Microsoft 365'te iş e-postası ele geçirme: aktarılan oturum, gizli kural ve değişen banka hesabı

01Oturum planı

Malzemeler: her katılımcının bilgisayarında paket dosyaları, paket sayfasından yazdırılmış bir çalışma kâğıdı ve bir inceleme günlüğü formu. Paket sayfası →

02Cevap anahtarı

1. S011 puan

   ual-export.csv dosyasının bir kopyasında SHA-256 değerini hesaplayın, manifest.txt ile karşılaştırın ve ilk 8 onaltılık karakteri girin.

   Cevapca29b61b

   Önek bildirim satırıyla eşleşir. Dosyayı açan bir elektronik tablo kaydederken AuditData sütununun tırnaklarını değiştirebilir; süzmeden önce hash alın.

   Nerede

   manifest.txt, ual-export.csv satırı.

   Olağan hata

   Elektronik tablo dosyayı yeniden kaydettikten sonra hash almak.

   Hash hesaplayıcıF-04 İnceleme günlüğüSOP-02 Delil kabul ve kayıt

2. S022 puan

   Oltalama iletisi geldikten sonra s.kaya ofis aralığı 192.0.2.0/24 dışındaki bir adresten ilk kez ne zaman başarıyla oturum açtı? UTC.

   Cevap2026-07-07 06:31:05

   İleti izi 'Paylaşılan belge: 2026 Q3 Sipariş Formu' iletisinin 06:12:40'ta teslim edildiğini gösterir. 06:30:51'de kullanıcının 198.51.100.23 adresinden OfficeHome oturumu 50074 hatasıyla (güçlü kimlik doğrulama gerekli) kesilir; 06:31:05'te 'MFA successfully completed' ile başarılı olur. Tarayıcı kullanıcının kendi Edge'idir; adres kullanıcının değildir.

   Nerede

   message-trace.csv, bu konulu üç satır; entra-signins.csv, 198.51.100.23 adresinden s.kaya satırları.

   Olağan hata

   Kesilen deneme olan 06:30:51'i ya da başka bir adresten yapılan yeniden oynatma olan 06:44:18'i vermek.

   Microsoft 365 birleşik denetim günlüğü

3. S032 puan

   Oltalama iletisi üç posta kutusuna ulaştı. Bu hesaplardan kaçı, s.kaya'nın aktarılan oturumuyla aynı adresten başarıyla oturum açtı?

   Cevap2

   Başarılı oturumları 198.51.100.23 üzerinde süzün: 06:31:05'te s.kaya ve 06:52:17'de b.aslan; ikisinde de MFA istemi onaylanmıştır. m.demir bu adresten oturum açmamıştır. b.aslan'ın oturumu bu aralıkta yeniden oynatılmamış görünür ama belirteç aynı biçimde teslim edilmiştir; rapor bu hesabın oturumlarının da iptal edilmesini istemelidir.

   Nerede

   entra-signins.csv, IP address 198.51.100.23 ve Status Success.

   Olağan hata

   Yalnızca posta kutusu kötüye kullanılan hesabı saymak ya da parola püskürtme hatalarını ele geçirme saymak.

   SOP-07 Bulut ve e-posta koruma

4. S042 puan

   06:44:18'de s.kaya 203.0.113.77 adresinden, öncesinde bir parola hatası olmadan, 'MFA requirement satisfied by claim in the token' ile oturum açıyor. Bu ne gösterir?

   CevapB — Hiçbir istem gösterilmedi: oturum, MFA iddiasını zaten taşıyan bir belirteç sundu; bu, 13 dakika önce vekil sunucu üzerinden verilen oturumun başka bir adresten kullanılmasıyla uyumludur.

   Sonuç metni, gereksinimin yeni bir istemle değil belirteçte zaten bulunan bir iddiayla karşılandığı anlamına gelir. Farklı adres, farklı otonom sistem (64501'e karşı 64502), farklı tarayıcı (kullanıcının Edge'ine karşı Chrome) ve kimlik bilgisi adımı yok: yeniden oynatılan bir oturumun örüntüsü. Püskürtme hataları (50126) hiç başarılı olmaz.

   Nerede

   entra-signins.csv, 198.51.100.23 ve 203.0.113.77 adreslerinden s.kaya satırları: Multifactor authentication result, Browser, Autonomous system number.

   Olağan hata

   'MFA karşılandı' ifadesini 'kullanıcı burada bir istemi onayladı' diye okumak.

5. S051 puan

   Yeniden oynatılan oturumdan sonra posta kutusu hangi adresten web üzerinde Outlook ile okundu?

   Cevap203.0.113.77

   s.kaya için ClientInfoString Client=OWA ve MailAccessType Bind olan MailItemsAccessed kayıtları 06:46:12'den itibaren ClientIPAddress 203.0.113.77 taşır. Vekil sunucu adresi 198.51.100.23 yalnızca iki oturum açmada görünür: oturumu aktarmıştır, posta okumamıştır.

