Modern Windows DFIR'de En Kritik 100 Artifact ve IOC Kaynağı

Dijital Adli Bilişim ve Olay Yanıtı (DFIR), siber güvenlik alanında kritik bir rol oynamaktadır. Windows işletim sistemlerinde yapılan adli analizler, olayların izlenmesi ve zararlı etkinliklerin tespit edilmesi açısından oldukça önemlidir. Bu yazıda, modern Windows DFIR süreçlerinde dikkate alınması gereken en kritik 100 artifact ve IOC (Indicator of Compromise) kaynağını inceleyeceğiz.

Öncelikle, DFIR'de dikkate alınması gereken bazı temel artifact'leri sıralayalım:

• Windows Event Logs: Windows olay günlükleri, sistemde meydana gelen olayların kaydedilmesi açısından kritik öneme sahiptir. Olay ID'leri, hangi işlemlerin gerçekleştiğini anlamamıza yardımcı olur.
  
• Registry HKEY_LOCAL_MACHINE: Windows kayıt defteri, sistem yapılandırması ve yüklü uygulamalar hakkında bilgi sağlar. Özellikle, yazılım yüklemeleri ve başlangıç öğeleri için önemlidir.
  
• Prefetch Files: Prefetch dosyaları, uygulamaların açılma sürelerini hızlandırmak için kullanılır. Analiz edildiğinde, bir uygulamanın ne zaman çalıştığını gösterir.
  
• Browser History: Tarayıcı geçmişi, kullanıcının internet üzerinde yaptığı işlemleri takip etmek için önemli bir kaynaktır.
  
• User Profiles: Kullanıcı profilleri, kullanıcıların sistemde yaptığı değişiklikleri ve aktiviteleri kaydeder. Bu bilgiler, kullanıcı davranışları hakkında önemli ipuçları sunar.

IOC kaynakları ise, potansiyel bir saldırının tespit edilmesi için önemlidir. Aşağıda bazı önemli IOC kaynaklarını bulabilirsiniz:

• IP Adresleri: Şüpheli IP adresleri, saldırganların faaliyetlerini izlemek için kullanılabilir.
  
• Dosya Hash'leri: Zararlı yazılımların tespiti için dosya hash'leri kritik bir rol oynar. Özellikle, SHA256 ve MD5 hash'leri kullanılır.
  
• Domain Adları: Şüpheli domain adları, phishing saldırılarını ve diğer kötü niyetli etkinlikleri tespit etmek için önemlidir.
  
• URL'ler: Kötü amaçlı linkler, kullanıcıların zararlı sitelere yönlendirilmesi açısından izlenmelidir.
  
• E-posta Başlıkları: Şüpheli e-postalar, saldırganların kullandığı iletişim yöntemlerini analiz etmek için değerlidir.

Sonuç olarak, modern Windows DFIR süreçlerinde bu artifact'ler ve IOC kaynakları, olayların izlenmesi ve analiz edilmesi açısından büyük önem taşımaktadır. Bu bilgilerin doğru bir şekilde kullanılması, saldırıların tespit edilmesi ve önlenmesi için kritik bir adımdır.