Laboratuvar

Kayıt avı: kayıtları sorgulayın

Uydurma bir günün oturum açma, posta kutusu, web, DNS, vekil sunucu ve süreç kayıtlarını SIEM tarzı bir sorgu diliyle arayın; altı görevin sorularını bulduklarınızdan yanıtlayın.

Düzey: Başlangıçtan ortayaBeceriler: Kayıt analizi, tehdit avı

Yerelde çalışırUydurma veri. İlerleme yalnızca bu tarayıcıda tutulur.

Benzetim: uydurma veri

Kuzey Lojistik A.Ş.'de bir gün

12 Mart 2026 Perşembe, 00.00–24.00. 34 kişilik bir lojistik şirketi altı kayıt kaynağını SIEM'e gönderiyor: oturum açma, posta kutusu denetimi, müşteri portalı, DNS, web vekil sunucusu ve süreç başlatma. Sıradan trafiğin arasına beş olay gizlenmiş. Kayıtları sorgu çubuğuyla arayın; her görevin sorularını kayıtların gösterdiğine dayanarak yanıtlayın.

SIEM (güvenlik bilgi ve olay yönetimi), farklı kaynaklardan gelen kayıtları tek yerde toplayıp birlikte aranabilir kılan sistemdir. Buradaki sorgu dili, SIEM arama araçlarının dikey çizgili (pipe) yazımından örnek alınmış küçük bir alt kümedir; anladığı her şey aşağıdaki kılavuzda.

Oturum açma: –
Posta kutusu denetimi: –
Müşteri portalı: –
DNS: –
Web vekil sunucusu: –
Süreç başlatma: –
Günün kayıtları: –

Görevler

34 sorudan 0 tanesi yanıtlandı

Isınma: günü tanıyın

Düzey: GirişKaynaklar: authweb4 soru

0/4

Ava çıkmadan önce analist normalin neye benzediğini öğrenir: kaç kayıt var, en çok hangi kaynak konuşuyor, şirket hangi saatlerde yoğun. Buradaki her yanıt tek bir kısa sorgudan çıkar.

Örnek sorguları ve sonuçların solundaki alan listesini dilediğiniz gibi kullanın; çalıştırdığınız hiçbir şey veriyi değiştirmez.

1Günde toplam kaç kayıt var?
Yanıt
2En çok kaydı hangi kaynak üretti? source değerini yazın.
Yanıt
3Müşteri portalı en çok isteği hangi saatte (0–23) aldı?
Yanıt
4Oturum açma kaydında kaç başarısız giriş (result=failure) var?
Yanıt

Analist özeti, bu görevin bütün soruları yanıtlanınca açılır.

Parola püskürtme ve ele geçirilen posta kutusu

Düzey: BaşlangıçKaynaklar: authmail6 soru

0/6

09.50. Müşteri B'nin finans ekibi arıyor: muhasebe ekibimizden birinden, Kuzey Lojistik'in banka hesabının değiştiğini bildiren bir e-posta almışlar. Muhasebede kimse böyle bir ileti gönderdiğini hatırlamıyor.

Oturum açma kaydından başlayın. Parola püskürtme (password spraying), hiçbir hesap kilitlenmesin diye tek bir yaygın parolayı çok sayıda hesapta denemektir.

1En çok başarısız giriş hangi IP adresinden geldi?
Yanıt
2Bu adres kaç farklı kullanıcı adı denedi?
Yanıt
3Bu adres hangi hesaba girmeyi başardı?
Yanıt
4İlk başarılı giriş hangi istemciyle yapıldı? client değerini yazın.
Yanıt
5İlk başarılı giriş saat kaçta oldu? SS:DD:ss biçiminde yazın.
Yanıt
6Saldırgan posta kutusunda bir gelen kutusu kuralı oluşturdu. Kural iletileri hangi adrese yönlendiriyor?
Yanıt

Analist özeti, bu görevin bütün soruları yanıtlanınca açılır.

