Domain Controller, istemci ve üye sunucu: Sistemde kim ne yapar?

1. Core Mechanism / Temel mekanizma

Talebi yapan, kimliği işleyen, kaynağı açan

WS01 istemcisi tunahan adına bir servis bağlamı ister. DC01 üzerindeki KDC, cifs/FS01.iyelabs.example hedefi için ticket işlemini yürütür. Ticket daha sonra istemci tarafından doğrudan FS01’deki servise sunulur.

DC, FS01 üzerindeki dosya DACL’ini kararlaştırmaz. FS01 ticket’ı kabul ettikten sonra yerel bir logon session/token bağlamı oluşturur ve istenen kaynak için kendi yetkilendirme mekanizmasını uygular.

DC her servis bağlantısının veri yolunda değildir

Kerberos service ticket hedef servise doğrudan sunulur. Hedef servis her bağlantıda ticket almak için DC’ye gitmez; ticket cache ve protokol ayrıntıları nedeniyle “bir bağlantı, bir yeni 4769” eşitliği kurulamaz.

Bu ayrım hem mimariyi hem arıza ayırmayı netleştirir: KDC’nin ticket üretmesi, hedef servisin bağlantıyı kabul ettiği veya kaynağın erişime izin verdiği anlamına gelmez.

İki host, iki kayıt, iki soru

DC01 üzerindeki 4769, service ticket işlemini gösterir. FS01 üzerindeki 4624, hedefte bir logon session oluşturulduğunu gösterir. Dosya erişimi ise ayrıca nesne erişimi kanıtı gerektirir.

Microsoft alan açıklamalarına göre sıfır olmayan LogonGuid korelasyona yardımcı olabilir. Ancak sıfır GUID, ticket tekrar kullanımı, saat/toplama gecikmesi ve farklı veri yolları birebir join varsayımını bozar.

Bekleyen doğrulama sınırı

Artifact çifti kaynak belgelerdeki alanların sentetik alt kümeleridir; gerçek bir AS/TGS/AP akışından alınmadı. Eşleşen GUID yalnızca uygulamanın karşılaştırma davranışını göstermek içindir.

PAC doğrulaması gibi servis/DC etkileşimi istisnaları ve NTLM yolu bu başlangıç dersinde genellenmez; ilgili iddialar sonraki derslere bırakılır.

Durum ve veri akışı

1. WS01, domain principal’ı için Kerberos bağlamını edinir.
2. Bir servise erişirken DC01/KDC’den service ticket ister.
3. DC01 isteği işler. İlgili Kerberos Service Ticket Operations denetimi açıksa kendi Security kanalında 4769 kaydı oluşur.
4. WS01 ticket’ı doğrudan FS01’deki hedef servise sunar.
5. FS01 ticket’ı kabul edip network logon session oluşturursa, ilgili Logon denetimi açıkken FS01’in Security kanalında 4624 kaydı oluşur.
6. FS01 token ile kendi kaynak security descriptor’ını değerlendirir.
7. DC kaydı, hedef oturumu ve nesne erişimi ayrı kanıtlar olarak yorumlanır.

2. Exploitation / İstismar

Broken trust assumption

Bozulan varsayım: “Üye sunucu yalnız veri taşır; yerel yönetici/SYSTEM düzeyi kontrol domain kimlik altyapısına etkisizdir ya da doğrudan Domain Admin demektir.” Gerçek etki önce hostla sınırlıdır; domain’e genişleme, hostta bulunan veya hosta güvenen daha güçlü kimlik ve haklara bağlıdır.

Technical prerequisites

• Üye sunucuda yerel yönetici, SYSTEM veya eşdeğer servis kontrolü.
• Daha geniş etki için sunucuda ayrıcalıklı domain hesabı oturumu, güçlü servis hesabı, yeniden kullanılan yerel kimlik bilgisi ya da makine hesabına verilmiş özel domain hakkı.
• Elde edilen kimliğin başka sistemlerde kabul edilmesi veya AD nesneleri üzerinde gerçekten etkili hakkı bulunması.