   Nerede

   ual-export.csv, s.kaya'nın MailItemsAccessed satırlarında AuditData ClientIPAddress.

   Olağan hata

   İlk dış adres olduğu için vekil sunucu adresini cevap vermek.

   Microsoft 365 birleşik denetim günlüğü

6. S062 puan

   Aralık içinde 203.0.113.77 kaç farklı iletiyi açtı (MailAccessType Bind)?

   Cevap12

   Adresten 10 Bind kaydı vardır ve OperationCount değerlerinin toplamı 15'tir; çünkü iki dakika içindeki erişimler tek kayıtta birleştirilir ve ertesi sabahki oturum üç fatura yazışmasını yeniden açmıştır. Folders içindeki farklı InternetMessageId değerleri sayılınca 12 çıkar: Gelen Kutusu'ndan on ileti ve \RSS Akışları'ndaki iki müşteri cevabı.

   Nerede

   ual-export.csv, MailItemsAccessed, ClientIPAddress 203.0.113.77, Folders.FolderItems.InternetMessageId.

   Olağan hata

   Satır sayısını (10) ya da OperationCount toplamını (15) vermek.

   Microsoft 365 birleşik denetim günlüğü

7. S072 puan

   s.kaya'nın posta kutusunda 192.0.2.10 adresinden saat başı MailItemsAccessed Sync kayıtları da var. Bunlar ne gösterir?

   CevapC — Kullanıcının masaüstü Outlook'unun ofis adresinden bir klasörü eşitlediğini; Sync kaydı iletileri değil klasörü adlandırır ve 203.0.113.77'den hiçbiri yoktur, o adresin istemcisi bind kaydetmiştir.

   Sync, masaüstü Outlook için kaydedilir ve bir klasörü adlandırır; o klasördeki bütün öğeler o istemci tarafından erişilmiş sayılmalıdır. Burada bütün Sync kayıtları Client=MSExchangeRPC ile ofis adresinden gelir. Saldırganın adresinden bir tane gelseydi bütün klasörün açığa çıktığı raporlanmalıydı.

   Nerede

   ual-export.csv, MailAccessType Sync olan MailItemsAccessed satırları; export-metadata.txt, 1. dışa aktarım.

   Olağan hata

   Her MailItemsAccessed satırını aynı tür delil saymak.

8. S082 puan

   Gelen kutusu kuralı ne zaman oluşturuldu? UTC.

   Cevap2026-07-07 07:21:44

   New-InboxRule; Name '..', ClientIP 203.0.113.77:50432 ve sabahki bind kayıtlarıyla aynı SessionId. İki noktadan oluşan bir ad kurallar listesinde kolayca gözden kaçar.

   Nerede

   ual-export.csv, Operation New-InboxRule.

   Olağan hata

   Yalnızca Set-Mailbox yönlendirmesine bakıp kural olmadığı sonucuna varmak.

   Microsoft 365 birleşik denetim günlüğü

9. S091 puan

   Kural eşleşen iletileri hangi klasöre taşıyordu?

   Cevaprss akışları

   Parameters: MoveToFolder 'RSS Akışları', SubjectOrBodyContainsWords 'IBAN;dekont;ödeme;hesap', MarkAsRead True, StopProcessingRules True. Ödemeyle ilgili cevaplar okunmuş işaretlenerek az açılan bir klasöre gönderildi; denetim günlüğü her taşımayı değil kuralı kaydeder.

   Nerede

   ual-export.csv, New-InboxRule, AuditData Parameters.

   Olağan hata

   Gönderilen kopyaların gittiği Silinmiş Öğeler'i cevap vermek.

10. S101 puan

    203.0.113.77 s.kaya'nın OneDrive'ından hangi dosyayı indirdi?

    Cevapmusteri_cari_listesi_2026.xlsx

    07:12:09'da FileDownloaded, SourceRelativeUrl Documents/Tahsilat. Müşteri cari listesi gönderene kime yazacağını ve kimin ne kadar borçlu olduğunu söyler; ertesi günkü iletinin üç alıcısı da müşteridir.

    Nerede

    ual-export.csv, Operation FileDownloaded, ClientIP 203.0.113.77.

    Olağan hata

    Ofis adresinden başka bir kullanıcının FileAccessed satırını vermek.

11. S112 puan

    Müşterinin aldığı ileti s.kaya'nın posta kutusundan ne zaman gönderildi? UTC.

    Cevap2026-07-08 08:05:31

    Eml dosyasındaki Message-ID, 203.0.113.77'den 08:05:31'deki Send kaydıyla ve muhasebe@delta-perakende.example adresine giden ileti izi satırıyla eşleşir. Date başlığı 08:05:31 +0000 der; müşterinin kendi Received satırları 11:05:33 ve 11:05:34 +0300 der, yani iki saniye sonrası.

