Başvuru

Windows olay kimliği rehberi

Bir incelemede en çok önem taşıyan olay günlüğü kayıtları, yanıtladıkları soruya göre gruplanmış hâlde. Her biri için: neyi kaydettiği, ilk okunacak alanlar, hangi olaylarla ilişkilendirileceği ve hangi denetim ayarlarında ya da koşullarda görünmeyeceği.

53olay kimliği
10konu
12oturum türü
6günlük kanalı

Olay kimliği veya anahtar sözcük arayın

Konu

Günlük

53 olayın tümü gösteriliyor.

Oturum türleri (4624, 4625)

LogonType alanı oturumun nasıl oluşturulduğunu gösterir. Bir oturum olayından sonuç çıkarmadan önce bu alanı okuyun.

Tür	Ad	Anlamı
0	Sistem	Yalnızca System hesabı tarafından, örneğin sistem başlangıcında kullanılır.
2	Etkileşimli	Kullanıcı bu bilgisayarda, örneğin konsol klavyesinden oturum açmıştır.
3	Ağ	Bir kullanıcı veya bilgisayar bu bilgisayara ağ üzerinden, örneğin paylaşılan bir klasöre erişmek için oturum açmıştır.
4	Toplu iş	Zamanlanmış görevler gibi, işlemlerin kullanıcının doğrudan müdahalesi olmadan onun adına çalıştırıldığı toplu iş sunucularında kullanılır.
5	Hizmet	Hizmet Denetim Yöneticisi (Service Control Manager) bu hesapla bir hizmet başlatmıştır.
7	Kilit açma	İş istasyonunun kilidi açılmıştır.
8	Ağ (açık metin)	Parolanın kimlik doğrulama paketine özetlenmemiş (hash'lenmemiş) biçimde iletildiği ağ oturumudur. Bu durum tek başına parolanın ağda açık metin olarak taşındığı anlamına gelmez.
9	Yeni kimlik bilgileri	Çağıran işlem kendi belirtecini kopyalayıp giden bağlantılar için yeni kimlik bilgileri belirtmiştir; yerel kimlik değişmez (örneğin runas /netonly).
10	Uzak etkileşimli	Kullanıcı Terminal Hizmetleri veya Uzak Masaüstü ile uzaktan oturum açmıştır.
11	Önbellekli etkileşimli	Yerel olarak saklanan ağ kimlik bilgileriyle oturum açılmıştır; doğrulama için etki alanı denetleyicisine başvurulmamıştır.
12	Önbellekli uzak etkileşimli	Belgelerde RemoteInteractive ile aynı olarak tanımlanır ve iç denetim amacıyla kullanılır.
13	Önbellekli kilit açma	Önbellekteki kimlik bilgileriyle kilit açmadır; Microsoft tablosu bu türü yalnızca "Workstation logon" olarak açıklar.

Oturum açma ve oturum 8

4624

Bir hesapta başarılı oturum açıldı

Security

Erişilen bilgisayarda bir oturum oluşturulduğunda üretilir. Oturumu açan hesabı, oturum türünü, kimlik doğrulama paketini ve ağ oturumlarında kaynak iş istasyonunu ve adresi kaydeder.

Alanlar, ilişkilendirme ve uyarılar

Nasıl kullanılır

Önce LogonType alanını okuyun; ardından oturumun başlangıç ve bitişini belirlemek için TargetLogonId değerini 4634/4647 ile, ayrıcalıklı oturumları görmek için 4672 ile eşleştirin. Uzaktan erişimde IpAddress ve WorkstationName değerlerini 4778/4779 ve 21/24/25 numaralı RDP olaylarıyla karşılaştırın.

Uyarılar

Audit Logon (Oturum Açma Denetimi) etkin olmalıdır. Oturum kimlikleri (Logon ID) yalnızca bir sonraki yeniden başlatmaya kadar benzersizdir. Yerel oturumlarda IpAddress boş veya geri döngü adresi olabilir; oturum kaydı, klavyenin başında belirli bir kişinin bulunduğunu tek başına kanıtlamaz.

Alanlar

SubjectUserName · SubjectLogonId · TargetUserSid · TargetUserName · TargetDomainName · TargetLogonId · LogonType · LogonProcessName · AuthenticationPackageName · WorkstationName · LogonGuid · ProcessName · IpAddress · IpPort · RestrictedAdminMode · TargetLinkedLogonId · ElevatedToken

Kaynak: Microsoft Learn — 4624(S) An account was successfully logged on · erişim 2026-10-14

4625

Bir hesap oturum açamadı

Security

Denemenin yapıldığı bilgisayarda her başarısız oturum açma girişimi için kaydedilir. Status ve SubStatus alanları, hatalı parola veya devre dışı hesap gibi nedeni belirten NTSTATUS kodlarını içerir.

Alanlar, ilişkilendirme ve uyarılar

Nasıl kullanılır

Parola tahmini, hesap numaralandırma (0xC0000064) ve hatalı yapılandırılmış hizmetleri ayırt etmek için kayıtları zamana göre TargetUserName, IpAddress ve SubStatus alanlarına göre gruplayın. Bir dizi başarısız denemeden sonra aynı hesap ve kaynak için 4624 kaydı olup olmadığını kontrol edin.

Uyarılar

Audit Logon veya Audit Account Lockout etkin olmalıdır. Etki alanı ortamında kimlik bilgisi doğrulamasının asıl kaydı hedef bilgisayarda değil, etki alanı denetleyicisinde (4771, 4776) bulunabilir.

Alanlar

TargetUserName · TargetDomainName · Status · FailureReason · SubStatus · LogonType · LogonProcessName · AuthenticationPackageName · WorkstationName · ProcessName · IpAddress · IpPort

Kaynak: Microsoft Learn — 4625(F) An account failed to log on · erişim 2026-10-14

4634

Bir hesabın oturumu kapatıldı

Security

Bir oturum sonlandırıldığında ve artık mevcut olmadığında üretilir.

Alanlar, ilişkilendirme ve uyarılar

Nasıl kullanılır

Oturum süresini tahmin etmek için TargetLogonId değerini oturumu açan 4624 kaydıyla eşleştirin. Etkileşimli ve uzak etkileşimli oturumlarda 4647 ile birlikte görülmesi beklenir.

Uyarılar

Audit Logoff (Oturum Kapatma Denetimi) etkin olmalıdır. Kısa ağ oturumları kullanımdan çok sonra kapanabilir; sistem enerjisiz kaldığında hiç kaydedilmeyebilir. Bu nedenle 4634 kaydının bulunmaması oturumun açık kaldığını kanıtlamaz.

Alanlar

TargetUserSid · TargetUserName · TargetDomainName · TargetLogonId · LogonType

Kaynak: Microsoft Learn — 4634(S) An account was logged off · erişim 2026-10-14

4647

Kullanıcı tarafından başlatılan oturum kapatma

Security

Bir hesap, oturum kapatma işlevi aracılığıyla oturumu kapatmaya başladığında üretilir. En çok etkileşimli ve uzak etkileşimli oturumlarda görülür.

Alanlar, ilişkilendirme ve uyarılar

Nasıl kullanılır

Kasıtlı bir oturum kapatmayı yalnızca sona eren bir oturumdan (yalnızca 4634) ayırmak için kullanın. TargetLogonId değerini 4624 ile ilişkilendirin.

Uyarılar

Audit Logoff etkin olmalıdır. Oturum bağlantı kopması, kapatma veya enerji kesintisiyle sona erdiğinde üretilmez.