Analist özeti

Ne oldu

03.12 ile 03.49 arasında 203.0.113.45, IMAP üzerinden 30 kullanıcı adında hesap başına bir parola denedi. İkinci turda s.aksoy hesabının parolası tuttu (03.47.21). IMAP ve EWS, MFA istemi göstermeyen eski protokoller olduğu için parola tek başına yetti. Saldırgan ardından posta kutusuna yönlendirme kuralı gizledi, 1.240 ileti okudu, mesai saatini bekledi ve 09.33'te gerçek muhasebe adresinden müşterilere iki “yeni banka bilgisi” e-postası gönderip bunları Gönderilmiş Öğeler'den sildi.

Zaman çizelgesi

03:12:04Püskürtmenin ilk turu başlıyor: 30 ad, her birine bir deneme.
03:41:30İkinci tur başlıyor.
03:47:21s.aksoy hesabına başarılı IMAP girişi.
03:52:10EWS girişi; saldırgan kural yönetebilen bir protokole geçiyor.
03:55:02“..” adlı gelen kutusu kuralı fatura ve ödeme iletilerini dışarı yönlendiriyor.
03:58:301.240 ileti toplu olarak okunuyor.
09:33:40Müşteri B'ye ilk sahte banka bilgisi e-postası.
09:36:00Gönderilen iletiler Silinmiş Öğeler'e taşınıyor.

Kontrol altına alma ve sonraki adımlar

s.aksoy'un parolasını sıfırlayın ve bütün etkin oturumları ve belirteçleri iptal edin; yalnızca yeni parola açık bir EWS oturumunu sonlandırmaz.
“..” kuralını silin; ardından bütün posta kutularında şirket dışına yönlendiren kuralları arayın.
Müşteri B ve Müşteri C'yi e-postadaki değil, elinizde zaten olan numaradan arayın: banka bilgileri değişmedi. Finanstan, yönü değiştirilmiş bir ödeme olup olmadığını sorun.
Bütün kiracı için eski kimlik doğrulamayı (temel kimlik doğrulamalı IMAP, POP, EWS) kapatın. Girişi durduracak denetim budur.
203.0.113.45'i şimdilik engelleyin ama buna güvenmeyin: püskürtme araçları adres değiştirir.

Bunu yakalayacak tespit kuralı

Tek kaynak, çok hesap. Tek bir adres on ya da daha fazla farklı hesapta başarısız olduğunda tetiklenir. Gerçek ortamda bir saatlik pencerede sayın.

source=auth result=failure | stats dc(user) count by src_ip | where dc(user)>=10

Dışarı yönlendiren kural. Yönlendirme adresi şirket adresi olmayan her yeni gelen kutusu kuralı.

source=mail operation=New-InboxRule forward_to=* NOT forward_to=*@kuzeylojistik.example

ATT&CK eşlemesi

T1110.003Kaba kuvvet: parola püskürtme
T1078Geçerli hesaplar
T1114.003E-posta toplama: yönlendirme kuralı
T1564.008İzleri gizleme: e-posta gizleme kuralları
T1656Kimliğe bürünme

Müşteri portalında tarama ve SQL enjeksiyonu

Düzey: Başlangıçtan ortayaKaynaklar: web6 soru

0/6

10.50. Yazılım ekibi, veritabanı sunucusunun işlemcisinin 10.40 civarında sıçradığını ve gönderi takip sayfasının bir süre hata verdiğini bildiriyor. portal.kuzeylojistik.example, müşteriler gönderilerini izleyebilsin diye internete açık.

SQL enjeksiyonu, bir sayfanın arkasındaki veritabanı sorgusunu değiştirecek biçimde girdi yazılmasıdır. Erişim kayıtlarında sorgu dizesinde tırnaklar, yorum işaretleri ve SQL sözcükleri olarak görünür.

1En çok hata yanıtı (durum kodu 400 ya da üstü) hangi IP adresine gitti?
Yanıt
2Bu adres kaç farklı yol (path) istedi?
Yanıt
3/track isteklerinin user_agent alanında hangi aracın adı geçiyor?
Yanıt
4Sorgu dizesindeki hangi parametre kurcalanıyordu?
Yanıt
5Bu adresin isteklerinden kaçı 500 durum koduyla sonuçlandı?
Yanıt
6Başarılı yanıtlardan biri ötekilerden çok daha büyüktü. Kaç bayttı?
Yanıt

Analist özeti, bu görevin bütün soruları yanıtlanınca açılır.

