Wazuh'a IP İtibar Verisi Entegrasyonu: CDB Listesi, Kural ve Aktif Yanıt

Wazuh, kendi topladığı olayları harici bir itibar verisiyle karşılaştırabilir. Böylece sıradan bir başarısız giriş kaydı, kaynağın bilinen bir saldırı altyapısı olduğu anlaşıldığında öncelikli bir uyarıya dönüşür. Bu rehberde IP-DB.com beslemesini bir CDB listesine dönüştürmeyi, eşleşme kuralı yazmayı, uyarıları zenginleştirmeyi ve isterseniz aktif yanıtla engellemeyi anlatıyoruz.

1. Beslemeyi CDB biçimine dönüştürün

CDB listeleri anahtar-değer satırlarından oluşur; IP eşleştirmesi için her satırın sonuna iki nokta koymanız yeterlidir. Yöneticide çalışacak küçük bir betik:

#!/bin/sh # /usr/local/bin/ipdb-sync.sh set -e LIST=/var/ossec/etc/lists/ipdb-blacklist curl -fsS "https://ip-db.com/api/v1/feed.txt?key=API_ANAHTARINIZ" \ | grep -E '^[0-9]' | awk '{print $1":"}' > $LIST.tmp mv $LIST.tmp $LIST chown wazuh:wazuh $LIST /var/ossec/bin/wazuh-makelists /var/ossec/bin/wazuh-control reload

Saatlik bir cron kaydı yeterlidir; havuz 30 dakikada bir yenilendiği için daha sık çekmek yeni veri getirmez:

7 * * * * /usr/local/bin/ipdb-sync.sh >> /var/log/ipdb-sync.log 2>&1

2. Listeyi ruleset'e tanıtın

/var/ossec/etc/ossec.conf içindeki ruleset bloğuna ekleyin:

<ruleset> <list>etc/lists/ipdb-blacklist</list> </ruleset>

3. Eşleşme kuralını yazın

/var/ossec/etc/rules/local_rules.xml dosyasına, kaynak adresi listede geçen olayları yükselten bir kural ekleyin. address_match_key araması CIDR girdilerini de doğru şekilde değerlendirir:

<group name="ipdb,"> <rule id="100200" level="10"> <if_group>authentication_failed</if_group> <list field="srcip" lookup="address_match_key">etc/lists/ipdb-blacklist</list> <description>Bilinen kötü kaynaktan kimlik doğrulama hatası: $(srcip)</description> </rule> </group>

Kuralı if_group (veya if_sid) ile daraltmak önemlidir. Listeyi tek koşul olarak bırakırsanız kural her olayda değerlendirilir; bu, yoğun ortamlarda gereksiz yük demektir.

4. Kuralı test edin

Yöneticiyi yeniden başlattıktan sonra gerçek bir günlük satırını doğrudan test edebilirsiniz:

/var/ossec/bin/wazuh-logtest

Aracın çıktısında kuralınızın ID'sini ve yükseltilmiş seviyeyi görmelisiniz. Kural tetiklenmiyorsa önce listenin derlenip derlenmediğini (wazuh-makelists çıktısı) ve dosya sahipliğini kontrol edin.

5. Aktif yanıtla engelleme

Eşleşen adresi ajanın güvenlik duvarında geçici olarak düşürmek için:

<active-response> <command>firewall-drop</command> <location>local</location> <rules_id>100200</rules_id> <timeout>3600</timeout> </active-response>

timeout kullanmak kritiktir: yanlış pozitif durumunda engelleme kendiliğinden kalkar. Yönetim ağınızı, izleme sunucularınızı ve VPN çıkışlarınızı white_list girdilerine eklemeyi de ihmal etmeyin.

6. Bulgularınızı geri besleyin

Wazuh'un ürettiği kaba kuvvet uyarılarını IP-DB.com'a raporlayarak havuzun kalitesine katkıda bulunabilirsiniz. Bunun için hazır entegrasyon betiği entegrasyonlar sayfasında hazır durumda; POST /api/v1/report uç noktası ip, categories ve isteğe bağlı comment alanlarını bekler. Geçerli kategorilerden bazıları: brute_force, ssh_abuse, port_scan, web_attack, vuln_scan, credential_stuffing.

Sık sorulanlar

CDB listesi ile aktif yanıt arasındaki fark nedir?

CDB listesi yalnızca eşleştirme yapar: bir olaydaki adres listede geçiyorsa uyarının seviyesini yükseltir. Aktif yanıt ise ajanın üzerinde bir komut çalıştırarak adresi gerçekten engeller. İkisini birlikte kullanmak en sağlıklısıdır: önce eşleştirip görünürlük kazanın, engellemeyi ayrı bir karar olarak ekleyin.

Liste ne sıklıkla güncellenmeli?

Havuz 30 dakikada bir yeniden üretilir, dolayısıyla saatlik bir cron işi fazlasıyla yeterlidir. Her indirmeden sonra listeyi yeniden derlemeyi ve yöneticiyi yeniden yüklemeyi unutmayın, aksi halde kurallar eski kopyayı kullanmaya devam eder.

Büyük listeler yöneticiyi yavaşlatır mı?

CDB listeleri ikili biçime derlendiği için arama maliyeti liste büyüdükçe pratikte sabit kalır. Asıl maliyet, kuralın hangi olaylarda değerlendirildiğidir: listeyi tek koşul olarak kullanan bir kural her olayda çalışır. Kuralı if_sid veya if_group ile daraltmak yükü belirgin şekilde azaltır.

Aktif yanıt yanlışlıkla kendi adreslerimi engellerse ne olur?

Bu yüzden ossec.conf içindeki white_list bloklarına yönetim ağınızı, izleme sunucularınızı ve VPN çıkışlarınızı ekleyin. Ayrıca aktif yanıtı süreli çalıştırın; kalıcı engelleme, yanlış pozitif durumunda elle temizlik gerektirir.

Güvenlik duvarı tarafındaki karşılıkları için FortiGate ve Palo Alto EDL rehberlerine, puanlama mantığı için güven puanı yazısına bakın.