AD için önemli Windows olay kimlikleri
Bir etki alanı denetleyicisinin güvenlik günlüğünü (JSON) jq ile okur, olayları kimliklerine göre sayar, oturum açma türlerini ve başarısız girişleri ayırır, hesap oluşturma, gruba ekleme ve günlük silme olaylarını bulursun; sonunda gece yaşanan bir olayın kimin tarafından, nereden ve hangi sırayla yapıldığını kendin çıkarırsın. Olay her labda farklıdır.
Seviye 201 · 45 dk
Windows her önemli güvenlik işlemini bir olay (event) olarak kaydeder ve her olay türünün bir numarası vardır: 4624 başarılı oturum, 4625 başarısız oturum, 4720 hesap oluşturuldu, 4728 genel güvenlik grubuna üye eklendi, 1102 güvenlik günlüğü temizlendi… Savunma ekipleri bu numaraları ezbere bilir. Çizimde en önemlilerini görüyorsun.
Gerçek kurumlarda bu olaylar bir SIEM’e (merkezi kayıt ve alarm sistemi) gönderilir ve JSON biçiminde saklanır. Senin labında, CORP.LAB DC’sinin 11 Mart 2026 tarihli güvenlik günlüğü ~/logs/security.jsonl dosyasında: her satır bir olay.
jq JSON verisini süzen ve biçimlendiren bir araçtır. Alan adlarında nokta olduğu için (event.code) onları tırnakla yazarız: ."event.code". İlk adımlarda komutlar hazır; sonra elle yazacak, en sonda olayı kendin çözeceksin.
Bu derste ne yapacaksın
- Günlüğe ilk bakış
- Olayları kimliğe göre say
- Başarısız girişler: 4625
- Oturum türleri: LogonType
- Hesap ve grup değişiklikleri
- Silinen izler: 1102
- Kim, kimi?
- Nereden?
- Zaman çizelgesi
- Kısa sınav
Kazanacağın beceriler
- Güvenlik günlüğünü jq ile okumak ve saymak
- Başarısız girişleri ve nedenlerini okumak (4625, SubStatus)
- Oturum türlerini ayırmak (LogonType 2, 3, 10)
- Hesap ve grup değişikliği olaylarını bulmak (4720, 4728)
- Günlük silme olayını yakalamak (1102)
- Bir olayın kim, kimi, nereden ve ne zaman sorularını çözmek
- Denetim bulgularını yazılı rapora dökmek
← Nesne izinleri (ACL) ve tehlikeli haklar · Active Directory güvenliği: denetim ve sıkılaştırma · Parola püskürtmeyi (password spraying) tespit etmek →
Ücretsiz başla