Windows olay günlükleri ile iz sürmek
Security, System, PowerShell ve Sysmon günlüklerinde oturum açmaları, süreç başlatmaları ve yanal hareketi okur, EVTX dosyalarını Chainsaw ve Hayabusa ile Sigma kurallarına göre tararsın.
Seviye 301 · 19 ders · 15 pratik lab
Dersler
EVTX temelleri
- EVTX dosyaları: kanallar, olay kimlikleri ve XML yapısı
- Linux’ta evtx_dump ve EvtxECmd ile EVTX ayrıştırmak
- Denetim ilkesi: hangi olaylar kaydedilir, hangileri kaydedilmez
- Kısa görev: bir günlükteki en sık 10 olay kimliğini çıkar
Oturumlar ve hesaplar
- 4624 ve 4625: oturum türleri ve kaynak adres
- 4768, 4769 ve 4776: Kerberos ve NTLM doğrulama izleri
- Hesap oluşturma, gruba ekleme ve yetki değişiklikleri
- RDP ve yanal hareket: 4778, 1149 ve TerminalServices günlükleri
- Kısa görev: bir hesabın hangi makinelere sıçradığını haritala
Süreçler ve betikler
- 4688 ve komut satırı kaydı
- Sysmon olayları: süreç, ağ, dosya oluşturma ve kayıt defteri
- PowerShell betik bloğu ve modül kayıtları (4104)
- Yeni servis (7045) ve zamanlanmış görev (4698) olayları
- Günlük silme (1102, 104) ve sessizce durdurulan kayıt
- Kısa görev: kodlanmış bir PowerShell komutunu çöz ve ne yaptığını açıkla
Toplu tarama
- Sigma kuralları: günlükler için ortak tespit dili
- Chainsaw ile EVTX’i Sigma kurallarıyla taramak
- Hayabusa ile olay günlüklerinden zaman çizelgesi
- Bitirme görevi: olay günlüklerinden bir etki alanı ele geçirmesinin yolunu çıkar
Pratik lablar
- En sık on olay kimliği: Bir EVTX dosyasını ayrıştır ve en sık görülen on olay kimliğini say.
- EVTX'i CSV'ye ayrıştır: evtx_dump ya da EvtxECmd ile Security günlüğünü CSV'ye çevir ve bir olayın XML alanlarını eşleştir.
- Denetim ilkesindeki kör noktalar: Günlükte hiç görünmeyen olay türlerinden hangi denetim ayarlarının kapalı olduğunu çıkar.
- Oturum türlerini ayır: 4624 olaylarını oturum türüne göre say ve ağ ile uzak masaüstü oturumlarını ayır.
- Hesap oluşturma ve gruba ekleme: Yeni oluşturulan hesabı ve yönetici grubuna eklenme anını ilgili olaylarla göster.
- Kerberos ve NTLM doğrulama izleri: 4768, 4769 ve 4776 olaylarından bir hesabın hangi servislere bilet istediğini ve NTLM'e nerede düştüğünü çıkar.
- RDP oturumlarını listele: TerminalServices günlüklerinden uzak masaüstü oturumlarını kaynak adresleriyle listele.
- Bir hesabın sıçradığı makineleri haritala: Üç makinenin günlüklerini birleştirerek bir hesabın hangi sırayla nereye geçtiğini çiz.
- Yeni servis ve zamanlanmış görev olayları: 7045 ve 4698 olaylarından uzaktan kurulan servisi ve görevi bul, oturum olayıyla eşleştir.
- 4688'den komut satırlarını çıkar: Süreç oluşturma olaylarından komut satırlarını üst süreçleriyle listele.
- Kodlanmış PowerShell komutunu çöz: 4104 betik bloğundaki Base64 komutu çöz ve ne yaptığını iki cümleyle açıkla.
- Sysmon ile süreçten ağa zincir kur: Sysmon süreç, ağ ve dosya oluşturma olaylarını süreç kimliğiyle bağlayarak tek bir zincir çıkar.
- Günlük silme olayını bul: 1102 ve 104 olaylarını ara, kim tarafından ne zaman silindiğini raporla.
- Chainsaw ile Sigma taraması: EVTX klasörünü Sigma kurallarıyla tara ve en önemli beş eşleşmeyi doğrula.
- Etki alanı ele geçirmesinin yolunu çıkar: Hayabusa çizelgesi ve ham olaylarla Saklıvadi Üniversitesi lab etki alanında ilk girişten yönetici haklarına giden yolu raporla.
Kurs hakkında
Security, System, PowerShell ve Sysmon günlüklerinde oturum açmaları, süreç başlatmaları ve yanal hareketi okur, EVTX dosyalarını Chainsaw ve Hayabusa ile Sigma kurallarına göre tararsın.
Ne öğreneceksin
- EVTX temelleri
- Oturumlar ve hesaplar
- Süreçler ve betikler
- Toplu tarama
Ön koşullar
Aynı yolun 101 ve 201 düzeyindeki konularına hâkim olmalısın.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux masaüstünde geçer; araçlar pencereli arayüzleriyle hazırdır. Kurulum gerekmez, bilgisayar ekranı önerilir.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 301 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.