ZEKASTRA

VP-01 · Bilgisayar ve disk incelemesi

Windows triyajı: Cumartesi günü bordro istasyonu

Bir Windows 11 iş istasyonunun triyaj toplamasından yedi dosya: olay günlükleri, Partition/Diagnostic, prefetch, LNK dosyaları ve kayıt defteri alıntıları. On iki soru, dosya bütünlüğü ve zaman esasından imzalayabileceğiniz bir bulguya kadar ilerler.

Sentetik eğitim verisi. Kuruluş, kişiler, cihazlar, seri numaraları ve zamanlar uydurmadır.

01Brifing

Kestrel Lojistik hafta sonları ofisini kapatır. Bordro iş istasyonu PAY-WS03, Windows 11 çalıştırır ve şirket etki alanına bağlıdır. Bordro uzmanının hesabı d.aydin'dir. 16 Mart 2026 Pazartesi günü bir BT teknisyeni (t.kaya hesabı) iş istasyonundan triyaj toplaması aldı, hash'ledi ve iç denetimin talebiyle birlikte size teslim etti.

İç denetim soruyor:

  1. PAY-WS03, 14 Mart 2026 Cumartesi günü kullanıldı mı; kullanıldıysa ne zaman?
  2. Hangi hesapla?
  3. Bordro verisi taşınabilir bellekle iş istasyonundan çıktı mı?

Elinizde toplamanın ham artefaktları değil, ayrıştırıcı çıktısı var; iş istasyonuna, ağ günlüklerine ya da USB cihazlarına erişiminiz yok. Her zamanı UTC olarak yazın; okura yardımcı olacaksa yerel saati parantez içinde ekleyin.

02Delil dosyaları

DosyaİçerikSHA-256
README.txtSenaryo ve dosya listesiİngilizce ve Türkçe brifing ve her dosyanın ne olduğu.1c166e8abe591dabd4152879d779caff95ea2f0f559f4992ab600ca2af719d9e
security-events.csvSecurity olay günlüğü13–16 Mart arası oturum açma, kapama, kilitleme ve kilit açma olayları. Windows XML Olay Günlüğü (EVTX) →032b9aba7c9f15abf59a2f90bfdc875bed1a6bdd15e11204ab2a823e50f4b89d
system-events.csvSystem olay günlüğüAçılışlar, kapanışlar ve olay günlüğü hizmeti. Windows XML Olay Günlüğü (EVTX) →78e12855f708c2a2fbafdae7ee1af7d8b3f9009bd6bf3fc56bb4b9efea7dd09b
partition-diagnostic.csvPartition/Diagnostic 1006Seri numarası ve önyükleme kesiminden okunan birim seri numarasıyla depolama cihazı takılma ve çıkarılmaları. USB aygıt geçmişi (USBSTOR, USB, MountedDevices, setupapi.dev.log) →80bdf633970e3e39871774c9d43aa9bf718707052dc1dbb0d01224089de8e8c5
prefetch.csvPrefetchÇalışma sayıları, son çalışma zamanları, birimler ve her programın yüklediği dosyalardan bir alıntı. Prefetch dosyaları →43689920491fa4166a5f4217aca1d7b0f922786395e2c99d4e9d59df2d27b2b2
lnk-files.csvLNK dosyalarıd.aydin'in Recent klasöründeki kısayollar; hedef zamanları, sürücü türü, birim seri numarası ve etiketiyle. LNK kısayol dosyaları →cd3751afc912ac3aad4f9a4991c1e37c9cd6e2e17781dbda71b0e982c72ae479
registry-excerpt.txtKayıt defteri alıntılarıSaat dilimi, USBSTOR, MountedDevices, Portable Devices ve MountPoints2. USB aygıt geçmişi (USBSTOR, USB, MountedDevices, setupapi.dev.log) →39b88985607648efac68d38b0f5b1c3818255f5ed618bac5e34b6b0e4da00155
manifest.txtHash bildirimiYukarıdaki her dosyanın SHA-256 değeri. Başlamadan önce doğrulayın.(bildirimin kendisi)

Yukarıdaki hash değerleri manifest.txt'den kopyalanmıştır. Bunları kendiniz yeniden hesaplayın, örneğin hash aracıyla ya da sha256sum ile.

