ZEKASTRA

VP-01 · Eğitmen notları

Windows triyajı: Cumartesi günü bordro istasyonu

Paketi bir grupla yürütmek için gereken her şey: 90 dakikalık bir plan, her sorunun cevabı ile nerede bulunduğu ve olağan hata, cevapların kurduğu kronoloji, puanlama ve kapanışta vurgulanacak noktalar.

Bu sayfa cevapları içerir. Katılımcılar önce paket sayfasından çalışmalıdır.

01Oturum planı

DakikaBölümNe yapılır
0–10Brifing ve kurallarSenaryoyu yüksek sesle okuyun. Cevapların çoğunu belirleyen üç kuralı söyleyin: önce bütünlük, baştan sona UTC, hesaplar kişi değildir.
10–20Bütünlük ve zaman esası (S1–S2)Herkes dosyaları hash'ler ve sonucu bir inceleme günlüğüne yazar. Kimse bir olayı okumadan saat dilimini birlikte netleştirin.
20–45Oturum ve cihaz (S3–S7)Çiftler olay günlükleri ve kayıt defteri üzerinde çalışır. Sınıfı dolaşın ve her cevabın arkasındaki dosyayı ve satırı sorun.
45–65Program ve dosya (S8–S11)Prefetch ve LNK dosyaları. S10'daki E: tuzağı asıl öğretim anıdır; tartışmadan önce çiftlerin tuzağa düşmesine izin verin.
65–75Bulgu ve güven (S12)Her katılımcı kendi sözcükleriyle bir bulgu paragrafı yazar, ardından S12'yi cevaplar.
75–90DeğerlendirmeKatılımcıların cevaplarından kronolojiyi tahtada kurun ve aşağıdaki değerlendirme noktalarını işleyin.

Malzemeler: her katılımcının bilgisayarında paket dosyaları, paket sayfasından yazdırılmış bir çalışma kağıdı ve bir inceleme günlüğü formu. Paket sayfası →

02Cevap anahtarı

  1. S011 puan

    prefetch.csv dosyasının SHA-256 değerini hesaplayın ve manifest.txt ile karşılaştırın. İlk sekiz onaltılık karakteri girin.

    Cevap43689920

    Değer 43689920 ile başlar ve bildirimle eşleşir. Asıl mesele alışkanlıktır: alınan her dosyayı okumadan önce hash'leyin ve sonucu inceleme günlüğüne kaydedin. Bir uyuşmazlık kaydedilir ve bildirilir, asla sessizce düzeltilmez.

    Nerede
    manifest.txt, prefetch.csv satırı; hash aracıyla ya da sha256sum ile yeniden hesaplayın.
    Olağan hata
    Bir hesap tablosu programının açıp yeniden kaydettiği kopyayı hash'lemek: satır sonları değişir, hash de değişir.

    Hash hesaplayıcıF-04 İnceleme günlüğüSOP-02 Delil kabul ve kayıt

  2. S021 puan

    İş istasyonunun 14 Mart 2026'da UTC'ye göre farkı neydi?

    CevapC — UTC+3

    TimeZoneInformation, Bias −180 değerini ve Turkey Standard Time anahtar adını tutar. Windows UTC'yi yerel saat + Bias (dakika) olarak tanımlar; dolayısıyla yerel saat UTC + 3 saattir. Türkiye 2016'dan beri sabit UTC+3 kullanır; mart ayında yaz saati değişikliği uygulanmaz.

    Nerede
    registry-excerpt.txt, [ControlSet001\Control\TimeZoneInformation].
    Olağan hata
    −180'i UTC−3 olarak okumak. Bias'ın işareti, alışılmış ±fark gösteriminin tersidir.