Alanlar

TargetUserSid · TargetUserName · TargetDomainName · TargetLogonId

Kaynak: Microsoft Learn — 4647(S) User initiated logoff · erişim 2026-10-14

4648

Açık kimlik bilgileriyle oturum açma girişiminde bulunuldu

Security

Bir işlem, örneğin RUNAS ile veya zamanlanmış görevler gibi toplu iş yapılandırmalarında, bir hesabın kimlik bilgilerini açıkça belirterek oturum açmaya çalıştığında üretilir.

Alanlar, ilişkilendirme ve uyarılar

Nasıl kullanılır

Hangi oturumdaki hesabın, hangi işlemden ve hangi sunucuya yönelik olarak başka bir hesabın kimlik bilgilerini kullandığını gösterir. ProcessId değerini 4688 ile, SubjectLogonId değerini 4624 ile ilişkilendirin; kaynak bilgisayarda yanal hareket incelemesi için önemli bir kaynaktır.

Uyarılar

Audit Logon etkin olmalıdır. Olağan işletim sistemi etkinliği sırasında da düzenli olarak oluşur; bu nedenle yalnızca kayıt sayısı şüphe nedeni değildir.

Alanlar

SubjectUserName · SubjectLogonId · LogonGuid · TargetUserName · TargetDomainName · TargetServerName · TargetInfo · ProcessId · ProcessName · IpAddress · IpPort

Kaynak: Microsoft Learn — 4648(S) A logon was attempted using explicit credentials · erişim 2026-10-14

4672

Yeni oturuma özel ayrıcalıklar atandı

Security

Yeni bir oturuma SeDebugPrivilege, SeBackupPrivilege veya SeTcbPrivilege gibi hassas ayrıcalıklar atandığında üretilir. SYSTEM hesabının her oturumu da bu kaydı oluşturur.

Alanlar, ilişkilendirme ve uyarılar

Nasıl kullanılır

Yönetici düzeyindeki oturumları belirlemek için SubjectLogonId değerini aynı anda kaydedilen 4624 ile birleştirin. SYSTEM, LOCAL SERVICE ve NETWORK SERVICE dışındaki hesaplara odaklanın.

Uyarılar

Yalnızca "Audit Special Logon (Özel Oturum Açma Denetimi)" denetim alt kategorisi etkinse kaydedilir. Kayıtların ne kadar süre korunacağı günlük boyutuna ve üzerine yazma ayarlarına bağlıdır.

Alanlar

SubjectUserSid · SubjectUserName · SubjectDomainName · SubjectLogonId · PrivilegeList

Kaynak: Microsoft Learn — 4672(S) Special privileges assigned to new logon · erişim 2026-10-14

4778

Bir oturum bir Pencere İstasyonuna yeniden bağlandı

Security

Kullanıcı mevcut bir Terminal Hizmetleri oturumuna yeniden bağlandığında, Hızlı Kullanıcı Değiştirme ile mevcut bir masaüstüne geçtiğinde veya bir Hyper-V Gelişmiş Oturumuna yeniden bağlandığında üretilir.

Alanlar, ilişkilendirme ve uyarılar

Nasıl kullanılır

ClientName ve ClientAddress bağlanan istemciyi gösterir; SessionName bağlantı kanalını (RDP-Tcp#N, Console) belirtir. Bağlanma ve bağlantı kesme aralıklarını oluşturmak için 4779 ile eşleştirin.

Uyarılar

Audit Other Logon/Logoff Events etkin olmalıdır. Yeniden bağlanma dışındaki yeni bir RDP oturumu bu olayla değil, LogonType 10 içeren 4624 ile kaydedilir.

Alanlar

AccountName · AccountDomain · LogonID · SessionName · ClientName · ClientAddress

Kaynak: Microsoft Learn — 4778(S) A session was reconnected to a Window Station · erişim 2026-10-14

4779

Bir oturumun Pencere İstasyonuyla bağlantısı kesildi

Security

Kullanıcı bir Terminal Hizmetleri oturumundan bağlantıyı kestiğinde, Hızlı Kullanıcı Değiştirme ile başka bir masaüstüne geçtiğinde veya Hyper-V Gelişmiş Oturumundan ayrıldığında üretilir.

Alanlar, ilişkilendirme ve uyarılar

Nasıl kullanılır

Uzak oturum aralıklarını yeniden oluşturmak için 4778 ve 4624 (LogonType 10) ile eşleştirin; ClientAddress değerini bilinen iç ağ aralıklarıyla karşılaştırın.

Uyarılar

Audit Other Logon/Logoff Events etkin olmalıdır. Bağlantının kesilmesi oturumu sonlandırmaz; oturum çalışmaya devam eder ve bu bir oturum kapatma değildir.

Alanlar

AccountName · AccountDomain · LogonID · SessionName · ClientName · ClientAddress

Kaynak: Microsoft Learn — 4779(S) A session was disconnected from a Window Station · erişim 2026-10-14

Hesap yönetimi 11

4720

Bir kullanıcı hesabı oluşturuldu

Security

Etki alanı denetleyicilerinde, üye sunucularda ve iş istasyonlarında her yeni kullanıcı nesnesi oluşturulduğunda üretilir. Subject alanları hesabı oluşturanı, diğer alanlar yeni hesabın ilk özniteliklerini gösterir.

Alanlar, ilişkilendirme ve uyarılar

Nasıl kullanılır

Hesabı kimin oluşturduğunu (SubjectLogonId → 4624) ve hesabın hemen etkinleştirilip etkinleştirilmediğini, ayrıcalıklı gruplara eklenip eklenmediğini (4728, 4732, 4756) veya oturum açmak için kullanılıp kullanılmadığını belirleyin.

Uyarılar

Yalnızca "Audit User Account Management (Kullanıcı Hesabı Yönetimi Denetimi)" denetim alt kategorisi etkinse kaydedilir. Kayıtların ne kadar süre korunacağı günlük boyutuna ve üzerine yazma ayarlarına bağlıdır.

Alanlar

TargetUserName · TargetDomainName · TargetSid · SubjectUserSid · SubjectUserName · SubjectDomainName · SubjectLogonId · SamAccountName · UserPrincipalName · PasswordLastSet · AccountExpires · PrimaryGroupId · AllowedToDelegateTo · NewUacValue · UserAccountControl · SidHistory

Kaynak: Microsoft Learn — 4720(S) A user account was created · erişim 2026-10-14

4722

Bir kullanıcı hesabı etkinleştirildi

Security

Her kullanıcı veya bilgisayar nesnesi etkinleştirildiğinde üretilir. Bilgisayar hesapları için yalnızca etki alanı denetleyicilerinde görülür.

Alanlar, ilişkilendirme ve uyarılar

Nasıl kullanılır

Kullanılmayan veya devre dışı bir hesabın, kullanılmasından kısa süre önce yeniden etkinleştirilip etkinleştirilmediğini kontrol edin; aynı SID için 4720, 4738 ve sonraki 4624 kayıtlarıyla ilişkilendirin.

Uyarılar

Yalnızca "Audit User Account Management" denetim alt kategorisi etkinse kaydedilir. Kayıtların ne kadar süre korunacağı günlük boyutuna ve üzerine yazma ayarlarına bağlıdır.

