# Sıraya Girme Mekanizmaları

Wazuh sunucusu, izlenen uç noktalardan olay toplanmasını kolaylaştıran bir kuyruk mekanizması içerir. Wazuh ajanlarından, syslog uç noktalarından ve ajansız cihazlardan Wazuh sunucusuna sürekli veri akışı sağlayarak olay taşmasını önler. Wazuh sunucu kuyruğu İlk Giren İlk Çıkar (FIFO) metodolojisini kullanır; bu nedenle, ilk kuyruğa alınan olay kuyruktan ilk kaldırılan ve işlenen olaydır. Dağıtılmış işleme dayalıdır ve günlük analiz görevlerinin paralel hale getirilmesine olanak tanır. Bu, günlük işleme hattının ölçeklenebilirliğini ve performansını iyileştirerek Wazuh'un büyük hacimli günlük verilerini etkili bir şekilde işlemesini sağlar.

Wazuh sunucusunda olay akışlarını yönetmek için iki yerel kuyruk bulunur:

- [Wazuh aracı iletişim kuyruğu (queue\_rd)](https://documentation.wazuh.com/current/user-manual/manager/wazuh-server-queue.html#wazuh-agent-communication-queue-queue-rd)
- [Wazuh analiz motoru kuyruğu (queue\_and)](https://documentation.wazuh.com/current/user-manual/manager/wazuh-server-queue.html#wazuh-analysis-engine-queue-queue-and)

Wazuh aracısı, olay tıkanıklığını önlemek için [Wazuh aracı kuyruğunu (queue\_ad)](https://documentation.wazuh.com/current/user-manual/manager/wazuh-server-queue.html#wazuh-agent-queue-queue-ad) kullanır . Bu kuyruk, Wazuh aracısının Wazuh sunucusunun işleyebileceğinden daha hızlı olay göndermemesini sağlar.

<section id="bkmrk-wazuh-arac%C4%B1-ileti%C5%9Fim-1">### Wazuh Agent İletişim Kuyruğu (queue\_rd)

Kuyruk `<span class="pre">queue_rd</span>`, sunucu tarafı [<span class="doc">aracı iletişim hizmetinde</span>](https://documentation.wazuh.com/current/user-manual/reference/daemons/wazuh-remoted.html) bulunur . Wazuh aracılarından olayları alır ve olay kod çözme ve kural eşleştirme için [<span class="doc">Wazuh analiz motoruna</span>](https://documentation.wazuh.com/current/user-manual/reference/daemons/wazuh-analysisd.html) gönderir .

<section id="bkmrk-wazuh-arac%C4%B1-ileti%C5%9Fim-3">#### Wazuh Agent İletişim Kuyruğu Nasıl Yapılandırılır

1. Wazuh sunucusundaki `<span class="pre">/var/ossec/etc/ossec.conf</span>` dosyasının `<span class="pre"><queue_size></span>`uzak bölümünde düzenleme yaparak Wazuh aracı iletişim kuyruğunu yapılandırın:
    
    ```
    <remote>
      <connection>secure</connection>
      <port>1514</port>
      <protocol>tcp,udp</protocol>
      <queue_size>131072</queue_size>
      <rids_closing_time>5m</rids_closing_time>
      <connection_overtake_time>600</connection_overtake_time>
      <agents>
        <allow_higher_versions>no</allow_higher_versions>
      </agents>
    </remote>
    ```
    
    Değişken `<span class="pre"><queue_size></span>`, Wazuh aracı iletişim kuyruğunun kuyruk kapasitesini ayarlar. Aşağıdaki tablo `<span class="pre"><queue_size></span>` değişkenin yapılandırmasını gösterir.
    
    <table class="docutils align-default"><thead><tr class="row-odd"><th class="head">Varsayılan değer
    
    </th><th class="head">İzin verilen değerler
    
    </th></tr></thead><tbody><tr class="row-even"><td>131072
    
    </td><td>1 ile 262144 arasında herhangi bir sayı.
    
