ZEKASTRA

VP-05 · Bilgisayar ve disk incelemesi

Dosya sunucusuna RDP saldırısı: kalıcılık, dışarı çıkan veri, silinen günlük

Olay toplayıcıya iletilmiş 2.268 Security olayı, Sysmon, bir $MFT alıntısı, yerel saatle tutulmuş bir sınır güvenlik duvarı günlüğü, bir zamanlanmış görev dosyası ve bir araç yapılandırması. On altı soru, parola denemelerinden başarılı oturuma, geride bırakılan hesap ve göreve, tarihi geriye çekilmiş bir dosyaya, ağdan çıkan veri hacmine ve silinen günlüğe rağmen neyin söylenebileceğine götürür.

Sentetik eğitim verisi. Kuruluş, kişiler, cihazlar, seri numaraları ve zamanlar uydurmadır.

01Brifing

Meridyen Mimarlık Ltd., meridyen.example etki alanında MRD-FS01 (192.0.2.10) adlı bir Windows Server 2022 dosya sunucusu işletir. Nisan ayında bir tedarikçi için eklenen bir güvenlik duvarı kuralı, sunucunun TCP 3389 kapısını internetten erişilebilir bıraktı. 11 Mayıs 2026 Pazartesi günü BT yöneticisi, sunucunun Administrators grubunda bilinmeyen bir yerel hesap (destek) buldu ve sunucunun kendi Security günlüğünün Cumartesi günü 1102 olayıyla başladığını fark etti. Bir olay müdahale incelemecisi aynı sabah bu paketteki dosyaları topladı. Security günlüğünün MRD-WEC01 olay toplayıcısındaki iletilmiş kopyası silinmeden etkilenmedi.

İç denetim soruyor:

  1. Sunucuya girildi mi; ne zaman, hangi hesapla ve hangi adresten?
  2. Erişimi sürdürmek için geride ne bırakıldı ve hâlâ çalışıyor mu?
  3. Dışarıya veri gönderildi mi, ne kadar ve nereye; silinen günlük neyi değiştirir?

Yalnızca dosyalardan cevap verin. Hesapları, adresleri, ana makineleri ve işlemleri adlandırın; kişileri adlandırmayın. Dışarıya ne gönderildiğini hacim ve hedef olarak söyleyin, dosyaların içeriği olarak değil: D: birimi toplanmadı.

02Delil dosyaları

DosyaİçerikSHA-256
README.txtSenaryo ve dosya listesiİngilizce ve Türkçe brifing, kurallar ve dosya listesi.dab5111f6739494eb74d7ee4137e1f4c696fa671edbb5c03ad5a9da757522282
acquisition-log.txtToplama günlüğüNeyin ne zaman ve nasıl toplandığı ve her kaynağın saat denetimi.49de68355a7c5abad08ccfd9f8f63671218e71bc47de852c10279a7204370e2a
export-metadata.txtDışa aktarım parametreleriDört dışa aktarımın penceresi, satır sayısı, zaman esası ve kapsamı; ayrıca pakette neyin bulunmadığı.801b09d3b39037880d4a5001b690fdacfcee23f59babf99e2dd590d5bbb4225a
security-events.csvSecurity olayları, iletilmiş kopyaOlay toplayıcıdan UTC ile 2.268 satır: üç adresten parola denemeleri, paylaşım oturumları, bir yöneticinin oturumu, gece yedeği ve saldırı. Windows XML Olay Günlüğü (EVTX) →44cd23512f96588f41a72f7bd7c11d462c3832d16abed868697bd46ed64692b8
sysmon-events.csvSysmon olaylarıİşlem oluşturma, dosya zamanı değişikliği, ağ bağlantısı ve dosya oluşturma olayları; UTC. Windows XML Olay Günlüğü (EVTX) →d82bbeb98ada4cc045146b4ed5068c8af3dce29f4d1d5a5c27aadeabce21cd32
firewall-outbound.csvSınır güvenlik duvarı oturum günlüğüSunucudan internete giden oturumlar, yerel saatle (UTC+3). Zaman, oturumun BİTİŞ anıdır.b3589f2ee00d55ff9d42cece7ed6da67a21229592426e169a25e4392b740fd17
mft-excerpt.csv$MFT alıntısıC: biriminde ProgramData ve Tasks klasörü altındaki kayıtlar; $STANDARD_INFORMATION (0x10) ve $FILE_NAME (0x30) zamanları UTC. $MFT (NTFS Ana Dosya Tablosu) →af9c1500dbacb6d13e31af6e225f8fd3673eff4c102b2bc5e4537b3b5709b7d5
WinSvcUpdate.xmlZamanlanmış görev dosyasıC:\Windows\System32\Tasks altındaki görev tanımı. İçindeki zamanlar sunucunun yerel saatidir ve fark belirtilmeden yazılmıştır. Zamanlanmış görevler →0b7456c934e9b702a77cfc25ce2e4168cb45c2f6d184dfcd5125210e95f3fcaa
rclone.confAraç yapılandırmasıC:\ProgramData\rc içinde araçların yanında bulunan yapılandırma dosyası. Anahtarlar sahtedir.55ea7343139191781b0d003c1f07838a5d311a74247ffc2bc8500e5c4fe05945
manifest.txtHash bildirimiKendisi hariç yukarıdaki her dosyanın SHA-256 değeri. Başlamadan önce doğrulayın.(bildirimin kendisi)

Yukarıdaki hash değerleri manifest.txt'den kopyalanmıştır. Bunları kendiniz yeniden hesaplayın, örneğin hash aracıyla ya da sha256sum ile.