Alanlar

TargetUserName · TargetDomainName · TargetSid · SubjectUserSid · SubjectUserName · SubjectDomainName · SubjectLogonId

Kaynak: Microsoft Learn — 4722(S) A user account was enabled · erişim 2026-10-14

4723

Bir hesabın parolasını değiştirme girişiminde bulunuldu

Security

Kullanıcı kendi parolasını değiştirmeye çalıştığında üretilir. Yeni parola ilkeye uymadığında (yerel hesaplarda eski parola hatalı olduğunda da) başarısız kayıt oluşur.

Alanlar, ilişkilendirme ve uyarılar

Nasıl kullanılır

Subject ve Target normalde aynı hesaptır. Bir hesabın başka bir hesabın parolasını sıfırladığı 4724 olayından ayırt edin.

Uyarılar

Audit User Account Management etkin olmalıdır. Etki alanı hesaplarında hatalı eski parola, 4723 başarısızlığı olarak değil, etki alanı denetleyicisinde 4771 veya 4776 olarak kaydedilir.

Alanlar

TargetUserName · TargetDomainName · TargetSid · SubjectUserSid · SubjectUserName · SubjectDomainName · SubjectLogonId · PrivilegeList

Kaynak: Microsoft Learn — 4723(S, F) An attempt was made to change an account's password · erişim 2026-10-14

4724

Bir hesabın parolasını sıfırlama girişiminde bulunuldu

Security

Bir hesap başka bir hesabın parolasını sıfırlamaya çalıştığında, bilgisayar hesabı sıfırlamaları dahil, her seferinde üretilir.

Alanlar, ilişkilendirme ve uyarılar

Nasıl kullanılır

Kimin kimin parolasını sıfırladığını ve hedef hesabın ardından yeni bir kaynaktan oturum açıp açmadığını belirleyin. Yüksek değerli hesaplar veya hizmet hesaplarındaki sıfırlamalar incelenmelidir.

Uyarılar

Audit User Account Management etkin olmalıdır. Girişim "Erişim Engellendi" ile reddedildiğinde başarısız kayıt üretilmez.

Alanlar

TargetUserName · TargetDomainName · TargetSid · SubjectUserSid · SubjectUserName · SubjectDomainName · SubjectLogonId

Kaynak: Microsoft Learn — 4724(S, F) An attempt was made to reset an account's password · erişim 2026-10-14

4725

Bir kullanıcı hesabı devre dışı bırakıldı

Security

Her kullanıcı veya bilgisayar nesnesi devre dışı bırakıldığında üretilir. Bilgisayar hesapları için yalnızca etki alanı denetleyicilerinde görülür.

Alanlar, ilişkilendirme ve uyarılar

Nasıl kullanılır

Erişimin ne zaman kaldırıldığını veya müdahaleyi engellemek için hesapların devre dışı bırakılıp bırakılmadığını göstermede yararlıdır. Zamanı, aynı SID için sonraki 4624/4625 kayıtlarıyla karşılaştırın.

Uyarılar

Yalnızca "Audit User Account Management" denetim alt kategorisi etkinse kaydedilir. Kayıtların ne kadar süre korunacağı günlük boyutuna ve üzerine yazma ayarlarına bağlıdır.

Alanlar

TargetUserName · TargetDomainName · TargetSid · SubjectUserSid · SubjectUserName · SubjectDomainName · SubjectLogonId

Kaynak: Microsoft Learn — 4725(S) A user account was disabled · erişim 2026-10-14

4726

Bir kullanıcı hesabı silindi

Security

Etki alanı denetleyicilerinde, üye sunucularda ve iş istasyonlarında her kullanıcı nesnesi silindiğinde üretilir.

Alanlar, ilişkilendirme ve uyarılar

Nasıl kullanılır

SID'ler yeniden kullanılmadığı için TargetSid silinen hesabı güvenilir biçimde tanımlar; hesabın önceki etkinliğini diğer günlüklerde ve artefaktlarda bulmak için bu değeri kullanın.

Uyarılar

Yalnızca "Audit User Account Management" denetim alt kategorisi etkinse kaydedilir. Kayıtların ne kadar süre korunacağı günlük boyutuna ve üzerine yazma ayarlarına bağlıdır.

Alanlar

TargetUserName · TargetDomainName · TargetSid · SubjectUserSid · SubjectUserName · SubjectDomainName · SubjectLogonId · PrivilegeList

Kaynak: Microsoft Learn — 4726(S) A user account was deleted · erişim 2026-10-14

4728

Güvenlik etkin bir genel gruba üye eklendi

Security

4732 olayının genel gruplar için yalnızca etki alanında üretilen karşılığıdır. Microsoft, alanlar ve XML yapısı bakımından 4732 ile aynı olduğunu, yalnızca grup türünün farklı olduğunu belirtir.

Alanlar, ilişkilendirme ve uyarılar

Nasıl kullanılır

Domain Admins gibi ayrıcalıklı etki alanı gruplarına yapılan eklemeleri izleyin. İşlemi yapanı SubjectLogonId ile belirleyin ve yeni üyenin yeni yetkilerini ilk ne zaman kullandığını kontrol edin.

Uyarılar

Audit Security Group Management etkin olmalıdır. Yalnızca etki alanı denetleyicilerinde kaydedilir; Microsoft'un bu kimlik için ayrı bir sayfası yoktur.

Alanlar

MemberName · MemberSid · TargetUserName · TargetDomainName · TargetSid · SubjectUserSid · SubjectUserName · SubjectDomainName · SubjectLogonId · PrivilegeList

Kaynak: Microsoft Learn — Audit Security Group Management · erişim 2026-10-14

4732

Güvenlik etkin bir yerel gruba üye eklendi

Security

Yerleşik Administrators grubu gibi güvenlik etkin bir yerel gruba her üye eklendiğinde üretilir. Eklenen her üye için ayrı kayıt oluşur.

Alanlar, ilişkilendirme ve uyarılar

Nasıl kullanılır

Yerel Administrators veya Remote Desktop Users gruplarına ekleme, kalıcılık sağlamak için sık kullanılan bir adımdır. Üyeyi tanımlamak için MemberName yerine MemberSid değerini kullanın.

Uyarılar

Audit Security Group Management etkin olmalıdır. Yerel gruplarda, bir etki alanı hesabı eklense bile MemberName genellikle "-" olarak görünür.

Alanlar

MemberName · MemberSid · TargetUserName · TargetDomainName · TargetSid · SubjectUserSid · SubjectUserName · SubjectDomainName · SubjectLogonId · PrivilegeList

Kaynak: Microsoft Learn — 4732(S) A member was added to a security-enabled local group · erişim 2026-10-14

4738

Bir kullanıcı hesabı değiştirildi

Security

Bir kullanıcı nesnesi her değiştirildiğinde üretilir. Değişen öznitelikler yeni değerleriyle, değişmeyenler "-" olarak görünür.

Alanlar, ilişkilendirme ve uyarılar

Nasıl kullanılır

"Don't Require Preauth" veya "Password Not Required" gibi bayraklar için OldUacValue ve NewUacValue değerlerini karşılaştırın; boş olmayan SidHistory veya AllowedToDelegateTo değişiklikleri incelenmelidir.

Uyarılar

Audit User Account Management etkin olmalıdır. Bazı değişiklikler (örneğin DACL değişiklikleri) tüm öznitelikler "-" olarak görünür; bazı değişiklikler ise hiç 4738 kaydı oluşturmaz.

