth_destination
    ```
    
    <div class="sphinx-tabs docutils container"><div aria-labelledby="tab-4-Q2VudE9T" class="sphinx-tabs-panel group-tab" id="bkmrk--9" name="Q2VudE9T" role="tabpanel" tabindex="0"><div class="highlight-console notranslate"><div class="highlight" data-pagefind-weight="0.5">  
    </div></div></div></div>
3. Gönderenin kimlik bilgilerini dosyaya ayarlayın `<span class="pre">/etc/postfix/sasl_passwd</span>`ve Postfix için bir veritabanı dosyası oluşturun. `<span class="pre"><USERNAME></span>`ve `<span class="pre"><PASSWORD></span>`değişkenlerini sırasıyla gönderenin e-posta adresi kullanıcı adı ve parolasıyla değiştirin.
    
    ```
    echo [smtp.gmail.com]:587 <USERNAME>@gmail.com:<PASSWORD> > /etc/postfix/sasl_passwd
    postmap /etc/postfix/sasl_passwd
    ```
    
    <p class="callout info">Not: [Şifre bir Uygulama Şifresi](https://security.google.com/settings/security/apppasswords) olmalıdır . Uygulama Şifreleri yalnızca [2 Adımlı Doğrulama özelliği](https://myaccount.google.com/signinoptions/two-step-verification) açık olan hesaplarda kullanılabilir.</p>
    
    <div class="admonition note"> </div>
4. Parola DB dosyanızı yalnızca `<span class="pre">root</span>`kullanıcının tam okuma ve yazma erişimine sahip olması için güvenceye alın. Bunun nedeni `<span class="pre">/etc/postfix/sasl_passwd</span>`ve `<span class="pre">/etc/postfix/sasl_passwd.db</span>`dosyalarının düz metin kimlik bilgilerine sahip olmasıdır.
    
    ```
    chown root:root /etc/postfix/sasl_passwd /etc/postfix/sasl_passwd.db
    chmod 0600 /etc/postfix/sasl_passwd /etc/postfix/sasl_passwd.db
    ```
5. Yapılandırma değişikliklerini gerçekleştirmek için Postfix'i yeniden başlatın:  
      
    **Systemd**
    
    ```
    systemctl restart postfix
    ```
    
      
    **SysV Başlatma**
    
    ```
    service postfix restart
    ```
    
    <div class="sphinx-tabs docutils container"><div aria-labelledby="tab-5-U3lzdGVtZA==" class="sphinx-tabs-panel group-tab" name="U3lzdGVtZA==" role="tabpanel" tabindex="0"><div class="highlight-console notranslate"><div class="highlight" data-pagefind-weight="0.5">  
    </div></div></div></div><div class="sphinx-tabs docutils container"><div aria-labelledby="tab-5-U3lzdGVtZA==" class="sphinx-tabs-panel group-tab" id="bkmrk--10" name="U3lzdGVtZA==" role="tabpanel" tabindex="0"></div></div>
6. Yapılandırmayı test etmek için aşağıdaki komutu çalıştırın:
    
    ```
    echo "Test mail from postfix" | mail -s "Test Postfix" -r "<CONFIGURED_EMAIL>" <RECEIVER_EMAIL>
    ```
    
    Yer değiştirmek:
    
    
    - `<span class="pre"><CONFIGURED_EMAIL></span>`Yapılandırılmış e-posta adresinizle.
    - `<span class="pre"><RECEIVER_EMAIL></span>`Alıcının e-posta adresiyle birlikte.
    
    Komut, alıcının e-postasına `<span class="pre">Test</span> <span class="pre">Postfix</span>` konu ve `<span class="pre">Test</span> <span class="pre">mail</span> <span class="pre">from</span> <span class="pre">postfix</span>` gövdeyi içeren bir e-posta gönderir.
    
    If you get the error message `<span class="pre">fatal:</span> <span class="pre">tls_fprint:</span> <span class="pre">error</span> <span class="pre">computing</span> <span class="pre">md5</span> <span class="pre">message</span> <span class="pre">digest</span>` in the `<span class="pre">/var/log/maillog</span>` file, run the following commands to switch Postfix from the default `<span class="pre">MD5</span>` hashing function to `<span class="pre">SHA-256</span>`:
    
    ```
    # 
    ```
    
    `/var/log/maillog` dosyasında `<span class="pre">fatal:</span> <span class="pre">tls_fprint:</span> <span class="pre">error</span> <span class="pre">computing</span> <span class="pre">md5</span> <span class="pre">message</span> <span class="pre">digest</span>` hata mesajı alırsanız , Postfix'i varsayılan `<span class="pre">MD5</span>` karma işlevinden `<span class="pre">SHA-256</span>`'ya geçirmek için aşağıdaki komutları çalıştırın :
    
    ```
    postconf -e smtp_tls_fingerprint_digest=sha256
    postconf -e smtpd_tls_fingerprint_digest=sha256
    ```
7. `<span class="pre"><global></span>`Wazuh sunucusunun `<span class="pre">/var/ossec/etc/ossec.conf</span>`dosyasının etiketi içerisinde e-posta bildirimlerini aşağıdaki şekilde yapılandırın:
    
    ```
    <global>
      <email_notification>yes</email_notification>
      <smtp_server>localhost</smtp_server>
      <email_from><USERNAME>@gmail.com</email_from>
      <email_to><RECEIVER_EMAIL></email_to>
    </global>
    ```
    
    Nerede:
    
    
    - `<span class="pre"><email_notification></span>`e-posta uyarılarının kullanımını değiştirir.
    - `<span class="pre"><smtp_server></span>`uyarıları iletmek için kullanılacak SMTP sunucusunu tanımlar.
    - `<span class="pre"><email_from></span>`yapılandırılmış gönderenin e-posta adresini belirtir. `<span class="pre"><USERNAME></span>`E-posta adresinizin yapılandırılmış kullanıcı adınızla değiştirin.
    - `<span class="pre"><email_to></span>`uyarıların alıcısının e-posta adresini belirtir. `<span class="pre"><RECEIVER_EMAIL></span>`Alıcının e-posta adresiyle değiştirin.
8. Değişiklikleri uygulamak için Wazuh yöneticisini yeniden başlatın:  
      
    **Systemd**
    
    ```
    systemctl restart wazuh-manager
    ```
    
      
    **SysV Başlatma**
    
    ```
    service wazuh-manager restart
    ```
    
    <div class="sphinx-tabs docutils container"><div aria-label="Sekmeli içerik" class="closeable" role="tablist">  
    </div><div aria-labelledby="tab-6-U3lzdGVtZA==" class="sphinx-tabs-panel group-tab" name="U3lzdGVtZA==" role="tabpanel" tabindex="0"></div></div><div class="sphinx-tabs docutils container"><div aria-labelledby="tab-6-U3lzdGVtZA==" class="sphinx-tabs-panel group-tab" id="bkmrk--11" name="U3lzdGVtZA==" role="tabpanel" tabindex="0"></div></div>

</section></section><section id="bkmrk-veritaban%C4%B1-%C3%A7%C4%B1kt%C4%B1s%C4%B1n%C4%B1">#### Veritabanı Çıktısını Yapılandırma

  
Wazuh, uyarıları veritabanı sistemlerine iletmeyi destekler. Wazuh yöneticisini, oluşturulan uyarıları bir veritabanına çıktı olarak verecek şekilde yapılandırabilirsiniz. Bu yapılandırmayı elde etmek için, Wazuh yöneticisini kullanmak istediğiniz veritabanı türündeki kaynaklardan derlemelisiniz. Wazuh şu anda MySQL ve PostgreSQL veritabanlarını destekler.

<p class="callout info">Not: Bu kılavuz, MySQL veya PostgreSQL'i zaten kurduğunuzu ve kullanıcıları ve veritabanlarını nasıl oluşturacağınızı bildiğinizi varsayar.</p>

<section id="bkmrk-%C3%96n-ko%C5%9Fullarbu-ba%C5%9Fl%C4%B1%C4%9F">#### Ön Koşullar

Yapılandırmak istediğiniz veritabanı sistemine ait geliştirme kütüphanelerini kurmanız ve Wazuh yöneticisini gerekli veritabanı sistemini kullanacak şekilde derlemeniz gerekmektedir.

1. Veritabanı sistemi için geliştirme kütüphanelerini yükleyin:
    
    
    - **MySQL için** :  
          
        **Yum**
        
        ```
        yum install mysql-devel
        ```
        
          
        **APT**
        
        <div class="sphinx-tabs docutils container"><div aria-labelledby="tab-7-WXVt" class="sphinx-tabs-panel group-tab" name="WXVt" role="tabpanel" tabindex="0"></div></div>```
        apt-get install libmysqlclient-dev
        ```
        
        <div class="sphinx-tabs docutils container"><div aria-labelledby="tab-7-WXVt" class="sphinx-tabs-panel group-tab" id="bkmrk--13" name="WXVt" role="tabpanel" tabindex="0"><div class="highlight-console notranslate"><div class="highlight" data-pagefind-weight="0.5">  
        </div></div></div></div>
    - **PostgreSQL için** :  
          
        **Yum**
        
        ```
        yum install postgresql-devel
        ```
        
          
        **APT**
        
        <div class="sphinx-tabs docutils container"><div aria-labelledby="tab-8-WXVt" class="sphinx-tabs-panel group-tab" name="WXVt" role="tabpanel" tabindex="0"></div></div>```
        apt-get install libpq-dev
        ```
        
        <div class="sphinx-tabs docutils container"><div aria-labelledby="tab-8-WXVt" class="sphinx-tabs-panel group-tab" id="bkmrk--14" name="WXVt" role="tabpanel" tabindex="0"><div class="highlight-console notranslate"><div class="highlight" data-pagefind-weight="0.5">  
        </div></div></div></div>
2. Bağımlılıkları, [<span class="std std-ref">bağımlılıkları yükleme</span>](https://acikkaynak.lastguard.com.tr/books/alternatif-kurulumlar/chapter/kaynaklardan-kurulum) bölümünde açıklandığı şekilde yükleyin.
3. Wazuh'un son sürümünü indirin ve çıkarın:
    
    ```
    curl -Ls https://github.com/wazuh/wazuh/archive/v4.9.2.tar.gz | tar zx
    ```
4. Wazuh dizinine geçmek için aşağıdaki komutları çalıştırın ve kullanılacak veritabanı türünü belirtin, `<span class="pre"><DATABASE_TYPE></span>` değişkeni `<span class="pre">mysql</span>` veya `<span class="pre">pgsql</span>` ile değiştirin :
    
    ```
    cd wazuh-4.9.2/src
    make deps && make TARGET=server DATABASE=<DATABASE_TYPE>
    ```
    
    <p class="callout info">Not: Sistem özelliklerinize bağlı olarak derleme işlemi biraz zaman alabilir.</p>
    
    <div class="admonition note"> </div>
5. Betiği çalıştırın `<span class="pre">install.sh</span>`. Wazuh kaynaklarını kullanarak kurulum sürecinde size rehberlik edecek bir sihirbaz görüntüler:
    
    ```
    cd ..
    ./install.sh
    ```
6. Script size ne tür bir kurulum istediğinizi sorduğunda `<span class="pre">manager</span>`Wazuh yöneticisini kurmak için şunu yazın:
    
    ```
    1- What kind of installation do you want (manager, agent, local, hybrid, or help)? manager
    ```
    
    <p class="callout info">Not: Kurulum sırasında kurulum yoluna karar verebilirsiniz. `<span class="pre">install.sh</span>` dosyasını çalıştırın ve dili seçin, kurulum modunu `<span class="pre">manager</span>` olarak ayarlayın, ardından kurulum yolunu ayarlayın (`<span class="pre">Choose</span> <span class="pre">where</span> <span class="pre">to</span> <span class="pre">install</span> <span class="pre">Wazuh</span> <span class="pre">[/var/ossec]</span>``<span class="pre">/var/ossec</span>`). Varsayılan kurulum yolu /var/ossec'tir. Yaygın olarak kullanılan özel bir yol `<span class="pre">/opt</span>` olabilir.</p>
    
    <p class="callout warning">Uyarı: Varsayılandan farklı bir yol seçerseniz kritik bir kurulum dizini seçmemeye son derece dikkat edin. Dizin zaten mevcutsa, yükleyici dizini silmenizi veya Wazuh'u içine kurarak devam etmenizi isteyecektir.</p>
    
    <div class="admonition warning"> </div>
7. Kurulum programı kurulumun sonunda Wazuh'u başlatmak isteyip istemediğinizi sorar. Eğer istemezseniz, aşağıdaki komutla daha sonra başlatabilirsiniz:  
      
    **Systemd**
    
    ```
    systemctl restart wazuh-manager
    ```
    
      
    **SysV Başlatma**
    
    ```
    service wazuh-manager restart
    ```
    
    <div class="sphinx-tabs docutils container"><div aria-labelledby="tab-9-U3lzdGVtZA==" class="sphinx-tabs-panel group-tab" name="U3lzdGVtZA==" role="tabpanel" tabindex="0"></div></div><div class="sphinx-tabs docutils container"><div aria-labelledby="tab-9-U3lzdGVtZA==" class="sphinx-tabs-panel group-tab" id="bkmrk--15" name="U3lzdGVtZA==" role="tabpanel" tabindex="0"></div></div>

</section><section id="bkmrk-veritaban%C4%B1-yap%C4%B1land%C4%B1">#### Veritabanı Yapılandırması

Veritabanı sisteminize göre yeni bir veritabanı oluşturun, veritabanı kullanıcısını ayarlayın ve `<span class="pre">src/os_dbd</span>`kaynak kodun bulunduğu dizinde bulunan şemayı aşağıdaki komutlarla ekleyin:

- **MySQL için** :
    
    ```
    mysql -u root -p
    ```
    
    ```
    mysql> CREATE DATABASE Alerts_DB;
    Query OK, 1 row affected (2.34 sec)
    
    mysql> CREATE USER '<DATABASE_USER>'@'<DATABASE_SERVER_IP>' IDENTIFIED BY '<DATABASE_USER_PASSWORD>';
    Query OK, 0 rows affected (0.00 sec)
    
    mysql> GRANT INSERT,SELECT,UPDATE,CREATE,DELETE,EXECUTE on Alerts_DB.* to '<DATABASE_USER>'@'<DATABASE_SERVER_IP>';
    Query OK, 0 rows affected (0.00 sec)
    
    mysql> FLUSH PRIVILEGES;
    Query OK, 0 rows affected (0.00 sec)
    
    mysql> quit;
    ```
    
    Yukarıdaki komutlarda aşağıdaki değişkenleri değiştirin:
    
    
    - `<span class="pre"><DATABASE_USER></span>`Veritabanı sunucusu için oluşturmak istediğiniz kullanıcıyla.
    - `<span class="pre"><DATABASE_SERVER_IP></span>`veritabanı sunucusunun IP adresi ile.
    - `<span class="pre"><DATABASE_USER_PASSWORD></span>`veritabanı sunucusuna erişmek için kullanıcı şifresi ile.
    
    ```
    mysql -u root -p Alerts_DB < src/os_dbd/mysql.schema
    ```
- **PostgreSQL için** :
    
    ```
    sudo -u postgres createuser -P <DATABASE_USER>
    sudo -u postgres createdb -O <DATABASE_USER> Alerts_DB
    psql -U <DATABASE_USER> -d Alerts_DB -f src/os_dbd/postgresql.schema
    ```
    
    `<span class="pre"><DATABASE_USER></span>`Veritabanı sunucusu için oluşturmak istediğiniz kullanıcıyla değiştirin .

<p class="callout info">Not: Kullanıcıyı oluştururken iki kez parola girmeniz istenecektir. Wazuh yöneticisini yapılandırırken gerekli olduğundan bu parolayı not edin.</p>

<div class="admonition note"> </div></section><section id="bkmrk-wazuh-y%C3%B6neticisi-yap">#### Wazuh Yöneticisi Yapılandırması

Wazuh yöneticisini veritabanı sistemine uyarılar ve diğer verileri gönderecek şekilde yapılandırmak için aşağıdaki adımları izleyin.

1. Wazuh sunucusundaki dosya `<span class="pre"><ossec_config></span>`bloğunun içine aşağıdaki kod bloğunu ekleyin :`<span class="pre">/var/ossec/etc/ossec.conf</span>`
    
    
    - **MySQL için** :
        
        ```
        <database_output>
          <hostname><DATABASE_SERVER_IP></hostname>
          <username><DATABASE_USER></username>
          <password><DATABASE_USER_PASSWORD></password>
          <database>Alerts_DB</database>
          <type>mysql</type>
        </database_output>
        ```
    - **PostgreSQL için** :
        
        ```
        <database_output>
          <hostname><DATABASE_SERVER_IP></hostname>
          <username><DATABASE_USER></username>
          <password><DATABASE_USER_PASSWORD></password>
          <database>Alerts_DB</database>
          <type>postgresql</type>
        </database_output>
        ```
    
    Nerede:
    
    
    - `<span class="pre"><hostname></span>`veritabanı sunucusunun IP adresini belirtir. `<span class="pre"><DATABASE_SERVER_IP></span>`Veritabanı sunucusunun IP adresini değiştirin.
    - `<span class="pre"><username></span>`veritabanına erişecek kullanıcıyı belirtir. `<span class="pre"><DATABASE_USER></span>`Yukarıda oluşturulan veritabanı kullanıcısıyla değiştirin.
    - `<span class="pre"><password></span>`veritabanına erişmek için kullanıcı parolasını belirtir. `<span class="pre"><DATABASE_USER_PASSWORD></span>`Yukarıda oluşturulan kullanıcı parolasıyla değiştirin.
    - `<span class="pre"><database></span>`uyarıların depolanacağı veritabanının adını belirtir. Örneğin, `<span class="pre">Alerts_DB</span>`yukarıdaki yapılandırmada belirtildiği gibi.
    - `<span class="pre"><type></span>`veritabanının türünü belirtir (MySQL veya PostgreSQL). İzin verilen değerler `<span class="pre">mysql</span>`veya `<span class="pre">pgsql</span>`.
2. Değişiklikleri uygulamak için Wazuh yönetici hizmetini yeniden başlatın:  
      
    **Systemd**
    
    ```
    systemctl restart wazuh-manager
    ```
    
    **SysV Başlatma**
    
    ```
    service wazuh-manager restart
    ```
    
    <div class="sphinx-tabs docutils container"><div aria-labelledby="tab-10-U3lzdGVtZA==" class="sphinx-tabs-panel group-tab" name="U3lzdGVtZA==" role="tabpanel" tabindex="0"><div class="highlight-console notranslate"><div class="highlight" data-pagefind-weight="0.5">  
    </div></div></div></div><div class="sphinx-tabs docutils container"><div aria-labelledby="tab-10-U3lzdGVtZA==" class="sphinx-tabs-panel group-tab" id="bkmrk--16" name="U3lzdGVtZA==" role="tabpanel" tabindex="0"></div></div>
3. Wazuh yöneticisinin veritabanına bağlı olduğunu doğrulamak için aşağıdaki komutu çalıştırın:
    
    ```
    grep wazuh-dbd /var/ossec/logs/ossec.log
    ```
    
    <div aria-expanded="true" class="output highlight-none notranslate collapsible expanded"><div class="output-title" role="button">**Output**</div></div>```
    2024/06/24 14:49:11 wazuh-dbd: INFO: Connected to database 'Alerts_DB' at '127.0.0.1'.
    ```

Veritabanı artık Wazuh yöneticisinden veri almaya başlayacaktır.

</section></section></section>

# Olay Günlüğü Tutma

Günlükler, Wazuh aracılarından, harici API'lerden ve ağ cihazlarından alınan ham olaylardır. Wazuh sunucusu tüm günlükleri süresiz olarak depolar. Alan optimizasyonunu en üst düzeye çıkarmak için Wazuh yöneticisi günlük dosyalarını otomatik olarak sıkıştırır.

Wazuh, iki tür günlüğü yönetir, Wazuh sunucusundan gelen dahili günlükler ve izlenen uç noktalardan gelen harici günlükler. Bu günlükler `<span class="pre">/var/ossec/logs/</span>`Wazuh sunucusunun dizininde süresiz olarak saklanır.

Aşağıdaki tabloda Wazuh sunucusundaki günlük dosyaları ve bunların saklanma yerleri açıklanmaktadır.

<table class="docutils align-default" id="bkmrk-g%C3%BCnl%C3%BCk-depolama-dosy" style="width: 103.58%;"><thead><tr class="row-odd"><th class="head" style="width: 37.2218%;">Günlük depolama dosyası

</th><th class="head" style="width: 17.4394%;">Günlük kaynağı

</th><th class="head" style="width: 45.3801%;">Tanım

</th></tr></thead><tbody><tr class="row-even"><td style="width: 37.2218%;">`<span class="pre">/var/ossec/logs/ossec.log</span>`

</td><td style="width: 17.4394%;">Dahili

</td><td style="width: 45.3801%;">Wazuh sunucusu tarafından oluşturulan tüm bilgi düzeyindeki günlükleri depolar.

</td></tr><tr class="row-odd"><td style="width: 37.2218%;">`<span class="pre">/var/ossec/logs/api.log</span>`

</td><td style="width: 17.4394%;">Dahili

</td><td style="width: 45.3801%;">Wazuh uygulamasının Wazuh sunucu API'leriyle etkileşimi sırasında oluşturulan günlükleri depolar.

</td></tr><tr class="row-even"><td style="width: 37.2218%;">`<span class="pre">/var/ossec/logs/cluster.log</span>`

</td><td style="width: 17.4394%;">Dahili

</td><td style="width: 45.3801%;">Wazuh kümesinin faaliyetleri tarafından oluşturulan günlükleri depolar.

</td></tr><tr class="row-odd"><td style="width: 37.2218%;">`<span class="pre">/var/ossec/logs/integrations.log</span>`

</td><td style="width: 17.4394%;">Dahili

</td><td style="width: 45.3801%;">Üçüncü taraf uygulamalar ve sistemlerle arayüz oluştururken Wazuh entegrasyon modülü tarafından oluşturulan günlükleri depolar.

</td></tr><tr class="row-even"><td style="width: 37.2218%;">`<span class="pre">/var/ossec/logs/active-responses.log</span>`

</td><td style="width: 17.4394%;">Dahili

</td><td style="width: 45.3801%;">Wazuh Active Response modülü tarafından oluşturulan günlükleri depolar.

</td></tr><tr class="row-odd"><td style="width: 37.2218%;">`<span class="pre">/var/ossec/logs/firewall/firewall.log</span>`

</td><td style="width: 17.4394%;">Dahili

</td><td style="width: 45.3801%;">Güvenlik duvarı tarafından oluşturulan günlükleri depolar.

</td></tr><tr class="row-even"><td style="width: 37.2218%;">`<span class="pre">/var/ossec/logs/archives/archives.log</span>`

</td><td style="width: 17.4394%;">Harici

</td><td style="width: 45.3801%;">Üçüncü taraf uygulama ve sistemlerden alınan günlükleri düz metin olarak depolar.

</td></tr><tr class="row-odd"><td style="width: 37.2218%;">`<span class="pre">/var/ossec/logs/archives/archives.json</span>`

</td><td style="width: 17.4394%;">Harici

</td><td style="width: 45.3801%;">Üçüncü taraf uygulamalardan ve sistemlerden alınan günlükleri JSON biçiminde depolar.

</td></tr></tbody></table>

<section id="bkmrk-g%C3%BCnl%C3%BCk-s%C4%B1k%C4%B1%C5%9Ft%C4%B1rma-ve">### Günlük Sıkıştırma ve Döndürme

Günlük dosyaları bir sistemde önemli disk alanı biriktirebilir ve tüketebilir. Bunu önlemek için Wazuh yöneticisi, günlükleri döndürme işlemi sırasında sıkıştırarak disk kullanımını verimli bir şekilde yönetmeye ve sistem performansını korumaya yardımcı olur. Wazuh yöneticisi günlük dosyalarını günlük olarak veya belirli bir eşiğe (dosya boyutu, yaş, zaman ve daha fazlası) ulaştıklarında sıkıştırır ve arşivler. Günlük döndürme işleminde Wazuh, sürekli olarak yeni olaylar yazmak için orijinal adla yeni bir günlük dosyası oluşturur.

`<span class="pre">/var/ossec/logs/</span>`Günlük dosyaları günlük olarak sıkıştırılır ve MD5, SHA1 ve SHA256 karma algoritmaları kullanılarak dijital olarak imzalanır. Sıkıştırılmış günlük dosyaları, aşağıdaki biçime göre isimler taşıyan iç içe dizinler içindeki dizinde saklanır :

- Orijinal günlük dosyasının adını belirten .`<span class="pre">log</span> <span class="pre">file</span> <span class="pre">name</span>`
- `<span class="pre">year</span>`İçinde bulunulan yılın adını belirten .
- `<span class="pre">month</span>`Yılın o anki ayının adını belirten .

Örneğin, `<span class="pre">/var/ossec/logs/archives/archives.log</span>`sıkıştırılmış bir dosya dizinde saklanır . Aşağıdaki komutu çalıştırarak dizinin içeriğini görebilirsiniz:`<span class="pre">13th</span> <span class="pre">APR,</span> <span class="pre">2024</span>``<span class="pre">…/archives/2024/Apr/</span>`

```
ls -la /var/ossec/logs/archives/2024/Apr/
```

<div aria-expanded="true" class="output highlight-none notranslate collapsible expanded"><div class="output-title" role="button">**Output**</div></div>```
total 0
drwxr-x--- 2 wazuh wazuh 62 Apr 17 08:15 .
drwxr-x--- 4 wazuh wazuh 28 Apr 12 07:30 ..
-rw-r----- 1 wazuh wazuh  0 Apr 13 00:00 ossec-archive-13.log.gz
-rw-r----- 1 wazuh wazuh  0 Apr 13 00:00 ossec-archive-13.log.sum
```

Yukarıdaki çıktıda görüldüğü gibi, sıkıştırılmış dosyanın adına ve onun sağlama toplamına sırasıyla dize ve sonek eklenir.  
  
Yukarıdaki çıktıda görüldüğü gibi, sıkıştırılmış dosyanın adının ve sağlama toplamının başına `<span class="pre">ossec</span>` dizesi ve `<span class="pre">day</span> <span class="pre">of</span> <span class="pre">the</span> <span class="pre">current</span> <span class="pre">month</span>` son eki sırasıyla eklenir ve eklenir.

İhtiyaçlarınıza bağlı olarak, sıkıştırılmış dosyaları belirli bir süre sonra kaldırılmak üzere yapılandırabilirsiniz. Ayrıca, daha uzun süreli saklama için günlük yönetim sistemlerine, yedekleme sunucularına veya bulut tabanlı depolama aygıtlarına taşıyabilirsiniz.

</section><section id="bkmrk-olay-g%C3%BCnl%C3%BCklerinin-a"><span id="bkmrk-"></span>### Olay Günlüklerinin Arşivlenmesi

Olaylar, uygulamalar, uç noktalar ve ağ cihazları tarafından oluşturulan günlüklerdir. Wazuh sunucusu, bir kuralı tetikleyip tetiklemediklerine bakılmaksızın aldığı tüm olayları depolar. Bu olaylar, `<span class="pre">/var/ossec/logs/archives/archives.log</span>`ve adresinde bulunan Wazuh arşivlerinde depolanır `<span class="pre">/var/ossec/logs/archives/archives.json</span>`. Güvenlik ekipleri, güvenlik olaylarının geçmiş verilerini incelemek, eğilimleri analiz etmek ve tehditleri avlamak için raporlar oluşturmak amacıyla arşivlenmiş günlükleri kullanır.

Varsayılan olarak, Wazuh arşivleri devre dışıdır çünkü günlükleri Wazuh sunucusunda süresiz olarak depolar. Etkinleştirildiğinde, Wazuh yöneticisi uyumluluk ve adli amaçlar için güvenlik verilerini depolamak ve saklamak üzere arşivlenmiş dosyalar oluşturur.

Not

<div class="admonition note"> </div>Wazuh arşivleri, izlenen tüm uç noktalardan toplanan günlükleri tutar, bu nedenle zamanla Wazuh sunucusunda önemli depolama kaynakları tüketir. Bu nedenle, bunları etkinleştirmeden önce disk alanı ve performans üzerindeki etkiyi göz önünde bulundurmak önemlidir.

<section id="bkmrk-ar%C5%9Fivlemeyi-etkinle%C5%9F">#### Arşivlemeyi Etkinleştirme

Wazuh sunucunuzda arşivlemeyi etkinleştirmek için aşağıdaki adımları izleyin.

1. Wazuh yöneticisi yapılandırma dosyasını düzenleyin `<span class="pre">/var/ossec/etc/ossec.conf</span>`ve aşağıda vurgulanan alanların değerini şu şekilde ayarlayın `<span class="pre">yes</span>`:
    
    ```
    <ossec_config>
      <global>
        <jsonout_output>yes</jsonout_output>
        <alerts_log>yes</alerts_log>
        <logall>yes</logall>
        <logall_json>yes</logall_json>
    
       ...
    </ossec_config>
    ```
    
    Nerede:
    
    
    - `<span class="pre"><logall></span>`tüm günlük iletilerinin arşivlenmesini etkinleştirir veya devre dışı bırakır. Etkinleştirildiğinde, Wazuh sunucusu günlükleri bir syslog biçiminde depolar. İzin verilen değerler `<span class="pre">yes</span>`ve ' dir `<span class="pre">no</span>`.
    - `<span class="pre"><logall_json></span>`olayların günlüğe kaydedilmesini etkinleştirir veya devre dışı bırakır. Etkinleştirildiğinde, Wazuh sunucusu olayları bir JSON biçiminde depolar. İzin verilen değerler `<span class="pre">yes</span>`ve ' dir `<span class="pre">no</span>`.
    
    İstediğiniz biçime bağlı olarak, vurgulanan alanlardan bir veya her iki değeri de olarak ayarlayabilirsiniz `<span class="pre">yes</span>`. Ancak, yalnızca bu `<span class="pre"><logall_json>yes</logall_json></span>`seçenek Wazuh panosundaki olayları görselleştirmek için kullanılabilecek bir dizin oluşturmanıza olanak tanır.
2. Yapılandırma değişikliklerini uygulamak için Wazuh yöneticisini yeniden başlatın:
    
    ```
    systemctl restart wazuh-manager
    ```

Seçtiğiniz formata bağlı olarak, dosya `<span class="pre">archives.log</span>`, , veya her ikisi de Wazuh sunucusundaki dizinde `<span class="pre">archives.json</span>`oluşturulacaktır .`<span class="pre">/var/ossec/logs/archives/</span>`

Wazuh varsayılan bir günlük döndürme politikası kullanır. Günlükleri günlük, aylık ve yıllık bazda döndürerek ve sıkıştırarak kullanılabilir disk alanının korunmasını sağlar.

</section><section id="bkmrk-g%C3%B6sterge-panelindeki">### Dashboard'daki Olayların Görselleştirilmesi

1. Filebeat yapılandırma dosyasını düzenleyin ve from `<span class="pre">/etc/filebeat/filebeat.yml</span>`değerini şu şekilde değiştirin :`<span class="pre">archives:</span> <span class="pre">enabled</span>``<span class="pre">false</span>``<span class="pre">true</span>`
    
    ```
    archives:
     enabled: true
    ```
2. Yapılandırma değişikliklerini uygulamak için Filebeat'i yeniden başlatın:
    
    ```
    systemctl restart filebeat
    ```

</section><section id="bkmrk-wazuh-g%C3%B6sterge-panel">### Wazuh Dashboard

1. Ana menüyü açmak için sol üst menü simgesine tıklayın. **Pano yönetimi'ni genişletin ve Pano yönetimi** &gt; **Dizin desenleri'ne** gidin . Sonra, **Dizin deseni oluştur'a** tıklayın . Dizin deseni adı olarak kullanın `<span class="pre">wazuh-archives-*</span>`ve **Zaman alanı** açılır listesinde `<span class="pre">timestamp</span>`ayarlayın .
    
    Aşağıdaki GIF, endeks deseninin nasıl oluşturulacağını göstermektedir.
    
    <div class="wazuh-image-wrapper align-center">![wazuh-archives-* dizin deseninin oluşturulması](https://documentation.wazuh.com/current/_images/creating-wazuh-archives-index-pattern1.gif)  
    </div>
2. Gösterge tablosundaki etkinlikleri görüntülemek için sol üst menü simgesine tıklayın ve **Keşfet'e** gidin . Dizin desenini olarak değiştirin `<span class="pre">wazuh-archives-*</span>`.
    
    <div class="wazuh-image-wrapper align-center">![Gösterge tablosunda etkinlikleri görüntüleyin](https://documentation.wazuh.com/current/_images/view-events-on-dashboard1.png)</div>

</section><section id="bkmrk-kullan%C4%B1m-durumu%3A-%C4%B0mz">#### Use Case: İmzalanmış İkili Proxy Yürütmeyi Algılama

`<span class="pre">T1218.010</span>`İmzalanmış ikili proxy yürütme, tehdit aktörlerinin kötü amaçlı kod çalıştırmak için güvenilir ikili dosyaları kullanarak uygulama beyaz listesini atlatmak için kullandıkları bir tekniktir. Bu teknik , MITRE ATT&amp;CK çerçevesine dayalı olarak tanımlanmıştır .

Bu kullanım örneğinde, `<span class="pre">regsvr32.exe</span>`uygulama denetimlerini atlatmak için Windows yardımcı programı 'nın nasıl kötüye kullanılacağını gösteriyoruz. Daha sonra bu teknikle ilgili şüpheli etkinliği tespit etmek için Wazuh arşivlerindeki olayları analiz ediyoruz.

<section id="bkmrk-windows-11-yap%C4%B1land%C4%B1">##### **Windows 11 Yapılandırması**

Windows 11 uç noktasına Sysmon ve Atomic Red Team'i (ART) yüklemek ve imzalanmış ikili proxy yürütme tekniğini taklit etmek için aşağıdaki adımları uygulayın.

<section id="bkmrk-sysmon-entegrasyonub">##### Sysmon Entegrasyonu

Windows 11 uç noktasına Sysmon'ı yüklemek ve yapılandırmak için aşağıdaki adımları uygulayın.

1. [Sysmon'ı Microsoft Sysinternals sayfasından](https://docs.microsoft.com/en-us/sysinternals/downloads/sysmon) indirin .
2. Sysmon yapılandırma dosyasını indirin: [sysmonconfig.xml](https://wazuh.com/resources/blog/detecting-process-injection-with-wazuh/sysmonconfig.xml) .
3. İndirilen yapılandırma dosyasıyla PowerShell'i yönetici olarak kullanarak Sysmon'u yükleyin:
    
    ```
    > .\sysmon64.exe -accepteula -i .\sysmonconfig.xml
    ```
4. Sysmon günlüklerinin toplanacağı konumu belirtmek için `<span class="pre"><ossec_config></span>`Wazuh aracı dosyasına blok içinde aşağıdaki yapılandırmayı ekleyin :`<span class="pre">C:\Program</span> <span class="pre">Files</span> <span class="pre">(x86)\ossec-agent\ossec.conf<br></br></span>`
    
    ```
    <localfile>
      <location>Microsoft-Windows-Sysmon/Operational</location>
      <log_format>eventchannel</log_format>
    </localfile>
    ```
5. Değişiklikleri uygulamak için Wazuh aracısını yeniden başlatın ve aşağıdaki PowerShell komutunu yönetici olarak çalıştırın:
    
    ```
    > Restart-Service -Name Wazuh
    ```

<section id="bkmrk-atomic-red-team-kuru">##### Atomic Red Team Kurulumu

PowerShell'i yönetici olarak kullanarak Windows 11 uç noktasına Atomic Red Team PowerShell modülünü yüklemek için aşağıdaki adımları uygulayın.

1. Varsayılan olarak, PowerShell çalışan betiklerin yürütülmesini kısıtlar. Varsayılan yürütme politikasını şu şekilde değiştirmek için aşağıdaki komutu çalıştırın `<span class="pre">RemoteSigned</span>`:
    
    ```
    > Set-ExecutionPolicy RemoteSigned
    ```
2. ART yürütme çerçevesini yükleyin:
    
    ```
    > IEX (IWR 'https://raw.githubusercontent.com/redcanaryco/invoke-atomicredteam/master/install-atomicredteam.ps1' -UseBasicParsing);
    > Install-AtomicRedTeam -getAtomics
    ```
3. Fonksiyonu kullanmak için ART modülünü içe aktarın `<span class="pre">Invoke-AtomicTest</span>`:
    
    ```
    > Import-Module "C:\AtomicRedTeam\invoke-atomicredteam\Invoke-AtomicRedTeam.psd1" -Force
    ```
4. `<span class="pre">Invoke-AtomicTest</span>`Tekniğin ayrıntılarını göstermek için fonksiyonu kullanın `<span class="pre">T1218.010</span>`:
    
    ```
    > Invoke-AtomicTest T1218.010 -ShowDetailsBrief
    ```
    
    <div aria-expanded="true" class="output highlight-none notranslate collapsible expanded"><div class="output-title" role="button">**Output**</div></div>```
    PathToAtomicsFolder = C:\AtomicRedTeam\atomics
    
    T1218.010-1 Regsvr32 local COM scriptlet execution
    T1218.010-2 Regsvr32 remote COM scriptlet execution
    T1218.010-3 Regsvr32 local DLL execution
    T1218.010-4 Regsvr32 Registering Non DLL
    T1218.010-5 Regsvr32 Silent DLL Install Call DllRegisterServer
    ```

</section></section><section id="bkmrk-sald%C4%B1r%C4%B1-em%C3%BClasyonubu">##### Saldırı Emülasyonu

Windows 11 uç noktasında imzalı ikili proxy yürütme tekniğini taklit edin.

1. Testi gerçekleştirmek için aşağıdaki komutu Powershell'i yönetici olarak çalıştırın `<span class="pre">T1218.010</span>`:
    
    ```
    > Invoke-AtomicTest T1218.010
    ```
    
    <div aria-expanded="true" class="output highlight-none notranslate collapsible expanded"><div class="output-title" role="button">**Output**</div></div>```
    PathToAtomicsFolder = C:\AtomicRedTeam\atomics
    
    Executing test: T1218.010-1 Regsvr32 local COM scriptlet execution
    Done executing test: T1218.010-1 Regsvr32 local COM scriptlet execution
    Executing test: T1218.010-2 Regsvr32 remote COM scriptlet execution
    Done executing test: T1218.010-2 Regsvr32 remote COM scriptlet execution
    Executing test: T1218.010-3 Regsvr32 local DLL execution
    Done executing test: T1218.010-3 Regsvr32 local DLL execution
    Executing test: T1218.010-4 Regsvr32 Registering Non DLL
    Done executing test: T1218.010-4 Regsvr32 Registering Non DLL
    Executing test: T1218.010-5 Regsvr32 Silent DLL Install Call DllRegisterServer
    Done executing test: T1218.010-5 Regsvr32 Silent DLL Install Call DllRegisterServer
    ```

Exploitin başarılı bir şekilde yürütülmesinin ardından birkaç hesap makinesi örneği açılacaktır.

</section><section id="bkmrk-wazuh-g%C3%B6sterge-panel-2">##### Wazuh Dashboard

Wazuh arşivlerini, avlanan teknikle ilgili olayları sorgulamak ve görüntülemek için kullanın. Arşivlere danışırken bazı olayların Wazuh panosunda uyarı olarak yakalanmış olabileceğini unutmamak önemlidir. Algılama yapılmayan uyarılar ve olaylar dahil olmak üzere Wazuh arşivlerinden gelen bilgileri kullanarak özel gereksinimlerinize göre özel kurallar oluşturabilirsiniz.

1. Testin gerçekleştirildiği son beş dakika içinde meydana gelen olayları görüntülemek için bir zaman aralığı filtresi uygulayın. `<span class="pre">agent.id</span>`, `<span class="pre">agent.ip</span>`veya kullanarak belirli Windows uç noktasından günlükleri görüntülemek için filtre uygulayın `<span class="pre">agent.name</span>`.
    
    <div class="wazuh-image-wrapper align-center">![Zaman aralığı filtresi uygulanıyor](https://documentation.wazuh.com/current/_images/applying-time-range-filter1.png)</div>  
    Daha önceki saldırı emülasyonuyla bir korelasyon belirlemek için inceleyebileceğiniz birden fazla isabet vardır. Örneğin, test sırasında Windows uç noktasında gözlemlenene benzer bir hesap makinesi oluşturma olayı fark edebilirsiniz.
    
    <div class="wazuh-image-wrapper align-center">![Hesap makinesi yumurtlama olayı](https://documentation.wazuh.com/current/_images/calculator-spawning-event1.png)  
    </div>
2. `<span class="pre">regsvr32</span>`Olaylarla ilgili işlemleri kolaylaştırmak ve araştırmak için arama çubuğuna yazın `<span class="pre">regsvr32</span>`.
    
    <div class="wazuh-image-wrapper align-center">![Filtre regsvr32](https://documentation.wazuh.com/current/_images/filter-regsvr321.png)  
    </div>
3. İlgili alanları görüntülemek için herhangi bir olayı genişletin.
    
    <div class="wazuh-image-wrapper align-center">![Etkinlikleri genişlet](https://documentation.wazuh.com/current/_images/expand-events1.png)  
    </div>
4. Arşivlenmiş günlüklerin JSON formatını görüntülemek için JSON sekmesine tıklayın.
    
    <div class="wazuh-image-wrapper align-center">![JSON sekmesi](https://documentation.wazuh.com/current/_images/json-tab1.png)</div>  
    Komutlar, hizmetler, yollar ve daha fazlası gibi etkinliklere ilişkin belirli ayrıntıları JSON günlüğünden çıkarabilir ve doğrulayabilirsiniz. Aşağıda, ilk işlem oluşturmayı ve yürütülen komutla ilgili öznitelikleri tanımlayabilirsiniz:
    
    ```
    "data": {
          "win": {
            "eventdata": {
              "originalFileName": "REGSVR32.EXE",
              "image": "C:\\\\Windows\\\\SysWOW64\\\\regsvr32.exe",
              "product": "Microsoft® Windows® Operating System",
              "parentProcessGuid": "{45cd4aff-35fc-6463-6903-000000001300}",
              "description": "Microsoft(C) Register Server",
              "logonGuid": "{45cd4aff-2ce5-6463-2543-290000000000}",
    
             "parentCommandLine": "C:\\\\Windows\\\\system32\\\\regsvr32.exe  /s /i C:\\\\AtomicRedTeam\\\\atomics\\\\T1218.010\\\\bin\\\\AllTheThingsx86.dll",
    
             "processGuid": "{45cd4aff-35fc-6463-6a03-000000001300}",
              "logonId": "0x294325",
              "parentProcessId": "7652",
              "processId": "4064",
              "currentDirectory": "C:\\\\Users\\\\THECOT~1\\\\AppData\\\\Local\\\\Temp\\\\",
              "utcTime": "2023-05-16 07:51:24.512",
              "hashes": "SHA1=8E2C6B7F92A560E0E856F8533D62A1B10797828F,MD5=5F7264BD237FAEA46FB240785B78AFAC,SHA256=D9BE711BE2BF88096BB91C25DF775D90B964264AB25EC49CF04711D8C1F089F6,IMPHASH=73F03653209E82368127EB826216A6AD",
              "parentImage": "C:\\\\Windows\\\\System32\\\\regsvr32.exe",
              "ruleName": "technique_id=T1117,technique_name=Regsvr32",
              "company": "Microsoft Corporation",
              "commandLine": "  /s /i C:\\\\AtomicRedTeam\\\\atomics\\\\T1218.010\\\\bin\\\\AllTheThingsx86.dll",
              "integrityLevel": "High",
              "fileVersion": "10.0.22621.1 (WinBuild.160101.0800)",
              "user": "Windows11\\\\Testuser",
              "terminalSessionId": "2",
              "parentUser": "Windows11\\\\Testuser"
            },
            "system": {
              "eventID": "1",
              "keywords": "0x8000000000000000",
              "providerGuid": "{5770385f-c22a-43e0-bf4c-06f5698ffbd9}",
              "level": "4",
              "channel": "Microsoft-Windows-Sysmon/Operational",
              "opcode": "0",
    
             "message": "\"Process Create:\r\nRuleName: technique_id=T1117,technique_name=Regsvr32\r\nUtcTime: 2023-05-16 07:51:24.512\r\nProcessGuid: {45cd4aff-35fc-6463-6a03-000000001300}\r\nProcessId: 4064\r\nImage: C:\\Windows\\SysWOW64\\regsvr32.exe\r\nFileVersion: 10.0.22621.1 (WinBuild.160101.0800)\r\nDescription: Microsoft(C) Register Server\r\nProduct: Microsoft® Windows® Operating System\r\nCompany: Microsoft Corporation\r\nOriginalFileName: REGSVR32.EXE\r\nCommandLine:   /s /i C:\\AtomicRedTeam\\atomics\\T1218.010\\bin\\AllTheThingsx86.dll\r\nCurrentDirectory: C:\\Users\\THECOT~1\\AppData\\Local\\Temp\\\r\nUser: Windows11\\Testuser\r\nLogonGuid: {45cd4aff-2ce5-6463-2543-290000000000}\r\nLogonId: 0x294325\r\nTerminalSessionId: 2\r\nIntegrityLevel: High\r\nHashes: SHA1=8E2C6B7F92A560E0E856F8533D62A1B10797828F,MD5=5F7264BD237FAEA46FB240785B78AFAC,SHA256=D9BE711BE2BF88096BB91C25DF775D90B964264AB25EC49CF04711D8C1F089F6,IMPHASH=73F03653209E82368127EB826216A6AD\r\nParentProcessGuid: {45cd4aff-35fc-6463-6903-000000001300}\r\nParentProcessId: 7652\r\nParentImage: C:\\Windows\\System32\\regsvr32.exe\r\nParentCommandLine: C:\\Windows\\system32\\regsvr32.exe  /s /i C:\\AtomicRedTeam\\atomics\\T1218.010\\bin\\AllTheThingsx86.dll\r\nParentUser: Windows11\\Testuser\"",
    
             "version": "5",
              "systemTime": "2023-05-16T07:51:24.5131006Z",
              "eventRecordID": "88509",
              "threadID": "3960",
              "computer": "Windows11",
              "task": "1",
              "processID": "3156",
              "severityValue": "INFORMATION",
              "providerName": "Microsoft-Windows-Sysmon"
            }
          }
        },
    ```
    
    Diğer ilgili olaylar üzerinde daha fazla araştırma yaparak, regsvr32 yardımcı programı tarafından oluşturulan bir işlem enjeksiyon olayını ve yüklenen görüntüyü görebilirsiniz:
    
    ```
    "data": {
          "win": {
            "eventdata": {
              "originalFileName": "mscoree.dll",
              "image": "C:\\\\Windows\\\\SysWOW64\\\\regsvr32.exe",
              "product": "Microsoft® Windows® Operating System",
              "signature": "Microsoft Windows",
    
             "imageLoaded": "C:\\\\Windows\\\\SysWOW64\\\\mscoree.dll",
    
             "description": "Microsoft .NET Runtime Execution Engine",
              "signed": "true",
              "signatureStatus": "Valid",
              "processGuid": "{45cd4aff-35fc-6463-6a03-000000001300}",
              "processId": "4064",
              "utcTime": "2023-05-16 07:51:24.774",
              "hashes": "SHA1=52A6AB3E468C4956C00707DF80C7609EEE74D9AD,MD5=BEE4D173DA78E4D3AC9B54A95C6A464A,SHA256=36B0BA10BBB6575CA4A4CBDE585F6E19B86B3A80014B3C3D8335F861D8AEBFAB,IMPHASH=47F306C12509ADBBC266F7DA43529A4D",
              "ruleName": "technique_id=T1055,technique_name=Process Injection",
              "company": "Microsoft Corporation",
              "fileVersion": "10.0.22621.1 (WinBuild.160101.0800)",
              "user": "Windows11\\\\Testuser"
            },
            "system": {
              "eventID": "7",
              "keywords": "0x8000000000000000",
              "providerGuid": "{5770385f-c22a-43e0-bf4c-06f5698ffbd9}",
              "level": "4",
              "channel": "Microsoft-Windows-Sysmon/Operational",
              "opcode": "0",
    
             "message": "\"Image loaded:\r\nRuleName: technique_id=T1055,technique_name=Process Injection\r\nUtcTime: 2023-05-16 07:51:24.774\r\nProcessGuid: {45cd4aff-35fc-6463-6a03-000000001300}\r\nProcessId: 4064\r\nImage: C:\\Windows\\SysWOW64\\regsvr32.exe\r\nImageLoaded: C:\\Windows\\SysWOW64\\mscoree.dll\r\nFileVersion: 10.0.22621.1 (WinBuild.160101.0800)\r\nDescription: Microsoft .NET Runtime Execution Engine\r\nProduct: Microsoft® Windows® Operating System\r\nCompany: Microsoft Corporation\r\nOriginalFileName: mscoree.dll\r\nHashes: SHA1=52A6AB3E468C4956C00707DF80C7609EEE74D9AD,MD5=BEE4D173DA78E4D3AC9B54A95C6A464A,SHA256=36B0BA10BBB6575CA4A4CBDE585F6E19B86B3A80014B3C3D8335F861D8AEBFAB,IMPHASH=47F306C12509ADBBC266F7DA43529A4D\r\nSigned: true\r\nSignature: Microsoft Windows\r\nSignatureStatus: Valid\r\nUser: Windows11\\Testuser\"",
    
             "version": "3",
              "systemTime": "2023-05-16T07:51:24.7768916Z",
              "eventRecordID": "88510",
              "threadID": "3960",
              "computer": "Windows11",
              "task": "7",
              "processID": "3156",
              "severityValue": "INFORMATION",
              "providerName": "Microsoft-Windows-Sysmon"
            }
          }
        },
    ```
5. `<span class="pre">data.win.eventdata.ruleName:technique_id=T1218.010,technique_name=Regsvr32</span>`Teknik kimliğini görmek için aşağıda gösterilen filtreyi uygulayın.
    
    <div class="wazuh-image-wrapper align-center">![Filtre T1218.010 tekniği](https://documentation.wazuh.com/current/_images/filter-T1218.010-technique1.png)  
    </div>
6. İlgili alanları görüntülemek için olayı genişletin.
    
    <div class="wazuh-image-wrapper align-center">![Filtre T1218.010 tekniği](https://documentation.wazuh.com/current/_images/expand-T1218.010-event1.png)  
    </div>
7. Arşivlenmiş günlüklerin JSON formatını görüntülemek için JSON sekmesine tıklayın.
    
    <div class="wazuh-image-wrapper align-center">![JSON sekmesi](https://documentation.wazuh.com/current/_images/json-tab21.png)</div>  
    Aşağıdaki kayıttan, olayı analiz etmeyi kolaylaştıran daha yapılandırılmış ayrıntılar çıkarabilirsiniz:
    
    ```
    "data": {
          "win": {
            "eventdata": {
              "destinationPort": "443",
              "image": "C:\\\\Windows\\\\System32\\\\regsvr32.exe",
              "sourcePort": "63754",
              "initiated": "true",
              "destinationIp": "1.1.123.23",
              "protocol": "tcp",
              "processGuid": "{45cd4aff-36b5-645a-9e07-000000000e00}",
              "sourceIp": "192.168.43.16",
              "processId": "4704",
              "utcTime": "2023-05-09 21:19:25.361",
    
             "ruleName": "technique_id=T1218.010,technique_name=Regsvr32",
    
             "destinationIsIpv6": "false",
              "user": "Windows11\\\\Testuser",
              "sourceIsIpv6": "false"
            },
            "system": {
              "eventID": "3",
              "keywords": "0x8000000000000000",
              "providerGuid": "{5770385f-c22a-43e0-bf4c-06f5698ffbd9}",
              "level": "4",
              "channel": "Microsoft-Windows-Sysmon/Operational",
              "opcode": "0",
    
             "message": "\"Network connection detected:\r\nRuleName: technique_id=T1218.010,technique_name=Regsvr32\r\nUtcTime: 2023-05-09 21:19:25.361\r\nProcessGuid: {45cd4aff-36b5-645a-9e07-000000000e00}\r\nProcessId: 4704\r\nImage: C:\\Windows\\System32\\regsvr32.exe\r\nUser: Windows11\\Testuser\r\nProtocol: tcp\r\nInitiated: true\r\nSourceIsIpv6: false\r\nSourceIp: 192.168.43.16\r\nSourceHostname: -\r\nSourcePort: 63754\r\nSourcePortName: -\r\nDestinationIsIpv6: false\r\nDestinationIp: 185.199.108.133\r\nDestinationHostname: -\r\nDestinationPort: 443\r\nDestinationPortName: -\"",
    
             "version": "5",
              "systemTime": "2023-05-09T12:04:07.0231156Z",
              "eventRecordID": "63350",
              "threadID": "3096",
              "computer": "Windows11",
              "task": "3",
              "processID": "3156",
              "severityValue": "INFORMATION",
              "providerName": "Microsoft-Windows-Sysmon"
            }
          }
        },
    ```

Algılama mantığını geliştirmek ve özel kod çözücüler ve kurallar yazmak için Wazuh arşivlerinden gelen olayları kullanabilirsiniz. Ayrıca `<span class="pre">wazuh-logtest</span>`, kuralları sağlanan günlüklere göre test etmek ve doğrulamak için hazır aracı da kullanabilirsiniz.

</section></section></section></section>

# Harici API entegrasyonu

Wazuh Integrator modülü, Wazuh'un Slack , PagerDuty , VirusTotal , Shuffle ve Maltiverse gibi harici API'lere ve uyarı araçlarına bağlanmasını sağlar . Integrator modülünü diğer yazılımlara bağlanacak şekilde de yapılandırabilirsiniz. Bu entegrasyonlar, güvenlik yöneticilerinin orkestrasyonu geliştirmesini, yanıtları otomatikleştirmesini ve siber tehditlere karşı savunmalarını güçlendirmesini sağlar.

<section id="bkmrk-yap%C4%B1land%C4%B1rma-bir-ent">### Yapılandırma

Bir entegrasyonu yapılandırmak için Wazuh sunucusundaki `<span class="pre">/var/ossec/etc/ossec.conf</span>` dosyasındaki `<span class="pre"><ossec_config></span>` içindeki aşağıdaki yapılandırmayı ekleyin :

```
<integration>
  <name> </name>
  <hook_url> </hook_url> <!-- Required for Slack, Shuffle, and Maltiverse -->
  <api_key> </api_key> <!-- Required for PagerDuty, VirusTotal, and Maltiverse -->
  <alert_format>json</alert_format> <!-- Required for Slack, PagerDuty, VirusTotal, Shuffle, and Maltiverse -->

  <!-- Optional filters -->
  <rule_id> </rule_id>
  <level> </level>
  <group> </group>
  <event_location> </event_location>
  <options> </options>
</integration>
```

Nerede:

- `<span class="pre"><name></span>`entegre edilecek hizmetin adını belirtir. İzin verilen değerler `<span class="pre">slack</span>`, `<span class="pre">pagerduty</span>`, `<span class="pre">virustotal</span>`, `<span class="pre">shuffle</span>`, ' dir `<span class="pre">maltiverse</span>`. Özel entegrasyonlar için, ad ile başlayan herhangi bir dize olmalıdır `<span class="pre">custom-</span>`.
- `<span class="pre"><hook_url></span>`entegre edilen yazılımla iletişim için kullanılan URL'dir. Slack, Shuffle ve Maltiverse entegrasyonları için zorunludur.
- `<span class="pre"><api_key></span>`PagerDuty, VirusTotal veya Maltiverse API'sinden almış olacağınız anahtardır. Bu PagerDuty, VirusTotal ve Maltiverse için zorunludur.
- `<span class="pre"><alert_format></span>`uyarı dosyasını JSON biçiminde yazar. Integrator modülü, alan değerlerini almak için bu uyarı dosyasını kullanır. İzin verilen değer `<span class="pre">json</span>`.
- `<span class="pre"><rule_id></span>`kural kimliğine göre uyarıları filtreler. İzin verilen değerler virgülle ayrılmış kural kimlikleridir.
- `<span class="pre"><level></span>``<span class="pre">0</span>`uyarıları kural düzeyine göre filtreler, böylece yalnızca belirtilen düzey veya üstündeki uyarılar gönderilir. İzin verilen değer, ile arasındaki herhangi bir uyarı düzeyidir `<span class="pre">16</span>`.
- `<span class="pre"><group></span>`uyarıları kural grubuna göre filtreler. VirusTotal entegrasyonu için yalnızca syscheck grubundan kurallar kullanılabilir. İzin verilen değerler herhangi bir kural grubu veya virgülle ayrılmış kural gruplarıdır.
- `<span class="pre"><event_location></span>`uyarıları olayın nereden kaynaklandığına göre filtreler. İzin verilen değer herhangi bir sregex ifadesidir.
- `<span class="pre"><options></span>`JSON nesnesinde sağlanan bilgilere göre önceki alanların üzerine yazar veya özelleştirme alanları ekler. İzin verilen değer json'dur.

<p class="callout info">Not: Yapılandırma dosyasında herhangi bir değişiklik yaptığınızda Wazuh yöneticisini yeniden başlatın. Bu, değişikliklerin etkili olmasını sağlayacaktır.</p>

Aşağıdaki komutla komut satırı arayüzü üzerinden Wazuh yöneticisini yeniden başlatın:  
  
**Systemd**

```
systemctl restart wazuh-manager
```

  
**SysV Başlatma**```
service wazuh-manager restart
```

<div class="sphinx-tabs docutils container"><div aria-labelledby="tab-0-U3lzViBpbml0" class="sphinx-tabs-panel group-tab" id="bkmrk-" name="U3lzViBpbml0" role="tabpanel" tabindex="0"><div class="highlight-console notranslate"><div class="highlight" data-pagefind-weight="0.5">  
</div></div></div></div><section id="bkmrk-%C4%B0ste%C4%9Fe-ba%C4%9Fl%C4%B1-filtrel">#### İsteğe Bağlı Filtreler

Wazuh Integrator modülü, hangi uyarıların harici platformlara gönderileceğini belirlemek için isteğe bağlı filtre alanlarını kullanır. Yalnızca filtre koşullarını karşılayan uyarılar gönderilir. Hiçbir filtre belirtilmezse, tüm uyarılar gönderilir.