03Başlamadan önce

  • Başka hiçbir şeyi okumadan önce her dosyayı manifest.txt ile doğrulayın ve sonucu inceleme günlüğünüze yazın.
  • Kopyalar üzerinde çalışın. Bir CSV'yi yeniden kaydeden hesap tablosu programı hash değerini değiştirir.
  • Dosyalardaki her zaman UTC'dir. Herhangi bir şeyi yerel saate çevirmeden önce iş istasyonunun saat dilimini belirleyin.
  • Kayıtlar eylemleri kişilere değil, hesaplara ve cihazlara bağlar. Her cevapta ikisini ayrı tutun.
  • Her cevabı hangi dosyanın hangi satırının desteklediğini not edin; eğitmen soracaktır.

Notlarınızı tutmak için F-02 Delil kabul formu ve F-04 İnceleme günlüğükullanın.

04Sorular

Yalnızca dosyalardan cevaplayın. Her cevap bu tarayıcıda kontrol edilir; hiçbir şey bir yere gönderilmez ve cevaplarınız siz temizleyene kadar bu cihazda tutulur. 12 soru, 14 puan.

  1. S011 puanprefetch.csvmanifest.txt

    8 onaltılık karakter, örn. 1a2b3c4d

  2. S021 puanregistry-excerpt.txt

    İş istasyonunun 14 Mart 2026'da UTC'ye göre farkı neydi?

  3. S031 puansecurity-events.csv

    Saniyesine kadar UTC, örn. 2026-03-14 06:00:00Z (+03:00 gibi bir fark dönüştürülür)

  4. S041 puansecurity-events.csv

    Bu oturum açmadan on altı saniye önce aynı hesap için alt durumu 0xC000006A olan bir 4625 var. Neyi destekler?

  5. S051 puanpartition-diagnostic.csvregistry-excerpt.txt

    Kayıtlı haliyle seri numarası

  6. S061 puanregistry-excerpt.txtpartition-diagnostic.csvlnk-files.csv

    Cumartesi, bu cihazın PAY-WS03'e ilk takıldığı gün müydü?

  7. S071 puanregistry-excerpt.txt

    Kingston birimini yalnızca bilgisayara değil, d.aydin kullanıcı profiline bağlayan kayıt hangisidir?

  8. S081 puanprefetch.csv

    Tam sayı

  9. S091 puanlnk-files.csvprefetch.csv

    Bir Windows yolu, örn. X:\klasor\dosya.uzanti

  10. S101 puanlnk-files.csvpartition-diagnostic.csvprefetch.csv

    Arşivin yolu E: ile başlıyor. Arşivin SanDisk'te değil Kingston'da olduğunu hangi değer gösterir?

  11. S111 puanregistry-excerpt.txtpartition-diagnostic.csv

    Saniyesine kadar UTC, örn. 2026-03-14 06:00:00Z

  12. S123 puan

    Hangi ifadeyi, doğru güven düzeyiyle bir bulgu olarak imzalayabilirsiniz?

Puan 0 / 14

05Bulgunuz

Son adım: üç denetim sorusunu bir bulgu olarak cevaplayan tek bir paragraf yazın. Eğitmeniniz bunu dört ölçüte göre değerlendirir:

  • Her zaman UTC'dedir ya da farkını taşır.
  • Paragraf, eylemi yapan olarak bir kişiyi değil, hesabı adlandırır.
  • Her iddia, onu destekleyen kaydı adlandırır.
  • Sınırlılıklar belirtilir: arşiv içeriği incelenmedi; hesabın arkasındaki kişi gösterilmedi.

Bulgular nasıl ifade edilir →