<\/iframe><\/p>\r\n<p>Kurumsal a\u011flarda dosya sunucular\u0131 hâlâ kritik öneme sahip bile\u015fenlerdir. Kullan\u0131c\u0131lar\u0131n günlük i\u015flemleri, payla\u015f\u0131lan klasör yap\u0131lar\u0131, departman dizinleri, otomasyon yaz\u0131l\u0131mlar\u0131n\u0131n dosya tabanl\u0131 süreçleri gibi pek çok aktivite, SMB (Server Message Block) protokolü üzerinden gerçekle\u015fir.<\/p>\r\n<p>Bir sistem yöneticisi olarak, dosya sunucular\u0131n\u0131 incelerken kar\u015f\u0131m\u0131za s\u0131k s\u0131k baz\u0131 sorular ç\u0131kar:<\/p>\r\n<p> Hangi istemci sunucuma ba\u011flan\u0131yor?<br> Bu istemci hangi payla\u015f\u0131m klasörlerine eri\u015fiyor?<br> Açt\u0131\u011f\u0131 dosyalar neler?<br> Bu ba\u011flant\u0131 hangi uygulama üzerinden geliyor?<br> Neden PID 4 görünüyor? bu bir problem mi? kötü amaçl\u0131 bir \u015fey mi?<\/p>\r\n<p>\u0130\u015fte bu blog yaz\u0131s\u0131nda, bu sorular\u0131n tamam\u0131n\u0131 gerçek bir örnek üzerinden ad\u0131m ad\u0131m ele al\u0131yoruz.<\/p>\r\n<h2>Bir Durum \u0130ncelemesi: Netstat Ç\u0131kt\u0131s\u0131nda PID 4<\/h2>\r\n<p>Örnek senaryomuzda, dosya sunucusunda \u015fu komut çal\u0131\u015ft\u0131r\u0131l\u0131yor:<\/p>\r\n<p>cmd<br><code>netstat ano | findstr 10.20.30.5<\/code><\/p>\r\n<p><br>Ve sonuç \u015fu \u015fekilde geliyor:<\/p>\r\n<p><br><code>TCP 10.20.30.9:445 10.20.30.5:51795 ESTABLISHED 4<\/code><br><code>TCP 10.20.30.9:445 10.20.30.5:51797 ESTABLISHED 4<\/code><br><code>TCP 10.20.30.9:445 10.20.30.5:51798 ESTABLISHED 4<\/code><\/p>\r\n<p><br>\u0130lk bak\u0131\u015fta anlaml\u0131 olan \u015fey:<br>10.20.30.5, sunucuya 445 numaral\u0131 port üzerinden ba\u011flan\u0131yor.<br>Bu port, SMBv2\/v3 protokollerinin standart ba\u011flant\u0131 noktas\u0131d\u0131r.<\/p>\r\n<p><strong>Dikkat çeken \u015fey ise: PID 4.<\/strong><\/p>\r\n<p>PID 4 Neden Özel Bir PID'dir?<\/p>\r\n<p>Windows’ta PID 4, dünyada yaln\u0131zca bir tek süreç için ayr\u0131lm\u0131\u015ft\u0131r:<\/p>\r\n<p><strong>SYSTEM (NT Kernel & System Process)<\/strong><\/p>\r\n<p>Bu süreç, i\u015fletim sisteminin çekirde\u011finin çal\u0131\u015fmas\u0131n\u0131 sa\u011flar.<br>\u0130çinde:<\/p>\r\n<p> SMB sunucusu sürücüleri<br> Dosya payla\u015f\u0131m\u0131 bile\u015fenleri<br> NFS \/ CIFS i\u015fleyicileri<br> Kernelmode network stack<br> Windows Defender’\u0131n baz\u0131 çekirdek eklentileri<br> I\/O scheduler yönetimi<br> Bellek yönetiminin büyük k\u0131sm\u0131<\/p>\r\n<p>gibi en dü\u015fük seviyeli bile\u015fenler vard\u0131r.