Alanlar

Kaynak: Microsoft Learn — 4738(S) A user account was changed · erişim 2026-10-14

4740

Bir kullanıcı hesabı kilitlendi

Security

Bir kullanıcı hesabı kilitleme eşiğini aştığı için her kilitlendiğinde üretilir. Etki alanında etki alanı denetleyicisinde kaydedilir.

Alanlar, ilişkilendirme ve uyarılar

Nasıl kullanılır

Kayıtta görünen çağıran bilgisayar adı başarısız denemelerin nereden geldiğini gösterir; bu bilgiyi o bilgisayardaki veya etki alanı denetleyicisindeki 4625/4771/4776 kayıtlarına kadar izleyin.

Uyarılar

Audit User Account Management etkin olmalıdır. Çağıran, etki alanı dışındaki bilgisayarlar için bile IP adresi olarak değil, bilgisayar adı olarak verilir.

Alanlar

TargetUserName · TargetDomainName · TargetSid · SubjectUserSid · SubjectUserName · SubjectDomainName · SubjectLogonId

Kaynak: Microsoft Learn — 4740(S) A user account was locked out · erişim 2026-10-14

4756

Güvenlik etkin bir evrensel gruba üye eklendi

Security

4732 olayının evrensel gruplar (örneğin Enterprise Admins) için yalnızca etki alanında üretilen karşılığıdır. Microsoft, 4732 ile aynı alanları ve XML yapısını belgeler.

Alanlar, ilişkilendirme ve uyarılar

Nasıl kullanılır

Orman genelindeki ayrıcalıklı gruplara yapılan eklemeleri öncelikli ele alın; işlemi yapanı SubjectLogonId ile izleyin ve diğer etki alanı denetleyicilerindeki kayıtları kontrol edin.

Uyarılar

Audit Security Group Management etkin olmalıdır. Yalnızca etki alanı denetleyicilerinde kaydedilir; Microsoft'un bu kimlik için ayrı bir sayfası yoktur.

Alanlar

MemberName · MemberSid · TargetUserName · TargetDomainName · TargetSid · SubjectUserSid · SubjectUserName · SubjectDomainName · SubjectLogonId · PrivilegeList

Kaynak: Microsoft Learn — Audit Security Group Management · erişim 2026-10-14

Kerberos ve NTLM kimlik doğrulaması 4

4768

Kerberos kimlik doğrulama bileti (TGT) istendi

Security

Etki alanı denetleyicilerinde, Anahtar Dağıtım Merkezi (KDC) her bilet verme bileti (TGT) verdiğinde veya veremediğinde üretilir. Status değerinin 0x0 olması başarı anlamına gelir.

Alanlar, ilişkilendirme ve uyarılar

Nasıl kullanılır

IpAddress kimlik doğrulayan istemciyi gösterir ve çoğu zaman bir hesabın etki alanında nerede kullanıldığına ilişkin en iyi kayıttır. PreAuthType 0 (ön kimlik doğrulama yok) ve RC4 (0x17) veya DES gibi eski şifreleme türlerine dikkat edin.

Uyarılar

Etki alanı denetleyicilerinde Audit Kerberos Authentication Service etkin olmalıdır. Ön kimlik doğrulama hataları (0x18) 4768 olarak değil, 4771 olarak kaydedilir. Güncel güncellemeler yeni alanlar eklediğinden alan kümesi sürüme göre değişir.

Alanlar

TargetUserName · TargetDomainName · TargetSid · ServiceName · TicketOptions · Status · TicketEncryptionType · PreAuthType · IpAddress · IpPort · CertIssuerName · CertSerialNumber · CertThumbprint

Kaynak: Microsoft Learn — 4768(S, F) A Kerberos authentication ticket (TGT) was requested · erişim 2026-10-14

4769

Kerberos hizmet bileti istendi

Security

KDC her hizmet bileti (TGS) isteği aldığında etki alanı denetleyicilerinde üretilir. Başarısız isteklerde Status sıfırdan farklıdır.

Alanlar, ilişkilendirme ve uyarılar

Nasıl kullanılır

Bir hesabın hangi hizmetlere hangi istemciden erişim istediğini gösterir. Tek bir istemciden farklı hizmet hesapları için RC4 şifrelemeli çok sayıda istek, çevrimdışı parola kırma amacıyla bilet toplama girişimine işaret edebilir.

Uyarılar

Audit Kerberos Service Ticket Operations etkin olmalıdır; çoğu etki alanında kayıt hacmi yüksektir. Status 0x20 (bilet süresi doldu) yaygındır ve çoğunlukla bilgi amaçlıdır.

Alanlar

TargetUserName · TargetDomainName · ServiceName · ServiceSid · TicketOptions · TicketEncryptionType · IpAddress · IpPort · Status · LogonGuid · TransmittedServices

Kaynak: Microsoft Learn — 4769(S, F) A Kerberos service ticket was requested · erişim 2026-10-14

4771

Kerberos ön kimlik doğrulaması başarısız oldu

Security

KDC, ön kimlik doğrulama başarısız olduğu için TGT veremediğinde etki alanı denetleyicilerinde üretilir. Status 0x18 genellikle hatalı parola anlamına gelir.

Alanlar, ilişkilendirme ve uyarılar

Nasıl kullanılır

Parola tahmini veya parola püskürtme girişimlerini belirlemek için kısa zaman aralıklarında hesap ve IpAddress başına hata sayısını çıkarın. Aynı hesaba ait 4740 kilitlenmeleri ve sonraki başarılı 4768 kayıtlarıyla karşılaştırın.

Uyarılar

Audit Kerberos Authentication Service etkin olmalıdır. "Do not require Kerberos preauthentication" ayarlı hesaplar için üretilmez. Bu olayda sertifika alanları her zaman boştur.

Alanlar

TargetUserName · TargetSid · ServiceName · TicketOptions · Status · PreAuthType · IpAddress · IpPort · CertIssuerName · CertSerialNumber · CertThumbprint

Kaynak: Microsoft Learn — 4771(F) Kerberos pre-authentication failed · erişim 2026-10-14

4776

Bilgisayar bir hesabın kimlik bilgilerini doğrulamaya çalıştı

Security

NTLM ile kimlik bilgisi doğrulaması başarılı veya başarısız olduğunda, kimlik bilgileri üzerinde yetkili olan bilgisayarda üretilir: etki alanı hesapları için etki alanı denetleyicisi, yerel hesaplar için yerel bilgisayar.

Alanlar, ilişkilendirme ve uyarılar

Nasıl kullanılır

Workstation alanı hedefi değil, girişimin kaynağını belirtir. Hataları sınıflandırmak için Status kodlarını (örneğin 0xC000006A hatalı parola, 0xC0000064 bilinmeyen kullanıcı) kullanın ve Kerberos beklenen yerlerde NTLM kullanımını araştırın.

Uyarılar

Audit Credential Validation etkin olmalıdır. Kullanıcının hangi sunucuya erişmeye çalıştığını kaydetmez; bir etki alanı hesabı etki alanı denetleyicisinde yerel oturum açtığında üretilmez.

Alanlar

PackageName · TargetUserName · Workstation · Status

Kaynak: Microsoft Learn — 4776(S, F) The computer attempted to validate the credentials for an account · erişim 2026-10-14

İşlem ve nesne erişimi 5

4656

Bir nesne için tanıtıcı (handle) istendi

Security

Denetlenen bir nesneye tanıtıcı açma isteğini ve isteğin kabul edilip edilmediğini kaydeder. Erişim reddedildiğinde başarısız kayıt oluşur.

