Parola püskürtmeyi (password spraying) tespit etmek
Günlükte başarısız girişleri kaynak adrese ve hedef hesap sayısına göre gruplar, tek tek hatalarla saldırıyı ayırır, saldırının zaman aralığını ve başarılı olduğu hesabı bulur, aynı tespiti tekrar kullanılabilir bir betiğe çevirir ve müdahale raporunu yazarsın. Saldırgan adresi ve ele geçirilen hesap her labda farklıdır.
Seviye 201 · 45 dk
Parola püskürtme (password spraying), kilitlenmeye takılmamak için tek bir hesaba çok parola denemek yerine çok sayıda hesaba bir ya da iki yaygın parola (ör. "Bahar2026!") denemektir. Her hesapta yalnızca bir başarısız giriş olduğu için tek tek bakıldığında yazım hatası gibi görünür.
Benzetme: bir hırsız apartmandaki her kapıyı aynı anahtarla bir kez dener. Tek bir kapıdan bakınca "biri yanlış kapıyı denemiş" dersin; bütün kapıları birlikte görünce saldırı ortaya çıkar. Tespit de böyledir: olayları kaynak adrese göre gruplarsın.
Bu etki alanında hesap kilitleme kapalı (ilk derslerde bulmuştun), bu yüzden saldırgan rahatça deneyebilir. Günlük yine ~/logs/security.jsonl dosyasında.
Bu derste ne yapacaksın
- Başarısız girişler hangi adreslerden?
- Yanlış parola mı, olmayan kullanıcı mı?
- Kaç farklı hesap?
- Saldırının zaman aralığı
- Saldırgan adresi
- Ele geçirilen hesap
- Tespit kuralı yaz
- Müdahale raporu
- Kısa sınav
Kazanacağın beceriler
- Parola püskürtmeyi günlükte tespit etmek
- Başarısız girişleri ve nedenlerini okumak (4625, SubStatus)
- Bir olayın kim, kimi, nereden ve ne zaman sorularını çözmek
- Tespit kuralını betiğe çevirmek
- Denetim bulgularını yazılı rapora dökmek
← AD için önemli Windows olay kimlikleri · Active Directory güvenliği: denetim ve sıkılaştırma · Kerberoasting'i tespit etmek ve önlemek →
Ücretsiz başla