<\/p>\r\n<p>Dolay\u0131s\u0131yla bir SMB ba\u011flant\u0131s\u0131 geldi\u011finde Windows i\u015flem tablosu \u015fu \u015fekilde çal\u0131\u015f\u0131r:<\/p>\r\n<p><code> \"Bu ba\u011flant\u0131y\u0131 kullan\u0131c\u0131 uygulamas\u0131 ba\u015flatm\u0131yor. SMB protokolü kernel seviyesinden i\u015fleniyor. O hâlde bu ba\u011flant\u0131 PID 4 üzerinden görünecek.\"<\/code><\/p>\r\n<p>Ve bu tamamen do\u011fru, beklenen, ola\u011fan bir durumdur.<br>Bir uygulaman\u0131n kötü amaçl\u0131 oldu\u011funa i\u015faret etmez.<\/p>\r\n<h2>SMB Trafi\u011fi Neden Kernel (PID 4) Üzerinden Yönetilir?<\/h2>\r\n<p>SMB çok s\u0131k kullan\u0131lan ve performans aç\u0131s\u0131ndan kritik bir protokoldür. Bu nedenle Microsoft, SMBv2’den itibaren protokolü kullan\u0131c\u0131 modundan ç\u0131kar\u0131p kernel seviyesine ta\u015f\u0131m\u0131\u015ft\u0131r.<\/p>\r\n<p>Bu sayede:<\/p>\r\n<p> Daha dü\u015fük gecikme<br> Daha h\u0131zl\u0131 dosya listeleme<br> Daha az CPU kullan\u0131m\u0131<br> Yüksek yo\u011funluklu ba\u011flant\u0131larda kararl\u0131l\u0131k<br> Kaya gibi sa\u011flam bir güvenlik modeli<\/p>\r\n<p>elde edilir.<\/p>\r\n<p>Bu yüzden SMB ba\u011flant\u0131s\u0131n\u0131n PID 4 olarak görünmesi:<\/p>\r\n<p>\u2714 Do\u011fru<br>\u2714 Güvenli<br>\u2714 Tasar\u0131msal bir davran\u0131\u015ft\u0131r<\/p>\r\n<p>> “Sunucuma bir \u015fey mi bula\u015ft\u0131?”<br>> Hay\u0131r. Bu davran\u0131\u015f Windows Server’\u0131n do\u011fal çal\u0131\u015fma \u015feklidir.<\/p>\r\n<p> <\/p>\r\n<p><strong>10.20.30.5 Hangi Dosyalara Eri\u015fiyor?<\/strong><\/p>\r\n<p>\u0130\u015fte i\u015fin teknik olarak ilginç k\u0131sm\u0131 burada ba\u015fl\u0131yor.<br>Netstat yaln\u0131zca ba\u011flant\u0131n\u0131n oldu\u011funu gösterir.<br>Ama ba\u011flant\u0131n\u0131n içeri\u011fi hakk\u0131nda hiçbir \u015fey söylemez.<\/p>\r\n<p>Yani:<\/p>\r\n<p> Hangi klasör?<br> Hangi dosya?<br> Ne zaman açt\u0131?<br> Ne kadar süre aç\u0131k kald\u0131?<br> Kullan\u0131c\u0131 kimli\u011fi ne?<br> Okuma m\u0131 yapt\u0131 yazma m\u0131 yapt\u0131?<\/p>\r\n<p>Bunlar\u0131n hiçbirini netstat ile göremezsiniz.<\/p>\r\n<p><strong>Peki nas\u0131l görürüz?<\/strong><\/p>\r\n<p>Windows Server bize bunun için çok güçlü araçlar sunuyor.