Filtreler ayarlanırken aşağıdaki hususlara dikkat edilmelidir:

- Virgülle ayrılmış liste etiketini kullanarak birden fazla grup adı belirtmek mümkündür `<span class="pre"><group></span>`. Uyarının grubu listedeki gruplardan herhangi biriyle eşleşirse uyarı gönderilir, aksi takdirde yok sayılır.
- Virgülle ayrılmış liste etiketini kullanarak birden fazla kural kimliği belirtmek mümkündür `<span class="pre"><rule_id></span>`. Uyarı, uyarının kural kimliği listedeki herhangi bir kimlikle eşleşirse gönderilir, aksi takdirde yok sayılır.
- Daha önce açıklanan alanları birlikte belirtmek mümkündür. Uyarı, hem uyarının kural kimliği hem de grubu listelerdeki kimliklerden ve gruplardan herhangi biriyle eşleşirse gönderilir, aksi takdirde yok sayılır.

<p class="callout info">Not: Yukarıda belirtilen grup ve kural tanımlayıcılarının dikkatlice kontrol edilmesi önerilir, çünkü bunların yanlış tanımlanması entegrasyona beklenen uyarıların gönderilmemesine neden olacaktır.</p>

</section></section><section id="bkmrk-slack-slack%2C-kurulu%C5%9F"><span id="bkmrk--1"></span>### Slack

Slack, kuruluşlar içinde iletişimi ve ekip çalışmasını kolaylaştıran bulut tabanlı bir işbirliği platformudur. Bu entegrasyon, Slack gelen webhook'larını kullanır ve güvenlik uzmanlarının gerçek zamanlı uyarıları doğrudan belirlenmiş kanallar içinde almalarını sağlar.

Bu entegrasyonu kurmak için aşağıdaki adımları izleyin:

1. Gelen webhook'ları etkinleştirin ve Slack kanalınız için bir tane oluşturun. Bunun için [gelen webhook'lar](https://api.slack.com/messaging/webhooks) hakkındaki Slack rehberini izleyin .
2. Aşağıdaki yapılandırmayı `<span class="pre">/var/ossec/etc/ossec.conf</span>`Wazuh sunucusundaki dosyaya ekleyin. `<span class="pre"><WEBHOOK_URL></span>`Gelen webhook'unuzla değiştirin.
    
    ```
    <ossec_config>
      <integration>
        <name>slack</name>
        <hook_url><SLACK_WEBHOOK_URL></hook_url> <!-- Replace with your Slack hook URL -->
        <alert_format>json</alert_format>
      </integration>
    </ossec_config>
    ```
    
    <p class="callout info">Not: <span class="std std-ref">Seçenekler</span> etiketini kullanarak özelleştirme alanlarıyla bir JSON nesnesi ayarlayabilirsiniz . Kullanılabilir özelleştirme alanları hakkında bilgi için [Slack API referansını ziyaret edin.](https://api.slack.com/reference/messaging/attachments#legacy_fields)</p>
    
    <div class="admonition note"> </div>
3. Değişiklikleri uygulamak için Wazuh yöneticisini yeniden başlatın:  
      
    **Systemd**
    
    ```
    systemctl restart wazuh-manager
    ```
    
      
      
    **SysV Başlatma**
    
    <div class="sphinx-tabs docutils container"><div aria-labelledby="tab-1-U3lzViBpbml0" class="sphinx-tabs-panel group-tab" name="U3lzViBpbml0" role="tabpanel" tabindex="0"></div></div>```
    service wazuh-manager restart
    ```
    
    <div class="sphinx-tabs docutils container"><div aria-labelledby="tab-1-U3lzViBpbml0" class="sphinx-tabs-panel group-tab" id="bkmrk--2" name="U3lzViBpbml0" role="tabpanel" tabindex="0"><div class="highlight-console notranslate"><div class="highlight" data-pagefind-weight="0.5">  
    </div></div></div></div>

Yapılandırma tamamlandıktan sonra seçili kanalda uyarılar gösterilmeye başlanır.

<div class="wazuh-image-wrapper align-center">![Seçili Slack kanalındaki uyarılar](https://documentation.wazuh.com/current/_images/alerts-in-slack-channel1.png)</div></section><section id="bkmrk-sayfalama-g%C3%B6revibu-b"><span id="bkmrk--4"></span>### PagerDuty

[PagerDuty,](https://www.pagerduty.com/) BT departmanları için uygun bir SaaS olay müdahale platformudur. PagerDuty, programlara ve yükseltme politikalarına göre uyarıları doğru kişilere veya ekiplere yükselterek olay müdahale iş akışlarını yürütür. PagerDuty entegrasyonu, Wazuh uyarılarını Olay Pano'suna iletmek için PagerDuty API'sini kullanır.

Bu entegrasyonu kurmak için aşağıdaki adımları izleyin:

1. [Yeni bir PagerDuty servisi](https://support.pagerduty.com/docs/services-and-integrations#create-a-service) oluşturarak Events API v2 entegrasyon anahtarınızı edinin .
2. Aşağıdaki yapılandırmayı `<span class="pre">/var/ossec/etc/ossec.conf</span>`Wazuh sunucusundaki dosyaya ekleyin. `<span class="pre">PAGERDUTY_API_KEY</span>`PagerDuty entegrasyon anahtarınızla değiştirin. Kural düzeyi filtresi isteğe bağlıdır ve bunu kaldırabilir veya entegrasyon için başka bir düzey değeri ayarlayabilirsiniz.
    
    ```
    <ossec_config>
      <integration>
        <name>pagerduty</name>
        <api_key><PAGERDUTY_API_KEY></api_key> <!-- Replace with your PagerDuty API key -->
        <level>10</level>
        <alert_format>json</alert_format> <!-- New mandatory parameter since v4.7.0 -->
      </integration>
    </ossec_config>
    ```
    
    <p class="callout info">Not: <span class="std std-ref">Seçenekler</span> etiketini kullanarak özelleştirme alanlarıyla bir JSON nesnesi ayarlayabilirsiniz . Kullanılabilir özelleştirme alanları hakkında bilgi için [PagerDuty API referansını ziyaret edin.](https://developer.pagerduty.com/docs/ZG9jOjExMDI5NTgx-send-an-alert-event)</p>
    
    <div class="admonition note"> </div>
3. Değişiklikleri uygulamak için Wazuh yöneticisini yeniden başlatın:  
      
    **Systemd**
    
    ```
    systemctl restart wazuh-manager
    ```
    
      
      
    **SysV Başlatma**
    
    ```
    service wazuh-manager restart
    ```
    
    <div class="sphinx-tabs docutils container"><div aria-labelledby="tab-2-U3lzViBpbml0" class="sphinx-tabs-panel group-tab" name="U3lzViBpbml0" role="tabpanel" tabindex="0"></div></div><div class="sphinx-tabs docutils container"><div aria-labelledby="tab-2-U3lzViBpbml0" class="sphinx-tabs-panel group-tab" id="bkmrk--5" name="U3lzViBpbml0" role="tabpanel" tabindex="0"></div></div>

Yapılandırma tamamlandıktan sonra Pagerduty panosunda uyarılar gösterilmeye başlar.

<div class="wazuh-image-wrapper align-center">![PagerDuty'deki uyarılar](https://documentation.wazuh.com/current/_images/alerts-in-pagerduty1.png)</div></section><section id="bkmrk-vir%C3%BCstoplam%C4%B1bu-ba%C5%9Fl%C4%B1">### VirusTotal

[VirusTotal](https://www.virustotal.com/gui/home/upload) , virüsleri, solucanları, truva atlarını ve diğer kötü amaçlı içerikleri tespit etmek için dosyaları ve URL'leri analiz eden bir çevrimiçi hizmettir. Bu entegrasyon, VirusTotal veritabanını kullanarak kötü amaçlı dosyaların incelenmesine olanak tanır. Bununla ilgili daha fazla bilgiyi [<span class="doc">VirusTotal entegrasyon</span>](https://acikkaynak.lastguard.com.tr/books/kullanim-kilavuzu/page/malware-kotu-amacli-yazilim-tespiti) bölümünde bulabilirsiniz.

Bu entegrasyonu kurmak için şu adımları izleyin:

1. API anahtarınızı [VirusTotal API anahtarı](https://www.virustotal.com/gui/my-apikey) sayfasından alın.
2. `<span class="pre">/var/ossec/etc/ossec.conf</span>`Wazuh sunucusunda düzenleme yapın ve aşağıdaki gibi bir yapılandırma bloğu ekleyin. `<span class="pre"><VIRUSTOTAL_API_KEY></span>`VirusTotal API anahtarınızla değiştirin.
    
    ```
    <integration>
      <name>virustotal</name>
      <api_key><VIRUSTOTAL_API_KEY></api_key> <!-- Replace with your VirusTotal API key -->
      <group>syscheck</group>
      <alert_format>json</alert_format>
    </integration>
    ```
3. Değişiklikleri uygulamak için Wazuh yöneticisini yeniden başlatın:  
      
    **Systemd**
    
    ```
    systemctl restart wazuh-manager
    ```
    
      
      
    **SysV Başlatma**
    
    ```
    service wazuh-manager restart
    ```
    
    <div class="sphinx-tabs docutils container"><div aria-labelledby="tab-3-U3lzViBpbml0" class="sphinx-tabs-panel group-tab" name="U3lzViBpbml0" role="tabpanel" tabindex="0"></div></div><div class="sphinx-tabs docutils container"><div aria-labelledby="tab-3-U3lzViBpbml0" class="sphinx-tabs-panel group-tab" id="bkmrk--7" name="U3lzViBpbml0" role="tabpanel" tabindex="0"></div></div>

</section><section id="bkmrk-kar%C4%B1%C5%9Ft%C4%B1rbu-ba%C5%9Fl%C4%B1%C4%9Fa-k">### Shuffle

[Shuffle,](https://shuffler.io/) SOAR'ın açık kaynaklı bir yorumudur. Tak ve çalıştır uygulamalarıyla kuruluş genelinde veri aktarımı yapar. Shuffle entegrasyonu, bir [webhook](https://shuffler.io/docs/triggers#webhook) kullanarak Wazuh uyarılarının bir Shuffle İş Akışına iletilmesine olanak tanır .

Bu entegrasyonu kurmak için aşağıdakileri yapın:

1. Shuffle'a gidin, E-posta uygulamasını kullanarak bir İş Akışı oluşturun ve sürümü seçin.
2. E-posta yapılandırmasında **Alıcıları** ve **Konuyu** ayarlayın . `<span class="pre">$exec</span>`Uyarı bilgilerini eklemek için Gövde'ye koyun.
3. İş Akışına bir webhook ekleyin.
4. Webhook'u başlatın ve webhook URL'sini kopyalayın.
5. `<span class="pre">/var/ossec/etc/ossec.conf</span>`Wazuh sunucusunda düzenleme yapın ve aşağıdaki gibi bir yapılandırma bloğu ekleyin.
6. Shuffle webhook ID ile değiştirin `<span class="pre"><SHUFFLE_WEBHOOK_ID></span>`. Kural düzeyi filtresi isteğe bağlıdır. Bunu kaldırabilir veya entegrasyon için başka bir düzey değeri ayarlayabilirsiniz.
    
    ```
    <integration>
      <name>shuffle</name>
      <hook_url>https://shuffler.io/api/v1/hooks/<SHUFFLE_WEBHOOK_ID></hook_url> <!-- Replace with your Shuffle hook URL -->
      <level>3</level>
      <alert_format>json</alert_format>
    </integration>
    ```
    
    <p class="callout info">Not: <span class="std std-ref">Seçenekler</span> etiketini kullanarak özelleştirme alanlarıyla bir JSON nesnesi ayarlayabilirsiniz . Kullanılabilir özelleştirme alanları hakkında bilgi için [Shuffle API referansını ziyaret edin.](https://shuffler.io/docs/API)</p>
    
    <div class="admonition note"> </div>
7. Değişiklikleri uygulamak için Wazuh yöneticisini yeniden başlatın:  
      
    **Systemd**
    
    ```
    systemctl restart wazuh-manager
    ```
    
      
      
    **SysV Başlatma**
    
    ```
    service wazuh-manager restart
    ```
    
    <div class="sphinx-tabs docutils container"><div aria-labelledby="tab-4-U3lzViBpbml0" class="sphinx-tabs-panel group-tab" name="U3lzViBpbml0" role="tabpanel" tabindex="0"></div></div><div class="sphinx-tabs docutils container"><div aria-labelledby="tab-4-U3lzViBpbml0" class="sphinx-tabs-panel group-tab" id="bkmrk--8" name="U3lzViBpbml0" role="tabpanel" tabindex="0"></div></div>

Yapılandırma tamamlandıktan sonra e-posta gelen kutunuzda uyarılar gösterilmeye başlar.

<div class="wazuh-image-wrapper align-center">![Shuffle'daki uyarılar](https://documentation.wazuh.com/current/_images/alerts-in-shuffle1.png)</div></section><section id="bkmrk-malti-evrenibu-ba%C5%9Fl%C4%B1">### Maltiverse

[Maltiverse,](https://whatis.maltiverse.com/) Tehlike Göstergelerini (IoC'ler) dizinlemek ve aramak için açık kaynaklı ve işbirlikçi bir platformdur. Yüzden fazla genel, özel ve topluluk tehdit istihbarat kaynağından bilgi toplar.

Bu entegrasyon, Maltiverse API aracılığıyla Wazuh uyarılarındaki IoC'leri tanımlar. Maltiverse verileriyle zenginleştirilmiş yeni uyarılar üretir. Maltiverse veri alanları, ECS standardının (Elastic Common Schema) tehdit sınıflandırmasına dayanır.

Bu entegrasyonu kurmak için aşağıdaki adımları izleyin:

1. API anahtarınızı [Maltiverse](https://www.maltiverse.com/) sayfasından alın.
2. `<span class="pre">/var/ossec/etc/ossec.conf</span>`Wazuh sunucusunda düzenleme yapın ve aşağıdaki gibi bir yapılandırma bloğu ekleyin. `<span class="pre"><MALTIVERSE_API_KEY></span>`Maltiverse API anahtarınızla değiştirin. Kural düzeyi filtresi isteğe bağlıdır. Bunu kaldırabilir veya entegrasyon için başka bir düzey değeri ayarlayabilirsiniz.
    
    ```
    <integration>
      <name>maltiverse</name>
      <hook_url>https://api.maltiverse.com</hook_url>
      <level>3</level>
      <api_key><MALTIVERSE_API_KEY></api_key> <!-- Replace with your Maltiverse API key -->
      <alert_format>json</alert_format>
    </integration>
    ```
3. Değişiklikleri uygulamak için Wazuh yöneticisini yeniden başlatın:  
      
    **Systemd**
    
    ```
    systemctl restart wazuh-manager
    ```
    
      
      
    **SysV Başlatma**
    
    ```
    service wazuh-manager restart
    ```
    
    <div class="sphinx-tabs docutils container"><div aria-labelledby="tab-5-U3lzViBpbml0" class="sphinx-tabs-panel group-tab" name="U3lzViBpbml0" role="tabpanel" tabindex="0"></div></div><div class="sphinx-tabs docutils container"><div aria-labelledby="tab-5-U3lzViBpbml0" class="sphinx-tabs-panel group-tab" id="bkmrk--10" name="U3lzViBpbml0" role="tabpanel" tabindex="0"></div></div>

Yapılandırma tamamlandıktan sonra, varsa zenginleştirilmiş uyarılar Wazuh Pano'sunda gösterilmeye başlar.

<div class="wazuh-image-wrapper align-center">![Wazuh panosunda zenginleştirilmiş uyarılar](https://documentation.wazuh.com/current/_images/enriched-alerts1.png)</div></section><section id="bkmrk-%C3%96zel-entegrasyonbu-b">### Özel Entegrasyon

Wazuh Integrator modülü, Wazuh'u diğer harici yazılımlarla bağlar. Bu, Wazuh uyarı sisteminin entegrasyon betikleri aracılığıyla yazılım ürünlerinin API'leriyle entegre edilmesiyle elde edilir.

`<span class="pre">/var/ossec/etc/ossec.conf</span>`Aşağıda özel entegrasyon için dosyadaki bir yapılandırma bloğunun örneği verilmiştir .

```
<!--Custom external Integration -->
<integration>
  <name>custom-integration</name>
  <hook_url><WEBHOOK></hook_url>
  <level>10</level>
  <group>multiple_drops,authentication_failures</group>
  <api_key><API_KEY></api_key> <!-- Replace with your external service API key -->
  <alert_format>json</alert_format>
 <options>{"data": "Custom data"}</options> <!-- Replace with your custom JSON object -->
</integration>
```

Yer değiştirmek:

- `<span class="pre"><WEBHOOK></span>`harici uygulamanın webhook URL'si ile.
- `<span class="pre"><API_KEY></span>`harici uygulamanın API anahtarı ile.

<section id="bkmrk-entegrasyon-beti%C4%9Fi-o">#### Entegrasyon Betiği Oluşturma

Entegrasyon betiği oluştururken aşağıdaki talimatları izlemeniz önerilir:

1. `<span class="pre">/var/ossec/integrations/</span>`Yapılandırma bloğunda belirtilen adla aynı adı taşıyan betiği Wazuh sunucusundaki dizinde oluşturun .
2. Komut dosyası yürütme izinleri içermeli ve `<span class="pre">root</span>`grubun kullanıcısına ait olmalıdır `<span class="pre">wazuh</span>`. Aşağıdaki komutlar `<span class="pre">/var/ossec/integrations/custom-script</span>`komut dosyasına izinler ve sahiplik atar.
    
    ```
    chmod 750 /var/ossec/integrations/custom-script
    chown root:wazuh /var/ossec/integrations/custom-script
    ```
3. Entegrasyon betiğinin ilk satırı yorumlayıcısını belirtmelidir, aksi takdirde Wazuh betiği nasıl okuyacağını ve çalıştıracağını bilemez. Aşağıdaki örnek satır Python yorumlayıcısını belirtir:
    
    ```
    #!/usr/bin/env python
    ```
4. Komut dosyası aşağıdaki argümanları kontrol eder çünkü onlardan yapılandırma seçenekleri alacaktır.
    
    
    - İlk parametre uyarıyı içeren dosyanın konumunu içerir. Parametre `<span class="pre">/logs/alerts/alerts.json</span>`Wazuh Integrator modülünde varsayılan olarak geçirilen dosyadır:
        
        ```
        alert_file = open(sys.argv[1])
        ```
    - `<span class="pre">api_key</span>`İkinci parametre, blokta tanımlanan seçenek olan API anahtarını içerir `<span class="pre"><integration></span>`:
        
        ```
        api_key = sys.argv[2]
        ```
    - `<span class="pre">hook_url</span>`Üçüncü parametre, blokta tanımlanan seçenek olan webhook URL'sini içerir `<span class="pre"><integration></span>`:
        
        ```
        hook_url = sys.argv[3]
        ```
    
    Yukarıdakilerden hiçbiri belirtilmezse parametreler boş alınacaktır.
5. İlk parametrede belirtilen dosyanın içeriğini okuyun ve uyarıdan entegrasyon için ilgili alanları çıkarın. Seçenekte JSON kullanılmışsa `<span class="pre">alert_format</span>`, bilginin bir JSON nesnesi olarak yüklenmesi gerekir.
    
    ```
    alert_level = alert_json['rule']['level']
    ruleid = alert_json['rule']['id']
    description = alert_json['rule']['description']
    agentid = alert_json['agent']['id']
    agentname = alert_json['agent']['name']
    path = alert_json['syscheck']['path']
    ```

`<span class="pre">/logs/alerts/alerts.json</span>`Entegrasyon betiğinin geliştirilmesine başlamadan önce, yorumlanacak uyarıların formatını bulmak için dosyayı kontrol etmenizi öneririz .

</section></section>

# Indexer Entegrasyonu

Dizinleyici entegrasyonu, verileri Wazuh yöneticisinden Wazuh dizinleyicisine veya üçüncü taraf dizinleyicilere ileten veri ileticilerini tanımlar.

<section id="bkmrk-wazuh-indexer-bu-ent">### Wazuh Indexer

Bu entegrasyon, Wazuh yöneticisi ile Wazuh dizinleyicisi arasında bir köprü sağlar. Verileri dizinleme için Wazuh yöneticisinden Wazuh dizinleyicisine iletir. Wazuh dizinleyici entegrasyonu iki ileticiden oluşur: Filebeat ve Wazuh dizinleyici bağlayıcısı .

<section id="bkmrk-filebeat-bu-bile%C5%9Fen%2C"><span id="bkmrk-"></span>#### Filebeat

Bu bileşen, Wazuh yöneticisi tarafından işlenen uyarıları ve arşivlenmiş olayları indeksleme ve depolama için Wazuh indeksleyicisine güvenli bir şekilde iletmek üzere tasarlanmış hafif bir veri taşıyıcısıdır. Wazuh analiz motorunun çıktısını okur ve olayları gerçek zamanlı olarak gönderir.

<section id="bkmrk-yap%C4%B1land%C4%B1rma-a%C5%9Fa%C4%9F%C4%B1da">##### Yapılandırma

Aşağıdaki kod bloğu, Wazuh sunucu dosyasındaki varsayılan Filebeat yapılandırmasını gösterir `<span class="pre">/etc/filebeat/filebeat.yml</span>`. Bu yapılandırma dosyası, adım adım Wazuh sunucu kurulumu gerçekleştirilirken indirilir. Filebeat'i nasıl indireceğinizi, yapılandıracağınızı ve yükleyeceğinizi öğrenmek için, belgelerdeki [<span class="std std-ref">Filebeat'i yapılandırma bölümüne bakın.</span>](https://acikkaynak.lastguard.com.tr/books/kurulum-rehberi/page/adim-adim-kurulum-zuU)

```
# Wazuh - Filebeat configuration file
output.elasticsearch.hosts:
        - 127.0.0.1:9200
#        - <elasticsearch_ip_node_2>:9200
#        - <elasticsearch_ip_node_3>:9200

output.elasticsearch:
  protocol: https
  username: ${username}
  password: ${password}
  ssl.certificate_authorities:
    - /etc/filebeat/certs/root-ca.pem
  ssl.certificate: "/etc/filebeat/certs/wazuh-server.pem"
  ssl.key: "/etc/filebeat/certs/wazuh-server-key.pem"
setup.template.json.enabled: true
setup.template.json.path: '/etc/filebeat/wazuh-template.json'
setup.template.json.name: 'wazuh'
setup.ilm.overwrite: true
setup.ilm.enabled: false

filebeat.modules:
  - module: wazuh
    alerts:
      enabled: true
    Archives:

logging.level: info
logging.to_files: true
logging.files:
  path: /var/log/filebeat
  name: filebeat
  keepfiles: 7
  permissions: 0644

logging.metrics.enabled: false

seccomp:
  default_action: allow
  syscalls:
  - action: allow
    names:
    - rseq
```

Nerede:

- `<span class="pre"><output.elasticsearch.hosts></span>`bağlanılacak Wazuh dizinleyici düğümlerinin listesini belirtir. IP adreslerini veya ana bilgisayar adlarını kullanabilirsiniz. Varsayılan olarak, ana bilgisayar localhost, olarak ayarlanmıştır `<span class="pre">127.0.0.1:9200</span>`. Bunu uygun şekilde Wazuh dizinleyici adresinizle değiştirin. Birden fazla Wazuh dizinleyici düğümünüz varsa adresleri virgül kullanarak ayırabilirsiniz.
- `<span class="pre"><protocol></span>`bağlantı için kullanılacak protokolü belirtir. Varsayılan değer 'dir `<span class="pre">https</span>`. İzin verilen değerler `<span class="pre">http</span>`ve 'dir `<span class="pre">https</span>`.
- `<span class="pre"><username></span>`ve `<span class="pre"><password></span>`Wazuh indeksleyicisine güvenli bir şekilde kimlik doğrulaması yapmak için kullanılan ortam değişkenini belirtir.
- `<span class="pre"><ssl.certificate_authorities></span>`HTTPS sunucu doğrulamaları için kök sertifikalarına giden yolu belirtir. Varsayılan değer 'dir `<span class="pre">/etc/filebeat/certs/root-ca.pem</span>`. Olası değer herhangi bir geçerli yoldur
- `<span class="pre"><ssl.certificate></span>`Filebeat SSL sertifikasına giden yolu belirtir. Varsayılan değer 'dir `<span class="pre">/etc/filebeat/certs/wazuh-server.pem</span>`. Olası değer herhangi bir geçerli yoldur.
- `<span class="pre"><ssl.key></span>`Filebeat tarafından kullanılan SSL anahtarının yolunu belirtir. Varsayılan değer 'dir `<span class="pre">/etc/filebeat/certs/wazuh-server-key.pem</span>`. Olası değer herhangi bir geçerli yoldur.
- `<span class="pre"><setup.template.json.enabled></span>`özel şablonların kullanımını etkinleştirir veya devre dışı bırakır. Varsayılan değer `<span class="pre">true</span>`.
- `<span class="pre"><setup.template.json.path></span>`şablon JSON dosyasına giden dosya yolunu belirtir. Varsayılan değer 'dir `<span class="pre">/etc/filebeat/wazuh-template.json</span>`. Olası değer herhangi bir geçerli yoldur.
- `<span class="pre"><setup.template.json.name></span>`şablonun adını tanımlar. Varsayılan değer `<span class="pre">wazuh</span>`.
- `<span class="pre"><setup.ilm.overwrite></span>`olarak ayarlandığında `<span class="pre">true</span>`, yaşam döngüsü ilkesi başlangıçta üzerine yazılır. Varsayılan değer 'dir `<span class="pre">true</span>`.
- `<span class="pre"><setup.ilm.enabled></span>`oluşturulan herhangi bir yeni endekste endeks yaşam döngüsü yönetimini etkinleştirir veya devre dışı bırakır. Varsayılan değer 'dir `<span class="pre">false</span>`. Olası geçerli değerler `<span class="pre">true</span>`ve ' dir `<span class="pre">false</span>`.
- `<span class="pre"><filebeat.modules></span>`Filebeat'in kullanacağı modülleri belirtir.
- `<span class="pre"><module></span>`kullanılacak modülü tanımlar. Varsayılan değer `<span class="pre">wazuh</span>`.
- `<span class="pre"><alerts></span>`uyarıların Wazuh dizinleyicisine iletilmesini etkinleştirir veya devre dışı bırakır. Yapılandırma seçeneği olarak ayarlandığında `<span class="pre"><enabled></span>`, `<span class="pre">true</span>`uyarılar Wazuh dizinleyicisine iletilir.
- `<span class="pre"><archives></span>`Arşiv günlüklerinin işlenip işlenmeyeceğini ve iletileceğini belirleyen yapılandırmaları belirtir.
- `<span class="pre"><logging.level></span>`günlük düzeyini tanımlar. Varsayılan değer, `<span class="pre">info</span>`bilgi günlüklerini temsil eder. Diğer günlük düzeyleri `<span class="pre">debug</span>`, `<span class="pre">error</span>`, ve 'dir `<span class="pre">warning</span>`.
- `<span class="pre"><logging.to_files></span>`dosyalara günlük kaydını etkinleştirir veya devre dışı bırakır. Varsayılan değer 'dir `<span class="pre">true</span>`. olarak ayarlandığında `<span class="pre">true</span>`, filebeat tüm günlükleri bir dosyaya yazar.
- `<span class="pre"><logging.files.path></span>`günlük dosyalarının saklanacağı dizini belirtir. Varsayılan günlük yolu `<span class="pre">/var/log/filebeat</span>`.
- `<span class="pre"><logging.files.name></span>`günlüklerin depolandığı dosyanın adını belirtir. Varsayılan ad `<span class="pre">filebeat</span>`.
- `<span class="pre"><logging.files.keepfiles></span>`saklanacak yakın zamanda döndürülen günlük dosyalarının sayısını belirtir. Varsayılan değer 'dir . İzin verilen değer ve `<span class="pre">7</span>`arasında bir tam sayıdır .`<span class="pre">1</span>``<span class="pre">1024</span>`
- `<span class="pre"><logging.files.permissions></span>`günlük dosyaları için dosya izinlerini ayarlar. Varsayılan değer 'dir `<span class="pre">0644</span>`, bu da günlük dosyalarının sahibinin bunları okuyabileceği ve yazabileceği, diğerlerinin ise yalnızca okuyabileceği anlamına gelir.
- `<span class="pre"><logging.metrics.enabled></span>`dahili ölçümlerin günlüğe kaydedilmesini etkinleştirir veya devre dışı bırakır. Varsayılan değer 'dir `<span class="pre">true</span>`. Olası değerler `<span class="pre">true</span>`ve ' dir `<span class="pre">false</span>`.
- `<span class="pre"><seccomp></span>`filebeat işleminin yapabileceği sistem çağrılarının sayısını kısıtlayan bir secomp (güvenli bilgi işlem modu) politikası belirtir.
- `<span class="pre"><default_action></span>`sistem çağrıları için varsayılan eylemi izin verecek şekilde ayarlar. Bu, syscalls listesinde açıkça belirtilmeyen herhangi bir sistem çağrısına varsayılan olarak izin verileceği anlamına gelir.
- `<span class="pre"><syscalls></span>`sistem çağrısı adlarının ve karşılık gelen eylemlerin bir listesini tanımlar.
- `<span class="pre"><action></span>`listelenen sistem çağrılarından herhangi biri `<span class="pre">names</span>`yürütüldüğünde gerçekleştirilecek eylemi belirtir. Varsayılan değer 'dir `<span class="pre">allow</span>`. Diğer değerler `<span class="pre">errno</span>`, `<span class="pre">trace</span>`, `<span class="pre">trap</span>`, `<span class="pre">kill_thread</span>`, `<span class="pre">kill_process</span>`, ve 'dir `<span class="pre">log</span>`.
- `<span class="pre"><names></span>`sistem çağrısı adlarının bir listesini tanımlar. Listede en az bir sistem çağrısı tanımlanmalıdır. `<span class="pre">rseq</span>`(yeniden başlatılabilir diziler) sistem çağrısı, birden fazla iş parçacığında paylaşılan bellekte kullanıcı alanı işlemlerini hızlandırmak için kullanılır. `<span class="pre">rseq</span>` Sistem çağrısına bu yapılandırmada izin verilir.

</section></section><section id="bkmrk-wazuh-indeksleyici-b">#### Wazuh Indeksleyici Bağlayıcısı

Wazuh dizinleyici bağlayıcısı şu anda Wazuh yöneticisinden güvenlik açığı verilerini alıyor ve güvenli bir şekilde Wazuh dizinleyicisine iletiyor. Güvenlik açığı verilerini Elastic Common Schema'yı (ECS) takip eden JSON formatında alıyor ve veri tutarlılığı ve güvenilirliğini sağlamak için durumunu Wazuh dizinleyicisiyle senkronize ediyor. Wazuh dizinleyici bağlayıcısı Wazuh yöneticisiyle birlikte gönderilir.

`<span class="pre">/var/ossec/etc/ossec.conf</span>`İndeksleyici bağlayıcısı için standart yapılandırma , Wazuh sunucusundaki dosyada aşağıda gösterildiği gibi belirtilmiştir :

```
<ossec_config>
 <indexer>
    <enabled>yes</enabled>
    <hosts>
      <host>https://127.0.0.1:9200</host>
    </hosts>
    <ssl>
      <certificate_authorities>
        <ca>/etc/filebeat/certs/root-ca.pem</ca>
      </certificate_authorities>
      <certificate>/etc/filebeat/certs/filebeat.pem</certificate>
      <key>/etc/filebeat/certs/filebeat-key.pem</key>
    </ssl>
  </indexer>
</ossec_config>
```

Nerede:

- `<span class="pre"><indexer></span>`Wazuh indeksleyici bağlayıcısı için yapılandırma seçeneklerini belirtir.
- `<span class="pre"><enabled></span>`Wazuh dizinleyici bağlayıcısını etkinleştirir veya devre dışı bırakır. Bu seçenek için izin verilen değerler ve'dir `<span class="pre">yes</span>`. `<span class="pre">no</span>`Değer, `<span class="pre">yes</span>`Wazuh dizinleyici bağlayıcısını etkinleştirir ve `<span class="pre">no</span>`devre dışı bırakır. Varsayılan değer 'dir `<span class="pre">yes</span>`.
- `<span class="pre"><hosts></span>`bağlanılacak Wazuh dizinleyici düğümlerinin bir listesini belirtir. `<span class="pre">host</span>`Her düğüm bağlantısını ayarlamak için seçeneği kullanın.
- `<span class="pre"><host></span>`bağlanılacak Wazuh dizinleyici düğüm URL'sini veya IP adresini belirtir. Örneğin, `<span class="pre">http://172.16.1.11</span>`veya `<span class="pre">192.168.3.2:9230</span>`. Varsayılan olarak, değer localhost ana bilgisayarına ayarlanır: `<span class="pre">https://127.0.0.1:9200</span>`.
- `<span class="pre"><ssl></span>`SSL parametreleri için yapılandırma seçeneklerini belirtir.
- `<span class="pre"><certificate_authorities></span>`doğrulama için kök sertifika dosya yollarının bir listesini belirtir. `<span class="pre">ca</span>`Her CA sertifika dosya yolunu ayarlamak için seçeneği kullanın.
- `<span class="pre"><ca></span>`HTTPS sunucu doğrulamaları için kök CA sertifikasını belirtir. Varsayılan değer 'dir `<span class="pre">/etc/filebeat/certs/root-ca.pem</span>`. Olası değer herhangi bir geçerli CA sertifikasıdır.
- `<span class="pre"><certificate></span>`Filebeat SSL sertifikasına giden yolu belirtir. Varsayılan değer 'dir `<span class="pre">/etc/filebeat/certs/filebeat-key.pem</span>`. Olası değer herhangi bir geçerli anahtardır.
- `<span class="pre"><key></span>`kimlik doğrulama için kullanılan sertifika anahtarını belirtir. Varsayılan değer 'dir `<span class="pre">/etc/filebeat/certs/filebeat-key.pem</span>`. Olası değer herhangi bir geçerli anahtardır.

Referans kılavuzunun [<span class="doc">dizinleyici</span>](https://documentation.wazuh.com/current/user-manual/reference/ossec-conf/indexer.html) bölümünde mevcut yapılandırma seçenekleri hakkında daha fazla bilgi edinebilirsiniz .

</section></section><section id="bkmrk-%C3%9C%C3%A7%C3%BCnc%C3%BC-taraf-indexer">### Üçüncü Taraf Indexer

Wazuh yöneticisi uyarıları üçüncü taraf dizinleyicilere iletebilir. Wazuh yöneticilerini yalnızca günlük analizi için kullanıyorsanız ve uyarıları dizinleme ve depolama için üçüncü taraf çözümlere iletmek istiyorsanız, alternatif seçenekler mevcuttur. Wazuh, uyarıları istediğiniz çözüme aktarmak için her Wazuh yönetici düğümüne istediğiniz veri ileticisini yüklemenize olanak tanır. Şu anda Wazuh, aşağıdaki üçüncü taraf çözümler için belgeler sunmaktadır:

<table class="docutils align-default"><thead><tr class="row-odd"><th class="head">Çözüm

</th><th class="head">Tanım

</th></tr></thead><tbody><tr class="row-even"><td>[ELK Stack](https://acikkaynak.lastguard.com.tr/books/entegrasyon-kilavuzu/page/elastic-stack-entegrasyonu)

</td><td>Wazuh yöneticisi uyarılarını Logstash kullanarak ELK Stack'e iletme.

</td></tr><tr class="row-odd"><td>[OpenSearch](https://acikkaynak.lastguard.com.tr/books/entegrasyon-kilavuzu/page/opensearch-entegrasyonu)

</td><td>Wazuh yöneticisi uyarılarını Logstash kullanarak OpenSearch'e iletme.

</td></tr><tr class="row-even"><td rowspan="2">[Splunk](https://acikkaynak.lastguard.com.tr/books/entegrasyon-kilavuzu/page/splunk-entegrasyonu)

</td><td>Wazuh yöneticisi uyarılarını Logstash kullanarak Splunk'a iletme.

</td></tr><tr class="row-odd"><td>Splunk Evrensel Yönlendiriciyi kullanarak Wazuh sunucu uyarılarını Splunk'a iletme.

</td></tr></tbody></table>

Bu seçenekler, Wazuh'u mevcut izleme ve analiz altyapınızla entegre etmede esneklik sağlar.

</section>

# Wazuh Yöneticisi

Wazuh yöneticisi veri analizi ve uyarılardan sorumludur. Uyarıları syslog, e-postalar veya entegre harici API'ler aracılığıyla iletebilir. Wazuh'un veri analizini nasıl gerçekleştirdiği hakkında daha fazla bilgi için [<span class="doc">veri analizi belgelerine bakın.</span>](https://acikkaynak.lastguard.com.tr/books/kullanim-kilavuzu/chapter/veri-analizi)

Wazuh yöneticisi, çeşitli işlevlerden sorumlu olan çeşitli hizmetler ve bileşenlerden oluşur. Bunlara yeni Wazuh aracılarını kaydetme, güvenlik olaylarını toplama, günlükleri kod çözme, kuralları değerlendirme ve uyarı verme dahildir. Ayrıca Wazuh aracısının kimliklerini doğrulama ve Wazuh aracısı ile Wazuh sunucusu arasındaki iletişimleri şifreleme gibi diğer işlevlerden de sorumludur.

<section id="bkmrk-acente-kay%C4%B1t-hizmeti">### Acente Kayıt Hizmeti

Temsilci kayıt hizmeti, Wazuh temsilcilerini Wazuh yöneticisine kaydetmek için kullanılır. Kayıt hizmeti, Wazuh temsilcilerinin kaydını basitleştirir ve Wazuh yöneticisiyle güvenli bir şekilde iletişim kurmak üzere doğru bir şekilde kimlik doğrulaması yapılıp yapılandırılmalarını sağlar.

Bir uç noktaya bir Wazuh aracı yüklendiğinde ve başlatıldığında, kayıt sürecini başlatmak için otomatik olarak Wazuh yöneticisiyle iletişime geçer. Wazuh yöneticisi, Wazuh aracısıyla iletişimini şifreleyen benzersiz bir kimlik doğrulama anahtarı üretir. Kayıt süreci için parola kimlik doğrulaması, Wazuh yöneticisi kimlik doğrulaması ve Wazuh aracı kimlik doğrulaması gibi ek güvenlik önlemleri yapılandırabilirsiniz. Kayıt süreci hakkında daha fazla bilgi için [<span class="doc">Wazuh aracı kaydıyla ilgili belgelere bakın.</span>](https://acikkaynak.lastguard.com.tr/books/kullanim-kilavuzu/page/wazuh-agent-kayit)

<section id="bkmrk-yap%C4%B1land%C4%B1rmabu-ba%C5%9Fl%C4%B1">#### Yapılandırma

Aşağıdaki blok , Wazuh sunucusunun dosyasındaki `<span class="pre"><auth></span>`varsayılan aracı kayıt hizmeti yapılandırmasıdır :`<span class="pre">/var/ossec/etc/ossec.conf</span>`

```
<auth>
  <disabled>no</disabled>
  <remote_enrollment>yes</remote_enrollment>
  <port>1515</port>
  <use_source_ip>no</use_source_ip>
  <force>
    <enabled>yes</enabled>
    <disconnected_time enabled="yes">1h</disconnected_time>
    <after_registration_time>1h</after_registration_time>
    <key_mismatch>yes</key_mismatch>
  </force>
  <purge>yes</purge>
  <use_password>no</use_password>
  <ciphers>HIGH:!ADH:!EXP:!MD5:!RC4:!3DES:!CAMELLIA:@STRENGTH</ciphers>
  <!-- <ssl_agent_ca></ssl_agent_ca> -->
  <ssl_verify_host>no</ssl_verify_host>
  <ssl_manager_cert>etc/sslmanager.cert</ssl_manager_cert>
  <ssl_manager_key>etc/sslmanager.key</ssl_manager_key>
  <ssl_auto_negotiate>no</ssl_auto_negotiate>
</auth>
```

Nerede:

- `<span class="pre"><disabled></span>`Wazuh aracısının Wazuh yöneticisine kaydolma ve kimlik doğrulama işlemini etkinleştirir veya devre dışı bırakır. Varsayılan değer 'dir `<span class="pre">no</span>`. İzin verilen değerler `<span class="pre">yes</span>`ve 'dir `<span class="pre">no</span>`.
- `<span class="pre"><remote_enrollment></span>`Wazuh yöneticisinin varsayılan olarak 1515 numaralı bağlantı noktasında TLS şifrelemesi kullanarak yeni Wazuh aracılarından gelen bağlantıları kabul etmesini sağlar. Varsayılan değer 'dir `<span class="pre">yes</span>`. İzin verilen değerler `<span class="pre">yes</span>`ve 'dir `<span class="pre">no</span>`.
- `<span class="pre"><port></span>`Bağlantıları dinlemek için TCP bağlantı noktası numarasını belirtir. Varsayılan değer 'dir . İzin verilen değer ve `<span class="pre">1515</span>`arasındaki herhangi bir bağlantı noktası numarasıdır .`<span class="pre">0</span>``<span class="pre">65535</span>`
- `<span class="pre"><use_source_ip></span>`istemcinin kaynak IP adresinin mi yoksa "herhangi biri"nin mi kullanılacağını tanımlar. İzin verilen değerler ve'dir `<span class="pre">yes</span>`. `<span class="pre">no</span>`Değer hayır olduğunda, kayıt için kullanılan kaynak IP değişse bile Wazuh aracısı Wazuh yöneticisine bağlanabilir. Ancak değer evet olduğunda, kaynak IP adresi değişse bile Wazuh aracısı Wazuh yöneticisine bağlanamaz.
- `<span class="pre"><force></span>`Wazuh aracısının etiketi içinde yeniden kaydı için yapılandırılacak seçenekleri belirtir. Yeniden kaydın başarılı olması için tüm koşulların karşılanması gerekir. Aşağıdaki seçenekler, seçeneğin ayarlarını tanımlar `<span class="pre">force</span>`:
    
    
    - `<span class="pre"><enabled></span>`yinelenen bir ad veya IP adresi varsa bir Wazuh aracısının eklenmesinin zorlanıp zorlanmayacağını belirtir. Eğer öyleyse `<span class="pre">enabled</span>`, aynı ad veya IP adresine sahip eski Wazuh aracısını kaldıracaktır. Varsayılan değer 'dir `<span class="pre">yes</span>`. Olası değerler `<span class="pre">yes</span>`ve 'dir `<span class="pre">no</span>`.
    - `<span class="pre"><disconnected_time></span>`yalnızca ayarda yapılandırılan değerden daha uzun süre bağlantısı kesilmiş olan Wazuh aracıları için bir değiştirme yapılıp yapılmayacağını belirtir. Varsayılan değer `<span class="pre">1h</span>`(bir saat)'tir. İzin verilen değer sıfırdan büyük veya sıfıra eşit herhangi bir sayıdır. `<span class="pre">s</span>`, `<span class="pre">h</span>`, `<span class="pre">m</span>`, ve gibi soneklerin `<span class="pre">d</span>`saniye, saat, dakika ve günü temsil etmesine izin verir. Öznitelik ayarı `<span class="pre">enabled</span>`varsayılan değerine sahiptir `<span class="pre">yes</span>`, yani değiştirme yalnızca belirtilen bağlantı kesme süresi aşıldıktan sonra gerçekleşir. Etkin özniteliğin `<span class="pre">yes</span>`ve olmak üzere iki olasılığı vardır `<span class="pre">no</span>`.
    - `<span class="pre"><after_registration_time></span>`Wazuh aracısı değişiminin yalnızca Wazuh aracısı kaydının ayarda yapılandırılan değerden büyük olması durumunda gerçekleştirileceğini belirtir. Varsayılan değer 'dir `<span class="pre">1h</span>`. İzin verilen değer sıfırdan büyük veya ona eşit herhangi bir sayıdır. `<span class="pre">s</span>`, `<span class="pre">h</span>`, `<span class="pre">m</span>`, ve gibi soneklerin `<span class="pre">d</span>`saniye, saat, dakika ve günü temsil etmesine izin verir.
    - `<span class="pre"><key_mismatch></span>`Wazuh aracısının elinde tuttuğu anahtar, yönetici tarafından kaydedilen anahtardan farklı olduğunda Wazuh aracısının değiştirilmesinin gerçekleştiğini tanımlar. Varsayılan değer 'dir `<span class="pre">yes</span>`. Olası değerler `<span class="pre">yes</span>`ve 'dir `<span class="pre">no</span>`.
- `<span class="pre"><purge></span>`Wazuh aracıları kaldırıldığında istemci anahtarlarının silinip silinmeyeceğini belirtir. Değer olduğunda `<span class="pre">no</span>`, kaldırılan Wazuh aracıları kaldırılmış olarak işaretlenen istemci anahtarları dosyasında kalır. Değer olarak ayarlandığında `<span class="pre">yes</span>`, istemci anahtarları dosyası temizlenir. Varsayılan değer 'dir `<span class="pre">yes</span>`. Olası değerler `<span class="pre">yes</span>`ve 'dir `<span class="pre">no</span>`.
- `<span class="pre"><use_password></span>`paylaşımlı parola kimlik doğrulamasının kullanımını belirler. Değer olduğunda `<span class="pre">no</span>`, bu seçenek devre dışıdır. Değer olarak ayarlandığında `<span class="pre">yes</span>`, dosyadan paylaşımlı bir parola okunur `<span class="pre">/var/ossec/etc/authd.pass</span>`. Bu dosya mevcut değilse, rastgele bir parola oluşturulur ve `<span class="pre">/var/ossec/logs/ossec.log</span>`Wazuh sunucusundaki dosyada saklanır.
- `<span class="pre"><ciphers></span>`SSL kullanarak ağ iletişimi için şifrelerin listesini ayarlar. Varsayılan değer `<span class="pre">HIGH:!ADH:!EXP:!MD5:!RC4:!3DES:!CAMELLIA:@STRENGTH</span>`.
- `<span class="pre"><ssl_agent_ca></span>`istemcileri doğrulamak için kullanılan CA sertifikasına giden yolu belirtir. Wazuh kurulum dizini altındaki bağıl yol veya tam yol olarak adlandırılabilir. Olası değer herhangi bir geçerli yoldur.
- `<span class="pre"><ssl_verify_host></span>`CA sertifikası belirtildiğinde kaynak ana bilgisayar doğrulamasını açar ve kapatır. İstemci kaynak IP adresi Ortak Ad alanı kullanılarak doğrulanacaktır. Varsayılan değer 'dir `<span class="pre">no</span>`. İzin verilen değerler `<span class="pre">yes</span>`ve 'dir `<span class="pre">no</span>`.
- `<span class="pre"><ssl_manager_cert></span>`sunucu SSL sertifikasına giden yolu belirtir. Wazuh kurulum dizinindeki bağıl yol veya tam yol olarak adlandırılabilir. Varsayılan değer etc/sslmanager.cert'dir. Olası değer herhangi bir geçerli yoldur.
- `<span class="pre"><ssl_manager_key></span>`sunucunun SSL anahtarına giden yolu belirtir. Wazuh kurulum dizininin altındaki bağıl yol veya tam yol olarak adlandırılabilir. Varsayılan değer etc/sslmanager.key'dir. Olası değer herhangi bir geçerli yoldur.
- `<span class="pre"><ssl_auto_negotiate></span>`SSL/TLS yönteminin otomatik olarak seçilip seçilmeyeceğini değiştirir. Varsayılan olarak yalnızca TLS v1.2'ye izin verilir. olarak ayarlandığında `<span class="pre">yes</span>`, sistem istemciyle en güvenli ortak yöntemi müzakere eder. Yöneticinin TLS v1.2'yi desteklemediği eski sistemlerde, bu seçenek otomatik olarak etkinleştirilir. Varsayılan değer 'dir `<span class="pre">no</span>`. İzin verilen değerler `<span class="pre">yes</span>`ve 'dir `<span class="pre">no</span>`.

