Registry üzerinden kapatılan loglamaya karşı nasıl savunulur

Saldırgan ne yapar

Windows, log tutmaya devam edip etmeyeceğine registry'den karar verir. Yönetici hakları olan bir saldırgan sessizleşmek için birkaç değeri değiştirir: EventLog servisinin Start değerini 4 yapmak servisi bir sonraki açılışta durdurur; Security log dosyası yolunu değiştirmek yeni kayıtları saldırganın denetlediği bir dosyaya yönlendirir; ProcessCreationIncludeCmdLine_Enabled'i 0 yapmak komut satırını süreç oluşturma olaylarından kaldırır, böylece sonraki komutlar yine loglanır ama argümanları olmadan. Değişiklik genelde erken yapılır ki saldırının geri kalanı ya çok az ya da hiç kaydedilmesin.

Logda nasıl görünür

Bir registry değeri yazma olayı (Sysmon Event ID 13, category: registry_set): TargetObject değerin yolu, Details yazılan şey, Image onu yazan programdır. Kayıtlardaki yazmalardan biri:

EventLog servisi Start değeri DWORD (0x00000004) olunca devre dışı kalır. Yazmalar reg.exe'den, PowerShell'den ve indirilmiş bir programdan gelir; bu yüzden program tek başına onları normal etkinlikten ayırmaz.

Tespit

Challenge verisinde ölçüldü: kural 6 saldırı olayından 6 tanesini yakaladı, 11.082 normal olaydan 0 tanesiyle eşleşti.

title: Registry write that disables event logging or the command line in process events
id: 7d950be9-2685-4a1e-9b98-3957b21e4c07
status: test
description: >
  Detects writes to registry values that weaken logging: the EventLog service Start value set to 4
  (service disabled at next boot), a change to the Security log file path, and
  ProcessCreationIncludeCmdLine_Enabled set to 0 (command line dropped from process events). These
  keys change during an OS install or update; a write at any other time is worth an alert.
references:
  - https://attack.mitre.org/techniques/T1562/002/
  - https://howdefend.com/defend/disable-logging-registry/
author: Bartu Kılıç
date: 2026-10-20
tags:
  - attack.defense-evasion
  - attack.t1562.002
  - attack.t1562.006
logsource:
  product: windows
  category: registry_set
detection:
  eventlog_disabled:
    TargetObject|endswith: '\Services\EventLog\Start'
    Details: 'DWORD (0x00000004)'
  log_file_moved:
    TargetObject|contains: '\Services\EventLog\'
    TargetObject|endswith: '\File'
  cmdline_off:
    TargetObject|endswith: '\ProcessCreationIncludeCmdLine_Enabled'
    Details: 'DWORD (0x00000000)'
  condition: 1 of them
falsepositives:
  - An OS install or feature update that rewrites the EventLog service configuration
level: high

Kuralın kaçırdıkları

• Aynı sonuca giden başka yollar. MiniNt anahtarı, auditpol ve wevtutil bu üç değere dokunmadan aynı sonuca ulaşır; komut satırında çalışırlar ve ayrı bir challenge ile sayfadır.
• Kanal bazında kapatılan loglama. Her olay kanalının kendi Enabled değeri vardır; bir saldırgan EventLog servisine dokunmadan tek bir kanalı (PowerShell, Sysmon) kapatabilir. Kanal anahtarlarını da izleyin.
• Kurulum anındaki false positive. Bir Windows kurulumu ya da özellik güncellemesi EventLog servis yapılandırmasını meşru olarak yeniden yazar. Çalışan, zaten kurulu bir makinedeki bir yazmayı kurulum sırasındakinden farklı değerlendirin.

Önleme

• Olayları oluştukça iletin. Windows Event Forwarding ya da olayları makineden dışarı gönderen bir ajan, yerelde kapatılan bir logun zaten toplanmış olanı kaldırmaması demektir.
• Sessizliğe alarm üretin. Olay gönderirken duran bir makine, hangi değer değişmiş olursa olsun kendisi bir sinyaldir.
• Anahtarları koruyun. Bu değerleri yalnızca yöneticiler yazabilir; daha az yerel yönetici, onları değiştirebilecek daha az hesap demektir.

Pratik

Kuralı aynı veri üzerinde, hedeflerin hepsi etiketliyken kendiniz yazın.

Kaynaklar

• MITRE ATT&CK: T1562.002 Disable Windows Event Logging
• Microsoft Learn: Command line process auditing
• OTRF Security-Datasets (attack recordings used on this page)