Windows Olay Kimlikleri Listesi: 4624 ve 4625 Nasıl Okunur?

Windows olay kimlikleri, Windows'un olay günlüklerine yazdığı her olay türünün sabit numarasıdır. 4624 başarılı oturum açmayı, 4625 başarısız denemeyi, 4720 yeni kullanıcı hesabını, 4688 yeni süreci, 1102 güvenlik günlüğünün temizlendiğini söyler. Tek numara hüküm vermez. SOC analisti numaranın yanında oturum türüne, hata koduna, kaynak adrese ve olayların sırasına bakar.

Windows olay kimlikleri nerede görünür?

Olay kimliklerini Olay Görüntüleyicisi'nde ve PowerShell'de görürsün. Oturum, hesap ve yetki olayları Security (Güvenlik) günlüğüne, hizmet kurulumu System günlüğüne, PowerShell betik kayıtları Microsoft-Windows-PowerShell/Operational günlüğüne düşer.

Olay Görüntüleyicisi'nde aramak için:

1. Win+R ile Çalıştır penceresini aç, eventvwr.msc yaz.
2. Windows günlükleri bölümünde Güvenlik günlüğünü seç (İngilizce arayüzde Windows Logs > Security).
3. Sağdaki bölmeden geçerli günlüğü filtreleme seçeneğini aç (Filter Current Log) ve olay kimliği kutusuna 4625 yaz.
4. Bir kaydı açınca alanları düz metin olarak, ayrıntı görünümünde XML olarak görürsün.

Aynı işi PowerShell'de Get-WinEvent yapar. PowerShell'i yönetici olarak aç, yoksa Security günlüğünü okurken hata alabilirsin. Günlük adını süzgecin içine, LogName anahtarı olarak yaz:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625} -MaxEvents 20

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625} -MaxEvents 1 | Format-List -Property *