    Yerel saatten UTC'ye

  3. S031 puan

    14 Mart Cumartesi günkü ilk başarılı etkileşimli oturum açma ne zaman gerçekleşti? Zamanı UTC olarak verin.

    Cevap2026-03-14 06:41:07 UTC

    d.aydin için oturum türü 2 olan Security 4624, 06:41:07 UTC (yerel 09:41:07), oturum kimliği 0x3E7A1F2. 06:38:41'deki 4624 kayıtları, her açılışın ürettiği SYSTEM, LOCAL SERVICE ve NETWORK SERVICE tür 5 hizmet oturumlarıdır; 06:40:51'deki 4625 başarısız bir denemedir.

    Nerede
    security-events.csv, 2026-03-14 tarihli, LogonType 2 olan 4624 satırı.
    Olağan hata
    Günün ilk 4624'ünü (06:38:41, tür 5) almak ya da yerel saati fark belirtmeden vermek.

    Windows XML Olay Günlüğü (EVTX)

  4. S041 puan

    Bu oturum açmadan on altı saniye önce aynı hesap için alt durumu 0xC000006A olan bir 4625 var. Neyi destekler?

    CevapB — d.aydin için bir kez yanlış parola, ardından doğrusu girildi; tek başına başka bir kişiye işaret etmez.

    0xC000006A, kullanıcı adının geçerli, parolanın yanlış olduğunu gösterir. Aynı konsolda (tür 2, kaynak 127.0.0.1) bir başarısızlığın ardından gelen başarı, yanlış yazılmış bir parolanın olağan görünümüdür. Kaydedin; kimin yazdığı hakkında bir şey söylemez. Hesap kilitleme olayı (4740) yoktur ve 127.0.0.1'den tür 2 uzak değil, yereldir.

    Nerede
    security-events.csv, 06:40:51'deki 4625 satırı.
    Olağan hata
    Tek bir başarısız oturum açmayı izinsiz giriş denemesi olarak okumak.

    Windows XML Olay Günlüğü (EVTX)

  5. S051 puan

    Cumartesi günü hangi taşınabilir depolama cihazı takıldı? Seri numarasını girin.

    Cevap60A44C3FAE3BF2A1B9C0

    06:58:44 UTC'deki Partition/Diagnostic 1006, seri numarası 60A44C3FAE3BF2A1B9C0 olan bir Kingston DataTraveler 3.0 kaydeder; USBSTOR son takılma özelliği (0066) aynı saniyeyi verir. SanDisk en son 13 Mart Cuma günü takılmıştır. USBSTOR anahtarındaki &0 eki seri numarasının parçası değil, Windows'un örnek numarasıdır.

    Nerede
    partition-diagnostic.csv, 2026-03-14 06:58:44'teki 1006 satırı; registry-excerpt.txt, USBSTOR.
    Olağan hata
    E: olarak da göründüğü için SanDisk'i seçmek.

    USB aygıt geçmişi (USBSTOR, USB, MountedDevices, setupapi.dev.log)

  6. S061 puan

    Cumartesi, bu cihazın PAY-WS03'e ilk takıldığı gün müydü?

    CevapB — Hayır: kayıt defteri 3 Kasım 2025'te bir ilk kurulum kaydediyor.

    USBSTOR özelliği 0064 (ilk kurulum) 2025-11-03 13:05:11 UTC'dir. Partition/Diagnostic alıntısı 2 Mart 2026'da başlar; önceki tarihler hakkındaki sessizliği olumsuz bir bulgu değil, saklama süresi sınırıdır. 2025-11-03 13:07:02'de 4A1C-90E2 birimindeki E:\yedek için oluşturulan yedek.lnk kısayolu da bununla uyuşur.

    Nerede
    registry-excerpt.txt, Kingston USBSTOR özelliği 0064; lnk-files.csv, yedek.lnk.
    Olağan hata
    Saklama süresi sınırlı bir günlükte kaydın yokluğunu, hiçbir şey olmadığının kanıtı saymak.

    USB aygıt geçmişi (USBSTOR, USB, MountedDevices, setupapi.dev.log)LNK kısayol dosyaları

  7. S071 puan

    Kingston birimini yalnızca bilgisayara değil, d.aydin kullanıcı profiline bağlayan kayıt hangisidir?