    Nerede

    iban-degisikligi.eml, Message-ID ve Date; ual-export.csv, Operation Send; message-trace.csv, aynı MessageId.

    Olağan hata

    En üstteki Received satırındaki 11:05:34'ü UTC diye yazmak.

    E-posta üst bilgi alanları (Received, Date, From, Message-ID)Yerel saatten UTC'ye

12. S122 puan

    Müşterinin sunucusu akyeltekstil.example için spf=pass, dkim=pass ve dmarc=pass kaydediyor. Bu neyi ortaya koyar?

    CevapB — İletinin Akyel'in kendi Microsoft 365 kiracısı üzerinden gönderildiğini ve alan adı için imzalandığını, yani taklit bir benzer alan adı olmadığını; oturumu kimin kontrol ettiği hakkında bir şey söylemez.

    Ele geçirilmiş posta kutusuyla yapılan bir iş e-postası dolandırıcılığını inandırıcı kılan budur: müşterinin yapabileceği her denetim geçer. Yeniden oynatılan oturumla bağı başlıklar değil, denetim günlüğündeki Send kaydı kurar.

    Nerede

    iban-degisikligi.eml, Authentication-Results ve DKIM-Signature.

    Olağan hata

    Geçen bir DKIM denetimini yazarlık kanıtı saymak.

    Authentication-Results (SPF, DKIM, DMARC)

13. S132 puan

    203.0.113.77 tarafından s.kaya'nın posta kutusundan kaç farklı ileti gönderildi?

    Cevap3

    08:05:31 ile 08:08:40 arasında Delta Perakende, Mavi Market ve Kuzey Ambalaj'a üç Send kaydı; her biri sonra Silinmiş Öğeler'e taşınmış ve geçici olarak silinmiştir (08:09:55–08:10:21). Kullanıcının Gönderilmiş Öğeler klasörü onları artık göstermiyordu; denetim günlüğü ve ileti izi hâlâ gösterir. İki müşteri daha uyarılmalıdır.

    Nerede

    ual-export.csv, 203.0.113.77'den Send, MoveToDeletedItems ve SoftDelete; message-trace.csv, eşleşen MessageId satırları.

    Olağan hata

    Yalnızca müşterinin ilettiği iletiyi saymak ya da MoveToDeletedItems ve SoftDelete satırlarını ayrı gönderim saymak.

14. S142 puan

    Delta Perakende iletiye cevap verdi. Bu cevap ne zaman ve nereden açıldı? Zamanı UTC olarak verin.

    Cevap2026-07-08 12:52:38

    İleti izi cevabı 12:40:11'de teslim eder. InternetMessageId değeri MailItemsAccessed içinde bir kez geçer: 12:52:38'de 203.0.113.77'den, Path \RSS Akışları, yani kuralın klasörü. Kullanıcının kendi istemcisinde bu iletiye bind yoktur.

    Nerede

    message-trace.csv, muhasebe@delta-perakende.example adresinden gelen cevap; ual-export.csv, o InternetMessageId ile MailItemsAccessed.

    Olağan hata

    İleti izindeki teslim zamanını okunma zamanı olarak vermek.

15. S152 puan

    Havale Delta Perakende'den ne zaman çıktı? UTC.

    Cevap2026-07-09 08:20:14

    Dekont bankanın yerel saatiyle (UTC+3) 09.07.2026 11:20:14 der: 08:20:14 UTC; saldırganın Mavi Market'in cevabını 07:05:10'da okumasından yaklaşık 75 dakika sonra. Sırayı yazmadan önce dekontu denetim günlüğüyle aynı UTC çizgisine koyun.

    Nerede

    odeme-dekontu.txt, İşlem tarihi ve İşlem saati; export-metadata.txt, 5. dışa aktarım.

    Olağan hata

    Dekont bölge yazmadığı için 11:20:14'ü UTC diye yazmak.

    Yerel saatten UTC'ye

16. S162 puan

    İnceleyen kişi yalnızca bu dosyalara dayanarak hangi cümleyi imzalayabilir?

    CevapC — 7 Temmuz 06:12 UTC'de teslim edilen bir oltalama iletisinden sonra s.kaya'nın oturumu MFA istemi onaylanarak 198.51.100.23 üzerinden aktarıldı; 06:44 UTC'den itibaren hesaba ait bir oturum, MFA iddiası belirteçte taşınarak 203.0.113.77'den kullanıldı. Bu oturum 12 ileti okudu, müşteri cari listesini indirdi, ödeme cevaplarını RSS Akışları'na taşıyan '..' kuralını oluşturdu, 8 Temmuz'da banka değişikliği iletisini üç müşteriye gönderdi ve kopyaları sildi. Delta Perakende'nin havalesi 9 Temmuz 08:20 UTC'de çıktı. b.aslan'ın oturumu da aynı adres üzerinden aktarıldı.

    c cümlesi her eylemi bir kayda ve bir oturuma bağlar, baştan sona UTC kullanır, satırları değil iletileri sayar ve ikinci risk altındaki hesabı adlandırır. a cümlesi başka bir adresten yapılan eylemler için bir kişiyi adlandırır; b oturum açma günlüğüyle çelişir; d denetim günlüğünü ve ileti izini yok sayar.