Get-WinEvent -FilterHashtable @{LogName='Security'; StartTime=(Get-Date).AddHours(-24)} |
Group-Object -Property Id -NoElement | Sort-Object -Property Count -Descending
```

İlk komut son 20 başarısız oturum açmayı listeler. İkincisi tek bir kaydın bütün alanlarını gösterir. Üçüncüsü son 24 saatte hangi kimlikten kaç kayıt düştüğünü sayar.

Zamana dikkat et. XML'deki SystemTime değeri UTC'dir, sondaki Z bunu gösterir. Olay Görüntüleyicisi ise bilgisayarın yerel saatini gösterir. Türkiye UTC+3'te olduğu için kayıtları karşılaştırmadan önce tek saat dilimine çevir.

Event ID 4625 nedir, başarısız oturum açma nasıl okunur?

4625, bir hesabın oturum açamadığı her denemede yazılan olaydır. Microsoft'a göre kayıt denemenin yapıldığı bilgisayarda oluşur: iş istasyonunda, üye sunucuda ya da etki alanı denetleyicisinde. Dosya sunucusuna yapılan denemeyi o sunucunun günlüğünde ararsın.

Bir 4625 kaydında beş alana bakarsın:

• Account For Which Logon Failed > Account Name: Denenen hesap.
• Logon Type: Denemenin nasıl yapıldığı. Türler bir sonraki bölümde.
• Source Network Address ve Workstation Name: Denemenin geldiği adres ve makine adı. 127.0.0.1 ya da ::1 aynı bilgisayar demektir. Kimlik doğrulama yöntemine göre bu alanlar boş ya da - gelebilir.
• Status ve Sub Status: Denemenin neden başarısız olduğu.
• Caller Process Name: Denemeyi yapan programın yolu.

Hata kodları asıl hikâyeyi anlatır. Microsoft'un izlenmesini önerdiği kodlardan bazıları:

Kodları sayı ve kaynakla okursun. Sık görülen üç desen:

• Kaba kuvvet: Tek hesaba çok sayıda 0xC000006A.
• Parola püskürtme: Tek kaynaktan çok sayıda farklı hesaba az sayıda deneme. MITRE ATT&CK'e göre saldırgan sık kullanılan birkaç parolayı çok hesapta dener ve böylece hesap kilitlenmesinden kaçar.
• Hesap keşfi: Art arda gelen 0xC0000064. Var olan kullanıcı adları yoklanıyor olabilir.

Asıl soru şudur: aynı kaynaktan sonra başarılı bir 4624 geldi mi? Başarısız denemeler gürültüdür, ardından gelen başarı olaydır. MITRE'ye göre LDAP ve Kerberos üzerinden yapılan denemeler, başarısız SMB bağlantılarında sık görülen 4625'i daha az tetikler. Bu yüzden etki alanı denetleyicisindeki Kerberos ön doğrulama hatalarına (4771) da bakarsın.

Bunu tarayıcıda dene: Parola Püskürtme İzi görevinde kurgusal bir dosya sunucusunun Security günlüğünü PowerShell komutlarıyla okursun. Gece gelen 4625 dalgasının desenini çıkarır, aynı adresten gelen başarılı 4624'ü bulur, ele geçen hesabı kapatır ve adresi engellersin. Görev tarayıcıda açılır, kurulum gerekmez ve ücretsizdir. Görevin kabul ettiği komutları görmek için terminale yardim yaz. Kilitleme ve MFA gibi önlemler için Hydra ile brute-force ve savunma yazısına bak.

4624 nedir, oturum türleri ne anlatır?

4624, oturum açıldığında erişilen bilgisayarda yazılır. Aynı hesap ve saat, farklı oturum türüyle bambaşka bir anlam taşır. Bu yüzden Logon Type, 4624 ve 4625'in en önemli alanıdır. Tür adları ve anlamları Microsoft'un tanımlarından alındı:

Sonra şu alanlara bakarsın:

• Elevated Token: "Yes" ise oturum yönetici yetkisiyle açılmıştır.
• Logon ID: Aynı oturumun sonraki olaylarını bağlar. Aynı değeri 4672 (özel ayrıcalık atandı) ve 4688 (yeni süreç) kayıtlarında da bulursun. Oturum kapanınca 4634 ya da 4647 yazılır.
• Hesap adının sonu: $ ile biten ad genellikle bir kullanıcıya değil, bir bilgisayar hesabına aittir. Bunlar gün boyu bolca oturum üretir.

Kerberos bilet istekleri (4768, 4769) ve etki alanı hesaplarının NTLM doğrulaması (4776) etki alanı denetleyicisinde aranır. Bu yapıyı Active Directory nedir yazısında okuyabilirsin.

Windows güvenlik olay kimlikleri listesi: SOC hangilerine bakar?

SOC oturum, hesap ve grup değişikliği, yeni süreç ve hizmet, Kerberos ve günlük temizleme olaylarına bakar. Microsoft 4624 ve 4625'i tek başına düşük önemde sayar: beklenmedik biçimde ya da belli bir sürede normalin çok üstünde gelirlerse incelenir. 1102 orta-yüksek, 4719 yüksek önemdedir ve Microsoft'a göre yüksek önemli bir olay tek kez görülse bile incelenir.

Domain Admins global bir grup olduğu için ona ekleme 4728, yerel Administrators grubuna ekleme 4732 üretir. 7045 tek başına alarm değildir, yazılım kurulumları da hizmet ekler.

