Wazuh

Part 10 ile Windows identity katmanını eklemiştim: Active Directory, DNS, DHCP ve domain-joined client. Bu bölümde lab’i “kurulum sırasında herkes herkesle konuşsun” halinden açık bir firewall policy’ye taşıdım. Amacım karmaşık kural yazmak değildi. Amacım her izinli yolun açıklanabilir olmasıydı. Ne İnşa Ettim? Geçici build-phase allow rule’larını segmentli pfSense policy ile değiştirdim: Default duruş: deny by default Management: Tailscale + break-glass LAN/WAN erişimi Jumpbox: Alpine üzerinden Kali SSH yolu Client VLAN: sadece AD, DNS, Wazuh, Windows Update Container VLAN: sadece Docker host + n8n explicit egress Honeypot VLAN: sadece Wazuh telemetry Pentest VLAN: internet egress yok Isolated VLAN: ingress yok, egress yok ‹ › ...

Part 6 ile Wazuh temelini kurmuştum. Bu bölümde detection ve deception katmanı ekledim: pfSense üzerinde Snort, HONEYPOT VLAN içinde T-Pot. Amacım sadece tool çalıştırmak değildi. Anlamlı telemetry üretmek, bunun Wazuh’a ulaştığını görmek ve event kaybolursa nerede kaybolduğunu anlayabilmek istedim. Ne İnşa Ettim? Snort: pfSense package, IDS mode Interfaces: WAN and LAN Rules: Community + focused ET Open categories Honeypot: T-Pot in VLAN 50 Telemetry: T-Pot Suricata eve.json -> Wazuh agent Test source: Kali in VLAN 40 ‹ › ...

Part 5 sonunda Kali ve Metasploitable hazırdı. Bu bölümde ilk visibility katmanını ekledim: Wazuh SIEM. Amacım her şeyi aynı anda izlemek değildi. Önce Wazuh server, Docker host agent, Docker event collection ve pfSense syslog forwarding düzgün çalışsın istedim. Ne İnşa Ettim? Wazuh VM: 10.10.10.99 Segment: SIEM / VLAN 10 RAM: 8 GB CPU: 4 vCPU Disk: 128 GB Agent target: Docker host 10.10.30.100 Syslog source: pfSense ‹ › ...