Ayrılan çalışan: USB, kişisel bulut, yazıcı ve VPN

01Oturum planı

Malzemeler: her katılımcının bilgisayarında paket dosyaları, paket sayfasından yazdırılmış bir çalışma kâğıdı ve bir inceleme günlüğü formu. Paket sayfası →

02Cevap anahtarı

1. S011 puan

   lnk-files.csv dosyasının bir kopyasında SHA-256 değerini hesaplayın, manifest.txt ile karşılaştırın ve ilk 8 onaltılık karakteri girin.

   Cevap518d7f46

   Önek bildirim satırıyla eşleşir. CSV'yi bir tablolama programında açıp yeniden kaydetmek satır sonlarını ve tarih biçimlerini, onlarla birlikte hash'i değiştirir; dosyanın hash'ini dışa aktarıldığı hâliyle alın.

   Nerede

   manifest.txt, lnk-files.csv satırı.

   Olağan hata

   Bir tablolama programının yeniden kaydettiği kopyanın hash'ini almak.

   Hash hesaplayıcıF-04 İnceleme günlüğüSOP-02 Delil kabul ve kayıt

2. S022 puan

   İş istasyonunda iki USB depolama aygıtı görünüyor. İK kaydında listelenen onaylı bellek olmayanın seri numarasını girin.

   Cevap4C530001050719102233

   Partition/Diagnostic 1006 bir Kingston IronKey Vault Privacy 50 (seri E0D55EA5741F2026A0B30C12) ve bir SanDisk Ultra Fit (seri 4C530001050719102233) adlandırır. İK kaydı yalnızca Kingston'ı listeler, envanter BT-ENV-0412. SanDisk iki kez takılır: 28 Ağustos ve 11 Eylül.

   Nerede

   partition-diagnostic.csv, SerialNumber; ik-kaydi.txt, Zimmetli aygıtlar.

   Olağan hata

   Aygıta değil dosya sistemine ait 7A3E-11C2 birim seri numarasını ya da üretici ve ürün kimlikli ParentId değerini girmek.

   USB aygıt geçmişi (USBSTOR, USB, MountedDevices, setupapi.dev.log)SOP-08 İnceleme notları ve çalışma kaydı

3. S032 puan

   Onaysız bellek iş istasyonuna ilk kez ne zaman takıldı? UTC, saniyesiyle.

   Cevap2026-08-28 16:38:12

   SanDisk seri numaralı ve kapasitesi sıfır olmayan ilk 1006 olayı 28 Ağustos Cuma 16:38:12 UTC'dedir, yerel saatle 19:38; 17:21:40'ta çıkarılır. Security günlüğü kullanıcının her zamanki çıkıştan üç saat sonra, 17:29:14'e kadar oturumda olduğunu gösterir.

   Nerede

   partition-diagnostic.csv, SerialNumber 4C530001050719102233 olan ilk satır.

   Olağan hata

   16:38'i yerel saat sanmak ya da çıkarılma satırını (kapasite 0) almak.

   USB aygıt geçmişi (USBSTOR, USB, MountedDevices, setupapi.dev.log)Yerel saatten UTC'ye

4. S042 puan

   Onaysız belleğe yapılan ilk kopya istifa bildirimine göre nereye düşer?

   CevapB — Bildirimden önce: 28 Ağustos 16:44 UTC'de, 1 Eylül 06:12 UTC'deki (yerel 09:12) bildirimden yaklaşık üç buçuk gün önce.

   7A3E-11C2 birimindeki en erken TargetCreated 2026-08-28 16:44:51 UTC'dir (TRB-2026-Teklif-Fiyatlandirma.xlsx). İK kaydı bildirimi yerel 01.09.2026 09:12:37 olarak yazar, UTC 06:12:37. 11 Eylül'deki ikinci takılma, yüklemeler, yazdırmalar ve VPN oturumları bunun ardından gelir. Bildirimden önceki ilk kopya raporlanacak bir olgudur, ileri sürülecek bir niyet değil.

   Nerede

   lnk-files.csv, VolumeSerialNumber 7A3E-11C2 olan satırların TargetCreated değeri; ik-kaydi.txt, İstifa bildirimi.