Oturum türlerini, durum kodlarını ve olay zincirini alıştırmalarla çalışmak istersen Windows olay kimlikleri dersi adım adım ilerler.

Hangi olay dizileri alarm sebebidir?

Alarm çoğu zaman tek olaydan değil, olayların sırasından doğar. SOC'ta en sık göreceğin beş dizi:

1. Püskürtme ve başarı: Bir kaynaktan kısa sürede farklı hesaplara 4625, ardından aynı kaynaktan 4624. O hesabı hemen incele.
2. Sahte yönetici: 4720 ile açılan bir hesap birkaç dakika içinde 4728 ya da 4732 ile yönetici grubuna giriyor. Hesabı açanı Subject bölümü gösterir.
3. Beklenmeyen uzak masaüstü: Alışılmadık bir adresten tür 10 ile 4624, aynı Logon ID ile 4672.
4. Kalıcılık: 7045 ya da 4698 ile alışılmadık bir klasörden çalışan yeni hizmet veya zamanlanmış görev. Süreç tarafını Sysinternals ile şüpheli süreç bulma yazısındaki adımlarla doğrula.
5. İz silme: 1102 (günlük temizlendi) ya da 4719 (denetim ilkesi değişti). 1102'de temizleyen hesabı Subject bölümü gösterir. 4719'un Subject alanında bilgisayar hesabı da görünebilir. Değişiklik planlı değilse nedenini araştır.

Her dizi saldırı değildir. Parolasını yeni değiştiren bir kullanıcının eski parolayı hatırlayan bir cihazı ya da uygulaması da art arda hatalı deneme üretebilir. Kilitlenme kaydındaki (4740) Caller Computer Name alanı, denemenin hangi bilgisayardan geldiğini söyler.

İkinci diziyi Gece Yarısı Yönetici görevinde baştan sona izleyebilirsin: gece açılan hesabın kaydından başlar, grup üyeliğini doğrular, yetkiyi geri alır ve hesabı kapatırsın. Alarm kuyruğunda karar vermeyi denemek istersen SOC Vardiya tarayıcıda çalışan ücretsiz bir SOC simülasyonudur: alarm listesinden vaka seçer, kural, ağ ve cihaz kanıtlarını inceler, gerekçeli karar verirsin. "Başarısız oturum sonrası başarılı giriş" alarmı da orada çıkabilir ve her alarm saldırı değildir.

Aynı "başarısızlık yığını, ardından başarılı giriş" desenini Linux'taki auth.log'da okumayı log analizi nedir yazısında anlattık. Yüzlerce makinenin günlüğünü elle okuyamazsın. Kayıtlar bir SIEM'de toplanır, kurallar bu dizileri otomatik arar. Mantığını SIEM nedir yazısında bulabilirsin.

Olay kaydı hiç düşmüyorsa ne yapmalısın?

Kayıt yoksa önce denetim ilkesine bak. Microsoft'a göre denetimle ilgili ilkelerin pek çoğu varsayılan olarak yapılandırılmamış gelir ve bazı olaylar ancak ilke açıkça ayarlanınca yazılır. Kontrol sırası:

1. Yönetici olarak açtığın komut isteminde auditpol /get /category:* çalıştır. Hangi alt kategorinin başarı ve hata kaydettiğini görürsün.
2. 4688 için Audit Process Creation alt kategorisini aç. Komut satırı için ayrıca "Include command line in process creation events" ilkesini etkinleştir, yoksa bu alan boş gelir.
3. 4104 için Grup İlkesi'nde Administrative Templates > Windows Components > Windows PowerShell altındaki "Turn on PowerShell Script Block Logging" ayarını aç. PowerShell 7'de aynı ayar PowerShell Core şablonundadır, kayıtlar da PowerShellCore/Operational günlüğüne düşer. Betik kayıtlarına parola düşebileceği için Microsoft korumalı olay günlüğünü (Protected Event Logging) de önerir.
4. Günlük boyutunu kontrol et. Döngüsel modda dosya dolunca en eski kayıtların yerine yenileri yazılır. Kayıtları merkezde toplamanın bir nedeni budur.

Ev bilgisayarında 4625 görmek tehlikeli mi?

Çoğu zaman tehlikeli değildir. Kilit ekranında parolayı yanlış yazmak da 4625 üretir. Microsoft'un örnek kaydı da bilgisayarın başında yapılmış bir denemedir: oturum türü 2, kaynak adres 127.0.0.1, çağıran süreç winlogon.exe.

Şu üç işaret ise kontrol gerektirir:

• Kaynak ağ adresi alanında tanımadığın dış adresler.
• Kullanmadığın kullanıcı adları, örneğin admin, administrator ya da test.
• Kısa sürede çok sayıda deneme.

Bu işaretler, bilgisayarına internetten erişilebildiğini düşündürür. Olası bir sebep, internete açık kalan uzak masaüstü ya da dosya paylaşımıdır. Kullanmıyorsan Uzak Masaüstü'nü kapat, modemde bu bilgisayara yönlendirilmiş port varsa kaldır. Hangi portların dinlediğini port nedir yazısındaki komutlarla kontrol edebilirsin.

Kaynaklar

• Microsoft Learn: 4625(F) An account failed to log on
• Microsoft Learn: 4624(S) An account was successfully logged on
• Microsoft Learn: Appendix L, Events to Monitor
• Microsoft Learn: Get-WinEvent
• MITRE ATT&CK: Password Spraying (T1110.003)