Alanlar, ilişkilendirme ve uyarılar

Nasıl kullanılır

Başarısız kayıtlar engellenen erişim girişimlerini gösterir. Başarılı kayıtlarda, erişimin fiilen kullanıldığını göstermek için aynı HandleId değerine sahip 4663 kaydını arayın.

Uyarılar

Tanıtıcı istenmiş olması işlemin gerçekleştiğini kanıtlamaz. Eşleşen bir SACL girdisi ve ilgili nesne erişimi alt kategorisi gerekir.

Alanlar

SubjectUserSid · SubjectUserName · SubjectDomainName · SubjectLogonId · ObjectServer · ObjectType · ObjectName · HandleId · TransactionId · AccessList · AccessReason · AccessMask · PrivilegeList · RestrictedSidCount · ProcessId · ProcessName · ResourceAttributes

Kaynak: Microsoft Learn — 4656(S, F) A handle to an object was requested · erişim 2026-10-14

4657

Bir kayıt defteri değeri değiştirildi

Security

Denetlenen bir anahtar altında kayıt defteri değeri oluşturulduğunda, değiştirildiğinde veya silindiğinde üretilir. Eski ve yeni değeri ve türünü kaydeder.

Alanlar, ilişkilendirme ve uyarılar

Nasıl kullanılır

Otomatik başlatma konumlarının ve güvenlik ayarlarının önceki ve sonraki durumunu, değişikliği yapan işlemle birlikte gösterir. Yalnızca son durumun ve anahtarın LastWrite zamanının korunduğu kayıt defteri dosyası (hive) incelemesiyle karşılaştırın.

Uyarılar

Audit Registry ve anahtarın SACL'sinde "Set Value" denetimi gerekir. Yalnızca anahtar (değer değil) değiştiğinde üretilmez. ObjectName alanında \REGISTRY\MACHINE biçiminde yollar kullanılır.

Alanlar

SubjectUserSid · SubjectUserName · SubjectDomainName · SubjectLogonId · ObjectName · ObjectValueName · HandleId · OperationType · OldValueType · OldValue · NewValueType · NewValue · ProcessId · ProcessName

Kaynak: Microsoft Learn — 4657(S) A registry value was modified · erişim 2026-10-14

4663

Bir nesneye erişim girişiminde bulunuldu

Security

Dosya, kayıt defteri anahtarı veya çekirdek nesnesi gibi denetlenen bir nesne üzerinde belirli bir erişim hakkının fiilen kullanıldığını kaydeder.

Alanlar, ilişkilendirme ve uyarılar

Nasıl kullanılır

Hangi işlemin bir dosyaya yazdığını, onu sildiğini veya izinlerini değiştirdiğini göstermek için ObjectName, AccessList ve ProcessName alanlarını kullanın. HandleId üzerinden 4656 ile ilişkilendirin.

Uyarılar

Yalnızca nesnenin SACL'sinde (sistem erişim denetim listesi) eşleşen bir denetim girdisi bulunduğunda ve ilgili alt kategori (File System, Registry, Kernel Object veya Removable Storage) etkin olduğunda üretilir. Başarısız sürümü yoktur.

Alanlar

SubjectUserSid · SubjectUserName · SubjectDomainName · SubjectLogonId · ObjectServer · ObjectType · ObjectName · HandleId · AccessList · AccessMask · ProcessId · ProcessName · ResourceAttributes

Kaynak: Microsoft Learn — 4663(S) An attempt was made to access an object · erişim 2026-10-14

4688

Yeni bir işlem oluşturuldu

Security

Her yeni işlem başladığında üretilir. Çalıştırılabilir dosya yolunu, işlemi oluşturan üst işlemi, belirteç yükseltme türünü ve ilkeyle etkinleştirildiyse komut satırını kaydeder.

Alanlar, ilişkilendirme ve uyarılar

Nasıl kullanılır

NewProcessId ve ProcessId (oluşturan işlem) ile işlem ağaçları oluşturun; SubjectLogonId üzerinden oturumlara bağlayın. Çalışma aralığını belirlemek için Prefetch, Amcache ve 4689 ile karşılaştırın.

Uyarılar

Audit Process Creation etkin olmalıdır. "Include command line in process creation events" ilkesi etkin değilse CommandLine boştur. İşlem kimlikleri yeniden kullanıldığından her zaman zaman bilgisiyle birlikte eşleştirin.

Alanlar

SubjectUserSid · SubjectUserName · SubjectDomainName · SubjectLogonId · NewProcessId · NewProcessName · TokenElevationType · ProcessId · CommandLine · TargetUserSid · TargetUserName · TargetDomainName · TargetLogonId · ParentProcessName · MandatoryLabel

Kaynak: Microsoft Learn — 4688(S) A new process has been created · erişim 2026-10-14

4689

Bir işlem sonlandı

Security

Her işlem sonlandığında üretilir. İşlem adını, işlem kimliğini ve çıkış durumunu kaydeder.

Alanlar, ilişkilendirme ve uyarılar

Nasıl kullanılır

Bir programın ne kadar süre çalıştığını tahmin etmek için ProcessId ve ProcessName üzerinden 4688 ile eşleştirin.

Uyarılar

Audit Process Termination etkin olmalıdır. Çıkış durumunun (Status) anlamı her uygulama tarafından ayrı belirlenir.

Alanlar

SubjectUserSid · SubjectUserName · SubjectDomainName · SubjectLogonId · Status · ProcessId · ProcessName

Kaynak: Microsoft Learn — 4689(S) A process has exited · erişim 2026-10-14

Denetim ilkesi ve günlük bütünlüğü 3

104

Günlük dosyası temizlendi

System

Güvenlik dışındaki bir olay günlüğü (örneğin System veya Application) temizlendiğinde Microsoft-Windows-Eventlog tarafından System günlüğüne kaydedilir. İletide temizlenen günlüğün adı yer alır.

Alanlar, ilişkilendirme ve uyarılar

Nasıl kullanılır

Birden fazla günlüğün birlikte temizlenip temizlenmediğini görmek için 1102 ile birlikte arayın; kayıt zamanı her günlükteki boşluğun başlangıcını belirler.

Uyarılar

Kaynak gösterilen sayfa arşivlenmiş Windows Server 2008 R2 belgesidir ve yalnızca ileti metnini verir. System günlüğünün kendisi temizlendiğinde bu kayıt yeni günlüğün ilk girdisi olarak yine oluşur.

Kaynak: Microsoft Learn — Event ID 104 — Private Channel Configuration · erişim 2026-10-14

1102

Denetim günlüğü temizlendi

Security

Windows Güvenlik günlüğü her temizlendiğinde üretilir. Günlüğü temizleyen hesabı kaydeder.

Alanlar, ilişkilendirme ve uyarılar

Nasıl kullanılır

Bu kaydı bilinen bir boşluğun başlangıcı olarak ele alın. Önceki olayları iletilmiş kopyalardan (SIEM, Windows Olay İletme), Birim Gölge Kopyalarından veya ayrılmamış alandan kurtarmaya çalışın; SubjectLogonId değerini 4624 ile ilişkilendirin.

Uyarılar

Bir denetim alt kategorisi tarafından değil, Eventlog sağlayıcısı tarafından kaydedilir. Günlükleri yok etmenin diğer yolları (örneğin .evtx dosyasını sistem kapalıyken silmek) bu kaydı oluşturmaz.