Analist özeti

Ne oldu

198.51.100.23 önce portalı bir sözcük listesiyle taradı (93 yol, 10.14–10.16). On yedi dakika sonra sqlmap ile /track sayfasının shipment parametresine saldırdı: tırnak hata üretti, doğru/yanlış testleri enjeksiyonu doğruladı, ORDER BY beş sütun buldu, UNION SELECT veritabanı sürümünü, tablo listesini ve customers tablosunun sütunlarını okudu; 10.43.08'de 1,48 MB'lık bir yanıt müşteri tablosunu döndürdü. 10.44'teki iki oturum açma denemesi başarısız oldu.

Zaman çizelgesi

10:14:03Sözcük listesi taraması başlıyor (gobuster).
10:16:58Tarama 93 yoldan sonra bitiyor.
10:31:12sqlmap, shipment parametresini denemeye başlıyor.
10:43:08customers üzerinde UNION SELECT 1.482.960 bayt döndürüyor.
10:44:41Son istek: başarısız bir oturum açma denemesi.

Kontrol altına alma ve sonraki adımlar

/track'in arkasındaki sorguyu parametreli ifadelerle düzeltin; tırnakları süzmek düzeltme değildir.
Düzeltme yayına alınana kadar parametre için bir WAF kuralı ekleyin ve 198.51.100.23'ü engelleyin.
Başka bir şeyi değiştirmeden önce web sunucusu ve veritabanı kayıtlarını ve bir veritabanı anlık görüntüsünü saklayın; tam olarak neyin okunduğunu bunlar gösterir.
Uygulamanın veritabanı hesabına yalnızca gereken yetkileri verin: takip sayfasının information_schema'yı ya da customers tablosunu okumak için bir nedeni yok.
Müşteri adları, e-posta adresleri, telefon numaraları ve IBAN'ları açığa çıktı. KVKK m. 12/5 kapsamındaki bildirim yükümlülüğünü (Kurul kararıyla süre 72 saat) değerlendirmek için veri koruma sorumlusunu ve hukuk ekibini sürece katın.

Bunu yakalayacak tespit kuralı

Sözcük listesi taraması. Tek bir adresin yirmi ya da daha fazla farklı yolda hata alması.

source=web status>=400 | stats dc(path) count by src_ip | where dc(path)>=20

Sorgu dizesinde SQL sözcükleri. Sorgu dizesinde SQL yazımı taşıyan istekler ve her adresin aldığı en büyük yanıt.

source=web (query="*UNION*SELECT*" OR query="*ORDER BY*" OR query="*' AND *") | stats count max(bytes) by src_ip

ATT&CK eşlemesi

T1595.003Etkin tarama: sözcük listesi taraması
T1190İnternete açık uygulamayı istismar

DNS sorgularına gizlenmiş veri

Düzey: OrtaKaynaklar: dnsprocessproxy6 soru

0/6

16.10. Ağ ekibi, iç DNS çözümleyicisinin bu öğleden sonra internete alışılmadık sayıda TXT sorgusu ilettiğini fark ediyor. Vekil sunucuda göze batan bir şey yok.

DNS tünelleme, veriyi sorgulanan adların içine yerleştirir; örneğin saldırganın denetlediği bir alan adının önüne uzun, rastgele bir etiket ekler. Her sorgu, doğrudan internet erişimini engelleyen ağlardan bile saldırganın ad sunucusuna ulaşır.

1Hangi alan adı en çok farklı adla sorgulandı?
Yanıt
2Bu sorguları hangi iç bilgisayar gönderdi?
Yanıt
3Bu alan adına kaç sorgu gitti?
Yanıt
4Bu sorguların neredeyse tamamı hangi kayıt türünü kullanıyor?
Yanıt
5Bu alan adında sorgulanan en uzun ad kaç karakter?
Yanıt
6İlk sorgudan kısa süre önce o bilgisayarda hangi program başladı?
Yanıt

Analist özeti, bu görevin bütün soruları yanıtlanınca açılır.

