Defansif Lab Serisi — Docker üzerine Wazuh(SIEM) kurulumu— LAB02

Bir önceki seride kurduğumuz AD lab serverlarının loglarını toparlayabilmek, yapılan atakları tespit edebilmek için popüler open source SIEM ürünü olan Wazuh’un kurulumunu yapacağız.

Bu kurulum adımlarında wazuh’u docker üzerine kuracağız. Sistemi kurcağımız sunucu olarak Ubuntu 22.04 seçtim. Gereksinimlerinizi aşağıdaki tabloya göre hesaplayıp sunucu kaynaklarını bu şekilde ayırabilirsiniz.

sistem gereksinimleri

Sunucumuzu hazırladıktan sonra, docker kurulumu yapıyoruz. (sunucunun updatelerini geçmiş olmak gerekiyor)

1- Docker kurulum scripti çalıştırıyoruz

curl -sSL https://get.docker.com/ | sh

2- Docker servisini çalıştırıyoruz

systemctl start docker

Uygulama kurulumunda yarımcı olacak olan docker-compose kurulumunuda yapacağız.

3- Docker compose kurulumu

curl -L "https://github.com/docker/compose/releases/download/v2.12.2/docker-compose-$(uname -s)-$(uname -m)" -o /usr/local/bin/docker-composechmod +x /usr/local/bin/docker-compose

4- Sistem bellek boyutunu yükseltiyoruz. Wazuh indexer servisi için kernel üzerindeki bu ayarı yapmamız gerekiyor.

sysctl -w vm.max_map_count=262144

Wazuh kurulum adımları (Single-node)

1- Github üzerinde bulunan wazuh reposundan son versiyonu klonluyoruz

git clone https://github.com/wazuh/wazuh-docker.git -b v4.7.0

2- Sertifika oluştururuyoruz, kendi sertifikanızı kullanmak isterseniz dosya yoluna ekleyebilirsiniz.

docker-compose -f generate-indexer-certs.yml run --rm generator

3- docker-compose.yml ile uygulama verilerini istediğiniz gibi düzenleyebilirisiz. Arayüz bilgilerini buradan güncelliyorum

dashborad için olan bölümden değiştirmeniz gerekiyor :)

4- uygulamayı çalıştırıyorum

docker-compose up -d

Oluşan container ve açılan port detayları

Serinin devamında sunucuların loglarını buraya toparlayıp alarm yazılması gibi süreçlere bakacağız.

Serinin devamında görüşmek üzere.