01Brifing
Kuzey Lojistik A.Ş., d.ercan'ın kullandığı KZL-MUH07 (192.0.2.57) adlı bir Windows 11 muhasebe iş istasyonu işletir; kullanıcı aynı zamanda yerel Administrators grubunun üyesidir. 16 Haziran 2026 Salı günü öğle arasından dönen kullanıcı yeni bir masaüstü resmi, masaüstünde OKU_BENI.txt adlı bir not ve adları .kilit ile biten belgeler buldu ve 10:21 UTC'de BT masasını aradı. BT, iş istasyonunun anahtar kapısını 10:27 UTC'de kapattı. Bir olay müdahale incelemecisi, iş istasyonu imaj almak için kapatılmadan önce aynı öğleden sonra bu paketteki dosyaları topladı. E-posta ağ geçidi günlüğü ayrıca dışa aktarıldı ve yerel saattedir.
İç denetim soruyor:
- Zincir nasıl ve ne zaman başladı; aynı eke maruz kalan başka biri var mı?
- Virüsten koruma şifrelemeyi neden durdurmadı ve araç yönetici yetkisini nasıl aldı?
- Bu bilgisayarda ne şifrelendi, hangi işlemle, hangi süre içinde; paylaşım hakkında ne söylenebilir?
Yalnızca dosyalardan cevap verin. Hesapları, adresleri, ana makineleri, dosyaları ve işlemleri adlandırın; kişileri ya da bir suç grubunu adlandırmayın. KZL-FS02 dosya sunucusu ve \\KZL-FS02\Muhasebe paylaşımı toplanmadı: bu iş istasyonunun onlar hakkında gösterdiğini söyleyin ve orada durun.
02Delil dosyaları
| Dosya | İçerik | SHA-256 |
|---|---|---|
| README.txtSenaryo ve dosya listesi | İngilizce ve Türkçe brifing, kurallar ve dosya listesi. | bcc4f780cf7b8ac36feca1acb4effa300f488da72b43366b88d86b3a577d5f58 |
| acquisition-log.txtToplama günlüğü | Neyin ne zaman ve nasıl toplandığı, ağ kapısının ne zaman kapatıldığı ve her kaynağın saat denetimi. | aa6d2ae60cd81dc62c563791f3e87bcde04c146a45c3953a9495a97296821622 |
| export-metadata.txtDışa aktarım parametreleri | Altı dışa aktarımın penceresi, satır sayısı, zaman esası ve kapsamı; ayrıca pakette neyin bulunmadığı. | 404b498924ad3fccd7a5693f7e4057b5149883fd68cf6fd5e38e073d847b46f3 |
| usn-journal.csvUSN değişiklik günlüğü | C: biriminin $UsnJrnl:$J günlüğünden UTC ile 2.276 satır: şifreleme yoğunlaşmasının çevresinde Prefetch, tarayıcı önbelleği, Outlook ve Office kayıtları. $UsnJrnl:$J (USN değişiklik günlüğü) → | 19403d7026f18684b4acfa25ba880c3b03710a51085027ab135a6ba957996a4b |
| sysmon-events.csvSysmon olayları | İşlem oluşturma, ağ bağlantısı, dosya oluşturma ve kayıt defteri olayları; bütünlük düzeyi ve oturum kimliğiyle, UTC. Windows XML Olay Günlüğü (EVTX) → | 1efc9a0b5cd550a94f834e52014aed86b1017148caf048d63fefa8acc3f9dfbe |
| security-events.csvSecurity olayları | Kullanıcının bağlı iki oturum kimliğiyle oturum açması, iş istasyonu kilitleme ve kilit açma, hizmet ve yönetim oturumları; UTC. Windows XML Olay Günlüğü (EVTX) → | efe52646afb94591e6cee4dccc5ec2730a077bc83bd9f01d536e2338a9e24e04 |
| defender-events.csvMicrosoft Defender olayları | Microsoft Defender Virüsten Koruma'nın tespit, karantina, yapılandırma değişikliği ve gerçek zamanlı koruma olayları; UTC. Windows XML Olay Günlüğü (EVTX) → | 389fcac5ce97e81aa529268c9e798670e70af885dd329a5bc2a86a5bbc8e2a7f |
| mail-gateway.csvE-posta ağ geçidi ileti günlüğü | O gün şirkete gelen ve şirketten giden her ileti; ek adı ve SHA-256 değeriyle, YEREL saatle (UTC+3). E-posta üst bilgi alanları (Received, Date, From, Message-ID) → | 9332c6b039588197c95a7ee10f3df14b6a7fde65a99d6f35014e7b1400127249 |
| OKU_BENI.txtFidye notu | Masaüstünden kopyalanan not. İçindeki son tarih yerel saatle yazılmıştır. | 22f715a2dcd283c5dbf0caef8006400ad3e65297e36381e0495388b817228547 |
| manifest.txtHash bildirimi | Kendisi hariç yukarıdaki her dosyanın SHA-256 değeri. Başlamadan önce doğrulayın. | (bildirimin kendisi) |
Yukarıdaki hash değerleri manifest.txt'den kopyalanmıştır. Bunları kendiniz yeniden hesaplayın, örneğin hash aracıyla ya da sha256sum ile.
