Bir kullanıcı bir Windows bilgisayarda oturum açtığında 4624 olay kaydı oluşur. Ancak ağ üzerinden bağlanma, uzak masaüstü bağlantısı ve kilitli bilgisayarı açmak da dahil olmak üzere birçok durumda yine 4624 olayı kaydedilir. Oturum açma çeşitleri (Logon Type) olarak şu tabloya bakılabilir:
| Logon Type |
Logon Title |
Description |
0 |
System |
Sadece "System" hesabı için kullanılır.
|
2 |
Interactive |
Gerçek oturum açma olayı. RunAs de olabilir. [1]
|
3 |
Network |
Ağ üzerinden oturum açma. Paylaşımlara erişme, IIS (integrated auth), Powershell Remoting [1]
|
4 |
Batch |
Genellikle zamanlanmış görevlere aittir.
|
5 |
Service |
Service Control Manager tarafından başlatılan bir hizmete ait kayıt.
|
7 |
Unlock |
Kilitli bilgisayarın kilidinin açılmasına ait kayıt. |
8 |
NetworkCleartext |
Bir kullanıcı ağ üzerinden oturum açmış, ama parola hash olarak değil, açık şekilde gönderilmiş.
|
9 |
NewCredentials |
Oturum açılırken üretilen token tekrar kullanıldı ama yeni oturum açma bilgileri (kullanıcı adı ve parola) belirtti. RunAs /NetOnly [1]
|
10 |
RemoteInteractive |
Uzak masaüstü, uzaktan yardım, terminal hizmetleri.
|
11 |
CachedInteractive |
Oturum açma sırasında parolayı doğrulamak için etki alanı sunucusuna (DC) danışılmadı, yerel kayıt bilgileri (cache) kullanıldı.
|
12 |
CachedRemoteInteractive |
RemoteInteractive ile aynı, iç izleme için denmiş (?)
|
13 |
CachedUnlock |
Sanıyorum kilit açarken DC'ye danışmadan yerel kayıt bilgilerinin (cache) kullanılması durumu.
|
Etki alanı olmayan bir bilgisayara yapılan oturum açmaları arıyorsak 2 veya 7'ye bakmalıyız. Etki alanına üye bir bilgisayar için ise 2, 11 ve 13 olabilir.
Get-WinEvent ile şu şekilde yapılan bir sorgu ile olay gövdesindeki bütün bilgileri görmek yüksek olasılıkla mümkün olmayacaktır:
PS> Get-WinEvent -Filterhashtable @{LogName="Security";Id=4624}
TimeCreated Id LevelDisplayName Message
----------- -- ---------------- -------
2022-03-10 20:49:38 4624 Bilgi Bir hesapta başarılı bir şekilde oturum açıldı....
Bunun yerine hem oturum açma tipini hesaba katıp, hem de EventProperty nesnesi ile daha güzel bir çıktı üretmek mümkün. 4624 olayı için EventProperty üyeleri şöyle:
0 : Subject User SID
1 : Subject Username
2 : Subject Domain Name
3 : Subject Logon Id
4 : Target User SID
5 : Target Username
6 : Target Domain Name
7 : Target Logon Id
8 : Logon Type
9 : Logon Process Name
10: Authentication Package Name
11: Workstation Name
12: Logon GUID
13: Transmitted Services
14: LmPackageName
15: Keylength
16: ProcessId
17: ProcessName
18: IP Address
19: IP Port
20: Impersonation Level
21: Restricted Admin Mode
22: Target Outbound Username
23: Target Outbound Domain Name
24: Virtual Account
25: Target Linked Logon Id
26: Elevated Token
4771 Pre-Authentication failed hatasının EventProperty nesnesi içindeki 4 numaralı üye Status için şu ayrıntılar verilmiş:
| Status | Kerberos RFC tanımı |
Açıklama |
| 0x1 |
Client's entry in database has expired |
|
| 0x2 |
Server's entry in database has expired |
|
| 0x3 |
Requested protocol version # not supported |
|
| 0x4 |
Client's key encrypted in old master key |
|
| 0x5 |
Server's key encrypted in old master key |
|
| 0x6 |
Client not found in Kerberos database |
Bad user name, or new computer/user account has not replicated to DC yet |
| 0x7 |
Server not found in Kerberos database |
New computer account has not replicated yet or computer is pre-w2k |
| 0x8 |
Multiple principal entries in database |
|
| 0x9 |
The client or server has a null key |
administrator should reset the password on the account |
| 0xA |
Ticket not eligible for postdating |
|
| 0xB |
Requested start time is later than end time |
|
| 0xC |
KDC policy rejects request |