Bu dosyaları İnceleme Masasında da inceleyebilirsiniz: hash denetimi, tek UTC zaman çizelgesi, oturumlar ve bulgu taslağı tarayıcıda.

03Başlamadan önce

  • Başka hiçbir şeyi okumadan önce her dosyayı manifest.txt ile doğrulayın ve sonucu inceleme günlüğünüze yazın.
  • Dışarı aldığınız her zamanın yanına zaman esasını yazın. Güvenlik duvarı günlüğü yerel saattir ve bir oturumun BİTİŞİNİ kaydeder; görev dosyası farksız yazılmış yerel saattir.
  • Göz kararı değil, süzgeçle sayın. Her sayının yanına kullandığınız süzgeci yazın.
  • Kullanıcının değiştirebildiği bir zaman damgası bir iddiadır. Ona dayanmadan önce kullanıcının değiştiremediği bir zamanla karşılaştırın.

Notlarınızı şu formlarda tutun: F-02 Delil kabul formu ve F-04 İnceleme günlüğü.

04Sorular

Yalnızca dosyalardan cevaplayın. Her cevap bu tarayıcıda kontrol edilir ve hiçbir yere gönderilmez; cevaplarınız siz temizleyene kadar bu cihazda kalır. 16 soru, 28 puan.

  1. S011 puansecurity-events.csvmanifest.txt

    8 onaltılık karakter

  2. S022 puansecurity-events.csv

    Tam sayı

  3. S032 puansecurity-events.csv

    YYYY-AA-GG SS:DD:ss, UTC

  4. S041 puansecurity-events.csv

    Yazıldığı gibi onaltılık değer, örneğin 0x1A2B3C

  5. S052 puansecurity-events.csv

    203.0.113.77 adresinden gelen her başarısız deneme oturum türü 3'tür; oysa saldırgan uzak masaüstünü deniyordu. Neden?

  6. S061 puansecurity-events.csvsysmon-events.csv

    Hesap adı

  7. S071 puanWinSvcUpdate.xml

    Tam bir Windows yolu

  8. S082 puanWinSvcUpdate.xmlsecurity-events.csvmft-excerpt.csv

    YYYY-AA-GG SS:DD:ss, UTC

  9. S092 puanmft-excerpt.csv

    YYYY-AA-GG SS:DD:ss, UTC

  10. S102 puanmft-excerpt.csvsysmon-events.csv

    rclone.exe'nin $STANDARD_INFORMATION oluşturulma zamanı 2021'de, $FILE_NAME oluşturulma zamanı Mayıs 2026'dadır. Dosyalar hangi okumayı destekler?

  11. S112 puanfirewall-outbound.csv

    Tam sayı

  12. S122 puanfirewall-outbound.csv

    Tam sayı, MB

  13. S132 puansecurity-events.csvsysmon-events.csv

    YYYY-AA-GG SS:DD:ss, UTC

  14. S142 puansysmon-events.csvWinSvcUpdate.xmlfirewall-outbound.csv

    YYYY-AA-GG SS:DD:ss, UTC

  15. S152 puansecurity-events.csvsysmon-events.csv

    svc.backup her gece 22:00'de de oturum açar. Bu oturumları saldırıdan ayıran nedir?

  16. S162 puansecurity-events.csvsysmon-events.csvfirewall-outbound.csvmft-excerpt.csvWinSvcUpdate.xml

    İnceleyen kişi yalnızca bu dosyalara dayanarak hangi cümleyi imzalayabilir?

Puan 0 / 28

05Bulgunuz

Son adım: üç denetim sorusunu bir bulgu olarak cevaplayan tek bir paragraf yazın. Eğitmeniniz bunu dört ölçüte göre değerlendirir:

  • Her zaman kendi esasını taşır; güvenlik duvarı zamanları yerel oturum sonundan UTC'ye çevrilir.
  • Eylemler yalnızca bir hesaba değil, bir oturum kimliğine bağlanır; yedek işi saldırının dışında tutulur.
  • Geriye çekilmiş oluşturulma zamanı fark edilir; araçların gelişi $FILE_NAME ve Sysmon'a göre tarihlendirilir.
  • Rapor gönderilen hacmi birimi ve kaynağıyla verir; içeriğin ve klavye başındaki kişinin gösterilmediğini söyler.
  • Rapor, kalıcılığın hâlâ etkin olduğunu söyler; görevi, hesabı ve bağlandığı adresi adlandırır.

Bulgular nasıl ifade edilir →

İrtibat ve hizmet talepleri

Bu sayfayla ilgili inceleme hizmeti, bilirkişilere destek ve iş birliği için irtibat kurun. Lütfen e-postaya delil dosyası ya da kişisel veri eklemeyin.

İrtibat sayfası →