    </td></tr></tbody></table>
    
    <p class="callout info">Not: Wazuh aracı iletişim kuyruğu ( `<span class="pre">queue_rd</span>`) yalnızca Wazuh aracı olayları için kullanılabilir, uzak syslog olayları için kullanılamaz. Bu seçenek yalnızca bağlantı olarak ayarlandığında çalışır `<span class="pre">secure</span>`.</p>
    
    <div class="admonition note"> </div>
2. Değişiklikleri uygulamak için Wazuh yönetici hizmetini yeniden başlatın.
    
    ```
    systemctl restart wazuh-manager
    ```

Olay düşüşleri gözlemlendiğinde `<span class="pre">/var/ossec/etc/ossec.conf</span>` dosyasının `<span class="pre"><remote></span>` bloğundaki `<span class="pre">queue_size</span>` değerini ve `<span class="pre">/var/ossec/etc/internal_options.conf</span>` dosyasındaki `<span class="pre">worker_pool</span>` boyutunu artırabilirsiniz.

`<span class="pre">worker_pool</span>`Aşağıdaki tablo Wazuh sunucusundaki boyut yapılandırmasını göstermektedir .

<table class="docutils align-default"><tbody><tr class="row-odd"><td rowspan="3">**uzaktan.çalışan\_havuzu**

</td><td>Tanım

</td><td>Yük alımını işleyen iş parçacığı sayısı

</td></tr><tr class="row-even"><td>Varsayılan değer

</td><td>4

</td></tr><tr class="row-odd"><td>İzin verilen değer

</td><td>1 ile 16 arasında herhangi bir tam sayı

</td></tr></tbody></table>

[<span class="doc">Wazuh sunucu API'sini</span>](https://documentation.wazuh.com/current/user-manual/api/reference.html) `<span class="pre">wazuh-remoted</span>` sorgulayarak veya daemon istatistiksel durum dosyasını okuyarak olay düşüşlerini izleyebilirsiniz .

<section id="bkmrk-wazuh-sunucu-api%27sin">##### Wazuh Sunucu API'sini Sorgulama

`<span class="pre">wazuh-remoted</span>`Aşağıdaki adımları izleyerek istatistiksel bilgileri sorgulayabilirsiniz :

1. Wazuh panosunda **Araçlar'a** ve ardından **API Konsolu'na** gidin .
2. API konsoluna aşağıdakileri ekleyin ve Wazuh sunucusu API'sine sorgu göndermek için yeşil oka tıklayın:
    
    ```
    GET /manager/daemons/stats
    ```
3. Sorgu sonucu aşağıdaki ekran görüntüsünün sol tarafında gösterilmektedir.
    
    <div class="wazuh-image-wrapper align-center">![Wazuh-uzaktan istatistiklerini gösteren Wazuh daemon'larının istatistiksel sorgusu.](https://documentation.wazuh.com/current/_images/wazuh-remoted-query-results1.png)</div>

Sorgu, kuyruk boyutu değerini, tarafından işlenen olay sayısını `<span class="pre">wazuh-remoted</span>`ve atılan olay sayısını döndürür.

</section><section id="bkmrk-arac%C4%B1-ileti%C5%9Fim-istat">##### Aracı İletişim İstatistiksel Durum Dosyası

Bu istatistiksel dosya, `<span class="pre">wazuh-remoted</span>`kuyruk boyutu, atılan mesajlar, uzak bağlantı sayısı ve diğer önemli bilgiler gibi uzak daemon ile ilgili verileri sunar.

Dosyayı okumak için Wazuh sunucusunda aşağıdaki komutu çalıştırın:

```
cat /var/ossec/var/run/wazuh-remoted.state
```

Aşağıda dosyanın içeriğine dair bir örnek verilmiştir `<span class="pre">wazuh-remoted.state</span>`:

```
# State file for wazuh-remoted
# THIS FILE WILL BE DEPRECATED IN FUTURE VERSIONS
# Updated every 5 seconds.

# Queue size
queue_size='0'

# Total queue size
total_queue_size='131072'

# TCP sessions
tcp_sessions='1'

# Events sent to Analysisd
evt_count='126714'

# Control messages received
ctrl_msg_count='2637'

# Discarded messages
discarded_count='0'

# Total number of bytes sent
sent_bytes='4434745'

# Total number of bytes received
recv_bytes='93866086'

# Messages dequeued after the agent closes the connection
dequeued_after_close='0'
```

</section></section></section><section id="bkmrk-wazuh-analiz-motoru-">### Wazuh Analiz Motoru Kuyruğu (queue\_and)

Sıra <span class="doc">Wazuh analiz motorunda </span>`<span class="pre">queue_and</span>` bulunur ve olayların alınmasını kolaylaştırır. Wazuh analiz motoru daha sonra alınan günlükleri Wazuh sunucusundaki kurallarla eşleştirir.