Yapılandırma dosyasında değişiklik yaptığınızda, aşağıdaki komutu kullanarak komut satırı arayüzü üzerinden Wazuh yöneticisini yeniden başlatın:  
  
**Systemd**

```
systemctl restart wazuh-manager
```

  
**SysV Başlatma**```
service wazuh-manager restart
```

<div class="sphinx-tabs docutils container"><div aria-labelledby="tab-0-U3lzdGVtZA==" class="sphinx-tabs-panel group-tab" id="bkmrk-" name="U3lzdGVtZA==" role="tabpanel" tabindex="0"><div class="highlight-console notranslate"><div class="highlight" data-pagefind-weight="0.5"></div></div></div></div></section></section><section id="bkmrk-ajan-ba%C4%9Flant%C4%B1-hizmet">### Ajan Bağlantı Hizmeti

Aracı bağlantı hizmeti, kalıcı ve güvenli bir iletişim kanalı kurmak ve sürdürmek için Wazuh aracılarından gelen olayları dinler. Wazuh aracısı, güvenlik verilerini analiz için Wazuh yöneticisine göndermek için bu güvenli kanalı kullanır. Varsayılan olarak, hizmet `<span class="pre">TCP</span>`Wazuh aracısı ile Wazuh yöneticisi arasındaki iletişimi güvence altına almak için protokolü kullanır.

<section id="bkmrk-yap%C4%B1land%C4%B1rmabu-ba%C5%9Fl%C4%B1-2"><span id="bkmrk--1"></span>#### Yapılandırma

Aşağıdaki blok Wazuh sunucu yapılandırma dosyasındaki varsayılan bağlantı hizmeti yapılandırmasıdır `<span class="pre">/var/ossec/etc/ossec.conf</span>`:

```
<ossec_config>
  <remote>
    <connection>secure</connection>
    <port>1514</port>
    <protocol>tcp</protocol>
    <queue_size>131072</queue_size>
  </remote>
</ossec_config>
```

Nerede:

- `<span class="pre"><connection></span>`kabul edilecek gelen bağlantının türünü belirtir. Varsayılan değer güvenlidir. İzin verilen değerler `<span class="pre">secure</span>`ve ' dir `<span class="pre">syslog</span>`.
- `<span class="pre"><port></span>`olayları dinlemek için kullanılacak portu belirtir. Varsayılan port değeri `<span class="pre">1514</span>`güvenli bağlantı ve syslog bağlantısı içindir . İzin verilen değer ve `<span class="pre">514</span>`arasındaki herhangi bir port numarasıdır .`<span class="pre">1</span>``<span class="pre">65535</span>`
- `<span class="pre"><protocol></span>`bağlantı için kullanılacak protokolü belirtir. Varsayılan değer 'dir `<span class="pre">tcp</span>`. İzin verilen değerler `<span class="pre">tcp</span>`ve 'dir `<span class="pre">udp</span>`.
- `<span class="pre"><queue_size></span>`Uzak daemon kuyruğunun kapasitesini Wazuh aracı olaylarının sayısı olarak ayarlamanıza olanak tanır. Varsayılan değer 'dir . İzin verilen değer ile `<span class="pre">131072</span>`arasında bir tam sayıdır . Uzak kuyruk yalnızca Wazuh aracı olayları için kullanılabilir, syslog olayları için kullanılamaz. Bu seçenek yalnızca bağlantı güvenli olarak ayarlandığında çalışır. Bu yapılandırma ayarı hakkında daha fazla bilgi edinmek için [<span class="doc">Wazuh kuyruğu</span>](https://acikkaynak.lastguard.com.tr/books/kullanim-kilavuzu/page/siraya-girme-mekanizmalari) ile ilgili belgelerimize bakın .`<span class="pre">1</span>``<span class="pre">262144</span>`

Değişiklikler yapıldıysa, değişiklikleri uygulamak için aşağıdaki komutla Wazuh yöneticisini komut satırı arayüzü üzerinden yeniden başlatın:  
  
**Systemd**

```
systemctl restart wazuh-manager
```

  
**SysV Başlatma** ```
service wazuh-manager restart
```

<div class="sphinx-tabs docutils container"><div aria-labelledby="tab-1-U3lzdGVtZA==" class="sphinx-tabs-panel group-tab" name="U3lzdGVtZA==" role="tabpanel" tabindex="0"></div></div><div class="sphinx-tabs docutils container"><div aria-labelledby="tab-1-U3lzdGVtZA==" class="sphinx-tabs-panel group-tab" id="bkmrk--2" name="U3lzdGVtZA==" role="tabpanel" tabindex="0"><div class="highlight-console notranslate"><div class="highlight" data-pagefind-weight="0.5"></div></div></div></div>Örneğin, bir Windows uç noktasındaki (IP adresi 192.168.71.125) bir Wazuh yöneticisine (IP adresi 192.168.71.203) bir Wazuh aracısının kaydı sırasında netstat kullanarak bağlantı hizmetinin çalışmasını doğrulayabilirsiniz. Ayrıca, herhangi bir Wazuh destekli uç noktada çalışan bir Wazuh aracısı, güvenlik olaylarını port üzerindeki Wazuh yöneticisine iletir . Yukarıdaki aracı bağlantı hizmeti [<span class="std std-ref">yapılandırma</span>](https://acikkaynak.lastguard.com.tr/books/kullanim-kilavuzu/page/wazuh-yoneticisi)`<span class="pre">1514</span>` bölümünde ayrıntılı olarak açıklanan yapılandırmayı kullanır .

Wazuh yöneticisi ile Wazuh aracısı arasındaki bağlantı hizmetinin çalışmasını doğrulamak için aşağıdaki adımları gerçekleştirin:

1. Windows uç noktasında komut istemini başlatın ve uç noktadaki bağlantıları listelemek için şu komutları çalıştırın:`<span class="pre">netstat</span> <span class="pre">-a</span>`
    
    ```
    netstat -a
    ```
    
    <div aria-expanded="true" class="output highlight-none notranslate collapsible expanded"><div class="output-title" role="button">**Output**</div></div>```
    C:\Users\Tony>netstat -a
    
    Active Connections
    
      Proto  Local Address          Foreign Address        State
        TCP    192.168.71.125:51787   a23-53-42-162:https    ESTABLISHED
      TCP    192.168.71.125:51788   a-0003:https           ESTABLISHED
      TCP    192.168.71.125:51789   a-0003:https           ESTABLISHED
      TCP    192.168.71.125:51790   a23-53-42-162:https    ESTABLISHED
      TCP    192.168.71.125:51791   192.168.71.203:1514    SYN_SENT
    ```
    
    `<span class="pre">192.168.71.125</span>`IP adresine sahip Windows uç noktasının bir TCP paketi gönderdiğini ve porttaki `<span class="pre">SYN_SENT</span>`IP adresine sahip Wazuh sunucusuyla bağlantı kurmayı beklediğini görebiliyoruz .`<span class="pre">192.168.71.203</span>``<span class="pre">1514</span>`
2. `<span class="pre">netstat</span>`Wazuh sunucusunun Windows 10 uç noktasıyla ne zaman bağlantı kurduğunu görüntülemek için komutu çalıştırın.
    
    ```
    netstat
    ```
    
    <div aria-expanded="true" class="output highlight-none notranslate collapsible expanded"><div class="output-title" role="button">**Output**</div></div>```
    Active Connections
    
      Proto  Local Address          Foreign Address        State
      TCP    192.168.71.125:3389    192.168.71.1:25743     ESTABLISHED
      TCP    192.168.71.125:51572   a23-64-12-19:https     CLOSE_WAIT
      TCP    192.168.71.125:51573   192.229.221.95:http    CLOSE_WAIT
      TCP    192.168.71.125:51694   192.168.71.203:1514    ESTABLISHED
      TCP    192.168.71.125:51699   192.168.20.103:ms-do   SYN_SENT
      TCP    192.168.71.125:51701   192.168.20.101:ms-do   SYN_SENT
      TCP    192.168.71.125:51703   20.231.121.79:http     SYN_SENT
      TCP    192.168.71.125:51704   192.168.20.125:ms-do   SYN_SENT
    ```
    
    IP adresine sahip Windows uç noktasının , port üzerindeki `<span class="pre">192.168.71.125</span>`IP adresine sahip Wazuh sunucusuna bağlı olduğunu görebiliyoruz .`<span class="pre">192.168.71.203</span>``<span class="pre">1514</span>`

</section></section><section id="bkmrk-analiz-motorubu-ba%C5%9Fl">### Analiz Motoru

Wazuh analiz motoru, Windows olayları, SSH günlükleri, web sunucusu günlükleri ve diğerleri gibi çeşitli günlük türlerindeki verileri analiz eder. İşlenen bilgi türünü belirlemek için kod çözücüleri ve kod çözülen olaydaki belirli kalıpları belirlemek için kuralları kullanır. Bu kurallar, bir IP adresini engelleme ve kötü amaçlı yazılımları kaldırma gibi uyarıları ve yanıt eylemlerini tetikleyebilir.

<section id="bkmrk-veri-kaynaklar%C4%B1bu-ba">#### Veri Kaynakları

Wazuh, çeşitli kaynaklardan günlükler toplayarak BT altyapınızın tüm yönlerinin kapsamlı bir şekilde izlenmesine olanak tanır. Bu, Wazuh'un karmaşık tehditleri tespit etmesini, güvenlik açığı riskini azaltmasını, güvenlik politikalarına uyumu sağlamasını ve belirlenen güvenlik olaylarına hızla yanıt vermesini sağlar. Aşağıda Wazuh tarafından desteklenen bazı yaygın veri kaynakları verilmiştir:

- **İşletim sistemi günlükleri : Wazuh,** <span class="std std-ref">Windows</span> , <span class="std std-ref">Linux</span> ve <span class="std std-ref">macOS</span> gibi çeşitli işletim sistemleri tarafından oluşturulan günlükleri toplar . Syslog, auditd, uygulama günlükleri ve diğerleri dahil olmak üzere Linux uç noktalarından çeşitli günlükler toplayabilir. Windows uç noktalarında, Wazuh varsayılan olarak Sistem, Uygulamalar ve Güvenlik olay kanallarından Windows olay günlüklerini toplar. Wazuh, macOS birleşik günlük sistemi (ULS) kullanarak macOS uç noktalarındaki günlükleri toplar. macOS ULS, tüm sistem düzeylerinde günlüklerin yönetimini ve depolanmasını merkezileştirir.
- **Syslog olayları** : Wazuh , Linux/Unix sistemleri ve Wazuh aracısı kurulumu gerektirmeyen ağ aygıtları da dahil olmak üzere çeşitli <span class="doc">syslog özellikli aygıtlardan günlükleri toplar.</span>
- **Aracısız izleme** : Wazuh [<span class="doc">aracısız izleme</span>](https://acikkaynak.lastguard.com.tr/books/kullanim-kilavuzu/page/ajansiz-izleme) yeteneği, aracı kurulumunu desteklemeyen uç noktaları izler. Uç nokta ile Wazuh sunucusu arasında bir SSH bağlantısı gerektirir. Bu yetenek, dosyaların, dizinlerin veya yapılandırmaların izlenmesini ve uç noktada komutların çalıştırılmasını sağlar.
- **Bulut sağlayıcı günlükleri : Wazuh,** [<span class="doc">AWS</span>](https://acikkaynak.lastguard.com.tr/books/bulut-guvenligi/chapter/amazon-web-hizmetlerini-aws-izleme) , [<span class="doc">Azure</span>](https://acikkaynak.lastguard.com.tr/books/bulut-guvenligi/chapter/microsoft-azureu-wazuh-ile-izleme) , [<span class="doc">Google Cloud</span>](https://acikkaynak.lastguard.com.tr/books/bulut-guvenligi/chapter/google-cloudu-izleme) ve [<span class="doc">Office 365</span>](https://acikkaynak.lastguard.com.tr/books/bulut-guvenligi/chapter/office-365i-izleme) gibi bulut hizmet sağlayıcılarından doğrudan günlükleri ve olayları toplayarak bulut altyapısını izler . Bunlara EC2 örnekleri, S3 kovaları, Azure VM'leri ve daha fazlası gibi bulut hizmetlerinden gelen günlükler dahildir.
- **Özel günlükler : Wazuh'u** [<span class="doc">VirusTotal</span>](https://acikkaynak.lastguard.com.tr/books/kullanim-kilavuzu/page/malware-kotu-amacli-yazilim-tespiti) , [<span class="doc">Windows Defender</span>](https://acikkaynak.lastguard.com.tr/books/kullanim-kilavuzu/page/malware-kotu-amacli-yazilim-tespiti) , [<span class="doc">ClamAV</span>](https://acikkaynak.lastguard.com.tr/books/kullanim-kilavuzu/page/malware-kotu-amacli-yazilim-tespiti) ve daha fazlası dahil olmak üzere çeşitli uygulamalardan ve üçüncü taraf güvenlik araçlarından günlükleri toplayacak ve ayrıştıracak şekilde yapılandırabilirsiniz .

</section><section id="bkmrk-kod-%C3%A7%C3%B6zmebu-ba%C5%9Fl%C4%B1%C4%9Fa-">#### Kod Çözme

Kod çözme, farklı veri kaynaklarından gelen günlükler gibi yapılandırılmış veya yapılandırılmamış verileri, izleme ve uyarı için kullanılabilecek anlamlı bilgiler çıkarmak için analiz etme sürecidir. Wazuh'ta kod çözmenin temel amacı, ham verileri Wazuh yöneticisinin yorumlayabileceği ve işleyebileceği bir biçime dönüştürmektir. İki süreci içerir:

- **Ön kod çözme aşaması** : Bu aşamada, günlük analiz motoru günlük başlığından zaman damgası, ana bilgisayar adı ve program adı gibi syslog benzeri bilgileri çıkarır. Ön kod çözme aşaması günlük yapısını basitleştirir ve daha ileri analiz için hazırlar. Ön kod çözme sürecini göstermek için aşağıdaki örnek günlük girişini göz önünde bulundurun:
    
    ```
    Feb 14 12:19:04 192.168.1.1 sshd[25474]: Accepted password for Stephen from 192.168.1.133 port 49765 ssh2
    ```
    
    Ön kod çözme aşamasını göstermek için Wazuh Logtest aracını kullanıyoruz. Wazuh sunucusunda aşağıdaki adımları gerçekleştirin:
    
    
    1. `<span class="pre">/var/ossec/bin/wazuh-logtest</span>`Wazuh sunucusunda komut satırından çalıştırın
    2. Yukarıdaki örnek günlüğü kopyalayıp yapıştırın ve enter'a basın.
    
    Ön kod çözme aşaması sonrasında elde edilen bilgiler aşağıda gösterilmektedir:
    
    ```
    Starting wazuh-logtest v4.8.0
    Type one log per line
    
    Feb 14 12:19:04 192.168.1.1 sshd[25474]: Accepted password for Stephen from 192.168.1.133 port 49765 ssh
    
    **Phase 1: Completed pre-decoding.
            full event: 'Feb 14 12:19:04 192.168.1.1 sshd[25474]: Accepted password for Stephen from 192.168.1.133 port 49765 ssh'
            timestamp: 'Feb 14 12:19:04'
            hostname: '192.168.1.1'
            program_name: 'sshd'
    ```
- **Kod çözme** : Bu aşamada, Wazuh analiz motoru günlükle eşleşen bir kod çözücü uygular. Kod çözücüler, günlüklerde bulunan kullanıcı adları, IP adresleri, hata kodları, URL'ler ve diğer ilgili bilgiler gibi alanları ayıklar. Aşağıdaki kod çözücüler örnek günlükle eşleşir. Bu kod çözücüler `<span class="pre">/var/ossec/rulesets/decoders/0310-ssh_decoders.xml</span>`Wazuh sunucusundaki dosyadadır:
    
    ```
    <decoder name="sshd">
      <program_name>^sshd</program_name>
    </decoder>
    
    <decoder name="sshd-success">
      <parent>sshd</parent>
      <prematch>^Accepted</prematch>
      <regex offset="after_prematch">^ \S+ for (\S+) from (\S+) port (\S+)</regex>
      <order>user, srcip, srcport</order>
      <fts>name, user, location</fts>
    </decoder>
    ```
    
    Kod çözücü `<span class="pre">sshd</span>`program adıyla eşleşirken `<span class="pre">sshd</span>`, kod çözücü örnek günlükten , , ve `<span class="pre">ssh-success</span>`öğelerini çıkarır .`<span class="pre">Stephen</span>``<span class="pre">192.168.1.133</span>``<span class="pre">49765</span>`
    
    Kod çözme aşamasını göstermek için Wazuh Logtest aracını kullanıyoruz. Wazuh sunucusunda aşağıdaki adımları gerçekleştirin:
    
    
    1. `<span class="pre">/var/ossec/bin/wazuh-logtest</span>`Wazuh sunucusunda from komut satırını çalıştırın .
    2. Yukarıdaki örnek günlüğü kopyalayıp yapıştırın ve enter'a basın.
    
    Kod çözme aşaması sonucunda elde edilen bilgiler aşağıda gösterilmektedir:
    
    ```
    Starting wazuh-logtest v4.7.5
    Type one log per line
    
    Feb 14 12:19:04 192.168.1.1 sshd[25474]: Accepted password for Stephen from 192.168.1.133 port 49765 ssh
    
    **Phase 1: Completed pre-decoding.
            full event: 'Feb 14 12:19:04 192.168.1.1 sshd[25474]: Accepted password for Stephen from 192.168.1.133 port 49765 ssh'
            timestamp: 'Feb 14 12:19:04'
            hostname: '192.168.1.1'
            program_name: 'sshd'
    
    **Phase 2: Completed decoding.
            name: 'sshd'
            parent: 'sshd'
            dstuser: 'Stephen'
            srcip: '192.168.1.133'
            srcport: '49765'
    ```

</section><section id="bkmrk-kural-de%C4%9Ferlendirmes">#### Kural Değerlendirmesi ve Uyarı

Günlük çözüldükten sonra, Wazuh yöneticisi bunu bir kural setiyle karşılaştırır. Wazuh kural setleri XML dosyalarında tanımlanır ve farklı izleme ihtiyaçlarına uyacak şekilde özelleştirilebilir. Bu kurallar, karşılandığında uyarıları tetikleyen koşulları belirtir. `<span class="pre">5715</span>`Aşağıdaki kural, önceki bölümdeki örnek günlükle eşleşir. Bu kural, `<span class="pre">/var/ossec/ruleset/rules/0095-sshd_rules.xml</span>`Wazuh sunucusundaki dosyadadır.

```
<rule id="5715" level="3">
  <if_sid>5700</if_sid>
  <match>^Accepted|authenticated.$</match>
  <description>sshd: authentication success.</description>
  <group>authentication_success,pci_dss_10.2.5,</group>
</rule>
```

Nerede:

- `<span class="pre"><rule</span> <span class="pre">id="5715"</span> <span class="pre">level="3"></span>`kural kimliğini `<span class="pre">5715</span>`ve kural düzeyini olarak belirtir `<span class="pre">3</span>`. Kural kimliği kural için benzersiz bir tanımlayıcıdır, düzey ise kural eşleştiğinde olayın önem düzeyini temsil eder.
- `<span class="pre"><if_sid>5700</if_sid></span>`ID'li başka bir kurala bağımlılığı belirtir `<span class="pre">5700</span>`. Kural yalnızca daha önce eşleşmişse değerlendirilecektir `<span class="pre">5700</span>`.
- `<span class="pre"><match>^Accepted|authenticated.$</match></span>`ile başlayan `<span class="pre">Accepted</span>`veya biten herhangi bir günlük girişiyle eşleşir `<span class="pre">authenticated.</span>`.
- `<span class="pre"><description>sshd:</span> <span class="pre">authentication</span> <span class="pre">success.</description></span>`kuralın neyi algıladığını açıklar. Bu durumda, başarılı bir SSH kimlik doğrulamasını gösterir.
- `<span class="pre"><group>authentication_success,pci_dss_10.2.5,</group></span>`kuralı `<span class="pre">authentication_success</span>`ve `<span class="pre">pci_dss_10.2.5</span>` gruplarına atar.

Varsayılan olarak, Wazuh sunucusu 2'nin üzerinde bir seviyeye sahip herhangi bir kural için uyarılar üretir. Bu senaryoda, kural seviyesi 3 olduğu için günlük bir uyarıyı tetikler ve bu Wazuh panosunda görünür olacaktır.

Varsayılan olarak desteklenmeyen günlükleri analiz etmek için özel kod çözücüler ve kurallar oluşturabilirsiniz. Özel kurallar ve kod çözücülerin nasıl oluşturulacağını öğrenmek için özel [<span class="doc">kurallar</span>](https://acikkaynak.lastguard.com.tr/books/kullanim-kilavuzu/page/kurallar) ve [<span class="doc">özel kod çözücüler</span>](https://acikkaynak.lastguard.com.tr/books/kullanim-kilavuzu/page/decoders) belgelerine bakın.

</section></section>

# Sıraya Girme Mekanizmaları

Wazuh sunucusu, izlenen uç noktalardan olay toplanmasını kolaylaştıran bir kuyruk mekanizması içerir. Wazuh ajanlarından, syslog uç noktalarından ve ajansız cihazlardan Wazuh sunucusuna sürekli veri akışı sağlayarak olay taşmasını önler. Wazuh sunucu kuyruğu İlk Giren İlk Çıkar (FIFO) metodolojisini kullanır; bu nedenle, ilk kuyruğa alınan olay kuyruktan ilk kaldırılan ve işlenen olaydır. Dağıtılmış işleme dayalıdır ve günlük analiz görevlerinin paralel hale getirilmesine olanak tanır. Bu, günlük işleme hattının ölçeklenebilirliğini ve performansını iyileştirerek Wazuh'un büyük hacimli günlük verilerini etkili bir şekilde işlemesini sağlar.

Wazuh sunucusunda olay akışlarını yönetmek için iki yerel kuyruk bulunur:

- [Wazuh aracı iletişim kuyruğu (queue\_rd)](https://documentation.wazuh.com/current/user-manual/manager/wazuh-server-queue.html#wazuh-agent-communication-queue-queue-rd)
- [Wazuh analiz motoru kuyruğu (queue\_and)](https://documentation.wazuh.com/current/user-manual/manager/wazuh-server-queue.html#wazuh-analysis-engine-queue-queue-and)

Wazuh aracısı, olay tıkanıklığını önlemek için [Wazuh aracı kuyruğunu (queue\_ad)](https://documentation.wazuh.com/current/user-manual/manager/wazuh-server-queue.html#wazuh-agent-queue-queue-ad) kullanır . Bu kuyruk, Wazuh aracısının Wazuh sunucusunun işleyebileceğinden daha hızlı olay göndermemesini sağlar.

<section id="bkmrk-wazuh-arac%C4%B1-ileti%C5%9Fim-1">### Wazuh Agent İletişim Kuyruğu (queue\_rd)

Kuyruk `<span class="pre">queue_rd</span>`, sunucu tarafı [<span class="doc">aracı iletişim hizmetinde</span>](https://documentation.wazuh.com/current/user-manual/reference/daemons/wazuh-remoted.html) bulunur . Wazuh aracılarından olayları alır ve olay kod çözme ve kural eşleştirme için [<span class="doc">Wazuh analiz motoruna</span>](https://documentation.wazuh.com/current/user-manual/reference/daemons/wazuh-analysisd.html) gönderir .

<section id="bkmrk-wazuh-arac%C4%B1-ileti%C5%9Fim-3">#### Wazuh Agent İletişim Kuyruğu Nasıl Yapılandırılır

1. Wazuh sunucusundaki `<span class="pre">/var/ossec/etc/ossec.conf</span>` dosyasının `<span class="pre"><queue_size></span>`uzak bölümünde düzenleme yaparak Wazuh aracı iletişim kuyruğunu yapılandırın:
    
    ```
    <remote>
      <connection>secure</connection>
      <port>1514</port>
      <protocol>tcp,udp</protocol>
      <queue_size>131072</queue_size>
      <rids_closing_time>5m</rids_closing_time>
      <connection_overtake_time>600</connection_overtake_time>
      <agents>
        <allow_higher_versions>no</allow_higher_versions>
      </agents>
    </remote>
    ```
    
    Değişken `<span class="pre"><queue_size></span>`, Wazuh aracı iletişim kuyruğunun kuyruk kapasitesini ayarlar. Aşağıdaki tablo `<span class="pre"><queue_size></span>` değişkenin yapılandırmasını gösterir.
    
    <table class="docutils align-default"><thead><tr class="row-odd"><th class="head">Varsayılan değer
    
    </th><th class="head">İzin verilen değerler
    
    </th></tr></thead><tbody><tr class="row-even"><td>131072
    
    </td><td>1 ile 262144 arasında herhangi bir sayı.
    
    </td></tr></tbody></table>
    
    <p class="callout info">Not: Wazuh aracı iletişim kuyruğu ( `<span class="pre">queue_rd</span>`) yalnızca Wazuh aracı olayları için kullanılabilir, uzak syslog olayları için kullanılamaz. Bu seçenek yalnızca bağlantı olarak ayarlandığında çalışır `<span class="pre">secure</span>`.</p>
    
    <div class="admonition note"> </div>
2. Değişiklikleri uygulamak için Wazuh yönetici hizmetini yeniden başlatın.
    
    ```
    systemctl restart wazuh-manager
    ```

Olay düşüşleri gözlemlendiğinde `<span class="pre">/var/ossec/etc/ossec.conf</span>` dosyasının `<span class="pre"><remote></span>` bloğundaki `<span class="pre">queue_size</span>` değerini ve `<span class="pre">/var/ossec/etc/internal_options.conf</span>` dosyasındaki `<span class="pre">worker_pool</span>` boyutunu artırabilirsiniz.

`<span class="pre">worker_pool</span>`Aşağıdaki tablo Wazuh sunucusundaki boyut yapılandırmasını göstermektedir .

<table class="docutils align-default"><tbody><tr class="row-odd"><td rowspan="3">**uzaktan.çalışan\_havuzu**

</td><td>Tanım

</td><td>Yük alımını işleyen iş parçacığı sayısı

</td></tr><tr class="row-even"><td>Varsayılan değer

</td><td>4

</td></tr><tr class="row-odd"><td>İzin verilen değer

</td><td>1 ile 16 arasında herhangi bir tam sayı

</td></tr></tbody></table>

[<span class="doc">Wazuh sunucu API'sini</span>](https://documentation.wazuh.com/current/user-manual/api/reference.html) `<span class="pre">wazuh-remoted</span>` sorgulayarak veya daemon istatistiksel durum dosyasını okuyarak olay düşüşlerini izleyebilirsiniz .

<section id="bkmrk-wazuh-sunucu-api%27sin">##### Wazuh Sunucu API'sini Sorgulama

`<span class="pre">wazuh-remoted</span>`Aşağıdaki adımları izleyerek istatistiksel bilgileri sorgulayabilirsiniz :

1. Wazuh panosunda **Araçlar'a** ve ardından **API Konsolu'na** gidin .
2. API konsoluna aşağıdakileri ekleyin ve Wazuh sunucusu API'sine sorgu göndermek için yeşil oka tıklayın:
    
    ```
    GET /manager/daemons/stats
    ```
3. Sorgu sonucu aşağıdaki ekran görüntüsünün sol tarafında gösterilmektedir.
    
    <div class="wazuh-image-wrapper align-center">![Wazuh-uzaktan istatistiklerini gösteren Wazuh daemon'larının istatistiksel sorgusu.](https://documentation.wazuh.com/current/_images/wazuh-remoted-query-results1.png)</div>

Sorgu, kuyruk boyutu değerini, tarafından işlenen olay sayısını `<span class="pre">wazuh-remoted</span>`ve atılan olay sayısını döndürür.

</section><section id="bkmrk-arac%C4%B1-ileti%C5%9Fim-istat">##### Aracı İletişim İstatistiksel Durum Dosyası

Bu istatistiksel dosya, `<span class="pre">wazuh-remoted</span>`kuyruk boyutu, atılan mesajlar, uzak bağlantı sayısı ve diğer önemli bilgiler gibi uzak daemon ile ilgili verileri sunar.

Dosyayı okumak için Wazuh sunucusunda aşağıdaki komutu çalıştırın:

```
cat /var/ossec/var/run/wazuh-remoted.state
```

Aşağıda dosyanın içeriğine dair bir örnek verilmiştir `<span class="pre">wazuh-remoted.state</span>`:

```
# State file for wazuh-remoted
# THIS FILE WILL BE DEPRECATED IN FUTURE VERSIONS
# Updated every 5 seconds.

# Queue size
queue_size='0'

# Total queue size
total_queue_size='131072'

# TCP sessions
tcp_sessions='1'

# Events sent to Analysisd
evt_count='126714'

# Control messages received
ctrl_msg_count='2637'

# Discarded messages
discarded_count='0'

# Total number of bytes sent
sent_bytes='4434745'

# Total number of bytes received
recv_bytes='93866086'

# Messages dequeued after the agent closes the connection
dequeued_after_close='0'
```

</section></section></section><section id="bkmrk-wazuh-analiz-motoru-">### Wazuh Analiz Motoru Kuyruğu (queue\_and)

Sıra <span class="doc">Wazuh analiz motorunda </span>`<span class="pre">queue_and</span>` bulunur ve olayların alınmasını kolaylaştırır. Wazuh analiz motoru daha sonra alınan günlükleri Wazuh sunucusundaki kurallarla eşleştirir.

<section id="bkmrk-wazuh-analiz-motoru--2">#### Wazuh Analiz Motoru Kuyruğu Nasıl Yapılandırılır

Wazuh analiz motoru kuyruğu, `<span class="pre">queue_and</span>` kuyruğu kullanarak analiz için Wazuh ajanlarından günlükleri alır. Gelen tüm günlük mesajları kategorilere ayrılır ve aşağıdaki kategorilerde sıraya alınır:

- Dosya bütünlüğü izleme olayı kod çözücü kuyruğu.
- Syscollector olay kod çözücü kuyruğu.
- Kök denetimi olayı kod çözücü kuyruğu.
- Ana bilgisayar bilgisi olay kod çözücü kuyruğu.
- Olay kod çözücü kuyruğu.
- Windows olay kod çözücü kuyruğu.

Her kuyruk kategorisinin İlk Giren İlk Çıkar (FIFO) olay yönetiminden sorumlu bir dizi iş parçacığı vardır. İş parçacığı sayısı, `<span class="pre">/var/ossec/etc/internal_options.conf</span>` Wazuh sunucusundaki dosya aracılığıyla olay türüne göre ayrı ayrı yapılandırılabilir.

<p class="callout info">Not: Yükseltmelerin kuyruk yapılandırmalarını geçersiz kılmamasını sağlamak için `<span class="pre">/var/ossec/etc/local_internal_options.conf</span>` dosyası yerine `<span class="pre">/var/ossec/etc/internal_options.conf</span>` dosyasını kullanın.</p>

Aşağıdaki tabloda Wazuh analiz motoru kuyruğu ( `<span class="pre">queue_and</span>`) için kullanılabilen yapılandırma seçenekleri gösterilmektedir.

<table class="docutils align-default"><thead><tr class="row-odd"><th class="head">Kuyruklar (wazuh-analysisd.state)

</th><th class="head">Ayar (local\_internal\_options.conf)

</th><th class="head">Varsayılan

</th><th class="head">Dakika

</th><th class="head">Maksimum

</th></tr></thead><tbody><tr class="row-even"><td>syscheck\_queue\_kullanımı

</td><td>analizd.decode\_syscheck\_queue\_size

</td><td>16384

</td><td>128

</td><td>2000000

</td></tr><tr class="row-odd"><td>syscollector\_kuyruğu\_kullanımı

</td><td>analizd.decode\_syscollector\_queue\_size

</td><td>16384

</td><td>128

</td><td>2000000

</td></tr><tr class="row-even"><td>kök\_kontrolu\_kuyruk\_kullanımı

</td><td>analizd.decode\_rootcheck\_queue\_size

</td><td>16384

</td><td>128

</td><td>2000000

</td></tr><tr class="row-odd"><td>sca\_queue\_kullanımı

</td><td>analizd.decode\_sca\_queue\_size

</td><td>16384

</td><td>128

</td><td>2000000

</td></tr><tr class="row-even"><td>hostinfo\_kuyruk\_kullanımı

</td><td>analiz.decode\_hostinfo\_queue\_size

</td><td>16384

</td><td>128

</td><td>2000000

</td></tr><tr class="row-odd"><td>winevt\_kuyruk\_kullanımı

</td><td>analizd.decode\_winevt\_kuyruk\_boyutu

</td><td>16384

</td><td>128

</td><td>2000000

</td></tr><tr class="row-even"><td>dbsync\_kuyruk\_kullanımı

</td><td>analizd.dbsync\_queue\_size

</td><td>16384

</td><td>128

</td><td>2000000

</td></tr><tr class="row-odd"><td>yükseltme\_kuyruğu\_kullanımı

</td><td>analizd.yükseltme\_kuyruğu\_boyutu

</td><td>16384

</td><td>128

</td><td>2000000

</td></tr><tr class="row-even"><td>olay\_kuyruğu\_kullanımı

</td><td>analizd.decode\_event\_queue\_size

</td><td>16384

</td><td>128

</td><td>2000000

</td></tr><tr class="row-odd"><td>kural\_eşleşen\_kuyruk\_kullanımı

</td><td>analizd.decode\_output\_queue\_size

</td><td>16384

</td><td>128

</td><td>2000000

</td></tr><tr class="row-even"><td>uyarılar\_kuyruğu\_kullanımı

</td><td>analizd.uyarılar\_kuyruk\_boyutu

</td><td>16384

</td><td>128

</td><td>2000000

</td></tr><tr class="row-odd"><td>güvenlik\_kuyruğu\_kullanımı

</td><td>analizd.firewall\_queue\_size

</td><td>16384

</td><td>128

</td><td>2000000

</td></tr><tr class="row-even"><td>istatistiksel\_kuyruk\_kullanımı

</td><td>analizd.istatistiksel\_kuyruk\_boyutu

</td><td>16384

</td><td>128

</td><td>2000000

</td></tr><tr class="row-odd"><td rowspan="5">arşiv\_kuyruğu\_kullanımı

</td><td>analizd.arşivler\_kuyruğu\_boyutu

</td><td>16384

</td><td>128

</td><td>2000000

</td></tr><tr class="row-even"><td>analizd.fts\_kuyruk\_boyutu

</td><td>16384

</td><td>128

</td><td>2000000

</td></tr><tr class="row-odd"><td>analizd.fts\_liste\_boyutu

</td><td>32

</td><td>12

</td><td>512

</td></tr><tr class="row-even"><td>analysisd.fts\_min\_size\_for\_str

</td><td>14

</td><td>6

</td><td>128

</td></tr><tr class="row-odd"><td>analizd.decoder\_order\_size

</td><td>256

</td><td>32

</td><td>1024

</td></tr></tbody></table>

<span class="doc">Wazuh analiz motorunda "olay düşüşleri" gözlemlendiğinde kuyruk ayarları ayarlanmalıdır. [Wazuh sunucu API'sini](https://documentation.wazuh.com/current/user-manual/api/reference.html)</span>[ ](https://documentation.wazuh.com/current/user-manual/api/reference.html)sorgulayarak veya daemon istatistiksel durum dosyasını okuyarak wazuh-analysisd'deki olay düşüşlerini izleyebilirsiniz .

<section id="bkmrk-wazuh-sunucu-api%27sin-2">##### Wazuh Sunucu API'sini Sorgulama

Wazuh analiz motorundan istatistiksel bilgileri kontrol etmek için günlük kategorisi durumu Wazuh sunucu API'si kullanılarak sorgulanabilir. Yeni istatistikler, alınan veya düşürülen olayların olay türüne göre dökümünü gösterir. Bu, yalnızca düşürmeyi gösteren kuyruk boyutlarını ayarlamak için hayati önem taşır.

Aşağıdaki adımları izleyerek Wazuh analiz motorunun istatistiksel bilgilerini sorgulayabilirsiniz:

1. Wazuh panosunda **Araçlar'a** ve ardından **API Konsolu'na** gidin .
2. Konsola aşağıdakileri ekleyin ve Wazuh sunucu API'sine sorgu göndermek için yeşil oka tıklayın:
    
    ```
    GET /manager/daemons/stats
    ```
3. `<span class="pre">wazuh-analysisd</span>`Aşağıdaki ekran görüntüsünde sağ tarafta gösterilen sorgu sonucunun bulunduğu bölüme doğru aşağı kaydırın .
    
    <div class="wazuh-image-wrapper align-center">![Wazuh-analysisd istatistiklerini gösteren Wazuh daemon'larının istatistiksel sorgusu](https://documentation.wazuh.com/current/_images/wazuh-analysisd-query-results1.png)</div>

Sorgu, kuyruk boyutu değerini, Wazuh analiz motoru tarafından işlenen olay sayısını ve atılan olay sayısını döndürür.

`<span class="pre">/var/ossec/etc/internal_options.conf</span>`Wazuh analiz motoru kuyruğu , Wazuh sunucusundaki dosya aracılığıyla olay türüne göre yapılandırılabilir .

<p class="callout info">Not: Yükseltmelerin kuyruk yapılandırmalarını geçersiz kılmamasını sağlamak için `<span class="pre">/var/ossec/etc/local_internal_options.conf</span>` dosyası yerine `<span class="pre">/var/ossec/etc/internal_options.conf</span>` dosyasını kullanın.</p>

</section><section id="bkmrk-wazuh-analiz-motoru--4">##### Wazuh Analiz Motoru İstatistiksel Durum Dosyası

Wazuh analiz motoru için istatistiksel dosya şu adreste bulunur `<span class="pre">/var/ossec/var/run/wazuh-analysisd.state</span>`. Dosya, Wazuh sunucusundaki olay işleme sorunlarını araştırırken yararlı olabilir.

Dosyayı okumak için Wazuh sunucusunda aşağıdaki komutu çalıştırın:

```
cat /var/ossec/var/run/wazuh-analysisd.state
```

Aşağıda wazuh-remoted.state dosyasının içeriğine dair bir örnek verilmiştir:

```
# State file for wazuh-analysisd
# THIS FILE WILL BE DEPRECATED IN FUTURE VERSIONS

# Total events decoded
total_events_decoded='137726'

# Syscheck events decoded
syscheck_events_decoded='3935'

# Syscollector events decoded
syscollector_events_decoded='2590'

# Rootcheck events decoded
rootcheck_events_decoded='37'

# Security configuration assessment events decoded
sca_events_decoded='8991'

# Winevt events decoded
winevt_events_decoded='87993'

# Database synchronization messages dispatched
dbsync_messages_dispatched='26004'

# Other events decoded
other_events_decoded='8176'

# Events processed (Rule matching)
events_processed='112252'

# Events received
events_received='138283'

# Events dropped
events_dropped='0'

# Alerts written to disk
alerts_written='6707'

# Firewall alerts written to disk
firewall_written='0'

# FTS alerts written to disk
fts_written='0'

# Syscheck queue
syscheck_queue_usage='0.00'

# Syscheck queue size
syscheck_queue_size='16384'

# Syscollector queue
syscollector_queue_usage='0.00'

# Syscollector queue size
syscollector_queue_size='16384'

# Rootcheck queue
rootcheck_queue_usage='0.00'

# Rootcheck queue size
rootcheck_queue_size='16384'

# Security configuration assessment queue
sca_queue_usage='0.00'

# Security configuration assessment queue size
sca_queue_size='16384'

# Hostinfo queue
hostinfo_queue_usage='0.00'

# Hostinfo queue size
hostinfo_queue_size='16384'

# Winevt queue
winevt_queue_usage='0.00'

# Winevt queue size
winevt_queue_size='16384'

# Database synchronization message queue
dbsync_queue_usage='0.00'

# Database synchronization message queue size
dbsync_queue_size='16384'

# Upgrade module message queue
upgrade_queue_usage='0.00'

# Upgrade module message queue size
upgrade_queue_size='16384'

# Event queue
event_queue_usage='0.00'

# Event queue size
event_queue_size='16384'

# Rule matching queue
rule_matching_queue_usage='0.00'

# Rule matching queue size
rule_matching_queue_size='16384'

# Alerts log queue
alerts_queue_usage='0.00'

# Alerts log queue size
alerts_queue_size='16384'

# Firewall log queue
firewall_queue_usage='0.00'

# Firewall log queue size
firewall_queue_size='16384'

# Statistical log queue
statistical_queue_usage='0.00'

# Statistical log queue size
statistical_queue_size='16384'

# Archives log queue
archives_queue_usage='0.00'

# Archives log queue size
archives_queue_size='16384'
```

</section></section></section><section id="bkmrk-wazuh-arac%C4%B1-kuyru%C4%9Fu-">### Wazuh Agent Kuyruğu (queue\_ad)

Sıra `<span class="pre">queue_ad</span>`, aracı tarafı [<span class="doc">aracı bağlantı hizmetinde</span>](https://documentation.wazuh.com/current/user-manual/reference/daemons/wazuh-agentd.html) bulunur ve Wazuh aracısından Wazuh sunucusuna olay iletimini yönetir. Sıra, Wazuh sunucusuna iletmeden önce sistem olayları ve güvenlik yapılandırması değerlendirme çıktıları gibi günlükleri toplar. Ayrıca, yapılandırılabilir parametrelere göre olay iletimini kısıtlayan ve Wazuh sunucusunun işleme kapasitesini aşma riskini azaltan bir anti-flooding mekanizması içerir.

<section id="bkmrk-wazuh-kuyruk-%C3%A7%C3%B6z%C3%BCc%C3%BC-">#### Wazuh Kuyruk Çözücü ve Kuralları

Wazuh, olay sel çıkışını analiz etmek ve Wazuh panosunda uyarılar oluşturmak için kullanıma hazır bir kod çözücü ve kurallar sağlar.

<section id="bkmrk-kod-%C3%A7%C3%B6z%C3%BCc%C3%BCbu-ba%C5%9Fl%C4%B1%C4%9Fa">##### Decoder

Kod çözücü Wazuh sunucusundaki dosyada mevcuttur `<span class="pre">/var/ossec/ruleset/decoders/0005-wazuh_decoders.xml</span>`. Kod çözücü Wazuh sunucusundaki flood olaylarını analiz etmekten sorumludur.

```
<decoder name="agent-buffer">
  <parent>wazuh</parent>
  <prematch offset="after_parent">^Agent buffer:</prematch>
  <regex offset="after_prematch">^ '(\S+)'.</regex>
  <order>level</order>
</decoder>
```

</section><section id="bkmrk-t%C3%BCz%C3%BCkbu-ba%C5%9Fl%C4%B1%C4%9Fa-kal%C4%B1">##### Kurallar

Aşağıda görüldüğü gibi kurallar, `<span class="pre">201</span>`ile arasındaki ID'lerle tanımlanmış olup Wazuh sunucusundaki dosyada `<span class="pre">205</span>`mevcuttur .`<span class="pre">/var/ossec/ruleset/rules/0016-wazuh_rules.xml</span>`

```
<!-- Agent buffer rules -->
<rule id="201" level="0">
  <if_sid>200</if_sid>
  <match>^wazuh: Agent buffer: </match>
  <description>Agent event queue rule</description>
  <group>agent_flooding,</group>
</rule>

<rule id="202" level="7">
  <if_sid>201</if_sid>
  <field name="level">%</field>
  <description>Agent event queue is $(level) full.</description>
  <group>agent_flooding,pci_dss_10.6.1,gdpr_IV_35.7.d,</group>
</rule>

<rule id="203" level="9">
  <if_sid>201</if_sid>
  <field name="level">full</field>
  <description>Agent event queue is full. Events may be lost.</description>
  <group>agent_flooding,pci_dss_10.6.1,gdpr_IV_35.7.d,</group>
</rule>

<rule id="204" level="12">
  <if_sid>201</if_sid>
  <field name="level">flooded</field>
  <description>Agent event queue is flooded. Check the agent configuration.</description>
  <group>agent_flooding,pci_dss_10.6.1,gdpr_IV_35.7.d,</group>
</rule>

<rule id="205" level="3">
  <if_sid>201</if_sid>
  <field name="level">normal</field>
  <description>Agent event queue is back to normal load.</description>
  <group>agent_flooding,</group>
</rule>
```

Nerede:

- Kural Kimliği, `<span class="pre">201</span>`olay kuyruğu için temel kuraldır.
- Kural Kimliği, `<span class="pre">202</span>`olay kuyruğu seviyesi %90'a ulaştığında tetiklenir.
- Kural kimliği, `<span class="pre">203</span>`olay kuyruğu dolduğunda tetiklenir.
- `<span class="pre">204</span>`Olay kuyruğu dolduğunda kural kimliği tetiklenir.
- Kural Kimliği, `<span class="pre">205</span>`bir su baskını olayından sonra olay kuyruğu normale döndüğünde tetiklenir.

</section></section></section>

# Wazuh Server API

Wazuh sunucu API'si, bir web tarayıcısından, cURL gibi bir komut satırı aracından veya web istekleri yapabilen herhangi bir betik veya programdan Wazuh yöneticisiyle etkileşime izin veren açık kaynaklı bir RESTful API'dir. Wazuh panosu, Wazuh sunucu altyapısını uzaktan yönetmek için Wazuh sunucu API'sine güvenir. Wazuh sunucu API'sini, aracı ekleme, yöneticiyi veya aracıyı yeniden başlatma veya Dosya Bütünlüğü İzleme (FIM) hakkında ayrıntılara bakma gibi genel görevleri gerçekleştirmek için kullanabilirsiniz.

Wazuh sunucusu API yeteneklerinin listesi şu şekildedir:

- Wazuh acente yönetimi
- Wazuh yönetici kontrolü ve genel bakışı
- Küme denetimi ve genel bakış
- Dosya bütünlüğü izleme denetimi ve araması
- MITRE ATT&CK genel bakış
- Kural seti bilgisi
- Kuralların ve kod çözücülerin test edilmesi ve doğrulanması
- Syscollector bilgisi
- Rol Tabanlı Erişim Kontrolü (RBAC)
- API yönetimi (HTTPS, yapılandırma)
- Kullanıcı yönetimi
- İstatistiksel bilgiler
- Hata işleme
- Uzaktan yapılandırmayı sorgula

# Başlarken

<section id="bkmrk-bu-k%C4%B1lavuz%2C-wazuh-su">Bu kılavuz, Wazuh sunucu API'sini kullanmak için gereken temel bilgileri sağlar.

<section id="bkmrk-wazuh-sunucu-api%27sin">### Wazuh Sunucu API'sini Başlatma ve Durdurma

Wazuh yöneticisini yüklediğinizde, Wazuh sunucu API'si de sürecin bir parçası olarak varsayılan olarak yüklenir. Wazuh yönetici hizmetiyle `<span class="pre">systemctl</span>`veya komutlarını yürüterek Wazuh sunucu API'sini yönetebilir veya izleyebilirsiniz:`<span class="pre">service</span>`  
  
**Systemd**

```
systemctl start/status/stop/restart wazuh-manager
```

  
**SysV Başlatma**

```
service wazuh-manager start/status/stop/restart
```

</section><section id="bkmrk-wazuh-panosu-arac%C4%B1l%C4%B1">### Wazuh Dashboard Aracılığıyla Wazuh Sunucu API'sini Kullanma

Wazuh panosu aracılığıyla Wazuh sunucu API'siyle etkileşim kurabilirsiniz. Bunu yapmak için, yönetici ayrıcalıklarına sahip bir kullanıcıyla Wazuh panosuna giriş yapmanız gerekir. Örneğin, varsayılan `<span class="pre">admin</span>`kullanıcı yönetici ayrıcalıklarına sahiptir. Panodaki Wazuh sunucu API konsoluna erişmek için menü simgesine tıklayın ve **Araçlar** &gt; **API Konsolu'na** gidin .

<div class="wazuh-image-wrapper align-center">![Pano üzerinden Wazuh sunucu API konsoluna erişin](https://documentation.wazuh.com/current/_images/access-wazuh-server-api1.png)</div> **API Konsolu'nda** yöntemi , istek uç noktasını ve herhangi bir sorgu parametresini girin, ardından isteği yürütmek için oynat düğmesine tıklayın. Temel kavramlar hakkında daha fazla bilgi edinmek için Wazuh sunucusu API isteğini ve yanıtını anlama bölümüne bakın.

