Siber Olay Müdahalesi Sırasında Elinizin Altında Olması Tavsiye Edilen Windows Event ID’ler

ADEO DFIR ekibi olarak bir çok siber olaya müdahale ediyoruz ve bu vakıalarda en önemli dijital delil veya iz kaynaklarımızdan birisi de Windows sistemlerde yer alan olay günlükleri. Olay günlükleri ile ilgili geçmiş zamanlarda aşağıda linki bulunan makalemde kullanıcının oturum açma ve kapama işlemlerine özel bazı spesifik olay türleri için hangi olay günlüğü kayıtlarının incelenebileceğine detaylı şekilde değinmiştim.

Windows Event Log Analizi İle Kullanıcı Logon/Logoff Tespiti

Bu makalemde de detaylarına çok girmeden bir siber olay incelemesi sırasında ağırlıklı olarak hangi event ID'leri incelediğimizi ve Event ID'lerin temelde hangi olaylara karşılık geldiğini yazacağım. Burada yer alan Event ID'lerin derli toplu şekilde elinizin altında olması yapacağınız adli analiz incelemelerinde size hız kazandıracaktır.

Aşağıda yer alan olaylar Security kategorisinde loglanır ve security.evtx dosyasında saklanır.

Yukarıdaki tablolarda yer alan olaylara Security kategorisinden ulaşabildiğimizi söylemiştim. Aşağıdaki tabloda yer alan olaylar ise Application kategorisi altında loglanır ve bu loglar Application.evtx dosyasında saklanır.

Özellikle sisteme servis olarak yerleşen zararlı kodların veya sistemde pasif durumda olan servisleri aktif hale getiren zararlıların yada davranışların tespiti noktasında ise System kategorisinde yer alan ve System.evtx dosyasında saklanan aşağıdaki olaylar bizler için kritik bilgiler içermektedir.

Yaptığımız adli analiz ve olay müdahalelerinde en çok karşılaştığımız hacker aktivitelerinin başında bu kişilerin ele geçirdikleri sistem üzerinde kalıcılık sağlamak adına zamanlanmış görevler oluşturmak geliyor. Bir Windows sisteminde oluşturulan zamanlanmış görevlerle ilgili olaylar Microsoft-Windows-TaskScheduler/Operational kategorisi altında kayıt altına alınır ve bu dosyanın tam yolu ve adı %SystemRoot%\System32\Winevt\Logs\Microsoft-Windows-TaskScheduler%4Operational.evtx şeklindedir.

Adli analiz sırasında analiz ettiğimiz bir diğer önemli log kaynağı da Windows Defender tarafından gerçekleştirilen aktivitelerin kayıtlarının tutulduğu ve Microsoft-Windows-Windows Defender/Operational başlığı altında görüntülenebilecek olay kayıtlarıdır. Her ne kadar anti-malware pazarında kendine hakettiği yeri bulamamış olsa da ADEO olarak analiz ettiğiiz bazı vakılarda Windows Defender'ın anti-malware olarak kullanıldığını ve gerçekleştirilen şüpheli aktivitelerle ilgili hatırı sayılır miktarda ve kalitede olay kaydı oluşturduğunu söyleyebiliriz. Windows Defender tarafından kayıt altına alınan ve aşağıdaki tabloda listelenen Event ID'lerin özellikle izlenmesi veya yapılan adli analiz sırasında bu Event ID'lerin de özellikle araştırılması yapılacak çalışmada hızlı yol alınmasına fırsat tanıyabilir.

Saldırganlar tarafından en çok kullanılan yöntemlerden birisi de ele geçirdikleri kullanıcı hesapları üzerinden sunuculara RDP bağlantıları gerçekleştirmektir. Bu sayede sistem içinde sorunsuz şekilde yatay ilerleyebilmekte ve grafik arayüzün sunduğu kolaylıklar ve imkanları sorunsuzca kullanabilmektedirler. Sistemlerin yetkisiz kişilerce ele geçirildiği şüphesiyle analize başladığımız Windows sistemlerde ilk olarak baktığımız yerlerin başında RDP bağlantı loglarının tutulduğu ve Microsoft-Windows-TerminalServices-RemoteConnectionManager ile Microsoft-Windows-TerminalServices-LocalSessionManager​ başlıkları altında erişebileceğimiz olay kayıtları gelir. Bu kayıtların saklandığı dosya %SystemRoot%\System32\Winevt\Logs\Microsoft-Windows-TerminalServices-RemoteConnectionManager%4Operational.evtx dosyasıdır ve aşağıdaki tabloda yer alan Event ID'ler mutlaka analiz edilmesi gereken olaylara ait Event ID'lerdir.