<section id="bkmrk-wazuh-analiz-motoru--2">#### Wazuh Analiz Motoru Kuyruğu Nasıl Yapılandırılır

Wazuh analiz motoru kuyruğu, `<span class="pre">queue_and</span>` kuyruğu kullanarak analiz için Wazuh ajanlarından günlükleri alır. Gelen tüm günlük mesajları kategorilere ayrılır ve aşağıdaki kategorilerde sıraya alınır:

- Dosya bütünlüğü izleme olayı kod çözücü kuyruğu.
- Syscollector olay kod çözücü kuyruğu.
- Kök denetimi olayı kod çözücü kuyruğu.
- Ana bilgisayar bilgisi olay kod çözücü kuyruğu.
- Olay kod çözücü kuyruğu.
- Windows olay kod çözücü kuyruğu.

Her kuyruk kategorisinin İlk Giren İlk Çıkar (FIFO) olay yönetiminden sorumlu bir dizi iş parçacığı vardır. İş parçacığı sayısı, `<span class="pre">/var/ossec/etc/internal_options.conf</span>` Wazuh sunucusundaki dosya aracılığıyla olay türüne göre ayrı ayrı yapılandırılabilir.

<p class="callout info">Not: Yükseltmelerin kuyruk yapılandırmalarını geçersiz kılmamasını sağlamak için `<span class="pre">/var/ossec/etc/local_internal_options.conf</span>` dosyası yerine `<span class="pre">/var/ossec/etc/internal_options.conf</span>` dosyasını kullanın.</p>

Aşağıdaki tabloda Wazuh analiz motoru kuyruğu ( `<span class="pre">queue_and</span>`) için kullanılabilen yapılandırma seçenekleri gösterilmektedir.

<table class="docutils align-default"><thead><tr class="row-odd"><th class="head">Kuyruklar (wazuh-analysisd.state)

</th><th class="head">Ayar (local\_internal\_options.conf)