<div class="wazuh-image-wrapper align-center">![API isteğini yürüt](https://documentation.wazuh.com/current/_images/execute-api-request1.png)</div></section><section id="bkmrk-komut-sat%C4%B1r%C4%B1-arac%C4%B1l%C4%B1">### Komut Satırı Aracılığıyla Wazuh Sunucu API'sine Giriş Yapma

Güvenli erişimi sağlamak için tüm Wazuh sunucu API uç noktaları kimlik doğrulaması gerektirir. Kullanıcılar her istekte bir JSON Web Token (JWT) eklemelidir. JWT, taraflar arasında bilgileri bir JSON nesnesi olarak güvenli bir şekilde iletmek için kompakt ve kendi kendine yeten bir yöntem tanımlayan açık bir standarttır (RFC 7519). [POST /security/user/authenticate](https://documentation.wazuh.com/current/user-manual/api/reference.html#operation/api.controllers.security_controller.login_user) kullanarak Wazuh sunucu API'sine giriş yapmak ve API uç noktalarına erişmek için gerekli bir belirteç edinmek için aşağıdaki adımları izleyin:

1. Wazuh sunucu API'sine bir kullanıcı kimlik doğrulama POST isteği göndermek ve döndürülen JWT'yi değişkende depolamak için aşağıdaki komutu çalıştırın `<span class="pre">TOKEN</span>`. `<span class="pre"><WAZUH_API_USER></span>`ve'yi `<span class="pre"><WAZUH_API_PASSWORD></span>`kimlik bilgilerinizle değiştirin.
    
    ```
    TOKEN=$(curl -u <WAZUH_API_USER>:<WAZUH_API_PASSWORD> -k -X POST "https://localhost:55000/security/user/authenticate?raw=true")
    ```
    
    <p class="callout info">Not:  
    - `<span class="pre">SSL</span>`API'de (HTTPS) etkinleştirilmişse ve varsayılan kendi kendine imzalanmış sertifikaları kullanıyorsa, sunucu bağlantı doğrulamasını önlemek için parametreyi eklemeniz gerekir . cURL komutları aracılığıyla kimlik doğrulaması yaparken sorgu parametresini `<span class="pre">-k</span>`kullanmanızı öneririz `<span class="pre">raw=true</span>`, çünkü belirteci düz metin olarak döndürerek işlemeyi basitleştirir, özellikle uzun JWT'ler için yararlıdır.  
      
    Varsayılan Wazuh sunucusu API kimlik bilgisi 'dir `<span class="pre">wazuh:wazuh</span>`. Ancak Wazuh dağıtımı kurulum betiği kullanılarak gerçekleştirildiyse, Wazuh API kullanıcısı 'dir ve ' komutunu çalıştırarak `<span class="pre">wazuh</span>`parolayı çıkarabilirsiniz .`<span class="pre">wazuh-install-files.tar</span>``<span class="pre">tar</span> <span class="pre">-axf</span> <span class="pre">wazuh-install-files.tar</span> <span class="pre">wazuh-install-files/wazuh-passwords.txt</span> <span class="pre">-O</span> <span class="pre">|</span> <span class="pre">grep</span> <span class="pre">-P</span> <span class="pre">"\'wazuh\'"</span> <span class="pre">-A</span> <span class="pre">1</span>`  
      
    Eğer `<span class="pre">wazuh</span>` şifrenizi geri alamazsanız, kullanıcı şifresini [<span class="doc">sıfırlayabilirsiniz</span>](https://acikkaynak.lastguard.com.tr/books/kullanim-kilavuzu/page/sifre-yonetimi) .</p>
2. Jetonun oluşturulduğunu doğrulayın:
    
    ```
    echo $TOKEN
    ```
    
    Çıktı aşağıdakine benzer uzun bir dize olmalıdır:
    
    <div aria-expanded="true" class="output highlight-none notranslate collapsible expanded"><div class="output-title" role="button">**Output**</div></div>```
    eyJhbGciOiJFUzUxMiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiJ3YXp1aCIsImF1ZCI6IldhenVoIEFQSSBSRVNUIiwibmJmIjoxNzA3ODk4NTEzLCJleHAiOjE3MDc4OTk0MTMsInN1YiI6IndhenVoIiwicnVuX2FzIjpmYWxzZSwicmJhY19yb2xlcyI6WzFdLCJyYmFjX21vZGUiOiJ3aGl0ZSJ9.ACcJ3WdV3SnTOC-PV2oGZGCyH3GpStSOu161UHHT7w6eUm_REOP_g8SqqIJDDW0gCcQNJTEECortIuI4zj7nybNhACRlBrDBZoG4Re4HXEpAchyFQXwq0SsZ3HHSj7eJinBF0pJDG0D8d1_LkcoxaX3FpxpsCZ4xzJ492CpnVZLT8qI4
    ```
    
    Kimlik doğrulama başarısız olursa, çıktı bir hata mesajı görüntüler veya boş kalır. Bu gibi durumlarda, kullanıcı kimlik bilgilerinizi iki kez kontrol edin ve Wazuh sunucu API'sine ağ bağlantınız olduğundan emin olun.
3. Her şeyin beklendiği gibi çalıştığını doğrulamak için bir API isteği gönderin:
    
    ```
    curl -k -X GET "https://localhost:55000/" -H "Authorization: Bearer $TOKEN"
    ```
    
    <div aria-expanded="true" class="output highlight-none notranslate collapsible expanded"><div class="output-title" role="button">**Output**</div></div>```
    {
        "data": {
            "title": "Wazuh API REST",
            "api_version": "4.7.4",
            "revision": 40717,
            "license_name": "GPL 2.0",
            "license_url": "https://github.com/wazuh/wazuh/blob/master/LICENSE",
            "hostname": "wazuh-master",
            "timestamp": "2024-05-14T21:34:15Z"},
       "error": 0
    }
    ```
    
    Giriş yaptıktan sonra, aşağıdaki yapıyı kullanarak herhangi bir API uç noktasına erişebilirsiniz. `<span class="pre"><METHOD></span>`İstediğiniz yöntemle ve `<span class="pre"><ENDPOINT></span>`erişmek istediğiniz uç noktaya karşılık gelen dizeyle değiştirin. Bir ortam değişkeni kullanmıyorsanız, `<span class="pre">$TOKEN</span>`elde edilen JWT ile değiştirin.
    
    ```
    curl -k -X <METHOD> "https://localhost:55000/<ENDPOINT>" -H  "Authorization: Bearer $TOKEN"
    ```

</section><section id="bkmrk-betikler-arac%C4%B1l%C4%B1%C4%9F%C4%B1yl">### Scriptler Aracılığıyla Wazuh Sunucu API'sine Giriş Yapma

Bu bölüm, Wazuh sunucusuyla etkileşimleri otomatikleştirmek için temel bir adım olan komut dosyalarını kullanarak Wazuh sunucusu API'sine giriş yapma sürecini ayrıntılı olarak açıklar. Sağlanan örnekler, hem varsayılan ( `<span class="pre">false</span>`) hem de düz metin ( `<span class="pre">true</span>`) `<span class="pre">raw</span>`parametrelerini göstererek gerçek dünya uygulamalarını sergilemeyi amaçlamaktadır. `<span class="pre">raw</span>`Parametre, olarak ayarlandığında `<span class="pre">true</span>`, yanıtın düz metin veya asgari düzeyde işlenmiş bir biçimde olması gerektiği anlamına gelir. Tersine, `<span class="pre">raw</span>`parametre olduğunda `<span class="pre">false</span>`, yanıt ayrıştırma ve entegrasyonu kolaylaştırmak için daha yapılandırılmış bir JSON biçimindedir. Bu komut dosyaları, otomasyon yoluyla operasyonel verimliliğini artırmak isteyen veya özel entegrasyonlar için Wazuh sunucusu API'sine programlı olarak nasıl erişileceğini anlamak isteyen kullanıcılar için tasarlanmıştır.

<section id="bkmrk-python-beti%C4%9Fiyle-otu">#### Python Scriptiyle Oturum Açma

Python betiği kullanarak Wazuh sunucu API'sine kimlik doğrulaması yapabilirsiniz. Aşağıdaki betik, `<span class="pre">wazuh_api_authenticator.py</span>`bir JWT elde etmek için Wazuh sunucu API'siyle kimlik doğrulaması yapar. Daha sonra Wazuh aracılarının durumlarının bir özetini almak için istek başlığındaki belirteci kullanır.

```
#!/usr/bin/env python3

import json
import requests
import urllib3
from base64 import b64encode

# Disable insecure https warnings (for self-signed SSL certificates)
urllib3.disable_warnings(urllib3.exceptions.InsecureRequestWarning)

# Configuration
protocol = 'https'
host = 'localhost'
port = 55000
user = '<WAZUH_API_USER>'
password = '<WAZUH_API_PASSWORD>'
login_endpoint = 'security/user/authenticate'

login_url = f"{protocol}://{host}:{port}/{login_endpoint}"
basic_auth = f"{user}:{password}".encode()
login_headers = {'Content-Type': 'application/json',
                 'Authorization': f'Basic {b64encode(basic_auth).decode()}'}

print("\nLogin request ...\n")
response = requests.post(login_url, headers=login_headers, verify=False)
token = json.loads(response.content.decode())['data']['token']
print(token)

# New authorization header with the JWT we got
requests_headers = {'Content-Type': 'application/json',
                    'Authorization': f'Bearer {token}'}

print("\n- API calls with TOKEN environment variable ...\n")

print("Getting API information:")

response = requests.get(f"{protocol}://{host}:{port}/?pretty=true", headers=requests_headers, verify=False)
print(response.text)

print("\nGetting agents status summary:")

response = requests.get(f"{protocol}://{host}:{port}/agents/summary/status?pretty=true", headers=requests_headers, verify=False)
print(response.text)

print("\nEnd of the script.\n")
```

`<span class="pre"><WAZUH_API_USER></span>`ve `<span class="pre"><WAZUH_API_PASSWORD></span>`ifadelerini doğru bilgilerle değiştirin .

Python `<span class="pre">requests</span>`modülünü kurun:

```
python3 -m pip install requests
```

<p class="callout info">Not: Python modülü `<span class="pre">urllib3</span>`sürüm 2.0 ve üzeri yalnızca OpenSSL sürüm 1.1.1 veya üzerini destekler. Sisteminizde daha eski bir OpenSSL sürümü varsa, şunlardan birini yapmanız gerekir:  
  
- OpenSSL'i 1.1.1 veya daha üst bir sürüme yükseltin.  
- `<span class="pre">urllib3</span>`Mevcut OpenSSL sürümünüzle uyumlu bir sürüme geçin .</p>

Uyumluluk sorunlarını önlemek için lütfen yazılım bağımlılıklarınızın düzgün bir şekilde hizalandığından emin olun.

Python betiğini çalıştırın `<span class="pre">wazuh_api_authenticator.py</span>`:

```
python3 wazuh_api_authenticator.py
```

<div aria-expanded="true" class="output highlight-none notranslate collapsible expanded"><div class="output-title" role="button">**Output**</div></div>```
Login request ...
eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJpc3MiOiJ3YXp1aCIsImF1ZCI6IldhenVoIEFQSSBSRVNUIiwibmJmIjoxNjAyMjMxNjU2LCJleHAiOjE2MDIyMzUyNTYsInN1YiI6IndhenVoIiwicmJhY19yb2xlcyI6WzFdLCJyYmFjX21vZGUiOiJ3aGl0ZSJ9.V60_otHPaT4NTkrS6SF3GHva0Z9r5p4mqe5Cn0hk4o4
- API calls with TOKEN environment variable ...
Getting API information:
{
   "data": {
      "title": "Wazuh API REST",
      "api_version": "4.7.4",
      "revision": 40717,
      "license_name": "GPL 2.0",
      "license_url": "https://github.com/wazuh/wazuh/blob/master/LICENSE",
      "hostname": "wazuh-master",
      "timestamp": "2024-05-14T21:34:15Z"
   },
   "error": 0
}
Getting agents status summary:
{
   "data": {
       "connection": {
           "active": 1,
           "disconnected": 0,
           "never_connected": 0,
           "pending": 0,
           "total": 1
       },
       "configuration": {
           "synced": 1,
           "not_synced": 0,
           "total": 1
       }
   },
   "error": 0
}
End of the script.
```

</section><section id="bkmrk-bash-beti%C4%9Fiyle-oturu">#### Bash Script Oturum Açma

Ayrıca bir Bash betiği kullanarak Wazuh sunucu API'sine kimlik doğrulaması yapabilirsiniz. Aşağıdaki betik, `<span class="pre">wazuh_api_authenticator.sh</span>`bir JWT elde etmek için Wazuh sunucu API'siyle kimlik doğrulaması yapar. Daha sonra Wazuh aracıları tarafından kullanılan işletim sistemlerinin bir özetini almak için istek başlığındaki belirteci kullanır.

```
#!/bin/bash

echo -e "\n- Getting token...\n"

TOKEN=$(curl -u <WAZUH_API_USER>:<WAZUH_API_PASSWORD> -k -X POST "https://localhost:55000/security/user/authenticate?raw=true")

echo -e "\n- API calls with TOKEN environment variable ...\n"

echo -e "Getting default information:\n"

curl -k -X GET "https://localhost:55000/?pretty=true" -H  "Authorization: Bearer $TOKEN"

echo -e "\n\nGetting /agents/summary/os:\n"

curl -k -X GET "https://localhost:55000/agents/summary/os?pretty=true" -H  "Authorization: Bearer $TOKEN"

echo -e "\n\nEnd of the script.\n"
```

`<span class="pre"><WAZUH_API_USER></span>`ve `<span class="pre"><WAZUH_API_PASSWORD></span>`öğesini doğru kimlik bilgileriyle değiştirin

Bash betiğini çalıştırın `<span class="pre">wazuh_api_authenticator.sh</span>`:

```
bash wazuh_api_authenticator.sh
```

<div aria-expanded="true" class="output highlight-none notranslate collapsible expanded"><div class="output-title" role="button">**Output**</div></div>```
- Getting token...
Total    % Received % Xferd  Average Speed   Time    Time     Time  Current
                                 Dload  Upload   Total   Spent    Left  Speed
100  3059  100  3059    0     0  17089      0 --:--:-- --:--:-- --:--:-- 17089
- API calls with TOKEN environment variable ...
Getting default information:
{
   "data": {
      "title": "Wazuh API REST",
      "api_version": "4.7.4",
      "revision": 40717,
      "license_name": "GPL 2.0",
      "license_url": "https://github.com/wazuh/wazuh/blob/master/LICENSE",
      "hostname": "wazuh-master",
      "timestamp": "2024-05-14T21:34:15Z"
   },
   "error": 0
}
Getting /agents/summary/os:
{
    "data": {
        "affected_items": [
            "windows"
        ],
        "total_affected_items": 1,
        "total_failed_items": 0,
        "failed_items": []
    },
    "message": "Showing the operative system of all specified agents",
    "error": 0
}
End of the script.
```

</section></section><section id="bkmrk-wazuh-sunucusu-api-%C4%B0">### Wazuh Sunucusu API İsteğini ve Yanıtını Anlama

</section></section><section id="bkmrk-standart-bir-wazuh-s"><section id="bkmrk-standart-bir-wazuh-s-1">Standart bir Wazuh sunucusu API isteği üç temel bileşenden oluşur: istek yöntemi (GET, POST, PUT veya DELETE), erişilen uç noktayı belirten API URL'si ve yetkilendirme başlığı. Bu başlık, isteği doğrulamak ve yetkilendirmek için bir JWT içermelidir. Aşağıda bir cURL isteği örneği verilmiştir:

```
curl -k -X GET "https://localhost:55000/agents/summary/os?pretty=true" -H  "Authorization: Bearer $TOKEN"
```

Her istek için cURL komutu aşağıdaki alanları içerir:

<table class="docutils align-default"><thead><tr class="row-odd"><th class="head">**Alan**

</th><th class="head">**Tanım**

</th></tr></thead><tbody><tr class="row-even"><td>`<span class="pre">-X</span> <span class="pre">GET/POST/PUT/DELETE</span>`

</td><td>HTTP sunucusuyla iletişim kurarken kullanılacak bir istek yöntemi belirtin.

</td></tr><tr class="row-odd"><td>`<span class="pre">http://<WAZUH_MANAGER_IP>:55000/<ENDPOINT></span>` `<span class="pre">https://<WAZUH_MANAGER_IP>:55000/<ENDPOINT></span>`

</td><td>Kullanılacak API URL'si. API'de SSL'nin aktif olup olmadığına bağlı olarak `<span class="pre">http</span>`belirtin .`<span class="pre">https</span>`

</td></tr><tr class="row-even"><td>`<span class="pre">-H</span> <span class="pre">"Authorization:</span> <span class="pre">Bearer</span> <span class="pre"><YOUR_JWT_TOKEN>"</span>`

</td><td>JWT'yi belirtmek için isteğe ek bir başlık ekleyin.

</td></tr><tr class="row-odd"><td>`<span class="pre">-k</span>`

</td><td>SSL sertifika hatalarını bastırın (yalnızca varsayılan kendi kendine imzalı sertifikaları kullanıyorsanız).

</td></tr></tbody></table>

Tüm yanıtlar JSON formatındadır ve çoğu şu yapıyı takip eder:

<table class="docutils align-default" style="width: 100%;"><thead><tr class="row-odd"><th class="head" style="width: 13.4756%;">**Alan**

</th><th class="head" style="width: 36.4809%;">**İsteğe bağlı alt alanlar**

</th><th class="head" style="width: 49.9358%;">**Tanım**

</th></tr></thead><tbody><tr class="row-even"><td rowspan="4" style="width: 13.4756%;">veri

</td><td style="width: 36.4809%;">etkilenen\_öğeler

</td><td style="width: 49.9358%;">İstekte başarıyla etkilenen öğelerin her birini listeleyin.

</td></tr><tr class="row-odd"><td style="width: 36.4809%;">toplam\_etkilenen\_öğeler

</td><td style="width: 49.9358%;">Başarıyla etkilenen öğelerin toplam sayısı.

</td></tr><tr class="row-even"><td style="width: 36.4809%;">başarısız\_öğeler

</td><td style="width: 49.9358%;">İstekteki başarısız olan her öğeyi içeren liste.

</td></tr><tr class="row-odd"><td style="width: 36.4809%;">toplam\_başarısız\_öğeler

</td><td style="width: 49.9358%;">Başarısız olan öğelerin toplam sayısı.

</td></tr><tr class="row-even"><td style="width: 13.4756%;">mesaj

</td><td style="width: 36.4809%;"> </td><td style="width: 49.9358%;">Sonuç açıklaması.

</td></tr><tr class="row-odd"><td style="width: 13.4756%;">hata

</td><td style="width: 36.4809%;"> </td><td style="width: 49.9358%;">HTTP yanıtları için `<span class="pre">200</span>`, yanıtın tamamlanmış ( `<span class="pre">0</span>`), başarısız ( `<span class="pre">1</span>`) veya kısmi ( `<span class="pre">2</span>`) olup olmadığını belirler. HTTP `<span class="pre">4xx</span>`veya `<span class="pre">5xx</span>`yanıtları için, başarısızlıkla ilgili hata kodunu belirler.

</td></tr></tbody></table>

- Varsayılan olarak, veri koleksiyonları içeren yanıtlar en fazla 500 öğe döndürür. Büyük koleksiyonlar arasında yineleme yapmak için `<span class="pre">offset</span>`ve parametrelerini kullanabilirsiniz . Parametre 100.000 öğeye kadar izin verse de, zaman aşımı ve aşırı büyük yanıtlar gibi beklenmeyen davranışları önlemek için varsayılan 500 öğe sınırını aşmamanızı öneririz. Dikkatli kullanın.`<span class="pre">limit</span>``<span class="pre">limit</span>`
- Tüm yanıtlar bir HTTP durum kodu içerir: 2xx (başarılı), 4xx (istemci hatası), 5xx (sunucu hatası), vb.
- Tüm istekler ( ve hariç) JSON yanıtını daha okunabilir bir biçime dönüştürmek için parametreyi kabul eder .`<span class="pre">POST</span> <span class="pre">/security/user/authenticate</span>``<span class="pre">POST</span> <span class="pre">/security/user/authenticate/run_as</span>``<span class="pre">pretty</span>`
- Wazuh sunucu API'si, seçilen günlük biçimine bağlı olarak günlükleri `<span class="pre">api.log</span>`veya `<span class="pre">api.json</span>`dosyalarında depolar. Bu günlük dosyaları Wazuh sunucusunda bulunur . [<span class="std std-ref">Wazuh API yapılandırma dosyasında</span>](https://acikkaynak.lastguard.com.tr/books/kullanim-kilavuzu/page/yapilandirma)`<span class="pre">/var/ossec/logs/</span>` ayrıntı düzeyini değiştirebilirsiniz .
- Wazuh API günlükleri varsayılan olarak zamana göre döndürülür. Döndürme yalnızca günlüğe yeni bir giriş eklendikten sonra gerçekleşir. Örneğin, zaman tabanlı döndürme, her gece yarısı olmasa da farklı bir günde yeni bir giriş eklendiğinde tetiklenir. Döndürülmüş günlükler . `<span class="pre">/var/ossec/logs/api/<year>/<month>/</span>`kullanılarak depolanır ve sıkıştırılır `<span class="pre">gzip</span>`.
- `<span class="pre">request_timeout</span>`Sunucu API yapılandırma dosyasının alanında tanımlanan zaman süresinden sonra yanıt alınmazsa tüm Wazuh sunucu API istekleri iptal edilir `<span class="pre">/var/ossec/api/configuration/api.yaml</span>`. Bu zaman aşımını devre dışı bırakmak için parametreyi kullanabilirsiniz ; bu, özellikle [PUT /agents/upgrade](https://documentation.wazuh.com/current/user-manual/api/reference.html#operation/api.controllers.agent_controller.put_upgrade_agents)`<span class="pre">wait_for_complete</span>` gibi beklenen süreyi aşabilecek çağrılar için yararlıdır .

<p class="callout info">Not: Maksimum API yanıt süresini ayarlamak için Wazuh sunucusundaki dosyadaki `<span class="pre">request_timeout</span>`değeri güncelleyin.`<span class="pre">/var/ossec/api/configuration/api.yaml</span>`</p>

Hata içermeyen örnek yanıt (HTTP durum kodu 200):

<div aria-expanded="true" class="output highlight-none notranslate collapsible expanded"><div class="output-title" role="button">**Output**</div></div>```
{
  "data": {
    "affected_items": [
      "master-node",
      "worker1"
    ],
    "total_affected_items": 2,
    "failed_items": [],
    "total_failed_items": 0
  },
  "message": "Restart request sent to all specified nodes",
  "error": 0
}
```

Hatalı örnek yanıt (HTTP durum kodu 200):

<div aria-expanded="true" class="output highlight-none notranslate collapsible expanded"><div class="output-title" role="button">**Output**</div></div>```
{
  "data": {
    "affected_items": [],
    "total_affected_items": 0,
    "total_failed_items": 4,
    "failed_items": [
      {
        "error": {
          "code": 1707,
          "message": "Cannot send request, agent is not active",
          "remediation": "Please, check non-active agents connection and try again. Visit
          https://documentation.wazuh.com/current/user-manual/registering/index.html and
          https://documentation.wazuh.com/current/user-manual/agents/agent-connection.html
          to obtain more information on registering and connecting agents"
        },
        "id": [
          "001",
          "002",
          "009",
          "010"
        ]
      },
    ]
  },
  "message": "Restart command was not sent to any agent",
  "error": 1
}
```

Kısmi yanıt örneği (HTTP durum kodu 200):

<div aria-expanded="true" class="output highlight-none notranslate collapsible expanded"><div class="output-title" role="button">**Output**</div></div>```
{
  "data": {
    "affected_items": [
      {
        "ip": "10.0.0.9",
        "id": "001",
        "name": "Carlos",
        "dateAdd": "2020-10-07T08:14:32Z",
        "node_name": "unknown",
        "registerIP": "10.0.0.9",
        "status": "never_connected"
      }
    ],
    "total_affected_items": 1,
    "total_failed_items": 1,
    "failed_items": [
      {
        "error": {
          "code": 1701,
          "message": "Agent does not exist",
          "remediation": "Please, use `GET /agents?select=id,name` to find all available agents"
        },
        "id": [
          "005"
        ]
      }
    ]
  },
  "message": "Some agents information was not returned",
  "error": 2
}
```

Yetkisiz bir isteği bildirmek için örnek yanıt (HTTP durum kodu 401):

<div aria-expanded="true" class="output highlight-none notranslate collapsible expanded"><div class="output-title" role="button">**Output**</div></div>```
{
  "title": "Unauthorized",
  "detail": "The server could not verify that you are authorized to access the URL requested. You either supplied the wrong credentials (e.g. a bad password), or your browser doesn't understand how to supply the credentials required.",
}
```

İzin reddedildi hatasını (HTTP durum kodu 403) bildirmek için örnek yanıt:

<div aria-expanded="true" class="output highlight-none notranslate collapsible expanded"><div class="output-title" role="button">**Output**</div></div>```
{
  "title": "Permission Denied",
  "detail": "Permission denied: Resource type: *:*",
  "remediation": "Please, make sure you have permissions to execute the current request. For more information on how to set up permissions, please visit https://documentation.wazuh.com/current/user-manual/api/rbac/configuration.html",
  "error": 4000,
  "dapi_errors": {
    "unknown-node": {
      "error": "Permission denied: Resource type: *:*"
    }
  }
}
```

</section><section id="bkmrk-wazuh-sunucu-api-kul">### Wazuh Sunucu API Kullanımına İlişkin Pratik Örnekler

Bu bölümde, cURL, Python betikleri ve PowerShell betikleri kullanarak Wazuh sunucu API'sine çeşitli istek türlerinin nasıl gönderileceğini gösteriyoruz. Bu örnekler, öngörebileceğiniz daha gelişmiş kullanım durumları için temel bilgi görevi görür.

<section id="bkmrk-curl-curl%2C-http%2Fhttp">#### CURL

cURL, HTTP/HTTPS istekleri ve komutları göndermek için bir komut satırı aracıdır. Birçok Linux ve macOS uç noktasına önceden yüklenmiş olarak gelir ve kullanıcıların Wazuh sunucu API'siyle doğrudan komut satırından etkileşim kurmasını sağlar. Herhangi bir uç noktayı yürütmeden önce bir JWT edinmeniz gerektiğini unutmayın. Aşağıdaki örneklerde, belirteci almak ve onu bir ortam değişkeni ( `<span class="pre">$TOKEN</span>`) olarak kaydetmek için ham seçeneğini kullanıyoruz. JWT edinmeyle ilgili ayrıntılı talimatlar için lütfen <span class="std std-ref">başlarken</span> bölümüne bakın.

<section id="bkmrk-get-a%C5%9Fa%C4%9F%C4%B1daki-get-is">##### GET

Aşağıdaki GET isteği, Wazuh sunucu API'si hakkında başlık, sürüm, revizyon, lisans, ana bilgisayar adı ve geçerli zaman damgası gibi temel bilgileri alır:

```
# curl -k -X GET "https://localhost:55000/" -H  "Authorization: Bearer $TOKEN"
```

<div aria-expanded="true" class="output highlight-none notranslate collapsible expanded"><div class="output-title" role="button">**Output**</div></div>```
{
    "data": {
        "title": "Wazuh API",
        "api_version": "4.7.4",
        "revision": 40717,
        "license_name": "GPL 2.0",
        "license_url": "https://github.com/wazuh/wazuh/blob/master/LICENSE",
        "hostname": "wazuh-master",
        "timestamp": "2024-05-14T21:34:15Z"
    },
    "error": 0
}
```

</section><section id="bkmrk-post-wazuh-sunucusu-">##### POST

Wazuh sunucusu API'sine yapılan aşağıdaki POST isteği, istek gövdesinde kullanıcı adı `<span class="pre">test_user</span>`ve parola belirtilerek Wazuh sunucusunda yeni bir kullanıcı oluşturur .`<span class="pre">Test_user1</span>`

```
curl -k -X POST "https://localhost:55000/security/users" -H  "Authorization: Bearer $TOKEN" -H  "Content-Type: application/json" -d "{\"username\":\"test_user\",\"password\":\"Test_user1\"}"
```

<div aria-expanded="true" class="output highlight-none notranslate collapsible expanded"><div class="output-title" role="button">**Output**</div></div>```
{
  "data": {
    "affected_items": [
      {
        "username": "test_user",
        "roles": []
      }
    ],
    "total_affected_items": 1,
    "total_failed_items": 0,
    "failed_items": []
  },
  "message": "User was successfully created",
  "error": 0
}
```

</section><section id="bkmrk-delete-wazuh-sunucus">##### DELETE

Wazuh sunucusu API'sine gönderilen aşağıdaki DELETE isteği, Wazuh sunucusundaki tüm aracı gruplarını siler.

```
curl -k -X DELETE "https://localhost:55000/groups?pretty=true&groups_list=all" -H  "Authorization: Bearer $TOKEN"
```

<div aria-expanded="true" class="output highlight-none notranslate collapsible expanded"><div class="output-title" role="button">**Output**</div></div>```
{
  "data": {
    "affected_items": [
      "group1",
      "group2",
      "group3"
    ],
    "total_affected_items": 3,
    "total_failed_items": 0,
    "failed_items": [],
    "affected_agents": [
      "001",
      "002",
      "003",
      "005",
      "006",
      "007",
      "008",
      "009",
      "010"
    ]
  },
  "message": "All selected groups were deleted",
  "error": 0
}
```

</section></section><section id="bkmrk-python-ba%C4%9Flant%C4%B1s%C4%B1-ke">#### Python

Bağlantısı kesilen aracılar hakkında, son canlı tutma süreleri ve kimlikleri dahil olmak üzere bilgi almak için bir Python betiği kullanabilirsiniz. Bunu yapmak için, betik önce bir taşıyıcı belirteci almak için temel kimlik doğrulamasını kullanarak Wazuh sunucu API'siyle kimlik doğrulaması yapar, ardından gerekli bilgileri almak için bir GET isteği yapar.

Aşağıdaki Python betiğini şu şekilde kaydedin `<span class="pre">get_agent_keep_alive.py</span>`:

```
#!/usr/bin/env python3

import json
from base64 import b64encode

import requests  # To install requests, use: pip install requests
import urllib3

# Configuration
endpoint = '/agents?select=lastKeepAlive&select=id&status=disconnected'

protocol = 'https'
host = '<WAZUH_SERVER_API_IP>'
port = '<WAZUH_SERVER_API_PORT>'
user = '<WAZUH_API_USER>'
password = '<WAZUH_API_PASSWORD>'

# Disable insecure https warnings (for self-signed SSL certificates)
urllib3.disable_warnings(urllib3.exceptions.InsecureRequestWarning)

# Functions
def get_response(request_method, url, headers, verify=False, body=None):
    """Get API result"""
    if body is None:
        body = {}

    request_result = getattr(requests, request_method.lower())(url, headers=headers, verify=verify, data=body)

    if request_result.status_code == 200:
        return json.loads(request_result.content.decode())
    else:
        raise Exception(f"Error obtaining response: {request_result.json()}")

# Variables
base_url = f"{protocol}://{host}:{port}"
login_url = f"{base_url}/security/user/authenticate"
basic_auth = f"{user}:{password}".encode()
headers = {
           'Authorization': f'Basic {b64encode(basic_auth).decode()}',
           'Content-Type': 'application/json'
           }
headers['Authorization'] = f'Bearer {get_response("POST", login_url, headers)["data"]["token"]}'

# Request
response = get_response("GET", url=base_url + endpoint, headers=headers)

# WORK WITH THE RESPONSE AS YOU LIKE
print(json.dumps(response, indent=4, sort_keys=True))
```

Aşağıdaki değişkenleri değiştirin:

- `<span class="pre"><WAZUH_SERVER_API_IP></span>`Wazuh sunucunuzun IP adresi ile.
- `<span class="pre"><WAZUH_SERVER_API_PORT></span>`Wazuh sunucusu API port numarasıyla (varsayılan olarak port 5500).
- `<span class="pre"><WAZUH_API_USER></span>`ve `<span class="pre"><WAZUH_API_PASSWORD></span>`doğru belgelerle.

Python `<span class="pre">requests</span>`modülünü kurun:

```
python3 -m pip install requests
```

<p class="callout info">Not: Python modülü `<span class="pre">urllib3</span>`sürüm 2.0 ve üzeri yalnızca OpenSSL sürüm 1.1.1 veya üzerini destekler. Sisteminizde daha eski bir OpenSSL sürümü varsa, şunlardan birini yapmanız gerekir:  
- OpenSSL'i 1.1.1 veya daha üst bir sürüme yükseltin.  
- `<span class="pre">urllib3</span>`Mevcut OpenSSL sürümünüzle uyumlu bir sürüme geçin.  
Uyumluluk sorunlarını önlemek için lütfen yazılım bağımlılıklarınızın düzgün bir şekilde hizalandığından emin olun.</p>

Bağlantısı kesilen aracılar hakkında bilgi almak için Python betiğini çalıştırın:

```
python3 get_agent_keep_alive.py
```

<div aria-expanded="true" class="output highlight-none notranslate collapsible expanded"><div class="output-title" role="button">**Output**</div></div>```
{
    "data": {
        "affected_items": [
            {
                "id": "009",
                "lastKeepAlive": "2020-05-23T12:39:50Z"
            },
            {
                "id": "010",
                "lastKeepAlive": "2020-05-23T12:39:50Z"
            }
        ],
        "failed_items": [],
        "total_affected_items": 2,
        "total_failed_items": 0
    },
    "message": "All selected agents information was returned",
    "error": 0
}
```

</section><section id="bkmrk-g%C3%BC%C3%A7-kabu%C4%9Fu-ba%C4%9Flant%C4%B1s">#### Güç Kabuğu

Bağlantısı kesilen aracıların son canlı tutma süreleri ve kimlikleri dahil olmak üzere ayrıntıları almak için bir PowerShell betiği de kullanabilirsiniz. Bunu yapmak için, betik önce bir taşıyıcı belirteci almak için temel kimlik doğrulamasını kullanarak Wazuh sunucu API'siyle kimlik doğrulaması yapar, ardından gerekli bilgileri almak için bir GET isteği yapar.

Aşağıdaki PowerShell betiğini şu şekilde kaydedin `<span class="pre">get_agent_keep_alive.ps1</span>`:

```
function Ignore-SelfSignedCerts {
    add-type @"
        using System.Net;
        using System.Security.Cryptography.X509Certificates;

        public class PolicyCert : ICertificatePolicy {
            public PolicyCert() {}
            public bool CheckValidationResult(
                ServicePoint sPoint, X509Certificate cert,
                WebRequest wRequest, int certProb) {
                return true;
            }
        }
"@
    [System.Net.ServicePointManager]::CertificatePolicy = new-object PolicyCert
}

# Configuration
$endpoint = "/agents?select=lastKeepAlive&select=id&status=disconnected"
$method = "get"

$protocol = "https"
$host_name = "<WAZUH_SERVER_API_IP>"
$port = "<WAZUH_SERVER_API_PORT>"
$username = "<WAZUH_API_USER>"
$password = "<WAZUH_API_PASSWORD>"

# Variables
$base_url = $protocol + "://" + $host_name + ":" + $port
$login_url = $base_url + "/security/user/authenticate"
$endpoint_url = $base_url + $endpoint
$base64AuthInfo = [Convert]::ToBase64String([Text.Encoding]::ASCII.GetBytes(("{0}:{1}" -f $username, $password)))
$headers = New-Object "System.Collections.Generic.Dictionary[[String],[String]]"
$headers.Add("Content-Type", 'application/json')
$headers.Add("Authorization", "Basic " + $base64AuthInfo)

Ignore-SelfSignedCerts
$token_response = Invoke-RestMethod -Uri $login_url -Headers $headers
$headers["Authorization"] = "Bearer " + $token_response.data.token

# Request
try{
    $response = Invoke-RestMethod -Method $method -Uri $endpoint_url -Headers $headers
}catch{
    $response = $_.Exception.Response
}

# WORK WITH THE RESPONSE AS YOU LIKE
Write-Output $response.data
```

Aşağıdaki değişkenleri değiştirin:

- `<span class="pre"><WAZUH_SERVER_API_IP></span>`Wazuh sunucunuzun IP adresi ile.
- `<span class="pre"><WAZUH_SERVER_API_PORT></span>`Wazuh sunucusu API port numarasıyla (varsayılan olarak port 5500).
- `<span class="pre"><WAZUH_API_USER></span>`ve `<span class="pre"><WAZUH_API_PASSWORD></span>`doğru belgelerle.

Bağlantısı kesilen aracılar hakkında bilgi almak için Windows uç noktasında PowerShell betiğini çalıştırın:

```
powershell .\get_agent_keep_alive.py
```

<div aria-expanded="true" class="output highlight-none notranslate collapsible expanded"><div class="output-title" role="button">**Output**</div><div class="highlight" data-pagefind-weight="0.5">  
</div></div>```
affected_items                                   total_affected_items total_failed_items failed_items
--------------                                   -------------------- ------------------ ------------
{@{lastKeepAlive=2020-05-23T12:39:50Z; id=009},  2                    0                  {}
@{lastKeepAlive=2020-05-23T12:39:50Z; id=010}}
```

</section></section></section>

# Yapılandırma

<p class="callout info">Not: Wazuh sunucu API'sini nasıl koruyacağınız hakkında daha fazla bilgi için lütfen [<span class="doc">Wazuh sunucu API'sini güvence altına alma</span>](https://acikkaynak.lastguard.com.tr/books/kullanim-kilavuzu/page/wazuh-sunucu-apisini-guvence-altina-alma) bölümünü inceleyin.</p>

<section id="bkmrk-wazuh-sunucu-api-yap"><span id="bkmrk-"></span>### Wazuh Sunucu API Yapılandırma Dosyası

`<span class="pre">/var/ossec/api/configuration/api.yaml</span>`Wazuh sunucusu API yapılandırması Wazuh sunucusundaki dosyada bulunur . Varsayılan olarak, tüm ayarlar yorum satırına alınır. Farklı bir yapılandırma uygulamak için, yorum satırını kaldırın ve istediğiniz satırı düzenleyin.

Yapılandırma dosyası için tüm kullanılabilir ayarlar şunlardır `<span class="pre">/var/ossec/api/configuration/api.yaml</span>`. Her bir ayar hakkında daha fazla bilgi için <span class="std std-ref">yapılandırma seçeneklerini</span> kontrol edin:

<section id="bkmrk-host%3A-%5B%270.0.0.0%27%2C-%27%3A">```
host: ['0.0.0.0', '::']
port: 55000

drop_privileges: yes
experimental_features: no
max_upload_size: 10485760

intervals:
   request_timeout: 10

https:
   enabled: yes
   key: "server.key"
   cert: "server.crt"
   use_ca: False
   ca: "ca.crt"
   ssl_protocol: "auto"
   ssl_ciphers: ""

logs:
   level: "info"
   format: "plain"
   max_size:
    enabled: false

cors:
   enabled: no
   source_route: "*"
   expose_headers: "*"
   allow_headers: "*"
   allow_credentials: no

access:
   max_login_attempts: 50
   block_time: 300
   max_request_per_minute: 300

upload_configuration:
   remote_commands:
      localfile:
         allow: yes
         exceptions: []
      wodle_command:
         allow: yes
         exceptions: []
   limits:
      eps:
         allow: yes
    agents:
      allow_higher_versions:
         allow: yes
    indexer:
      allow: yes
    integrations:
      virustotal:
         public_key:
            allow: yes
            minimum_quota: 240
```

<p class="callout warning">Uyarı: Bir Wazuh sunucu kümesi çalıştırıldığında, ana düğüm yerel Wazuh sunucu API yapılandırma dosyasını otomatik olarak çalışan düğümlere göndermez. Her düğüm kendi Wazuh sunucu API yapılandırmasını korur. Bu nedenle, ana düğümdeki yapılandırma dosyasında herhangi bir değişiklik yapılırsa, tutarlılığı sağlamak için her çalışan düğümünde yapılandırmayı manuel olarak güncellemelisiniz. Her çalışanın yerel yapılandırmasında IP adresinin ve bağlantı noktasının üzerine yazılmadığından emin olun.</p>

Yapılandırma dosyasını düzenledikten sonra Wazuh yönetici servisini kullanarak Wazuh sunucu API'sini yeniden başlattığınızdan emin olun:  
  
**Systemd**