    Nerede

    Beş delil dosyasının tamamı; c cümlesindeki her olgu bunlardan birinden gelir.

    Olağan hata

    Kayıtların taşıdığı anlatı yerine müşterinin anlattığı hikâyeyi yazmak.

    F-04 İnceleme günlüğüSOP-09 Raporlama ve akran incelemesi

03Kurulan kronoloji

Doğru cevaplarla kurulan zaman çizelgesi. Yerel saat UTC+3'tür.

04Puanlama

1–11. sorular birer puan, 12. soru üç puan değerindedir: toplam 28 puan. Bulgu paragrafı puanla değerlendirilmez; aşağıdaki dört ölçüte göre işaretleyin ve değerlendirmede tartışın.

Bulgu paragrafı: ölçütler

• Her zaman kendi esasını taşır; dekont ve müşterinin başlıkları yerel saatten çevrilir.
• İletiler InternetMessageId ile sayılır ve rapor satırlarla OperationCount'un neden farklı olduğunu söyler.
• Aktarılan oturum ve yeniden oynatılan oturum ayrı anlatılır; 'MFA iddiayla karşılandı' kullanıcı onayı olarak raporlanmaz.
• Eylemler kullanıcıya değil bir oturuma ve bir adrese bağlanır.
• Rapor diğer iki müşteriyi ve aktarılan ikinci hesabı adlandırır ve onlar için takip ister.

05Değerlendirme

1. MFA açıktı ve kullanıldı. Oltalama vekil sunucusu istemi aşmaz; kullanıcının onayını başka birine taşır.
2. Gelen kutusu kuralı iş e-postası dolandırıcılığının sessiz parçasıdır. Yönlendirmeye bakmadan önce kurala bakın.
3. Posta kutusunun kendisi başkasının elindeyken her kimlik doğrulama denetiminden geçen bir ileti yine de sahte olabilir.
4. Denetim günlüğü iletileri değil işlemleri sayar. Rapordaki sayı, okuyanın sandığı sayı olmalıdır.

06Örnek bulgu

7 Temmuz 2026 06:12 UTC'de 'Paylaşılan belge: 2026 Q3 Sipariş Formu' iletisi s.kaya, b.aslan ve m.demir'e teslim edildi (message-trace.csv). 06:31:05 UTC'de s.kaya'nın oturumu MFA istemi tamamlanarak 198.51.100.23 (AS64501) adresinden başarılı oldu; 06:52:17'de b.aslan'ınki de aynı biçimde (entra-signins.csv). 06:44:18 UTC'den itibaren s.kaya'ya ait bir oturum 'MFA requirement satisfied by claim in the token' ile 203.0.113.77 (AS64502, farklı tarayıcı) adresinden kullanıldı. Denetim günlüğü bu adresten şunları kaydeder: açılan 12 farklı ileti (10 Bind kaydı, OperationCount 15), 07:12:09'da Musteri_Cari_Listesi_2026.xlsx indirmesi, 07:21:44'te IBAN, dekont, ödeme ya da hesap içeren iletileri RSS Akışları'na taşıyıp okunmuş işaretleyen '..' kuralının oluşturulması, 8 Temmuz 08:05:31–08:08:40 arasında Delta Perakende, Mavi Market ve Kuzey Ambalaj'a 'Banka hesap bilgilerimiz güncellendi' konulu üç gönderim ve kopyalarının 08:10:21'e kadar silinmesi (ual-export.csv). Müşterinin ilettiği ileti ilk gönderimin Message-ID değerini taşır ve akyeltekstil.example için SPF, DKIM ve DMARC denetimlerinden geçmiştir; bu, iletinin kiracıdan çıktığını gösterir, oturumu kimin kontrol ettiğini göstermez. Delta Perakende ve Mavi Market'in cevapları RSS Akışları'nda 8 Temmuz 12:52:38'de ve 9 Temmuz 07:05:10'da 203.0.113.77'den açıldı. Delta Perakende'nin havalesi 9 Temmuz 08:20:14 UTC'de çıktı (dekont yerel 11:20:14). Sınırlar: vekil sunucu ve 203.0.113.77'nin arkasındaki ana makine incelenmedi; b.aslan'ın oturumları ve diğer iki müşteri takip gerektirir.

Rapor anatomisi ve güven ölçeği →