Alanlar

SubjectUserSid · SubjectUserName · SubjectDomainName · SubjectLogonId

Kaynak: Microsoft Learn — 1102(S) The audit log was cleared · erişim 2026-10-14

4719

Sistem denetim ilkesi değiştirildi

Security

Bilgisayarın denetim ilkesi değiştiğinde üretilir. Kategoriyi, alt kategoriyi ve başarı/başarısızlık denetiminin eklenip eklenmediğini veya kaldırılıp kaldırılmadığını kaydeder.

Alanlar, ilişkilendirme ve uyarılar

Nasıl kullanılır

Kaldırılan bir denetim ayarı, sonraki günlüklerdeki boşlukları açıklar; değişikliğin ne zaman yapıldığını ve planlı mı (örneğin Grup İlkesi yenilemesi) yoksa şüpheli bir etkinliğin ardından mı geldiğini belirleyin.

Uyarılar

Microsoft'a göre bu olay Audit Policy Change ayarından bağımsız olarak her zaman kaydedilir. İlkenin değiştiğini gösterir, nedenini göstermez; değişikliği bir kişiye bağlamadan önce Grup İlkesi geçmişini kontrol edin.

Alanlar

SubjectUserSid · SubjectUserName · SubjectDomainName · SubjectLogonId · CategoryId · SubcategoryId · SubcategoryGuid · AuditPolicyChanges

Kaynak: Microsoft Learn — 4719(S) System audit policy was changed · erişim 2026-10-14

Sistem ve hizmetler 10

Sistem önce düzgün biçimde kapanmadan yeniden başlatıldı

System

Önceki oturum düzgün bir kapanış olmadan, örneğin enerji kesintisi, donma veya durdurma hatası sonrasında sona erdiğinde açılışta Microsoft-Windows-Kernel-Power tarafından kaydedilir.

Alanlar, ilişkilendirme ve uyarılar

Nasıl kullanılır

Sıfırdan farklı BugcheckCode bir durdurma hatasına işaret eder; PowerButtonTimestamp güç düğmesine basılı tutulduğunu gösterebilir. Bilinçli kapatma hakkında sonuca varmadan önce 6008 ve bellek dökümleriyle karşılaştırın.

Uyarılar

Yalnızca kapanışın düzgün olmadığını kaydeder; donanım, sürücü ve güç gibi birçok neden aynı kaydı üretir.

Alanlar

BugcheckCode · BugcheckParameter1 · BugcheckParameter2 · BugcheckParameter3 · BugcheckParameter4 · SleepInProgress · PowerButtonTimestamp

Kaynak: Microsoft Learn — Advanced troubleshooting for Event ID 41 · erişim 2026-10-14

1074

Bir işlem yeniden başlatma veya kapatma başlattı

System

Bir uygulama veya kullanıcı kapatma ya da yeniden başlatma başlattığında User32 kaynağı tarafından kaydedilir. İletide işlem, adına hareket edilen kullanıcı, neden, neden kodu ve kapatma türü yer alır.

Alanlar, ilişkilendirme ve uyarılar

Nasıl kullanılır

Yeniden başlatmayı kimin veya neyin istediğini (örneğin güncelleme aracısı, shutdown.exe veya uzaktaki bir yönetici) belirler. Eşleşen 6006 ve 6005 kayıtlarından önce zaman çizelgesine yerleştirin.

Uyarılar

Kaynak gösterilen sayfa yapılandırılmış alan adlarını değil, ileti metnini belgeler. Neden metni başlatan tarafından seçilir ve genel ifadeler içerebilir.

Kaynak: Microsoft Learn — Troubleshoot unexpected reboots using system event logs · erişim 2026-10-14

4697

Sisteme bir hizmet yüklendi

Security

Yeni bir hizmet yüklendiğinde Güvenlik günlüğünde üretilir. Hizmet adını, ikili dosya yolunu, türünü, başlangıç türünü ve çalıştığı hesabı kaydeder.

Alanlar, ilişkilendirme ve uyarılar

Nasıl kullanılır

7045'ten farklı olarak hizmeti yükleyen hesabı içerir. Windows veya Program Files klasörleri dışındaki ServiceFileName değerlerini işaretleyin; 7045 ve hizmetin kayıt defteri anahtarıyla ilişkilendirin.

Uyarılar

Audit Security System Extension etkin olmalıdır; en az Windows 10 / Server 2016 gerekir. Yol veya hesapta sonradan yapılan değişiklikler bu olayla kaydedilmez.

Alanlar

SubjectUserSid · SubjectUserName · SubjectDomainName · SubjectLogonId · ServiceName · ServiceFileName · ServiceType · ServiceStartType · ServiceAccount

Kaynak: Microsoft Learn — 4697(S) A service was installed in the system · erişim 2026-10-14

6005

Olay günlüğü hizmeti başlatıldı

System

Olay Günlüğü hizmeti başladığında EventLog kaynağı tarafından kaydedilir; uygulamada sistemin açılışını gösterir.

Alanlar, ilişkilendirme ve uyarılar

Nasıl kullanılır

Açılış ve kapanış döngülerini listelemek ve sistemin incelenen dönemde çalışıp çalışmadığını kontrol etmek için 6005'i 6006, 6008, 6009 ve 1074 ile birlikte kullanın.

Uyarılar

Aynı kimlikler başka kaynaklarca da kullanıldığından, olay kimliğiyle birlikte kaynağa göre de filtreleyin.

Kaynak: Microsoft Learn — Troubleshoot unexpected reboots using system event logs · erişim 2026-10-14

6006

Olay günlüğü hizmeti durduruldu

System

Düzenli bir kapanış sırasında Olay Günlüğü hizmeti durduğunda EventLog kaynağı tarafından kaydedilir; Microsoft bu kaydı Windows'un düzgün biçimde kapatıldığının göstergesi olarak tanımlar.

Alanlar, ilişkilendirme ve uyarılar

Nasıl kullanılır

Kapalı kalma süresini ölçmek için her 6006 kaydını izleyen 6005 kaydıyla eşleştirin. Öncesinde 6006 bulunmayan bir açılış, düzgün olmayan bir kapanışa işaret eder (bkz. 6008 ve 41).

Uyarılar

Kapatmayı kimin istediğini değil, günlük hizmetinin durmasını kaydeder; bunun için 1074 kaydını kullanın.

Kaynak: Microsoft Learn — Advanced troubleshooting for Event ID 41 · erişim 2026-10-14

6008

Önceki sistem kapanışı beklenmedikti

System

Önceki kapanış düzgün gerçekleşmediğinde, bir sonraki açılışta EventLog kaynağı tarafından kaydedilir. İletide bu kapanışın tarihi ve saati yer alır.

Alanlar, ilişkilendirme ve uyarılar

Nasıl kullanılır

İletideki zaman sistemin ne zaman kapandığına ilişkin bir tahmindir; hemen öncesindeki olayları inceleyin, Kernel-Power 41 ve varsa bellek dökümüyle karşılaştırın.

Uyarılar

İletideki tarih ve saat yerel saat biçiminde metin olarak verilir; UTC zaman çizelgesine yerleştirmeden önce saat dilimini doğrulayın.

Kaynak: Microsoft Learn — Troubleshoot unexpected reboots using system event logs · erişim 2026-10-14

7034

Bir hizmet beklenmedik biçimde sonlandı

System

Bir hizmet beklenmedik biçimde sonlandığında ve kurtarma eylemi yapılandırılmamışsa Hizmet Denetim Yöneticisi tarafından kaydedilir. İletide hizmet adı ve bunun kaç kez gerçekleştiği yer alır.