    CevapB — d.aydin'in NTUSER.DAT dosyasındaki MountPoints2 anahtarı

    SYSTEM ve olay günlükleri makine geneline aittir: cihazı bilgisayara yerleştirir. MountPoints2 ise kullanıcının kendi hive'ındadır. MountedDevices'ın Kingston'a eşlediği {6c1f0d2e…} birimine ait anahtar, takılmadan iki saniye sonra, d.aydin oturumu açıkken 06:58:46 UTC'de son kez yazılmıştır; t.kaya'nın hive'ında bu birim için kayıt yoktur. d.aydin'in Recent klasöründeki LNK dosyaları da aynı yönü gösterir.

    Nerede
    registry-excerpt.txt, d.aydin'in NTUSER.DAT'ı, MountPoints2; birim GUID'i için MountedDevices.
    Olağan hata
    USBSTOR'u seçmek: cihazı tanımlar ama kullanıcı profilini tanımlamaz.

    USB aygıt geçmişi (USBSTOR, USB, MountedDevices, setupapi.dev.log)

  8. S081 puan

    Prefetch'e göre 7ZG.EXE bu iş istasyonunda kaç kez çalıştı?

    Cevap2

    RunCount 2: son çalışma 07:22:15 UTC, önceki çalışma 07:19:48 UTC. 7ZG.EXE, Arşive ekle işleminin arkasındaki 7-Zip bileşenidir; dosya yöneticisi 7ZFM.EXE, 07:18:02'de bir kez çalıştı. Prefetch zamanları program başladıktan birkaç saniye sonra yazılır; yaklaşık on saniyelik pay bırakın. 7-Zip, Cumartesi'den çok önce, 1 Aralık 2025'te kurulmuştur (7Z2409-X64.EXE).

    Nerede
    prefetch.csv, 7ZG.EXE satırı.
    Olağan hata
    Kurulum dosyasının ya da 7ZFM.EXE'nin çalışma sayısını bildirmek.

    Prefetch dosyaları

  9. S091 puan

    Cumartesi günü oluşturulan arşivin tam yolu nedir?

    CevapE:\yedek\bordro-2026-Q1.7z

    bordro-2026-Q1.7z.lnk, E:\yedek\bordro-2026-Q1.7z hedefini gösterir: hedef 07:19:52 UTC'de oluşturulmuş, 07:22:38 UTC'de değiştirilmiştir; bu iki 7ZG.EXE çalışmasıyla örtüşür. 7ZG.EXE'nin prefetch kaydı, seri numarası 4A1C-90E2 olan birimde \YEDEK\BORDRO-2026-Q1.7Z dosyasına başvurur.

    Nerede
    lnk-files.csv, bordro-2026-Q1.7z.lnk satırı, LocalPath.
    Olağan hata
    Arşiv yerine C: üzerindeki bordro çalışma kitabının yolunu vermek.

    LNK kısayol dosyalarıPrefetch dosyaları

  10. S101 puan

    Arşivin yolu E: ile başlıyor. Arşivin SanDisk'te değil Kingston'da olduğunu hangi değer gösterir?

    CevapB — Birim seri numarası 4A1C-90E2

    İki cihaz da farklı günlerde E: harfini aldı: Cuma günkü ekip-listesi.xlsx de 1E07-5B3C biriminde, E:\ üzerindedir. LNK'deki birim seri numarası (4A1C-90E2), Partition/Diagnostic'in 06:58:44'te Kingston'ın önyükleme kesiminden okuduğu seri numarasıyla ve 7ZG.EXE prefetch kaydındaki birimle eşleşir. Sürücü harfleri yeniden atanır; etiket ise herkesin değiştirebileceği bir addır.

    Nerede
    lnk-files.csv VolumeSerialNumber; partition-diagnostic.csv VbrVolumeSerial; prefetch.csv Volumes.
    Olağan hata
    Sürücü harfine ya da etikete dayanmak.