<\/p>\r\n<p> <\/p>\r\n<p><strong>1. SMB Oturumlar\u0131n\u0131 Görme – Ba\u011flant\u0131n\u0131n Kimli\u011fi<\/strong><\/p>\r\n<p>\u0130lk ad\u0131m, istemcinin sunucuda aktif bir oturumu olup olmad\u0131\u011f\u0131n\u0131 görmek:<\/p>\r\n<p>powershell<br>GetSmbSession | Select ClientComputerName, ClientUserName, NumOpens<\/p>\r\n<p><br>Bu komut size \u015funu söyler:<\/p>\r\n<p> 10.20.30.5 \u015fu kullan\u0131c\u0131 ile ba\u011fl\u0131<br> Bu oturumda X adet dosya aç\u0131k<br> Ba\u011flant\u0131 SMBv2 mi SMBv3 mü<br> Oturum trafi\u011fi kaç MB<\/p>\r\n<p> <\/p>\r\n<p><strong> 2. En Kritik Ad\u0131m: Aç\u0131k Dosyalar\u0131 Listeme – Gerçekleri Görme<\/strong><\/p>\r\n<p>Bu komut, bir istemcinin o anda hangi dosyalar\u0131 açt\u0131\u011f\u0131n\u0131 birebir gösterir:<\/p>\r\n<p>powershell<br>GetSmbOpenFile | WhereObject {$_.ClientComputerName eq \"10.20.30.5\"} |<br> Select ClientComputerName, Path, ClientUserName<\/p>\r\n<p><br>Bu sayede direkt olarak:<\/p>\r\n<p> “Hangi payla\u015f\u0131m klasörüne girilmi\u015f?”<br> “Hangi dosya aç\u0131lm\u0131\u015f?”<br> “Okuma m\u0131 yazma m\u0131 yap\u0131lm\u0131\u015f?”<br> “Kim eri\u015fmi\u015f?”<\/p>\r\n<p>hepsini net bir \u015fekilde görürüz.<\/p>\r\n<p><strong>Örnek bir ç\u0131kt\u0131:<\/strong><\/p>\r\n<p><br><code>ClientComputerName : 10.20.30.5<\/code><br><code>Path : \\\\10.20.30.9\\Shared\\HR\\salary.xlsx<\/code><br><code>ClientUserName : corpintra\\user1<\/code><\/p>\r\n<p><br>Bu noktada art\u0131k bütün tablo netle\u015fmi\u015f olur:<\/p>\r\n<p><code> \u0130stemci → 10.20.30.5<\/code><br><code> Eri\u015filen dosya → salary.xlsx<\/code><br><code> Payla\u015f\u0131m yolu → HR<\/code><br><code> Kullan\u0131c\u0131 → user1<\/code><\/p>\r\n<p> <\/p>\r\n<p> \ud83d\udfe7 3. Gerçek Zamanl\u0131 \u0130zleme – ShareMonitor \/ Sysinternals<\/p>\r\n<p>E\u011fer canl\u0131 olarak:<\/p>\r\n<p> kim hangi klasörü açt\u0131,<br> dosyan\u0131n ad\u0131 neydi,<br> payla\u015f\u0131mdan ne okundu ne yaz\u0131ld\u0131<\/p>\r\n<p>görmek istiyorsan\u0131z Sysinternals’\u0131n “ShareMonitor” arac\u0131 bunu anl\u0131k gösterir.<\/p>\r\n<p>Her aç\u0131lan dosya \u015föyle görünür:<\/p>\r\n<p><br><code>10.20.30.5 opened \\\\10.20.30.9\\Accounting\\Rapor.xlsx<\/code><br><code>10.20.30.5 read \\\\10.20.30.9\\Shared\\TaskList.docx<\/code><\/p>\r\n<p><br>A\u011f trafi\u011fini canl\u0131 takip etmek, özellikle de büyük \u015firket ortamlar\u0131nda çok de\u011ferli bir yetenektir.<\/p>\r\n<h2>\u0130leri Seviye: Event Viewer – SMB Access Loglar\u0131<\/h2>\r\n<p>E\u011fer SMB Audit Log aktifse:<\/p>\r\n<p>Event Viewer → Microsoft → Windows → SMBServer → Operational<\/p>\r\n<p>Ba\u015fl\u0131klar alt\u0131nda:<\/p>\r\n<p> 3000 → File Read<br> 3001 → File Write<br> 3002 → File Create<br> 3003 → Directory Access<\/p>\r\n<p>gibi ID’lerle tüm hareketler kaydedilir.