</th><th class="head">Varsayılan

</th><th class="head">Dakika

</th><th class="head">Maksimum

</th></tr></thead><tbody><tr class="row-even"><td>syscheck\_queue\_kullanımı

</td><td>analizd.decode\_syscheck\_queue\_size

</td><td>16384

</td><td>128

</td><td>2000000

</td></tr><tr class="row-odd"><td>syscollector\_kuyruğu\_kullanımı

</td><td>analizd.decode\_syscollector\_queue\_size

</td><td>16384

</td><td>128

</td><td>2000000

</td></tr><tr class="row-even"><td>kök\_kontrolu\_kuyruk\_kullanımı

</td><td>analizd.decode\_rootcheck\_queue\_size

</td><td>16384

</td><td>128

</td><td>2000000

</td></tr><tr class="row-odd"><td>sca\_queue\_kullanımı

</td><td>analizd.decode\_sca\_queue\_size

</td><td>16384

</td><td>128

</td><td>2000000

</td></tr><tr class="row-even"><td>hostinfo\_kuyruk\_kullanımı

</td><td>analiz.decode\_hostinfo\_queue\_size

</td><td>16384

</td><td>128

</td><td>2000000

</td></tr><tr class="row-odd"><td>winevt\_kuyruk\_kullanımı

</td><td>analizd.decode\_winevt\_kuyruk\_boyutu

</td><td>16384

</td><td>128

</td><td>2000000

</td></tr><tr class="row-even"><td>dbsync\_kuyruk\_kullanımı

</td><td>analizd.dbsync\_queue\_size

</td><td>16384

</td><td>128

</td><td>2000000

</td></tr><tr class="row-odd"><td>yükseltme\_kuyruğu\_kullanımı

</td><td>analizd.yükseltme\_kuyruğu\_boyutu

</td><td>16384

</td><td>128

</td><td>2000000

</td></tr><tr class="row-even"><td>olay\_kuyruğu\_kullanımı

</td><td>analizd.decode\_event\_queue\_size

</td><td>16384

</td><td>128

</td><td>2000000

</td></tr><tr class="row-odd"><td>kural\_eşleşen\_kuyruk\_kullanımı

</td><td>analizd.decode\_output\_queue\_size

</td><td>16384

</td><td>128

</td><td>2000000

</td></tr><tr class="row-even"><td>uyarılar\_kuyruğu\_kullanımı

</td><td>analizd.uyarılar\_kuyruk\_boyutu

</td><td>16384

</td><td>128

</td><td>2000000

</td></tr><tr class="row-odd"><td>güvenlik\_kuyruğu\_kullanımı

</td><td>analizd.firewall\_queue\_size

</td><td>16384

</td><td>128

</td><td>2000000

</td></tr><tr class="row-even"><td>istatistiksel\_kuyruk\_kullanımı

</td><td>analizd.istatistiksel\_kuyruk\_boyutu

</td><td>16384

</td><td>128

</td><td>2000000

</td></tr><tr class="row-odd"><td rowspan="5">arşiv\_kuyruğu\_kullanımı

</td><td>analizd.arşivler\_kuyruğu\_boyutu

</td><td>16384

</td><td>128

</td><td>2000000

</td></tr><tr class="row-even"><td>analizd.fts\_kuyruk\_boyutu

</td><td>16384

</td><td>128

</td><td>2000000

</td></tr><tr class="row-odd"><td>analizd.fts\_liste\_boyutu

</td><td>32

</td><td>12

</td><td>512

</td></tr><tr class="row-even"><td>analysisd.fts\_min\_size\_for\_str

</td><td>14

</td><td>6

</td><td>128

</td></tr><tr class="row-odd"><td>analizd.decoder\_order\_size

</td><td>256

</td><td>32

</td><td>1024

</td></tr></tbody></table>

<span class="doc">Wazuh analiz motorunda "olay düşüşleri" gözlemlendiğinde kuyruk ayarları ayarlanmalıdır. [Wazuh sunucu API'sini](https://documentation.wazuh.com/current/user-manual/api/reference.html)</span>[ ](https://documentation.wazuh.com/current/user-manual/api/reference.html)sorgulayarak veya daemon istatistiksel durum dosyasını okuyarak wazuh-analysisd'deki olay düşüşlerini izleyebilirsiniz .

<section id="bkmrk-wazuh-sunucu-api%27sin-2">##### Wazuh Sunucu API'sini Sorgulama

Wazuh analiz motorundan istatistiksel bilgileri kontrol etmek için günlük kategorisi durumu Wazuh sunucu API'si kullanılarak sorgulanabilir. Yeni istatistikler, alınan veya düşürülen olayların olay türüne göre dökümünü gösterir. Bu, yalnızca düşürmeyi gösteren kuyruk boyutlarını ayarlamak için hayati önem taşır.

Aşağıdaki adımları izleyerek Wazuh analiz motorunun istatistiksel bilgilerini sorgulayabilirsiniz:

1. Wazuh panosunda **Araçlar'a** ve ardından **API Konsolu'na** gidin .
2. Konsola aşağıdakileri ekleyin ve Wazuh sunucu API'sine sorgu göndermek için yeşil oka tıklayın:
    
    ```
    GET /manager/daemons/stats
    ```
3. `<span class="pre">wazuh-analysisd</span>`Aşağıdaki ekran görüntüsünde sağ tarafta gösterilen sorgu sonucunun bulunduğu bölüme doğru aşağı kaydırın .
    
    <div class="wazuh-image-wrapper align-center">![Wazuh-analysisd istatistiklerini gösteren Wazuh daemon'larının istatistiksel sorgusu](https://documentation.wazuh.com/current/_images/wazuh-analysisd-query-results1.png)</div>

Sorgu, kuyruk boyutu değerini, Wazuh analiz motoru tarafından işlenen olay sayısını ve atılan olay sayısını döndürür.

