Windows olay günlükleri, bir bilgisayarda oturum açma girişimlerini ve sistemde gerçekleşen belirli işlemleri araştırırken kullanılan önemli veri kaynaklarıdır. Ancak tek bir kayıt, olayın bütününü veya işlemi yapan gerçek kişiyi açıklamaz. Adli bilişim incelemesinde değerli olan, kayıtları koruyup zaman, hesap ve cihaz bilgilerini diğer bulgularla birlikte değerlendirmektir.
Bu başlangıç rehberinde EVTX dosyalarının ne işe yaradığını, 4624, 4625 ve 1102 olay kimliklerini nasıl okuyabileceğinizi ve dışa aktarılmış bir günlük üzerinde incelemeye nasıl başlayacağınızı bulabilirsiniz. Örnekler kendi laboratuvarınızda veya inceleme yetkiniz bulunan sistemlerde kullanım içindir; gerçek bir olaydaki toplama planı, cihazın durumuna göre ayrıca belirlenmelidir.
Windows olay günlükleri ve EVTX dosyası nedir?
Olay kayıtları; olay kimliği, sağlayıcı, bilgisayar adı, zaman ve olaya özgü alanlar içerebilir. EVTX, Windows olay günlüklerini saklamak ve başka bir inceleme ortamında açmak için kullanılan dosya biçimidir. CSV tablosu veya ekran görüntüsü analiz notu olarak yararlı olsa da EVTX dosyasındaki bütün alanların yerine geçmez.
Windows’ta Olay Görüntüleyicisi üzerinden Windows Günlükleri bölümüne ulaşabilirsiniz. Güvenlik, Sistem ve Uygulama günlükleri farklı sorulara yanıt verir. Oturum açma incelemesinde Güvenlik günlüğü bir başlangıç noktasıdır; uygulamaya özgü bir olay için ilgili uygulamanın kendi kayıtları da gerekebilir.
İlk adım: inceleme kapsamını belirleyin ve kayıtları koruyun
Önce araştırdığınız soruyu yazın: Belirli bir saat aralığında başarısız girişler mi var, uzaktan oturum mu açılmış, yoksa günlükte beklenmedik bir boşluk mu bulunuyor? Cihazı, tarih aralığını ve hangi veri kaynaklarının elde edildiğini kaydedin. Böylece filtre sonuçlarını bütün sistem geçmişiymiş gibi yorumlamazsınız.
Kaynak günlükleri temizlemeyin. Canlı sistemde yapılan toplama işlemleri de yeni izler oluşturabileceğinden kullanılan hesabı, aracı, komutu ve toplama zamanını not edin. Elde edilen dosyayı koruyup analiz için ayrı bir çalışma kopyası kullanın. Günlük dışa aktarımı, diskin adli imajının yerine geçmez; bu ayrımı adli imaj rehberimizde inceleyebilirsiniz.
Laboratuvarda Güvenlik günlüğünü dışa aktarma
Aşağıdaki örnek, mevcut Güvenlik günlüğünü yeni bir EVTX dosyasına aktarır. Hedef klasör önceden oluşturulmalı, dosya adı kullanılmamış olmalı ve hesabınızın gerekli okuma yetkisi bulunmalıdır. Gerçek bir olayda hedef depolama konumunu toplama planınıza göre seçin; örnekteki yolu doğrudan kullanmak zorunda değilsiniz.
wevtutil epl Security "C:\Inceleme\Security-01.evtx"Buradaki epl dışa aktarma işlemidir. Komut kaynak günlüğü temizleme talimatı içermez. Sözdizimi ve seçenekler Microsoft wevtutil belgesinde açıklanır. Bu yazı için kullanıcı bilgisayarından gerçek güvenlik günlüğü toplanmamıştır.
Dosyanın SHA-256 değerini kaydetme
Get-FileHash -LiteralPath 'C:\Inceleme\Security-01.evtx' -Algorithm SHA256Çıkan değeri dosya adı, boyutu ve toplama notlarıyla birlikte saklayın. Daha sonra aynı dosyanın hash değerini karşılaştırmak, içerikte değişiklik olup olmadığını denetlemeye yardımcı olur. Hash eşleşmesi, olay kaydının ilk oluşturulduğu anda doğru olduğunu veya belirli bir kişinin suç işlediğini kanıtlamaz. Komutun ayrıntıları: Microsoft Get-FileHash başvurusu.
