Event ID 4624: Başarılı Oturum Açma

Event ID 4624 Nedir?

Windows işletim sisteminde bir kullanıcı oturumu başarıyla açıldığında, Security loguna Event ID 4624 kaydedilir. Bu olay, hem yerel hem de uzak erişimleri kapsar. Her 4624 kaydı, oturum açma türünü belirten bir Logon Type değeri içerir.

Logon Type Değerleri ve Anlamları

Type 2 (Interactive): Kullanıcı fiziksel olarak bilgisayar başında oturum açtığında oluşur. Sunucularda bu tip erişim beklenmez ve alarm sebebi olabilir.

Type 3 (Network): Ağ üzerinden kaynak erişimlerinde (dosya paylaşımı, yazıcı vb.) oluşur. En yaygın Logon Type'tır.

Type 10 (RemoteInteractive): RDP bağlantılarında oluşur. Dış IP'lerden gelen Type 10 olayları mutlaka izlenmelidir.

Güvenlik Açısından Önem

4624 olayları tek başına tehdit oluşturmaz, ancak şu senaryolarda kritik hale gelir: Mesai dışı saatlerde Type 10 (RDP) girişi, aynı hesapla farklı IP'lerden eşzamanlı oturum, servis hesabının interaktif (Type 2) kullanılması. ACKLOG bu korelasyon kurallarını yerleşik olarak içerir.

Örnek Log Çıktısı

An account was successfully logged on.
Subject:
  Security ID: SYSTEM
  Account Name: WIN-SERVER01$
Logon Information:
  Logon Type: 10
  Account Name: admin.user
  Source Network Address: 192.168.1.105
  Workstation Name: CLIENT-PC

ACKLOG ile İzleme

ACKLOG, Event ID 4624 loglarını topladığında otomatik olarak Logon Type, kaynak IP, hedef sunucu ve zaman bilgisini ayrıştırır (parse eder). Yerleşik korelasyon kurallarıyla anormal erişim kalıpları saniyeler içinde tespit edilir ve SOC ekibine alarm gönderilir.