Merhaba, bu yazımda sizlere Windows Event ID 4648 Nedir? Güvenlik Analizi ve SIEM İncelemesi konusundan bahsedeceğim.
Event ID 4648’in Saldırı Tespitinde Kullanımı
Bu olay günlüğü, kimlik avı saldırılarını, kötü amaçlı yazılım faaliyetlerini veya yetkisiz erişim denemelerini tespit etmek için kullanılabilir.
- Brute Force veya Credential Stuffing Saldırıları
Birden fazla başarısız girişim tespit edilirse, kötü niyetli bir saldırı olabilir. - Olağandışı Saatlerde Girişler
Gece veya mesai saatleri dışında bir yöneticinin kimlik bilgileriyle giriş yapılması şüphelidir. - Farklı Kaynak IP’lerinden Tekrar Eden Denemeler
Çeşitli IP adreslerinden farklı hesaplarla giriş denemeleri saldırı belirtisi olabilir. - Yüksek Yetkili Hesaplarla Anormal Kullanım
Administrator, Domain Admin, Service Account gibi hesaplarla beklenmeyen işlemler yapılıyorsa, siber tehdit olabilir.
Event ID 4648 ile 4624 ve 4672 Olaylarının İlişkisi
Event ID 4648, tek başına yeterli bilgi sağlamaz. Diğer loglarla birlikte analiz edilmelidir:
- Event ID 4624 (Successful Logon)
4648 sonrası 4624 kaydı geliyorsa, kimlik bilgileriyle giriş başarılı olmuş demektir. - Event ID 4672 (Special Privileges Assigned to New Logon)
Yetkili bir hesaba giriş yapıldığını gösterir.
4648 + 4672 birlikte görüldüğünde, bir yönetici hesabı veya özel izinler verilen bir hesap kullanılıyor olabilir.
SIEM Sistemlerinde (Splunk, ELK, QRadar) 4648 Analizi
Eğer bir SIEM (Security Information and Event Management) sistemi kullanıyorsan, Event ID 4648’i analiz etmek için aşağıdaki sorguları kullanabilirsin.
Splunk İçin 4648 Sorgusu
index=wineventlog EventCode=4648
| stats count by TargetUserName, TargetDomainName, TargetServerName, ProcessName
ELK (Elasticsearch, Logstash, Kibana) İçin 4648 Sorgusu
{
“query”: {
“bool”: {
“must”: [
{ “match”: { “event_id”: “4648” } }
]
}
}
}
4648 Event ID için SIEM Uyarı Kuralları
- Aynı kullanıcı farklı IP’lerden giriş yaparsa
Kural: 30 dakika içinde aynı kullanıcı farklı IP’lerden 5’ten fazla giriş yaparsa uyarı ver. - Hassas hesaplarla giriş yapıldığında uyarı
Kural: Domain Admin, Administrator, MSSQLService gibi kritik hesaplarla giriş yapılırsa alarm ver. - Beklenmeyen süreçlerden gelen girişler
Kural: cmd.exe, powershell.exe, wscript.exe gibi şüpheli süreçlerden giriş denemesi olursa uyarı ver.
Aşağıdaki link üzerinden Microsoft tarafında Event ID 4648 inceleyebilirsiniz.
A logon was attempted using explicit credentials.
Bu yazımda sizlere Windows Event ID 4648 Nedir? Güvenlik Analizi ve SIEM İncelemesi konusundan bahsettim. Faydalı olması dileğiyle.
