Ders 2.1: Windows güvenlik olayları

Windows güvenlikle ilgili eylemleri Security günlüğünde numaralı olaylar olarak kaydeder: oturum açmalar ve başarısızlıklar, oturum türleri, özel ayrıcalıklar, oluşturulan ve gruplara eklenen hesaplar ve hatta günlüğün temizlenmesi. Bir avuç kimlik bir soruşturmadaki ilk soruların çoğunu yanıtlar. Laboratuvarda 1. bölümdeki jump01 vakasına, saldırgan silemeden SIEM'e iletilmiş olan sunucunun Security olaylarıyla devam ediyorsun: parola tahminini, internetten başarılı RDP oturum açmasını, yönetici haklarını, arka kapı hesabını ve izleri örtme girişimini buluyorsun.

17 dk

Bu derste öğreneceklerin

Temel Security olay kimliklerini tanımak
Oturum türlerini okumak
Başarısızlık alt durum kodlarını açıklamak
Hesap oluşturmayı ve grup değişikliklerini bulmak
Günlük temizlemeyi tanımak

Temel terimler

4624 / 4625: Başarılı ve başarısız oturum açma.
Oturum türü: Oturumun nasıl açıldığı: 2 etkileşimli, 3 ağ, 4 toplu iş, 5 hizmet, 7 kilit açma, 10 uzak etkileşimli (RDP).
4672: Yeni bir oturuma özel ayrıcalıklar atandı (yönetici eşdeğeri bir oturum).
4720 / 4732 / 4728: Kullanıcı hesabı oluşturuldu; yerel bir gruba üye eklendi; bir etki alanı global grubuna üye eklendi.
1102: Security denetim günlüğü temizlendi.
4688: Yeni bir süreç oluşturuldu (o ilke açıksa komut satırıyla).

← OWASP Top 10 ve saldırıların günlükte nasıl göründüğü · Tüm dersler · Özet fonksiyonları →