Windows Server 4625, 4771 ve 4776 Olaylarıyla Giriş Hatalarını Analiz Etmek

Windows Server üzerinde başarısız oturum açma kayıtları yalnızca yanlış parola kullanıldığı anlamına gelmez.

Eski parola kullanan servisler, zamanlanmış görevler, Kerberos sorunları veya gerçek saldırı girişimleri de benzer olayları oluşturabilir.

Event ID'ler

• 4625: Hedef sistemde başarısız oturum açma denemesi.
• 4771: Kerberos ön kimlik doğrulama başarısızlığı.
• 4776: NTLM kimlik bilgisi doğrulama denemesi.

Bu olayların her biri farklı sistemlerde görülebilir. Security Audit Policy ayarları ve kullanılan kimlik doğrulama yöntemi önemlidir.

PowerShell sorgusu

Son 24 saatlik kayıtları incelemek için:

$since = (Get-Date).AddHours(-24)

Get-WinEvent -FilterHashtable @{
  LogName = 'Security'
  ID = 4625,4771,4776
  StartTime = $since
} -ErrorAction SilentlyContinue |
  Select-Object TimeCreated,Id,MachineName,Message |
  Select-Object -First 30

Komut yalnızca logları okur. Büyük ortamlarda zaman aralığını dar tutmak daha verimlidir.

Hataları ilişkilendirme

Aynı kullanıcıya ait 4771 kayıtları tekrarlanıyorsa hangi sunucunun veya uygulamanın eski parolayı kullanmaya devam ettiğini araştırın.

4625 üzerindeki Logon Type 3 ağ erişimiyle, Type 10 ise uzak masaüstü oturumuyla ilişkili olabilir.

Kaynak IP, workstation adı, işlem bilgileri ve olay saatleri birlikte değerlendirilmelidir.

Güvenlik önerisi

Logları dışarıya paylaşırken kullanıcı adları, IP adresleri ve hassas bilgileri anonimleştirin.

Hesap kilitlenmelerinde uygulama sahipleriyle birlikte kök neden analizi yapmadan servis hesaplarını değiştirmeyin.

Kaynak: Microsoft Learn Windows Security Audit Events.