Bu dosyaları İnceleme Masasında da inceleyebilirsiniz: hash denetimi, tek UTC zaman çizelgesi, oturumlar ve bulgu taslağı tarayıcıda.
03Başlamadan önce
- Başka hiçbir şeyi okumadan önce her dosyayı manifest.txt ile doğrulayın ve sonucu inceleme günlüğünüze yazın.
- Dışarı aldığınız her zamanın yanına zaman esasını yazın. E-posta ağ geçidi ve fidye notu yerel saattir; geri kalan her şey UTC'dir.
- Satırları değil dosyaları sayın. Her sayının yanına kullandığınız süzgeci yazın.
- USN günlüğü neyin değiştiğini söyler, kimin değiştirdiğini söylemez. Bir değişikliği bir işleme ancak başka bir kaynak üzerinden bağlayın.
Notlarınızı şu formlarda tutun: F-02 Delil kabul formu ve F-04 İnceleme günlüğü.
04Sorular
Yalnızca dosyalardan cevaplayın. Her cevap bu tarayıcıda kontrol edilir ve hiçbir yere gönderilmez; cevaplarınız siz temizleyene kadar bu cihazda kalır. 16 soru, 26 puan.
S011 puanusn-journal.csvmanifest.txt
8 onaltılık karakterS022 puanmail-gateway.csvusn-journal.csv
YYYY-AA-GG SS:DD:ss, UTCS031 puanmail-gateway.csv
Tam sayıS041 puansysmon-events.csv
Bir IPv4 adresiS052 puandefender-events.csvsysmon-events.csv
YYYY-AA-GG SS:DD:ss, UTCS062 puandefender-events.csvsysmon-events.csvusn-journal.csv
S071 puansysmon-events.csv
Tam bir Windows yoluS082 puansysmon-events.csvsecurity-events.csv
S091 puansysmon-events.csv
Bir dosya adı, örneğin program.exeS102 puanusn-journal.csv
YYYY-AA-GG SS:DD:ss, UTCS112 puanusn-journal.csv
Tam sayıS121 puanusn-journal.csvsysmon-events.csv
Tam sayıS132 puanusn-journal.csvsysmon-events.csv
S142 puansysmon-events.csvusn-journal.csv
Tam sayı, dakikaS152 puansysmon-events.csvexport-metadata.txtOKU_BENI.txt
S162 puanusn-journal.csvsysmon-events.csvsecurity-events.csvdefender-events.csvmail-gateway.csv
05Bulgunuz
Son adım: üç denetim sorusunu bir bulgu olarak cevaplayan tek bir paragraf yazın. Eğitmeniniz bunu dört ölçüte göre değerlendirir:
- Her zaman kendi esasını taşır; ağ geçidi zamanı ve notun son tarihi yerel saatten çevrilir.
- Satırlar değil dosyalar sayılır; Excel'in kendi yeniden adlandırmaları sayının dışında tutulur.
- Günlük ile işlem arasındaki bağlantı, günlüğün gösterdiği bir şey olarak değil, zamanlama ve Sysmon'dan yapılan bir çıkarım olarak belirtilir.
- Rapor korumanın kapatıldığını ve nasıl kapatıldığını söyler; bunu bir tespit başarısızlığı olarak adlandırmaz.
- Rapor diğer üç posta kutusunu adlandırır ve dosya sunucusunun incelenmesini talep eder.