Önemli Windows Event Log SIEM Kullanım Senaryoları

May 3, 2025
Siber Haber

Windows Event Logları, güvenlik operasyonları ve SIEM (Security Information and Event Management) çözümleri için kritik öneme sahiptir. Bu loglar, saldırı tespiti, uyumluluk izleme ve ağ güvenliği analizleri için kullanılabilir. Aşağıda, Windows Event ID’lerine dayalı  önemli SIEM kullanım senaryosunu bulabilirsiniz.

1. Kimlik Doğrulama ve Erişim Kontrolü

  1. Başarısız Giriş Denemeleri – Event ID: 4625

  2. Hesap Kilitlemeleri – Event ID: 4740

  3. Çalışma Saatleri Dışında Başarılı Giriş – Event ID: 4624

  4. Yeni Kullanıcı Oluşturma – Event ID: 4720

  5. Ayrıcalıklı Hesap Kullanımı – Event ID: 4672

  6. Kullanıcı Hesabı Değişiklikleri – Event IDs: 4722, 4723, 4724, 4725, 4726

  7. Alışılmadık Konumlardan Giriş – Event ID: 4624 (Coğrafi konum analizi ile)

  8. Şifre Değişiklikleri – Event IDs: 4723 (değişiklik denemesi), 4724 (başarılı sıfırlama)

  9. Grup Üyelik Değişiklikleri – Event IDs: 4727, 4731, 4735, 4737

  10. Şüpheli Giriş Desenleri – Event ID: 4624 (anormal girişler)

  11. Aşırı Giriş Başarısızlıkları – Event ID: 4625

  12. Devre Dışı Bırakılmış Hesap Aktivitesi – Event ID: 4725

  13. Uzun Süredir Kullanılmayan Hesapların Aktivitesi – Event ID: 4624 (nadiren kullanılan hesaplar)

  14. Servis Hesabı Aktivitesi – Event IDs: 4624, 4672

  15. RDP Erişim İzleme – Event ID: 4624 (RDP filtreleme ile)

2. Ağ ve Sistem Hareketleri

  1. Yanal Hareket Tespiti – Event ID: 4648 (ağ girişleri)

  2. Dosya ve Klasör Erişimi – Event ID: 4663

  3. Yetkisiz Dosya Paylaşımı – Event IDs: 5140, 5145

  4. Kayıt Defteri Değişiklikleri – Event ID: 4657

  5. Uygulama Yükleme ve Kaldırma – Event IDs: 11707, 1033

  6. USB Cihaz Kullanımı – Event IDs: 20001, 20003 (Cihaz Yönetimi loglarından)

  7. Windows Güvenlik Duvarı Değişiklikleri – Event IDs: 4946, 4947, 4950, 4951

  8. Zamanlanmış Görev Oluşturma – Event ID: 4698

  9. Proses Çalıştırma İzleme – Event ID: 4688

  10. Sistem Yeniden Başlatma veya Kapatma – Event IDs: 6005, 6006, 1074

3. Güvenlik İhlali ve Log Manipülasyonu

  1. Event Log Temizleme – Event ID: 1102

  2. Kötü Amaçlı Yazılım Çalıştırma – Event IDs: 4688, 1116 (Windows Defender loglarından)

  3. Active Directory Değişiklikleri – Event IDs: 5136, 5141

  4. Shadow Copy Silinmesi – Event ID: 524 (VSSAdmin logları ile)

  5. Ağ Yapılandırma Değişiklikleri – Event IDs: 4254, 4255, 10400

  6. Şüpheli Script Çalıştırma – Event ID: 4688 (script yorumlayıcı ile proses oluşturma)

  7. Servis Yükleme veya Değiştirme – Event ID: 4697

  8. Denetim Loglarının Temizlenmesi – Event ID: 1102

  9. Yazılım Kısıtlama Politikası İhlali – Event ID: 865

  10. Aşırı Hesap Numaralandırma – Event IDs: 4625, 4776

4. Gelişmiş Tehdit Tespiti

  1. Hassas Dosyalara Erişim Denemesi – Event ID: 4663

  2. Alışılmadık Proses Enjeksiyonu – Event ID: 4688 (EDR veya Sysmon verisi ile)

  3. Sürücü Yükleme – Event IDs: 7045 (Service Control Manager)

  4. Zamanlanmış Görev Değişiklikleri – Event ID: 4699

  5. Yetkisiz GPO Değişiklikleri – Event ID: 5136

  6. Şüpheli PowerShell Aktivitesi – Event ID: 4104 (PowerShell loglarından)

  7. Alışılmadık Ağ Bağlantıları – Event ID: 5156 (ağ filtreleme platformu)

  8. Paylaşılan Dosyalara Yetkisiz Erişim – Event ID: 5145

  9. Zararlı Domain DNS Sorgusu – Event ID: 5158 (DNS logları gerektirir)

  10. LDAP Arama İstismarı – Event ID: 4662

  11. Proses Sonlandırma İzleme – Event ID: 4689

  12. Servis Başlatma Başarısızlıkları – Event ID: 7041

  13. Denetim Politikası Değişiklikleri – Event IDs: 4719, 1102

  14. Zaman Değişikliği İzleme – Event IDs: 4616, 520

  15. BitLocker Şifreleme Anahtarı Değişiklikleri – Event ID: 5379

Windows Event Logları, SIEM çözümleriyle entegre edilerek güvenlik tehditlerini tespit etmek için kullanılabilir. Yukarıdaki kullanım senaryosu, kuruluşların olası saldırıları ve anormal aktiviteleri belirlemesine yardımcı olur. Bu logları düzenli olarak izlemek ve analiz etmek, siber güvenlik postürünü güçlendirmek için kritik öneme sahiptir.

Kaynaklar:

  • Microsoft Güvenlik Olay Kimlikleri Belgesi
  • MITRE ATT&CK Framework
  • SIEM En İyi Uygulama Kılavuzları