ZEKASTRA

VP-07 · Bulut ve SaaS incelemesi

Microsoft 365'te iş e-postası ele geçirme: aktarılan oturum, gizli kural ve değişen banka hesabı

On dört kullanıcının dört gününe ait 935 birleşik denetim günlüğü kaydı, 500 Entra oturum açma kaydı ve 403 ileti izi satırı; yanında sahte iletinin müşterideki kopyası ve yerel saatli banka dekontu. On altı soru, bir oltalama iletisinden kullanıcının MFA onayını aktaran vekil sunucuya, yeniden oynatılan oturuma, okunan on iki iletiye, cevapları gizleyen gelen kutusu kuralına, yeni IBAN gönderilen üç müşteriye ve paranın çıktığı ana götürür.

Sentetik eğitim verisi. Kuruluş, kişiler, cihazlar, seri numaraları ve zamanlar uydurmadır.

01Brifing

Akyel Tekstil A.Ş. Microsoft 365 kullanır (E5, Audit Premium). Tahsilat sorumlusu s.kaya müşteri ödemelerini yürütür. 13 Temmuz 2026 Pazartesi günü müşteri Delta Perakende A.Ş., 2026-0715 numaralı faturayı 9 Temmuz'da Akyel'in yazdığı yeni banka hesabına ödediğini bildirdi. Akyel'in yeni bir hesabı yok. Delta iletiyi ve banka dekontunu iletti; bir inceleme uzmanı kullanıcının oturumlarını iptal etti ve 6–9 Temmuz için denetim günlüğünü, oturum açma günlüklerini ve ileti izini dışa aktardı. Dekont ve müşterinin sunucularının eklediği başlıklar yerel saattedir.

İç denetim soruyor:

  1. Hesapta MFA varken posta kutusuna nasıl ulaşıldı; başka bir hesap risk altında mı?
  2. Posta kutusunda ne okundu, ne alındı, ne değiştirildi ve müşterilerin cevaplarını ne gizledi?
  3. Banka değişikliği iletisini kim aldı, nereden gönderildi ve para müşteriden ne zaman çıktı?

Yalnızca dosyalardan cevap verin. Hesapları, adresleri, iletileri ve dosyaları adlandırın; sahte iletinin göndericisi olarak bir kişiyi ya da bir suç grubunu adlandırmayın. Oltalama sayfası ve iki dış adresin arkasındaki ana makineler incelenmedi: kiracının kayıtlarının onlar hakkında gösterdiğini söyleyin ve orada durun.

02Delil dosyaları

DosyaİçerikSHA-256
README.txtSenaryo ve dosya listesiİngilizce ve Türkçe brifing, kurallar ve dosya listesi.575242b4bd9dcfc04884bd02967f66efd445be27413078b55c9d3c374da783d3
acquisition-log.txtToplama günlüğüNeyin ne zaman, hangi rolle toplandığı ve kullanıcının oturumlarının ne zaman iptal edildiği.ecc94fdfa0853c8a228a45e9a833634364da9d440418900e55f22a7a5302f6ac
export-metadata.txtDışa aktarım parametreleriBeş dışa aktarımın aralığı, satır sayısı, zaman esası ve kapsamı; MailItemsAccessed kayıtlarının nasıl birleştirildiği ve pakette olmayanlar.e97dbcc39b41b1ba8fa1da6bae0b6579e21ff310cc358290cbd0bcf87ef9f83f
ual-export.csvBirleşik denetim günlüğüTüm kullanıcılar için UTC'li 935 Purview denetim kaydı; kaydın tamamı AuditData JSON sütununda: oturumlar, posta erişimi, gönderimler, silmeler, OneDrive ve gelen kutusu kuralı. Microsoft 365 birleşik denetim günlüğü →ca29b61b61c01a62b658a893979e9be29d5aa918d9746c6b1ea8005b90636b7c
entra-signins.csvEntra oturum açma günlükleriDurum, hata kodu, MFA sonucu, konum ve otonom sistem numarasıyla UTC'li 500 etkileşimli ve etkileşimsiz oturum açma kaydı.970085f1bfe479fc487c4eb2b910f79d5533cd167edc033b231cd8d54cc38e7f
message-trace.csvİleti iziKiracıya gelen, kiracıdan giden ve kiracı içindeki 403 ileti; UTC, Message-ID ve durum bilgisiyle.100fd2dfb70d4b189c5f6dbb1b1196eeecf71c31458fcc351129a2e44d4e1656
iban-degisikligi.emlSahte iletiİletinin müşteriye ulaşan hâli; Received zinciri, Authentication-Results ve Message-ID ile. Müşterinin eklediği başlıklar yerel saattedir. E-posta üst bilgi alanları (Received, Date, From, Message-ID) →68334f79bbf849cd1003a655860ee8edf9df497095a279c2b96606aae59138cf
odeme-dekontu.txtBanka dekontuMüşterinin havale dekontunun metin kopyası. Saat bankanın yerel saatidir; bölge yazılmamıştır.23820285fdfafe046c9d965b0c818293015e8d6b8260eddfc83913c616d41b4f
manifest.txtHash bildirimiKendisi hariç yukarıdaki her dosyanın SHA-256 değeri. Başlamadan önce doğrulayın.(bildirimin kendisi)

Yukarıdaki hash değerleri manifest.txt'den kopyalanmıştır. Bunları kendiniz yeniden hesaplayın, örneğin hash aracıyla ya da sha256sum ile.