   Olağan hata

   28 Ağustos UTC'yi 1 Eylül yerel saatle aynı esastaymış gibi karşılaştırmak ya da ikinci bellek oturumunu ilk sanmak.

   LNK kısayol dosyalarıYerel saatten UTC'ye

5. S052 puan

   Recent klasöründeki kaç kısayol onaysız belleğin birimine işaret ediyor?

   Cevap8

   1006 takılma satırları SanDisk'in birim seri numarasını verir: 7A3E-11C2. Sekiz kısayol bunu taşır: altı dosya (28 Ağustos'ta üç TRB-2026 dosyası ve müşteri iletişim listesi, 11 Eylül'de KMR-2025-Teklif.xlsx ve Birim-Fiyat-Analizi-2026.xlsx) ve iki klasör (E:\Yedek, E:\Yedek\Projeler). İki E: kısayolu daha onaylı Kingston'ın 5B10-2C7F değerini taşır.

   Nerede

   lnk-files.csv, VolumeSerialNumber; partition-diagnostic.csv, VbrVolumeSerial.

   Olağan hata

   Her E: kısayolunu saymak (10); bu, onaylı belleğin teslim paketini de katar.

   LNK kısayol dosyalarıUSB aygıt geçmişi (USBSTOR, USB, MountedDevices, setupapi.dev.log)

6. S062 puan

   E:\Yedek\Projeler\TRB-2026\TRB-2026-Teklif-Fiyatlandirma.xlsx kısayolunda TargetCreated 2026-08-28 16:44:51, TargetModified 2026-08-21 13:07:40. Bu ikili ne söyler?

   CevapB — Dosya 28 Ağustos'ta E: üzerine yazıldı, içeriği en son 21 Ağustos'ta değişti: bir kopyanın bıraktığı desen; çünkü kopyalama değişiklik zamanını korur, yeni bir oluşturma zamanı atar.

   Windows Gezgini kopyalanan dosyaya hedefte yeni bir oluşturma zamanı verir ve son yazma zamanını korur. Bellekte değişiklik zamanından sonra gelen oluşturma zamanı kopyanın imzasıdır; kısayolun MachineID değeri arge-ws14, kısayolun bu iş istasyonunda yazıldığını gösterir. Dosyanın bellekte başka biri tarafından açıldığını söylemez.

   Nerede

   lnk-files.csv, o satırın TargetCreated, TargetModified ve MachineID değerleri.

   Olağan hata

   Ters sırayı kurcalama saymak.

   LNK kısayol dosyaları

7. S072 puan

   ShellBags, My Computer\E: için ilk etkileşimi 2025-06-11, E:\Teslim için 2026-08-19 olarak gösteriyor. ShellBags tek başına E:\Yedek'in hangi aygıtta olduğunu söyleyebilir mi?

   CevapC — Hayır: ShellBags sürücü harfini ve klasör yolunu kaydeder, aygıtı değil. Kısayollardaki birim seri numarası (7A3E-11C2) ve 1006'daki bellek oturumları E:\Yedek'i SanDisk'e bağlar.

   İki bellek de E: olarak bağlandı. ShellBags kabuk öğesi yolunu ve klasörde gezilen zamanları tutar; E:\Teslim'in Kingston oturumlarına, E:\Yedek'in SanDisk oturumlarına ait olduğunu söyleyen şey, zamanların o oturumların içine düşmesi ve kısayolların birim seri numaralarını taşımasıdır. ShellBags gezinmeyi gösterir, kopyalamayı değil.

   Nerede

   shellbags.csv, E: satırları; lnk-files.csv, VolumeSerialNumber; partition-diagnostic.csv.

   Olağan hata

   Her E: klasörünü onaysız belleğe yüklemek.

   ShellBags (BagMRU / Bags)LNK kısayol dosyaları

8. S082 puan

   Kişisel bulut hizmeti upload.bulutkutu.example'a kaç yükleme başarılı oldu?

   Cevap38

   8 Eylül'de BulutKutuKurulum.exe istemcisi indirilir ve masaüstü istemcisi oturum açar. 9 Eylül'de 09:30:05 ile 09:57 UTC arasında (yerelde öğle arası) /Poyraz/ yolu altına upload.bulutkutu.example adresine 41 POST isteği gönderir. 38'i 200 döner; üç büyük dosya (iki çizim ve bir zip) 413 döner, hizmet tarafından reddedilir. Başarılı olanlar yaklaşık 190 MB dışarı taşır.