<\/p>\r\n<p>Bu loglar:<\/p>\r\n<p> Forensic incelemelerde<br> Veri s\u0131z\u0131nt\u0131s\u0131 ara\u015ft\u0131rmalar\u0131nda<br> Kullan\u0131c\u0131 hareket analizlerinde<\/p>\r\n<p>çok i\u015fe yarar.<\/p>\r\n<h2>PID 4 Görmek Normaldir, As\u0131l Önemli Olan Dosya Eri\u015fimlerini \u0130zlemektir<\/h2>\r\n<p>Bir istemci dosya sunucusuna ba\u011fland\u0131\u011f\u0131nda ba\u011flant\u0131n\u0131n PID 4 alt\u0131nda görünmesi tamamen ola\u011fan bir durumdur.<br>Bu SMB protokolünün Windows’ta kernel seviyesinde çal\u0131\u015fmas\u0131ndan kaynaklan\u0131r.<\/p>\r\n<p>Önemli olan; istemcinin hangi dosyalara eri\u015fti\u011fini, hangi kullan\u0131c\u0131yla ba\u011fland\u0131\u011f\u0131n\u0131, hangi klasörü açt\u0131\u011f\u0131n\u0131 do\u011fru araçlarla tespit edebilmektir.<\/p>\r\n<p>Bu yaz\u0131da anlatt\u0131\u011f\u0131m\u0131z araçlar:<\/p>\r\n<p> GetSmbSession → Oturum kimli\u011fi<br> GetSmbOpenFile → Aç\u0131lan dosyalar<br> ShareMonitor → Canl\u0131 izleme<br> SMBServer Logs → Adli inceleme<\/p>\r\n<p>sistemin tüm resmini net \u015fekilde görmeyi sa\u011flar.<\/p>\r\n<p>A\u015fa\u011f\u0131ya talep etti\u011fin üç bölümü <strong>blog yaz\u0131s\u0131na ek içerik<\/strong> olarak haz\u0131rlad\u0131m.<br>Hepsi profesyonel – anla\u015f\u0131l\u0131r – teknik olarak do\u011fru \u015fekilde düzenlendi.<\/p>\r\n<hr>\r\n<h1><strong>SMB Teknik Terimler Sözlü\u011fü (TR\/EN)<\/strong><\/h1>\r\n<p>SMB dünyas\u0131nda s\u0131k geçen kavramlar\u0131n Türkçe–\u0130ngilizce kar\u015f\u0131l\u0131klar\u0131 ve k\u0131sa aç\u0131klamalar\u0131:<\/p>\r\n<table>\r\n<thead>\r\n<tr>\r\n<th><strong>Türkçe Terim<\/strong><\/th>\r\n<th><strong>\u0130ngilizce Terim<\/strong><\/th>\r\n<th><strong>Aç\u0131klama<\/strong><\/th>\r\n<\/tr>\r\n<\/thead>\r\n<tbody>\r\n<tr>\r\n<td>Dosya Payla\u015f\u0131m\u0131<\/td>\r\n<td>File Sharing<\/td>\r\n<td>A\u011f üzerinden klasör\/dosya payla\u015f\u0131m\u0131. SMB’nin temel amac\u0131.<\/td>\r\n<\/tr>\r\n<tr>\r\n<td>Payla\u015f\u0131m (Payla\u015ft\u0131r\u0131lm\u0131\u015f klasör)<\/td>\r\n<td>Share \/ Shared Folder<\/td>\r\n<td>SMB ile eri\u015filebilen payla\u015ft\u0131r\u0131lm\u0131\u015f klasör.<\/td>\r\n<\/tr>\r\n<tr>\r\n<td>Oturum<\/td>\r\n<td>Session<\/td>\r\n<td>Bir istemcinin sunucuya kurdu\u011fu kimlik do\u011frulamal\u0131 ba\u011flant\u0131.<\/td>\r\n<\/tr>\r\n<tr>\r\n<td>Oturum Kimli\u011fi<\/td>\r\n<td>Session ID<\/td>\r\n<td>Her SMB ba\u011flant\u0131s\u0131na verilen benzersiz numara.