```
systemctl restart wazuh-manager
```

  
**SysV Başlatma**

```
service wazuh-manager restart
```

### API Yapılandırma Seçenekleri

</section><section id="bkmrk-home-%C4%B0zin-verilen-de"><section id="bkmrk-home-%C4%B0zin-verilen-de-1">#### home

<table class="docutils align-default" style="width: 100%;"><thead><tr class="row-odd"><th class="head" style="width: 31.7721%;">İzin verilen değerler

</th><th class="head" style="width: 16.1959%;">Varsayılan değer

</th><th class="head" style="width: 52.0478%;">Tanım

</th></tr></thead><tbody><tr class="row-even"><td style="width: 31.7721%;">Geçerli IP adresleri veya ana bilgisayar adlarının listesi

</td><td style="width: 16.1959%;">\['0.0.0.0', '::'\]

</td><td style="width: 52.0478%;">Wazuh sunucu API'sinin çalıştığı Wazuh yöneticisinin IP adresleri veya ana bilgisayar adları.

</td></tr></tbody></table>

</section><section id="bkmrk-port-%C4%B0zin-verilen-de">#### port

<table class="docutils align-default" style="width: 99.6296%;"><thead><tr class="row-odd"><th class="head" style="width: 32.2638%;">İzin verilen değerler

</th><th class="head" style="width: 15.882%;">Varsayılan değer

</th><th class="head" style="width: 51.8684%;">Tanım

</th></tr></thead><tbody><tr class="row-even"><td style="width: 32.2638%;">1 ile 65535 arasındaki herhangi bir değer

</td><td style="width: 15.882%;">55000

</td><td style="width: 51.8684%;">Wazuh sunucu API'sinin dinleyeceği port.

</td></tr></tbody></table>

</section><section id="bkmrk-use_only_authd-4.3.0">#### use\_only\_authd

  
<p class="callout danger"><span class="versionmodified deprecated">4.3.0 sürümünden itibaren kullanımdan kaldırılmıştır.</span></p>

<table class="docutils align-default" style="width: 99.6296%;"><thead><tr class="row-odd"><th class="head" style="width: 32.0145%;">İzin verilen değerler

</th><th class="head" style="width: 16.1361%;">Varsayılan değer

</th><th class="head" style="width: 51.8636%;">Tanım

</th></tr></thead><tbody><tr class="row-even"><td style="width: 32.0145%;">evet, doğru, hayır, yanlış

</td><td style="width: 16.1361%;">YANLIŞ

</td><td style="width: 51.8636%;">Ajanları kaydederken ve kaldırırken wazuh-authd kullanımını zorunlu kılın.

</td></tr></tbody></table>

</section><section id="bkmrk-drop_privileges-%C4%B0zin">#### drop\_privileges

  
<table class="docutils align-default" style="width: 100.494%; height: 70.9376px;"><thead><tr class="row-odd" style="height: 35.4688px;"><th class="head" style="width: 31.772%; height: 35.4688px;">İzin verilen değerler

</th><th class="head" style="width: 16.3161%; height: 35.4688px;">Varsayılan değer

</th><th class="head" style="width: 51.9256%; height: 35.4688px;">Tanım

</th></tr></thead><tbody><tr class="row-even" style="height: 35.4688px;"><td style="width: 31.772%; height: 35.4688px;">evet, doğru, hayır, yanlış

</td><td style="width: 16.3161%; height: 35.4688px;">doğru

</td><td style="width: 51.9256%; height: 35.4688px;">Wazuh-api işlemini kullanıcı olarak çalıştırın `<span class="pre">wazuh</span>`.

</td></tr></tbody></table>

</section><section id="bkmrk-experimental_feature">#### experimental\_features

  
<table class="docutils align-default" style="width: 99.5062%;"><thead><tr class="row-odd"><th class="head" style="width: 31.5586%;">İzin verilen değerler

</th><th class="head" style="width: 16.2747%;">Varsayılan değer

</th><th class="head" style="width: 52.1818%;">Tanım

</th></tr></thead><tbody><tr class="row-even"><td style="width: 31.5586%;">evet, doğru, hayır, yanlış

</td><td style="width: 16.2747%;">YANLIŞ

</td><td style="width: 52.1818%;">Geliştirme aşamasındaki özellikleri etkinleştirin

</td></tr></tbody></table>

</section>#### max\_upload\_size

  
<table class="docutils align-default" style="width: 100%;"><thead><tr class="row-odd"><th class="head" style="width: 31.6349%;">İzin verilen değerler

</th><th class="head" style="width: 15.8386%;">Varsayılan değer

</th><th class="head" style="width: 52.5423%;">Tanım

</th></tr></thead><tbody><tr class="row-even"><td style="width: 31.6349%;">Herhangi bir pozitif tam sayı

</td><td style="width: 15.8386%;">10485760

</td><td style="width: 52.5423%;">API'nin kabul edebileceği maksimum gövde boyutunu bayt cinsinden ayarlayın (0 -&gt; sınırsız)

</td></tr></tbody></table>

<section id="bkmrk-intervals-%28aral%C4%B1klar">#### intervals (aralıklar)

<table class="docutils align-default" style="width: 100%;"><thead><tr class="row-odd"><th class="head" style="width: 17.3081%;">Alt alanlar

</th><th class="head" style="width: 20.7697%;">İzin verilen değerler

</th><th class="head" style="width: 17.6789%;">Varsayılan değer

</th><th class="head" style="width: 44.2592%;">Tanım

</th></tr></thead><tbody><tr class="row-even"><td style="width: 17.3081%;">request\_timeout

</td><td style="width: 20.7697%;"> </td><td style="width: 17.6789%;">10

</td><td style="width: 44.2592%;">Her API isteği için maksimum yanıt süresini (saniye cinsinden) ayarlayın

</td></tr></tbody></table>

</section><section id="bkmrk-https-alt-alanlar-%C4%B0z">#### https

<table class="docutils align-default" style="width: 100%;"><thead><tr class="row-odd"><th class="head" style="width: 16.8135%;">Alt alanlar

</th><th class="head" style="width: 21.1406%;">İzin verilen değerler

</th><th class="head" style="width: 17.916%;">Varsayılan değer

</th><th class="head" style="width: 44.0221%;">Tanım

</th></tr></thead><tbody><tr class="row-even"><td style="width: 16.8135%;">enabled

</td><td style="width: 21.1406%;">evet, doğru, hayır, yanlış

</td><td style="width: 17.916%;">doğru

</td><td style="width: 44.0221%;">Wazuh sunucu API'sinde SSL'yi (https) etkinleştirin veya devre dışı bırakın.

</td></tr><tr class="row-odd"><td style="width: 16.8135%;">key

</td><td style="width: 21.1406%;">Herhangi bir metin dizesi

</td><td style="width: 17.916%;">sunucu.anahtar

</td><td style="width: 44.0221%;">Özel anahtarın adı. İçinde saklanır `<span class="pre">/var/ossec/api/configuration/ssl</span>`.

</td></tr><tr class="row-even"><td style="width: 16.8135%;">sertifika

</td><td style="width: 21.1406%;">Herhangi bir metin dizesi

</td><td style="width: 17.916%;">sunucu.crt

</td><td style="width: 44.0221%;">Sertifikanın adı. Şurada saklanır `<span class="pre">/var/ossec/api/configuration/ssl</span>`: .

</td></tr><tr class="row-odd"><td style="width: 16.8135%;">use\_ca

</td><td style="width: 21.1406%;">evet, doğru, hayır, yanlış

</td><td style="width: 17.916%;">YANLIŞ

</td><td style="width: 44.0221%;">Bir Sertifika Yetkilisinden alınan sertifikanın kullanılıp kullanılmayacağı.

</td></tr><tr class="row-even"><td style="width: 16.8135%;">ca

</td><td style="width: 21.1406%;">Herhangi bir metin dizesi

</td><td style="width: 17.916%;">yaklaşık.krt

</td><td style="width: 44.0221%;">Sertifika Yetkilisinin (CA) sertifikasının adı. İçinde saklanır `<span class="pre">/var/ossec/api/configuration/ssl</span>`.

</td></tr><tr class="row-odd"><td style="width: 16.8135%;">ssl\_protocol

</td><td style="width: 21.1406%;">TLS, TLSv1, TLSv1.1, TLSv1.2, otomatik

</td><td style="width: 17.916%;"><span class="versionmodified added">4.8.0 sürümündeki yenilikler.</span>

otomatik

</td><td style="width: 44.0221%;">SSL protokolüne izin vermek için. Değeri büyük/küçük harfe duyarlı değildir.

</td></tr><tr class="row-even"><td style="width: 16.8135%;">ssl\_ciphers

</td><td style="width: 21.1406%;">Herhangi bir metin dizesi

</td><td style="width: 17.916%;">Hiçbiri

</td><td style="width: 44.0221%;">SSL şifrelerine izin verilir. Değeri büyük/küçük harfe duyarlı değildir.

</td></tr></tbody></table>

</section><section id="bkmrk-logs-alt-alanlar-%C4%B0zi">#### logs

<table class="docutils align-default" style="width: 100%;"><thead><tr class="row-odd"><th class="head" style="width: 16.6899%;">Alt alanlar

</th><th class="head" style="width: 21.1406%;">İzin verilen değerler

</th><th class="head" style="width: 18.2971%;">Varsayılan değer

</th><th class="head" style="width: 43.8883%;">Tanım

</th></tr></thead><tbody><tr class="row-even"><td style="width: 16.6899%;">level

</td><td style="width: 21.1406%;">devre dışı, bilgi, uyarı, hata, hata ayıklama, debug2 (her seviye bir önceki seviyeyi içerir)

</td><td style="width: 18.2971%;">bilgi

</td><td style="width: 43.8883%;">Wazuh sunucusu API günlüklerinin ayrıntı düzeyini ayarlayın.

</td></tr><tr class="row-odd"><td style="width: 16.6899%;">path

</td><td style="width: 21.1406%;">Herhangi bir metin dizesi.

</td><td style="width: 18.2971%;">günlükler/api.log

</td><td style="width: 43.8883%;"><span class="versionmodified deprecated">4.3.0 sürümünden itibaren kullanımdan kaldırılmıştır.</span>

Wazuh sunucusu API kayıtlarının kaydedileceği yol.

</td></tr><tr class="row-even"><td style="width: 16.6899%;">format

</td><td style="width: 21.1406%;"> </td><td style="width: 18.2971%;">ova

</td><td style="width: 43.8883%;"><span class="versionmodified added">4.4.0 sürümündeki yenilikler.</span>

Wazuh sunucusu API günlüklerinin biçimini ayarlayın.

</td></tr></tbody></table>

</section></section></section><section id="bkmrk-alt-alanlar-%C4%B0zin-ver"><section id="bkmrk-g%C3%BCnl%C3%BCklerbu-ba%C5%9Fl%C4%B1%C4%9Fa-"></section><section id="bkmrk-maksimum_boyutbu-ba%C5%9F">#### max\_size

  
<p class="callout danger"><span class="versionmodified added">4.6.0 sürümündeki yenilikler.</span></p>

<table class="docutils align-default" style="width: 100%;"><thead><tr class="row-odd"><th class="head" style="width: 16.4427%;">Alt alanlar

</th><th class="head" style="width: 21.1354%;">İzin verilen değerler

</th><th class="head" style="width: 18.9204%;">Varsayılan değer

</th><th class="head" style="width: 43.5174%;">Tanım

</th></tr></thead><tbody><tr class="row-even"><td style="width: 16.4427%;">enabled

</td><td style="width: 21.1354%;">evet, doğru, hayır, yanlış

</td><td style="width: 18.9204%;">YANLIŞ

</td><td style="width: 43.5174%;">Zaman tabanlı ve boyut tabanlı Wazuh API günlük döndürme arasında geçiş yapın. Bu seçeneği etkinleştirmek zaman tabanlı döndürmeyi devre dışı bırakır ve bunun yerine dosya boyutuna dayalı döndürmeyi etkinleştirir.

</td></tr><tr class="row-odd"><td style="width: 16.4427%;">size

</td><td style="width: 21.1354%;">Geçerli bir birimden sonra gelen herhangi bir pozitif sayı. Kilobayt için K/k, megabayt için M/m.

</td><td style="width: 18.9204%;">1M

</td><td style="width: 43.5174%;">Boyut tabanlı günlük döndürmeyi tetiklemeyecek şekilde maksimum dosya boyutunu ayarlayın. 1 M'den düşük değerler 1 M olarak kabul edilir.

</td></tr></tbody></table>

</section><section id="bkmrk-korsbu-ba%C5%9Fl%C4%B1%C4%9Fa-kal%C4%B1c">#### cors

<table class="docutils align-default" style="width: 100%;"><thead><tr class="row-odd"><th class="head" style="width: 16.4427%;">Alt alanlar

</th><th class="head" style="width: 21.6351%;">İzin verilen değerler

</th><th class="head" style="width: 18.9003%;">Varsayılan değer

</th><th class="head" style="width: 43.0379%;">Tanım

</th></tr></thead><tbody><tr class="row-even"><td style="width: 16.4427%;">enabled

</td><td style="width: 21.6351%;"> </td><td style="width: 18.9003%;">YANLIŞ

</td><td style="width: 43.0379%;">Wazuh sunucu API'sinde CORS kullanımını etkinleştirin veya devre dışı bırakın.

</td></tr><tr class="row-odd"><td style="width: 16.4427%;">source\_route

</td><td style="width: 21.6351%;">Herhangi bir metin dizesi

</td><td style="width: 18.9003%;">`<span class="pre">*</span>`

</td><td style="width: 43.0379%;">Kaynakların mevcut olacağı kaynaklar. Örneğin `<span class="pre">http://client.example.org</span>`.

</td></tr><tr class="row-even"><td style="width: 16.4427%;">expose\_headers

</td><td style="width: 21.6351%;">Herhangi bir metin dizesi

</td><td style="width: 18.9003%;">`<span class="pre">*</span>`

</td><td style="width: 43.0379%;">Hangi başlıkların yanıtın bir parçası olarak açığa çıkarılabileceği.

</td></tr><tr class="row-odd"><td style="width: 16.4427%;">allow\_headers

</td><td style="width: 21.6351%;"> </td><td style="width: 18.9003%;">`<span class="pre">*</span>`

</td><td style="width: 43.0379%;">Gerçek istek sırasında hangi HTTP başlıklarının kullanılabileceği.

</td></tr><tr class="row-even"><td style="width: 16.4427%;">allow\_credentials

</td><td style="width: 21.6351%;">evet, doğru, hayır, yanlış

</td><td style="width: 18.9003%;">YANLIŞ

</td><td style="width: 43.0379%;">Tarayıcılara yanıtın ön uç JavaScript'e açılıp açılmayacağını söyleyin.

</td></tr></tbody></table>

</section><section id="bkmrk-eri%C5%9Fimbu-ba%C5%9Fl%C4%B1%C4%9Fa-kal"><span id="bkmrk--3"></span>### access (erişim)

<table class="docutils align-default" style="width: 100%;"><thead><tr class="row-odd"><th class="head" style="width: 16.0609%;">Alt alanlar

</th><th class="head" style="width: 22.5113%;">İzin verilen değerler

</th><th class="head" style="width: 18.7916%;">Varsayılan değer

</th><th class="head" style="width: 42.652%;">Tanım

</th></tr></thead><tbody><tr class="row-even"><td style="width: 16.0609%;">max\_login\_attempts

</td><td style="width: 22.5113%;">Herhangi bir pozitif tam sayı

</td><td style="width: 18.7916%;">50

</td><td style="width: 42.652%;">Belirtilen saniye sayısı içerisinde yapılabilecek maksimum oturum açma girişimi sayısını ayarlayın `<span class="pre">block_time</span>`.

</td></tr><tr class="row-odd"><td style="width: 16.0609%;">block\_time

</td><td style="width: 22.5113%;"> </td><td style="width: 18.7916%;">300

</td><td style="width: 42.652%;">Oturum açma isteklerini denemek için belirlenen zaman aralığı (saniye cinsinden). Belirlenen istek sayısı ( `<span class="pre">max_login_attempts</span>`) bu zaman sınırı içinde aşılırsa, IP adresi blok zaman aralığının sonuna kadar engellenir.

</td></tr><tr class="row-even"><td style="width: 16.0609%;">max\_request\_per\_minute

</td><td style="width: 22.5113%;">Herhangi bir pozitif tam sayı

</td><td style="width: 18.7916%;">300

</td><td style="width: 42.652%;">Dakikada izin verilen maksimum istek sayısı. Kimlik doğrulama istekleri hariç tüm Wazuh sunucu API uç noktaları için geçerlidir. Bu sınıra bir dakikadan kısa sürede ulaşılması, kalan süre boyunca herhangi bir kullanıcıdan gelen tüm istekleri engeller. Bir değeri `<span class="pre">0</span>`bu özelliği devre dışı bırakır. İstekler için, etkili değer 30'dan büyük değerler içindir.`<span class="pre">POST</span> <span class="pre">/events</span>``<span class="pre">30</span>`

</td></tr></tbody></table>

</section><section id="bkmrk-y%C3%BCkleme_yap%C4%B1land%C4%B1rma">#### upload\_configuration

  
<p class="callout danger"><span class="versionmodified added">4.4.0 sürümündeki yenilikler.</span></p>

</section>##### remote\_commands (yerel\_dosya ve wodle "komut")  
  


<section></section><section><section id="bkmrk-uzak_komutlar-%28yerel"><table class="docutils align-default" style="width: 100%;"><thead><tr class="row-odd"><th class="head" style="width: 16.1811%;">Alt alanlar

</th><th class="head" style="width: 22.762%;">İzin verilen değerler

</th><th class="head" style="width: 19.2861%;">Varsayılan değer

</th><th class="head" style="width: 41.7866%;">Tanım

</th></tr></thead><tbody><tr class="row-even"><td style="width: 16.1811%;">allow

</td><td style="width: 22.762%;">evet, doğru, hayır, yanlış

</td><td style="width: 19.2861%;">doğru

</td><td style="width: 41.7866%;">Wazuh sunucu API'si aracılığıyla uzaktan komutlarla yapılandırmaların yüklenmesine izin verin. Bu seçeneğin ayarlanması, <span class="std std-ref">wodle "command" seçeneğini</span> veya <span class="std std-ref">localfile etiketi</span> içindeki seçeneği içeren dosyaların `<span class="pre">false</span>`yüklenmesini engeller .`<span class="pre">ossec.conf</span>``<span class="pre"><command></span>`

</td></tr><tr class="row-odd"><td style="width: 16.1811%;">exceptions

</td><td style="width: 22.762%;">komut listesi

</td><td style="width: 19.2861%;">\[ \]

</td><td style="width: 41.7866%;">API aracılığıyla yüklenmesine izin verilen komutların bir listesini ayarlayın. Bu istisnalar yapılandırmadan bağımsız olarak her zaman yüklenebilir `<span class="pre">allow</span>`.

</td></tr></tbody></table>

</section><section id="bkmrk-s%C4%B1n%C4%B1rlarbu-ba%C5%9Fl%C4%B1%C4%9Fa-k">##### sınırlar

eps

<p class="callout danger"><span class="versionmodified added">4.4.0 sürümündeki yenilikler.</span></p>

<table class="docutils align-default" style="width: 100%;"><thead><tr class="row-odd"><th class="head" style="width: 15.8114%;">Alt alanlar

</th><th class="head" style="width: 22.8845%;">İzin verilen değerler

</th><th class="head" style="width: 19.2861%;">Varsayılan değer

</th><th class="head" style="width: 42.0339%;">Tanım

</th></tr></thead><tbody><tr class="row-even"><td style="width: 15.8114%;">allow

</td><td style="width: 22.8845%;">evet, doğru, hayır, yanlış

</td><td style="width: 19.2861%;">doğru

</td><td style="width: 42.0339%;">Wazuh sunucu API'si aracılığıyla değiştirilmiş EPS limitleriyle yapılandırmaların yüklenmesine izin verin. Bu seçeneğin ayarlanması, <span class="std std-ref">genel etiketin</span> içindeki bölüm değiştiyse dosyaların `<span class="pre">false</span>` yüklenmesini engeller. `<span class="pre">ossec.conf</span>``<span class="pre"><limits><eps></span>`

</td></tr></tbody></table>

</section><section id="bkmrk-ajanlarbu-ba%C5%9Fl%C4%B1%C4%9Fa-ka">##### agents

**allow\_higher\_versions**

<p class="callout danger"><span class="versionmodified added">4.6.0 sürümündeki yenilikler.</span></p>

<table class="docutils align-default" style="width: 100%;"><thead><tr class="row-odd"><th class="head" style="width: 14.8233%;">Alt alanlar

</th><th class="head" style="width: 23.0072%;">İzin verilen değerler

</th><th class="head" style="width: 20.646%;">Varsayılan değer

</th><th class="head" style="width: 41.5394%;">Tanım

</th></tr></thead><tbody><tr class="row-even"><td style="width: 14.8233%;">allow

</td><td style="width: 23.0072%;">evet, doğru, hayır, yanlış

</td><td style="width: 20.646%;">doğru

</td><td style="width: 41.5394%;">Wazuh sunucu API'si aracılığıyla daha yüksek aracı sürümlerini kabul eden yapılandırmaların yüklenmesine izin verin. Bu seçeneğin ayarlanması, <span class="std std-ref">auth</span> veya <span class="std std-ref">remote</span> etiketleri içindeki değere sahip bölümü içeren dosyaların `<span class="pre">false</span>`yüklenmesini engeller .`<span class="pre">ossec.conf</span>``<span class="pre"><allow_higher_versions></span>``<span class="pre">yes</span>`

</td></tr></tbody></table>

</section><section id="bkmrk-dizinleyicibu-ba%C5%9Fl%C4%B1%C4%9F">##### indexer

<p class="callout danger"><span class="versionmodified added">4.8.0 sürümündeki yenilikler.</span></p>

<table class="docutils align-default" style="width: 100%;"><thead><tr class="row-odd"><th class="head" style="width: 13.9709%;">Alt alanlar

</th><th class="head" style="width: 23.2414%;">İzin verilen değerler

</th><th class="head" style="width: 21.0169%;">Varsayılan değer

</th><th class="head" style="width: 41.7866%;">Tanım

</th></tr></thead><tbody><tr class="row-even"><td style="width: 13.9709%;">allow

</td><td style="width: 23.2414%;">evet, doğru, hayır, yanlış

</td><td style="width: 21.0169%;">doğru

</td><td style="width: 41.7866%;">Wazuh sunucu API'si aracılığıyla güncellenmiş bir <span class="doc">dizinleyici yapılandırma bölümünün</span> yüklenmesine izin verir . Bu seçeneğin ayarlanması `<span class="pre">false</span>`, yükleme sırasında dizinleyici yapılandırmasının güncellenmesini önler `<span class="pre">ossec.conf</span>`.

</td></tr></tbody></table>

</section><section id="bkmrk-entegrasyonlarbu-ba%C5%9F">##### entegrasyonlar

<p class="callout danger"><span class="versionmodified added">4.8.0 sürümündeki yenilikler.</span></p>

virüstotal (public\_key)

<table class="docutils align-default" style="width: 100%;"><thead><tr class="row-odd"><th class="head" style="width: 14.5875%;">Alt alanlar

</th><th class="head" style="width: 21.5121%;">İzin verilen değerler

</th><th class="head" style="width: 22.5005%;">Varsayılan değer

</th><th class="head" style="width: 41.4157%;">Tanım

</th></tr></thead><tbody><tr class="row-even"><td style="width: 14.5875%;">allow

</td><td style="width: 21.5121%;">evet, doğru, hayır, yanlış

</td><td style="width: 22.5005%;">doğru

</td><td style="width: 41.4157%;">Wazuh sunucu API'si aracılığıyla genel bir API anahtarı kullanılarak güncellenmiş bir <span class="doc">Virus Total entegrasyon yapılandırma bölümünün</span> yüklenmesine izin verir . Bu seçeneğin ayarlanması `<span class="pre">false</span>`, yükleme sırasında entegrasyonların Virus Total yapılandırmasının güncellenmesini önler `<span class="pre">ossec.conf</span>`.

</td></tr><tr class="row-odd"><td style="width: 14.5875%;">minimum\_quota

</td><td style="width: 21.5121%;">Herhangi bir pozitif tam sayı

</td><td style="width: 22.5005%;">240

</td><td style="width: 41.4157%;">Virus Total genel API anahtarı için minimum kota değeri.

</td></tr></tbody></table>

</section></section></section><section id="bkmrk-wazuh-sunucu-api-g%C3%BCv">### Wazuh Sunucu API Güvenlik Yapılandırması

`<span class="pre">auth_token_exp_timeout</span>`Güvenlik yapılandırmasını ve `<span class="pre">rbac_mode</span>`ayarlarını yalnızca Wazuh sunucu API uç noktaları aracılığıyla sorgulayabilir ve değiştirebilirsiniz : [GET /security/config](https://documentation.wazuh.com/current/user-manual/api/reference.html#operation/api.controllers.security_controller.get_security_config) , [PUT /security/config](https://documentation.wazuh.com/current/user-manual/api/reference.html#operation/api.controllers.security_controller.put_security_config) ve [DELETE /security/config](https://documentation.wazuh.com/current/user-manual/api/reference.html#operation/api.controllers.security_controller.delete_security_config) . `<span class="pre">auth_token_exp_timeout</span>`Bir kimlik doğrulama belirtecinin süresi dolmadan ve yenilenmesi gerekmeden önceki saniye cinsinden süreyi tanımlar. `<span class="pre">rbac_mode</span>`Kullanıcı rollerine ve izinlerine göre kaynaklara ve uç noktalara erişimi genel olarak izin vermek veya kısıtlamak üzere yapılandırılabilen Rol Tabanlı Erişim Kontrol sisteminin genel davranışını belirler. Daha fazla ayrıntı için [<span class="doc">Rol Tabanlı Erişim Kontrol</span>](https://acikkaynak.lastguard.com.tr/books/kullanim-kilavuzu/page/rol-tabanli-erisim-kontrolu) belgelerine bakın. Yapılandırma, geçerliyse bir kümedeki her Wazuh sunucu API'sine uygulanır.

Her bir ayar hakkında daha fazla bilgi için lütfen [<span class="std std-ref">güvenlik yapılandırma seçeneklerini</span>](https://acikkaynak.lastguard.com.tr/books/kullanim-kilavuzu/page/yapilandirma) kontrol edin .

```
auth_token_exp_timeout: 900
rbac_mode: white
```

<p class="callout warning">Uyarı: Güvenlik nedenleriyle, güvenlik yapılandırmasını değiştirmek tüm JWT'leri iptal eder. Değişiklikten sonra oturum açmanız ve yeni bir token edinmeniz gerekecektir.</p>

<section id="bkmrk-g%C3%BCvenlik-yap%C4%B1land%C4%B1rm"><span id="bkmrk--4"></span>#### Güvenlik Yapılandırma Seçenekleri

<section id="bkmrk-auth_token_exp_timeo">##### auth\_token\_exp\_timeout

  
<table class="docutils align-default" style="width: 93.8272%;"><thead><tr class="row-odd"><th class="head" style="width: 25.1684%;">İzin verilen değerler

</th><th class="head" style="width: 18.1814%;">Varsayılan değer

</th><th class="head" style="width: 56.6649%;">Tanım

</th></tr></thead><tbody><tr class="row-even"><td style="width: 25.1684%;">Herhangi bir pozitif tam sayı

</td><td style="width: 18.1814%;">900

</td><td style="width: 56.6649%;">JWT token'larının süresinin dolmasının kaç saniye süreceğini ayarlayın.

</td></tr></tbody></table>

</section><section id="bkmrk-rbac_modubu-ba%C5%9Fl%C4%B1%C4%9Fa-">##### rbac\_mode

  
<table class="docutils align-default" style="width: 100%;"><thead><tr class="row-odd"><th class="head" style="width: 23.5911%;">İzin verilen değerler

</th><th class="head" style="width: 17.5774%;">Varsayılan değer

</th><th class="head" style="width: 58.8474%;">Tanım

</th></tr></thead><tbody><tr class="row-even"><td style="width: 23.5911%;">siyah, beyaz

</td><td style="width: 17.5774%;">beyaz

</td><td style="width: 58.8474%;">RBAC davranışını ayarlayın. Varsayılan olarak, siyah modda her şeye izin verilirken beyaz modda her şey reddedilir. İstenen RBAC altyapısına daha uygun olan rbac\_mode'u seçin. Siyah modda, sadece bazı politikalarla birkaç belirli eylem-kaynak çiftini reddetmek çok kolaydır, beyaz mod ise daha güvenlidir ve sıfırdan oluşturulmasını gerektirir.

</td></tr></tbody></table>

</section></section></section><section id="bkmrk-yap%C4%B1land%C4%B1rma-u%C3%A7-nokt">### Yapılandırma Endpoints

Wazuh sunucu API'sinin geçerli yapılandırmasını sorgulamaya izin veren birkaç uç noktası vardır. Genel API yapılandırmasını değiştirmek için dosyayı [<span class="std std-ref">Wazuh sunucu API yapılandırma dosyası </span>](https://acikkaynak.lastguard.com.tr/books/kullanim-kilavuzu/page/yapilandirma)`<span class="pre">/var/ossec/api/configuration/api.yaml</span>` bölümünde ayrıntılı olarak açıklandığı şekilde düzenleyin .

<section id="bkmrk-yap%C4%B1land%C4%B1rmay%C4%B1-albu-">#### Yapılandırmayı Al

- [GET /manager/api/config](https://documentation.wazuh.com/current/user-manual/api/reference.html#operation/api.controllers.manager_controller.get_api_config) : Yerel Wazuh sunucusunun API yapılandırmasının tamamını alın.
- [GET /cluster/api/config](https://documentation.wazuh.com/current/user-manual/api/reference.html#operation/api.controllers.cluster_controller.get_api_config) : Tüm küme düğümlerinin (veya bir listesinin) Wazuh sunucusu API yapılandırmasının tamamını alın.
- [GET /security/config](https://documentation.wazuh.com/current/user-manual/api/reference.html#operation/api.controllers.security_controller.get_security_config) : Mevcut güvenlik yapılandırmasını alın.

</section><section id="bkmrk-yap%C4%B1land%C4%B1rmay%C4%B1-de%C4%9Fi%C5%9F">#### Yapılandırmayı Değiştir

- [PUT /security/config](https://documentation.wazuh.com/current/user-manual/api/reference.html#operation/api.controllers.security_controller.put_security_config) : Güvenlik yapılandırmasını değiştirin.

</section><section id="bkmrk-yap%C4%B1land%C4%B1rmay%C4%B1-geri-">#### Yapılandırmayı Geri Yükle

- [DELETE /security/config](https://documentation.wazuh.com/current/user-manual/api/reference.html#operation/api.controllers.security_controller.delete_security_config) : Varsayılan güvenlik yapılandırmasını geri yükler.

</section></section><section id="bkmrk-ssl-sertifikas%C4%B1bu-ba">### SSL sertifikası

<p class="callout info">Not: Bu işlem Wazuh sunucu API'si ilk kez çalıştırıldığında otomatik olarak gerçekleştirilir.</p>

SSL sertifikası, Wazuh sunucu API'si ile istemcileri arasında güvenli iletişimi sağlar. Sertifika dosyaları dizinde saklanır `<span class="pre">/var/ossec/api/configuration/ssl/</span>`.

Wazuh sunucu API'si için yeni sertifikalar oluşturmak üzere aşağıdaki adımları izleyin:

1. Anahtar ve sertifika isteğini oluşturun ( `<span class="pre">openssl</span>`paket gereklidir):
    
    ```
    cd /var/ossec/api/configuration/ssl
    openssl req -newkey rsa:2048 -new -nodes -x509 -days 365 -keyout server.key -out server.crt
    ```
    
    Varsayılan olarak, anahtarın parolası sunucu her çalıştırıldığında girilmelidir. Anahtar Wazuh sunucu API'si veya yukarıdaki komut tarafından üretilmişse, parolası olmazdı.
2. (İsteğe bağlı) Anahtarı bir parola ile güvenceye alın:
    
    ```
    ssh-keygen -p -f server.key
    ```
    
    Yeni şifreyi girmeniz ve onaylamanız istenecektir.

</section>

# Wazuh Sunucu API'sini Güvence Altına Alma

Wazuh panosu ile Wazuh sunucu API'si arasındaki iletişim varsayılan olarak HTTPS ile şifrelenir. Wazuh sunucu API'si, kullanıcılar bunları sağlamazsa ilk çalıştırma sırasında kendi özel anahtarını ve sertifikasını oluşturur. Ek olarak, Wazuh sunucu API'si OVA kurulumuyla birlikte kurulduğunda aşağıdaki kullanıcı adı-şifre çiftini otomatik olarak oluşturur:

- `<span class="pre">wazuh:wazuh</span>`
- `<span class="pre">wazuh-wui:wazuh-wui</span>`

Wazuh dağıtımı kurulum yardımcısı betiği kullanılarak gerçekleştirildiyse, Wazuh API kullanıcı adı şudur `<span class="pre">wazuh</span>`ve aşağıdaki komutu çalıştırarak parolayı çıkarabilirsiniz:

```
tar -axf wazuh-install-files.tar wazuh-install-files/wazuh-passwords.txt -O | grep -P "\'wazuh\'" -A 1
```

Bu nedenle Wazuh yöneticisini kurduktan sonra Wazuh sunucu API'sinin güvenliğini sağlamak büyük önem taşımaktadır.

<p class="callout warning">Uyarı: Wazuh sunucu API'si tarafından oluşturulan sertifikanın kendi imzalı olması nedeniyle varsayılan şifreleri değiştirmenizi ve kendi sertifikanızı kullanmanızı şiddetle öneririz.</p>

<section id="bkmrk-wazuh-sunucu-api%27sin">### Wazuh Sunucu API'sini Güvence Altına Almak İçin Önerilen Değişiklikler

<section id="bkmrk-1.-https-parametrele">#### 1. HTTPS Parametrelerini Değiştirin

Wazuh sunucu API'si varsayılan olarak HTTPS'yi etkinleştirmiştir. Eğer içinde kullanılabilir bir sertifika yoksa `<span class="pre">/var/ossec/api/configuration/ssl/</span>`, Wazuh sunucusu başlatıldığında özel anahtarı ve kendi kendine imzalanmış bir sertifikayı üretecektir. Eğer durum buysa ve API günlük biçimi olarak ayarlanmışsa `<span class="pre">plain</span>`, aşağıdaki satırlar görünecektir `<span class="pre">/var/ossec/logs/api.log</span>`:

```
INFO: HTTPS is enabled but cannot find the private key and/or certificate. Attempting to generate them.
INFO: Generated private key file in WAZUH_PATH/api/configuration/ssl/server.key.
INFO: Generated certificate file in WAZUH_PATH/api/configuration/ssl/server.crt.
```

Bu HTTPS seçeneklerini, durumlarını veya sertifika yolunu da içerecek şekilde, şu adreste bulunan Wazuh sunucu API yapılandırma dosyasını düzenleyerek değiştirebilirsiniz `<span class="pre">/var/ossec/api/configuration/api.yaml</span>`:

```
https:
  enabled: yes
  key: "server.key"
  cert: "server.crt"
  use_ca: False
  ca: "ca.crt"
  ssl_protocol: "auto"
  ssl_ciphers: ""
```

Değişiklikleri uygulamak için Wazuh yönetici hizmetini kullanarak Wazuh sunucu API'sini yeniden başlatın:  
  
**Systemd**

```
systemctl restart wazuh-manager
```

</section></section>**SysV Başlatma**

<section id="bkmrk-service-wazuh-manage"><section id="bkmrk-service-wazuh-manage-1">```
service wazuh-manager restart
```

<div class="sphinx-tabs docutils container"><div aria-labelledby="tab-0-U3lzdGVtZA==" class="sphinx-tabs-panel group-tab" id="bkmrk-" name="U3lzdGVtZA==" role="tabpanel" tabindex="0"><div class="highlight-console notranslate"><div class="highlight" data-pagefind-weight="0.5">  
</div></div></div></div></section><section id="bkmrk-2.-y%C3%B6netici-kullan%C4%B1c">#### 2. Yönetici Kullanıcıları İçin Varsayılan Parolayı Değiştirin

Yönetici kullanıcıları için varsayılan şifreyi değiştirmek için `<span class="pre">wazuh</span>`aşağıdaki `<span class="pre">wazuh-wui</span>`Wazuh sunucu API isteğini kullanabilirsiniz: [PUT /security/users/{user\_id}](https://documentation.wazuh.com/current/user-manual/api/reference.html#operation/api.controllers.security_controller.update_user) .

<p class="callout info">Not: Kullanıcıların şifresi 8 ile 64 karakter arasında olmalıdır. En az bir büyük harf, küçük harf, rakam ve sembol içermelidir.</p>

**Aşağıda curl kullanarak şifre değiştirmenin bir örneğini gösteriyoruz** :

1. Kullanıcıların kullanıcı kimlikleriyle birlikte bir listesini alın:
    
    ```
    curl -k -X GET "https://localhost:55000/security/users?pretty=true" -H  "Authorization: Bearer $TOKEN"
    ```
2. İstenilen kullanıcının şifresini değiştirin:
    
    ```
    curl -k -X PUT "https://localhost:55000/security/users/<USER_ID>" -H "Authorization: Bearer $TOKEN" -H "Content-Type: application/json" -d '{"password": "<NEW_PASSWORD>"}'
    ```
    
    `<span class="pre"><USER_ID></span>`Kullanıcının ID'si ve `<span class="pre"><NEW_PASSWORD></span>`yeni şifre ile değiştirin.
    
    <p class="callout warning">Uyarı: `<span class="pre">wazuh-wui</span>` kullanıcı parolasını değiştirmek Wazuh panosunu etkileyecektir. Yeni kimlik bilgileriyle `/usr/share/wazuh-dashboard/data/wazuh/config/wazuh.yml ` yapılandırma dosyasını uygun şekilde güncellemeniz gerekecektir. Daha fazla bilgi edinmek için [Wazuh gösterge tablosu yapılandırma dosyası belgesine](https://acikkaynak.lastguard.com.tr/books/kullanim-kilavuzu/page/wazuh-dashboard-ayarlari) bakın.</p>
    
    <div class="admonition warning"> </div>

</section><section id="bkmrk-3.-varsay%C4%B1lan-ana-bi">#### 3. Varsayılan Host ve Portu Değiştirin

Varsayılan olarak, `<span class="pre">host</span>`olarak ayarlanır ve Wazuh sunucu API'sinin tüm kullanılabilir ağ arayüzlerinde gelen bağlantıları kabul etmesine olanak tanır. Erişimi kısıtlamak için, Wazuh sunucu API yapılandırmasını şurada düzenleyin :`<span class="pre">['0.0.0.0',</span> <span class="pre">'::']</span>``<span class="pre">/var/ossec/api/configuration/api.yaml</span>`

```
host: ['0.0.0.0', '::']
```

Varsayılan portu da değiştirebilirsiniz:

```
port: 55000
```

Bu parametreleri yapılandırdıktan sonra, Systemd veya SysV init ile Wazuh yönetici servisini kullanarak Wazuh sunucu API'sini yeniden başlatın:  
  
**Systemd**

```
systemctl restart wazuh-manager
```

  
**SysV Başlatma**```
service wazuh-manager restart
```

</section><section id="bkmrk-4.-dakika-ba%C5%9F%C4%B1na-mak">#### 4. Dakika Başına Maksimum İstek Sayısını Ayarlayın

Wazuh sunucu API'sinin aşırı yüklenmesini önlemek için, API'nin dakikada işleyebileceği maksimum istek sayısını belirlemek için hız sınırlaması uygulayabilirsiniz. Bu sınır aşılırsa, API geri kalan süre boyunca herhangi bir kullanıcıdan gelen diğer istekleri reddeder.

`<span class="pre">max_request_per_minute</span>`Varsayılan sınır dakikada 300 istektir. Bunu, içindeki ayarı değiştirerek ayarlayın `<span class="pre">/var/ossec/api/configuration/api.yaml</span>`.

<p class="callout info">Not: Hız sınırlamasını devre dışı bırakmak için değerini 0 olarak ayarlayın.</p>

</section><section id="bkmrk-5.-maksimum-oturum-a">#### 5. Maksimum Oturum Açma Girişimi Sayısını Ayarlayın

Kaba kuvvet saldırılarına karşı korunmak için, belirli bir zaman dilimi içinde aynı IP adresinden gelen oturum açma girişimlerini sınırlayabilirsiniz. Bu sınırın aşılması, IP adresini o süre boyunca engeller.

Varsayılan olarak, 300 saniyelik periyotta 50 oturum açma girişimine izin verilir. Bu sınırları ayarlamak için `<span class="pre">max_login_attempts</span>` ve/veya `<span class="pre">block_time</span>` ayarlarını `<span class="pre">/var/ossec/api/configuration/api.yaml</span>`'da düzenleyin.

</section></section>

# Rol Tabanlı Erişim Kontrolü



# Wazuh Sorgu Dili (WQL) Kullanılarak Verilerin Filtrelenmesi

Wazuh API'sinin sorgularını kullanarak gelişmiş filtreleme mümkündür. Sorgular `<span class="pre">q</span>`parametre kullanılarak belirtilir. Bir sorgunun yapısı şu şekildedir:

- **Alan adı** : Filtrelenecek alan adı. Yanlış bir alan adı kullanılırsa, bir hata oluşacaktır.
- <dl class="simple"><dt>**Operatör** : Filtreleme yapılacak operatör:</dt><dd>
    - `<span class="pre">=</span>`: eşitlik.
    - `<span class="pre">!=</span>`: eşitlik değil.
    - `<span class="pre"><</span>`: daha küçük.
    - `<span class="pre">></span>`: daha büyük.
    - `<span class="pre">~</span>`: gibi.
    - `<span class="pre">()</span>`: gruplama operatörleri.
    
    </dd></dl>
- **Değer** : Filtrelenecek değer.
- <dl class="simple"><dt>**Ayırıcı** : Birden fazla "sorguyu" birleştirmek için kullanılan operatör:</dt><dd>
    - `<span class="pre">,</span>`: bir . temsil eder `<span class="pre">OR</span>`.
    - `<span class="pre">;</span>`: bir . temsil eder `<span class="pre">AND</span>`.
    
    </dd></dl>

<p class="callout info">Not: Ayrılmış karakterlerin, özellikle noktalı virgüllerin ( `<span class="pre">;</span>` → `<span class="pre">%3B</span>`) yüzde kodlu olması gerekir . İşlemi kolaylaştırmak için cURL içinde `<span class="pre">--data-urlencode</span>` kullanabilirsiniz.</p>

### Örnekler

<section id="bkmrk-%C3%96rne%C4%9Fin%2C-18%27den-y%C3%BCks">Örneğin, 18'den yüksek sürüme sahip Ubuntu aracılarını filtrelemek için aşağıdaki sorgu kullanılır. q parametresinin değerinin şu şekilde kodlandığını unutmayın `<span class="pre">--data-urlencode</span>`:

```
curl -G --data-urlencode "q=os.name=ubuntu;os.version>18" -k -X GET "https://localhost:55000/agents?limit=500&pretty=true&select=id,name,os.name,os.version,os.codename,os.major" -H  "Authorization: Bearer $TOKEN"
```

<div aria-expanded="true" class="output highlight-json notranslate collapsible expanded"><div class="output-title" role="button">**Output**</div><div class="highlight" data-pagefind-weight="0.5">  
</div></div>```
{
   "data": {
      "affected_items": [
         {
            "os": {
               "codename": "Bionic Beaver",
               "major": "18",
               "name": "Ubuntu",
               "version": "18.04.4 LTS"
            },
            "name": "wazuh-master",
            "id": "000"
         },
         {
            "os": {
               "codename": "Bionic Beaver",
               "major": "18",
               "name": "Ubuntu",
               "version": "18.04.4 LTS"
            },
            "name": "wazuh-agent4",
            "id": "004"
         },
         {
            "os": {
               "codename": "Bionic Beaver",
               "major": "18",
               "name": "Ubuntu",
               "version": "18.04.4 LTS"
            },
            "name": "wazuh-agent5",
            "id": "005"
         },
         {
            "os": {
               "codename": "Bionic Beaver",
               "major": "18",
               "name": "Ubuntu",
               "version": "18.04.4 LTS"
            },
            "name": "wazuh-agent6",
            "id": "006"
         },
         {
            "os": {
               "codename": "Bionic Beaver",
               "major": "18",
               "name": "Ubuntu",
               "version": "18.04.4 LTS"
            },
            "name": "wazuh-agent7",
            "id": "007"
         },
         {
            "os": {
               "codename": "Bionic Beaver",
               "major": "18",
               "name": "Ubuntu",
               "version": "18.04.4 LTS"
            },
            "name": "wazuh-agent8",
            "id": "008"
         },
         {
            "os": {
               "codename": "Bionic Beaver",
               "major": "18",
               "name": "Ubuntu",
               "version": "18.04.2 LTS"
            },
            "name": "wazuh-agent9",
            "id": "009"
         },
         {
            "os": {
               "codename": "Bionic Beaver",
               "major": "18",
               "name": "Ubuntu",
               "version": "18.04.2 LTS"
            },
            "name": "wazuh-agent10",
            "id": "010"
         }
      ],
      "total_affected_items": 8,
      "total_failed_items": 0,
      "failed_items": []
   },
   "message": "All selected agents information was returned",
   "error": 0
}
```

Daha doğru bir sonuç elde etmek için aynı alan birden fazla kez kullanılabilir. Örneğin, Ubuntu 18'den daha yüksek ancak Ubuntu 18.04.4'ten daha düşük bir sürüme sahip filtreleme ajanları:

```
curl -G --data-urlencode "q=os.name=ubuntu;os.version>18;os.version<18.04.4" -k -X GET "https://localhost:55000/agents?limit=500&pretty=true&select=id,name,os.name,os.version,os.codename,os.major" -H  "Authorization: Bearer $TOKEN"
```

<div aria-expanded="true" class="output highlight-json notranslate collapsible expanded"><div class="output-title" role="button">**Output**</div></div>```
{
   "data": {
      "affected_items": [
         {
            "os": {
               "codename": "Bionic Beaver",
               "major": "18",
               "name": "Ubuntu",
               "version": "18.04.2 LTS"
            },
            "name": "wazuh-agent9",
            "id": "009"
         },
         {
            "os": {
               "codename": "Bionic Beaver",
               "major": "18",
               "name": "Ubuntu",
               "version": "18.04.2 LTS"
            },
            "name": "wazuh-agent10",
            "id": "010"
         }
      ],
      "total_affected_items": 2,
      "total_failed_items": 0,
      "failed_items": []
   },
   "message": "All selected agents information was returned",
   "error": 0
}
```

OR ( `<span class="pre">,</span>` ) operatörü ve LIKE AS ( `<span class="pre">~</span>` ) operatörünün kullanımına bir örnek, işletim sistemi adı *windows* veya *centos*içeren ajanları filtrelemek olabilir .

```
curl -G --data-urlencode "q=os.name~centos,os.name~windows" -k -X GET "https://localhost:55000/agents?limit=500&pretty=true&select=id,name,os.name,os.version,os.codename,os.major" -H  "Authorization: Bearer $TOKEN"
```

<div aria-expanded="true" class="output highlight-json notranslate collapsible expanded"><div class="output-title" role="button">**Output**</div></div>```
{
   "data": {
      "affected_items": [
         {
            "os": {
               "major": "6",
               "name": "Microsoft Windows 7 Ultimate Edition Professional Service Pack 1",
               "version": "6.1.7601"
            },
            "name": "jmv74211-PC",
            "id": "013"
         }
      ],
      "total_affected_items": 1,
      "total_failed_items": 0,
      "failed_items": []
   },
   "message": "All selected agents information was returned",
   "error": 0
}
```

Kimliği 0'dan farklı ve 4'ten küçük olan, adı alt dizeyi içeren `<span class="pre">waz</span>`ve ana sürümü 16 veya 18 olan Ubuntu ajanlarını elde etmek, aynı anda birden fazla operatörü içeren bir örnektir:

```
curl -G --data-urlencode "q=id!=0;id<4;name~waz;(os.major=16,os.major=18)" -k -X GET "https://localhost:55000/agents?limit=500&pretty=true&select=id,name,os.name,os.version,os.codename,os.major" -H  "Authorization: Bearer $TOKEN"
```

<div aria-expanded="true" class="output highlight-json notranslate collapsible expanded"><div class="output-title" role="button">**Output**</div></div>```
{
   "data": {
      "affected_items": [
         {
            "os": {
               "codename": "Xenial Xerus",
               "major": "16",
               "name": "Ubuntu",
               "version": "16.04.6 LTS"
            },
            "name": "wazuh-agent1",
            "id": "001"
         },
         {
            "os": {
               "codename": "Xenial Xerus",
               "major": "16",
               "name": "Ubuntu",
               "version": "16.04.6 LTS"
            },
            "name": "wazuh-agent2",
            "id": "002"
         },
         {
            "os": {
               "codename": "Xenial Xerus",
               "major": "16",
               "name": "Ubuntu",
               "version": "16.04.6 LTS"
            },
            "name": "wazuh-agent3",
            "id": "003"
         }
      ],
      "total_affected_items": 3,
      "total_failed_items": 0,
      "failed_items": []
   },
   "message": "All selected agents information was returned",
   "error": 0
}
```

*Windows'ta*`<span class="pre">007</span>` çalışan veya işletim sistemi ana sürümü 14 veya 18 olanlardan daha yüksek bir ID'ye sahip aracıları elde etmek :

```
curl -G --data-urlencode "q=id>007;(os.name~windows,(os.major=14,os.major=18))" -k -X GET "https://localhost:55000/agents?limit=500&pretty=true&select=id,name,os.name,os.version,os.codename,os.major" -H  "Authorization: Bearer $TOKEN"
```

<div aria-expanded="true" class="output highlight-json notranslate collapsible expanded"><div class="output-title" role="button">**Output**</div></div>```
{
   "data": {
      "affected_items": [
         {
            "os": {
               "codename": "Bionic Beaver",
               "major": "18",
               "name": "Ubuntu",
               "version": "18.04.4 LTS"
            },
            "name": "wazuh-agent8",
            "id": "008"
         },
         {
            "os": {
               "codename": "Bionic Beaver",
               "major": "18",
               "name": "Ubuntu",
               "version": "18.04.2 LTS"
            },
            "name": "wazuh-agent9",
            "id": "009"
         },
         {
            "os": {
               "codename": "Bionic Beaver",
               "major": "18",
               "name": "Ubuntu",
               "version": "18.04.2 LTS"
            },
            "name": "wazuh-agent10",
            "id": "010"
         },
         {
            "os": {
               "major": "6",
               "name": "Microsoft Windows 7 Ultimate Edition Professional Service Pack 1",
               "version": "6.1.7601"
            },
            "name": "jmv74211-PC",
            "id": "013"
         }
      ],
      "total_affected_items": 4,
      "total_failed_items": 0,
      "failed_items": []
   },
   "message": "All selected agents information was returned",
   "error": 0
}
```

</section>

# Kullanım Örnekleri

<span class="std std-ref">Bu bölüm, Wazuh sunucu API'sinin bazı potansiyellerini göstermek için çeşitli kullanım örnekleri sunar. Tüm olası API istekleri hakkında ayrıntıları [referans](https://acikkaynak.lastguard.com.tr/books/kullanim-kilavuzu/chapter/referans)</span>[ ](https://acikkaynak.lastguard.com.tr/books/kullanim-kilavuzu/chapter/referans)bölümünde bulabilirsiniz .

<section id="bkmrk-kural-setini-ke%C5%9Ffetm">### Kural Setini Keşfetmek

Genellikle bir uyarı ateşlendiğinde, kuralın kendisi hakkında ayrıntıları bilmek faydalıdır. Aşağıdaki istek kuralın niteliklerini sıralar `<span class="pre">1002</span>`:

```
curl -k -X GET "https://localhost:55000/rules?rule_ids=1002&pretty=true" -H  "Authorization: Bearer $TOKEN"# curl -k -X GET "https://localhost:55000/rules?rule_ids=1002&pretty=true" -H  "Authorization: Bearer $TOKEN"

```

<div aria-expanded="true" class="output highlight-json notranslate collapsible expanded"><div class="output-title" role="button">  
</div><div class="highlight" data-pagefind-weight="0.5">**Output**</div></div>```
{
   "data": {
      "affected_items": [
         {
            "filename": "0020-syslog_rules.xml",
            "relative_dirname": "ruleset/rules",
            "id": 1002,
            "level": 2,
            "status": "enabled",
            "details": {
               "match": {
                  "pattern": "core_dumped|failure|error|attack| bad |illegal |denied|refused|unauthorized|fatal|failed|Segmentation Fault|Corrupted"
                }
            },
            "pci_dss": [],
            "gpg13": [
               "4.4"
            ],
            "gdpr": [],
            "hipaa": [],
            "nist_800_53": [],
            "groups": [
               "syslog",
               "errors"
            ],
            "description": "Unknown problem somewhere in the system."
         }
      ],
      "total_affected_items": 1,
      "total_failed_items": 0,
      "failed_items": []
   },
   "message": "All selected rules were returned",
   "error": 0
}
```

`<span class="pre">web</span>`Belirli bir ölçüte uyan hangi kuralların mevcut olduğunu bilmek de faydalı olabilir. Örneğin, PCI etiketiyle `<span class="pre">10.6.1</span>`ve kelimeyi içeren gruptaki tüm kuralları `<span class="pre">failures</span>`aşağıdaki komutla görüntüleyebilirsiniz :

```
curl -k -X GET "https://localhost:55000/rules?pretty=true&limit=500&search=failures&group=web&pci_dss=10.6.1" -H  "Authorization: Bearer $TOKEN"
```

<div aria-expanded="true" class="output highlight-json notranslate collapsible expanded"><div class="output-title" role="button">**Output**</div></div>```
{
  "data": {
    "affected_items": [
      {
        "filename": "0260-nginx_rules.xml",
        "relative_dirname": "ruleset/rules",
        "id": 31316,
        "level": 10,
        "status": "enabled",
        "details": {
          "frequency": "8",
          "timeframe": "240",
          "if_matched_sid": "31315",
          "same_source_ip": "",
          "mitre": "\n      "
        },
        "pci_dss": [
          "10.6.1",
          "10.2.4",
          "10.2.5",
          "11.4"
        ],
        "gpg13": [
          "7.1"
        ],
        "gdpr": [
          "IV_35.7.d",
          "IV_32.2"
        ],
        "hipaa": [
          "164.312.b"
        ],
        "nist_800_53": [
          "AU.6",
          "AU.14",
          "AC.7",
          "SI.4"
        ],
        "groups": [
          "authentication_failures",
          "tsc_CC7.2",
          "tsc_CC7.3",
          "tsc_CC6.1",
          "tsc_CC6.8",
          "nginx",
          "web"
        ],
        "description": "Nginx: Multiple web authentication failures."
      }
    ],
    "total_affected_items": 1,
    "total_failed_items": 0,
    "failed_items": []
  },
  "message": "All selected rules were returned",
  "error": 0
}
```

</section><section id="bkmrk-test-kurallar%C4%B1-ve-ko">### Test Kuralları ve Kod Çözücüler

[<span class="doc">Wazuh sunucu API'sini kullanarak bir wazuh-logtest</span>](https://acikkaynak.lastguard.com.tr/books/kullanim-kilavuzu/page/kod-cozuculeri-ve-kurallari-test-etme) oturumu başlatabilir veya özel veya varsayılan kuralları ve kod çözücüleri test etmek ve doğrulamak için mevcut bir oturumu kullanabilirsiniz. Aşağıdaki istek bir logtest oturumu oluşturur ve sağlanan günlük için eşleşen kuralları ve kod çözücüleri görüntüler. Ayrıca diğer bilgilerin yanı sıra ön kodlama aşamasını da ortaya çıkarır.

```
curl -k -X PUT "https://localhost:55000/logtest" -H  "Authorization: Bearer $TOKEN" -H  "Content-Type: application/json" -d "{\"event\":\"Jun 29 15:54:13 focal multipathd[557]: sdb: failed to get sysfs uid: No data available\",\"log_format\":\"syslog\",\"location\":\"user->/var/log/syslog\"}"
```

<div aria-expanded="true" class="output highlight-json notranslate collapsible expanded"><div class="output-title" role="button">**Output**</div></div>```
{
  "error": 0,
  "data": {
    "token": "bc3ca27a",
    "messages": [
      "WARNING: (7309): 'null' is not a valid token",
      "INFO: (7202): Session initialized with token 'bc3ca27a'"
    ],
    "output": {
      "timestamp": "2020-10-15T09:40:53.630+0000",
      "rule": {
        "level": 0,
        "description": "FreeIPA messages grouped",
        "id": "82202",
        "firedtimes": 1,
        "mail": false,
        "groups": [
          "freeipa"
        ]
      },
      "agent": {
        "id": "000",
        "name": "wazuh-master"
      },
      "manager": {
        "name": "wazuh-master"
      },
      "id": "1602754853.1000774",
      "cluster": {
        "name": "wazuh",
        "node": "master-node"
      },
      "full_log": "Jun 29 15:54:13 focal multipathd[557]: sdb: failed to get sysfs uid: No data available",
      "predecoder": {
        "program_name": "multipathd",
        "timestamp": "Jun 29 15:54:13",
        "hostname": "focal"
      },
      "decoder": {
        "name": "freeipa"
      },
      "location": "user->/var/log/syslog"
    },
    "alert": false,
    "codemsg": 1
  }
}
```

</section><section id="bkmrk-bir-wazuh-arac%C4%B1s%C4%B1n%C4%B1n">### Bir Wazuh Aracısının Dosya Bütünlüğü İzleme (FIM) Veritabanının Analiz Edilmesi

Wazuh FIM modülü tarafından izlenen tüm dosyalar hakkında bilgi görüntülemek için Wazuh sunucu API'sini kullanabilirsiniz. Aşağıdaki örnek, `<span class="pre">.py</span>`aracı kimliğine sahip izlenen bir uç noktaya yüklenen Python dosyalarıyla ilişkili tüm olayları gösterir `<span class="pre">001</span>`:

```
curl -k -X GET "https://localhost:55000/syscheck/001?pretty=true&search=.py" -H  "Authorization: Bearer $TOKEN"
```

<div aria-expanded="true" class="output highlight-json notranslate collapsible expanded"><div class="output-title" role="button">  
</div><div class="highlight" data-pagefind-weight="0.5">**Output**</div></div>```
{
  "data": {
    "affected_items": [
      {
        "file": "/etc/python2.7/sitecustomize.py",
        "perm": "rw-r--r--",
        "sha1": "67b0a8ccf18bf5d2eb8c7f214b5a5d0d4a5e409d",
        "changes": 1,
        "md5": "d6b276695157bde06a56ba1b2bc53670",
        "inode": 29654607,
        "size": 155,
        "uid": "0",
        "gname": "root",
        "mtime": "2020-04-15T17:20:14Z",
        "sha256": "43d81125d92376b1a69d53a71126a041cc9a18d8080e92dea0a2ae23be138b1e",
        "date": "2020-05-25T14:28:41Z",
        "uname": "root",
        "type": "file",
        "gid": "0"
      },
      {
        "file": "/etc/python3.6/sitecustomize.py",
        "perm": "rw-r--r--",
        "sha1": "67b0a8ccf18bf5d2eb8c7f214b5a5d0d4a5e409d",
        "changes": 1,
        "md5": "d6b276695157bde06a56ba1b2bc53670",
        "inode": 29762235,
        "size": 155,
        "uid": "0",
        "gname": "root",
        "mtime": "2020-04-18T01:56:04Z",
        "sha256": "43d81125d92376b1a69d53a71126a041cc9a18d8080e92dea0a2ae23be138b1e",
        "date": "2020-05-25T14:28:41Z",
        "uname": "root",
        "type": "file",
        "gid": "0"
      }
    ],
    "total_affected_items": 2,
    "total_failed_items": 0,
    "failed_items": []
  },
  "message": "FIM findings of the agent were returned",
  "error": 0
}
```

Bir dosyayı SHA1 veya MD5 karma değerini kullanarak bulabilirsiniz. Aşağıdaki örneklerde, dosyayı hem SHA1 hem de MD5 karma değerini kullanarak alıyoruz:

```
curl -k -X GET "https://localhost:55000/syscheck/001?pretty=true&hash=bc929cb047b79d5c16514f2c553e6b759abfb1b8" -H  "Authorization: Bearer $TOKEN"
```

<div aria-expanded="true" class="output highlight-json notranslate collapsible expanded"><div class="output-title" role="button">**Output**</div></div>```
{
  "data": {
    "affected_items": [
      {
        "file": "/sbin/swapon",
        "perm": "rwxr-xr-x",
        "sha1": "bc929cb047b79d5c16514f2c553e6b759abfb1b8",
        "changes": 1,
        "md5": "085c1161d814a8863562694b3819f6a5",
        "inode": 14025822,
        "size": 47184,
        "uid": "0",
        "gname": "root",
        "mtime": "2020-01-08T18:31:23Z",
        "sha256": "f274025a1e4870301c5678568ab9519152f49d3cb907c01f7c71ff17b1a6e870",
        "date": "2020-05-25T14:29:44Z",
        "uname": "root",
        "type": "file",
        "gid": "0"
      }
    ],
    "total_affected_items": 1,
    "total_failed_items": 0,
    "failed_items": []
  },
  "message": "FIM findings of the agent were returned",
  "error": 0
}
```

```
curl -k -X GET "https://localhost:55000/syscheck/001?pretty=true&hash=085c1161d814a8863562694b3819f6a5" -H  "Authorization: Bearer $TOKEN"
```

<div aria-expanded="true" class="output highlight-json notranslate collapsible expanded"><div class="output-title" role="button">**Output**</div></div>```
{
  "data": {
    "affected_items": [
      {
        "file": "/sbin/swapon",
        "perm": "rwxr-xr-x",
        "sha1": "bc929cb047b79d5c16514f2c553e6b759abfb1b8",
        "changes": 1,
        "md5": "085c1161d814a8863562694b3819f6a5",
        "inode": 14025822,
        "size": 47184,
        "uid": "0",
        "gname": "root",
        "mtime": "2020-01-08T18:31:23Z",
        "sha256": "f274025a1e4870301c5678568ab9519152f49d3cb907c01f7c71ff17b1a6e870",
        "date": "2020-05-25T14:29:44Z",
        "uname": "root",
        "type": "file",
        "gid": "0"
      }
    ],
    "total_affected_items": 1,
    "total_failed_items": 0,
    "failed_items": []
  },
  "message": "FIM findings of the agent were returned",
  "error": 0
}
```

</section><section id="bkmrk-y%C3%B6netici-hakk%C4%B1nda-bi">### Yönetici Hakkında Bilgi Edinme

Wazuh sunucusu API'si aracılığıyla Wazuh yöneticisi hakkında çeşitli ayrıntıları alabilirsiniz. Bu ayrıntılar yapılandırma, durum, günlükler ve daha fazlasını içerir. Aşağıdaki örnek her Wazuh daemon'unun durumunun nasıl alınacağını gösterir:

```
curl -k -X GET "https://localhost:55000/manager/status?pretty=true" -H  "Authorization: Bearer $TOKEN"
```

<div aria-expanded="true" class="output highlight-json notranslate collapsible expanded"><div class="output-title" role="button">**Output**</div></div>```
{
  "data": {
    "affected_items": [
      {
        "wazuh-agentlessd": "running",
        "wazuh-analysisd": "running",
        "wazuh-authd": "running",
        "wazuh-csyslogd": "running",
        "wazuh-dbd": "stopped",
        "wazuh-monitord": "running",
        "wazuh-execd": "running",
        "wazuh-integratord": "running",
        "wazuh-logcollector": "running",
        "wazuh-maild": "running",
        "wazuh-remoted": "running",
        "wazuh-reportd": "stopped",
        "wazuh-syscheckd": "running",
        "wazuh-clusterd": "running",
        "wazuh-modulesd": "running",
        "wazuh-db": "running",
        "wazuh-apid": "stopped"
      }
    ],
    "total_affected_items": 1,
    "total_failed_items": 0,
    "failed_items": []
  },
  "message": "Processes status were successfully read in specified node",
  "error": 0
}
```

Aşağıdaki istekle Wazuh yöneticisinin mevcut yapılandırmasını boşaltabilirsiniz (cevap, kısa olması için kısaltılmıştır):

```
curl -k -X GET "https://localhost:55000/manager/configuration?pretty=true&section=global" -H  "Authorization: Bearer $TOKEN"
```

<div aria-expanded="true" class="output highlight-json notranslate collapsible expanded"><div class="output-title" role="button">**Output**</div></div>```
{
  "data": {
    "affected_items": [
      {
        "global": {
          "jsonout_output": "yes",
          "alerts_log": "yes",
          "logall": "no",
          "logall_json": "no",
          "email_notification": "yes",
          "email_to": "me@test.example",
          "smtp_server": "mail.test.example",
          "email_from": "wazuh@test.example",
          "email_maxperhour": "12",
          "email_log_source": "alerts.log",
          "white_list": [
            "127.0.0.1",
            "^localhost.localdomain$",
            "8.8.8.8",
            "8.8.4.4"
          ]
        }
      }
    ],
    "total_affected_items": 1,
    "total_failed_items": 0,
    "failed_items": []
  },
  "message": "Configuration was successfully read in specified node",
  "error": 0
}
```

</section><section id="bkmrk-wazuh-acente-y%C3%B6netim">### Wazuh Agent Yönetimini Keşfetme

Wazuh ajanlarını yönetmek için Wazuh sunucu API'sini kullanabilirsiniz.

