Windows Event Log Analizi: Siber Olayları Kronolojik Sırada Rekonstruksiyon

Windows Event Log, bir sistemde meydana gelen tüm olayları kaydeder. Siber güvenlik olaylarını araştırırken bu loglar, bir suç mahalli fotoğrafı gibi davranır, saldırganın izini bulmanız için kritik bilgiler içerir.

Bir bilgisayara yetkisiz erişim, kötü amaçlı yazılım yüklemesi veya veri sızıntısı şüphelendiğinizde, Event Log'a bakarsınız. Sistem başlatılması, oturum açılması, dosya erişimi, ağ bağlantıları, hepsi burada.

Windows'ta `eventvwr.msc` komutunu çalıştırarak Event Viewer'ı açın. Sol panelde "Windows Logs" klasörü altında dört ana kategori vardır:

- Security: Oturum açma, dosya erişimi, izin değişiklikleri
- System: Sistem başlatması, hizmet başlatılması, donanım hataları
- Application: Yazılım hataları ve olayları
- Setup: Yazılım kurulumu ve güncellemeleri

Saldırının ne zaman başladığını tahmin edin. Örneğin, bir dosya 15:30'da silinmişse, 15:00 ile 16:00 arasındaki logları kontrol edin.

Büyük loglar için PowerShell kullanmak daha etkilidir:

1Get-EventLog -LogName Security -After (Get-Date).AddHours(-2) | Where-Object {$_.EventID -eq 4625} | Format-Table TimeGenerated, Message -AutoSize

Bu komut son 2 saatteki başarısız oturum açma girişimlerini (Event ID 4625) gösterir.

Beklenen çıktı:

1TimeGenerated Message
22024-01-15 14:32:01 An account failed to log on.
32024-01-15 14:35:22 An account failed to log on.

Bulduğunuz olayları zaman sırasına göre düzenleyin. Örneğin:

1. 14:30 - Başarısız oturum açma (Event ID 4625)
2. 14:35 - Başarısız oturum açma (Event ID 4625)
3. 14:40 - Başarılı oturum açma (Event ID 4624)
4. 14:45 - Dosya silinmiş (Event ID 4660)
5. 14:50 - Sistem kapatıldı (Event ID 1074)

Her olayın detaylarını tıklayıp açıklayıcı bilgiler (kullanıcı adı, IP adresi, dosya yolu) okuyun.

Analiz için logları CSV'ye aktarın:

1Get-EventLog -LogName Security -After (Get-Date).AddDays(-1) | Export-Csv -Path "C:\Logs\security_export.csv" -NoTypeInformation

Bu dosyayı Excel'de açıp filtreleyebilir, grafikler oluşturabilirsiniz.

Event ID'leri ezberleyin: 4624 (başarılı oturum), 4625 (başarısız oturum), 4720 (kullanıcı oluşturuldu), 4722 (hesap etkinleştirildi). Saldırganlar genellikle izlerini silmeye çalışırlar, Event Log'un kendisinin silinmesi (Event ID 104) şüpheli bir işarettir.