    LNK kısayol dosyalarıUSB aygıt geçmişi (USBSTOR, USB, MountedDevices, setupapi.dev.log)

  11. S111 puan

    Kingston en son ne zaman çıkarıldı? Zamanı UTC olarak verin.

    Cevap2026-03-14 07:31:02 UTC

    USBSTOR özelliği 0067 ve 1006 çıkarma kaydı (kapasite 0), 07:31:02 UTC'de (yerel 10:31:02) uyuşur: arşivin son değiştirilmesinden yaklaşık sekiz dakika sonra, iş istasyonunun 07:35:10'da kilitlenmesinden dört dakika önce.

    Nerede
    registry-excerpt.txt, Kingston USBSTOR özelliği 0067; partition-diagnostic.csv, kapasitesi 0 olan satır.
    Olağan hata
    Kapanma zamanını ya da farkı belirtmeden 10:31:02'yi vermek.

    USB aygıt geçmişi (USBSTOR, USB, MountedDevices, setupapi.dev.log)

  12. S123 puan

    Hangi ifadeyi, doğru güven düzeyiyle bir bulgu olarak imzalayabilirsiniz?

    CevapB — d.aydin hesabı etkileşimli oturumdayken, Kingston cihazının (seri 60A44C3FAE3BF2A1B9C0) bir biriminde 7-Zip ile bordro-2026-Q1.7z adlı bir arşiv oluşturuldu. Sağlam. Bu kayıtlar hesabı hangi kişinin kullandığını göstermez.

    b ifadesi, bağımsız kayıtların uyuştuğu şeyle sınırlı kalır: oturum (4624, 4647), program çalıştırma (prefetch), belirli bir birimdeki dosya (LNK birim seri numarası ve 1006 önyükleme kesimi seri numarası) ve cihaz kimliği (USBSTOR, MountPoints2). (a), kayıtların bir hesaba bağladığını bir kişiye bağlar. (c) delilin ötesine geçer: arşivin adı ve 7ZG.EXE'nin yüklediği dosyalar arasındaki çalışma kitabı bunu olası kılar, ancak arşivin kendisi incelenmedi. (d) gereğinden temkinlidir: araç ve sürümü kaydedildiğinde ayrıştırıcı çıktısı meşru bir çalışma kopyasıdır; durmak için bir neden değil, belirtilmesi gereken bir sınırlılıktır.

    Nerede
    Tüm dosyalar; aşağıdaki kronolojiye bakın.
    Olağan hata
    (a)'yı seçmek: gerçek raporlardaki en yaygın hata.

    SOP-09 Raporlama ve akran incelemesi

03Kurulan kronoloji

Doğru cevapların kurduğu haliyle 14 Mart 2026 Cumartesi. Yerel saat UTC+3'tür.

UTCYerelOlayKaynak
06:38:1209:38:12İşletim sistemi başladı (System 12)system-events.csv
06:40:5109:40:51d.aydin için başarısız oturum açma, yanlış parola (4625, 0xC000006A)security-events.csv
06:41:0709:41:07d.aydin etkileşimli oturum açma, oturum kimliği 0x3E7A1F2 (4624, tür 2)security-events.csv
06:58:4409:58:44Kingston DataTraveler 3.0 takıldı, birim seri numarası 4A1C-90E2 (1006; USBSTOR 0066)partition-diagnostic.csv
06:58:4609:58:46Kingston birimine ait MountPoints2 anahtarı d.aydin'in hive'ına yazıldıregistry-excerpt.txt
07:03:3010:03:30EXCEL.EXE son çalışma; bordro-2026-Q1.xlsx açıldı (LNK hedefine erişim)prefetch.csv
07:18:0210:18:027ZFM.EXE (7-Zip dosya yöneticisi) çalıştı, tek çalışmasıprefetch.csv
07:19:4810:19:487ZG.EXE ilk çalışma; E:\yedek\bordro-2026-Q1.7z 07:19:52'de oluşturulduprefetch.csv
07:22:1510:22:157ZG.EXE ikinci çalışma; arşiv 07:22:38'de değiştirildiprefetch.csv
07:22:4010:22:40bordro-2026-Q1.7z.lnk, d.aydin'in Recent klasöründe oluşturuldu (arşiv açıldı)lnk-files.csv
07:31:0210:31:02Kingston çıkarıldı (1006 kapasite 0; USBSTOR 0067)partition-diagnostic.csv
07:35:1010:35:10İş istasyonu kilitlendi (4800); 07:39:52'de kilit açıldı (4801)security-events.csv
07:44:0510:44:05d.aydin oturumu kapattı (4647); kapatma 07:44:20'de başlatıldı (System 1074)security-events.csv