Alanlar, ilişkilendirme ve uyarılar

Nasıl kullanılır

Bir olay sırasında güvenlik veya günlük hizmetlerinin tekrar tekrar çökmesi müdahaleye işaret edebilir; 7036 durum değişiklikleri ve işlem kayıtlarıyla karşılaştırın.

Uyarılar

Arşivlenmiş Windows Server 2008 R2 belgelerinden alınmıştır. Çökme genellikle yazılım hatasından kaynaklanır; kayıt tek başına kasıt göstermez.

Kaynak: Microsoft Learn — Event ID 7034 — Service Stop Operations · erişim 2026-10-14

7036

Bir hizmet yeni bir duruma geçti

System

Bir hizmet, örneğin çalışıyor veya durduruldu gibi yeni bir duruma geçtiğinde Hizmet Denetim Yöneticisi tarafından kaydedilir.

Alanlar, ilişkilendirme ve uyarılar

Nasıl kullanılır

Windows Defender, Event Log veya Uzak Masaüstü gibi hizmetlerin ne zaman durdurulduğunu veya başlatıldığını gösterir; bu geçişleri zaman çizelgesinde oturum açma ve işlem oluşturma kayıtlarının yanına yerleştirin.

Uyarılar

Çok sık oluşur ve değişikliği kimin istediğini kaydetmez. Arşivlenmiş Windows Server 2008 R2 belgelerinden alınmıştır.

Kaynak: Microsoft Learn — Event ID 7036 — Basic Service Operations · erişim 2026-10-14

7040

Bir hizmetin başlangıç türü değiştirildi

System

Bir hizmetin başlangıç türü, örneğin otomatikten devre dışıya değiştiğinde Hizmet Denetim Yöneticisi tarafından kaydedilir.

Alanlar, ilişkilendirme ve uyarılar

Nasıl kullanılır

Bir güvenlik veya günlük hizmetinin devre dışıya, bilinmeyen bir hizmetin otomatiğe alınması, savunmadan kaçınma ve kalıcılık soruları açısından önemlidir.

Uyarılar

Windows bileşenleri başlangıç türlerini olağan olarak (örneğin güncellemeler sırasında) değiştirir. Arşivlenmiş Windows Server 2008 R2 belgelerinden alınmıştır.

Kaynak: Microsoft Learn — Event ID 7040 — Basic Service Operations · erişim 2026-10-14

7045

Yeni bir hizmet yüklendi

System

Bir hizmet yüklendiğinde Hizmet Denetim Yöneticisi tarafından kaydedilir. Microsoft Defender for Identity bu olayı gerekli olaylar arasında ("New Service Installed") listeler.

Alanlar, ilişkilendirme ve uyarılar

Nasıl kullanılır

Uzaktan komut çalıştırma araçları ve kalıcılık için temel bir kontroldür: hizmet adını ve dosya yolunu inceleyin, ardından aynı zamanda gerçekleşen 4624 (LogonType 3) ve 4697 kayıtlarını arayın.

Uyarılar

Kaynak gösterilen sayfa olayı listeler ancak alanlarını belgelemez. Meşru yazılımlar da hizmet yükler; değerlendirme bağlama göre yapılmalıdır.

Kaynak: Microsoft Learn — Configure Windows event auditing (Microsoft Defender for Identity) · erişim 2026-10-14

Zamanlanmış görevler 6

106

Görev kaydedildi

Microsoft-Windows-TaskScheduler/Operational

Bir kullanıcı bir görevi kaydettiğinde (oluşturduğunda) Microsoft-Windows-TaskScheduler tarafından kaydedilir. İletide görev adı ve kullanıcı yer alır.

Alanlar, ilişkilendirme ve uyarılar

Nasıl kullanılır

4698 için Güvenlik denetiminin etkin olmadığı durumlarda yararlıdır. Görevin gerçekten çalıştığını göstermek için 200/201 ile birleştirin.

Uyarılar

Operational günlüğü devre dışı veya küçük boyutlu olabilir ve hızla üzerine yazılabilir. Arşivlenmiş Windows Server 2008 R2 belgelerinden alınmıştır.

Kaynak: Microsoft Learn — Event ID 106 — General Task Registration · erişim 2026-10-14

200

Eylem başlatıldı

Microsoft-Windows-TaskScheduler/Operational

Görev Zamanlayıcı bir görev örneğinde bir eylemi başlattığında kaydedilir. İletide görev, eylem ve örnek yer alır.

Alanlar, ilişkilendirme ve uyarılar

Nasıl kullanılır

Bir görevin çalışma zamanlarını verir; eylem metni çalıştırılan programı belirtir. Örnek kimliği üzerinden 201 ile, işlem için 4688 ile eşleştirin.

Uyarılar

Arşivlenmiş Windows Server 2008 R2 belgelerinden alınmıştır; yalnızca ileti metni vardır, yapılandırılmış alan listesi yoktur.

Kaynak: Microsoft Learn — Event ID 200 — Task Monitoring and Control · erişim 2026-10-14

201

Eylem tamamlandı

Microsoft-Windows-TaskScheduler/Operational

Görev Zamanlayıcı bir görev örneğinin eylemini başarıyla tamamladığında kaydedilir.

Alanlar, ilişkilendirme ve uyarılar

Nasıl kullanılır

Aynı örnek için 200 ile 201 arasındaki süre, eylemin ne kadar çalıştığını sınırlar.

Uyarılar

"Tamamlandı" ifadesi görev motoruna aittir; programın amacına ulaştığı anlamına gelmez. Arşivlenmiş Windows Server 2008 R2 belgelerinden alınmıştır.

Kaynak: Microsoft Learn — Event ID 201 — Task Monitoring and Control · erişim 2026-10-14

4698

Zamanlanmış görev oluşturuldu

Security

Her yeni zamanlanmış görev oluşturulduğunda üretilir. TaskContent alanı tetikleyiciler, eylemler ve görevin çalıştığı hesap dahil görevin tam XML tanımını içerir.

Alanlar, ilişkilendirme ve uyarılar

Nasıl kullanılır

TaskContent içindeki eylem komutunu ve tetikleyiciyi okuyun; kitaplık kökündeki (\TaskName) görevler dikkat gerektirir. System32\Tasks altındaki görev dosyası ve 106, 200, 201 numaralı TaskScheduler olaylarıyla karşılaştırın.

Uyarılar

Audit Other Object Access Events etkin olmalıdır. Windows 10 1903 ve sonrası istemci işlem alanları ekler (olay sürümü 1).

Alanlar

SubjectUserSid · SubjectUserName · SubjectDomainName · SubjectLogonId · TaskName · TaskContent

Kaynak: Microsoft Learn — 4698(S) A scheduled task was created · erişim 2026-10-14

4699

Zamanlanmış görev silindi

Security

Her zamanlanmış görev silindiğinde üretilir. TaskContent alanı silinen görevin XML tanımını içerir.

Alanlar, ilişkilendirme ve uyarılar

Nasıl kullanılır

Diskte artık bulunmayan bir görevin içeriğini korur; kısa sürede gerçekleşen oluşturma-çalıştırma-silme dizisi uzaktan komut çalıştırma araçlarına özgüdür.

Uyarılar

Audit Other Object Access Events etkin olmalıdır.