<\/td>\r\n<\/tr>\r\n<tr>\r\n<td>Dosya Tan\u0131t\u0131c\u0131s\u0131<\/td>\r\n<td>File Handle<\/td>\r\n<td>Aç\u0131k bir dosyay\u0131 temsil eden sistem tan\u0131t\u0131c\u0131s\u0131.<\/td>\r\n<\/tr>\r\n<tr>\r\n<td>Okuma \/ Yazma<\/td>\r\n<td>Read \/ Write<\/td>\r\n<td>SMB üzerinden dosya eri\u015fim türleri.<\/td>\r\n<\/tr>\r\n<tr>\r\n<td>Payla\u015f\u0131m Yolu<\/td>\r\n<td>UNC Path<\/td>\r\n<td>\\server\\share\\ klasör yap\u0131s\u0131n\u0131n tam yolu.<\/td>\r\n<\/tr>\r\n<tr>\r\n<td>Kimlik Do\u011frulama<\/td>\r\n<td>Authentication<\/td>\r\n<td>Kullan\u0131c\u0131 giri\u015f kontrolü (NTLM\/Kerberos).<\/td>\r\n<\/tr>\r\n<tr>\r\n<td>Yetkilendirme<\/td>\r\n<td>Authorization<\/td>\r\n<td>Kullan\u0131c\u0131n\u0131n klasör\/dosyaya eri\u015fim yetkisi.<\/td>\r\n<\/tr>\r\n<tr>\r\n<td>SMB Protokolü<\/td>\r\n<td>SMB Protocol<\/td>\r\n<td>Windows dosya payla\u015f\u0131m protokolü (CIFS olarak da bilinir).<\/td>\r\n<\/tr>\r\n<tr>\r\n<td>SMBv1<\/td>\r\n<td>SMB Version 1<\/td>\r\n<td>Güvensiz, eski sürüm. Art\u0131k devre d\u0131\u015f\u0131 b\u0131rak\u0131lmas\u0131 önerilir.<\/td>\r\n<\/tr>\r\n<tr>\r\n<td>SMBv2<\/td>\r\n<td>SMB Version 2<\/td>\r\n<td>Performans ve güvenlik olarak büyük s\u0131çrama, modern sürüm.<\/td>\r\n<\/tr>\r\n<tr>\r\n<td>SMBv3<\/td>\r\n<td>SMB Version 3<\/td>\r\n<td>\u015eifreleme, kararl\u0131l\u0131k ve h\u0131z geli\u015ftirmeleri içerir.<\/td>\r\n<\/tr>\r\n<tr>\r\n<td>Network Signed<\/td>\r\n<td>SMB Signing<\/td>\r\n<td>SMB paketlerinin imzalanmas\u0131, güvenlik art\u0131r\u0131r.<\/td>\r\n<\/tr>\r\n<tr>\r\n<td>SMB Encryption<\/td>\r\n<td>SMB \u015eifreleme<\/td>\r\n<td>Veri ak\u0131\u015f\u0131n\u0131 uçtan uca \u015fifreler.<\/td>\r\n<\/tr>\r\n<tr>\r\n<td>SMB Session Key<\/td>\r\n<td>Oturum Anahtar\u0131<\/td>\r\n<td>\u0130stemci–sunucu aras\u0131ndaki \u015fifreleme anahtar\u0131.<\/td>\r\n<\/tr>\r\n<tr>\r\n<td>Kernel-Mode Driver<\/td>\r\n<td>Çekirdek Modu Sürücüsü<\/td>\r\n<td>SMB gibi trafiklerin PID 4 alt\u0131nda çal\u0131\u015fmas\u0131n\u0131n nedeni.<\/td>\r\n<\/tr>\r\n<tr>\r\n<td>File Locking<\/td>\r\n<td>Dosya Kilitleme<\/td>\r\n<td>Çoklu kullan\u0131c\u0131 eri\u015fiminde çak\u0131\u015fmay\u0131 önler.<\/td>\r\n<\/tr>\r\n<\/tbody>\r\n<\/table>\r\n<p>Bu sözlük, blog yaz\u0131na ayr\u0131 bir bölüm olarak eklenebilir.