Kurulmuş Program HK. – [ÇÖZÜLDÜ] – Windows Server

Eray KAÇAR

(@eraykacar)

Gönderiler: 9

Active Member

Konu başlatıcı

Merhaba,

Windows server üzerinde birden fazla admin kullanıcısına sahip bir sunucuda yüklenilen programların hangi kullanıcı tarafından gerçekleştiğinin tespiti anlamında ne yapılabilir? SIEM vb. ürünler olmadan

iyi çalışmalar dilerim.

Gönderildi : 19/04/2021 09:14

Kadir YAPAR

(@kadiryapar)

Gönderiler: 88

Ekip Üyesi

Merhabalar,

Event viewer kullanarak Application Log kısmında 11707 Event id sini filterlerseniz hangi uygulamalar yüklendi görebilirsiniz. Uygulama event detayına girdiğinizde UserId kısmı yer almaktadır. Buradan hangi userın yüklediğinin bilgisini bulabilirsiniz.

Kim kaldırdı görmek isterseniz 11724 Event Id sini filterlerseniz bunu da görebilirsiniz.

wmic useraccount where name='username' get sid

Yukarıdaki komut ile kullanıcıların SID lerini çekip bulabilirsiniz.

Aşağıda yer alan linkteki gibi kendinize uyarı sistemi de oluşturabilirsiniz:

Link

****************************************************************
Probleminiz Çözüldüğünde Sonucu Burada Paylaşırsanız.
Sizde Aynı Problemi Yaşayanlar İçin Yardım Etmiş Olursunuz.
Eğer sorununuz çözüldü ise lütfen "çözüldü" olarak işaretlerseniz diğer üyeler için çok büyük kolaylık sağlayacaktır.
*****************************************************************

Gönderildi : 19/04/2021 11:27

Erdem Yağlıkara

(@erdemyaglikara)

Gönderiler: 1165

Noble Member

Merhaba,

Event id 1107 (MsiInstaller) üzerinden kontrol edebilirsiniz , program internet üzerinden download edildiyse user klasörü içeresinde download klasörünü kontrol edebilirsiniz. Programın klasörün oluşturulduğu tarihe bakıp sunucuda o saatlerde kim login olmuş event lardan kontrol edebilirsiniz.

Gönderildi : 19/04/2021 11:43

Eray KAÇAR and Eray KAÇAR reacted