`<span class="pre">/var/ossec/etc/internal_options.conf</span>`Wazuh analiz motoru kuyruğu , Wazuh sunucusundaki dosya aracılığıyla olay türüne göre yapılandırılabilir .

<p class="callout info">Not: Yükseltmelerin kuyruk yapılandırmalarını geçersiz kılmamasını sağlamak için `<span class="pre">/var/ossec/etc/local_internal_options.conf</span>` dosyası yerine `<span class="pre">/var/ossec/etc/internal_options.conf</span>` dosyasını kullanın.</p>

</section><section id="bkmrk-wazuh-analiz-motoru--4">##### Wazuh Analiz Motoru İstatistiksel Durum Dosyası

Wazuh analiz motoru için istatistiksel dosya şu adreste bulunur `<span class="pre">/var/ossec/var/run/wazuh-analysisd.state</span>`. Dosya, Wazuh sunucusundaki olay işleme sorunlarını araştırırken yararlı olabilir.

Dosyayı okumak için Wazuh sunucusunda aşağıdaki komutu çalıştırın:

```
cat /var/ossec/var/run/wazuh-analysisd.state
```

Aşağıda wazuh-remoted.state dosyasının içeriğine dair bir örnek verilmiştir:

```
# State file for wazuh-analysisd
# THIS FILE WILL BE DEPRECATED IN FUTURE VERSIONS

# Total events decoded
total_events_decoded='137726'

# Syscheck events decoded
syscheck_events_decoded='3935'

# Syscollector events decoded
syscollector_events_decoded='2590'

# Rootcheck events decoded
rootcheck_events_decoded='37'

# Security configuration assessment events decoded
sca_events_decoded='8991'

# Winevt events decoded
winevt_events_decoded='87993'

# Database synchronization messages dispatched
dbsync_messages_dispatched='26004'

# Other events decoded
other_events_decoded='8176'

# Events processed (Rule matching)
events_processed='112252'

# Events received
events_received='138283'

# Events dropped
events_dropped='0'

# Alerts written to disk
alerts_written='6707'

# Firewall alerts written to disk
firewall_written='0'

# FTS alerts written to disk
fts_written='0'

# Syscheck queue
syscheck_queue_usage='0.00'

# Syscheck queue size
syscheck_queue_size='16384'

# Syscollector queue
syscollector_queue_usage='0.00'

# Syscollector queue size
syscollector_queue_size='16384'

# Rootcheck queue
rootcheck_queue_usage='0.00'

# Rootcheck queue size
rootcheck_queue_size='16384'

# Security configuration assessment queue
sca_queue_usage='0.00'

# Security configuration assessment queue size
sca_queue_size='16384'

# Hostinfo queue
hostinfo_queue_usage='0.00'

# Hostinfo queue size
hostinfo_queue_size='16384'

# Winevt queue
winevt_queue_usage='0.00'

# Winevt queue size
winevt_queue_size='16384'

# Database synchronization message queue
dbsync_queue_usage='0.00'

# Database synchronization message queue size
dbsync_queue_size='16384'

# Upgrade module message queue
upgrade_queue_usage='0.00'

# Upgrade module message queue size
upgrade_queue_size='16384'

# Event queue
event_queue_usage='0.00'

# Event queue size
event_queue_size='16384'

# Rule matching queue
rule_matching_queue_usage='0.00'

# Rule matching queue size
rule_matching_queue_size='16384'

# Alerts log queue
alerts_queue_usage='0.00'

# Alerts log queue size
alerts_queue_size='16384'

# Firewall log queue
firewall_queue_usage='0.00'

# Firewall log queue size
firewall_queue_size='16384'

# Statistical log queue
statistical_queue_usage='0.00'

# Statistical log queue size
statistical_queue_size='16384'

# Archives log queue
archives_queue_usage='0.00'

# Archives log queue size
archives_queue_size='16384'
```

</section></section></section><section id="bkmrk-wazuh-arac%C4%B1-kuyru%C4%9Fu-">### Wazuh Agent Kuyruğu (queue\_ad)

Sıra `<span class="pre">queue_ad</span>`, aracı tarafı [<span class="doc">aracı bağlantı hizmetinde</span>](https://documentation.wazuh.com/current/user-manual/reference/daemons/wazuh-agentd.html) bulunur ve Wazuh aracısından Wazuh sunucusuna olay iletimini yönetir. Sıra, Wazuh sunucusuna iletmeden önce sistem olayları ve güvenlik yapılandırması değerlendirme çıktıları gibi günlükleri toplar. Ayrıca, yapılandırılabilir parametrelere göre olay iletimini kısıtlayan ve Wazuh sunucusunun işleme kapasitesini aşma riskini azaltan bir anti-flooding mekanizması içerir.

