18 Kasım 2025 Tarihinde Microsoft Azure Hesabımda Hangi IP adreslerinden olay kaydı alınmıştır?

Bu soruyu sormamızın arkasındaki olay örgüsünü bilmekte fayda var.

Günün Özeti

Günün erken saatlerinde meetgate-prod-api servisimizin yanıtlarında sorunlar olduğu görülmüştür. Bu bizlerin de hatası olabileceği için üzerine gitmedik ancak logları görüntülediğimizde anladık ki gece saatlerinde 3 farklı IP adresinden (lokasyonları Japonya'dan Rusya'ya değişmektedir) API servisimize ciddi bir saldırı olmuş, çeşitli dosyalara erişilmeye çalışılmıştır.

Bunun incelemesini yaparken Windows makinemizin Remote Desktop özelliği ile doğrudan Azure platformundan bağlantı kurmuştuk. Fakat incelemeler sırasında birden bağlantımız koptu ama bu öyle alelade bir kopuş değil de o an bir başkasının bağlandığına ikna edecek şekilde sistemden atılma gibi hissettirdi. Hemen 10-15 saniye içerisinde yeniden bağlantı kurduk ve işlemimize devam ettik. Ancak Sol menüde "Events" sekmesine geldiğimde tam da bağlantımın koptuğu noktada (saniyede) bir stream olduğu yazıyor. İlgili event şu şekilde:

Category: Microsoft.WindowsAdminCenter.Common.ServiceLog

EventId: 402

SpanId: 276e172f17adde0e

TraceId: 4277d36688d09b59014888779fc89dda

ParentId: b497b3fc411e9cb9

ConnectionId: 0HNH6L5M877TL

RequestId: 0HNH6L5M877TL:00000001

RequestPath: /api/Stream/socket/msft.sme.event-viewer

ActionId: 0135862a-ed45-4932-a3cd-f4454f163d94

ActionName: Microsoft.WindowsAdminCenter.Controllers.Stream.StreamController.ForwardToStream (Microsoft.WindowsAdminCenter.Controllers.Stream)

PowerShellStream Processing ID=451b91ff-b717-4421-b9a2-f826390a9002, State=Normal

Sizlerden ricamız bu olayın kontrol edilmesi ve şahsımın IP adresi dışında herhangi bir IP adresinden Azure platformuna erişim sağlanmış mıdır, bunun analizi ve sonucunun bize bildirilmesi.

Şahsım bir sabit olmak üzere birkaç farklı IP adresi kullanmıştır. Sabit olan IP adresim bu destek talebini de oluşturduğum IP adresi olan: 31.223.18.231 adresidir. Diğerleri ise bazen mobil cihazımın (Turkcell) IP adresi ve bazen de Istanbul lokasyonlu Bilişim Vadisi ve çevresinde erişilebilen lokasyonlardaki IP adresleridir.

Şüphemiz zaten bu şekilde kolayca tespiti yapılabilen IP adreslerinde değildir. Yine de eğer olmuşsa bu Azure hesabına son birkaç haftadır hangi hesaplar hangi lokasyonlardan erişmiştir, hala benden başkasının erişimi öyle ya da böyle, dolaylı yollardan dahi olsa var mıdır?

Çok ciddi bir konu olması münasebetiyle sizlerden acele yanıt beklemekteyiz.

Teşekkür ederiz,

MeetGate Teknik Ekibi