Analist özeti

Ne oldu

12.58'de t.cetin, tools.freeware.example adresinden bir araç indirdi ve 13.04'te çalıştırdı. Program 13.05 ile 15.45 arasında exfil.example'a 262 sorgu gönderdi: 103 karaktere kadar uzanan rastgele Base32 etiketleri, neredeyse tamamı TXT, makineye özgü bir ritimle. Her etiket kabaca 40–60 bayt taşıyor; toplam on kilobayt mertebesinde. Az görünür ama parolalar, anahtarlar ya da bir belge için yeter. Veri, şirketin kendi çözümleyicisi üzerinden DNS olarak gittiği için vekil sunucu hiçbir şey görmedi.

Zaman çizelgesi

12:58:20tools.freeware.example adresinden indirme (2,4 MB).
13:04:51dnshelper.exe KL-WS-031'de başlıyor.
13:05:14İlk sorgu: init.exfil.example.
13:05:40Uzun rastgele adlı TXT sorguları başlıyor.
15:45:39Son sorgu.

Kontrol altına alma ve sonraki adımlar

KL-WS-031'i ağdan yalıtın; belleğin toplanabilmesi için açık bırakın.
dnshelper.exe dosyasını ve özetini (hash) toplayın; ardından çözümleyicide exfil.example ve tools.freeware.example için çukur (sinkhole) tanımlayın.
Bütün DNS kayıtlarında iki alan adını da arayın: bir bilgisayar nadiren yalnızdır.
İş istasyonunda neler bulunduğunu ve kullanıcının nelere erişebildiğini çıkarın; orada kullanılan gizli bilgileri açığa çıkmış sayın ve değiştirin.
Yazılım kurulumuna yalnızca onaylı listeden izin verin ve iş istasyonlarının DNS'e yalnızca iç çözümleyici üzerinden ulaşabildiğinden emin olun.

Bunu yakalayacak tespit kuralı

Tek alan adı altında çok sayıda benzersiz ad. Bir bilgisayarın bir gün içinde aynı alan adı altında elli ya da daha fazla farklı ad sorması.

source=dns | stats dc(query) count by domain,host | where dc(query)>=50

Alışılmadık uzunlukta adlar. 60 ya da daha fazla karakterli adlar. Eşiği kendi CDN ve güvenlik ürünlerinize göre ayarlayın.

source=dns qlen>=60 | stats count by host,domain

ATT&CK eşlemesi

T1204.002Kullanıcı yürütmesi: kötü amaçlı dosya
T1071.004Uygulama katmanı protokolü: DNS
T1132.001Veri kodlama: standart kodlama

Mesai dışında büyük yükleme

Düzey: OrtaKaynaklar: proxyauthprocess6 soru

0/6

Cuma sabahı. İK, satış ekibinden birinin bu hafta istifasını verdiğini söylüyor. Veri kaybı önleme (DLP) ürünü yok; elinizdeki tek görünüm vekil sunucu ve VPN kayıtları.

12 Mart'ta mesai sonrasında şirketten büyük miktarda veri çıkıp çıkmadığını, kimin gönderdiğini ve nereye gittiğini bulun.

120.00'den sonra vekil sunucu üzerinden en çok baytı hangi kullanıcı gönderdi?
Yanıt
2Bu verinin çoğu hangi alan adına gitti?
Yanıt
320.00'den sonra bu adrese kaç yükleme isteği gönderdi?
Yanıt
4Bu yüklemeler toplam kaç bayt etti?
Yanıt
5Bundan önce vekil sunucu onun iki yüklemesini engelledi. Hangi alan adına?
Yanıt
6O akşam VPN'e saat kaçta bağlandı? SS:DD:ss biçiminde yazın.
Yanıt

Analist özeti, bu görevin bütün soruları yanıtlanınca açılır.

Analist özeti

Ne oldu

İstifasını vermiş bir satış çalışanı 22.30'da VPN'e bağlandı; upload.quickdrop.example'ı denediğinde vekil sunucu iki kez engelledi. Satış teklifleri klasörünü 7-Zip ile 400 MB'lık parçalara böldü ve 22.41 ile 23.14 arasında toplam 4,2 GB tutan 14 parçayı onaylı dosya paylaşım hizmetine yükledi. Burada ne zararlı yazılım ne de çalınmış kimlik bilgisi gerekti: meşru erişimini kullanan bir içeriden kişi söz konusu.

