VP-05 Eğitmen Notları — Dosya sunucusuna RDP saldırısı: kalıcılık, dışarı çıkan veri, silinen günlük

01Oturum planı

Dakika	Bölüm	Ne yapılır
0–15	Brifing, kurallar ve bütünlük (S01)	Senaryoyu ve export-metadata.txt dosyasını birlikte okuyun. Kimse bir CSV açmadan önce her dosyanın zaman esasını tahtaya yazın.
15–45	Gürültü ve giriş yolu (S02–S05)	Süzün, sayın, sonra ilk başarıyı bulun. NLA'yı ve buradaki tür 3 başarısızlığın neden uzak masaüstüne ait olduğunu tartışın.
45–80	Oturumun içinde (S06–S10)	0x5A1F3C2 oturum kimliği üzerinden Security ile Sysmon arasında geçiş yapın. İki NTFS zaman damgasına ve kayıt değişikliği zamanına zaman ayırın.
80–115	Dışarı çıkan veri ve silinen günlük (S11–S14)	Güvenlik duvarı zamanlarını (yerel, oturum sonu) UTC başlangıçlarına çevirin. Baytları birimini belirterek toplayın. İletilmiş kopyanın silmeden etkilenmediğini gösterin.
115–150	İlişkilendirme ve imzalanan cümle (S15–S16)	Yedek işini saldırıdan oturum kimliğiyle ayırın. Her katılımcı bulguyu yazar, sonra c cümlesi ve örnek bulguyla karşılaştırır.

Malzemeler: her katılımcının bilgisayarında paket dosyaları, paket sayfasından yazdırılmış bir çalışma kâğıdı ve bir inceleme günlüğü formu. Paket sayfası →

