ZEKASTRA

VP-09 · Bilgisayar ve disk incelemesi

Ayrılan çalışan: USB, kişisel bulut, yazıcı ve VPN

Bir istifa çevresinde bir mühendisin iş istasyonu, vekil sunucu, yazdırma sunucusu ve VPN kayıtlarından bir ay: 241 Security olayı, USB takılmaları, 27 kısayol, 26 ShellBags kaydı, 1.539 vekil sunucu satırı, 240 yazdırma işi ve 397 VPN oturumu; yanında yerel saatli İK çıkış kaydı. On altı soru onaysız bir belleği üzerine kopyalanan dosyalara bağlar, kişisel bir bulut hesabına yüklemeleri ve mesai sonrası yazdırılan sayfaları sayar, bir Pazar VPN oturumunu bir Uzak Masaüstü oturumuna kadar izler ve her kanalı istifa tarihine göre yerleştirir.

Sentetik eğitim verisi. Kuruluş, kişiler, cihazlar, seri numaraları ve zamanlar uydurmadır.

01Brifing

Poyraz Mühendislik A.Ş. bir mühendislik firmasıdır. Kıdemli bir tasarım mühendisi (hesap e.demir, iş istasyonu ARGE-WS14) 1 Eylül 2026'da istifa etti ve 15 Eylül'de ayrıldı; hesap o gün yerel saatle 18:30'da devre dışı bırakıldı. 16 Eylül'de şirketin müşteri iletişim listesi bir rakibin ihale belgelerinde göründü. BT; iş istasyonunun olay günlüklerini, kısayollarını ve ShellBags kayıtlarını, iş istasyonunun vekil sunucu günlüğünü, yazdırma sunucusunun günlüğünü ve VPN oturum raporunu topladı. İK çıkış kaydı onaylı, şifreli tek bir bellek listeler. VPN raporu ve İK kaydı yerel saattedir (UTC+3); geri kalan her şey UTC'dir.

İç denetim soruyor:

  1. Şirket dosyaları iş istasyonu ya da uzaktan erişim üzerinden çıktı mı; hangi kanallarla?
  2. Her kanal istifaya ve hesabın devre dışı bırakılmasına göre ne zaman başladı?
  3. Bu kayıtlar neyi kanıtlıyor, neyi açık bırakıyor?

Yalnızca dosyalardan cevap verin. Aygıtları, dosyaları, adresleri ve hesapları adlandırın; verinin kime ulaştığını söylemeyin ve rakibi alıcı olarak adlandırmayın. Belleğin, bulut hesabının ve yazdırılan sayfaların içeriği, dosya sunucusunun kendi günlükleri ve kullanıcının ev bilgisayarı incelenmedi.

02Delil dosyaları

DosyaİçerikSHA-256
README.txtSenaryo ve dosya listesiİngilizce ve Türkçe brifing, kurallar ve dosya listesi.603bf28fa4efef5391776da29fb3f8c313c21f268d4b37bbf6bd3451dcd171a6
acquisition-log.txtToplama günlüğüİncelemenin neden açıldığı, neyin ne zaman toplandığı, 16 Eylül'deki BT oturumu ve onaylı belleğin nerede tutulduğu.61e62b175c817580fe0c3dccd766279242e5c8b765086d7f6c513b6c037f33a4
export-metadata.txtDışa aktarım parametreleriSekiz dışa aktarımın aralığı, satır sayısı, zaman esası ve kapsamı. Önce bunu okuyun: VPN raporu GG.AA.YYYY biçiminde yerel saattedir.d4822ea4873e41dac5e433debfebd8ba0b4134872b4dd74eee38ca53a9949a7a
ik-kaydi.txtİK çıkış kaydıİstifa, son çalışma günü, hesabın kapatılması, onaylı belleğin seri numarası ve politika; yerel saatle.0c56e3c482d96c9a61ef8e65aa694fea34ff8cb018cfb0eb572e27cbaff42856
security-events.csvİş istasyonu Security günlüğüARGE-WS14'ün UTC'li 241 oturum açma, kapatma, kilitleme ve kilit açma olayı. Windows XML Olay Günlüğü (EVTX) →6f239916969c4f54b4939319cca37711af47dba65a2cb9b80c4f4749abf7e759
partition-diagnostic.csvUSB depolama takılmalarıPartition/Diagnostic 1006 olayı: her belleğin takıldığındaki üreticisi, modeli, seri numarası ve birim seri numarası; çıkarılması. USB aygıt geçmişi (USBSTOR, USB, MountedDevices, setupapi.dev.log) →0734cb615a2756791a1732fde0eb48f9190ae982c60e2ca079cd1c07a7dfc249
lnk-files.csvKısayol dosyalarıKullanıcının Recent klasöründen 27 kısayol: hedef zamanları, yol, sürücü türü ve birim seri numarası. LNK kısayol dosyaları →518d7f463b8869d7be9bac5acabc55a5e7cae631c95d9809f9268032ed5a43d9
shellbags.csvShellBagsKullanıcının UsrClass.dat dosyasından, Gezgin'de gezilen 26 klasör; ilk ve son etkileşim zamanlarıyla. ShellBags (BagMRU / Bags) →df726644cebf62ffaa83e4fef21dfd1143e9542155f5e34dcd3882fe63c4a561
proxy-log.csvWeb vekil sunucusuİş istasyonundan UTC'li 1.539 istek: yöntem, URL, durum, iki yöndeki bayt, kategori ve kullanıcı aracısı.664c1683c181f4d7659a142b0d4a004276de0734bb6dd5169cd6a7dd8b609e77
print-log.csvYazdırma sunucusu günlüğüTüm kullanıcılar için UTC'li 240 PrintService 307 olayı: belge adı, sahibi, istemci, yazıcı, boyut ve sayfa.bf1f22ecc9581d0ecb83c0ed04da671d682798a1ffb22e31ed062fa12ef362e1
vpn-sessions.csvVPN oturum raporuTüm kullanıcıların YEREL saatli (GG.AA.YYYY) 397 oturumu: kaynak adres, tünel adresi, iki yöndeki bayt ve sonuç.ef1ff3aef8427b66c65d3aeadd26446e7919db4d31c38cbb59d5ac951c7ec2ba
manifest.txtHash bildirimiKendisi hariç yukarıdaki her dosyanın SHA-256 değeri. Başlamadan önce doğrulayın.(bildirimin kendisi)