Zaman çizelgesi

22:30:12Evden VPN bağlantısı.
22:35:40upload.quickdrop.example'a yükleme engellendi.
22:39:557-Zip, D:\Satis\Musteri_Teklifleri klasörünü 400 MB'lık parçalara bölüyor.
22:41:10files.sharebox.example'a 14 yüklemenin ilki.
23:14:01Son yükleme; toplam 4,2 GB.

Kontrol altına alma ve sonraki adımlar

Çalışanla konuşmadan önce İK'yı ve hukuk ekibini bilgilendirin; konuşmanın nasıl geçtiği neyi geri alabileceğinizi etkiler.
Vekil sunucu, VPN ve iş istasyonu kayıtlarını ve dizüstü bilgisayarın imajını saklayın.
İK ile birlikte, kalan ihbar süresi boyunca VPN ve dosya paylaşımı erişimini sınırlayın.
files.sharebox.example bir şirket kiracısıysa yöneticisi yüklenen dosyaları görebilir ve paylaşım bağlantılarını iptal edebilir; kişisel bir hesapsa süreci hukuk yürütmelidir.
Tekliflerin müşteri temsilcilerine ait kişisel veri içerip içermediğini kontrol edin; içeriyorsa KVKK değerlendirmesi burada da geçerlidir.

Bunu yakalayacak tespit kuralı

Mesai dışı büyük yükleme. Bir kullanıcının 20.00'den sonra tek bir hedefe 500 MB'tan fazla göndermesi. Her kullanıcıyı kendi olağan hacmiyle karşılaştırmak daha da iyi sonuç verir.

source=proxy earliest=20:00 | stats sum(bytes_out) count by user,url_domain | where sum(bytes_out)>=500000000

Önce engellendi, sonra izinli. Engelli bir dosya paylaşım sitesine takılan ve izinli birini de kullanan kullanıcı.

source=proxy category=file-sharing | stats dc(url_domain) dc(action) count by user | where dc(action)>=2

ATT&CK eşlemesi

T1560.001Toplanan veriyi arşivleme: araçla arşivleme
T1567.002Web hizmeti üzerinden sızdırma: bulut depolamaya sızdırma

PowerShell başlatan fatura

Düzey: Ortadan ileriyeKaynaklar: processdnsproxymail6 soru

0/6

11.40. Satın almadan biri yardım masasını arıyor: bir tedarikçiden gelen fatura on bir buçuk sularında “düzgün açılmamış”. İş istasyonları süreç başlatma olaylarını SIEM'e gönderiyor; üzerlerinde henüz EDR yok.

EDR (uç nokta tespit ve müdahale), bir bilgisayardaki şüpheli davranışı kaydeder ve engeller. Yokluğunda süreçler arasındaki üst-alt ilişkisi ana ipucudur: Word'ün bir komut kabuğu başlatması için bir neden yoktur.

1PowerShell'i en seyrek hangi program başlattı ve bu yüzden göze batıyor?
Yanıt
2Bu hangi bilgisayarda oldu?
Yanıt
3Word hemen önce hangi dosyayı açtı? Dosya adını yazın.
Yanıt
4PowerShell hangi alan adına bağlandı?
Yanıt
5PowerShell, yeniden başlatmadan sonra da çalışmak için zamanlanmış bir görev oluşturdu. Görevin adı ne?
Yanıt
6Görevden hemen sonra PowerShell, kullanıcıyı tanımak için bir program daha çalıştırdı. Hangi program?
Yanıt

Analist özeti, bu görevin bütün soruları yanıtlanınca açılır.

Analist özeti

Ne oldu

11.26'da m.celik bir e-postadan Fatura_2026-03.docm dosyasını açtı. Belgedeki makro, kodlanmış komutla gizli bir PowerShell başlattı; bu da cdn-update.example adresinden bir betik indirip bellekte çalıştırdı (11.27.05–07). Betik yedi saniye içinde her oturum açılışında yeniden çalışacak WinSyncHelper adlı bir zamanlanmış görev kurdu ve whoami ile kullanıcının ayrıcalıklarına baktı. Bu, tipik bir saldırının açılışı: ilk erişim, yürütme, kalıcılık, keşif. Sonraki adımlar genellikle kimlik bilgisi hırsızlığı ve yanal hareket olur.