02Cevap anahtarı

S011 puan
security-events.csv dosyasının bir kopyası üzerinde SHA-256 değerini hesaplayın, manifest.txt ile karşılaştırın ve ilk sekiz onaltılık karakteri girin.
Cevap44cd2351
Ön ek, bildirim satırıyla eşleşir. 350 KB'lık bir CSV, bir elektronik tabloda açılıp kaydedilmeye en yatkın dosyadır; hash'i önce, imzalamadan önce de bir kez daha denetleyin.
Nerede
manifest.txt, security-events.csv satırı.
Olağan hata
Dosyayı bir elektronik tablo uygulamasında açıp kaydettikten sonra hash'lemek.
Hash hesaplayıcı F-04 İnceleme günlüğü SOP-02 Delil kabul ve kayıt
S022 puan
security-events.csv, 203.0.113.77 adresinden kaç başarısız oturum açma (4625 olayı) içerir?
Cevap1677
EventId = 4625 ve IpAddress = 203.0.113.77 süzgeciyle sayın. Denemeler 20:02:11 ile 23:40:55 UTC arasında, beş ila on saniyede bir yapılır. Başka iki adres de bütün pencere boyunca parola dener; bunlar sayılmaz.
Nerede
security-events.csv, EventId ve IpAddress sütunları.
Olağan hata
Dosyadaki bütün 4625 olaylarını ya da başarılı olanlar dahil o adresten gelen bütün satırları saymak.
Windows XML Olay Günlüğü (EVTX)
S032 puan
svc.backup hesabı 203.0.113.77 adresinden etkileşimli uzak masaüstü oturumunu (4624, oturum türü 10) ne zaman açtı? Zamanı UTC olarak verin.
Cevap2026-05-08 23:41:09
Ağ Düzeyinde Kimlik Doğrulama (NLA) açıkken istemci önce kimliğini doğrular; bu, 23:41:07'de tür 3 bir 4624 yazar. Masaüstü oturumu iki saniye sonra tür 10 olarak gelir. Uzak masaüstü oturumunu gösteren olay tür 10 olandır.
Nerede
security-events.csv, svc.backup için 4624 satırları.
Olağan hata
23:41:07'deki tür 3 oturumu ya da aynı hesabın gece yedeği olan 22:00:03 oturumunu vermek.
Windows XML Olay Günlüğü (EVTX)
S041 puan
O tür 10 oturumun oturum kimliği (TargetLogonId) nedir? Paketteki sonraki her adım buna bağlanır.
Cevap0x5a1f3c2
0x5A1F3C2, 23:41:09'dan 01:09:31'deki oturum kapatmaya kadar süren oturumdur. Hesap oluşturma, grup değişikliği, görev oluşturma ve günlük silme olaylarında SubjectLogonId, saldırıya ait her Sysmon işleminde LogonId olarak görünür.
Nerede
security-events.csv, 23:41:09 satırındaki 4624; sonra sonraki satırlarda SubjectLogonId.
Olağan hata
Yarım saniye sonra kapanan tür 3 NLA oturumunun kimliğini (0x5A1F2E9) kullanmak.
Windows XML Olay Günlüğü (EVTX)
S052 puan
203.0.113.77 adresinden gelen her başarısız deneme oturum türü 3'tür; oysa saldırgan uzak masaüstünü deniyordu. Neden?
CevapB — Ağ Düzeyinde Kimlik Doğrulama açıkken kimlik bilgileri masaüstü oturumu oluşmadan denetlenir; bu yüzden başarısızlıklar ağ oturumu olarak kaydedilir. Yalnızca kurulan bir oturum tür 10 olur.
Ağ Düzeyinde Kimlik Doğrulama, kimlik denetimini oturumun önüne alır. TCP 3389 için açılan güvenlik duvarı kuralı ve ilk başarıdan hemen sonra gelen tür 10 oturum, denemeleri dosya paylaşımına değil uzak masaüstüne bağlar.
Nerede
security-events.csv, 203.0.113.77'den gelen 4625 satırları ve 23:41:07 ile 23:41:09'daki iki 4624 satırı.
Olağan hata
Oturum türü 3'ü SMB'nin kanıtı saymak.
S061 puan
0x5A1F3C2 oturumunda hangi hesap oluşturuldu ve yerel Administrators grubuna eklendi?
Cevapdestek
00:05:13'teki 4720 olayı destek hesabını oluşturur, 00:05:41'deki 4732 onu Administrators grubuna ekler; ikisinde de SubjectLogonId 0x5A1F3C2'dir. Sysmon iki net.exe komutunu yarım saniye önce gösterir; birincisinin komut satırında yeni parola yazılıdır. Bu yüzden komut satırları raporda hassas veri olarak işlenir.
Nerede
security-events.csv, 4720 ve 4732; sysmon-events.csv, 00:05:12 ve 00:05:40'taki net.exe.
Olağan hata
Değişikliği yapan hesabı, svc.backup'ı cevap vermek.
Windows XML Olay Günlüğü (EVTX)
S071 puan
WinSvcUpdate zamanlanmış görevi hangi programı çalıştırır? Tam yolu verin.
Cevapc:\programdata\rc\svcupd.exe
Exec eylemi C:\ProgramData\rc\svcupd.exe programını S-1-5-18, yani SYSTEM hesabıyla çalıştırır. Görev, Windows görevine benzesin diye seçilmiş \Microsoft\Windows\Maintenance klasöründedir.
Nerede
WinSvcUpdate.xml, Actions/Exec/Command ve Principal/UserId.
Olağan hata
Komut yerine görev adını ya da URI'yi vermek.
Zamanlanmış görevler
S082 puan
Görev dosyası kayıt tarihini tutar. Bu tarihi UTC'ye çevirin.
Cevap2026-05-09 00:09:03
RegistrationInfo/Date değeri 2026-05-09T03:09:03'tür; farksız yazılmış yerel sunucu saatidir. Üç saat çıkarınca 00:09:03 UTC olur; bu, 4698 olayının görev oluşturmayı kaydettiği andan bir saniye öncedir. İki kaynak UTC'ye çevrilince uyuşur.
Nerede
WinSvcUpdate.xml, RegistrationInfo/Date; security-events.csv, 4698; mft-excerpt.csv, aynı saniyede oluşturulan WinSvcUpdate kaydı.
Olağan hata
XML'de fark yazmadığı için 03:09:03'ü UTC diye almak.
Zamanlanmış görevler Yerel saatten UTC'ye
S092 puan
$FILE_NAME özniteliğine göre C:\ProgramData\rc\rclone.exe ne zaman oluşturuldu? UTC.
Cevap2026-05-08 23:56:40
Created0x30 değeri 2026-05-08 23:56:40'tır; tar.exe'nin arşivi açtığı saniye (23:56:40.112'deki Sysmon 11). Created0x10 ise 2021-03-14 07:22:05'tir; bu değer sonradan yazıldı, bir sonraki soruya bakın.
Nerede
mft-excerpt.csv, rclone.exe satırı, Created0x30.
Olağan hata