<\/p>\r\n<hr>\r\n<h1><strong>SMBv2 ve SMBv3 Aras\u0131ndaki Farklar (Detayl\u0131 Tablo)<\/strong><\/h1>\r\n<p>SMBv2 → Windows Vista\/Server 2008 ile geldi<br>SMBv3 → Windows 8\/Server 2012 ile geldi<\/p>\r\n<p>A\u015fa\u011f\u0131daki tablo, iki sürüm aras\u0131ndaki farklar\u0131 net \u015fekilde ortaya koyar:<\/p>\r\n<table>\r\n<thead>\r\n<tr>\r\n<th>Özellik<\/th>\r\n<th>SMBv2<\/th>\r\n<th>SMBv3<\/th>\r\n<\/tr>\r\n<\/thead>\r\n<tbody>\r\n<tr>\r\n<td>Ç\u0131k\u0131\u015f Y\u0131l\u0131<\/td>\r\n<td>2006<\/td>\r\n<td>2012<\/td>\r\n<\/tr>\r\n<tr>\r\n<td>Performans<\/td>\r\n<td>SMBv1’e göre çok daha h\u0131zl\u0131<\/td>\r\n<td>SMBv2’den %20–40 daha h\u0131zl\u0131<\/td>\r\n<\/tr>\r\n<tr>\r\n<td>Güvenlik<\/td>\r\n<td>SMB Signing destekler<\/td>\r\n<td><strong>SMB Encryption destekler<\/strong> (büyük fark!)<\/td>\r\n<\/tr>\r\n<tr>\r\n<td>\u015eifreleme<\/td>\r\n<td>Yok<\/td>\r\n<td><strong>AES-128-GCM \/ AES-128-CCM<\/strong><\/td>\r\n<\/tr>\r\n<tr>\r\n<td>Çoklu Kanal<\/td>\r\n<td>Yok<\/td>\r\n<td><strong>Multichannel<\/strong> (birden fazla a\u011f arayüzü → yüksek h\u0131z)<\/td>\r\n<\/tr>\r\n<tr>\r\n<td>Dayan\u0131kl\u0131l\u0131k<\/td>\r\n<td>Temel düzeyde<\/td>\r\n<td><strong>SMB Durable Handles<\/strong> ile kesintisiz ba\u011flant\u0131<\/td>\r\n<\/tr>\r\n<tr>\r\n<td>Failover<\/td>\r\n<td>Yok<\/td>\r\n<td>Clustered Shared Volume deste\u011fi, kesintisiz failover<\/td>\r\n<\/tr>\r\n<tr>\r\n<td>S\u0131k\u0131\u015ft\u0131rma<\/td>\r\n<td>Yok<\/td>\r\n<td><strong>SMB Compression (2020 güncellemesiyle)<\/strong><\/td>\r\n<\/tr>\r\n<tr>\r\n<td>OTOMAT\u0130K Yük Payla\u015f\u0131m\u0131<\/td>\r\n<td>Yok<\/td>\r\n<td><strong>SMB Direct + RDMA deste\u011fi<\/strong><\/td>\r\n<\/tr>\r\n<tr>\r\n<td>Kullan\u0131m Alan\u0131<\/td>\r\n<td>Genel dosya payla\u015f\u0131m\u0131<\/td>\r\n<td>Veri merkezleri, yüksek yük, büyük dosya ak\u0131\u015f\u0131, Hyper-V<\/td>\r\n<\/tr>\r\n<\/tbody>\r\n<\/table>\r\n<p><strong>SMBv3, hem h\u0131z hem güvenlik hem dayan\u0131kl\u0131l\u0131k aç\u0131s\u0131ndan en ideal sürümdür.<\/strong><br>Günümüz sunucular\u0131nda <strong>SMBv1 kapal\u0131<\/strong>, <strong>SMBv2\/3 aç\u0131k<\/strong> olarak çal\u0131\u015fmas\u0131 önerilir.<\/p>\r\n<hr>\r\n<h1><strong>Powershell ile Otomatik SMB \u0130zleme Scripti<\/strong><\/h1>\r\n<p>A\u015fa\u011f\u0131daki script, belirli bir istemci IP adresinin (ör: 10.1.0.24) hangi dosyalara eri\u015fti\u011fini <strong>otomatik izler<\/strong>, her 10 saniyede bir kontrol eder ve log kayd\u0131 olu\u015fturur.