Windows Event Log Yönetimi ve İz Takibi: Dijital Adli Bilişimde Olay Kayıtlarının Analizi

Windows Event Log, işletim sisteminde gerçekleşen olayların (kullanıcı girişleri, sistem hataları, servis aktiviteleri, güvenlik ihlalleri vb.) kaydedildiği merkezi log mekanizmasıdır. Bu loglar, dijital adli bilişim, olay müdahalesi (incident response) ve sistem güvenliği açısından en kritik veri kaynaklarından biridir. Doğru yönetim ve analiz ile bir sistemde ne oldu, ne zaman oldu ve kim yaptı sorularına yüksek doğrulukla yanıt verilebilir.

Windows Event Log Nedir?

Windows Event Log, sistem bileşenleri ve uygulamalar tarafından üretilen olay kayıtlarını saklar. Bu kayıtlar Event Viewer (Olay Görüntüleyici) veya komut satırı araçlarıyla analiz edilebilir.

Event Log Dosyalarının Konumu

1C:\Windows\System32\winevt\Logs\

Dosya uzantısı:

1.evtx

Temel Event Log Türleri
1. System Log

- Donanım olayları
- Sürücü hataları
- Servis başlangıç/duruşları

2. Application Log

- Uygulama hataları
- Çökme kayıtları
- Yazılım uyarıları

3. Security Log

- Kullanıcı giriş/çıkışları
- Yetkilendirme denemeleri
- Politika değişiklikleri

Event Viewer ile Log Analizi
Event Viewer Açma

1eventvwr.msc

Belirli Bir Event ID’yi Filtreleme

Örnek: Başarılı kullanıcı girişi (Event ID 4624)

1Event ID: 4624

Başarısız Giriş Denemeleri

1Event ID: 4625

1| Event ID | Açıklama                      |
2| -------- | ----------------------------- |
3| 4624     | Başarılı oturum açma          |
4| 4625     | Başarısız oturum açma         |
5| 4634     | Oturum kapatma                |
6| 4688     | Yeni process oluşturuldu      |
7| 4672     | Özel yetkilerle oturum açıldı |
8| 4720     | Yeni kullanıcı oluşturuldu    |

Komut Satırı ile Event Log Analizi
wevtutil ile Log Sorgulama

1wevtutil qe Security /c:10 /f:text

Son 10 güvenlik olayını listeler.

PowerShell ile Log Analizi

1Get-WinEvent -LogName Security -MaxEvents 20

Belirli bir Event ID için:

1Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4688}

İz Takibi (Audit Trail) ve Korelasyon
İz Takibi Nedir?

İz takibi, farklı log kaynaklarının zaman, kullanıcı ve olay türü bazında ilişkilendirilerek analiz edilmesidir.

Örnek korelasyon:

14624 → Kullanıcı girişi
2
34688 → Şüpheli process çalıştırıldı
4
54663 → Dosya erişimi

Bu zincir, olayın tam resmini ortaya koyar.

Örnek Adli Senaryo

Senaryo:
Bir Windows sunucuda yetkisiz işlem çalıştırıldığı şüphesi var.

Analiz adımları:

1 - 4624 ile şüpheli kullanıcı girişi tespit edilir
2 - Aynı zaman aralığında 4688 Event ID aranır
3 - Çalıştırılan process adı ve yolu incelenir
4 - Gerekirse 4663 ile dosya erişimleri kontrol edilir
5 - Event zamanları Prefetch ve diğer artefaktlarla karşılaştırılır

Event Log Yönetimi
Logların Temizlenmesi (Clearing Logs)

1wevtutil cl Security

Log Retention Ayarları

- Varsayılan olarak loglar dolunca üzerine yazılır
- Kritik sistemlerde Overwrite Disabled önerilir
- Merkezi loglama (SIEM) tercih edilmelidir

İpuçları ve En İyi Uygulamalar

1 - Audit Policy ayarlarını kontrol edin
2 - Security Log boyutunu artırın
3 - Event ID listeleriyle çalışın
4 - Zaman damgalarını UTC / Local farkıyla analiz edin
5 - Event Log’ları silinmeden önce mutlaka yedekleyin

Sınırlamalar ve Zorluklar

- Log’lar silinebilir veya üzerine yazılabilir
- Audit kapalıysa olaylar kaydedilmez
- Yüksek hacimli loglar manuel analizde zorluk yaratır
- Anti-forensic teknikler log bütünlüğünü bozabilir

Windows Event Log yönetimi ve iz takibi, dijital adli bilişimde olayların zamanı, kaynağı ve etkisi hakkında en güçlü kanıtları sunar. Security, System ve Application log’larının birlikte ve korelasyonlu analizi, saldırıların ve yetkisiz işlemlerin net biçimde ortaya çıkarılmasını sağlar. Etkili bir inceleme için doğru audit politikaları, güçlü filtreleme ve bağlamsal analiz şarttır.

[not]
Başarılı bir Windows adli inceleme, Event Log verilerinin tekil değil zincirleme analizini gerektirir.

#AdliBilişim #kaynak