Zaman çizelgesi

11:24:58m.celik iletiyi açıyor.
11:26:40Word, Fatura_2026-03.docm dosyasını açıyor.
11:27:05Word, kodlanmış komutla gizli PowerShell başlatıyor.
11:27:06cdn-update.example için DNS sorgusu.
11:27:0748 KB'lık betik vekil sunucu üzerinden indiriliyor.
11:27:09WinSyncHelper zamanlanmış görevi oluşturuluyor.
11:27:12whoami /all.

Kontrol altına alma ve sonraki adımlar

KL-WS-022'yi yalıtın. Silmeden önce görevi, C:\Users\Public\sync.ps1 dosyasını ve .docm belgesini toplayın.
cdn-update.example ve 203.0.113.80'i vekil sunucuda ve DNS'te engelleyin.
Aynı e-postayı (gönderen, konu, ek adı) bütün posta kutularında bulun ve kaldırın; başka kimin açtığını sorun.
m.celik'in parolasını temiz bir bilgisayardan sıfırlayın ve hesabın başka yerlerde görünüp görünmediğini izleyin.
İnternetten gelen dosyalardaki makroları ilkeyle engelleyin ve Office uygulamalarının alt süreç oluşturmasını engelleyen saldırı yüzeyi azaltma kuralını etkinleştirin.

Bunu yakalayacak tespit kuralı

Office bir kabuk başlatıyor. Bir Office uygulamasının başlattığı her komut kabuğu ya da betik çalıştırıcı.

source=process (parent=WINWORD.EXE OR parent=EXCEL.EXE OR parent=OUTLOOK.EXE OR parent=POWERPNT.EXE) (image=powershell.exe OR image=cmd.exe OR image=wscript.exe OR image=mshta.exe)

Yönetim araçları dışında kodlanmış PowerShell. Kodlanmış komutlar bazı yönetim aracıları için olağandır; bildiklerinizi dışarıda bırakın, kalanlara bakın.

source=process image=powershell.exe cmdline="*-enc*" parent!=CcmExec.exe

ATT&CK eşlemesi

T1566.001Oltalama: hedefli ek
T1204.002Kullanıcı yürütmesi: kötü amaçlı dosya
T1059.001Komut ve betik yorumlayıcı: PowerShell
T1027Gizlenmiş dosya ya da bilgi
T1105Araç aktarımı
T1053.005Zamanlanmış görev
T1033Sistem sahibi ve kullanıcı keşfi

Arama

Sorgu

Çalıştırmak için Enter'a basın. Yukarı ve aşağı oklar önceki sorguları getirir.

Örnek sorgular

Saatlere göre kayıt

Aramayı bir saate daraltmak için çubuğu seçin; kaldırmak için yeniden seçin.

Alanlar

Eşleşen kayıtlarda en sık görülen değerler. Birini filtre olarak ekleyin ya da hariç tutun.

Sonuçlar

Sorgu dili kılavuzu

Arama

Yazım	Anlamı	Örnek
`word`	Herhangi bir alanında bu sözcüğü içeren kayıtlar. Büyük-küçük harf fark etmez.
`"two words"`	Boşluk içeren bir ifade; tek parça olarak aranır.
`field=value`	Alan, değere tam olarak eşit (büyük-küçük harf duyarsız).
`field!=value`	Alan var ve değerden farklı. NOT alan=değer, alanı hiç olmayan kayıtları da getirir.
`field>n < >= <=`	Sayısal karşılaştırma. 09:30 gibi saatler de karşılaştırılabilir.
`*`	Joker karakter: herhangi sayıda karakter. alan=* alanın var olduğu anlamına gelir.
`AND, OR, NOT, ( )`	Yan yana yazılan terimler AND ile birleşir. OR ve NOT büyük harfle yazılır; parantez gruplar.
`earliest= latest=`	Bütün aramanın zaman aralığı. earliest dahildir, latest dahil değildir.