Çoğu aracın "oluşturulma" diye gösterdiği Created0x10 değerini okumak.
$MFT (NTFS Ana Dosya Tablosu)
S102 puan
rclone.exe'nin $STANDARD_INFORMATION oluşturulma zamanı 2021'de, $FILE_NAME oluşturulma zamanı Mayıs 2026'dadır. Dosyalar hangi okumayı destekler?
CevapC — $STANDARD_INFORMATION zamanı 8 Mayıs'ta geriye çekildi: Sysmon 2 olayı değişikliği 23:58:03'te kaydeder, 0x10 kayıt değişikliği zamanı aynı saniyedir ve bunu yapan PowerShell komutu günlüktedir.
Üç kayıt uyuşur: Sysmon 2, CreationUtcTime değerinin 2026-05-08 23:56:40.112'den 2021-03-14 07:22:05'e değiştiğini gösterir; olağan zaman ayarlama çağrılarının yazmadığı LastRecordChange0x10 değeri 23:58:03'tür; 23:58:02'deki powershell.exe komut satırı tam bu değerleri yerel saatle ayarlar. 2021 değeri, kullanıcının yazdığı bir iddiadır.
Nerede
mft-excerpt.csv, rclone.exe; sysmon-events.csv, 23:58:03'teki 2 olayı ve 23:58:02'deki powershell.exe.
Olağan hata
Bir aracın gelişini Gezgin'de görünen oluşturulma zamanına göre tarihlendirmek.
$MFT (NTFS Ana Dosya Tablosu)
S112 puan
Güvenlik duvarı günlüğü 198.51.100.200 adresine kaç oturum kaydeder?
Cevap45
45 oturum; hepsi 192.0.2.10'dan TCP 443. Sysmon 3 olayı aynı adrese 0x5A1F3C2 oturumundaki rclone.exe'nin bağlandığını gösterir; rclone.conf bu adresi yedek adlı uzak hedefin uç noktası olarak yazar. UTC'ye çevrilince oturumlar 00:14:35'te başlar, sonuncusu 01:04:10'da biter.
Nerede
firewall-outbound.csv, dst_ip.
Olağan hata
Bunun yerine Sysmon 3 satırlarını saymak ya da 203.0.113.77'ye giden oturumları katmak.
S122 puan
Sunucu 198.51.100.200 adresine ne kadar veri gönderdi? Tam megabayt olarak (10^6 bayt, aşağı yuvarlanmış).
Cevap4787
45 oturumun bytes_sent toplamı 4.787.772.858 bayttır, yaklaşık 4,8 GB. Bu, güvenlik duvarında ölçülen bir hacimdir. Hangi dosyaların çıktığını ya da eksiksiz ulaşıp ulaşmadığını söylemez; rclone komut satırları kaynak klasörleri D:\Paylasim\Projeler ve D:\Paylasim\Muhasebe olarak adlandırır ve D: birimi toplanmadı.
Nerede
firewall-outbound.csv, dst_ip 198.51.100.200 için bytes_sent.
Olağan hata
bytes_recv değerini eklemek ya da bunu belirtmeden MB başına 1.048.576 bayt kullanmak.
S132 puan
Sunucunun Security günlüğü ne zaman silindi? UTC.
Cevap2026-05-09 01:07:44
01:07:44'teki 1102 olayı; SubjectUserName svc.backup, SubjectLogonId 0x5A1F3C2. Sysmon aynı saniyede wevtutil.exe cl Security komutunu kaydeder. İletilmiş kopya silmeden önce gönderilen her şeyi korudu; önceki soruların cevaplanabilmesinin nedeni budur.
Nerede
security-events.csv, 1102; sysmon-events.csv, wevtutil.exe.
Olağan hata
Yerel günlüğün ilk olayını saldırının zamanı saymak.
Windows XML Olay Günlüğü (EVTX)
S142 puan
Görev svcupd.exe programını ilk kez ne zaman çalıştırdı? UTC.
Cevap2026-05-09 03:00:00
03:00:00 UTC'deki Sysmon 1 olayı; kullanıcı NT AUTHORITY\SYSTEM, üst işlem svchost.exe. XML'deki tetikleyici her gün yerel saatle 06:00'dır, aynı andır. İki saniye sonra işlem, parolayı deneyen adrese, 203.0.113.77:443'e bağlanır ve 10 Mayıs'ta da aynısını yapar. Hâlâ çalışan bir şey vardır.
Nerede
sysmon-events.csv, svcupd.exe satırları; WinSvcUpdate.xml, StartBoundary; firewall-outbound.csv, 203.0.113.77 oturumları.
Olağan hata
Tetikleyici saati olan 06:00'ı UTC diye vermek.
S152 puan
svc.backup her gece 22:00'de de oturum açar. Bu oturumları saldırıdan ayıran nedir?
CevapC — 22:00 oturumları kaynak adressiz tür 4'tür (toplu iş) ve 192.0.2.40'a yedekci.exe çalıştırır; saldırı 203.0.113.77'den tür 10'dur, kendi oturum kimliği vardır ve içindeki her eylem bu kimliği taşır.
Oturum türü, kaynak adres ve hepsinden önemlisi oturum kimliği ikisini ayırır. Yalnızca hesaba göre ilişkilendirme yedek işini saldırının içine koyar; oturum kimliğine göre ilişkilendirme ikisini ayrı tutar.
Nerede
security-events.csv, svc.backup için 4624 satırları; sysmon-events.csv, LogonId.
Olağan hata
Bir hesabı tek bir aktör saymak.
SOP-08 İnceleme notları ve çalışma kaydı
S162 puan
İnceleyen kişi yalnızca bu dosyalara dayanarak hangi cümleyi imzalayabilir?
CevapC — 203.0.113.77'den 1.677 başarısız denemeden sonra svc.backup, 23:41:09 UTC'de bu adresten bir uzak masaüstü oturumu açtı; bu oturumda destek hesabı oluşturulup yönetici yapıldı, günlük çalışan bir SYSTEM görevi kaydedildi, rclone.exe ile 198.51.100.200'e yaklaşık 4,8 GB gönderildi ve Security günlüğü 01:07:44'te silindi. Görev 9 ve 10 Mayıs'ta çalıştı ve 203.0.113.77'ye bağlandı. Hangi dosyaların çıktığını ve klavyenin başında kimin olduğunu dosyalar göstermez.
c cümlesi her eylemi bir kayda bağlar, sayıları ve zamanları UTC ile verir ve iki sınırı belirtir. a cümlesi dosyaların göstermediği içeriği ve aktörü adlandırır ve iletilmiş kopyanın çürüttüğü tam bir silme iddiasında bulunur. b cümlesi iletilmiş kopyayı ve Sysmon'u yok sayar. d cümlesi güvenlik duvarı günlüğüyle çelişir: yedek trafiği iç ağda kalır ve 198.51.100.200 oturumları tek bir geceye düşer.
Nerede
Beş veri dosyasının tamamı; c cümlesindeki her olgu bunlardan birinden gelir.
Olağan hata
Kayıtların taşıdığı anlatı yerine vakanın düşündürdüğü anlatıyı yazmak.
F-04 İnceleme günlüğü SOP-09 Raporlama ve akran incelemesi