Workstation restriction |
| 0xD |
KDC cannot accommodate requested option |
|
| 0xE |
KDC has no support for encryption type |
|
| 0xF |
KDC has no support for checksum type |
|
| 0x10 |
KDC has no support for padata type |
|
| 0x11 |
KDC has no support for transited type |
|
| 0x12 |
Clients credentials have been revoked |
Hesap devre dışı, süresi dolmuş, kilitlenmiş veya oturum açma saatleri dışında. |
| 0x13 |
Credentials for server have been revoked |
|
| 0x14 |
TGT has been revoked |
|
| 0x15 |
Client not yet valid - try again later |
|
| 0x16 |
Server not yet valid - try again later |
|
| 0x17 |
Password has expired |
Parolanın süresi dolmuş
|
| 0x18 |
Pre-authentication information was invalid |
Genellikle yanlış parola
|
| 0x19 |
Additional pre-authentication required* |
|
| 0x1F |
Integrity check on decrypted field failed |
|
| 0x20 |
Ticket expired |
Frequently logged by computer accounts |
| 0x21 |
Ticket not yet valid |
|
| 0x21 |
Ticket not yet valid |
|
| 0x22 |
Request is a replay |
|
| 0x23 |
The ticket isn't for us |
|
| 0x24 |
Ticket and authenticator don't match |
|
| 0x25 |
Clock skew too great |
Workstation’s clock too far out of sync with the DC’s |
| 0x26 |
Incorrect net address |
IP address change? |
| 0x27 |
Protocol version mismatch |
|
| 0x28 |
Invalid msg type |
|
| 0x29 |
Message stream modified |
|
| 0x2A |
Message out of order |
|
| 0x2C |
Specified version of key is not available |
|
| 0x2D |
Service key not available |
|
| 0x2E |
Mutual authentication failed |
may be a memory allocation failure |
| 0x2F |
Incorrect message direction |
|
| 0x30 |
Alternative authentication method required* |
|
| 0x31 |
Incorrect sequence number in message |
|
| 0x32 |
Inappropriate type of checksum in message |
|
| 0x3C |
Generic error (description in e-text) |
|
| 0x3D |
Field is too long for this implementation |
|
Bunları kullanarak daha şekilli bir çıktı için şöyle bir komut mümkün:
PS> Get-WinEvent -FilterHashtable @{LogName="Security";Id=4624} |
Where-Object {$_.properties[8].Value -eq 2} |
Select-Object TimeCreated, Id, @{Name="Username";Expression={$_.properties[5].Value}}, @{Name="LogonProcName";Expression={$_.properties[9].Value}}, @{Name="AuthPkgName";Expression={$_.properties[10].Value}}, @{Name="IPAddress";Expression={$_.properties[18].Value}}
Bunun sonucunda çıktı şöyle olur:
TimeCreated Id Username LogonProcName AuthPkgName IPAddress
----------- -- -------- ------------- ----------- ---------
2022-03-10 19:53:21 4624 user1 Advapi Negotiate -
2022-03-10 19:53:21 4624 user2 Advapi Negotiate -
2022-03-10 19:53:21 4624 user2 Advapi Negotiate -
2022-03-10 19:53:14 4624 user4 User32 Negotiate 127.0.0.1
2022-03-10 19:53:14 4624 user5 User32 Negotiate 127.0.0.1
2023-12-09 Düzeltme: Burada
Where-Object {$_.properties[8].Value -eq 2}
ile aslında bütün kullanıcıların yerel olduğunu varsaydım. Ama Windows 8 ve sonrasında artık kullanıcı hesapları Hotmail/Outlook gibi internet tabanlı olabildiği için bu kısıtlama onları göstermeyecektir. Ayrıca UMFD (user mode font driver) ve DWM (desktop window manager) hesaplarını da listelemek kafa karıştırabilir. Bunun için belki Where koşulu Authentication Package Name'e göre (Properties[9]) yapılabilir (alan sonunda bir boşluk karakteri var, bu sebeple -like işleci kullandım):
Where-Object {$_.properties[9].Value -like "User32*"}
Oturum kapatma olayı 4634, oturum açma hatası (yanlış parola/kullanıcı adı) 4625 olayları ile sorgulanabilir. Oturum kapatma için EventProperties nesnesinde 5 alan vardır. 4625'te ise 4624'tekine benzer sayı ve nitelikte alanlar vardır.
---
[1] https://medium.com/@pentesttas/windows-events-sysmon-visualization-using-neo4j-part-2-d4c2fd3c9413
