Event ID 4625 ve Brute Force İlişkisi
Başarısız oturum açma denemeleri, siber saldırıların en erken göstergesidir. Bir saldırgan, çalınmış kullanıcı listesiyle (credential stuffing) veya şifre tahmin sözlüğüyle (brute force) sisteme giriş yapmaya çalıştığında, her başarısız deneme Event ID 4625 olarak kaydedilir.
Sub Status Kodlarının Analizi
0xC000006A (STATUS_WRONG_PASSWORD): Kullanıcı adı doğru ancak şifre yanlış. Saldırganın geçerli bir kullanıcı adı bildiğini gösterir – bu ciddi bir risk işaretidir.
0xC0000064 (STATUS_NO_SUCH_USER): Var olmayan kullanıcı adıyla deneme. Saldırganın kullanıcı adlarını taradığını (user enumeration) gösterir.
0xC0000072 (STATUS_ACCOUNT_DISABLED): Devre dışı bırakılmış hesaba giriş denemesi. Eski çalışan hesaplarının hedef alınması söz konusu olabilir.
ACKLOG Brute Force Korelasyon Kuralı
ACKLOG, aşağıdaki korelasyon mantığını yerleşik olarak uygular: Aynı kaynak IP'den, 5 dakika içinde, 10 veya daha fazla Event ID 4625 olayı gelirse → Brute Force Alarm üret. Alarm, kaynak IP'yi otomatik olarak izleme listesine ekler ve ardından bu IP'den gelen bir 4624 (başarılı giriş) olayı tespit edilirse → Hesap Ele Geçirme (Account Compromise) kritik alarmı yükseltilir.
Örnek Log Çıktısı
An account failed to log on.
Subject:
Security ID: NULL SID
Logon Type: 3
Account For Which Logon Failed:
Account Name: administrator
Sub Status: 0xC000006A
Network Information:
Source Network Address: 203.0.113.50
Source Port: 49521