Alanlar

SubjectUserSid · SubjectUserName · SubjectDomainName · SubjectLogonId · TaskName · TaskContent

Kaynak: Microsoft Learn — 4699(S) A scheduled task was deleted · erişim 2026-10-14

4702

Zamanlanmış görev güncellendi

Security

Bir zamanlanmış görev her güncellendiğinde veya değiştirildiğinde üretilir. TaskContentNew alanı yeni XML tanımını içerir.

Alanlar, ilişkilendirme ve uyarılar

Nasıl kullanılır

Eylemi değiştirilmiş, mevcut ve meşru görünen görevleri arayın; TaskContentNew alanını önceki 4698 kaydıyla veya bilinen sağlam bir kopyayla karşılaştırın.

Uyarılar

Audit Other Object Access Events etkin olmalıdır. Önceki tanım bu kayıtta yer almaz.

Alanlar

SubjectUserSid · SubjectUserName · SubjectDomainName · SubjectLogonId · TaskName · TaskContentNew

Kaynak: Microsoft Learn — 4702(S) A scheduled task was updated · erişim 2026-10-14

PowerShell 1

4104

Betik bloğu günlüğü

Microsoft-Windows-PowerShell/Operational

Script Block Logging etkinleştirildiğinde Windows PowerShell işlediği betik bloklarının içeriğini bu olaya kaydeder.

Alanlar, ilişkilendirme ve uyarılar

Nasıl kullanılır

Çalışma anında çözülen veya üretilen kod dahil, gerçekten çalıştırılan kodu ortaya çıkarır. Birden fazla kayda bölünmüş uzun betikleri betik bloğu kimliğini kullanarak birleştirin; powershell.exe işlemi için 4688 ile ilişkilendirin.

Uyarılar

Grup İlkesi veya kayıt defteri ile etkinleştirilmelidir. Protected Event Logging kullanılıyorsa içerik şifrelenir ve okumak için özel anahtar gerekir. PowerShell 7 ayrı bir PowerShellCore günlüğüne yazar.

Kaynak: Microsoft Learn — about_Logging (Windows PowerShell 5.1) · erişim 2026-10-14

Uzak Masaüstü 3

Uzak Masaüstü Hizmetleri: Oturum açma başarılı

Microsoft-Windows-TerminalServices-LocalSessionManager/Operational

Bir oturum açma başarılı olduğunda Yerel Oturum Yöneticisi tarafından kaydedilir. İletide kullanıcı, oturum kimliği ve kaynak ağ adresi yer alır.

Alanlar, ilişkilendirme ve uyarılar

Nasıl kullanılır

Güvenlik günlükleri eksik olsa bile bilgisayardaki etkileşimli veya RDP oturumlarını doğrular. Kaynak adresi LogonType 10 içeren 4624 kaydıyla ve aynı oturum kimliğine ait 24/25 kayıtlarıyla karşılaştırın.

Uyarılar

Listelenen adlar arşivlenmiş Windows Server 2008 R2 belgelerindeki ileti etiketleridir, XML alan adları değildir. Konsol oturumlarında kaynak adresi yerel görünür.

Alanlar

User · Session ID · Source Network Address

Kaynak: Microsoft Learn — Event ID 21 — Remote Desktop Services Availability · erişim 2026-10-14

Uzak Masaüstü Hizmetleri: Oturum bağlantısı kesildi

Microsoft-Windows-TerminalServices-LocalSessionManager/Operational

Bir oturumun bağlantısı kesildiğinde kaydedilir. İletide kullanıcı, oturum kimliği ve kaynak ağ adresi yer alır.

Alanlar, ilişkilendirme ve uyarılar

Nasıl kullanılır

Oturum açık kalırken etkin bağlantının sona erdiğini gösterir; farklı adreslerden yapılan yeniden bağlanmaları bulmak için 25 ile eşleştirin.

Uyarılar

Bağlantının kesilmesi oturum kapatma değildir. Arşivlenmiş Windows Server 2008 R2 belgelerinden alınmıştır; alan adları ileti etiketleridir.

Alanlar

User · Session ID · Source Network Address

Kaynak: Microsoft Learn — Event ID 24 — Remote Desktop Services Availability · erişim 2026-10-14

Uzak Masaüstü Hizmetleri: Oturuma yeniden bağlanma başarılı

Microsoft-Windows-TerminalServices-LocalSessionManager/Operational

Kullanıcı mevcut bir oturuma yeniden bağlandığında kaydedilir. İletide kullanıcı, oturum kimliği ve kaynak ağ adresi yer alır.

Alanlar, ilişkilendirme ve uyarılar

Nasıl kullanılır

Mevcut bir oturuma yeni bir adresten yeniden bağlanılması, oturumun başka bir konumdan devralındığını gösterebilir; 4778 ile karşılaştırın.

Uyarılar

Arşivlenmiş Windows Server 2008 R2 belgelerinden alınmıştır; alan adları ileti etiketleridir.

Alanlar

User · Session ID · Source Network Address

Kaynak: Microsoft Learn — Event ID 25 — Remote Desktop Services Availability · erişim 2026-10-14

Microsoft Defender Virüsten Koruma 2

1116

Kötü amaçlı yazılımdan koruma platformu kötü amaçlı veya istenmeyen olabilecek yazılım algıladı

Microsoft-Windows-Windows Defender/Operational

Microsoft Defender Virüsten Koruma kötü amaçlı veya istenmeyen olabilecek bir yazılım algılamıştır. Tehdit adını, önem derecesini, yolu, algılama kaynağını, kullanıcıyı ve işlemi kaydeder.

Alanlar, ilişkilendirme ve uyarılar

Nasıl kullanılır

Path ve Process Name ilgili dosyayı ve işlemi gösterir; zamanı dosya sistemi zaman damgaları ve işlem kayıtlarıyla karşılaştırın. Hangi eylemin yapıldığını görmek için ardından gelen 1117 kaydını kontrol edin.

Uyarılar

Algılama bir imza eşleşmesini belirtir; dosyanın çalıştırıldığını veya dosyayı kimin yerleştirdiğini kanıtlamaz. Alan adları Microsoft'un listelediği etiketlerdir.

Alanlar

Name · ID · Severity · Category · Path · Detection Origin · Detection Type · Detection Source · User · Process Name · Signature Version · Engine Version

Kaynak: Microsoft Learn — Microsoft Defender Antivirus event IDs and error codes · erişim 2026-10-14

1117

Kötü amaçlı yazılımdan koruma platformu sisteminizi korumak için bir eylem gerçekleştirdi

Microsoft-Windows-Windows Defender/Operational

Microsoft Defender Virüsten Koruma algılanan yazılım üzerinde bir eylem (karantinaya alma veya kaldırma gibi) gerçekleştirmiştir. Eylemi, durumunu ve varsa hatayı kaydeder.

Alanlar, ilişkilendirme ve uyarılar

Nasıl kullanılır

Tehdidin gerçekten giderilip giderilmediğini belirleyin: Allow, No action veya None eylemleri tehdidi yerinde bırakır. Karantinaya alınan öğeler inceleme için geri alınabilir olabilir.

Uyarılar

Başarılı bir eylem, tehdidin daha önce çalışmadığı anlamına gelmez. Alan adları Microsoft'un listelediği etiketlerdir.

Alanlar

Name · ID · Severity · Category · Path · Detection Origin · Detection Type · Detection Source · User · Process Name · Action · Action Status · Error Code · Error Description · Signature Version · Engine Version

Kaynak: Microsoft Learn — Microsoft Defender Antivirus event IDs and error codes · erişim 2026-10-14