04Puanlama

1–11. sorular birer puan, 12. soru üç puan değerindedir: toplam 14 puan. Bulgu paragrafı puanla değerlendirilmez; aşağıdaki dört ölçüte göre işaretleyin ve değerlendirmede tartışın.

PuanSonraki adım
12–14Sağlam. Bir sonraki pakete ya da gerçek bir raporun gözetimli incelemesine geçin.
8–11Kaçırılan her soruyu açıklaması ve bağlantılı kütüphane kaydıyla gözden geçirin, sonra o soruları yeniden deneyin.
0–7Önce müfredatın zaman ve Windows artefaktları modüllerini çalışın, sonra paketi tekrarlayın.

Bulgu paragrafı: ölçütler

  • ☐ Her zaman UTC'dedir ya da farkını taşır.
  • ☐ Paragraf, eylemi yapan olarak bir kişiyi değil, hesabı adlandırır.
  • ☐ Her iddia, onu destekleyen kaydı adlandırır.
  • ☐ Sınırlılıklar belirtilir: arşiv içeriği incelenmedi; hesabın arkasındaki kişi gösterilmedi.

05Değerlendirme

  1. Bütünlük okumadan önce gelir. Analizden sonra kontrol edilen bir hash hiçbir şeyi korumaz.
  2. Bias −180, UTC+3 demektir. UTC'yi, yerel saat parantez içinde olacak şekilde yazın; yerel saati asla tek başına yazmayın.
  3. Sürücü harfleri yeniden atanır. Kimliği cihaz seri numaraları ve birim seri numaraları taşır.
  4. Döngüsel bir günlükte kaydın yokluğu, hiçbir şey olmadığının kanıtı değildir.
  5. Kayıtlar eylemleri hesaplara bağlar; incelemediğiniz içerik bir bulgu değildir.

06Örnek bulgu

14 Mart 2026'da 06:41:07 ile 07:44:05 UTC arasında (yerel 09:41–10:44), KESTREL\d.aydin hesabı PAY-WS03 üzerinde etkileşimli bir oturum açık tuttu (Security 4624 tür 2, 4647). Bu oturum sırasında seri numarası 60A44C3FAE3BF2A1B9C0 olan bir Kingston DataTraveler 3.0, 06:58:44'te takıldı ve 07:31:02'de çıkarıldı (Partition/Diagnostic 1006; USBSTOR 0066/0067); seri numarası 4A1C-90E2 olan birimi d.aydin'in profiline bağlandı (MountPoints2). 7-Zip'in 7ZG.EXE bileşeni 07:19:48 ve 07:22:15'te çalıştı (prefetch); 4A1C-90E2 birimindeki E:\yedek\bordro-2026-Q1.7z dosyası 07:19:52'de oluşturuldu ve 07:22:38'de değiştirildi (LNK). Bunları sağlam olarak belirtiyoruz. Arşivin kendisi elde olmadığından içeriği belirtilmemiştir; adı ve 7ZG.EXE'nin yüklediği dosyalar arasında çalışma kitabının bulunması nedeniyle 1. çeyrek bordro çalışma kitabını içermesi olasıdır. Kayıtlar bu etkinliği hesaba bağlar; hesabı hangi kişinin kullandığını göstermez.

Rapor anatomisi ve güven ölçeği →