Windows olay kimliği rehberi, işletim sisteminin ürettiği binlerce olay kaydı arasından güvenlik açısından anlamlı olanları numaralarına göre tanımlayan ve her birinin ne anlattığını açıklayan bir başvuru kaynağıdır. Windows, her olayı sabit bir sayısal kimlikle etiketler; 4624 bir başarılı oturum açmayı, 4625 başarısız bir denemeyi işaret eder. Rehber, bu sayıları anlamlı davranışlara çeviren sözlük görevini görür.

Bir Event ID, tek başına bir sayıdır; onu tespite dönüştüren şey, hangi bağlamda ve hangi diğer olaylarla birlikte göründüğünün bilgisidir.

Kimlikleri Bağlam İçinde Okumak

Tek bir başarısız oturum denemesi (4625) gündelik bir yazım hatasıdır; kısa sürede yüzlercesi, ardından bir başarılı 4624 geldiğinde bu tablo kaba kuvvet saldırısının imzasına döner. Rehberin değeri, olayları izole birer satır olmaktan çıkarıp anlamlı dizilere yerleştirmesindedir. 4672 (özel yetkilerle oturum), 4688 (yeni süreç oluşturma) ve 4698 (zamanlanmış görev kaydı) gibi kimlikler, birlikte okunduğunda bir saldırganın yetki yükseltme ve kalıcılık adımlarını açığa çıkarır.

Kaynağı Doğru Yapılandırmak

Bir Event ID’nin işe yaraması, öncelikle üretiliyor olmasına bağlıdır. Windows olay günlükleri varsayılan yapılandırmada güvenlik açısından kritik pek çok olayı kaydetmez; süreç oluşturma denetimi ya da komut satırı yakalama gibi ayarlar açıkça etkinleştirilmedikçe ilgili kimlikler hiç görünmez. Rehberi kullanmadan önce, işaret ettiği olayların gerçekten toplandığından emin olmak gerekir.

Merkezileştirme ve Korelasyon

Yerel makinede duran bir olay günlüğü, saldırgan onu silebildiği için de sınırlı değerdedir. Kayıtlar bir SIEM platformuna aktarıldığında hem manipülasyondan korunur hem de farklı makinelerdeki kimlikler tek bir zaman çizelgesinde birleşir. Rehber burada tespit kuralı yazımının temeli olur: hangi Event ID kombinasyonunun uyarıya değeceği, bu bilgiden çıkar.

Uç Nokta Görünürlüğüyle İlişkisi

Event ID’ler, Uç nokta güvenliği telemetrisinin en eski ve en yaygın katmanıdır; modern EDR ürünlerinin zenginleştirdiği veriyi bile büyük ölçüde bu yerel olaylar besler. İyi kurulmuş bir denetim politikası, pahalı bir ajan olmadan dahi saldırgan davranışının önemli bir kısmını görünür kılar.

Sonuçta rehberin asıl kazandırdığı, ham olay gürültüsünü aksiyon alınabilir tespite çeviren ortak bir dildir; ekip aynı kimliği aynı biçimde yorumladığında araştırmalar hızlanır ve kör noktalar daralır. Bu görünürlüğü kurum genelinde standarda oturtmak, SOC olgunlaştırma çalışmalarımızın temel adımlarından biridir.