Yukarıdaki hash değerleri manifest.txt'den kopyalanmıştır. Bunları kendiniz yeniden hesaplayın, örneğin hash aracıyla ya da sha256sum ile.

Bu dosyaları İnceleme Masasında da inceleyebilirsiniz: hash denetimi, tek UTC zaman çizelgesi, oturumlar ve bulgu taslağı tarayıcıda.

03Başlamadan önce

  • Başka hiçbir şeyi okumadan önce her dosyayı manifest.txt ile doğrulayın ve sonucu inceleme günlüğünüze yazın.
  • Dışarı aldığınız her zamanın yanına zaman esasını yazın. VPN raporu ve İK kaydı yerel saattedir; karşılaştırmadan önce çevirin.
  • Bir aygıtı dosyalara birim seri numarasıyla bağlayın. İki bellek de E: oldu.
  • Her kaydın neyi gösterdiğini söyleyin ve orada durun: bir kopya, bir yükleme ya da bir yazdırma işi verinin kime ulaştığını göstermez.

Notlarınızı şu formlarda tutun: F-02 Delil kabul formu ve F-04 İnceleme günlüğü.

04Sorular

Yalnızca dosyalardan cevaplayın. Her cevap bu tarayıcıda kontrol edilir ve hiçbir yere gönderilmez; cevaplarınız siz temizleyene kadar bu cihazda kalır. 16 soru, 30 puan.

  1. S011 puanlnk-files.csvmanifest.txt

    8 onaltılık karakter

  2. S022 puanpartition-diagnostic.csvik-kaydi.txt

    Yazıldığı gibi seri numarası

  3. S032 puanpartition-diagnostic.csv

    YYYY-AA-GG SS:DD:ss, UTC

  4. S042 puanlnk-files.csvik-kaydi.txt

    Onaysız belleğe yapılan ilk kopya istifa bildirimine göre nereye düşer?

  5. S052 puanlnk-files.csvpartition-diagnostic.csv

    Tam sayı

  6. S062 puanlnk-files.csv

    E:\Yedek\Projeler\TRB-2026\TRB-2026-Teklif-Fiyatlandirma.xlsx kısayolunda TargetCreated 2026-08-28 16:44:51, TargetModified 2026-08-21 13:07:40. Bu ikili ne söyler?

  7. S072 puanshellbags.csvlnk-files.csv

    ShellBags, My Computer\E: için ilk etkileşimi 2025-06-11, E:\Teslim için 2026-08-19 olarak gösteriyor. ShellBags tek başına E:\Yedek'in hangi aygıtta olduğunu söyleyebilir mi?

  8. S082 puanproxy-log.csv

    Tam sayı

  9. S092 puanproxy-log.csv

    YYYY-AA-GG SS:DD:ss, UTC

  10. S102 puanprint-log.csv

    Tam sayı

  11. S111 puanprint-log.csvexport-metadata.txt

    PrintService 307 olayı yazdırılan müşteri listesi hakkında ne söylemenizi sağlar?

  12. S122 puanvpn-sessions.csvsecurity-events.csv

    YYYY-AA-GG SS:DD:ss, UTC

  13. S132 puansecurity-events.csv

    IPv4 adresi

  14. S142 puanvpn-sessions.csv

    Tam sayı

  15. S152 puanvpn-sessions.csvik-kaydi.txt

    vpn-sessions.csv şu satırla biter: 16.09.2026 10:02:44, e.demir, 203.0.113.140, FAIL, account disabled. Rapor ne demeli?

  16. S162 puanlnk-files.csvproxy-log.csvprint-log.csvvpn-sessions.csv

    İnceleme uzmanı hangi cümleyi imzalayabilir?

Puan 0 / 30

05Bulgunuz

Son adım: üç denetim sorusunu bir bulgu olarak cevaplayan tek bir paragraf yazın. Eğitmeniniz bunu dört ölçüte göre değerlendirir:

  • Her zaman kendi esasını taşır; VPN raporu ve İK kaydı yerel saatten çevrilir.
  • Bellek dosyalara birim seri numarasıyla bağlanır ve onaylı belleğin dosyaları ayrı tutulur.
  • Sayılar süzgeçlerini belirtir: yalnızca başarılı yüklemeler, tek kullanıcının tek tarihteki sayfaları.
  • Her kanal bildirime, son çalışma gününe ve hesabın kapatılmasına göre yerleştirilir.
  • Rapor 'hesapla' der, alıcı adlandırmaz ve incelenmeyenleri listeler.

Bulgular nasıl ifade edilir →

İrtibat ve hizmet talepleri

Bu sayfayla ilgili inceleme hizmeti, bilirkişilere destek ve iş birliği için irtibat kurun. Lütfen e-postaya delil dosyası ya da kişisel veri eklemeyin.

İrtibat sayfası →