Aşağıdaki istek iki etkin etkeni sıralıyor:

```
curl -k -X GET "https://localhost:55000/agents?pretty=true&offset=1&limit=2&select=status%2Cid%2Cmanager%2Cname%2Cnode_name%2Cversion&status=active" -H  "Authorization: Bearer $TOKEN"
```

<div aria-expanded="true" class="output highlight-json notranslate collapsible expanded"><div class="output-title" role="button">**Output**</div></div>```
{
  "data": {
    "affected_items": [
      {
        "node_name": "worker2",
        "status": "active",
        "manager": "wazuh-worker2",
        "version": "Wazuh v4.7.4",
        "id": "001",
        "name": "wazuh-agent1"
      },
      {
        "node_name": "worker2",
        "status": "active",
        "manager": "wazuh-worker2",
        "version": "Wazuh v4.7.4",
        "id": "002",
        "name": "wazuh-agent2"
      }
    ],
    "total_affected_items": 9,
    "total_failed_items": 0,
    "failed_items": []
  },
  "message": "All selected agents information was returned",
  "error": 0
}
```

API isteği göndererek ajan adını ve IP adresini kullanarak yeni bir Wazuh ajanı ekleyin:

```
curl -k -X POST "https://localhost:55000/agents?pretty=true" -H  "Authorization: Bearer $TOKEN" -H  "Content-Type: application/json" -d "{\"name\":\"NewHost\",\"ip\":\"10.0.10.11\"}"
```

<div aria-expanded="true" class="output highlight-json notranslate collapsible expanded"><div class="output-title" role="button">**Output**</div></div>```
{
  "data": {
    "id": "013",
    "key": "MDEzIE5ld0hvc3RfMiAxMC4wLjEwLjEyIDkzOTE0MmE4OTQ4YTNlMzA0ZTdiYzVmZTRhN2Q4Y2I1MjgwMWIxNDI4NWMzMzk3N2U5MWU5NGJiMDc4ZDEzNjc="
  },
  "error": 0
}
```

</section><section id="bkmrk-g%C3%BCvenlik-olaylar%C4%B1n%C4%B1-">### Güvenlik Olaylarını İçe Aktarın

<p class="callout danger"><span class="versionmodified added">4.6.0 sürümündeki yenilikler.</span></p>

Güvenlik olaylarını analiz için Wazuh yöneticisine aktarmak amacıyla Wazuh sunucu API'sini kullanabilirsiniz.

Dakikada 30 istek ve istek başına 100 olay sınırı vardır. Bu sınır, uç noktaların büyük miktarda veriyi çok hızlı bir şekilde almasını önler. Bu sınırı daha da düşürmek veya özelliği devre dışı bırakmak için [<span class="std std-ref">max\_request\_per\_minute'i </span>](https://acikkaynak.lastguard.com.tr/books/kullanim-kilavuzu/page/yapilandirma)işaretleyin.

```
curl -k -X POST "https://localhost:55000/events" -H  "Authorization: Bearer $TOKEN" -H  "Content-Type: application/json" -d '{"events": ["Event value 1", "{\"someKey\": \"Event value 2\"}"]}'
```

<div aria-expanded="true" class="output highlight-json notranslate collapsible expanded"><div class="output-title" role="button">**Output**</div></div>```
{
  "data": {
    "affected_items": [

    ],
    "total_affected_items": 2,
    "total_failed_items": 0,
    "failed_items": []
  },
  "message": "All events were forwarded to analisysd",
  "error": 0
}
```

</section><section id="bkmrk-%C3%87%C3%B6z%C3%BCm-sonu%C3%A7-olarak%2C-">### Çözüm

Sonuç olarak, bu örnekler Wazuh API'nin yeteneklerini sergiliyor. Mevcut Wazuh sunucu API isteklerinin tam aralığını keşfetmek için [<span class="std std-ref">referans belgesini inceleyin.</span>](https://acikkaynak.lastguard.com.tr/books/kullanim-kilavuzu/chapter/referans)

</section>

# Wazuh Server Kümesi



# Wazuh Sunucu Kümesi

# Wazuh Indexer

Wazuh dizinleyicisi, güvenlik verileri için gerçek zamanlı, tam metin arama ve analiz motorudur. Wazuh sunucusuna alınan günlük verileri analiz edilir ve dizinleme ve depolama için dizinleyiciye iletilir. Bu olaylar daha sonra Wazuh panosunda sorgulanır.

Wazuh dizinleyicisi verileri JSON belgeleri olarak depolar. Her belge, bir dizi anahtarı, alan adını veya özniteliği, karakterler, sayılar, boole değerleri, tarihler, değer dizileri, coğrafi konumlar veya diğer veri türleri olabilen karşılık gelen değerleriyle ilişkilendirir.

Wazuh dizinleyicisi, ölçeklenebilirlik ve yüksek kullanılabilirlik sağlayan tek düğümlü veya çok düğümlü bir küme olarak yapılandırılabilir. Belgeleri, shard olarak bilinen farklı kapsayıcılara dağıtır. Sırayla, bu shard'ları küme düğümlerine dağıtır. Belgeleri birden fazla shard'a ve bu shard'ları birden fazla düğüme dağıtarak, Wazuh dizinleyicisi yedekliliği garanti eder. Yedeklilik, bir arıza durumunda Wazuh dizinleyicisinin kullanılabilirliğini garanti eder ve küme düğümleri arasında sorgu kapasitesini artırır.

# Wazuh Indexer Endeksleri

Bir dizin, birbirleriyle ilişkili belgelerin bir koleksiyonudur. Wazuh dizinleyicisi, hızlı erişim için güvenlik verilerini depolamak ve düzenlemek için dizinleri kullanır. Wazuh, bu verileri depolamak için aşağıdaki dizin desenlerini kullanır:

- <span class="std std-ref">wazuh‑alerts-\*</span> : Bu, Wazuh sunucusu tarafından oluşturulan uyarılar için dizin desenidir.
- <span class="std std-ref">wazuh‑archives-\*</span> : Bu, Wazuh sunucusuna gönderilen tüm olaylar için dizin desenidir.
- <span class="std std-ref">wazuh‑monitoring-\*</span> : Bu, Wazuh aracılarının durumu için endeks desenidir.
- <span class="std std-ref">wazuh‑statistics-\*</span> : Bu, Wazuh sunucusunun istatistiksel bilgilerine ait dizin desenidir.
- <span class="std std-ref">wazuh-states-vulnerabilities-\*</span> : - Bu, izlenen uç noktalarda tespit edilen güvenlik açıkları hakkındaki bilgilere yönelik dizin desenidir.

Uyarılar için dizin desenini daha da özelleştirmek için özel bir dizin deseni oluşturabilirsiniz.

<section id="bkmrk-%C3%96zel-izin-deseni-olu">### Özel İzin Deseni Oluşturma

`<span class="pre">my-custom-alerts-*</span>`Bu bölümde , varsayılan desen olan . ile birlikte örneğin . gibi özel bir dizin deseninin nasıl oluşturulacağı açıklanmaktadır. `<span class="pre">wazuh-alerts-*</span>`Kök kullanıcıya geçin ve aşağıdaki adımları uygulayın.

1. Filebeat hizmetini durdurun:
    
    ```
    systemctl stop filebeat
    ```
2. Wazuh şablonunu indirin ve bir dosyaya kaydedin (örneğin, `<span class="pre">template.json</span>`):
    
    ```
    curl -so template.json https://raw.githubusercontent.com/wazuh/wazuh/v4.9.2/extensions/elasticsearch/7.x/wazuh-template.json
    ```
3. Şablon dosyasını açın ve dosyanın başında şu satırı bulun:
    
    ```
    "index_patterns": [
      "wazuh-alerts-4.x-*",
      "wazuh-archives-4.x-*"
    ],
    ```
    
    Özel deseninizi şu şekilde görünecek şekilde ekleyin:
    
    ```
    "index_patterns": [
      "wazuh-alerts-4.x-*",
      "wazuh-archives-4.x-*",
      "my-custom-alerts-*"
    ],
    ```
    
    Dizin desenlerindeki yıldız karakteri ( `<span class="pre">*</span>`) önemlidir çünkü Filebeat, Wazuh panosundaki uyarıları görselleştirmek için doğru formatı uygulamak için gerekli olan bu deseni izleyen bir ad kullanarak dizinler oluşturacaktır.
4. Değişiklikleri kaydedin ve yeni şablonu Wazuh indeksleyicisine ekleyin. Bu, mevcut şablonu değiştirecektir:
    
    ```
    curl -XPUT -k -u <INDEXER_USERNAME>:<INDEXER_PASSWORD> 'https://<INDEXER_IP_ADDRESS>:9200/_template/wazuh' -H 'Content-Type: application/json' -d @template.json
    ```
    
    Yer değiştirmek:
    
    
    - `<span class="pre"><INDEXER_IP_ADDRESS></span>`Wazuh dizinleyicinizin IP adresiyle
    - `<span class="pre"><INDEXER_USERNAME></span>`ve `<span class="pre"><INDEXER_PASSWORD></span>`Wazuh dizinleyici kullanıcı adı ve parolasıyla. Yeni dağıtımlar için Wazuh dizinleyici kimlik bilgilerini şu komutu kullanarak alabilirsiniz:
    
    <p class="callout info">Not: Wazuh OVA kullanıyorsanız varsayılan kimlik bilgilerini kullanın veya [<span class="doc">parola yönetimi</span>](https://documentation.wazuh.com/current/user-manual/user-administration/password-management.html)`<span class="pre">admin:admin</span>` bölümüne bakın .</p>
    
    <div class="admonition note"> </div>```
    tar -axf wazuh-install-files.tar wazuh-install-files/wazuh-passwords.txt -O | grep -P "\'admin\'" -A 1
    ```
    
    <div aria-expanded="true" class="output highlight-output notranslate collapsible expanded"><div class="output-title" role="button">**Output**</div></div>```
    {"acknowledged":true}
    ```
    
    <p class="callout info">Not: `<span class="pre">{"acknowledged":true}</span>`şablonun doğru şekilde eklendiğini gösterir.</p>
    
    <div class="admonition note"> </div><p class="callout warning">Uyarı: `<span class="pre">wazuh-alerts-*</span>`5. adımı yalnızca varsayılan uyarı dizini modelini ve/veya varsayılan arşiv dizini modelini . `<span class="pre">wazuh‑archives-*</span>`ile değiştirmek istiyorsanız uygulayın `<span class="pre">my-custom-alerts-*</span>`.</p>
    
    <div class="admonition warning"> </div>
5. Wazuh uyarı yapılandırma dosyasını `<span class="pre">/usr/share/filebeat/module/wazuh/alerts/manifest.yml</span>`ve isteğe bağlı olarak arşiv dosyasını açın `<span class="pre">/usr/share/filebeat/module/wazuh/archives/manifest.yml</span>`ve dizin adını değiştirin.
    
    Örneğin, şuradan:
    
    ```
    - name: index_prefix
      default: wazuh-alerts-
    ```
    
    Buna:
    
    ```
    - name: index_prefix
      default: my-custom-alerts-
    ```
    
    <p class="callout info">Not: Dizin adı `<span class="pre">#</span>`, `<span class="pre">\</span>`, `<span class="pre">/</span>`, `<span class="pre">*</span>`, `<span class="pre">?</span>`, `<span class="pre">"</span>`, `<span class="pre"><</span>`, `<span class="pre">></span>`, `<span class="pre">|</span>`, karakterlerini içermemeli ve , , veya `<span class="pre">,</span>`ile başlamamalıdır . Ayrıca, tüm harfler küçük harf olmalıdır.`<span class="pre">_</span>``<span class="pre">-</span>``<span class="pre">+</span>`</p>
    
    <div class="admonition note"> </div>
6. (İsteğe bağlı) Yeni dizin desenini varsayılan olarak kullanmak istiyorsanız, dosyayı açın `<span class="pre">/usr/share/wazuh-dashboard/data/wazuh/config/wazuh.yml</span>`ve aşağıdaki yapılandırmayı ekleyin:
    
    ```
    pattern: my-custom-alerts-*
    ```
    
    Bu, Wazuh sunucusunun yeni endeks desenini otomatik olarak oluşturmasını ve/veya seçmesini sağlayacaktır.
7. Filebeat'i ve Wazuh sunucu bileşenlerini yeniden başlatın:
    
    ```
    systemctl restart filebeat
    systemctl restart wazuh-manager
    systemctl restart wazuh-indexer
    systemctl restart wazuh-dashboard
    ```

<p class="callout warning">Uyarı: Önceki adla oluşturulmuş dizinleriniz varsa, bunlar değiştirilmeyecektir. Bunları görmek için yine de önceki dizin düzenine geçebilir veya mevcut dizinleri yeniden adlandırmak için [<span class="doc">yeniden dizinleme yapabilirsiniz.</span>](https://acikkaynak.lastguard.com.tr/books/kullanim-kilavuzu/page/yeniden-indeksleme)</p>

  
</section><section id="bkmrk-endeks-bilgilerinin-">### Endeks Bilgilerinin Kontrol Edilmesi

Wazuh endeksleri hakkında bilgiye iki şekilde ulaşabilirsiniz.

- Web kullanıcı arayüzünü kullanma.
- Wazuh indeksleyici API'sine bir istekte bulunuluyor.

<section id="bkmrk-web-kullan%C4%B1c%C4%B1-aray%C3%BCz">#### Web Kullanıcı Arayüzünü Kullanma

1. Wazuh kontrol panelinin sol üst menüsünde **☰ , Dizin Yönetimi** &gt; **Dizin Yönetimi'ne** gidin.
    
    <div class="wazuh-image-wrapper align-center">![Endeks yönetimi menü seçeneği](https://documentation.wazuh.com/current/_images/opensearch-plugins-index-management-option1.png)  
    </div>
2. **Endekslere** tıklayın.
    
    <div class="wazuh-image-wrapper align-center">![Endeks yönetimi endeksleri seçeneği](https://documentation.wazuh.com/current/_images/opensearch-plugins-index-management-indices1.png)</div>  
    Desen Wazuh panosunda mevcut değilse, `<span class="pre">my-custom-alerts-*</span>` şablonda kullanılan dizin desenini kullanarak yeni bir tane oluşturun ve **Zaman Filtresi** alan adı olarak `<span class="pre">timestamp</span>` kullandığınızdan emin olun .
    
    <div class="wazuh-image-wrapper align-center">![Özel uyarı dizini deseni oluşturma](https://documentation.wazuh.com/current/_images/create-custom-alerts-index-pattern1.gif)</div>

</section><section id="bkmrk-wazuh-dizinleyici-ap">#### Wazuh Indexer API'sini Kullanma

Wazuh gösterge panelinden veya Wazuh sunucusundan Wazuh indeksleyici API'sini kullanarak endeks bilgilerini sorgulayabilirsiniz.

<section id="bkmrk-wazuh-g%C3%B6sterge-panel">##### Wazuh Dashboard 

1. **☰** &gt; **Dizinleyici yönetimi** &gt; **Geliştirme Araçları'na** gidin :
    
    ```
    GET /_cat/indices/wazuh-*?v
    ```
    
    <div class="wazuh-image-wrapper align-center">![Dev Tools endeksleri listesi](https://documentation.wazuh.com/current/_images/dev-tools-indices-list1.png)</div>

</section><section id="bkmrk-komut-sat%C4%B1r%C4%B1-aray%C3%BCz%C3%BC">#### Komut Satırı Arayüzü

1. Aşağıdaki komutu kullanarak yeni dağıtımlar için Wazuh dizinleyici kullanıcı adı ve parolasını edinin:
    
    ```
    tar -axf wazuh-install-files.tar wazuh-install-files/wazuh-passwords.txt -O | grep -P "\'admin\'" -A 1
    ```
    
    <p class="callout info">Not: Wazuh OVA kullanıyorsanız varsayılan kimlik bilgilerini admin:admin olarak kullanın veya [<span class="doc">parola yönetimi</span>](https://documentation.wazuh.com/current/user-manual/user-administration/password-management.html) bölümüne bakın.</p>
    
    <div class="admonition note"> </div>
2. Dizin durumunuzu sorgulamak için aşağıdaki komutu çalıştırın. ve'yi elde edilen kullanıcı adı ve parola ile değiştirin. Wazuh dizinleyici IP adresiniz veya FQDN'nizle değiştirin `<span class="pre"><INDEXER_USERNAME></span>`. Sorgunuz için daha belirli bir desenle değiştirebilirsiniz, örneğin .`<span class="pre"><INDEXER_PASSWORD></span>``<span class="pre"><INDEXER_IP_ADDRESS></span>``<span class="pre">wazuh-*</span>``<span class="pre">wazuh-alerts-*</span>`
    
    ```
    curl -k -u <INDEXER_USERNAME>:<INDEXER_PASSWORD> https://<INDEXER_IP_ADDRESS>:9200/_cat/indices/wazuh-*?v
    ```
    
    <div aria-expanded="true" class="output highlight-output notranslate collapsible expanded"><div class="output-title" role="button">**Output**</div></div>```
    health status index                       uuid                   pri rep docs.count docs.deleted store.size pri.store.size
    green  open   wazuh-statistics-2023.30w   xtHZtGqBR0WNJWbs5sjrnQ   1   0       2394            0      1.2mb          1.2mb
    green  open   wazuh-alerts-4.x-2023.07.28 VbBfAasJTsiqw3lwRhY5sg   3   0        513            0      1.9mb          1.9mb
    green  open   wazuh-alerts-4.x-2023.07.27 7s2x8INqRVmtz5uqMDuA7Q   3   0        515            0        2mb            2mb
    green  open   wazuh-alerts-4.x-2023.07.05 0h4cyLJoQYiMvMnqyLDnag   3   0         49            0    370.4kb        370.4kb
    green  open   wazuh-alerts-4.x-2023.07.07 kp_N4c7RRuOE91KkuqPuAw   3   0         98            0    397.7kb        397.7kb
    green  open   wazuh-alerts-4.x-2023.07.29 rbAC4befS7epxOjiSzFRQQ   3   0       1717            0      3.9mb          3.9mb
    green  open   wazuh-monitoring-2023.31w   1WwxsGQHRfG1_DOIZD-Lag   1   0        954            0    771.9kb        771.9kb
    green  open   wazuh-alerts-4.x-2023.07.20 SQbaQC24SgO9eWO_AsBI_w   3   0       1181            0      2.8mb          2.8mb
    green  open   wazuh-statistics-2023.28w   jO52bS6eRamtB2YNmfGzIA   1   0        676            0    501.1kb        501.1kb
    ```

</section></section></section><section id="bkmrk-wazuh%E2%80%91alerts-%2A-endek"><span id="bkmrk--4"></span>### wazuh‑alerts-\* Endeksleri

Wazuh sunucusu izlenen uç noktalardan alınan olayları analiz eder ve olaylar bir algılama kuralıyla eşleştiğinde uyarılar üretir. Bu uyarılar dizinler kullanılarak kaydedilir `<span class="pre">wazuh-alerts-*</span>`.

Wazuh sunucusu uyarı verilerini varsayılan olarak `<span class="pre">/var/ossec/logs/alerts/alerts.json</span>`ve dosyalarına kaydeder. Dosyaya kaydedildikten sonra, JSON uyarı belgesini indeksleme için Wazuh indeksleyici API'sine iletir. İndekslenen dosyalar Wazuh indeksleyicisinin dizininde saklanır.`<span class="pre">/var/ossec/logs/alerts/alerts.log</span>``<span class="pre">/var/ossec/logs/alerts/alerts.json</span>``<span class="pre">/var/lib/wazuh-indexer/nodes/0/indices</span>`

Wazuh dizinleyicisine uyarıları iletirken, Wazuh sunucusu geçerli tarihi bir dizin adına biçimlendirir. Örneğin, Wazuh sunucusu dizin adlarını `<span class="pre">wazuh-alerts-4.x-2023.03.17</span>`ve `<span class="pre">wazuh-alerts-4.x-2023.03.18</span>`sırasıyla 17 ve 18 Mart uyarılarını tanımlar. Wazuh dizinleyicisi daha sonra tanımlanan `<span class="pre">wazuh‑alerts-*</span>`dizin adlarını kullanarak uyarı dizinleri oluşturur.

`<span class="pre">/usr/share/filebeat/module/wazuh/alerts/ingest/pipeline.json</span>`Wazuh sunucusunun dosyasındaki varsayılan dizin adını değiştirebilirsiniz . Bunu yapmak için, dosyadaki varsayılan dizin adı biçimlendirmesini değiştirmek için `<span class="pre">date_index_name</span>`alana ve anahtara gidin :`<span class="pre">date_rounding</span>``<span class="pre">/usr/share/filebeat/module/wazuh/alerts/ingest/pipeline.json</span>`

```
{
  "description": "Wazuh alerts pipeline",
  "processors": [
     { "json" : { "field" : "message", "add_to_root": true } },
     {
     "geoip": {
     "field": "data.srcip",
     "target_field": "GeoLocation",
     "properties": ["city_name", "country_name", "region_name", "location"],
     "ignore_missing": true,
     "ignore_failure": true
     }
     },
     {
     "geoip": {
     "field": "data.win.eventdata.ipAddress",
     "target_field": "GeoLocation",
     "properties": ["city_name", "country_name", "region_name", "location"],
     "ignore_missing": true,
     "ignore_failure": true
     }
     },
     {
     "geoip": {
     "field": "data.aws.sourceIPAddress",
     "target_field": "GeoLocation",
     "properties": ["city_name", "country_name", "region_name", "location"],
     "ignore_missing": true,
     "ignore_failure": true
     }
     },
     {
     "geoip": {
     "field": "data.gcp.jsonPayload.sourceIP",
     "target_field": "GeoLocation",
     "properties": ["city_name", "country_name", "region_name", "location"],
     "ignore_missing": true,
     "ignore_failure": true
     }
     },
     {
     "geoip": {
     "field": "data.office365.ClientIP",
     "target_field": "GeoLocation",
     "properties": ["city_name", "country_name", "region_name", "location"],
     "ignore_missing": true,
     "ignore_failure": true
     }
     },
     {
     "date": {
     "field": "timestamp",
     "target_field": "@timestamp",
     "formats": ["ISO8601"],
     "ignore_failure": false
     }
     },
     {
     "date_index_name": {
     "field": "timestamp",
     "date_rounding": "d",
     "index_name_prefix": "{{fields.index_prefix}}",
     "index_name_format": "yyyy.MM.dd",
     "ignore_failure": false
     }
     },
     { "remove": { "field": "message", "ignore_missing": true, "ignore_failure": true } },
     { "remove": { "field": "ecs", "ignore_missing": true, "ignore_failure": true } },
     { "remove": { "field": "beat", "ignore_missing": true, "ignore_failure": true } },
     { "remove": { "field": "input_type", "ignore_missing": true, "ignore_failure": true } },
     { "remove": { "field": "tags", "ignore_missing": true, "ignore_failure": true } },
     { "remove": { "field": "count", "ignore_missing": true, "ignore_failure": true } },
     { "remove": { "field": "@version", "ignore_missing": true, "ignore_failure": true } },
     { "remove": { "field": "log", "ignore_missing": true, "ignore_failure": true } },
     { "remove": { "field": "offset", "ignore_missing": true, "ignore_failure": true } },
     { "remove": { "field": "type", "ignore_missing": true, "ignore_failure": true } },
     { "remove": { "field": "host", "ignore_missing": true, "ignore_failure": true } },
     { "remove": { "field": "fields", "ignore_missing": true, "ignore_failure": true } },
     { "remove": { "field": "event", "ignore_missing": true, "ignore_failure": true } },
     { "remove": { "field": "fileset", "ignore_missing": true, "ignore_failure": true } },
     { "remove": { "field": "service", "ignore_missing": true, "ignore_failure": true } }
  ],
  "on_failure" : [{
     "drop" : { }
  }]
}
```

Değerlerin olduğu yer:

<div class="line-block"><div class="line">`<span class="pre">M</span>`- ay anlamına gelir</div><div class="line">`<span class="pre">w</span>`- hafta anlamına gelir</div><div class="line">`<span class="pre">d</span>`- günü temsil eder</div></div></section><section id="bkmrk-wazuh%E2%80%91archives-%2A-end"><span id="bkmrk--5"></span>### wazuh‑archives-\* Endeksleri

`<span class="pre">/var/ossec/logs/alerts/alerts.json</span>`ve dosyalarına uyarıları kaydetmenin yanı sıra `<span class="pre">/var/ossec/logs/alerts/alerts.log</span>`, Wazuh arşivlerini Wazuh sunucusunun aldığı tüm olayları kaydetmesi ve dizine eklemesi için etkinleştirebilirsiniz. Bu, Wazuh tarafından analiz edilen olayları ve uyarıları tetiklemeyen olayları içerir.

Tüm olayları depolamak ve dizinlemek daha sonraki analiz ve uyumluluk gereksinimleri için yararlı olabilir. Ancak, tüm olayların günlüğe kaydedilmesini ve dizinlenmesini etkinleştirmenin Wazuh sunucusundaki depolama gereksinimini artıracağını göz önünde bulundurmalısınız.

`<span class="pre">/usr/share/filebeat/module/wazuh/archives/ingest/pipeline.json</span>`Varsayılan olarak, Wazuh dizinleyici her benzersiz gün için olay dizinleri oluşturur. Wazuh sunucusunun dosyasındaki varsayılan dizin adını değiştirebilirsiniz . Bunu yapmak için:

1. Alana gidin `<span class="pre">date_index_name</span>`.
2. Anahtarı bulun `<span class="pre">date_rounding</span>`ve dosyadaki varsayılan dizin adı biçimlendirmesini değiştirin `<span class="pre">/usr/share/filebeat/module/wazuh/archives/ingest/pipeline.json</span>`.

Aşağıdaki bölümlerde wazuh arşivlerinin nasıl etkinleştirileceği ve endekslerin nasıl ayarlanacağı hakkında ayrıntılar verilmektedir `<span class="pre">wazuh-archives-*</span>`.

<section id="bkmrk-wazuh-ar%C5%9Fivlerini-et">#### Wazuh Arşivlerini Etkinleştirme

1. `<span class="pre">/var/ossec/etc/ossec.conf</span>`Wazuh sunucusunda düzenleme yapın ve `<span class="pre"><logall_json></span>`satırı . olarak ayarlayın. Bu, tüm olayların [<span class="std std-ref">archives.json</span>](https://documentation.wazuh.com/current/user-manual/reference/ossec-conf/global.html#reference-ossec-global-logall-json)`<span class="pre">yes</span>` dosyasına kaydedilmesini sağlar . Wazuh dizinleyicisine iletmek, tüm olayların JSON formatında kaydedilmesini gerektirir.
    
    ```
    <logall_json>yes</logall_json>
    ```
2. Değişikliğin etkili olması için Wazuh yöneticisini yeniden başlatın.
    
    ```
    systemctl restart wazuh-manager
    ```
    
    veya
    
    ```
    service wazuh-manager restart
    ```
3. Arşiv eşlemesinde düzenleme yapın `<span class="pre">/etc/filebeat/filebeat.yml</span>`ve değiştirin `<span class="pre">enabled</span>`. `<span class="pre">true</span>`Bu, olayların Wazuh dizinleyicisine iletilmesini sağlar.
    
    ```
    filebeat.modules:
     - module: wazuh
      alerts:
       enabled: true
      archives:
       enabled: true
    ```
4. Değişikliği uygulamak için Filebeat hizmetini yeniden başlatın:
    
    ```
    systemctl restart filebeat
    ```
5. Filebeat hizmetinin düzgün çalıştığını test edin:
    
    ```
    filebeat test output
    ```
    
    <div aria-expanded="true" class="output highlight-output notranslate collapsible expanded"><div class="output-title" role="button">**Output**</div></div>```
    elasticsearch: https://127.0.0.1:9200...
      parse url... OK
      connection...
        parse host... OK
        dns lookup... OK
        addresses: 127.0.0.1
        dial up... OK
      TLS...
        security: server's certificate chain verification is enabled
        handshake... OK
        TLS version: TLSv1.2
        dial up... OK
      talk to server... OK
      version: 7.10.2
    ```

</section><section id="bkmrk-endeks-desenini-tan%C4%B1">### Endeks Pattern Tanımlama

1. Wazuh kontrol panelinin sol üst menüsünde **☰ , Kontrol Paneli yönetimi** &gt; **Kontrol Paneli Yönetimi'ne** gidin ve **Endeks Desenleri'ne** tıklayın .
2. **Dizin deseni oluştur'a** tıklayın .
3. **Dizin desen adı**`<span class="pre">wazuh-archives-*</span>` olarak ayarlayın . Bu, iletilen ve dizine eklenen olaylarla eşleşecek dizin desenini tanımlar. **Sonraki adım'a** tıklayın .
4. **Zaman** alanı için **zaman damgasını** seçin.
5. **Dizin deseni oluştur'a** tıklayın.

</section><section id="bkmrk-endeks-desenini-g%C3%B6r%C3%BC"><p class="callout info">Not: *@timestamp* yerine *timestamp* seçeneğini seçmeye dikkat edin .</p>

### Endeks Pattern Görüntüleme

1. Sol üst menüde **Keşfet'e ☰** tıklayın ve ardından **Keşfet'e** tıklayın .
2. Etkinlikleri görüntülemek için **wazuh-archives-\*** öğesini seçin .
    
    <div class="wazuh-image-wrapper align-center">![Wazuh arşiv etkinlikleri](https://documentation.wazuh.com/current/_images/wazuh-archives-events1.png)</div>

</section></section><section id="bkmrk-wazuh-monitoring-%2A-e"><span id="bkmrk--7"></span>### wazuh-monitoring-\* Endeksleri

Kayıtlı bir Wazuh temsilcisinin herhangi bir andaki bağlantı durumu aşağıdakilerden biridir:

- **Aktif**
- **Bağlantısı kesildi**
- **Askıda olması**
- **Hiç bağlanmadı**

Wazuh, tüm aracılarının bağlantı durumlarının geçmişini depolar. Varsayılan olarak, aracı bağlantı durumunu `<span class="pre">wazuh‑monitoring-*</span>`dizinleri kullanarak dizinler. Wazuh dizinleyicisi varsayılan olarak haftada bir bu dizinlerden birini oluşturur. [<span class="doc">Özel oluşturma aralıkları</span>](https://acikkaynak.lastguard.com.tr/books/kullanim-kilavuzu/page/wazuh-dashboard-ayarlari) hakkındaki belgeleri kontrol edin . Bu dizinler varsayılan olarak tüm aracıların bağlantı durumunu her 15 dakikada bir depolar. [<span class="doc">API isteklerinin sıklığı</span>](https://acikkaynak.lastguard.com.tr/books/kullanim-kilavuzu/page/wazuh-dashboard-ayarlari) hakkındaki belgeleri kontrol edin .

Wazuh panosu, aracı durumu hakkında bilgi görüntülemek için bu endekslere ihtiyaç duyar. Örneğin, **☰** &gt; **Sunucu yönetimi** &gt; **Uç Nokta Özeti'ne** tıklayarak , Wazuh aracısının bağlantı durumu ve belirlenen zaman dilimlerindeki geçmiş evrimi gibi bilgileri görebilirsiniz.

<div class="wazuh-image-wrapper align-center">![Temsilciler panosundaki durum ve evrim](https://documentation.wazuh.com/current/_images/status-evolution-agents-dashboard1.png)</div>[<span class="doc">Wazuh panosu yapılandırma dosyasında</span>](https://acikkaynak.lastguard.com.tr/books/kullanim-kilavuzu/page/wazuh-dashboard-ayarlari) , aşağıdakileri yapmak için ayarları değiştirebilirsiniz:

- Aracılar için bağlantı durumu verilerinin eklenmesini ve gösterilmesini devre dışı bırakın. Bunu başarmak için <span class="doc">wazuh.monitoring.enabled'ı değiştirin.</span>
- Aracılar için bağlantı durumu verilerinin ekleme sıklığını değiştirin. Bunu başarmak için [<span class="doc">wazuh.monitoring.frequency'yi değiştirin.</span>](https://acikkaynak.lastguard.com.tr/books/kullanim-kilavuzu/page/wazuh-dashboard-ayarlari)

</section><section id="bkmrk-wazuh-istatistik-%2A-e"><span id="bkmrk--9"></span>### Wazuh-istatistik-\* Endeksleri

Wazuh panosu, `<span class="pre">wazuh‑statistics-*</span>`Wazuh sunucu kullanımı ve performansı hakkında istatistikleri görüntülemek için endeksleri kullanır. Görüntülenen bilgiler arasında kod çözülen olay sayısı, alınan baytlar ve TCP oturumları bulunur.

Wazuh panosu, kullanımla ilgili bilgileri sorgulamak için Wazuh yönetici API'sine istekler çalıştırır. `<span class="pre">wazuh‑statistics-*</span>`Toplanan bilgilerden endekslere veri ekler. Wazuh endeksleyicisi `<span class="pre">wazuh‑statistics-*</span>`varsayılan olarak haftada bir endeks oluşturur. [<span class="doc">İstatistik oluşturma aralığı hakkındaki belgeleri kontrol edin. Bu endeksler varsayılan olarak Wazuh sunucusu istatistiklerini her 5 dakikada bir depolar. </span>](https://acikkaynak.lastguard.com.tr/books/kullanim-kilavuzu/page/wazuh-dashboard-ayarlari)<span class="doc">Görev yürütme sıklığı</span> hakkındaki belgeleri kontrol edin .

Bu bilgileri Wazuh panosunda görüntülemek için **Sunucu yönetimi** &gt; **İstatistikler** bölümüne gidin.

<div class="wazuh-image-wrapper align-center">![İstatistik analiz motoru panosu](https://documentation.wazuh.com/current/_images/statistics-analysis-engine-dashboard1.png)</div></section><section id="bkmrk-wazuh-states-vulnera"><span id="bkmrk--11"></span>### wazuh-states-vulnerabilities-\* Endeksleri

Dizin deseni, `<span class="pre">wazuh-states-vulnerabilities-*</span>`izlenen varlıkların güvenlik açığı durumuyla ilgili verileri depolamak için Wazuh'ta kullanılır. Bu dizin genellikle izlenen sistemlerde tespit edilen güvenlik açıkları hakkında bilgi içerir; bu bilgiler arasında ciddiyet, durum, etkilenen yazılım ve güvenlik açığı referansı gibi ayrıntılar bulunur. `<span class="pre">*</span>`Dizin deseninin sonunda, benzer adlara sahip, zamana veya diğer faktörlere göre bölümlere ayrılmış birden fazla dizinin oluşturulmasına olanak tanır. Bu, güvenlik açığı verilerinin zaman içinde verimli bir şekilde depolanmasını ve alınmasını sağlar.

Bu bilgileri Wazuh panosunda görüntülemek için Wazuh panosu ana sayfasından **Güvenlik Açığı Tespiti'ne tıklayın.**

<div class="wazuh-image-wrapper align-center">![Wazuh, güvenlik açıkları endekslerini belirtiyor](https://documentation.wazuh.com/current/_images/wazuh-states-vulnerabilities-indices-11.png)  
</div><div class="wazuh-image-wrapper align-center">![Wazuh, güvenlik açıkları endekslerini belirtiyor](https://documentation.wazuh.com/current/_images/wazuh-states-vulnerabilities-indices-21.png)</div></section>

# Yeniden İndeksleme

<section id="bkmrk-dizinin-veri-%C5%9Femas%C4%B1n">Dizinin veri şemasında değişiklikler yapıldığında, bu değişiklikleri yansıtmak için verileri yeniden dizinlemek gerekir. Mevcut veriler yeniden dizinleme yapılmadan güncellenen şemayla eşleşmeyebilir ve bu da sorgular sırasında veri tutarsızlıklarına veya hatalara yol açabilir. Yeniden dizinleme, verilerinizin tamamını veya bir alt kümesini bir kaynak dizinden hedef dizine kopyalamanıza olanak tanır.

Mevcut bir dizini yeniden dizinlemek için Wazuh panosunda veya Wazuh sunucusunda aşağıdaki adımları uygulayın.

<section id="bkmrk-wazuh-dashboard-sol-">### Wazuh Dashboard

1. **Sol üst menüye ☰** tıklayın ve **Indexer yönetimine,** ardından da **Dev Tools'a** gidin .
2. Aşağıdaki API çağrısını, `<span class="pre">my-source-index</span>`kaynak dizin deseniyle ve `<span class="pre">my-destination-index</span>`hedef dizin deseniyle değiştirerek girin.
    
    ```
    POST /_reindex
    {
       "source":{
          "index":"my-source-index"
       },
       "dest":{
          "index":"my-destination-index"
       }
    }
    ```
    
    Örneğin:
    
    ```
    POST /_reindex
    {
       "source":{
          "index":"wazuh-alerts-*"
       },
       "dest":{
          "index":"example-alerts"
       }
    }
    ```
    
    <div aria-expanded="true" class="output highlight-output notranslate collapsible expanded"><div class="output-title" role="button">**Output**</div></div>```
    {
      "took": 23655,
      "timed_out": false,
      "total": 26849,
      "updated": 0,
      "created": 26849,
      "deleted": 0,
      "batches": 27,
      "version_conflicts": 0,
      "noops": 0,
      "retries": {
        "bulk": 0,
        "search": 0
      },
      "throttled_millis": 0,
      "requests_per_second": -1,
      "throttled_until_millis": 0,
      "failures": []
    }
    ```

</section><section id="bkmrk-komut-sat%C4%B1r%C4%B1-aray%C3%BCz%C3%BC">### Komut Satırı Arayüzü

Wazuh API'sine kimlik doğrulaması yapmasına izin verilen herhangi bir Wazuh merkezi bileşeninde aşağıdaki komutu çalıştırın. `<span class="pre"><INDEXER_USERNAME></span>`ve'yi `<span class="pre"><INDEXER_PASSWORD></span>`dizinleyici kullanıcı adı ve parolasıyla değiştirin:

```
curl -k -u "<INDEXER_USERNAME>:<INDEXER_PASSWORD>" -XPOST "https://<INDEXER_IP_ADDRESS>:9200/_reindex" -H 'Content-Type: application/json' -d'
{
   "source":{
      "index":"my-source-index"
   },
   "dest":{
      "index":"my-destination-index"
   }
}'
```

Örneğin:

```
root@wazuh-server:~$ curl -k -u "INDEXER_USERNAME:INDEXER_PASSWORD" -XPOST "https://<INDEXER_IP_ADDRESS>:9200/_reindex" -H 'Content-Type: application/json' -d'
{
   "source":{
      "index":"wazuh-alerts-*"
   },
   "dest":{
      "index":"example-alerts"
   }
}'
```

<div aria-expanded="true" class="output highlight-output notranslate collapsible expanded"><div class="output-title" role="button">**Output**</div></div>```
{"took":18025,"timed_out":false,"total":26854,"updated":26854,"created":0,"deleted":0,"batches":27,"version_conflicts":0,"noops":0,"retries":{"bulk":0,"search":0},"throttled_millis":0,"requests_per_second":-1.0,"throttled_until_millis":0,"failures":[]}
```

</section></section>

# Index Yaşam Döngüsü Yönetimi

<section id="bkmrk-dizin-ya%C5%9Fam-d%C3%B6ng%C3%BCs%C3%BC-"><span>Dizin yaşam döngüsü yönetimi, bir dizinin yaşam döngüsünü kontrol ederek Wazuh dizinleyici kümesi performansını optimize etmeye yardımcı olur. Dizin devretme ve silme gibi periyodik işlemler gerçekleştirebilirsiniz. Bu periyodik işlemler Dizin Durumu Yönetimi (ISM) politikaları kullanılarak yapılandırılır.</span>

<span>Dizin Durumu Yönetimi (ISM), bu operasyonel görevleri otomatikleştirmenizi sağlar. ISM kullanarak verileriniz için saklama politikaları gibi yaşam döngüsü politikalarını uygulayabilirsiniz. ISM, politikalarınıza ve dizin yaşı, boyutu ve belge sayısında algılanan değişikliklere göre dizin işlemlerini otomatik olarak tetikler.</span>

<span>Bu bölümde, Wazuh dizinleyici depolama alanının optimizasyonu için dizin yaşam döngüsünü yönetmek üzere bazı yapılandırma seçenekleri ele alınmaktadır.</span>

<section id="bkmrk-index-tutma-g%C3%BCvenlik">## <span>Index Tutma</span>

<span>Güvenlik standartları, verilerin denetimler için asgari bir süre boyunca erişilebilir tutulmasını gerektirir. Bu saklama süresinden daha eski veriler için, depolama alanından tasarruf etmek amacıyla verileri silmek isteyebilirsiniz.</span>

<span>Silme işlemlerini otomatik olarak işlemek için belirli politikalar tanımlayabilirsiniz. Bu politikaları dizin geçişleri için de yararlı bulabilirsiniz.</span>

<section id="bkmrk-bir-saklama-politika">### <span>Bir Saklama Politikası Oluşturma</span>

<section id="bkmrk-g%C3%B6rsel-d%C3%BCzenleyiciyi">#### <span>Görsel Düzenleyiciyi Kullanma</span>

1. <span>Sol üst menüye tıklayın </span>**<span>☰ , </span><span>Indexer yönetimine</span>**<span> gidin ve </span>**<span>Index Yönetimi'ni seçin. </span><span>Durum yönetimi politikalarını</span>**<span> seçin ve </span>**<span>Politika oluştur'a</span>**<span> tıklayın . </span>**<span>Görsel düzenleyiciyi</span>**<span> seçin ve </span>**<span>Devam'a</span>**<span> tıklayın.  
      
    </span>
    
    <div class="wazuh-image-wrapper align-center">![Devlet yönetim politikaları](https://documentation.wazuh.com/current/_images/state-management-policies1.png)  
    </div><div class="wazuh-image-wrapper align-center">![Görsel düzenleyici yapılandırma yöntemi](https://documentation.wazuh.com/current/_images/configuration-method-visual1.png)</div>
2. <span>**Politika bilgisi** bölümüne benzersiz bir </span>**<span>Politika Kimliği</span>**<span> girin . Örneğin, `<span class="pre">wazuh-alert-retention-policy</span>`. İsteğe bağlı olarak politikayı **Açıklama** alanında tanımlayabilirsiniz .  
      
    </span>
    
    <div class="wazuh-image-wrapper align-center">![Politika oluştur](https://documentation.wazuh.com/current/_images/create-policy5.png)</div>
3. <span>**ISM şablonları** altında </span>**<span>Şablon ekle'ye</span>**<span> tıklayın ve bu politikayı gelecekteki uyarı dizinlerine otomatik olarak uygulamak gibi bir dizin deseni girin . Öncelik varsayılan değerine ayarlanır ve başka herhangi bir değere ayarlanabilir. Öncelik değeri daha yüksek olan dizin önce işlenir.</span>`<span class="pre">wazuh-alerts-*</span>``<span class="pre">1</span>`
4. **<span>Dizin silme için bir durum oluşturmak üzere Durum ekle'ye</span>**<span> tıklayın . . gibi bir ad girin </span>`<span class="pre">delete_alerts</span>`<span>.</span>
5. **<span>Eylem ekle'ye</span>**<span> tıklayın ve **Eylem türünde** Sil'i </span>**<span>seçin</span>**<span> . **Eylem ekle'ye** tıklayın . Ardından **Durumu kaydet'e** tıklayın .</span>
6. **<span>Başlangıç ​​durumunu oluşturmak için tekrar Durum ekle'ye</span>**<span> tıklayın . . gibi bir ad girin </span>`<span class="pre">initial</span>`<span>.</span>
7. <span>**Sipariş** sekmesinden </span>**<span>Önce Ekle'yi</span>**<span> seçin ve **delete\_alerts** seçeneğini seçin .</span>
8. **<span>Geçiş ekle'ye</span>**<span> tıklayın ve **Hedef durumu** olarak </span>**<span>delete\_alerts'i</span>**<span> seçin .</span>
9. <span>Condition'da </span>**<span>Minimum Endeks Yaşını</span>**<span> seçin . **Minimum Endeks Yaşına** örneğin 90 gün için </span>**<span>90d </span><span>gibi</span>**<span> tutma değerini girin .</span>
10. **<span>Geçiş Ekle'ye</span>**<span> tıklayın . </span>**<span>Durumu Kaydet'e tıklayın. </span><span>Oluştur'a</span>**<span> tıklayın .</span>
11. **<span>Başlangıç ​​Durumunu </span><span>Başlangıç</span>**<span> ​​olarak değiştirin.  
      
    </span>
    
    <div class="wazuh-image-wrapper align-center">![ISM Politika Devletleri](https://documentation.wazuh.com/current/_images/ism-policy-states1.png)</div>

</section><section id="bkmrk-json-editor-kullanma">#### <span>JSON Editor Kullanma</span>

1. <span>Sol üst menüye tıklayın </span>**<span>☰ , </span><span>Indexer yönetimine</span>**<span> gidin ve </span>**<span>Index Yönetimi'ni seçin. </span><span>Durum yönetimi politikalarını</span>**<span> seçin ve </span>**<span>Politika oluştur'a</span>**<span> tıklayın . </span>**<span>JSON düzenleyicisini</span>**<span> seçin ve </span>**<span>Devam'a</span>**<span> tıklayın.  
      
    </span>
    
    <div class="wazuh-image-wrapper align-center">![JSON düzenleyici yapılandırma yöntemi](https://documentation.wazuh.com/current/_images/configuration-method-json1.png)  
    </div>
2. <span>**Politika bilgisi** bölümüne benzersiz bir </span>**<span>Politika Kimliği</span>**<span> girin . Örneğin, `<span class="pre">wazuh-alert-retention-policy</span>` . İsteğe bağlı olarak JSON politika tanımınıza bir açıklama girebilirsiniz.  
      
    </span>
    
    <div class="wazuh-image-wrapper align-center">![JSON politika tanımı](https://documentation.wazuh.com/current/_images/json-policy-definition1.png)  
    </div>
3. **<span>Define policy</span>**<span> bölümünde , içeriği JSON policy tanımınızla değiştirin. Tanımınız buna benzer görünmelidir.</span>
    
    ```
    {
        "policy": {
            "policy_id": "wazuh-alert-retention-policy",
            "description": "Wazuh alerts retention policy",
            "schema_version": 17,
            "error_notification": null,
            "default_state": "retention_state",
            "states": [
                {
                    "name": "retention_state",
                    "actions": [],
                    "transitions": [
                        {
                            "state_name": "delete_alerts",
                            "conditions": {
                                "min_index_age": "90d"
                            }
                        }
                    ]
                },
                {
                    "name": "delete_alerts",
                    "actions": [
                        {
                            "retry": {
                                "count": 3,
                                "backoff": "exponential",
                                "delay": "1m"
                            },
                            "delete": {}
                        }
                    ],
                    "transitions": []
                }
            ],
            "ism_template": [
                {
                    "index_patterns": [
                        "wazuh-alerts-*"
                    ],
                    "priority": 1
                }
            ]
        }
    }
    ```
    
    <span>Minimum endeks tutma için tercih ettiğiniz gün sayısına göre </span>`<span class="pre">“min_index_age”:</span>`<span>ayarlayın .</span>`<span class="pre">“90d”</span>`
4. **<span>Oluştur'a</span>**<span> tıklayın .</span>

</section></section><section id="bkmrk-saklama-politikas%C4%B1n%C4%B1">#### <span>Saklama Politikasının Uyarı Dizinine Uygulanması</span>

1. <span>Sol üst menüye tıklayın </span>**<span>☰ , </span><span>Indexer yönetimine</span>**<span> gidin ve </span>**<span>Index Yönetimi'ni</span>**<span> seçin . </span>**<span>Indexes'i</span>**<span> seçin .</span>
2. <span>Politikayı eklemek istediğiniz endeksi veya endeksleri seçin.</span>
3. **<span>Eylemler</span>**<span> &gt; </span>**<span>Politikayı uygula'ya</span>**<span> tıklayın.  
      
