Günün İpucu

• "Bilgisayar ilk açıldığında DC ile görüşerek diğer işlemler için kullancağı Kerberos biletini alır (TGT). Bu işlem sırasında DC Security Log’unda 672 (Authentication Ticket Granted) nolu olay kaydedilir (Win2003)"

• "Kerberos yerine NTLM ile kimlik doğrulama yapılması durumunda 672/673 yerine 680 nolu olay kaydedilir. "

• "NTLM kimlik doğrulama yöntemi Kerberos’a gore daha zayıf bir yöntem olduğu için bu yöntem bazı durumlarda hacker araçları tarafından kullanılabilir. Bu işleme Downgrade Attack adı verilir"

• "Event ID 677 ve hata kodu 7’yi izleyerek downgrade attack denemelerini ortaya çıkartabilirsiniz."

• "Windows 2003 Event 677 yerine 673 Failure ile aynı olayı raporlar. Windows 2008 ise bu olayı 4773 ile raporlar."

• "Kullanıcılar oturum açtıklarında DC ile görüşerek diğer işlemler için kullancağı Kerberos biletini alır (TGT). Bu işlem sırasında DC Security Log’unda 672 (Authentication Ticket Granted) nolu olay kaydedilir (Win2003). Daha sonra GPO ve diğer işlemler için iki adet 673 (Service Ticket Granted) nolu event oluşur.Bu işlemlerden hemen sonra kullanıcı hesabının son logon tarihi değişir. Bu olay 642 (User Account Changed) olarak kaydedilir."

• "DC’lerde Logon/Logoff kategorisi etkinse bol miktarda 540/538 de loglara kaydedilir."

• "Kerberos protokolüne göre, bir bilgisayar başka bir bilgisayara ulaşmadan önce DC’den servis ticket almak zorunda. Bu da DC’de ulaşılmak istenen her bilgisayar için ekstra 673 nolu olayın kaydedilmesine neden olur.673 nolu olay bilgilerinde ServiceName bölümünde ulaşılmak istenen bilgisayarın adını bulabilirsiniz."

• "Kullanıcı kendi şifresini değiştirdiğinde 627 numaralı event id oluşur. Bu olaydan hemen sonra 642 (User Account Changed) olayı da kayıtlara geçer.
  Not: Sistem yöneticisinin başka bir kullanıcının şifresini değiştirmesi bu olaydan farklıdır. Bu durumda 628 (4724) nolu olay kayıtlara düşer."

• "Lockout Policy tarafından belirlenen sayıdan fazla yanlış şifre denemesi sonucunda 644 numaralı event id oluşur ve kullanıcı hesabı kilitlenir.Not: Bu olaya ek olarak Windows 642 nolu olayı da kaydeder"