Dikey çizgiden | sonra komutlar

Yazım	Anlamı	Örnek
`\| count \| count by f`	Sonuç sayısı; toplam ya da bir alanın her değeri için.
`\| top N f \| rare N f`	En sık (ya da en seyrek) değerler; sayı ve yüzdeyle. N verilmezse 10.
`\| dc(f) by g`	Farklı değer sayısı: her g için f'nin kaç farklı değer aldığı.
`\| stats sum(f) avg(f) min(f) max(f) count by g`	Birden çok hesaplama bir arada. Sonuç ilk hesaplamaya göre büyükten küçüğe sıralanır.
`\| sort -f \| sort f`	Bir alana göre sıralar; eksi işareti büyükten küçüğe demektir. Birden çok alan yazılabilir.
`\| table f1,f2`	Yalnızca bu sütunları, bu sırayla gösterir.
`\| head N \| tail N`	İlk ya da son N sonuç (varsayılan 10). Kayıtlar en yeniden eskiye listelenir.
`\| dedup f`	Alanın her değeri için ilk sonucu bırakır.
`\| where condition`	Hesaplanan satırları aramayla aynı yazımla süzer.

Kayıt kaynakları ve alanları

source Kayıt kaynağı: auth, mail, web, dns, proxy, processtime Olayın saati, SS:DD:sshour Olayın saati, 0–23 (hesaplanan alan)

source=authOturum açma

Windows oturum açmaları, şirket uygulamalarına tek oturum açma (SSO) girişleri ve VPN bağlantıları.

user: Hesap adı
src_ip: Girişin geldiği adres
result: success (başarılı) ya da failure (başarısız)
method: windows, sso ya da vpn
app: SSO ile girilen uygulama: mail, portal, erp, hr
client: browser, outlook, mobile, vpn-client ya da MFA istemi çıkmadan parola kabul eden eski protokoller imap ve ews
country: Benzetim GeoIP sorgusundan gelen ülke kodu
reason: Başarısızlık nedeni: bad_password, unknown_user, mfa_denied
host: Windows girişlerinde bilgisayar adı

source=mailPosta kutusu denetimi

Posta kutularının içinde yapılanlar: gönderilen iletiler, okunan öğeler, oluşturulan kurallar.

operation: Yapılan işlem: Send, MailItemsAccessed, New-InboxRule ya da MoveToDeletedItems
rule_name: Gelen kutusu kuralının adı
rule_condition: Kuralın hangi iletilerde çalıştığı
forward_to: Kuralın iletileri yönlendirdiği adres
folder: İlgili klasör
subject: Gönderilen iletinin konusu
recipient: Gönderilen iletinin alıcısı
items: İşlem gören öğe sayısı

source=webMüşteri portalı

portal.kuzeylojistik.example için nginx erişim kaydı. SIEM, sorgu dizesini URL kodlamasından çözülmüş olarak saklar.

method: HTTP yöntemi
path: İstenen yol
query: Sorgu dizesi
status: HTTP durum kodu
bytes: Yanıtın boyutu
user_agent: İstemcinin kendini tanıttığı yazılım adı

source=dnsDNS

İç DNS çözümleyicisinin sorgu kaydı.

host: Sorguyu soran bilgisayar
query: Çözümlenmek istenen ad
qtype: Kayıt türü: A, AAAA, TXT, SRV
rcode: NOERROR ya da NXDOMAIN (ad yok)
answer: Dönen yanıt
domain: Kayıtlı alan adı; adın son iki etiketi
qlen: Sorgulanan adın karakter sayısı

source=proxyWeb vekil sunucusu

Personel bilgisayarlarından çıkan her web isteği vekil sunucudan geçer; kategori politikası burada uygulanır.

url_domain: Hedef alan adı
category: Vekil sunucunun atadığı kategori
action: allowed (izin verildi) ya da blocked (engellendi)
bytes_out: Şirketten gönderilen bayt
bytes_in: Alınan bayt

source=processSüreç başlatma

İş istasyonu ve sunuculardaki süreç başlatma olayları; Sysmon olay 1'e benzer.

image: Başlayan program
parent: Onu başlatan program
pid: Süreç numarası
ppid: Üst sürecin numarası
cmdline: Tam komut satırı

Her laboratuvar uydurma veri kullanır ve yalnızca savunma işini canlandırır. Sahibi olmadığınız ya da yazılı izin almadığınız sistemleri denemeyin: bilişim sistemine hukuka aykırı erişim suçtur (TCK m. 243).