    </span>
    
    <div class="wazuh-image-wrapper align-center">![Politikayı endekslere uygula](https://documentation.wazuh.com/current/_images/apply-policy-to-indices1.png)  
    </div>
4. <span>Önceki adımlarda oluşturulan politikayı </span>**<span>Politika Kimliği menüsünden seçin. </span><span>Uygula'ya</span>**<span> tıklayın .</span>

</section></section><section id="bkmrk-s%C4%B1cak-%C4%B1l%C4%B1k-mimarisin">### <span>Sıcak-ılık Mimarisini Kurun</span>

<span>Bu bölüm, sıcak ve ılık düğümlerde depolanacak dizinlerin nasıl yapılandırılacağını gösterir. Sıcak-ılık bir mimari, aşağıdaki özelliklere sahip sıcak ve ılık düğümlerden oluşur:</span>

- <span>Sıcak düğümler, yüksek bilgi işlem kaynaklarına sahip olmaları nedeniyle genellikle hızlı ve pahalıdır.</span>
- <span>Sıcak bir düğüm, daha düşük bilgi işlem kaynaklarına ihtiyaç duyması nedeniyle daha yavaş ve daha ucuzdur.</span>

<span>Verilerinizi önce sıcak düğümlere dizinlediğiniz ve belirli bir süre sonra sıcak düğümlere taşıdığınız sıcak-ılık bir mimari tasarlayabilirsiniz. Bu mimari, sık sık sorgulamadığınız eski verileriniz varsa sizin için uygundur. Eski veriler, daha yavaş ve daha az maliyetli bir donanımda depolanmak üzere taşınır. Bu mimari, bilgi işlem maliyetlerinden tasarruf etmenize yardımcı olur.</span>

<span>Sıcak düğüm sayısını artırmak yerine, sık erişmediğiniz veriler için sıcak düğümler ekleyebilirsiniz.</span>

<span>Sıcak-ılık depolama mimarisini yapılandırmak için </span>`<span class="pre">temp</span>`<span>ilgili düğümlere nitelikler ekleyin.</span>

<p class="callout info"><span>Not: Tüm sıcak ve ılık düğümleriniz için tutarlı olduğu sürece, öznitelik adını ve değerini istediğiniz şekilde ayarlayabilirsiniz.</span></p>

<section id="bkmrk-s%C4%B1cak-%28hot%29-bir-d%C3%BC%C4%9F%C3%BC">#### <span>Sıcak (Hot) Bir Düğüm Yapılandırın</span>

<span>Sıcak bir düğümü yapılandırmak için dosyaya aşağıdaki yapılandırmayı ekleyin </span>`<span class="pre">/etc/wazuh-indexer/opensearch.yml</span>`<span>:</span>

```
node.attr.temp: hot
```

<span>Wazuh dizinleyici hizmetini yeniden başlatın:</span>

```
# systemctl restart wazuh-indexer
```

</section><section id="bkmrk-s%C4%B1cak-%28worm%29-bir-d%C3%BC%C4%9F">#### <span>Sıcak (Worm) Bir Düğüm Yapılandırın</span>

<span>Sıcak bir düğüm yapılandırmak için dosyaya aşağıdaki yapılandırmayı ekleyin </span>`<span class="pre">/etc/wazuh-indexer/opensearch.yml</span>`<span>:</span>

```
node.attr.temp: warm
```

<span>Wazuh dizinleyici hizmetini yeniden başlatın:</span>

```
systemctl restart wazuh-indexer
```

</section><section id="bkmrk-dizinleyici-durum-y%C3%B6">#### <span>Dizinleyici Durum Yönetimi Politikası Oluştur</span>

<span>Wazuh gösterge paneli konsolunda aşağıdaki adımları uygulayın.</span>

1. `<span class="pre">temp</span>`<span>Daha önce atanan niteliklerin uygulandığını onaylayın :</span>
    
    ```
    GET _cat/nodeattrs?v&h=node,attr,value
    ```
2. `<span class="pre">wazuh-alerts-4.x-*</span>`<span>Sıcak düğümlere dizin örüntüsünü kullanarak dizinler atamak ve belirli bir süre sonra bunları sıcak düğümlere taşımak için bir ISM politikası oluşturun :</span>
    
    ```
    PUT _plugins/_ism/policies/hot_warm
    {
        "policy": {
            "description": "Send shards from hot to warm nodes",
            "schema_version": 17,
            "error_notification": null,
            "default_state": "hot",
            "states": [
                {
                    "name": "hot",
                    "actions": [],
                    "transitions": [
                        {
                            "state_name": "warm",
                            "conditions": {
                                "min_index_age": "30d"
                            }
                        }
                    ]
                },
                {
                    "name": "warm",
                    "actions": [
                        {
                            "retry": {
                                "count": 3,
                                "backoff": "exponential",
                                "delay": "1m"
                            },
                            "replica_count": {
                                "number_of_replicas": 0
                            }
                        },
                        {
                            "retry": {
                                "count": 3,
                                "backoff": "exponential",
                                "delay": "1m"
                            },
                            "allocation": {
                                "require": {
                                    "temp": "warm"
                                },
                                "include": {},
                                "exclude": {},
                                "wait_for": false
                            }
                        }
                    ],
                    "transitions": []
                }
            ],
            "ism_template": [
                {
                    "index_patterns": [
                        "wazuh-alerts-*"
                    ],
                    "priority": 1
                }
            ]
        }
    }
    ```
    
    <span>Sıcak düğümde endeksleri depolamak için minimum gün sayısını tanımlamak için, tercih ettiğiniz gün sayısına </span>`<span class="pre">min_index_age</span>`<span>ayarlayın .</span>`<span class="pre">30d</span>`

<span>Artık dizin deseni kullanılarak oluşturulan tüm gelecekteki dizinler </span>`<span class="pre">wazuh-alerts-4.x-*</span>`<span>sıcak bir düğüme tahsis edilecektir. </span>`<span class="pre">min_index_age</span>`<span>Koşul karşılandıktan sonra, dizinler sıcak bir düğüme taşınır ve tüm kopyalar kaldırılır. Kopyaların kaldırılması, veriler sık ​​sık sorgulanmayacağı için depolamanın sıcak düğümde yönetilmesini sağlar.</span>

</section><section id="bkmrk-ism-politikas%C4%B1n%C4%B1-mev">#### <span>ISM Politikasını Mevcut Endekslere Uygulayın</span>

1. <span>**Endeks** Yönetimi'nde </span>**<span>Endeksleri</span>**<span> seçin .</span>
2. <span>Politikayı eklemek istediğiniz endeksi veya endeksleri seçin.</span>
3. **<span>Eylemler</span>**<span> &gt; </span>**<span>Politikayı uygula'ya</span>**<span> tıklayın .</span>
4. `<span class="pre">hot-warm</span>`<span> Politika Kimliği'nde politikayı seçin .</span>
5. <span>Politikayı seçili endekslere eklemek için </span>**<span>Uygula'ya</span>**<span> tıklayın.  
      
    </span>
    
    <div class="wazuh-image-wrapper align-center">![ISM politikasını endekslere uygulayın](https://documentation.wazuh.com/current/_images/apply-ism-policy-to-indices1.gif)</div>

</section></section></section>

# Wazuh Indexer Ayarı

Bu kılavuz, Wazuh dizinleyici performansını optimize etmek için ayarların nasıl değiştirileceğini gösterir. Wazuh dizinleyici parolasını değiştirmek için [<span class="doc">Parola yönetimi</span>](https://acikkaynak.lastguard.com.tr/books/kullanim-kilavuzu/page/sifre-yonetimi) bölümüne bakın.

<nav class="contents local" id="bkmrk-bellek-kilitleme-par">- Bellek kilitleme
- Parçalar ve kopyalar
- Parça tahsis farkındalığını veya zorunlu farkındalığı yapılandırın
- Bir kümedeki her düğüm için düğüm niteliklerini ayarlayın

</nav><section id="bkmrk-bellek-kilitleme-sis">### Bellek Kilitleme

Sistem belleği takas ederken, Wazuh dizinleyicisi beklendiği gibi çalışmayabilir. Bu nedenle, Wazuh dizinleyici düğümünün sağlığı için Java Sanal Makinesi'nin (JVM) hiçbir zaman diske takas edilmemesi önemlidir. Herhangi bir Wazuh dizinleyici belleğinin takas edilmesini önlemek için, Wazuh dizinleyicisini işlem adres alanını RAM'e kilitlemek üzere aşağıdaki gibi yapılandırın.

<p class="callout info">Not: Aşağıda açıklanan komutları çalıştırmak için kök kullanıcı ayrıcalıklarına ihtiyacınız var.</p>

1. `<span class="pre">/etc/wazuh-indexer/opensearch.yml</span>`Bellek kilitlemeyi etkinleştirmek için Wazuh indeksleyicisindeki yapılandırma dosyasına aşağıdaki satırı ekleyin :
    
    ```
    bootstrap.memory_lock: true
    ```
2. Sistem kaynaklarının sınırını değiştirin. Sistem ayarlarını yapılandırmak Wazuh dizinleyici kurulumunun işletim sistemine bağlıdır.  
      
    **Systemd**
    
    
    1. Sistem sınırlarını belirten dosya için yeni bir dizin oluşturun:
        
        ```
        mkdir -p /etc/systemd/system/wazuh-indexer.service.d/
        ```
    2. Yeni sistem sınırı eklenerek yeni oluşturulan dizinde `<span class="pre">wazuh-indexer.conf</span>` dosyayı oluşturmak için aşağıdaki komutu çalıştırın :
        
        ```
        # cat > /etc/systemd/system/wazuh-indexer.service.d/wazuh-indexer.conf << EOF
        [Service]
        LimitMEMLOCK=infinity
        EOF
        ```
    
      
    **SysV Başlatma**
    
    
    1. Sistem sınırlarını belirten dosya için yeni bir dizin oluşturun:
        
        ```
        mkdir -p /etc/init.d/wazuh-indexer.service.d/
        ```
    2. Yeni sistem sınırı eklenerek yeni oluşturulan dizinde `<span class="pre">wazuh-indexer.conf</span>` dosyayı oluşturmak için aşağıdaki komutu çalıştırın :
        
        ```
        # cat > /etc/init.d/wazuh-indexer.service.d/wazuh-indexer.conf << EOF
        [Service]
        LimitMEMLOCK=infinity
        EOF
        ```
3. Dosyayı düzenleyin `<span class="pre">/etc/wazuh-indexer/jvm.options</span>`ve JVM bayraklarını değiştirin. Bellek kullanımını sınırlamak için bir Wazuh dizinleyici yığın boyutu değeri ayarlayın. JVM yığın sınırları, `<span class="pre">OutOfMemory</span>`Wazuh dizinleyicisi önceki adımdaki yapılandırma nedeniyle kullanılabilir olandan daha fazla bellek ayırmaya çalışırsa istisnayı önler. Önerilen değer sistem RAM'inin yarısıdır. Örneğin, 8 GB RAM'li bir sistem için boyutu aşağıdaki gibi ayarlayın.
    
    ```
    -Xms4g
    -Xmx4g
    ```
    
    Toplam yığın alanı:
    
    
    - `<span class="pre">-Xms4g</span>`- Başlangıç ​​boyutu 4Gb RAM olarak ayarlandı.
    - `<span class="pre">-Xmx4g</span>`- Maksimum boyut 4Gb RAM'dir.
    
    <p class="callout warning">Uyarı: Çalışma zamanında JVM yığın yeniden boyutlandırması nedeniyle performans düşüşünü önlemek için, minimum (Xms) ve maksimum (Xmx) boyut değerlerinin aynı olması gerekir.</p>
    
    <div class="admonition warning"> </div>
4. Wazuh dizinleyici hizmetini yeniden başlatın:
    
    ```
    systemctl daemon-reload
    systemctl restart wazuh-indexer
    ```
5. Ayarın başarıyla değiştirildiğini doğrulamak için aşağıdaki komutu çalıştırarak `<span class="pre">mlockall</span>`değerin şu şekilde ayarlandığını kontrol edin `<span class="pre">true</span>`:
    
    ```
    curl -k -u <INDEXER_USERNAME>:<INDEXER_PASSWORD> "https://<INDEXER_IP_ADDRESS>:9200/_nodes?filter_path=**.mlockall&pretty"
    ```
    
    <div aria-expanded="true" class="output highlight-output notranslate collapsible expanded"><div class="output-title" role="button">**Output**</div></div>```
    {
      "nodes" : {
        "sRuGbIQRRfC54wzwIHjJWQ" : {
          "process" : {
            "mlockall" : true
          }
        }
      }
    }
    ```
    
    Çıktı ise `<span class="pre">false</span>`, istek başarısız olmuş ve dosyada aşağıdaki satır görünür `<span class="pre">/var/log/wazuh-indexer/wazuh-indexer.log</span>`:
    
    ```
    Unable to lock JVM Memory
    ```

</section><section id="bkmrk-par%C3%A7alar-ve-kopyalar">### Parçalar ve Kopyalar

Wazuh dizinleyicisi, bir dizini shard adı verilen birden fazla parçaya bölme olanağı sunar. Her shard, Wazuh dizinleyici kümesindeki herhangi bir düğümde barındırılabilen tamamen işlevsel ve bağımsız bir "indekstir". Bölme iki ana nedenden dolayı önemlidir:

- Yatay ölçekleme.
- Parçalar arası dağıtım ve paralelleştirme işlemleri, performans ve verimi artırır.

Ayrıca, Wazuh dizinleyicisi kullanıcıların dizin parçacıklarının bir veya daha fazla kopyasını, kısaca replikalar veya replikalar olarak adlandırılan şekilde oluşturmasına olanak tanır. Replikasyon iki nedenden dolayı önemlidir:

- Bir parçanın veya düğümün arızalanması durumunda yüksek erişilebilirlik sağlar.
- Aramalar tüm replikalarda paralel olarak yürütülebildiğinden arama hacminin ve veriminin ölçeklenmesine olanak tanır.

<section id="bkmrk-bir-endeks-i%C3%A7in-par%C3%A7">### Bir Index İçin Parça Sayısı

İlk dizini oluşturmadan önce, kaç tane parçaya ihtiyaç duyulacağını dikkatlice düşünün. Parça sayısını yeniden dizinlemeden değiştirmek mümkün değildir.

Optimum performans için gereken parça sayısı, Wazuh dizinleyici kümesindeki düğüm sayısına bağlıdır. Genel bir kural olarak, parça sayısı düğüm sayısıyla aynı olmalıdır. Örneğin, üç düğümü olan bir kümenin üç parçası olmalı, yalnızca bir düğümü olan bir kümenin ise yalnızca bir parçaya ihtiyacı olacaktır.

</section><section id="bkmrk-bir-endeks-i%C3%A7in-kopy">#### Bir Index İçin Kopya Sayısı

Kopyaların sayısı, dizinler için kullanılabilir depolama alanına bağlıdır. İşte üç düğüm ve üç parçadan oluşan bir Wazuh dizinleyici kümesinin nasıl kurulabileceğine dair bir örnek.

- **Kopya yok** : Her düğümün bir parçası vardır. Bir düğüm çökerse, yalnızca iki parçadan oluşan eksik bir dizin kullanılabilir.
- **Bir kopya** : Her düğümün bir parçası ve bir kopyası vardır. Bir düğüm çökerse, tam bir dizin hala kullanılabilir.
- **İki replika** : Her düğümün bir parça ve iki replika ile tam dizini vardır. Bu kurulumla, iki düğüm çökse bile küme çalışmaya devam eder. Bu en iyi çözüm gibi görünse de depolama gereksinimlerini artırır.

Aşağıdaki görüntü, her biri birincil parça ve iki kopya parça içeren üç düğümden oluşan bir Wazuh dizinleyici kümesini göstermektedir.

<div class="wazuh-image-wrapper align-center">![Parçalar ve kopyalar diyagramıyla Wazuh dizinleyici kümesi](https://documentation.wazuh.com/current/_images/indexer-cluster-with-shard-replicas-diagram1.png)</div></section><section id="bkmrk-par%C3%A7a-say%C4%B1s%C4%B1n%C4%B1-ayarl">#### Parça Sayısını Ayarlama

<p class="callout warning">Uyarı: Parça ve replika sayısı, dizin oluşturma sırasında dizin başına tanımlanır. Dizin oluşturulduktan sonra, replika sayısı dinamik olarak değiştirilebilse de, parça sayısı [<span class="doc">yeniden dizinleme</span>](https://documentation.wazuh.com/current/user-manual/wazuh-indexer/re-indexing.html) yapılmadan değiştirilemez .</p>

Wazuh dizinleyici düğümünün varsayılan kurulumu her dizini üç birincil parça ve hiçbir kopya olmadan oluşturur. Wazuh API'sini kullanarak yeni bir şablon yükleyerek birincil parça ve kopya sayısını değiştirebilirsiniz.

Aşağıdaki örnekte, tek düğümlü bir Wazuh dizinleyicisi için parçacık sayısını 1 olarak ayarladık. Wazuh API'sini kullanarak kimlik doğrulaması yapmasına izin verilen Wazuh dizinleyici düğümünde veya herhangi bir merkezi bileşende aşağıdaki adımları uygulayın.

1. Wazuh indeksleyici şablonunu indirin:
    
    ```
    curl https://raw.githubusercontent.com/wazuh/wazuh/v4.9.2/extensions/elasticsearch/7.x/wazuh-template.json -o w-indexer-template.json
    ```
2. `index.number_of_shards `öğesini `1 `olarak ayarlamak için `w-indexer-template.json `dosyasını düzenleyin. Filebeat'in mevcut şablonun üzerine yazmasını önlemek için sırayı 1 olarak ayarlayın. Aynı sırada birden fazla eşleşen şablon, deterministik olmayan bir birleştirme sırasına neden olur.
    
    ```
    {
      "order": 1,
      "index_patterns": [
        "wazuh-alerts-4.x-*",
        "wazuh-archives-4.x-*"
      ],
      "settings": {
        "index.refresh_interval": "5s",
        "index.number_of_shards": "1",
        "index.number_of_replicas": "0",
        "index.auto_expand_replicas": "0-1",
        "index.mapping.total_fields.limit": 10000,
        ...
    ```
3. Yeni ayarları yükleyin.
    
    ```
    curl -X PUT "https://<INDEXER_IP_ADDRESS>:9200/_template/wazuh-custom" -H 'Content-Type: application/json' -d @w-indexer-template.json -k -u <INDEXER_USERNAME>:<INDEXER_PASSWORD>
    ```
    
    <div aria-expanded="true" class="output highlight-output notranslate collapsible expanded"><div class="output-title" role="button">**Output**</div></div>```
    {"acknowledged":true}
    ```
4. Yapılandırmanın başarıyla güncellendiğini onaylayın.
    
    ```
    curl "https://<INDEXER_IP_ADDRESS>:9200/_template/wazuh-custom?pretty&filter_path=wazuh-custom.settings" -k -u <INDEXER_USERNAME>:<INDEXER_PASSWORD>
    ```
    
    <div aria-expanded="true" class="output highlight-output notranslate collapsible expanded"><div class="output-title" role="button">**Output**</div></div>```
    {
      "wazuh-custom" : {
        "settings" : {
          "index" : {
            "mapping" : {
              "total_fields" : {
                "limit" : "10000"
              }
            },
            "refresh_interval" : "5s",
            "number_of_shards" : "1",
            "auto_expand_replicas" : "0-1",
            "number_of_replicas" : "0",
            ...
    ```

Eğer indeks daha önceden oluşturulmuşsa [<span class="doc">yeniden indekslenmesi</span>](https://acikkaynak.lastguard.com.tr/books/kullanim-kilavuzu/page/yeniden-indeksleme) gerekir .

</section><section id="bkmrk-kopyalar%C4%B1n-say%C4%B1s%C4%B1n%C4%B1-">#### Kopyaların Sayısını Ayarlama

Kopya sayısı, Wazuh dizinleyici API'si kullanılarak dinamik olarak değiştirilebilir. Tek düğümlü bir kümede, kopya sayısı sıfıra ayarlanmalıdır. Bu, Wazuh dizinleyici düğümünde veya Wazuh API'si kullanılarak kimlik doğrulaması yapılmasına izin verilen herhangi bir merkezi bileşende aşağıdaki komutu çalıştırarak gerçekleştirilir:

```
curl -k -u "<INDEXER_USERNAME>:<INDEXER_PASSWORD>" -XPUT "https://<INDEXER_IP_ADDRESS>:9200/wazuh-alerts-" -H 'Content-Type: application/json' -d'
{
  "settings": {
    "index": {
      "number_of_replicas": 0
    }
  }
}'
```

</section></section><section id="bkmrk-par%C3%A7a-tahsis-fark%C4%B1nd">### Parça Tahsis Farkındalığını veya Zorunlu Farkındalığı Yapılandırın

Bu, Wazuh indeksleyici düğümlerinin coğrafi olarak dağınık bölgelere yayıldığı durumlarda en çok uygulanabilir.

Farkındalığı yapılandırmak için, `<span class="pre">/etc/wazuh-indexer/opensearch.yml</span>`farklı bölgeler için Wazuh dizinleyici düğümlerindeki dosyaya bölge niteliklerini ekleyin.

`<span class="pre">/etc/wazuh-indexer/opensearch.yml</span>`Örneğin: A ve B bölgesi adında iki bölgeniz var. Aşağıdaki yapılandırmayı sırasıyla A ve B bölgesindeki her Wazuh dizinleyici düğümüne dosyaya ekleyeceksiniz :

```
node.attr.zone: zoneA
```

```
node.attr.zone: zoneB
```

Tahsis farkındalığı, A ve B bölgesindeki Wazuh dizinleyici düğümlerindeki depolama %50'den az kullanılıyorsa en iyi şekilde kullanılır. Bu, bölgedeki replikaları tahsis etmek için yeterli depolama kapasitesi sağlar.

Hem A hem de B bölgesindeki Wazuh dizinleyici düğümlerinin tüm birincil ve kopya parçacıklarını depolamak için yeterli kapasitesi yoksa, zorunlu farkındalık bir seçenektir. Bu, bir bölge arızası olması durumunda Wazuh dizinleyicisinin kalan bölgenizi aşırı yüklememesini ve kümenizin depolama yetersizliği nedeniyle kilitlenmesini önler.

Tahsis farkındalığı veya zorunlu farkındalığı seçmek, birincil ve kopya parçalarınızı dengelemek için her bölgede ne kadar alanınız olduğuna bağlıdır.

<section id="bkmrk-par%C3%A7a-tahsisi-fark%C4%B1n">#### Parça Tahsisi Farkındalığı

Parça tahsisi farkındalığı, birincil ve replika parçaları birden fazla bölgeye yaymaya çalışır. Bir replika parçayı birincil bölgesinden farklı bir bölgeye tahsis etmek için kullanılır.

Bir bölge içinde düğüm arızası durumunda, replika parçalarınızın kalan bölgeleriniz arasında dağıtıldığından emin olabilirsiniz. Bu, hata toleransını artırarak verilerinizi bölge arızalarına ve bireysel düğüm arızalarına karşı korur.

Parça tahsis farkındalığını yapılandırmak için küme ayarlarını güncelleyin:

```
PUT _cluster/settings
{
  "persistent": {
    "cluster.routing.allocation.awareness.attributes": "zone"
  }
}
```

`<span class="pre">persistent</span>`ya da ayarlarını kullanabilirsiniz `<span class="pre">transient</span>`. Ayarı kullanmanızı öneririz `<span class="pre">persistent</span>`çünkü küme yeniden başlatma sırasında kalıcıdır. `<span class="pre">transient</span>`Ayar küme yeniden başlatma sırasında kalıcı değildir.

<p class="callout info">Not: Yalnızca bir bölge mevcutsa (örneğin bölge arızalarından sonra), Wazuh dizinleyicisi çoğaltma parçalarını yalnızca kalan bölgeye tahsis eder.</p>

</section><section id="bkmrk-zorla-fark%C4%B1ndal%C4%B1kbu-">#### Zorla Farkındalık

Zorunlu farkındalığın kullanılması, birincil ve kopya parçaların asla aynı bölgeye tahsis edilmediği anlamına gelir.

Zorunlu farkındalığı yapılandırmak için bölge nitelikleriniz için tüm olası değerleri belirtin:

```
PUT _cluster/settings
{
  "persistent": {
    "cluster.routing.allocation.awareness.attributes": "zone",
    "cluster.routing.allocation.awareness.force.zone.values":["zoneA", "zoneB"]
  }
}
```

Başka bölgeler varsa, diğer bölgeleri `<span class="pre">cluster.routing.allocation.awareness.force.zone.values</span>` alanına ekleyin .

<p class="callout warning">Uyarı: Bir düğüm başarısız olursa, zorunlu farkındalık replikaları aynı bölgedeki başka bir düğüme tahsis etmez. Bunun yerine, küme sarı bir duruma girer ve yalnızca diğer bölgedeki(bölgelerdeki) düğümler çevrimiçi olduğunda replikaları tahsis eder.</p>

</section><section id="bkmrk-tahsis-filtrelemebu-">#### Tahsis Filtreleme

Bu, bir düğümün parça tahsisinden hariç tutulmasına olanak tanır. Yaygın bir kullanım durumu, bir bölge içindeki bir düğümü devre dışı bırakmak istediğiniz zamandır.

Bir düğümü devre dışı bırakmadan önce parçaları taşımak için, düğümü IP adresini kullanarak hariç tutan bir filtre oluşturun. Bu, kapatılmadan önce o düğüme tahsis edilen tüm parçaları taşıyacaktır. Ayrıca, `<span class="pre">*</span>`bir IP aralığında devre dışı bırakılacak birden fazla düğümün olduğu bir durumda joker karakter kullanabilirsiniz.

```
PUT _cluster/settings
{
  "persistent": {
    "cluster.routing.allocation.exclude._ip": "192.168.0.*"
  }
}
```

</section></section><section id="bkmrk-bir-k%C3%BCmedeki-her-d%C3%BC%C4%9F">### Bir Kümedeki Her Düğüm İçin Düğüm Niteliklerini Ayarlayın

Varsayılan olarak, her Wazuh dizinleyici düğümü bir ana uygun, veri, alım ve koordinasyon düğümüdür. Düğüm sayısına karar vermek, düğüm türlerini atamak ve her düğüm türü için donanımı seçmek kullanım durumunuza bağlıdır.

<section id="bkmrk-k%C3%BCme-y%C3%B6neticisi-d%C3%BC%C4%9F%C3%BC">#### Küme Yöneticisi Düğümleri

Küme yöneticisi düğümleri, düğümlere parça ekleme, kaldırma ve tahsis etme, ayrıca dizin ve alan oluşturma ve silme dahil olmak üzere küme genelindeki tüm yapılandırmaları ve değişiklikleri yönetir.

Dağıtılmış bir fikir birliği tekniği, küme yöneticisi uygun düğümleri arasından tek bir küme yöneticisi düğümü seçmek için kullanılır. Bu küme yöneticisi düğümü, mevcut düğüm başarısız olursa yeniden seçilir.

Varsayılan olarak zaten yapılmış olsa da, bir Wazuh dizinleyici düğümünün küme yöneticisi düğümü olduğunu belirtebilirsiniz.

`<span class="pre">cluster_manager</span>`Aşağıdaki yapılandırmayı dosyaya ekleyerek bir Wazuh dizinleyici düğümü rolü ayarlayın `<span class="pre">/etc/wazuh-indexer/opensearch.yml</span>`:

```
node.roles: [ cluster_manager ]
```

</section><section id="bkmrk-veri-d%C3%BC%C4%9F%C3%BCmleribu-ba%C5%9F">#### Veri Düğümleri

Veri düğümü, verileri depolamak ve aramaktan sorumludur. Yerel parçalarda tüm veriyle ilgili işlemleri (indeksleme, arama, toplama) gerçekleştirir. Bunlar Wazuh dizinleyici kümenizin çalışan düğümleridir ve diğer tüm düğüm türlerinden daha fazla disk alanına ihtiyaç duyarlar.

Aşağıdaki yapılandırmayı dosyaya ekleyerek bir Wazuh dizinleyici düğümü rolünü veri düğümü olarak ayarlayın `<span class="pre">/etc/wazuh-indexer/opensearch.yml</span>`:

```
node.roles: [ data, ingest ]
```

Veri düğümleri eklerken bunları bölgeler arasında dengeli tutmak önemlidir. Örneğin, üç bölgeniz varsa, her bölge için bir veri düğümü ekleyin. Depolama ve RAM ağırlıklı düğümler kullanmanızı öneririz.

</section><section id="bkmrk-koordinasyon-d%C3%BC%C4%9F%C3%BCmle">#### Koordinasyon Düğümleri

Koordinasyon düğümü, istemci isteklerini veri düğümlerindeki parçalara devreder, sonuçları toplar ve tek bir nihai sonuçta birleştirir ve bunu Wazuh panosuna geri gönderir.

Her düğüm varsayılan olarak bir koordinasyon düğümüdür, ancak bir düğümü özel bir koordinasyon düğümü yapmak için `<span class="pre">node.roles</span>`boş bir liste ayarlayın:

```
node.roles: []
```

</section></section>

# Wazuh Endekslerinin Taşınması

<section id="bkmrk-bu-b%C3%B6l%C3%BCmde%2C-anl%C4%B1k-g%C3%B6">Bu bölümde, anlık görüntüleri kullanarak Wazuh dizinlerini taşımaya odaklanıyoruz. Bu, orijinal zaman damgasını kaybetmeden uyarıları bir Wazuh dizinleyici kümesinden diğerine geri yüklemeye yardımcı olur.

<section id="bkmrk-payla%C5%9F%C4%B1ml%C4%B1-dosya-sis"><span id="bkmrk-"></span>### Paylaşımlı Dosya Sistemini Kurun

Anlık görüntü deposu için paylaşımlı bir dosya sistemi oluşturmak amacıyla bir Ağ Dosya Sistemi (NFS) kullanılmasını öneririz.

<section id="bkmrk-nfs-sunucusu-adanm%C4%B1%C5%9F">#### NFS Sunucusu

Adanmış bir sunucuda NFS'yi kurmak için aşağıdaki adımları uygulayın:

1. Anlık görüntü deposu için şu dizinde bir hedef `<span class="pre">/mnt</span>` dizinİ oluşturun :
    
    ```
    mkdir /mnt/snapshots
    ```
2. Aşağıdaki komutları çalıştırarak NFS'yi yükleyin:  
      
    **Yum**
    
    ```
    yum update
    yum install -y nfs-utils
    yum install exportfs
    systemctl enable nfs-server
    systemctl start nfs-server
    ```
    
      
    **APT**
    
    ```
    apt -y install nfs-kernel-server
    systemctl start nfs-kernel-server.service
    ```
    
    <div class="sphinx-tabs docutils container">  
    </div><div class="sphinx-tabs docutils container"><div aria-labelledby="tab-0-WXVt" class="sphinx-tabs-panel group-tab" id="bkmrk--1" name="WXVt" role="tabpanel" tabindex="0"></div></div>
3. Aşağıdaki komutu kullanarak `/mnt/snapshots` dizinini `/etc/exports `dosyasına ekleyin. `<NETWORK_ADDRESS/CIDR>` değişkenini ağ adresinizle değiştirin.
    
    ```
    echo "/mnt/snapshots     <NETWORK_ADDRESS/CIDR>(rw,sync,no_root_squash,no_subtree_check)" | sudo tee -a /etc/exports
    ```
    
    Nerede:
    
    
    - `<span class="pre">rw</span>`- Paylaşılan dizine hem okuma hem de yazma erişimi sağlar.
    - `<span class="pre">sync</span>`- NFS sunucusunun değişiklikleri hemen diske yazmasını zorlar ve dosya sistemini senkron hale getirir.
    - `<span class="pre">no_root_squash</span>`- NFS istemci sistemindeki "root" kullanıcısının NFS sunucusundaki dosyalara tam ve kısıtlanmamış erişime sahip olmasını sağlar.
    - `<span class="pre">no_subtree_check</span>`- Büyük dizin ağaçları için performansı artırabilen alt ağaç denetimini devre dışı bırakır.
4. NFS yapılandırmasını uygulayın:
    
    ```
    exportfs -a
    ```

</section><section id="bkmrk-wazuh-indexer-payla%C5%9F"><span id="bkmrk--2"></span>#### Wazuh Indexer

Paylaşımlı dosya sistemi kurulumunu tamamlamak için Wazuh dizinleyici düğümünde (düğümlerinde) aşağıdaki adımları gerçekleştirin.

1. Anlık görüntü deposu için şu dizinde bir hedef `<span class="pre">/mnt</span>` dizin oluşturun :
    
    ```
    mkdir /mnt/snapshots
    ```
2. NFS istemcisini yükleyin:  
      
    **Yum**
    
    ```
    yum -y install nfs-utils
    ```
    
      
    **APT**
    
    ```
    apt -y install nfs-common
    ```
    
    <div class="sphinx-tabs docutils container"><div aria-labelledby="tab-1-WXVt" class="sphinx-tabs-panel group-tab" name="WXVt" role="tabpanel" tabindex="0"></div></div><div class="sphinx-tabs docutils container"><div aria-labelledby="tab-1-WXVt" class="sphinx-tabs-panel group-tab" id="bkmrk--3" name="WXVt" role="tabpanel" tabindex="0"></div></div>
3. Paylaşılan dizini `<span class="pre">/mnt/snapshots</span>`Wazuh dizinleyici düğümüne(düğümlerine) bağlayın. `<span class="pre"><NFS_SERVER_IP></span>`Değişkeni NFS sunucusunun IP adresiyle değiştirin:
    
    ```
    mount -t nfs <NFS_SERVER_IP>:/mnt/snapshots /mnt/snapshots
    ```
4. `<span class="pre">wazuh-indexer</span>`Kullanıcıya dizinin sahipliğini verin `<span class="pre">/mnt/snapshots</span>`:
    
    ```
    chown wazuh-indexer:wazuh-indexer /mnt/snapshots
    ```
5. Yapılandırmayı ekleyin:` path.repo:/mnt/snapshots `depo yolunu belirtmek için `/etc/wazuh-indexer/opensearch.yml` dosyasına:
    
    ```
    network.host: "127.0.0.1"
    node.name: "node-1"
    cluster.initial_master_nodes:
    - "node-1"
    cluster.name: "wazuh-cluster"
    
    node.max_local_storage_nodes: "3"
    path.data: /var/lib/wazuh-indexer
    path.logs: /var/log/wazuh-indexer
    path.repo: /mnt/snapshots
    
    plugins.security.ssl.http.pemcert_filepath: /etc/wazuh-indexer/certs/wazuh-indexer.pem
    plugins.security.ssl.http.pemkey_filepath: /etc/wazuh-indexer/certs/wazuh-indexer-key.pem
    plugins.security.ssl.http.pemtrustedcas_filepath: /etc/wazuh-indexer/certs/root-ca.pem
    plugins.security.ssl.transport.pemcert_filepath: /etc/wazuh-indexer/certs/wazuh-indexer.pem
    plugins.security.ssl.transport.pemkey_filepath: /etc/wazuh-indexer/certs/wazuh-indexer-key.>plugins.security.ssl.transport.pemtrustedcas_filepath: /etc/wazuh-indexer/certs/root-ca.pem
    plugins.security.ssl.http.enabled: true
    plugins.security.ssl.transport.enforce_hostname_verification: false
    plugins.security.ssl.transport.resolve_hostname: false
    plugins.security.ssl.http.enabled_ciphers:
      - "TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256"
      - "TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384"
      - "TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256"
      - "TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384"
    plugins.security.ssl.http.enabled_protocols:
      - "TLSv1.2"
    plugins.security.authcz.admin_dn:
    - "CN=admin,OU=Wazuh,O=Wazuh,L=California,C=US"
    plugins.security.check_snapshot_restore_write_privileges: true
    plugins.security.enable_snapshot_restore_privilege: true
    plugins.security.nodes_dn:
    - "CN=indexer,OU=Wazuh,O=Wazuh,L=California,C=US"
    plugins.security.restapi.roles_enabled:
    - "all_access"
    - "security_rest_api_access"
    
    plugins.security.system_indices.enabled: true
    plugins.security.system_indices.indices: [".opendistro-alerting-config", ".opendistro-alert>
    ### Option to allow Filebeat-oss 7.10.2 to work ###
    compatibility.override_main_response_version: true
    ```
6. Yapılandırma değişikliklerini uygulamak için Wazuh dizinleyicisini yeniden başlatın:
    
    ```
    systemctl restart wazuh-indexer
    ```

Uyarı: ` ll `yardımcı programını kullanarak `/mnt/snapshots` dizininin Wazuh dizinleyici düğümlerinde` wazuh-indexer:wazuh-indexer` sahipliğine sahip olduğunu doğruladığınızdan emin olun.

NFS paylaşım dizini `/mnt/snapshots`'ı anlık görüntü deposu olarak kullanmak için hedef Wazuh dizinleyici(ler)de Paylaşılan dosya sistemini kur &gt; Wazuh dizinleyici adımlarını tekrarlayın.

</section></section><section id="bkmrk-anl%C4%B1k-g%C3%B6r%C3%BCnt%C3%BC-deposu"><span id="bkmrk--4"></span>### Anlık Görüntü Deposunu Kurun

Wazuh kontrol panelinde aşağıdaki adımları uygulayın:

1. **Sol üst menüye ☰** tıklayın , **Indexer yönetimi** &gt; **Anlık Görüntü Yönetimi** &gt; **Depolar'a** gidin ve yeni bir anlık görüntü deposu oluşturmak için **Depo oluştur'u seçin.**
2. Bir depo adı girin, depo türünü **Paylaşılan dosya sistemi** olarak seçin , depo konumunu girin `<span class="pre">/mnt/snapshots</span>`ve yeni deponun kaydını yapmak için **Ekle'yi seçin.**
    
    <div class="wazuh-image-wrapper align-center">![Anlık görüntü deposu oluştur](https://documentation.wazuh.com/current/_images/create-snapshot-repository1.gif)</div>

Benzer bir anlık görüntü deposu kurmak için yukarıdaki adımları hedef Wazuh kümesinde tekrarlayın.

</section><section id="bkmrk-anl%C4%B1k-g%C3%B6r%C3%BCnt%C3%BCler-al%C4%B1">### Anlık Görüntüler Alın

1. **Sol üst menüye ☰** tıklayın ve **Indexer yönetimi** &gt; **Anlık Görüntü Yönetimi** &gt; **Anlık Görüntüler** bölümüne gidin .
2. **Anlık görüntü al'ı** seçin ve bir Anlık Görüntü adı girin.
3. Kaynak dizin desenlerini seçin veya girin.
4. Anlık görüntüleri depolamak için daha önce oluşturulan depoları seçin.
5. **Gelişmiş seçenekleri** seçin ve **Anlık görüntülere küme durumunu dahil et** seçeneğini işaretleyin.
    
    <div class="wazuh-image-wrapper align-center">![Anlık görüntülere küme durumunu dahil et seçeneği](https://documentation.wazuh.com/current/_images/include-cluster-state-option1.png)  
    </div>
6. Yeni bir anlık görüntü oluşturmak için **Ekle'yi** seçin .

Anlık görüntü dosyaları `<span class="pre">/mnt/snapshots</span>` depolama konumuna kaydedilir .

<div><div class="wazuh-image-wrapper align-center">![Anlık görüntü dosyası kaydedildi](https://documentation.wazuh.com/current/_images/snapshot-file-saved1.gif)</div></div></section><section id="bkmrk-anl%C4%B1k-g%C3%B6r%C3%BCnt%C3%BCleri-ge">### Anlık Görüntüleri Geri Yükle

Wazuh dizin geçiş adımlarını tamamlamak için eski Wazuh dizinleyicilerinden alınan anlık görüntüleri hedef Wazuh dizinleyicilerine geri yükleyin. Hedef Wazuh dizinleyicisinde aşağıdaki adımları gerçekleştirin.

Not

<div class="admonition note"> </div>**Anlık görüntüleri geri yükleme** işlemine geçmeden önce hedef Wazuh kümesinde <span class="std std-ref">Paylaşımlı dosya sistemini kur</span> ve <span class="std std-ref">Anlık görüntü deposunu kur</span> bölümlerindeki adımların gerçekleştirilmesi gerekir .

1. Anlık görüntü dosyalarını yüklemek için hedef Wazuh kümesindeki Wazuh dizinleyici düğümlerini şu komutu kullanarak yeniden başlatın:
    
    ```
    systemctl restart wazuh-indexer
    ```
2. **Sol üst menüye ☰** tıklayın , **Indexer yönetimi** &gt; **Anlık Görüntü Yönetimi** &gt; **Anlık Görüntüler'e** gidin ve Anlık Görüntüler sayfasını yenileyin. Depo konumundaki anlık görüntüler `<span class="pre">/mnt/snapshots</span>`hedef Wazuh kümesinin panosunda gösterilecektir.
3. Anlık görüntüyü seçin ve **Geri Yükle'ye**`<span class="pre">restored_</span>` tıklayın. Dizinleri orijinal adlarına geri yüklemek için öneki silin . `<span class="pre">restored_</span>`Önek, çakışan dizin adlarını önlemek için vardır.
4. **Gelişmiş seçenekleri** seçin ve tüm seçeneklerin işaretli olmadığından emin olun.
    
    <div class="wazuh-image-wrapper align-center">![Anlık görüntü gelişmiş seçeneklerini geri yükle](https://documentation.wazuh.com/current/_images/restore-snapshot-advanced-options1.png)  
    </div>
5. Göç sürecini tamamlamak için **Anlık görüntüyü geri yükle'yi** seçin.
    
    <div class="wazuh-image-wrapper align-center">![Anlık görüntüyü geri yükle](https://documentation.wazuh.com/current/_images/restore-snapshot1.gif)</div>

</section></section>

# Wazuh Indexer Kümesi

# Wazuh Dashboard



# Wazuh Dashboard Ayarları



# Sertifika Dağıtımı

# Wazuh Agent



# Wazuh Agent Kayıt

# Veri Analizi



# MITRE ATT&CK Framework



# CDB Listelerini Kullanma



# Kurallar



# Decoders



# Kod Çözücüleri ve Kuralları Test Etme

# Kullanıcı Yönetimi



# Şifre Yönetimi

# Yetenekler



# Günlük Veri Toplama

<span>Günlük veri toplama, bir ağ içindeki farklı günlük kaynaklarından günlükleri toplamayı ve birleştirmeyi içerir. Günlük veri toplama, güvenlik ekiplerinin düzenleyici uyumluluğu karşılamalarına, tehditleri tespit edip düzeltmelerine ve uygulama hatalarını ve diğer güvenlik sorunlarını belirlemelerine yardımcı olur.</span>

<span>Wazuh, uç noktalardan, ağ aygıtlarından ve uygulamalardan günlükleri toplar, analiz eder ve depolar. İzlenen bir uç noktada çalışan Wazuh aracısı, analiz için sistem ve uygulama günlüklerini toplar ve Wazuh sunucusuna iletir. Ayrıca, syslog veya üçüncü taraf API entegrasyonları aracılığıyla günlük mesajlarını Wazuh sunucusuna gönderebilirsiniz.</span>

# Ajansız İzleme

<span>Wazuh sunucusu, uç noktalardaki güvenlik olaylarını ve vakalarını izlemek, tespit etmek ve bunlara ilişkin uyarıları tetiklemek için Wazuh ajanlarından aldığı verileri analiz eder. Ancak bazı uç noktalarda Wazuh ajanının kurulumunu engelleyen sınırlamalar olabilir. Wazuh, ajansız izleme yeteneğini kullanarak bu sorunu çözer.</span>

<span>Aracısız izleme, bir aracı veya yazılım yüklemeyi gerektirmeyen bir uç nokta izleme türünü ifade eder. Bu yaklaşım, izlenen uç noktadan bilgi edinmek ve toplamak için mevcut protokolleri kullanır.</span>

<span>Wazuh ajansız izleme yeteneği, olayları uç noktalardan Wazuh sunucusuna toplamak ve aktarmak için SSH (Güvenli Kabuk) protokolünü kullanır. Desteklenen platformlar arasında yönlendiriciler, güvenlik duvarları, anahtarlar ve Linux/BSD sistemleri bulunur. Yazılım yükleme kısıtlamaları olan uç noktaların güvenlik ve uyumluluk gereksinimlerini karşılamasını sağlar.</span>

# Konteyner Güvenliği

<span>Konteyner güvenliği, konteynerlerin ve içerdikleri uygulamaların korunmasını ve kullanılabilirliğini sağlamak için önlemler ve uygulamalar uygulamayı içerir, böylece bütünlükleri ve gizlilikleri güvence altına alınır. Wazuh, kuruluşların konteyner ortamlarını güvence altına almalarına yardımcı olmak için merkezi günlük kaydı, gerçek zamanlı izleme, güvenlik açığı taraması ve olay yanıt otomasyonu gibi çeşitli yetenekler ve özellikler sunar.</span>

<span class="doc"><span>Wazuh, kullanıcıların Docker</span></span><span> gibi konteyner platformlarını etkili bir şekilde izlemesini sağlayarak </span><span>konteyner sağlığının izlenmesi</span><span> de dahil olmak üzere konteyner kaynaklarına kapsamlı görünürlük sağlar . Ayrıca Wazuh, konteyner güvenliği ve izlemesine bütünsel bir yaklaşım sağlayarak </span><span>Kubernetes altyapısını denetleme</span><span> olanağı sunar .</span>

# Aktif Tepki

<span>Güvenlik ekipleri, yüksek öneme sahip olayları zamanında ele almak veya tam azaltma eylemleri sağlamak gibi olay yanıtlarında sıklıkla sorunlarla karşılaşırlar. Gerçek zamanlı olarak ilgili bilgileri toplamakta zorlanabilirler, bu da bir olayın tam kapsamını anlamayı zorlaştırır. Bu sorunlar, bir siber saldırının etkisini sınırlama ve azaltma zorluğunu artırır.</span>

<span>Wazuh SIEM ve XDR platformu, olaylara müdahaleyi şu şekilde iyileştirir:</span>

- <span>Güvenlik olaylarına ilişkin gerçek zamanlı görünürlük sağlamak.</span>
- <span>Uyarı yorgunluğunun azaltılması.</span>
- <span>Tehditlere karşı yanıt eylemlerinin otomatikleştirilmesi.</span>
- <span>Hazır yanıt senaryoları sağlamak.</span>

<span>Wazuh, güvenlik ekiplerinin belirli tetikleyicilere dayalı yanıt eylemlerini otomatikleştirmesine yardımcı olan ve güvenlik olaylarını etkili bir şekilde yönetmelerini sağlayan bir Active Response modülüne sahiptir.</span>

<span>Yanıt eylemlerinin otomatikleştirilmesi, yüksek öncelikli olayların zamanında ve tutarlı bir şekilde ele alınmasını ve düzeltilmesini sağlar. Bu, özellikle güvenlik ekiplerinin kaynaklarının kısıtlı olduğu ve yanıt çabalarını önceliklendirmeleri gereken ortamlarda değerlidir.</span>

<span>Ek olarak, modül tehditlere yanıt vermeye ve bunları azaltmaya yardımcı olan bir dizi kullanıma hazır yanıt betiği içerir. Örneğin, bazı betikler kötü amaçlı ağ erişimini engeller ve izlenen uç noktalardaki kötü amaçlı dosyaları siler. Bu eylemler güvenlik ekiplerinin iş yükünü azaltır ve olayları etkili bir şekilde yönetmelerini sağlar.</span>

<span>Wazuh Active Response modülü, belirli bir kural kimliği, seviyesi veya kural grubu uyarısı tetiklendiğinde izlenen uç noktalarda bu betikleri yürütür. Bir tetikleyiciye yanıt olarak başlatılacak herhangi bir sayıda betik ayarlayabilirsiniz; ancak bu yanıtları dikkatlice değerlendirmelisiniz. Kuralların ve yanıtların kötü uygulanması, bir uç noktanın savunmasızlığını artırabilir.</span>

<span>Aşağıdaki görsel Active Response iş akışını göstermektedir.</span>

<div class="wazuh-image-wrapper align-center" id="bkmrk-">![](https://documentation.wazuh.com/current/_images/active-response-workflow1.png)</div><span>Aktif yanıt türleri</span>

<span>Aktif bir yanıt şunlardan biri olabilir:</span>

- <span>Vatansız</span>
- <span>Durum bilgisi</span>

<span>Durumsuz etkin yanıtlar, onları geri döndürmek veya durdurmak için bir olay tanımı olmayan tek seferlik eylemlerdir. Durumlu yanıtlar, eylemlerini bir süre sonra geri döndürür veya durdurur.</span>

# Sistem Envanteri

<span>Sistem envanteri, bir BT altyapısındaki donanım ve yazılım varlıkları hakkında bilgi içeren bir kaynaktır. Tüm varlıkların envanterini tutmak, kuruluşların ortamlarındaki donanım ve yazılım görünürlüğünü en üst düzeye çıkarmalarına yardımcı olur. Güncel bir sistem envanteri, bir kurumsal ağ içinde iyi bir BT hijyeni sağlamak için olmazsa olmazdır.</span>

<span>Merkezi bir sistem envanteri tutmak için Wazuh aracıları izlenen uç noktalardan sistem bilgilerini toplar ve bunları Wazuh sunucusuna gönderir. Wazuh Syscollector modülü, bu tür verileri her bir aracıdan toplamaktan sorumludur. Wazuh aracısının topladığı veriler arasında donanım ve işletim sistemi bilgileri, yüklü yazılım ayrıntıları, ağ arayüzleri, bağlantı noktaları ve çalışan işlemler bulunur. Wazuh aracısı ayrıca Windows uç noktalarından Windows güncelleştirmeleri hakkında veri toplayabilir. Syscollector modülünün ne tür bilgileri toplamasını veya yoksaymasını istediğinizi yapılandırabilirsiniz.</span>

<span>Kullanıcılar, tehdit avı ve BT hijyeni egzersizleri sırasında değerli kaynaklar olabilecek Wazuh panosundan sistem envanter raporları oluşturabilir. Raporda yer alan bilgiler, istenmeyen uygulamaları, süreçleri, hizmetleri ve kötü amaçlı eserleri tanımlamak için kullanılabilir.</span>

# Malware (Kötü Amaçlı Yazılım) Tespiti

<span>Kötü amaçlı yazılım tespiti, kötü amaçlı yazılım ve dosyaların varlığı açısından bir bilgisayar sistemini veya ağını analiz etme sürecini ifade eder. Güvenlik ürünleri, bilinen kötü amaçlı yazılımların imzalarını kontrol ederek kötü amaçlı yazılımları tespit edebilir. Güvenlik araçları ayrıca yazılım etkinliğinden şüpheli davranışları tespit ederek kötü amaçlı etkinliği tespit edebilir. Kötü amaçlı yazılım bir sistemi enfekte ettiğinde, tespitten kaçınmak için çeşitli teknikler kullanarak sistemi değiştirebilir. Wazuh, kötü amaçlı dosyaları ve kötü amaçlı yazılımın varlığını gösteren anormal kalıpları tespit etmek için bu tekniklere karşı koymak amacıyla geniş spektrumlu bir yaklaşım kullanır.</span>

<span>Wazuh </span>[<span class="doc"><span>dosya bütünlüğü izleme (FIM) modülü,</span></span>](https://acikkaynak.lastguard.com.tr/books/kullanim-kilavuzu/page/dosya-butunlugunun-izlenmesi)<span> izlenen uç noktalardaki kötü amaçlı dosyaları tespit etmeye yardımcı olur. FIM modülü kendi başına kötü amaçlı dosyaları tespit edemez. Ancak, FIM modülünü tehdit tespit kuralları ve tehdit istihbarat kaynaklarıyla birleştirerek kötü amaçlı yazılımları tespit edebilirsiniz. Wazuh'u, dosya karmaları içeren VirusTotal ve CDB listeleri ve kötü amaçlı yazılımları tespit etmek için YARA taramaları gibi tehdit istihbarat kaynaklarıyla FIM olaylarını kullanacak şekilde yapılandırabilirsiniz.</span>

<span class="doc"><span>Wazuh, Rootcheck modülünü</span></span><span> kullanarak izlenen uç noktalardaki rootkit davranışını algılar . Rootcheck, uç noktaları sürekli olarak izler ve herhangi bir anormallik algıladığında uyarılar üretir. Anormallik izleme, Wazuh'un imza tabanlı tekniklerin kaçırmış olabileceği kötü amaçlı yazılımları algılamasını sağlar. Rootcheck ayrıca izlenen uç noktalardaki varlıklarını algılamak için bilinen rootkit ve truva atı imzalarını kullanır. Wazuh'un esnekliği, kullanıcıların bu rootkit imzalarını kendilerinin güncelleyebilmesini sağlar.</span>

<span>Wazuh </span>[<span class="doc"><span>günlük toplama yeteneği,</span></span>](https://acikkaynak.lastguard.com.tr/books/kullanim-kilavuzu/page/gunluk-veri-toplama)<span> üçüncü taraf kötü amaçlı yazılım tespit yazılımlarından günlükleri toplamanıza olanak tanır. Bu yeteneği kullanarak Wazuh, Windows Defender ve ClamAV gibi çeşitli kötü amaçlı yazılım tespit yazılımlarından günlükleri toplar ve analiz eder.</span>

# Dosya Bütünlüğünün İzlenmesi

Dosya Bütünlüğü İzleme (FIM), sistem ve uygulama dosyalarının bütünlüğünü izlemek için kullanılan bir güvenlik işlemidir. FIM, hassas varlıkları izleyen her kuruluş için önemli bir güvenlik savunma katmanıdır. Hassas veriler, uygulama ve cihaz dosyalarını izleyerek, düzenli olarak tarayarak ve bütünlüklerini doğrulayarak koruma sağlar. Kuruluşların sistemlerindeki kritik dosyalardaki değişiklikleri tespit etmelerine yardımcı olarak verilerin çalınması veya tehlikeye atılması riskini azaltır. Bu işlem, kaybedilen üretkenlik, kaybedilen gelir, itibar hasarı ve yasal ve düzenleyici uyumluluk cezalarında zamandan ve paradan tasarruf sağlayabilir.