Bu dosyaları İnceleme Masasında da inceleyebilirsiniz: hash denetimi, tek UTC zaman çizelgesi, oturumlar ve bulgu taslağı tarayıcıda.

03Başlamadan önce

  • Başka hiçbir şeyi okumadan önce her dosyayı manifest.txt ile doğrulayın ve sonucu inceleme günlüğünüze yazın.
  • Dışarı aldığınız her zamanın yanına zaman esasını yazın. Bulut dışa aktarımları UTC'dir; dekont ve müşterinin Received başlıkları yerel saattir.
  • İletileri denetim satırlarıyla değil InternetMessageId ile sayın. Her sayının yanına kullandığınız süzgeci yazın.
  • Hesap ve adres kişi değildir. Bir şeyi hangi oturumun yaptığını söyleyin, klavyede kimin oturduğunu değil.

Notlarınızı şu formlarda tutun: F-02 Delil kabul formu ve F-04 İnceleme günlüğü.

04Sorular

Yalnızca dosyalardan cevaplayın. Her cevap bu tarayıcıda kontrol edilir ve hiçbir yere gönderilmez; cevaplarınız siz temizleyene kadar bu cihazda kalır. 16 soru, 28 puan.

  1. S011 puanual-export.csvmanifest.txt

    8 onaltılık karakter

  2. S022 puanentra-signins.csvmessage-trace.csv

    YYYY-AA-GG SS:DD:ss, UTC

  3. S032 puanentra-signins.csvmessage-trace.csv

    Tam sayı

  4. S042 puanentra-signins.csv

    06:44:18'de s.kaya 203.0.113.77 adresinden, öncesinde bir parola hatası olmadan, 'MFA requirement satisfied by claim in the token' ile oturum açıyor. Bu ne gösterir?

  5. S051 puanual-export.csventra-signins.csv

    Bir IPv4 adresi

  6. S062 puanual-export.csv

    Tam sayı

  7. S072 puanual-export.csvexport-metadata.txt

    s.kaya'nın posta kutusunda 192.0.2.10 adresinden saat başı MailItemsAccessed Sync kayıtları da var. Bunlar ne gösterir?

  8. S082 puanual-export.csv

    YYYY-AA-GG SS:DD:ss, UTC

  9. S091 puanual-export.csv

    Bir klasör adı

  10. S101 puanual-export.csv

    Bir dosya adı

  11. S112 puanual-export.csviban-degisikligi.emlmessage-trace.csv

    YYYY-AA-GG SS:DD:ss, UTC

  12. S122 puaniban-degisikligi.eml

    Müşterinin sunucusu akyeltekstil.example için spf=pass, dkim=pass ve dmarc=pass kaydediyor. Bu neyi ortaya koyar?

  13. S132 puanual-export.csvmessage-trace.csv

    Tam sayı

  14. S142 puanual-export.csvmessage-trace.csv

    YYYY-AA-GG SS:DD:ss, UTC

  15. S152 puanodeme-dekontu.txtexport-metadata.txt

    YYYY-AA-GG SS:DD:ss, UTC

  16. S162 puanual-export.csventra-signins.csvmessage-trace.csviban-degisikligi.emlodeme-dekontu.txt

    İnceleyen kişi yalnızca bu dosyalara dayanarak hangi cümleyi imzalayabilir?

Puan 0 / 28

05Bulgunuz

Son adım: üç denetim sorusunu bir bulgu olarak cevaplayan tek bir paragraf yazın. Eğitmeniniz bunu dört ölçüte göre değerlendirir:

  • Her zaman kendi esasını taşır; dekont ve müşterinin başlıkları yerel saatten çevrilir.
  • İletiler InternetMessageId ile sayılır ve rapor satırlarla OperationCount'un neden farklı olduğunu söyler.
  • Aktarılan oturum ve yeniden oynatılan oturum ayrı anlatılır; 'MFA iddiayla karşılandı' kullanıcı onayı olarak raporlanmaz.
  • Eylemler kullanıcıya değil bir oturuma ve bir adrese bağlanır.
  • Rapor diğer iki müşteriyi ve aktarılan ikinci hesabı adlandırır ve onlar için takip ister.

Bulgular nasıl ifade edilir →

İrtibat ve hizmet talepleri

Bu sayfayla ilgili inceleme hizmeti, bilirkişilere destek ve iş birliği için irtibat kurun. Lütfen e-postaya delil dosyası ya da kişisel veri eklemeyin.

İrtibat sayfası →