   Nerede

   proxy-log.csv, method POST, target upload.bulutkutu.example, status.

   Olağan hata

   41 isteğin hepsini ya da sync/state yoklamalarını saymak.

   SOP-08 İnceleme notları ve çalışma kaydı

9. S092 puan

   Kişisel buluta ilk başarılı yükleme ne zaman yapıldı? UTC.

   Cevap2026-09-09 09:30:05

   Durumu 200 olan ilk POST 9 Eylül 09:30:05 UTC'dedir, yerel 12:30: TRB-2026-Teklif-Fiyatlandirma.xlsx. ShellBags, BulutKutu\Poyraz klasöründe 09:22:16'dan 09:29:50'ye kadar gezildiğini gösterir; dosyaların eşitlenen klasöre konduğu an.

   Nerede

   proxy-log.csv, upload.bulutkutu.example'a durumu 200 olan ilk POST.

   Olağan hata

   8 Eylül'deki kurulum indirmesini ya da oturum açmayı almak.

   ShellBags (BagMRU / Bags)

10. S102 puan

    e.demir 14 Eylül'de (UTC tarihi) kaç sayfa yazdırdı?

    Cevap212

    e.demir için ARGE-WS14'ten ARGE-K2-MFP'ye 14:45:10 ile 14:57:24 UTC (yerel 17:45–17:57) arasında altı PrintService 307 olayı: müşteri iletişim listesi, iki fiyat analizi, TRB-2026 teklifi ve hesap raporu, KMR-2025 teklifi ve bir tedarikçi sözleşmeleri özeti. 14+38+22+96+18+24 = 212 sayfa. Kullanıcı o gün başka bir şey yazdırmamıştı.

    Nerede

    print-log.csv, UserName e.demir, TimeCreated 2026-09-14, Pages.

    Olağan hata

    Belge sayısını (6) almak ya da o günkü tüm kullanıcıların sayfalarını toplamak.

    SOP-08 İnceleme notları ve çalışma kaydı

11. S111 puan

    PrintService 307 olayı yazdırılan müşteri listesi hakkında ne söylemenizi sağlar?

    CevapB — O adlı bir belgenin o hesapla, o bilgisayardan, o yazıcıda, boyutu ve sayfa sayısıyla yazdırıldığını; sayfalarda ne olduğunu ya da onları kimin aldığını değil.

    307 olayı yalnızca üst veri tutar. Belge adı uygulamanın yazdırma biriktiricisine verdiği addır; yeniden adlandırılan bir dosya yeni adıyla yazdırılır. Sayfaların binadan çıkıp çıkmadığı başka delil ister: kart geçiş kayıtları, kameralar, bir arama.

    Nerede

    export-metadata.txt, Dışa aktarım 6.

    Olağan hata

    Yazdırıldı diye listenin teslim edildiğini yazmak.

    SOP-09 Raporlama ve akran incelemesi

12. S122 puan

    13 Eylül Pazar günü iş istasyonuna bir Uzak Masaüstü oturumu (tür 10) geliyor. Onu taşıyan VPN oturumu ne zaman başladı? UTC.

    Cevap2026-09-13 19:10:41

    19:14:02 UTC'deki 4624 tür 10, bir VPN havuz adresi olan 10.99.3.41'den gelir. vpn-sessions.csv'de bu tünel adresi, e.demir'in 198.51.100.77'den yerel 13.09.2026 22:10:41 – 14.09.2026 00:31:18 olarak yazılmış oturumuna aittir. Üç saat çıkarın: 19:10:41 – 21:31:18 UTC. RDP oturumu 21:28:50'de biter.

    Nerede

    security-events.csv, EventId 4624, LogonType 10; vpn-sessions.csv, assigned_ip 10.99.3.41.

    Olağan hata

    22:10:41'i UTC olarak girmek: VPN raporu yerel saattedir.

    Windows XML Olay Günlüğü (EVTX)Yerel saatten UTC'ye

13. S132 puan

    Pazar günkü Uzak Masaüstü oturumu hangi adresten geldi?

    Cevap10.99.3.41

    4624 olayının LogonType değeri 10, IpAddress değeri 10.99.3.41'dir. Şirket içinde bu bir tünel adresidir; dış adres VPN raporundaki 198.51.100.77'dir, kullanıcının evden çalışma oturumlarıyla aynı ev adresi. ShellBags ardından dosya paylaşımında TRB-2026, KMR-2025, Musteri ve Fiyat klasörlerinin 19:22 ile 19:47 UTC arasında gezildiğini gösterir.

