Komut satırından kapatılan loglamaya karşı nasıl savunulur

Saldırgan ne yapar

Registry'nin yanı sıra, yönetici hakları olan bir saldırgan loglamayı komut satırından yerleşik araçlarla kapatır. auditpol.exe tüm denetim politikasını temizler (/clear) ya da kategorileri devre dışı bırakır (/set ... :disable), böylece Windows seçilen olayları kaydetmeyi bırakır. wevtutil.exe bir logu temizler (cl) ya da onu bir çöp dosyaya yönlendirir (sl ... /lf). HKLM\SYSTEM\CurrentControlSet\Control\MiniNt registry anahtarını oluşturmak, Windows'un bir kurulum ortamında çalışıyormuş gibi davranmasını sağlar; orada Security logu hiç yazılmaz. Bunu o anahtara ya da EventLog servis anahtarına reg add yapar.

Logda nasıl görünür

Bu araçlardan biri için, işlem komut satırında olan bir süreç oluşturma olayı. Kayıtlardaki komutlardan biri:

auditpol /clear ve auditpol /remove denetim ayarlarını kaldırır; auditpol /set ... :disable bir kategoriyi kapatır. reg add ...\Control\MiniNt komutu Security logunu susturan anahtarı oluşturur.

Tespit

Challenge verisinde ölçüldü: kural 10 saldırı olayından 10 tanesini yakaladı, 2.301 normal olaydan 0 tanesiyle eşleşti.

title: auditpol, wevtutil or reg.exe used to turn off logging
id: 8c31f786-1e40-436a-be55-9e5cb5fcfc7b
status: test
description: >
  Detects the command-line tools that disable logging: auditpol clearing or disabling the audit
  policy, wevtutil clearing or redirecting a log, and reg.exe writing the EventLog service key or
  creating the MiniNt key. reg.exe runs for many reasons, so it matches only on these two targets.
references:
  - https://attack.mitre.org/techniques/T1562/002/
  - https://howdefend.com/defend/disable-logging-commands/
author: Bartu Kılıç
date: 2026-10-20
tags:
  - attack.defense-evasion
  - attack.t1562.001
  - attack.t1562.002
logsource:
  product: windows
  category: process_creation
detection:
  auditpol:
    Image|endswith: '\auditpol.exe'
    CommandLine|contains:
      - 'disable'
      - '/clear'
      - '/remove'
  wevtutil:
    Image|endswith: '\wevtutil.exe'
    CommandLine|contains:
      - ' sl '
      - 'set-log'
      - ' cl '
      - 'clear-log'
  reg_eventlog:
    Image|endswith: '\reg.exe'
    CommandLine|contains: '\services\eventlog'
  reg_minint:
    Image|endswith: '\reg.exe'
    CommandLine|contains: '\control\minint'
  condition: 1 of them
falsepositives:
  - An administrator clearing a log on purpose; correlate with a change ticket
level: high

Kuralın kaçırdıkları

• Registry üzerinden aynı sonuç. EventLog servisini Start değeriyle devre dışı bırakmak ve log dosyasını taşımak registry yazmalarıdır; burada değil, ayrı registry sayfasında yakalanır.
• Adı değiştirilmiş araç ya da bir script modülü. Kural yerleşik program adlarına ve parametrelerine dayanır. PowerShell'in Clear-EventLog'u ya da başka bir adla bir wevtutil.exe kopyası kendi kapsamını gerektirir.
• Meşru bir temizleme. Bir yönetici bazen bir logu bilerek temizler. Alarmı bir değişiklik kaydıyla ilişkilendirin, her temizlemeyi bir saldırı saymayın, ama alarmı tutun: temizlemenin kaydı başlı başına değerlidir.

Önleme

• Olayları oluştukça iletin. Olaylar yazıldıkça makineden ayrılıyorsa, bir logu yerelde temizlemek zaten toplanmış olanı kaldırmaz.
• Sessizliğe ve MiniNt anahtarına alarm üretin. Olay göndermeyi durduran bir makine ya da MiniNt anahtarına yapılan herhangi bir yazma yüksek nitelikli bir sinyaldir; çalışan bir makinede hiçbir meşru şey o anahtarı oluşturmaz.
• Daha az yönetici. Buradaki her araç yönetici hakları gerektirir; yerel yöneticileri kısıtlamak onları kimin çalıştırabileceğini kısıtlar.

Pratik

Kuralı aynı veri üzerinde, hedeflerin hepsi etiketliyken kendiniz yazın.

Kaynaklar

• MITRE ATT&CK: T1562.002 Disable Windows Event Logging
• MITRE ATT&CK: T1562.001 Disable or Modify Tools
• OTRF Security-Datasets (attack recordings used on this page)