03Kurulan kronoloji

Doğru cevaplarla kurulan zaman çizelgesi. Yerel saat UTC+3'tür.

UTC	Yerel	Olay	Kaynak
20:02:11	23:02:11	203.0.113.77'den ilk başarısız oturum açma. 23:40:55'e kadar 1.677 deneme gelir; çoğu yaygın adlar için, son birkaç yüzü çoğunlukla svc.backup için.	security-events.csv
22:00:03	01:00:03	Gece yedeği: svc.backup, oturum türü 4, oturum kimliği 0x4B1E0A7, 192.0.2.40'a yedekci.exe. Saldırının parçası değildir.	security-events.csv
23:41:09	02:41:09	23:41:07'deki NLA oturumundan sonra svc.backup'ın 203.0.113.77'den uzak masaüstü oturumu; oturum kimliği 0x5A1F3C2.	security-events.csv
23:42:40	02:42:40	Keşif: whoami, net user, net localgroup administrators, nltest, quser, net share.	sysmon-events.csv
23:52:18	02:52:18	certutil.exe 203.0.113.77:80'den r.zip'i indirir; tar.exe 23:56:40'ta rclone.exe, rclone.conf ve svcupd.exe'yi açar.	sysmon-events.csv
23:58:03	02:58:03	rclone.exe ve svcupd.exe'nin oluşturulma zamanları 14 Mart 2021'e çekilir.	sysmon-events.csv
00:05:13	03:05:13	destek hesabı oluşturulur (4720) ve Administrators grubuna eklenir (4732, 00:05:41).	security-events.csv
00:09:04	03:09:04	\Microsoft\Windows\Maintenance\WinSvcUpdate görevi oluşturulur (4698): her gün yerel saatle 06:00'da SYSTEM olarak svcupd.exe.	security-events.csv
00:14:22	03:14:22	rclone.exe önce D:\Paylasim\Projeler, sonra D:\Paylasim\Muhasebe klasörünü 198.51.100.200'e kopyalar; 45 güvenlik duvarı oturumu, 4.787 MB gönderilir, son oturum 01:04:10'da biter.	sysmon-events.csv
01:07:44	04:07:44	Aynı oturumda wevtutil.exe ile Security günlüğü silinir (1102); r.zip 01:06:55'te silinmişti.	security-events.csv
01:09:31	04:09:31	0x5A1F3C2 oturumu kapanır.	security-events.csv
03:00:00	06:00:00	Görev svcupd.exe'yi SYSTEM olarak çalıştırır; işlem 203.0.113.77:443'e bağlanır. 10 Mayıs'ta 03:00'te yine çalışır.	sysmon-events.csv