    Nerede

    security-events.csv, LogonType 10 satırı.

    Olağan hata

    İş istasyonuna hiç doğrudan ulaşmayan ev adresini girmek.

    Windows XML Olay Günlüğü (EVTX)ShellBags (BagMRU / Bags)

14. S142 puan

    e.demir hafta sonu ya da yerel saatle 20:00 ile 07:00 arasında kaç başarılı VPN oturumu başlattı?

    Cevap2

    Kullanıcının diğer oturumları Salı ve Perşembe yerel 08:29–08:58 arasında başlar, 18:00'e kadar biter. İkisi bu düzene uymaz: 05.09.2026 Cumartesi 23:05:31 (istemciye 1,2 GB) ve 13.09.2026 Pazar 22:10:41 (istemciye 4,4 GB, Uzak Masaüstü oturumu). İkisi de bildirimden sonradır; ikincisi son çalışma gününden iki gün öncedir.

    Nerede

    vpn-sessions.csv, user e.demir, result OK, start_local.

    Olağan hata

    Saatleri yerel zamanlara UTC'ymiş gibi uygulamak ya da 16 Eylül'deki reddedilen denemeyi saymak.

    Yerel saatten UTC'ye

15. S152 puan

    vpn-sessions.csv şu satırla biter: 16.09.2026 10:02:44, e.demir, 203.0.113.140, FAIL, account disabled. Rapor ne demeli?

    CevapC — Hesap devre dışı bırakıldıktan 15,5 saat sonra, daha önce görülmemiş bir adresten e.demir'in kimlik bilgileriyle bağlantı denendi; reddedildi ve oturum kurulmadı. Denemeyi kimin yaptığı görünmüyor.

    Hesap 15 Eylül yerel 18:30'da devre dışı bırakıldı (İK kaydı); deneme 16 Eylül yerel 10:02:44'te, ev adresi 198.51.100.77'den değil 203.0.113.140'tan yapıldı. Denetim tuttu. Denemeyi, adresi ve ardından oturum gelmediğini raporlayın; kullanıcının hâlâ VPN ayarları kayıtlı bir aygıt tutup tutmadığını sorun.

    Nerede

    vpn-sessions.csv, son e.demir satırı; ik-kaydi.txt, Hesap kapatma.

    Olağan hata

    Günlüğün reddedildiğini gösterdiği bir erişimi yazmak.

    SOP-09 Raporlama ve akran incelemesi

16. S162 puan

    İnceleme uzmanı hangi cümleyi imzalayabilir?

    CevapC — 28 Ağustos ile 14 Eylül arasında, e.demir hesabıyla, müşteri iletişim listesinin ve proje ve fiyat dosyalarının kopyaları onaysız bir belleğe (seri 4C530001050719102233) yazıldı, kişisel bir bulut hesabına 38 dosya yüklendi ve mesai sonrası 212 sayfa yazdırıldı; bir Pazar VPN oturumu bir Uzak Masaüstü oturumunu ve dosya paylaşımında gezinmeyi taşıdı. Kopyaların bundan sonra nereye gittiği bu kayıtlarda görünmüyor.

    c cümlesi her kaydın neyi gösterdiğini, hangi hesapla olduğunu, okuyucunun denetleyebileceği tanımlayıcılarla ve kayıtların nerede durduğunu söyler. a hiçbir dosyanın göstermediği bir alıcıyı adlandırır; b onaysız belleği ve yüklemeleri yok sayar; d bir tarihi niyete çevirir. Hesap kişi değildir: rapor 'e.demir hesabıyla' der ve Security günlüğü oturumları iş istasyonundaki etkileşimli oturumlara bağlar.

    Nerede

    Tüm dışa aktarımlar; README.txt, kural 4.

    Olağan hata

    İlk kopya bildirimden önce geldiği için d'yi seçmek.

    F-04 İnceleme günlüğüSOP-09 Raporlama ve akran incelemesi

03Kurulan kronoloji

Doğru cevaplarla kurulan zaman çizelgesi. Yerel saat UTC+3'tür.