Başlangıç için üç önemli olay kimliği
| Olay kimliği | Ne anlatır? | Nasıl değerlendirilir? |
|---|---|---|
| 4624 | Başarılı oturum oluşturulması | Hedef hesap, oturum türü ve varsa kaynak ağ bilgisi birlikte okunur. |
| 4625 | Başarısız oturum açma girişimi | Hata nedeni, durum kodu, hesap ve tekrar sıklığı araştırılır. |
| 1102 | Güvenlik denetim günlüğünün temizlenmesi | İşlemi bildiren hesap ve zaman, bakım kayıtları ve diğer bulgularla karşılaştırılır. |
4624, erişilen bilgisayarda oturum oluşturulduğunu bildirir. Logon Type alanında 2 etkileşimli, 3 ağ üzerinden, 10 ise Uzak Masaüstü veya Terminal Services üzerinden etkileşimli oturumu ifade eder. Her 4624 kaydı bilgisayarın başında bir kişinin oturduğu anlamına gelmez. Ayrıntılar: Microsoft 4624 olay açıklaması.
4625 kayıtları yanlış parola, hesap koşulları veya başka başarısızlık nedenleriyle oluşabilir. Bu nedenle yalnızca sayıyı artıran girişleri görmek yeterli değildir; Status ve SubStatus alanlarını da inceleyin. 1102 ise özellikle Güvenlik günlüğüyle ilgilidir, bütün günlüklerin silindiği şeklinde yorumlanmamalıdır. Kaynaklar: 4625 açıklaması ve 1102 açıklaması.
PowerShell ile EVTX kopyasında kayıt arama
Aşağıdaki sorgu, canlı sistem günlüğü yerine belirtilen EVTX çalışma kopyasını okur. Seçili üç olay türünden en yeni 50 eşleşmeyi listeler; dosyadaki bütün olayları veya bütün inceleme kapsamını temsil etmez.
Get-WinEvent -FilterHashtable @{
Path = 'C:\Inceleme\Security-01.evtx'
Id = 4624, 4625, 1102
} -MaxEvents 50 |
Select-Object TimeCreated, Id, RecordId, ProviderName, MachineName, MessageGet-WinEvent, kaydedilmiş günlük dosyalarını ve filtreleri destekler. Eşleşme bulunmaması olayın hiç yaşanmadığını göstermez: toplama kapsamı, denetim ayarları ve saklama süresi sonucu etkileyebilir. Mesaj metni çözümlenemiyorsa dosyanın bozuk olduğunu hemen varsaymayın; sağlayıcı bilgilerini ve olayın XML alanlarını kontrol edin.
Zaman çizelgesi oluştururken hangi bilgiler tutulmalı?
- Kaynak dosya ve bilgisayar adı.
- Olay kimliği, sağlayıcı ve EventRecordID.
- Özgün zaman bilgisi ile raporda kullanılan saat dilimi.
- Hedef hesap, oturum türü ve mevcutsa kaynak adres.
- Doğrudan gözlenen bulgu, yorum ve açık kalan sorular.
Farklı araçların yerel saat veya UTC göstermesi, olay sırasını yanlış okumanıza neden olabilir. Saatleri ortak bir temelde karşılaştırın ve dönüşümü belgeleyin. Aynı görünen hesap adı veya IP adresi üzerinden doğrudan kişi ataması yapmayın; bunlar diğer bulgularla ilişkilendirilecek teknik alanlardır.
Temsili örnek: Kısa aralıklarla oluşan 4625 kayıtlarından sonra bir 4624 görüyorsunuz. Önce aynı hedef hesap ve kaynaktan söz edilip edilmediğini, zamanları ve oturum türünü karşılaştırın. Kullanıcının parolasını yanlış yazıp ardından doğru girmesi de olasıdır. “Saldırı kesinleşti” demek yerine ek doğrulama gerektiren gözlemi raporlayın.
Sık sorulan sorular
Windows olay günlükleri ücretsiz incelenebilir mi?
Olay Görüntüleyicisi ve PowerShell ile temel inceleme yapılabilir. Önemli olan yalnızca araç seçimi değil, verinin korunması ve yorumun yeniden kontrol edilebilir olmasıdır. Denemeler için adli bilişim laboratuvarı kurma rehberimizi kullanabilirsiniz.
Hiç kayıt yoksa yetkisiz erişim olmamış mıdır?
Bu sonuca varılamaz. İlgili kayıt üretilmemiş, saklama kapsamı dışında kalmış veya elde edilen dosyada bulunmuyor olabilir. Raporda “incelenen kaynaklarda bulunamadı” ile “gerçekleşmedi” ifadelerini ayırın.
Günlük dosyası tek başına yeterli midir?
İnceleme sorusuna bağlıdır. Dosya sistemi, uygulama kayıtları ve diğer uygun kaynaklar olayın bağlamını tamamlayabilir. Raporunuzda hem ulaştığınız sonucu hem de mevcut verinin yanıtlayamadığı soruları açıkça belirtin.
Kaynak kontrolü: 14 Ekim 2026. Komutlar resmî belgeler üzerinden hazırlanmıştır; gerçek bir vaka üzerinde uygulanmış test sonucu sunulmamaktadır. Kapak, yapay zekâ ile oluşturulmuş temsili bir görseldir.