Wazuh, dosya bütünlüğü izleme için yerleşik bir yeteneğe sahiptir. Wazuh FIM modülü dosyaları ve dizinleri izler ve bir kullanıcı veya işlem izlenen dosyaları oluşturduğunda, değiştirdiğinde ve sildiğinde bir uyarı tetikler. İzlenen dosyaların kriptografik toplam kontrolünü ve diğer özniteliklerini depolayan bir temel tarama çalıştırır. Bir kullanıcı veya işlem bir dosyayı değiştirdiğinde, modül toplam kontrolünü ve özniteliklerini temelle karşılaştırır. Bir uyumsuzluk bulursa bir uyarı tetikler. FIM modülü, aracılar ve yönetici için FIM yapılandırmasına bağlı olarak gerçek zamanlı ve zamanlanmış taramalar gerçekleştirir.

Wazuh FIM yeteneğinin bazı faydaları şunlardır: değişiklik yönetimi, tehdit tespiti ve yanıtlama ve düzenlemelere uyum.

### Değişim Yönetimi

Wazuh FIM yeteneği, değişiklik yönetimi süreçlerinin doğru çalıştığını doğrulamak için olmazsa olmaz bir araçtır. Bu Wazuh yeteneği, dosyaların değişip değişmediğini, nasıl ve ne zaman değiştiğini ve kimin veya neyin onları değiştirdiğini görmek için incelemenize olanak tanır. Wazuh FIM modülü, temel bilgileri dosyanın en son sürümündeki bilgilerle karşılaştırır. Bu karşılaştırma, kritik dosyalardaki değişikliklere ve güncellemelere ilişkin görünürlük sağlar. Örneğin, bunu uygulamalardaki yanlış güncellemeleri veya yapılandırma dosyalarında yapılan yetkisiz değişiklikleri tespit etmek için kullanabilirsiniz.

### Tehdit Tespiti ve Yanıtlama

FIM'i tehdit algılama ve yanıtlama için diğer Wazuh yetenekleriyle birleştirebilirsiniz. FIM yeteneği dosya bütünlüğünü izler, izin değişikliklerini algılar ve kullanıcı ve dosya etkinliklerini izler. Algılanan tehditlere hızlı yanıtlar için ayrıntılı uyarılar sağlar.

### Mevzuata Uygunluk

FIM yeteneği, kuruluşların veri güvenliği, gizlilik ve veri saklama için düzenleyici gereklilikleri karşılamalarına yardımcı olur. Kritik dosyaları değişiklikler açısından izlemek, PCI DSS, HIPAA ve GDPR gibi düzenlemeler için önemli bir gerekliliktir.

## Nasıl Çalışır?

FIM modülü belirli yollarda periyodik taramalar çalıştırır ve gerçek zamanlı olarak belirli dizinlerdeki değişiklikleri izler. Wazuh aracılarının ve yöneticisinin yapılandırmasında hangi yolların izleneceğini ayarlayabilirsiniz.

FIM, dosyaların toplam kontrol değerlerini ve diğer özniteliklerini yerel bir FIM veritabanında depolar. Bir tarama sırasında, Wazuh aracısı, FIM modülünün izlenen yollarda bulduğu tüm değişiklikleri Wazuh sunucusuna bildirir. FIM modülü, bir dosyanın toplam kontrol değerlerini, depolanan toplam kontrol değerleri ve öznitelik değerleriyle karşılaştırarak dosya değişikliklerini arar. Tutarsızlıklar bulursa bir uyarı oluşturur.

Wazuh FIM modülü, dosya oluşturma, değiştirme ve silme verileri gibi FIM olay verilerini toplamak için iki veritabanı kullanır. Biri, verileri şurada depolayan izlenen uç noktadaki yerel bir SQLite tabanlı veritabanıdır:

- `<span class="pre">C:\Program</span> <span class="pre">Files</span> <span class="pre">(x86)\ossec-agent\queue\fim\db</span>`Windows'ta.
- `<span class="pre">/var/ossec/queue/fim/db</span>`Linux'ta.
- `<span class="pre">/Library/Ossec/queue/fim/db</span>`macOS'ta.

Diğeri Wazuh sunucusundaki bir aracı veritabanıdır. [<span class="doc">Wazuh-db</span>](https://documentation.wazuh.com/current/user-manual/reference/daemons/wazuh-db.html) . daemon, Wazuh sunucusundaki her bir aracı için bir veritabanı oluşturur ve yönetir. Veritabanını tanımlamak için aracının kimliğini kullanır. Bu hizmet veritabanlarını . adresinde depolar `<span class="pre">/var/ossec/queue/db</span>`.

<div class="wazuh-image-wrapper align-center" id="bkmrk-">![Dosya Bütünlüğü İzleme](https://documentation.wazuh.com/current/_images/fim-flow1.png)</div>FIM modülü, Wazuh aracısını ve Wazuh sunucu veritabanlarını birbirleriyle senkronize tutar. Wazuh sunucusundaki dosya envanterini her zaman Wazuh aracısının erişebildiği verilerle günceller. Güncel bir Wazuh sunucu veritabanı, FIM ile ilgili API sorgularının servis edilmesini sağlar. Senkronizasyon mekanizması, Wazuh sunucusunu yalnızca Wazuh aracılarından gelen, kontrol toplamları ve değişen dosya öznitelikleri gibi bilgilerle günceller.

Wazuh aracısı ve yöneticisi varsayılan olarak FIM modülünü etkinleştirmiş ve <span class="std std-ref">önceden yapılandırmıştır</span> . Ancak, izlenen yollar gibi FIM ayarlarını ortamınıza göre uyarladığınızdan emin olmak için uç noktalarınızın yapılandırmasını gözden geçirmenizi öneririz.

# FIM Modülü Nasıl Yapılandırılır

FIM modülü Windows, Linux ve macOS işletim sistemlerinde taramalar çalıştırır. Hem genel ayarlar hem de uç noktanın işletim sistemine özgü ayarlar vardır. Bu ayarları ve desteklenen işletim sistemlerini bu kılavuzun <span class="doc">Temel ayarlar bölümünde ele alıyoruz.</span>

FIM modülünün dosyaların oluşturulmasını, değiştirilmesini ve silinmesini izlemesi gereken dizinleri belirtmeli veya izlemeniz gereken belirli dosyaları yapılandırmalısınız. Wazuh sunucusunda ve Wazuh aracı [<span class="doc">yapılandırma dosyalarında izlenecek dosyayı veya dizini belirtebilirsiniz. Ayrıca bu özelliği </span>](https://acikkaynak.lastguard.com.tr/books/kullanim-kilavuzu/page/yerel-yapilandirma-ossecconf)[<span class="doc">merkezi yapılandırma</span>](https://documentation.wazuh.com/current/user-manual/reference/centralized-configuration.html) dosyasını kullanarak uzaktan da yapılandırabilirsiniz .

[<span class="std std-ref">İzlenecek dosyaları ve dizinleri dizin</span>](https://documentation.wazuh.com/current/user-manual/reference/ossec-conf/syscheck.html#reference-ossec-syscheck-directories) seçenekleriyle ayarlamanız gerekir . Virgülle ayrılmış girdiler kullanarak veya birden fazla satıra girdiler ekleyerek birden fazla dosya ve dizin ekleyebilirsiniz. FIM dizinlerini, bir kabukta veya Komut İstemi (cmd) terminalinde kullandığınız şekilde \* ve ? joker karakterlerini kullanarak yapılandırabilirsiniz. Örneğin, `<span class="pre">C:\Users\*\Downloads</span>`.

FIM modülü bir tarama çalıştırdığında, değiştirilmiş dosyalar bulursa ve değiştirilen dosya özniteliklerine bağlı olarak uyarıları tetikler. Bu uyarıları Wazuh panosunda görüntüleyebilirsiniz.

Aşağıda, FIM modülünün bir dosyayı ve dizini izlemek için nasıl yapılandırılacağını görebilirsiniz. `<span class="pre"><FILEPATH_OF_MONITORED_FILE></span>`ve'yi `<span class="pre"><FILEPATH_OF_MONITORED_DIRECTORY></span>`kendi dosya yollarınızla değiştirin.

1. Aşağıdaki ayarları Wazuh aracı yapılandırma dosyasına ekleyin ve dizin değerlerini kendi dosya yollarınızla değiştirin:
    
    
    - Linux:`<span class="pre">/var/ossec/etc/ossec.conf</span>`
    - Pencereler:`<span class="pre">C:\Program</span> <span class="pre">Files</span> <span class="pre">(x86)\ossec-agent\ossec.conf</span>`
    - macOS:`<span class="pre">/Library/Ossec/etc/ossec.conf</span>`
    
    ```
    <syscheck>
       <directories><FILEPATH_OF_MONITORED_FILE></directories>
       <directories><FILEPATH_OF_MONITORED_DIRECTORY></directories>
    </syscheck>
    ```
2. Herhangi bir yapılandırma değişikliğini uygulamak için Wazuh aracısını yönetici ayrıcalığıyla yeniden başlatın:
    
    
    - Linux:`<span class="pre">systemctl</span> <span class="pre">restart</span> <span class="pre">wazuh-agent</span>`
    - Pencereler:`<span class="pre">Restart-Service</span> <span class="pre">-Name</span> <span class="pre">wazuh</span>`
    - macOS:`<span class="pre">/Library/Ossec/bin/wazuh-control</span> <span class="pre">restart</span>`
    
    <p class="callout info">Not: [<span class="doc">Hem merkezi yapılandırmada</span>](https://acikkaynak.lastguard.com.tr/books/kullanim-kilavuzu/page/merkezi-yapilandirma-agentconf) hem de Wazuh aracısının [<span class="doc">yapılandırma</span>](https://acikkaynak.lastguard.com.tr/books/kullanim-kilavuzu/page/yerel-yapilandirma-ossecconf) dosyasında bir dizin belirtirseniz , merkezi yapılandırma öncelik kazanır ve yerel yapılandırmayı geçersiz kılar.</p>

# FIM modül analizinin yorumlanması

FIM analiz sonuçları, izlenen dosyalarda bir ekleme, değişiklik veya silme olduğunda Wazuh panosunda görünür. FIM sonuçlarını panonun üç farklı bölümünde görüntüleyebilirsiniz. FIM modülünden sonuçları görüntülemek için Wazuh panosunda **Dosya Bütünlüğü İzleme'ye** gidin . Sonuçlar aşağıdaki bölümlerdedir:

- <span class="std std-ref">Envanter</span>
- <span class="std std-ref">Gösterge Paneli</span>
- <span class="std std-ref">Olaylar</span>

<section id="bkmrk-envanter-bu-b%C3%B6l%C3%BCm%2C-f"><span id="bkmrk--3"></span>### Envanter

Bu bölüm, FIM modülünün dizinlediği tüm dosyaların envanterini görüntüler. FIM veritabanı, dosya adı, son değişiklik tarihi, kullanıcı, kullanıcı kimliği, grup ve dosya boyutu dahil olmak üzere envanter bilgilerini içerir. Aşağıdaki görüntü, bir Ubuntu 22.04 uç noktasının dosya envanterini gösterir.

<div class="wazuh-image-wrapper align-center">![Envanter](https://documentation.wazuh.com/current/_images/inventory1.png)</div>  
FIM modülünün dosyayı en son ne zaman analiz ettiği ve dosya öznitelikleri gibi giriş ayrıntılarını görüntülemek için bir dosya girişine tıklayabilirsiniz. Ayrıca dosyayla ilgili FIM uyarılarını da görüntüleyebilirsiniz. Aşağıdaki görüntü dosya için bu bilgileri gösterir `<span class="pre">/etc/resolv.conf</span>`.

<div class="wazuh-image-wrapper align-center">![Giriş detayları](https://documentation.wazuh.com/current/_images/entry-details1.png)</div></section><section id="bkmrk--6"></section>### <span id="bkmrk--7"></span>Dashboard

<section id="bkmrk-g%C3%B6sterge-paneli-b%C3%B6l%C3%BC">Gösterge paneli bölümü, Wazuh FIM modülünün aşağıdakilere ilişkin analiz sonuçlarına genel bir bakış sunar:

- Bir altyapı içindeki tüm etkenler.
- Bir altyapı içerisinde seçilmiş bir ajan.

Aşağıdaki görüntüde, izlenen tüm uç noktalar için FIM tarama sonuçlarının genel görünümüne ilişkin bir örnek görebilirsiniz.

<div class="wazuh-image-wrapper align-center">![Gösterge Paneli](https://documentation.wazuh.com/current/_images/dashboard1.png)</div>  
Aşağıdaki görüntüde Ubuntu uç noktası için FIM tarama sonuçlarının genel görünümüne dair bir örnek görebilirsiniz.

<div class="wazuh-image-wrapper align-center">![FIM tarama sonuçlarına genel bakış](https://documentation.wazuh.com/current/_images/fim-overview1.png)</div></section><section id="bkmrk-events-bu-b%C3%B6l%C3%BCm-wazu"><span id="bkmrk--10"></span>### Events

Bu bölüm Wazuh FIM modülünün tetiklediği uyarıları gösterir. Burada, aracı adı, izlenen dosyanın dosya yolu, FIM olayının türü, uyarının açıklaması ve uyarının kural düzeyi gibi ayrıntıları görebilirsiniz.

<div class="wazuh-image-wrapper align-center">![Olaylar](https://documentation.wazuh.com/current/_images/events1.png)</div>  
Ayrıca, uyarıyı tetikleyen olay hakkında ek bilgileri görüntülemek için her uyarı girişini genişletebilirsiniz.

<div class="wazuh-image-wrapper align-left">![Genişletilmiş uyarı girişi](https://documentation.wazuh.com/current/_images/expanded-alert-entry1.png)  
</div># <span>Temel Ayarlar</span>

<span>FIM yeteneğini Wazuh sunucusunda ve Wazuh aracısında yapılandırabilirsiniz. Hem Wazuh sunucusunda hem de Wazuh aracısında </span><span class="std std-ref"><span>varsayılan bir FIM yapılandırması</span></span><span> mevcuttur. Bu ayarları ihtiyaçlarınıza göre değiştirebilirsiniz.</span>

[<span class="doc"><span>FIM modülünü Wazuh sunucusunda ve Wazuh aracı yapılandırma</span></span>](https://acikkaynak.lastguard.com.tr/books/kullanim-kilavuzu/page/yerel-yapilandirma-ossecconf)<span> dosyasında yapılandırabilirsiniz . Ayrıca bu yeteneği </span>[<span class="doc"><span>merkezi yapılandırma</span></span>](https://acikkaynak.lastguard.com.tr/books/kullanim-kilavuzu/page/merkezi-yapilandirma-agentconf)<span> dosyasını kullanarak uzaktan da yapılandırabilirsiniz . Tüm FIM yapılandırma seçeneklerinin listesi syscheck bölümünde mevcuttur.</span>

<span>Bu kılavuzda, Wazuh FIM modülünün desteklediği farklı yapılandırma seçeneklerini gösteriyoruz.</span>

<div class="wazuh-image-wrapper align-left"><section id="bkmrk-ger%C3%A7ek-zamanl%C4%B1-%C4%B0zlem"><span id="bkmrk--13"></span>### <span>Gerçek Zamanlı İzleme</span>

<span>Bu </span>`<span class="pre">realtime</span>`<span>özellik yalnızca Windows ve Linux uç noktalarındaki dizinlerin gerçek zamanlı/sürekli izlenmesini sağlar.</span>

<span>Dosyaları gerçek zamanlı olarak izlemek için FIM modülünü <span class="std std-ref">dizinler </span></span>`<span class="pre">realtime</span>`<span> seçeneğinin niteliğiyle yapılandırın. Nitelik için izin verilen değerler ve'dir ve yalnızca dizinlerle çalışır, tek tek dosyalarla değil. Gerçek zamanlı değişiklik algılama, zamanlanmış FIM modülü taramaları sırasında duraklatılır ve bu taramalar tamamlanır tamamlanmaz yeniden etkinleştirilir.</span>`<span class="pre">realtime</span>``<span class="pre">yes</span>``<span class="pre">no</span>`

<span>Aşağıda, FIM modülünün bir dizini gerçek zamanlı olarak nasıl izleyeceğini görebilirsiniz. </span>`<span class="pre"><FILEPATH_OF_MONITORED_DIRECTORY></span>`<span>Kendi dosya yolunuzla değiştirin.</span>

<p class="callout info"><span>Not: Gerçek zamanlı izleme için bir dizin belirtirken, Wazuh aracısını yeniden başlatmadan önce mevcut olmalıdır. Aksi takdirde, modül Wazuh aracısının sonraki yeniden başlatılmasında bulana kadar dizini yoksayar.</span></p>

1. <span>Wazuh aracı yapılandırma dosyasına aşağıdaki ayarları ekleyin:</span>
    
    
    - <span>Linux:</span>`<span class="pre">/var/ossec/etc/ossec.conf</span>`
    - <span>Pencereler:</span>`<span class="pre">C:\Program</span> <span class="pre">Files</span> <span class="pre">(x86)\ossec-agent\ossec.conf</span>`
    
    ```
       <syscheck>
          <directories realtime="yes"><FILEPATH_OF_MONITORED_DIRECTORY></directories>
       </syscheck>
    ```
2. <span>Herhangi bir yapılandırma değişikliğini uygulamak için Wazuh aracısını yönetici ayrıcalığıyla yeniden başlatın:</span>
    
    
    - <span>Linux:</span>`<span class="pre">systemctl</span> <span class="pre">restart</span> <span class="pre">wazuh-agent</span>`
    - <span>Pencereler:</span>`<span class="pre">Restart-Service</span> <span class="pre">-Name</span> <span class="pre">wazuh</span>`

</section><section id="bkmrk-kay%C4%B1t-dosyas%C4%B1-%C3%96znite"><span id="bkmrk--14"></span>### <span>Kayıt Dosyası Öznitelikleri</span>

<span>FIM modülünü belirli dosyaları ve dizinleri izleyecek şekilde yapılandırdığınızda, dosyaların meta verilerini kaydeder ve izler. FIM modülünün toplaması ve yoksayması gereken belirli dosya meta verilerini ayarlamak için </span><span class="std std-ref"><span>dizinler seçeneğini kullanabilirsiniz. Dizinler seçeneği çeşitli öznitelikleri destekler.</span></span>

<span>Aşağıdaki tabloda FIM modülünün kaydettiği desteklenen öznitelikler açıklanmaktadır.</span>

<table class="docutils align-default" style="width: 100%;"><thead><tr class="row-odd"><th class="head" style="width: 16.3232%;"><span>Bağlanmak</span>

</th><th class="head" style="width: 16.0805%;"><span>Varsayılan değer</span>

</th><th class="head" style="width: 20.3993%;"><span>İzin verilen değerler</span>

</th><th class="head" style="width: 47.2383%;"><span>Tanım</span>

</th></tr></thead><tbody><tr class="row-even"><td style="width: 16.3232%;">`<span class="pre">check_all</span>`

</td><td style="width: 16.0805%;"><span>Evet</span>

</td><td style="width: 20.3993%;"><span>evet hayır</span>

</td><td style="width: 47.2383%;"><span>Aşağıdaki tüm özniteliklerin değerlerini kaydeder.</span>

</td></tr><tr class="row-odd"><td style="width: 16.3232%;">`<span class="pre">check_sum</span>`

</td><td style="width: 16.0805%;"><span>Evet</span>

</td><td style="width: 20.3993%;"><span>evet hayır</span>

</td><td style="width: 47.2383%;"><span>Dosyaların MD5, SHA-1 ve SHA-256 karmalarını kaydeder. Aynı anda </span>`<span class="pre">check_md5sum="yes"</span>`<span>, </span>`<span class="pre">check_sha1sum="yes"</span>`<span>, ve kullanmakla aynıdır.</span>`<span class="pre">check_sha256sum="yes"</span>`

</td></tr><tr class="row-even"><td style="width: 16.3232%;">`<span class="pre">check_sha1sum</span>`

</td><td style="width: 16.0805%;"><span>Evet</span>

</td><td style="width: 20.3993%;"><span>evet hayır</span>

</td><td style="width: 47.2383%;"><span>Dosyaların SHA-1 karma değerini kaydeder.</span>

</td></tr><tr class="row-odd"><td style="width: 16.3232%;">`<span class="pre">check_md5sum</span>`

</td><td style="width: 16.0805%;"><span>Evet</span>

</td><td style="width: 20.3993%;"><span>evet hayır</span>

</td><td style="width: 47.2383%;"><span>Dosyaların MD5 hash'ini kaydeder.</span>

</td></tr><tr class="row-even"><td style="width: 16.3232%;">`<span class="pre">check_sha256sum</span>`

</td><td style="width: 16.0805%;"><span>Evet</span>

</td><td style="width: 20.3993%;"><span>evet hayır</span>

</td><td style="width: 47.2383%;"><span>Dosyaların SHA-256 karma değerini kaydeder.</span>

</td></tr><tr class="row-odd"><td style="width: 16.3232%;">`<span class="pre">check_size</span>`

</td><td style="width: 16.0805%;"><span>Evet</span>

</td><td style="width: 20.3993%;"><span>evet hayır</span>

</td><td style="width: 47.2383%;"><span>Dosyaların boyutunu kaydeder.</span>

</td></tr><tr class="row-even"><td style="width: 16.3232%;">`<span class="pre">check_owner</span>`

</td><td style="width: 16.0805%;"><span>Evet</span>

</td><td style="width: 20.3993%;"><span>evet hayır</span>

</td><td style="width: 47.2383%;"><span>Linux'ta dosyaların sahiplerini kaydeder.</span>

</td></tr><tr class="row-odd"><td style="width: 16.3232%;">`<span class="pre">check_group</span>`

</td><td style="width: 16.0805%;"><span>Evet</span>

</td><td style="width: 20.3993%;"><span>evet hayır</span>

</td><td style="width: 47.2383%;"><span>Dosyaların/dizinlerin grup sahibini kaydeder. Windows'ta </span>`<span class="pre">gid</span>`<span>her zaman 0'dır ve grup adı boştur.</span>

</td></tr><tr class="row-even"><td style="width: 16.3232%;">`<span class="pre">check_perm</span>`

</td><td style="width: 16.0805%;"><span>Evet</span>

</td><td style="width: 20.3993%;"><span>evet hayır</span>

</td><td style="width: 47.2383%;"><span>Dosyaların/dizinlerin izinlerini kaydeder. Windows'ta, her kullanıcı veya grup için reddedilen ve izin verilen izinlerin bir listesi kaydedilir. NTFS bölümleriyle Linux ve Windows'ta çalışır.</span>

</td></tr><tr class="row-odd"><td style="width: 16.3232%;">`<span class="pre">check_attrs</span>`

</td><td style="width: 16.0805%;"><span>Evet</span>

</td><td style="width: 20.3993%;"><span>evet hayır</span>

</td><td style="width: 47.2383%;"><span>Windows'daki dosyaların özniteliklerini kaydeder.</span>

</td></tr><tr class="row-even"><td style="width: 16.3232%;">`<span class="pre">check_mtime</span>`

</td><td style="width: 16.0805%;"><span>Evet</span>

</td><td style="width: 20.3993%;"><span>evet hayır</span>

</td><td style="width: 47.2383%;"><span>Bir dosyanın değiştirilme zamanını kaydeder.</span>

</td></tr><tr class="row-odd"><td style="width: 16.3232%;">`<span class="pre">check_inode</span>`

</td><td style="width: 16.0805%;"><span>Evet</span>

</td><td style="width: 20.3993%;"><span>evet hayır</span>

</td><td style="width: 47.2383%;"><span>Linux'ta dosya inode'unu kaydeder.</span>

</td></tr></tbody></table>

<div></div><span>Aynı özniteliği değiştiren seçenekler arasında bir çakışma olduğunda, yapılandırılan sonuncu öncelik kazanır. Örneğin, aşağıdaki yapılandırma seçeneği </span>`<span class="pre">check_mtime</span>`<span>şu şekilde ayarlar </span>`<span class="pre">yes</span>`<span>:</span>

```
<directories check_all="no" check_mtime="yes">/etc</directories>
```

<span>Aşağıdaki yapılandırma, değişiklik zamanı kontrolü dahil tüm özniteliklerin kaydedilmesini devre dışı bırakır.</span>

```
<directories check_mtime="yes" check_all="no">/etc</directories>
```

<span>Aşağıda izlenen bir dosyanın SHA-1 karmasının kaydının nasıl devre dışı bırakılacağına dair bir yapılandırma örneğini görebilirsiniz. </span>`<span class="pre"><FILEPATH_OF_MONITORED_FILE></span>`<span>Kendi dosya yolunuzla değiştirin.</span>

1. <span>Wazuh aracı yapılandırma dosyasına aşağıdaki ayarları ekleyin:</span>
    
    
    - <span>Linux:</span>`<span class="pre">/var/ossec/etc/ossec.conf</span>`
    - <span>Pencereler:</span>`<span class="pre">C:\Program</span> <span class="pre">Files</span> <span class="pre">(x86)\ossec-agent\ossec.conf</span>`
    - <span>macOS:</span>`<span class="pre">/Library/Ossec/etc/ossec.conf</span>`
    
    ```
       <syscheck>
          <directories check_sha1sum="no"><FILEPATH_OF_MONITORED_FILE></directories>
       </syscheck>
    ```
2. <span>Herhangi bir yapılandırma değişikliğini uygulamak için Wazuh aracısını yönetici ayrıcalığıyla yeniden başlatın:</span>
    
    
    - <span>Linux:</span>`<span class="pre">systemctl</span> <span class="pre">restart</span> <span class="pre">wazuh-agent</span>`
    - <span>Pencereler:</span>`<span class="pre">Restart-Service</span> <span class="pre">-Name</span> <span class="pre">wazuh</span>`
    - <span>macOS:</span>`<span class="pre">/Library/Ossec/bin/wazuh-control</span> <span class="pre">Restart</span>`

<p class="callout info"><span>Not: İlk FIM taramasından sonra oluşturulan belirtilen dosyalar veya dizinler, bir sonraki planlanmış tarama sırasında izlenmek üzere eklenecektir.</span></p>

</section><section id="bkmrk-planlanm%C4%B1%C5%9F-taramalar"><span id="bkmrk--15"></span>### <span>Planlanmış Taramalar</span>

<span>FIM modülü taramalarının zamanlamasını değiştirmek için </span>`<span class="pre"><frequency></span>`<span>Wazuh FIM modülünün seçeneğini yapılandırabilirsiniz. Bu seçenek, FIM taramaları arasındaki süreyi tanımlar. Alternatif olarak, scan\_time </span>[<span class="std std-ref"><span>ve</span></span>](https://documentation.wazuh.com/current/user-manual/reference/ossec-conf/syscheck.html#reference-ossec-syscheck-scan-time)<span> scan\_day </span>[<span class="std std-ref"><span>seçeneklerini</span></span>](https://documentation.wazuh.com/current/user-manual/reference/ossec-conf/syscheck.html#reference-ossec-syscheck-scan-day)<span> kullanarak taramaları haftanın belirli bir saatinde ve gününde çalışacak şekilde yapılandırabilirsiniz . Zamanlanmış taramalar, günlük dosyaları gibi sık güncellenen dosyaları izlerken uyarı taşmasını önler.</span>

<span>FIM modülü varsayılan olarak her 12 saatte bir </span>*<span>(43200 saniye) tarama çalıştırır. Aşağıdaki yapılandırma örneğinde, FIM modülünün her 15 dakikada </span><span>bir (900 saniye)</span>*<span> tarama çalıştıracak şekilde nasıl ayarlanacağını görebilirsiniz .</span>

1. <span>Wazuh aracı yapılandırma dosyasına aşağıdaki ayarları ekleyin:</span>
    
    
    - <span>Linux:</span>`<span class="pre">/var/ossec/etc/ossec.conf</span>`
    - <span>Pencereler:</span>`<span class="pre">C:\Program</span> <span class="pre">Files</span> <span class="pre">(x86)\ossec-agent\ossec.conf</span>`
    - <span>macOS:</span>`<span class="pre">/Library/Ossec/etc/ossec.conf</span>`
    
    ```
    <syscheck>
       <frequency>900</frequency>
    </syscheck>
    ```
2. <span>Herhangi bir yapılandırma değişikliğini uygulamak için Wazuh aracısını yönetici ayrıcalığıyla yeniden başlatın:</span>
    
    
    - <span>Linux:</span>`<span class="pre">systemctl</span> <span class="pre">restart</span> <span class="pre">wazuh-agent</span>`
    - <span>Pencereler:</span>`<span class="pre">Restart-Service</span> <span class="pre">-Name</span> <span class="pre">wazuh</span>`
    - <span>macOS:</span>`<span class="pre">/Library/Ossec/bin/wazuh-control</span> <span class="pre">restart</span>`
    
    <span class="std std-ref"><span>Alternatif olarak, scan\_time</span></span><span> ve </span><span class="std std-ref"><span>scan\_day</span></span><span> seçeneklerini kullanarak taramaları planlayabilirsiniz . Bu seçenekleri kullanarak FIM'i yapılandırmak, FIM taramalarını iş saatleri dışında ayarlamanıza yardımcı olur.</span>
    
    <span>Aşağıdaki yapılandırma örneği, belirtilen dizinlerin taramalarının her cumartesi </span>*<span>saat 22:00'da</span>*<span> nasıl çalıştırılacağını göstermektedir.  
      
    </span>
3. <span>Wazuh aracı yapılandırma dosyasına aşağıdaki ayarları ekleyin:</span>
    
    
    - <span>Linux:</span>`<span class="pre">/var/ossec/etc/ossec.conf</span>`
    - <span>Pencereler:</span>`<span class="pre">C:\Program</span> <span class="pre">Files</span> <span class="pre">(x86)\ossec-agent\ossec.conf</span>`
    - <span>macOS:</span>`<span class="pre">/Library/Ossec/etc/ossec.conf</span>`
    
    ```
    <syscheck>
       <scan_time>10pm</scan_time>
       <scan_day>saturday</scan_day>
    </syscheck>
    ```
4. <span>Herhangi bir yapılandırma değişikliğini uygulamak için Wazuh aracısını yönetici ayrıcalığıyla yeniden başlatın:</span>
    
    
    - <span>Linux:</span>`<span class="pre">systemctl</span> <span class="pre">restart</span> <span class="pre">wazuh-agent</span>`
    - <span>Pencereler:</span>`<span class="pre">Restart-Service</span> <span class="pre">-Name</span> <span class="pre">wazuh</span>`
    - <span>macOS:</span>`<span class="pre">/Library/Ossec/bin/wazuh-control</span> <span class="pre">restart</span>`

</section><section id="bkmrk-dosya-de%C4%9Ferlerindeki"><span id="bkmrk--16"></span>### <span>Dosya Değerlerindeki Değişiklikleri Bildir</span>

<span>Öznitelik </span>`<span class="pre">report_changes</span>`<span>, FIM modülünün bir metin dosyasında değiştirilen tam içeriği bildirmesine olanak tanır. Bu, izlenen bir dosyaya eklenen veya silinen metni kaydeder. Bu işlevi, [<span class="std std-ref">dizin</span>](https://documentation.wazuh.com/current/user-manual/reference/ossec-conf/syscheck.html#reference-ossec-syscheck-directories)</span>`<span class="pre">report_changes</span>`<span> seçeneklerinin özniteliğini etkinleştirerek yapılandırabilirsiniz . Bu öznitelik için izin verilen değerler ve'dir . Windows, macOS ve Linux uç noktalarında hem dizinlerle hem de tek tek dosyalarla çalışır.</span>`<span class="pre">yes</span>``<span class="pre">no</span>`

<span>Bu seçeneği etkinleştirdiğinizde özniteliği dikkatli kullanmalısınız </span>`<span class="pre">report_changes</span>`<span>. Wazuh, izlenen her dosyayı özel bir konuma kopyalayarak depolama kullanımını artırır. Dosyaların kopyasını şu adreste bulabilirsiniz:</span>

- `<span class="pre">/var/ossec/queue/diff/local/</span>`<span> Linux'ta.</span>
- `<span class="pre">Library/Ossec/queue/diff/local/</span>`<span>macOS'ta.</span>
- `<span class="pre">C:\Program</span> <span class="pre">Files</span> <span class="pre">(x86)\ossec-agent\queue\diff\local\</span>`<span>Windows'ta.</span>

<span>Aşağıda, FIM modülünün dosya değişikliklerini bildirecek şekilde nasıl yapılandırılacağını görebilirsiniz. </span>`<span class="pre"><FILEPATH_OF_MONITORED_FILE></span>`<span>Kendi dosya yolunuzla değiştirin.</span>

1. <span>Wazuh aracı yapılandırma dosyasına aşağıdaki ayarları ekleyin:</span>
    
    
    - <span>Linux:</span>`<span class="pre">/var/ossec/etc/ossec.conf</span>`
    - <span>Pencereler:</span>`<span class="pre">C:\Program</span> <span class="pre">Files</span> <span class="pre">(x86)\ossec-agent\ossec.conf</span>`
    - <span>macOS:</span>`<span class="pre">/Library/Ossec/etc/ossec.conf</span>`
    
    ```
    <syscheck>
       <directories check_all="yes" report_changes="yes"><FILEPATH_OF_MONITORED_FILE></directories>
    </syscheck>
    ```
2. <span>Yapılandırma değişikliklerini uygulamak için Wazuh aracısını yönetici ayrıcalığıyla yeniden başlatın:</span>
    
    
    - <span>Linux:</span>`<span class="pre">systemctl</span> <span class="pre">restart</span> <span class="pre">wazuh-agent</span>`
    - <span>Pencereler:</span>`<span class="pre">Restart-Service</span> <span class="pre">-Name</span> <span class="pre">wazuh</span>`
    - <span>macOS:</span>`<span class="pre">/Library/Ossec/bin/wazuh-control</span> <span class="pre">restart</span>`
    
    `<span class="pre">report_changes</span>`<span>Aşağıdaki yapılandırma örneğinde, dizindeki tüm dosyalar için özniteliğin nasıl kullanılacağını görebilirsiniz </span>`<span class="pre"><FILEPATH_OF_MONITORED_DIRECTORY></span>`<span>. FIM modülünün dosyaya tam içerik değişikliklerini bildirmesini nasıl önleyeceğinizi görebilirsiniz . Kendi dosya yolunuzla </span>`<span class="pre"><FILEPATH_OF_MONITORED_DIRECTORY>/private.txt</span>`<span>değiştirin .</span>`<span class="pre"><FILEPATH_OF_MONITORED_DIRECTORY></span>`
    
    <span>Seçeneği kullanırken , bir istisna oluşturmak için [<span class="std std-ref">nodiff</span>](https://documentation.wazuh.com/current/user-manual/reference/ossec-conf/syscheck.html#reference-ossec-syscheck-nodiff)</span>`<span class="pre">report_changes</span>`<span> seçeneğini kullanabilirsiniz . Bu seçenek dosyanın değişikliklerini uyarır ancak Wazuh FIM modülünün bir metin dosyasında değiştirilen tam içeriği bildirmesini engeller. nodiff seçeneğini kullanmak, dosya içeriği değişikliklerini uyarılar aracılığıyla göndererek oluşabilecek veri sızıntısını önler.  
      
    </span>
3. <span>Wazuh aracı yapılandırma dosyasına aşağıdaki ayarları ekleyin:</span>
    
    
    - <span>Linux:</span>`<span class="pre">/var/ossec/etc/ossec.conf</span>`
    - <span>Pencereler:</span>`<span class="pre">C:\Program</span> <span class="pre">Files</span> <span class="pre">(x86)\ossec-agent\ossec.conf</span>`
    - <span>macOS:</span>`<span class="pre">/Library/Ossec/etc/ossec.conf</span>`
    
    ```
    <syscheck>
       <directories check_all="yes" report_changes="yes"><FILEPATH_OF_MONITORED_DIRECTORY></directories>
       <nodiff><FILEPATH_OF_MONITORED_DIRECTORY>/private.txt</nodiff>
    </syscheck>
    ```
4. <span>Yapılandırma değişikliklerini uygulamak için Wazuh aracısını yönetici ayrıcalığıyla yeniden başlatın:</span>
    
    
    - <span>Linux:</span>`<span class="pre">systemctl</span> <span class="pre">restart</span> <span class="pre">wazuh-agent</span>`
    - <span>Pencereler:</span>`<span class="pre">Restart-Service</span> <span class="pre">-Name</span> <span class="pre">wazuh</span>`
    - <span>macOS:</span>`<span class="pre">/Library/Ossec/bin/wazuh-control</span> <span class="pre">restart</span>`

</section><section id="bkmrk-hari%C3%A7-tutmalar%C4%B1n-ekl">### <span>Hariç Tutmaların Eklenmesi</span>

<span>FIM modülünü, aşağıdaki iki yöntemden birini kullanarak belirli dosya ve dizinlere ilişkin uyarıları yoksayacak şekilde yapılandırabilirsiniz:</span>

<section id="bkmrk-yoksay-se%C3%A7ene%C4%9Fini-ku">#### <span>Yoksay Seçeneğini Kullanma</span>

<span class="std std-ref"><span>Bir yolu yoksaymak için yoksay</span></span><span> seçeneğini kullanabilirsiniz . Satır başına bir dosya veya dizin girişine izin verir. Ancak, birden fazla yol için dışlamalar eklemek için birden fazla satır kullanabilirsiniz.</span>

<span>Bu örnekte, FIM modülünün bir dosya yolunu yoksayacak şekilde nasıl yapılandırılacağını görebilirsiniz. Bu ayrıca dosya uzantıları </span>`<span class="pre">.log</span>`<span>ve . için regex eşleşmesini de yoksayar. Kendi dosya yollarınızla </span>`<span class="pre">.tmp</span>`<span>değiştirin .</span>`<span class="pre"><FILEPATH_OF_MONITORED_FILE></span>`

1. <span>Wazuh aracı yapılandırma dosyasına aşağıdaki ayarları ekleyin:</span>
    
    
    - <span>Linux:</span>`<span class="pre">/var/ossec/etc/ossec.conf</span>`
    - <span>Pencereler:</span>`<span class="pre">C:\Program</span> <span class="pre">Files</span> <span class="pre">(x86)\ossec-agent\ossec.conf</span>`
    - <span>macOS:</span>`<span class="pre">/Library/Ossec/etc/ossec.conf</span>`
    
    ```
    <syscheck>
       <ignore><FILEPATH_OF_MONITORED_FILE></ignore>
       <ignore type="sregex">.log$|.tmp$</ignore>
    </syscheck>
    ```
2. <span>Herhangi bir yapılandırma değişikliğini uygulamak için Wazuh aracısını yönetici ayrıcalığıyla yeniden başlatın:</span>
    
    
    - <span>Linux:</span>`<span class="pre">systemctl</span> <span class="pre">restart</span> <span class="pre">wazuh-agent</span>`
    - <span>Pencereler:</span>`<span class="pre">Restart-Service</span> <span class="pre">-Name</span> <span class="pre">wazuh</span>`
    - <span>macOS:</span>`<span class="pre">/Library/Ossec/bin/wazuh-control</span> <span class="pre">restart</span>`

</section><section id="bkmrk-%C3%96zel-kurallar%C4%B1-kulla">#### <span>Özel Kuralları Kullanma</span>

<span>Alternatif bir yöntem, uyarı seviyesi 0 kurallarını kullanmaktır. Bu yöntem, FIM modülü tarafından taranan belirli dosya ve dizinlerin uyarılarını yok sayar. Seviye 0 kuralları için uyarılar sessizdir ve Wazuh sunucusu bunları bildirmez.</span>

`<span class="pre">/var/www/htdocs/</span>`<span>Aşağıdaki yapılandırma örneğinde, bir Linux uç noktasındaki dizinin nasıl izleneceğini ve dosya için sessiz uyarıların nasıl kullanılacağını görebilirsiniz </span>`<span class="pre">/var/www/htdocs/private.html</span>`<span>.</span>

<section id="bkmrk-linux-u%C3%A7-noktas%C4%B1-waz">##### <span>Linux Uç Noktası</span>

1. <span>Wazuh aracı yapılandırma dosyasına aşağıdaki ayarları ekleyin </span>`<span class="pre">/var/ossec/etc/ossec.conf</span>`<span>:  
      
    </span>
    
    ```
    <syscheck>
       <directories>/var/www/htdocs</directories>
    </syscheck>
    ```
2. <span>Herhangi bir yapılandırma değişikliğini uygulamak için Wazuh aracısını yönetici ayrıcalığıyla yeniden başlatın:  
      
    </span>
    
    ```
    systemctl restart wazuh-agent
    ```

</section><section id="bkmrk-wazuh-sunucusu-wazuh">##### <span>Wazuh Sunucusu</span>

1. <span>Wazuh sunucusundaki dizinde </span>`<span class="pre">fim_ignore.xml</span>`<span>dosyayı oluşturun :</span>`<span class="pre">/var/ossec/etc/rules/</span>`
    
    ```
    touch /var/ossec/etc/rules/fim_ignore.xml
    ```
2. <span>Dosyaya aşağıdaki kuralları ekleyin </span>`<span class="pre">fim_ignore.xml</span>`<span>:</span>
    
    ```
    <group name="syscheck">
      <rule id="100345" level="0">
        <if_group>syscheck</if_group>
        <field name="file">/var/www/htdocs/private.html</field>
        <description>Ignore changes to $(file)</description>
      </rule>
    </group>
    ```
    
    <span>Kural, </span>`<span class="pre">/var/www/htdocs/private.html</span>`<span>dosya için FIM uyarısını susturur.</span>

3. <span>Yapılandırma değişikliklerini uygulamak için Wazuh yöneticisini yeniden başlatın:  
      
    </span>
    
    ```
    systemctl restart wazuh-manager
    ```

</section></section></section>  
</div></section>

# İzleme Sistemi Çağrıları

<span>Linux uç noktalarındaki sistem çağrılarını izlemek, güvenlik denetimi amaçları için bilgi sağlar. Sistem çağrısı verilerini toplamak ve analiz etmek, güvenlik ekiplerinin şüpheli davranış kalıplarını belirlemesine ve olası güvenlik olaylarını zamanında araştırmasına yardımcı olur.</span>

<span>Linux </span>[<span>Denetim sistemi,</span>](https://access.redhat.com/documentation/en-US/Red_Hat_Enterprise_Linux/6/html/Security_Guide/chap-system_auditing.html)<span> Linux uç noktalarındaki güvenlik ve güvenlik dışı olayları toplamak için güçlü bir araçtır. Ancak denetim günlükleri tarafından oluşturulan verilerin hacmi, sistem yöneticilerinin potansiyel güvenlik tehditlerini ve ihlallerini belirlemesini zorlaştırabilir.</span>

<span>Wazuh, Linux uç noktalarındaki sistem çağrılarını izlemek için Linux Denetim sistemini kullanır. Wazuh aracısı, sistem çağrısı olaylarını toplamak ve analiz için Wazuh sunucusuna göndermek üzere izlenen uç noktalara denetim kurallarını yükler ve yapılandırır. Bu denetim kuralları, güvenlik izlemeyle ilgili olayları yakalar. Wazuh, dosya erişimi, komut yürütme, ayrıcalık yükseltme, kötü amaçlı yazılım ve daha fazlası dahil olmak üzere birden fazla etkinliği algılamak için sistem çağrısı olaylarını kullanan kullanıma hazır algılama kuralları sağlar. Güvenlik ekipleri, bu kuralları belirli güvenlik gereksinimlerini veya uyumluluk standartlarını karşılayacak şekilde özelleştirebilir ve böylece olası güvenlik olaylarına ilişkin gerçek zamanlı içgörüler elde edebilir.</span>

<span>Wazuh, denetim olaylarının merkezi bir görünümünü sağlayarak sistem etkinliklerini izleme görevini basitleştirir ve kuruluşların düzenleyici gerekliliklere uymasına yardımcı olur. Genel olarak, Wazuh denetim yeteneği, Linux sistemleri için sağlam ve kapsamlı bir güvenlik izleme çözümü sunarak kuruluşların güvenlik duruşlarını iyileştirmelerine ve siber tehditlere karşı korunmalarına yardımcı olur.</span>

# Komut İzleme

<span>Wazuh komut izleme yeteneği, belirli komutların çıktısını izlemenize ve çıktıyı günlük içeriği olarak ele almanıza olanak tanır. Komut izleme, disk alanı kullanımı, yük ortalaması, ağ dinleyicilerindeki bir değişiklik ve tüm önemli işlemlerin çalıştığından emin olmak için çalışan işlemler gibi çeşitli şeyleri izlemek için kullanılabilir.</span>

<span>Komut izleme, çeşitli anormallikleri ve tehditleri tespit etmek için kullanılabilir. Örneğin, komutun çıktısında bir değişiklik olup olmadığını izlemek için kullanabilirsiniz </span>`<span class="pre">netstat</span>`<span>; bu, yeni bir ağ dinleyicisinin eklendiğini veya kaldırıldığını gösterir. Ayrıca, komutun çıktısında belirli dizelerin varlığını izlemek için de kullanabilirsiniz </span>`<span class="pre">ps</span>`<span>; bu, kötü amaçlı bir işlemin çalıştığını gösterebilir.</span>

# Güvenlik Yapılandırma Değerlendirmesi

<span>Güvenlik Yapılandırma Değerlendirmesi (SCA), tüm sistemlerin yapılandırma ayarları ve onaylı uygulama kullanımıyla ilgili önceden tanımlanmış bir dizi kurala uyduğunu doğrulama sürecidir. Uç noktaları güvence altına almanın en kesin yollarından biri, güvenlik açığı yüzeylerini azaltmaktır. Bu süreç genellikle güçlendirme olarak bilinir. Yapılandırma değerlendirmesi, uç noktalarınızdaki zayıflıkları belirlemenin ve saldırı yüzeyinizi azaltmak için bunları yamamanın etkili bir yoludur.</span>

<span>Wazuh SCA modülü, izlenen uç noktalardaki yanlış yapılandırmaları ve ifşaları tespit etmek ve düzeltme eylemleri önermek için taramalar gerçekleştirir. Bu taramalar, uç noktaların yapılandırmasını, uç noktanın gerçek yapılandırmasına karşı test edilecek kuralları içeren politika dosyalarını kullanarak değerlendirir. SCA politikaları, dosyaların, dizinlerin, kayıt defteri anahtarlarının ve değerlerinin, çalışan işlemlerin varlığını kontrol edebilir ve dizinlerin içindeki dosyaların varlığını yinelemeli olarak test edebilir.</span>

<span>Örneğin, SCA modülü parola ile ilgili yapılandırmanın değiştirilmesinin, gereksiz yazılımların kaldırılmasının, gereksiz hizmetlerin devre dışı bırakılmasının veya TCP/IP yığın yapılandırmasının denetlenmesinin gerekli olup olmadığını değerlendirebilir.</span>

<span>SCA modülü için politikalar YAML'de yazılmıştır. Bu format, insan tarafından okunabilir ve anlaşılması kolay olduğu için seçilmiştir. Kendi SCA politikalarınızı kolayca yazabilir veya mevcut olanları ihtiyaçlarınıza uyacak şekilde genişletebilirsiniz. Ayrıca, Wazuh çoğunlukla uç nokta güçlendirme için yerleşik bir standart olan CIS kıyaslamalarına dayalı bir dizi kullanıma hazır politika ile dağıtılır.</span>

# Güvenlik Açığı Tespiti

<span>Güvenlik açıkları, tehdit aktörlerinin bu sistemlere yetkisiz erişim elde etmek için istismar edebileceği bilgisayar sistemlerindeki güvenlik kusurlarıdır. İstismardan sonra, kötü amaçlı yazılımlar ve tehdit aktörleri uzaktan kod yürütme, veri sızdırma ve diğer kötü amaçlı faaliyetleri gerçekleştirebilir. Bu nedenle, kuruluşların kötü aktörler istismar etmeden önce ağlarındaki güvenlik açıklarını derhal tespit eden stratejilere veya güvenlik çözümlerine sahip olması gerekir. Bir ağdaki güvenlik açıklarının derhal tespit edilmesi ve düzeltilmesi, genel güvenlik duruşunun güçlendirilmesine yardımcı olur.</span>

<span>Wazuh Vulnerability Detection modülü, kullanıcıların izlenen uç noktalara yüklenen işletim sistemi ve uygulamalardaki güvenlik açıklarını keşfetmelerine yardımcı olur. Modül, aşağıdaki güvenlik açığı kaynaklarından birini kullanarak çalışır.</span>

- <span>Siber Tehdit İstihbaratı (CTI) platformumuzdaki Wazuh zafiyet deposu.</span>
- <span>Çevrimdışı yerel güvenlik açıkları deposu.</span>

<span>Güvenlik açığı bilgilerini sağlamak için Canonical, Debian, Red Hat, Arch Linux, Amazon Linux Advisories Security (ALAS), Microsoft ve National Vulnerability Database (NVD) tarafından dizinlenen harici güvenlik açığı kaynaklarından güvenlik açığı verilerini topluyoruz. Çözümün en son CVE'leri kontrol etmesini sağlayarak bu bilgileri güncel tutuyoruz.</span>

# Referans



# Merkezi Yapılandırma (agent.conf)



# Yerel Yapılandırma (ossec.conf)