EVTX log analizi, Windows’un .evtx uzantılı olay günlüğü dosyalarını inceleyerek bir sistemde ne olup bittiğine dair kanıt çıkarmaktır. Windows, oturum açmalardan servis başlatmalara, süreç oluşturmadan güvenlik politikası değişikliklerine kadar binlerce olayı bu ikili biçimli dosyalara yazar. Her olay bir olay kimliği, zaman damgası ve olayı üreten kaynakla birlikte kaydedildiğinden, doğru okunduğunda bu günlükler bir saldırının adım adım yeniden kurulmasını sağlar.

EVTX günlükleri, Windows’un kendi eliyle tuttuğu ve doğru okunduğunda bir saldırının her adımını zaman sırasıyla anlatan ayrıntılı bir kayıt defteridir.

Hangi Olaylar Değerli?

Güvenlik günlüğü incelemenin kalbidir. Başarılı ve başarısız oturum açmalar, hesap kilitlenmeleri, yetki yükseltmeleri ve süreç oluşturma olayları, bir saldırganın erişim kazanma ve yayılma çabasının doğrudan izlerini taşır. Örneğin uzaktan oturum türlerini ayırt etmek, saldırganın ağda nasıl hareket ettiğini gösterir; art arda gelen başarısız oturumlar ise bir parola deneme saldırısını ele verir. Bu olayları tek tek değil, birbirleriyle olan ilişkileri içinde okumak gerekir.

Zaman Ekseninde Birleştirmek

Tek bir olay çoğu zaman anlamlı değildir; asıl hikâye, olayların doğru sırayla dizilmesiyle ortaya çıkar. Bir oturum açma, ardından bir süreç oluşturma, sonra bir servis kurulumu ve dışarıya bir bağlantı; bunlar ayrı ayrı sıradan görünse de peş peşe geldiğinde bir saldırı zincirini anlatır. Bu yüzden EVTX kayıtları çoğu kez diğer artefaktlarla aynı eksene yerleştirilir ve bir Zaman çizelgesi analizi içinde bütünleşik biçimde değerlendirilir. Farklı makinelerin günlüklerini birleştirmek ise saldırının yatay yayılımını görünür kılar.

Silinen ve Değiştirilen Günlükler

Deneyimli saldırganlar sıklıkla günlükleri temizlemeye çalışır, ama bu eylem de kendi izini bırakır. Bir güvenlik günlüğünün temizlenmesi başlı başına bir olay olarak kaydedilir; olay kayıt numaralarındaki ani atlamalar ya da belli bir zaman aralığındaki tam sessizlik, silme işaretidir. Bu tür girişimleri fark etmek, Anti-forensic teknikler bilgisini gerektirir. Silinmiş günlükler bazen bellek dökümünden, sistemin başka kopyalarından ya da merkezi bir günlük sunucusundan kısmen geri getirilebilir; bu yüzden günlükleri merkezî olarak toplamak, tek tek makinelere güvenmekten daha dayanıklıdır.

Pratikte EVTX analizinin gücü ölçeğinden gelir. Yüzlerce makinenin günlüğü tek tek gözle okunamaz; onun yerine bilinen saldırı desenleri sorgularla taranır ve anormal olan öne çıkarılır. Yine de her otomatik bulgu, bağlamı içinde bir analist tarafından doğrulanmadan sonuç sayılmaz.

• Oturum açma türleri ve başarısız denemeleri incele
• Süreç oluşturma ve servis kurulumu olaylarını takip et
• Olayları zaman ekseninde diğer artefaktlarla birleştir
• Günlük temizleme olaylarını ve kayıt numarası atlamalarını ara

Doğru sorgulanan bir EVTX kümesi, bir saldırının ilk temas anından son adımına kadar iskeletini çıkarabilir. Privia Security, Windows günlüklerini uç nokta ve ağ kaynaklarıyla birlikte tek bir DFIR adli analiz ve olay müdahalesi akışında değerlendirir ve bulguları Adli bilişim standartlarına uygun biçimde belgeler; kapsamlı bir günlük incelemesi gerektiğinde adli analiz ekibimiz devreye girer.