01Soru
Sunucunun günlükleri, anlaşmazlık konusu dönemde hesapla açılan oturumlar hakkında ne gösteriyor ve etkinlik belirli bir kaynağa bağlanabilir mi?
02Arka plan
Kurgusal bir kuruluş, adı geçen bir hesabın bir akşam bir sunucuda kullanılıp kullanılmadığını sorar. Sunucu imajı ve dışa aktarılmış günlükler sağlandı. İnceleme kayıtları okur; kimlik bilgisi elde etme ya da denetimleri atlatma yöntemlerini anlatmaz.
03Sınırlar
- Yalnızca sunucunun kendi günlükleri mevcuttu; ağ cihazı ve VPN günlükleri sağlanmadı.
- Oturum kayıtları bir hesabı ve bir kaynak adresi belirler, bir insanı değil.
04Alınan delil
05İnceleme yöntemi
Oturum açma ve kapama olaylarını okuyun
Security günlüğü, anlaşmazlık konusu dönemde hesap için 4624 (oturum açma) ve 4634/4647 (oturum kapatma) olayları için okundu. Oturum türü alanı, etkileşimli bir oturum açmayı (tür 2) uzak etkileşimli olandan (tür 10) ayırdı ve 4648, varsa açık kimlik bilgili oturum açmaları kaydetti. Kaynak ağ adresi alanı her biri için kaydedildi.
Windows XML Olay Günlüğü (EVTX)Zaman damgası çözücüOlay 4624Olay 4634Olay 4647Olay 4648
Uzak oturumları RDP kanallarından doğrulayın
RemoteConnectionManager ve LocalSessionManager operasyonel günlükleri, oturum bağlanma, yeniden bağlanma ve bağlantı kesme kayıtları için okundu. Bunlar, zaman ve oturum tanımlayıcısıyla tür 10 oturum açmalara eşlendi ve kaynak adresi iki kaynak arasında karşılaştırıldı.
Windows XML Olay Günlüğü (EVTX)Zaman damgası çözücüOlay 4624
Oturumu etkinlik kronolojisine yerleştirin
Sunucuda hesabın profiline ait kullanıcı etkinliği artefaktları (UserAssist, Jump List, Recent), oturum penceresinde ne yapıldığını görmek için okundu ve o penceredeki $UsnJrnl kayıtları listelendi. Her biri zamanla oturuma bağlandı.
UserAssistJump List'ler$UsnJrnl:$J (USN değişiklik günlüğü)Zaman damgası çözücü
UTC'ye normalleştirin ve atıf sınırını belirtin
Tüm zamanlar sunucu saat dilimi kullanılarak UTC'ye çevrildi. Sonuç, iyi desteklenen şeyi (bir hesap, bir oturum türü, bir kaynak adresi, bir zaman) günlüklerin kuramayacağı şeyden (kaynakta hangi kişinin oturduğu) ayırdı.
Windows XML Olay Günlüğü (EVTX)Yerel saatten UTC'yetimebases
06Bulgular
Sağlam
Hesap, anlaşmazlık konusu akşam sunucuda, kayıtlı bir kaynak adresinden uzak etkileşimli (tür 10) bir oturum açtı ve o oturum sırasında dosyalara erişildi.
Dayanak4624 tür 10 ve RDP operasyonel günlükleri zaman, oturum ve kaynakta uyuşuyor; UserAssist ve $UsnJrnl etkinliği pencereye yerleştiriyor.
Olası
Kaynak adresi, hesap sahibinin olağan uzak aralığına aittir.
DayanakAdres, sahibin önceki oturumları için kaydedilen aralıkla eşleşir; ancak VPN/ağ günlükleri olmadan belirli bir cihaza eşleme eksiktir.
07Sınırlılıklar
- Oturum kayıtları bir hesabı ve bir kaynağı kurar, onu kullanan kişinin kimliğini değil.
- Ağ ve VPN günlükleri olmadan, kaynak adresi belirli bir fiziksel cihaza bağlanamaz.
- Paylaşılan ya da devredilmiş bir kimlik bilgisi, sahibin dışındaki birinin oturumu açmasına izin verir; günlükler bunu dışlayamaz.
08Rapor alıntısı
Hesap için Security 4624 olayı (oturum türü 10), 10.x.x.x kaynağıyla 21:34 UTC'de kaydedilmiştir; aynı saniye ve oturum kimliğiyle bir RDP RemoteConnectionManager bağlanma kaydıyla eşleşir. UserAssist ve $UsnJrnl, 22:11 UTC'deki 4647 oturum kapatmaya kadar belge etkinliği gösterir. Oturumu sağlam, kaynaktan sahibe eşlemeyi olası olarak belirtiyoruz; günlükler kaynakta hangi kişinin olduğunu gösteremez.
09Çıkarımlar
- 4624 tür 10'u RDP operasyonel günlükleriyle eşleştirin; oturum ve kaynakta uyuşan iki kaynak, birinden çok daha güçlüdür.
- Her adımda hesabı kişiden ayırın; günlükler kişilere değil, hesaplara atıf yapar.
- Elinizde olmayan günlükleri (VPN, ağ) adıyla belirtin ve kaynak atıfını sınırlamalarına izin verin.