<\/p>\r\n<h3>Script Özellikleri<\/h3>\r\n<p>\u2714 Hangi dosyalara eri\u015fildi\u011fini bulur<br>\u2714 Kullan\u0131c\u0131 bilgisiyle birlikte log’a yazar<br>\u2714 Tarih-saat damgas\u0131 ekler<br>\u2714 Gerçek zamanl\u0131 takip sa\u011flar<br>\u2714 Log dosyas\u0131n\u0131 CSV olarak üretir<\/p>\r\n<hr>\r\n<h2><strong>smb-monitor.ps1 — Otomatik SMB Dosya Eri\u015fim \u0130zleme Scripti<\/strong><\/h2>\r\n<pre><code class=\"language-powershell\"># ============================\r\n# SMB Otomatik \u0130zleme Scripti\r\n# ============================\r\n\r\n$TargetIP = \"10.1.0.24\" # \u0130zlenecek istemci IP\r\n$LogFile = \"C:\\SMB_Logs\\smb_log.csv\"\r\n\r\n# Log dosyas\u0131 yoksa olu\u015ftur\r\nif (-Not (Test-Path $LogFile)) {\r\n \"Timestamp,ClientIP,User,FilePath\" | Out-File -FilePath $LogFile -Encoding utf8\r\n}\r\n\r\nWrite-Host \"SMB izleme ba\u015flat\u0131ld\u0131... IP: $TargetIP\" -ForegroundColor Green\r\nWrite-Host \"Log dosyas\u0131: $LogFile\"\r\n\r\nwhile ($true) {\r\n\r\n $files = Get-SmbOpenFile | Where-Object {\r\n $_.ClientComputerName -eq $TargetIP\r\n }\r\n\r\n foreach ($file in $files) {\r\n $timestamp = (Get-Date).ToString(\"yyyy-MM-dd HH:mm:ss\")\r\n $entry = \"$timestamp,$($file.ClientComputerName),$($file.ClientUserName),$($file.Path)\"\r\n\r\n # Log kayd\u0131n\u0131 yaz\r\n Add-Content -Path $LogFile -Value $entry\r\n\r\n Write-Host \"[KAYIT] $entry\" -ForegroundColor Yellow\r\n }\r\n\r\n Start-Sleep -Seconds 10 # Her 10 saniyede bir kontrol et\r\n}\r\n<\/code><\/pre>\r\n<hr>\r\n<h1>Kullan\u0131m Talimat\u0131<\/h1>\r\n<h3>1. Scripti bir dosyaya kaydet:<\/h3>\r\n<pre><code>C:\\Scripts\\smb-monitor.ps1\r\n<\/code><\/pre>\r\n<h3>2. Log klasörü olu\u015ftur:<\/h3>\r\n<pre><code class=\"language-powershell\">mkdir C:\\SMB_Logs\r\n<\/code><\/pre>\r\n<h3>3. Scripti çal\u0131\u015ft\u0131r:<\/h3>\r\n<pre><code class=\"language-powershell\">powershell -ExecutionPolicy Bypass -File C:\\Scripts\\smb-monitor.ps1\r\n<\/code><\/pre>\r\n<h3>4. Log dosyas\u0131na bak:<\/h3>\r\n<pre><code>C:\\SMB_Logs\\smb_log.csv\r\n<\/code><\/pre>\r\n<p>Her sat\u0131rda \u015funlar olacak:<\/p>\r\n<pre><code>2025-12-03 16:22:10,10.1.0.24,corpintra\\user1,\\\\10.1.0.9\\Shared\\Finance\\budget.xlsx\r\n<\/code><\/pre>\r\n<hr>\r\n<p> <\/p>","excerpt":"","created_at":"2025-12-03 18:22:46","updated_at":"2026-09-07 09:21:05","category_id":6,"view_count":644,"reading_time":11,"status":"published","editor_choice":0,"is_editor_choice":0,"published_at":"2025-12-03 15:22:00","featured_image":"dba84a63ff10af3e9be6cc63a30980ea.png","slug":"windows-sunucularda-smb-baglantilarinin-derin-analizi","category_name":"Sistem","category_slug":"sistem","category_color":"#3b82f6"}