04Puanlama

1–11. sorular birer puan, 12. soru üç puan değerindedir: toplam 28 puan. Bulgu paragrafı puanla değerlendirilmez; aşağıdaki dört ölçüte göre işaretleyin ve değerlendirmede tartışın.

Puan	Sonraki adım
25–28	Yeterli. Gerçek bir sunucu triyaj toplamasının gözetimli incelemesine geçin.
15–24	Kaçırdığınız her soruyu açıklamasıyla gözden geçirin, sonra oturumu yalnızca 0x5A1F3C2 oturum kimliğinden yeniden kurun.
0–14	Önce VP-01 ve VP-04'ü çalışın, sonra bu paketi İnceleme Masası'nda oturum görünümü açıkken tekrarlayın.

Bulgu paragrafı: ölçütler

Her zaman kendi esasını taşır; güvenlik duvarı zamanları yerel oturum sonundan UTC'ye çevrilir.
Eylemler yalnızca bir hesaba değil, bir oturum kimliğine bağlanır; yedek işi saldırının dışında tutulur.
Geriye çekilmiş oluşturulma zamanı fark edilir; araçların gelişi $FILE_NAME ve Sysmon'a göre tarihlendirilir.
Rapor gönderilen hacmi birimi ve kaynağıyla verir; içeriğin ve klavye başındaki kişinin gösterilmediğini söyler.
Rapor, kalıcılığın hâlâ etkin olduğunu söyler; görevi, hesabı ve bağlandığı adresi adlandırır.

05Değerlendirme

Hacim sinyali gizler. Rapordaki bir sayıyı yeniden üretilebilir kılan, süzgeciyle birlikte yazılmış süzme ve saymadır.
Hesap bir aktör değildir. Bir eylemi tek bir oturuma bağlayan iplik oturum kimliğidir.
Bir günlüğü silmek yalnızca yerel kopyayı kaldırır. İletilmiş olaylar, Sysmon ve dosya sistemi kendi kayıtlarını tutar.
Kullanıcının ayarlayabildiği bir oluşturulma zamanı bir iddiadır. Onu $FILE_NAME, kayıt değişikliği zamanı ve Sysmon 2 olayıyla sınarsınız.

06Örnek bulgu

8 Mayıs 2026'da 20:02:11 ile 23:40:55 UTC arasında 203.0.113.77, MRD-FS01'de 1.677 başarısız oturum açma denemesi yaptı (security-events.csv, iletilmiş kopya). 23:41:09 UTC'de svc.backup hesabı bu adresten bir uzak masaüstü oturumu açtı (oturum kimliği 0x5A1F3C2). Bu oturumda destek adlı yerel hesap oluşturuldu ve Administrators grubuna eklendi (00:05:13 ve 00:05:41); C:\ProgramData\rc\svcupd.exe programını her gün SYSTEM olarak çalıştıran \Microsoft\Windows\Maintenance\WinSvcUpdate görevi kaydedildi (00:09:03); oluşturulma zamanı 2021'e çekilmiş rclone.exe, 00:14:35 ile 01:04:10 UTC arasında 45 oturumda 198.51.100.200 adresine 4.787 MB gönderdi. Sunucudaki Security günlüğü aynı oturumda 01:07:44 UTC'de silindi. Görev 9 ve 10 Mayıs'ta 03:00 UTC'de çalıştı ve her seferinde 203.0.113.77'ye bağlandı; toplama anında etkindi. Dosyalar, ağdan hangi dosyaların çıktığını ve hesabı kimin kullandığını göstermez.

Rapor anatomisi ve güven ölçeği →