Exploitation mechanism / İstismar mekanizması

Üye sunucu kontrolü öncelikle o hostun servislerini, süreçlerini, yerel SAM’ini, logon session’larını ve verisini etkiler. Domain’e sıçrama otomatik değildir: saldırganın hostta kalan daha güçlü bir credential’a erişmesi, servis/makine hesabı hakkını kullanması veya başka hedefte kabul edilen yeniden kullanılmış bir sır bulması gerekir. DC’de ayrıcalıklı kontrol ise AD DS verisi ve domain tarafından yönetilen sistemler için farklı ve daha geniş bir güven sınırını tehdit eder.

Host kontrolü ile domain kontrolünü eşitleme

FS01’deki yerel Administrators üyeliği IYELABS\Domain Admins üyeliği değildir. Başlangıç etkisi FS01’in yerel güvenlik alanıdır.

Daha geniş yol varsa bunu somut bağımlılık açıklar: ayrıcalıklı oturum, servis hesabı, makine hesabı hakkı veya yeniden kullanılan credential.

Rol ayrımı saldırı yüzeyini de ayırır

İstemci credential kullanım noktası, DC merkezi kimlik/ticket noktası, üye sunucu ise credential kabulü ve kaynak kararı noktasıdır. Her birinin ele geçirilme etkisi aynı değildir.

“Server ele geçirildi, domain bitti” hükmü ancak aradaki kimlik ve hak zinciri kanıtlandığında kurulabilir.

3. Defense & Detection / Savunma ve tespit

Telemetry scope

• DC kanıtı: Security/4769; Audit Kerberos Service Ticket Operations; olay yalnız domain controller üzerinde oluşur.
• Kaynak kanıtı: FS01 Security/4624; Audit Logon; olay logon session’ın oluşturulduğu hedefte oluşur.
• Bu olaylar için nesne SACL’i gerekmez. Dosya/nesne erişimini göstermek istenirse ilgili Object Access alt kategorisi ve uygun SACL ayrı gereksinimdir.

Events and relevant fields

• 4769 / TargetUserName, ServiceName, ServiceSid, TicketEncryptionType, IpAddress, Status ve LogonGuid: KDC’nin ticket işlem bağlamı.
• 4624 / TargetUserSid, TargetUserName, TargetDomainName, TargetLogonId, LogonType, AuthenticationPackageName, IpAddress ve LogonGuid: hedefte oluşturulan oturum bağlamı.
• 4769 Version 0 artifact’i klasik alan alt kümesini kullanır; Version 2’ye özgü yeni alanlar varsayılmaz.
• 4624 LogonType 3, Network; AuthenticationPackageName Kerberos seçilmiştir. Bu sentetik değerler lab sonucu değildir.

Önce gözlem noktasını yaz

Bir olayın EventID’si kadar üretici hostu da önemlidir. 4769 KDC sorusunu, 4624 hedef logon sorusunu yanıtlar.

İki kaydı tek bir “başarılı erişim” olayı gibi birleştirmek, kaynak yetkilendirmesini görünmez kılar.

Korelasyon sonuç değil hipotezdir

Eşleşen LogonGuid bağ kurmaya yardımcı olur; olayların tek başına söylediğinden fazlasını kanıtlamaz. Nesne erişimi için kaynakta ek kanıt gerekir.

GUID sıfırsa korelasyonun kesinliği düşer. Host, hesap, adres ve zaman bileşimi çevresel baseline ile değerlendirilmelidir.

Detection logic · XPath

DC akışı: *[System[(EventID=4769)]]
Kaynak akışı: *[System[(EventID=4624)]]

Query assumptions

• Bunlar iki ayrı Windows Event Log XPath aday filtresidir; XPath hostlar arasında join yapmaz.
• Korelasyon SIEM veya uygulama katmanında yapılmalı; aynı ve sıfır olmayan LogonGuid yalnız bir aday bağdır.
• Sıfır GUID durumunda hesap, istemci adresi, hedef ve dar zaman aralığı daha zayıf kanıt sağlar; evrensel korelasyon penceresi tanımlanmamıştır.
• Sorgular ve sentetik çift gerçek Windows/SIEM veri kümesinde çalıştırılmadı.

False positives

• Yoğun uygulama sunucuları ve servis hesapları çok sayıda normal 4769/4624 üretir.
• Ticket cache nedeniyle her hedef bağlantısına yeni 4769 eşlik etmeyebilir.
• NAT, saat farkı ve toplama gecikmesi adres/zaman korelasyonunu yanıltabilir.
• Negatif örnek: 4769 bulunması FS01’de 4624 veya dosya erişimi bulunduğunu kanıtlamaz.