<section id="bkmrk-wazuh-kuyruk-%C3%A7%C3%B6z%C3%BCc%C3%BC-">#### Wazuh Kuyruk Çözücü ve Kuralları

Wazuh, olay sel çıkışını analiz etmek ve Wazuh panosunda uyarılar oluşturmak için kullanıma hazır bir kod çözücü ve kurallar sağlar.

<section id="bkmrk-kod-%C3%A7%C3%B6z%C3%BCc%C3%BCbu-ba%C5%9Fl%C4%B1%C4%9Fa">##### Decoder

Kod çözücü Wazuh sunucusundaki dosyada mevcuttur `<span class="pre">/var/ossec/ruleset/decoders/0005-wazuh_decoders.xml</span>`. Kod çözücü Wazuh sunucusundaki flood olaylarını analiz etmekten sorumludur.

```
<decoder name="agent-buffer">
  <parent>wazuh</parent>
  <prematch offset="after_parent">^Agent buffer:</prematch>
  <regex offset="after_prematch">^ '(\S+)'.</regex>
  <order>level</order>
</decoder>
```

</section><section id="bkmrk-t%C3%BCz%C3%BCkbu-ba%C5%9Fl%C4%B1%C4%9Fa-kal%C4%B1">##### Kurallar

Aşağıda görüldüğü gibi kurallar, `<span class="pre">201</span>`ile arasındaki ID'lerle tanımlanmış olup Wazuh sunucusundaki dosyada `<span class="pre">205</span>`mevcuttur .`<span class="pre">/var/ossec/ruleset/rules/0016-wazuh_rules.xml</span>`

```
<!-- Agent buffer rules -->
<rule id="201" level="0">
  <if_sid>200</if_sid>
  <match>^wazuh: Agent buffer: </match>
  <description>Agent event queue rule</description>
  <group>agent_flooding,</group>
</rule>

<rule id="202" level="7">
  <if_sid>201</if_sid>
  <field name="level">%</field>
  <description>Agent event queue is $(level) full.</description>
  <group>agent_flooding,pci_dss_10.6.1,gdpr_IV_35.7.d,</group>
</rule>

<rule id="203" level="9">
  <if_sid>201</if_sid>
  <field name="level">full</field>
  <description>Agent event queue is full. Events may be lost.</description>
  <group>agent_flooding,pci_dss_10.6.1,gdpr_IV_35.7.d,</group>
</rule>

<rule id="204" level="12">
  <if_sid>201</if_sid>
  <field name="level">flooded</field>
  <description>Agent event queue is flooded. Check the agent configuration.</description>
  <group>agent_flooding,pci_dss_10.6.1,gdpr_IV_35.7.d,</group>
</rule>

<rule id="205" level="3">
  <if_sid>201</if_sid>
  <field name="level">normal</field>
  <description>Agent event queue is back to normal load.</description>
  <group>agent_flooding,</group>
</rule>
```

Nerede:

- Kural Kimliği, `<span class="pre">201</span>`olay kuyruğu için temel kuraldır.
- Kural Kimliği, `<span class="pre">202</span>`olay kuyruğu seviyesi %90'a ulaştığında tetiklenir.
- Kural kimliği, `<span class="pre">203</span>`olay kuyruğu dolduğunda tetiklenir.
- `<span class="pre">204</span>`Olay kuyruğu dolduğunda kural kimliği tetiklenir.
- Kural Kimliği, `<span class="pre">205</span>`bir su baskını olayından sonra olay kuyruğu normale döndüğünde tetiklenir.

</section></section></section>