01Soru
Sunucudaki dosyalar hangi sırayla ve hangi dönemde değiştirildi ve o sıralarda Windows olay günlüklerinin temizlendiğine dair delil var mı?
02Arka plan
Kurgusal bir şirket olan Kuzey Makine, kullanıcıların belgelerin artık açılmadığını bildirmesinin ardından bir dosya sunucusunu imajladı. İnceleme, olay raporu için bir kronoloji yeniden kurulumudur. Sistemin kendi kayıtlarının dosyalara ne olduğunu gösterdiği düzeyde kalır; saldırı tekniğini yeniden kurmaz.
03Sınırlar
- Sunucu imajlamadan önce kapatılmıştı; bu nedenle canlı bellek mevcut değildi.
- Bazı operasyonel olay günlüğü kanalları döngüye girmişti; kapsadıkları pencereyi sınırlıyordu.
04Alınan delil
05İnceleme yöntemi
NTFS günlüklerinden bir dosya değişikliği kronolojisi kurun
$UsnJrnl:$J ve $MFT, etkilenen paylaşımlardaki dosyaların oluşturulmasını, yeniden adlandırılmasını ve üzerine yazılmasını sırayla listelemek için ayrıştırıldı. Karakteristik örüntü — kısa bir sürede çok sayıda dosyanın üzerine yazılması ve yeni bir uzantıyla yeniden adlandırılması — şifreleme penceresinin başlangıcını ve sonunu 100 ns çözünürlükte tanımladı.
$UsnJrnl:$J (USN değişiklik günlüğü)$MFT (NTFS Ana Dosya Tablosu)NTFS $STANDARD_INFORMATION ve $FILE_NAMEZaman damgası çözücü
Olay öncesi durumu gölge kopyalardan kurtarın
Pencereden önceki Birim Gölge Kopyaları, özgün dosya içeriklerini ve zaman damgalarını kurtarmak için salt okunur bağlandı; şifrelenmiş durumla karşılaştırmak için bir temel sağladı. Penceresinden önceki son gölge kopya, olası en erken başlangıcı sınırladı.
Olay günlüklerinin temizlenip temizlenmediğini sınayın
Security günlüğü 1102 olayı (denetim günlüğü temizlendi), System günlüğü ise 104 (günlük temizlendi) için okundu. Bir temizleme olayı, bir zamandan önce kayıtların ani yokluğu ve sonrasında normal kayıtların bulunması ve bir kayıt numarası süreksizliği ayrı ayrı kontrol edildi. Temizleme yalnızca bunlardan birden fazlasının uyuştuğu yerde çıkarıldı.
Windows XML Olay Günlüğü (EVTX)Zaman damgası çözücüOlay 1102Olay 104
UTC'ye normalleştirin ve saatleri çapraz kontrol edin
Tüm zamanlar UTC'ye çevrildi. $MFT/$UsnJrnl zamanları, olay günlüğü zamanları ve gölge kopya oluşturma zamanları tutarlılık için karşılaştırıldı; böylece her olayın kaynak artefaktı belirtilerek tek bir düzeltilmiş kronoloji sunulabildi.
Windows XML Olay Günlüğü (EVTX)$UsnJrnl:$J (USN değişiklik günlüğü)Yerel saatten UTC'yetimebases
06Bulgular
Sağlam
Dosya şifreleme penceresi bir gece içinde tanımlı bir aralıkta başladı ve bitti; binlerce dosya sırayla yeniden adlandırıldı ve üzerine yazıldı.
Dayanak$UsnJrnl ve $MFT, değişikliklerin sıralı, yüksek çözünürlüklü bir kaydını verir; gölge kopyalar başlangıcı sınırlar.
Olası
Security olay günlüğü, şifreleme penceresinden kısa süre önce temizlendi.
Dayanak1102 olayı mevcut ve bir kayıt numarası süreksizliği uyuşuyor; ancak döngüye girmiş bir kanal tam doğrulamayı sınırlıyor.
07Sınırlılıklar
- Temizlenmiş ya da döngüye girmiş bir günlük kronolojiyi sınırlar; kayıtların yokluğu, nedeniyle birlikte bir boşluk olarak bildirilir.
- Bu kronoloji dosyalara ve günlüklere ne olduğunu anlatır; kimin yaptığını ya da ilk erişimin nasıl gerçekleştiğini ortaya koymaz.
- Dosya sistemi zaman damgaları değiştirilebilir; yalnızca $STANDARD_INFORMATION mevcut olduğunda $FILE_NAME ile karşılaştırıldı.
08Rapor alıntısı
$UsnJrnl, 2026-… tarihinde 23:12 ile 23:47 UTC arasında paylaşımlarda kesintisiz bir yeniden adlandırma+üzerine yazma dizisi kaydeder; boş alan azalınca sona erer. Security 1102 olayı (günlük temizlendi) 22:58 UTC'de bir kayıt numarası süreksizliğiyle kaydedilmiştir. System kanalı döngüye girdiği ve bunu bağımsız olarak doğrulayamadığı için temizlemeyi olası olarak sunuyoruz.
09Çıkarımlar
- NTFS değişiklik günlüğü, toplu bir dosya değişikliğinin sırası ve aralığı için en güçlü kaynaktır.
- Günlük temizlemeyi yalnızca birden fazla bağımsız işaret uyuştuğunda çıkarın.
- Kronolojiyi, kayıtların dosyalar hakkında gösterdiğiyle sınırlı tutun; atfı ve nedeni delilin desteklediği yere bırakın.