Hardening

• Ayrıcalıklı domain hesaplarının member server’larda oturum açmasını kısıtla.
• Yerel Administrators üyeliğini ve servis kontrol haklarını en az gerekli kapsamda tut.
• Servis ve makine hesaplarına yalnız gereken domain haklarını ver; hak zincirlerini düzenli incele.
• Yönetim işlemlerini güvenilir, ayrı yönetim hostlarından yürüt; DC’leri ayrı kritik katman olarak koru.
• DC 4769 ve üye sunucu 4624 veri akışlarını ayrı topladığını doğrula; sonra kontrollü lab akışıyla GUID doluluğu ve korelasyon davranışını ölç. Bu doğrulama henüz yapılmadı.

Örnekler üzerinde oku / Read the examples

<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
  <System><Provider Name="Microsoft-Windows-Security-Auditing"/><EventID>4769</EventID><Version>0</Version><Channel>Security</Channel><Computer>DC01.iyelabs.example</Computer></System>
  <EventData><Data Name="TargetUserName">tunahan@IYELABS.EXAMPLE</Data><Data Name="TargetDomainName">IYELABS.EXAMPLE</Data><Data Name="ServiceName">FS01$</Data><Data Name="ServiceSid">S-1-5-21-111111111-222222222-333333333-1108</Data><Data Name="TicketOptions">0x40810000</Data><Data Name="TicketEncryptionType">0x12</Data><Data Name="IpAddress">::ffff:192.0.2.21</Data><Data Name="IpPort">51477</Data><Data Name="Status">0x0</Data><Data Name="LogonGuid">{8f2a4c11-5d90-4a37-9be2-71c4ad0f3e55}</Data><Data Name="TransmittedServices">-</Data></EventData>
</Event>

<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
  <System><Provider Name="Microsoft-Windows-Security-Auditing"/><EventID>4624</EventID><Version>2</Version><Channel>Security</Channel><Computer>FS01.iyelabs.example</Computer></System>
  <EventData><Data Name="TargetUserSid">S-1-5-21-111111111-222222222-333333333-1105</Data><Data Name="TargetUserName">tunahan</Data><Data Name="TargetDomainName">IYELABS</Data><Data Name="TargetLogonId">0x9c53</Data><Data Name="LogonType">3</Data><Data Name="AuthenticationPackageName">Kerberos</Data><Data Name="WorkstationName">WS01</Data><Data Name="IpAddress">192.0.2.21</Data><Data Name="LogonGuid">{8f2a4c11-5d90-4a37-9be2-71c4ad0f3e55}</Data></EventData>
</Event>

İki yanlış kanı / Two reality checks

Sanılan: Üye sunucu domain kullanıcısını doğruladığında DC bütün kaynak izinlerini de kararlaştırır.

Gerçekte: DC kimlik ve ticket işlemini yürütür; istemci ticket’ı hedef servise sunar. Üye sunucu oturumu oluşturur ve kendi kaynağı için security descriptor üzerinden ayrı yetkilendirme kararı verir.

Sanılan: Bir üye sunucuda yerel yönetici olmak doğrudan Domain Admin olmaktır.

Gerçekte: Başlangıç etkisi o hostun yerel güvenlik alanıyla sınırlıdır. Domain etkisi ancak hostta bulunan daha güçlü kimlik, yeniden kullanılan credential ya da servis/makine hesabına verilmiş gerçek domain hakları üzerinden oluşur.

Kaynaklar / Sources

• Microsoft · Kerberos authentication overview
  Giriş, “How Kerberos authentication works” ve “More efficient authentication to servers”: KDC’nin DC’deki rolü ve ticket’ın servise sunulması.
• Microsoft · MS-GPOD glossary
  “domain controller (DC)”: AD DS veri deposu ve çoğaltma rolü.
• Microsoft · 4769(S, F): A Kerberos service ticket was requested
  Event Description, Version 0 XML ve Logon GUID dahil alan açıklamaları; olayın DC üzerindeki gözlem noktası.
• Microsoft · 4624(S): An account was successfully logged on
  Event Description, Version 2 XML, Logon Type, Authentication Package ve Logon GUID açıklamaları.
• Microsoft · Best practices for securing Active Directory
  “Credential theft” ve “Use secure administrative hosts”.