Oturum açma ve kimlik
| Kimlik | Olay | Neden önemli |
|---|---|---|
| 4624 | Başarılı oturum açma | Oturum tipi (Logon Type) asıl bilgiyi taşır |
| 4625 | Başarısız oturum açma | Arka arkaya tekrarı kaba kuvvet işareti |
| 4634 / 4647 | Oturum kapatma | Oturum süresini hesaplamak için |
| 4648 | Açık kimlik bilgisiyle oturum | runas ve yanal hareket izi |
| 4672 | Özel yetkiler atandı | Yönetici düzeyinde oturum açıldı |
| 4740 | Hesap kilitlendi | Kaba kuvvetin sonucu ya da bozuk servis parolası |
4624 oturum tipleri
Tek başına 4624 az şey söyler; hangi tip olduğu belirleyicidir. Tip 10'un beklenmedik bir saatte ve beklenmedik bir hesapta görünmesi, incelenmesi gereken ilk şeydir.
| Tip | Anlamı |
|---|---|
| 2 | Etkileşimli — makine başında klavyeyle |
| 3 | Ağ — dosya paylaşımı, SMB |
| 4 | Toplu iş (batch) — zamanlanmış görev |
| 5 | Servis — servis hesabı başlatıldı |
| 7 | Kilit açma |
| 8 | Ağ, açık metin parola — eski uygulamalar |
| 9 | Yeni kimlik bilgisi — runas /netonly |
| 10 | Uzak masaüstü (RDP) |
| 11 | Önbellekten etkileşimli — etki alanına ulaşılamadı |
Hesap ve grup değişiklikleri
| Kimlik | Olay |
|---|---|
| 4720 | Kullanıcı hesabı oluşturuldu |
| 4722 | Hesap etkinleştirildi |
| 4724 | Parola sıfırlama girişimi |
| 4725 | Hesap devre dışı bırakıldı |
| 4726 | Hesap silindi |
| 4728 | Genel güvenlik grubuna üye eklendi |
| 4732 | Yerel güvenlik grubuna üye eklendi — Administrators'a dikkat |
| 4756 | Evrensel güvenlik grubuna üye eklendi |
Kerberos
| Kimlik | Olay | Not |
|---|---|---|
| 4768 | TGT talep edildi | Etki alanına giriş anı |
| 4769 | Servis bileti talep edildi | Toplu talep Kerberoasting işareti olabilir |
| 4771 | Ön kimlik doğrulama başarısız | 4625'in etki alanı tarafındaki karşılığı |
İz temizleme ve kalıcılık
Bu üçü sessizce geçilmemesi gereken olaylardır; bir saldırganın iz bırakmamak ya da kalıcı olmak için attığı adımlara karşılık gelirler.
| Kimlik | Günlük | Olay |
|---|---|---|
| 1102 | Güvenlik | Denetim günlüğü temizlendi |
| 7045 | Sistem | Yeni servis kuruldu |
| 4698 | Güvenlik | Zamanlanmış görev oluşturuldu |
| 4688 | Güvenlik | Yeni süreç başlatıldı — komut satırı kaydı açıksa çok değerli |
Uyarı kurarken
- 4625 + aynı kaynak + kısa süre — kaba kuvvet. Eşiği ortamınıza göre belirleyin, 5 deneme/dakika iyi bir başlangıçtır.
- 4672 + mesai dışı — yönetici oturumu beklenmedik saatte.
- 1102 — tek başına yeterli sebep. Günlük temizlemenin meşru karşılığı azdır.
- 4688 için komut satırı kaydını açın; kapalıyken olay yalnızca dosya adını verir, asıl bilgi argümanlardadır.