04Puanlama

1–11. sorular birer puan, 12. soru üç puan değerindedir: toplam 30 puan. Bulgu paragrafı puanla değerlendirilmez; aşağıdaki dört ölçüte göre işaretleyin ve değerlendirmede tartışın.

Bulgu paragrafı: ölçütler

• Her zaman kendi esasını taşır; VPN raporu ve İK kaydı yerel saatten çevrilir.
• Bellek dosyalara birim seri numarasıyla bağlanır ve onaylı belleğin dosyaları ayrı tutulur.
• Sayılar süzgeçlerini belirtir: yalnızca başarılı yüklemeler, tek kullanıcının tek tarihteki sayfaları.
• Her kanal bildirime, son çalışma gününe ve hesabın kapatılmasına göre yerleştirilir.
• Rapor 'hesapla' der, alıcı adlandırmaz ve incelenmeyenleri listeler.

05Değerlendirme

1. Ayrılan çalışan incelemeleri bildirimden haftalar önce başlar: buradaki ilk kopya üç buçuk gün öncedir.
2. Sürücü harfi bir koltuktur, aygıt değildir. Birim seri numaraları ve seri numaraları adlardır.
3. Yükleme, yazdırma ve VPN günlükleri bir şeyin çıktığını, ne kadar ve ne zaman çıktığını kaydeder; sonra kimin okuduğunu asla kaydetmez.
4. Hesabı kapatmak işe yaradı; ertesi sabahki reddedilen deneme bu adımın neden önemli olduğunu gösterir.

06Örnek bulgu

e.demir hesabıyla ARGE-WS14 iş istasyonuna onaysız bir SanDisk Ultra Fit bellek (seri 4C530001050719102233, birim 7A3E-11C2) iki kez takıldı: 28 Ağustos 2026'da 16:38:12–17:21:40 UTC (yerel 19:38, mesai sonrası) ve 11 Eylül'de 15:02:05–15:48:31 UTC (partition-diagnostic.csv). Sekiz kısayol bu birime işaret eder; altısı, bellekteki oluşturma zamanı değişiklik zamanından sonra gelen, yani kopya desenini taşıyan dosyalardır: 28 Ağustos'ta üç TRB-2026 proje dosyası ve müşteri iletişim listesi, 11 Eylül'de bir KMR-2025 teklifi ve bir 2026 birim fiyat analizi (lnk-files.csv). 28 Ağustos 16:44:51 UTC'deki ilk kopya, istifa bildiriminden (1 Eylül 06:12:37 UTC, ik-kaydi.txt) yaklaşık üç buçuk gün öncedir. 8 Eylül'de kişisel bir bulut istemcisi kuruldu; 9 Eylül 09:30:05 UTC'den itibaren /Poyraz/ altına upload.bulutkutu.example adresine 41 yükleme gönderdi; bunların 38'i başarılı oldu (yaklaşık 190 MB), 3'ü çok büyük olduğu için reddedildi (proxy-log.csv). 14 Eylül 14:45:10–14:57:24 UTC (yerel 17:45) arasında, müşteri iletişim listesi dahil altı belge, toplam 212 sayfa ARGE-K2-MFP'ye yazdırıldı (print-log.csv). İki VPN oturumu mesai dışında başladı: 5 Eylül Cumartesi 20:05:31 UTC ve 13 Eylül Pazar 19:10:41 UTC (vpn-sessions.csv'de yerel saatle yazılı); ikincisi 19:14:02 UTC'de 10.99.3.41'den iş istasyonuna bir Uzak Masaüstü oturumu taşıdı ve bu sırada dosya paylaşımındaki proje, müşteri ve fiyat klasörlerinde gezinildi (security-events.csv, shellbags.csv). Hesap devre dışı bırakıldıktan sonra (15 Eylül 15:30 UTC) bu hesapla 16 Eylül 07:02:44 UTC'de 203.0.113.140'tan yapılan bir VPN denemesi reddedildi. Sınırlar: kayıtlar hesap altında yapılan kopyaları, yüklemeleri, yazdırmaları ve uzak oturumları gösterir; belleğin, bulut hesabının ve yazdırılan sayfaların içeriğini ve bunları kimin aldığını göstermez. Dosya sunucusunun günlükleri ve kullanıcının ev bilgisayarı incelenmedi.

Rapor anatomisi ve güven ölçeği →