Forest, domain, OU ve container: Organizasyon şeması ile güven sınırını ayırmak.

1. Core Mechanism / Temel mekanizma

Dört ad, üç farklı soru

Forest, ortak schema ve configuration paylaşan domainlerin en üst AD DS kapsamıdır. Domain hem bir adlandırma/dizin partition’ı hem de hesap ve çoğaltma yönetim alanıdır.

OU ve container nesneleri domain ağacında nesne tutar. OU; sınıflandırma, Group Policy scope-of-management ve delegation tasarımında özel role sahiptir. Genel container bulunması onu otomatik OU yapmaz.

DN konumu gösterir, güven sınırını değil

CN=Tunahan,OU=Muhasebe,DC=iyelabs,DC=example DN’i nesnenin RDN’sini ve üst yolunu gösterir. Bu yol yönetim ve arama kapsamını anlamayı sağlar.

Nesneyi başka OU’ya taşımak organizasyonel yerleşimi ve miras alabileceği policy/ACE bağlamını etkileyebilir; ancak OU adı tek başına forest düzeyinde izolasyon oluşturmaz.

Delegasyon bir ACL ilişkisidir

OU üzerindeki DACL, belirli trustee SID’lerine belirli haklar tanır. ACE inheritance flags hakkın alt ağaca geçip geçmeyeceğini; object/inherited-object GUID ise hangi sınıf ya da özellik bağlamına uygulanacağını daraltabilir.

Etkili kontrol, explicit ve inherited ACE’lerin hedef nesne ve istenen right bağlamında değerlendirilmesiyle anlaşılır. “OU yöneticisi” etiketi, forest veya DC üzerinde sınırsız yetki anlamına gelmez.

Artifact geniş ve dar kapsamı karşılaştırır

İlk ACE, RID 1105 trustee’sine container inherit ile Generic All verir ve geniştir. İkinci object-specific ACE, RID 1106 için WRITE_DAC hakkını yalnız descendant OU sınıfına CI|IO kapsamıyla taşımayı amaçlar.

Bu sentetik SDDL üretim ACL’i değildir. Parser yalnız tokenları ayırır; canonical ACE order, gerçek effective access veya Windows round-trip sonucu hesaplamaz. Bunlar açık doğrulama bloklarıdır.

Durum ve veri akışı

1. Forest’in ortak schema/configuration kapsamı içinde, nesnenin DN’i domain naming context’teki yerini gösterir.
2. OU veya üst container DACL’i bir principal’a belirli haklar tanımlar.
3. Inheritance flags hakkın alt nesnelere taşınıp taşınmayacağını belirler.
4. Object-specific ACE, hakkı belirli sınıf/attribute kapsamına daraltabilir.
5. Etkili kontrol trustee SID, explicit/inherited ACE, hedef nesne ve istenen right ile değerlendirilir.
6. OU yerleşimi yönetim görünümünü düzenler; forest düzeyinde güvenlik izolasyonu yaratmaz.

2. Exploitation / İstismar

Broken trust assumption

Bozulan varsayım: “Ayrı departman OU’su kendi başına güvenlik izolasyonudur.” Gerçekte OU idari ve policy kapsamıdır; yanlış geniş ya da yanlış miraslanan ACE, alt nesnelerde beklenenden fazla kontrol verebilir.

Technical prerequisites

• Saldırganın veya yanlış yapılandırılmış bir grubun OU ya da üst container üzerinde etkili bir ACE’ye sahip olması.
• ACE rights mask’inin ilgili işlemi (ör. GA, WD, WP, CC veya DC), doğru inheritance kapsamını ve hedef nesne sınıfını kapsaması.
• Hedef nesnenin inheritance’ı engellememesi veya explicit DACL ile hakkı etkisizleştirmemesi.

Exploitation mechanism / İstismar mekanizması

Geniş veya yanlış miraslanan ACE, OU altındaki nesneleri oluşturma/silme, attribute değiştirme veya DACL değiştirme yetkisi verebilir. Etki yalnız ACE’deki right, trustee, object type, inherited-object type ve miras derinliğinde geçerlidir. OU üzerinde kontrol forest/DC yöneticiliği değildir; fakat OU kapsamındaki kimlik ve bilgisayar nesneleri üzerinde ciddi etki yaratabilir. Üst düzey hizmet yöneticileri OU ACL’sini değiştirebildiği için OU gerçek bir forest güvenlik sınırı değildir.

Organizasyon çizgisini saldırı sınırı sanma

Departman adları ve OU yolları insanlara düzen sunar; saldırı yüzeyini ise ACL’deki gerçek trustee ve rights belirler.

Üst container’dan miraslanan tek bir geniş ACE, çok sayıda alt nesneyi kapsayabilir.

Hak adını kapsamıyla birlikte oku

WRITE_DAC, Generic All ile aynı şey değildir; object-specific ve inherit-only bayrakları etkinin nerede başladığını değiştirir.

Bir ACE’yi “yetki var” diye özetlemek yerine right, object GUID, inherited-object GUID, trustee SID ve hedef nesne birlikte açıklanmalıdır.

3. Defense & Detection / Savunma ve tespit

Telemetry scope

• Üretici/host: değişikliği işleyen domain controller; kanal Security.
• Audit Directory Service Changes alt kategorisi Success olarak etkin olmalıdır.
• 5136 için uygun SACL’de ilgili write erişiminin denetlenmesi gerekir; olay yokluğu audit/SACL eksikken değişiklik olmadığını kanıtlamaz.

Events and relevant fields

• 5136 Version 0: AD nesnesi değişikliği.
• Dersle ilgili alanlar: SubjectUserSid, SubjectUserName, SubjectDomainName, SubjectLogonId, DSName, DSType, ObjectDN, ObjectGUID, ObjectClass, AttributeLDAPDisplayName, AttributeSyntaxOID, AttributeValue, OperationType ve OpCorrelationID.
• Delegation incelemesinde AttributeLDAPDisplayName=nTSecurityDescriptor; OU hedefinde ObjectClass=organizationalUnit beklenebilir.
• Aynı OpCorrelationID içindeki Value Deleted ve Value Added kayıtları ilişkilendirilebilir; olay ACE’nin effective access sonucunu tek başına hesaplamaz.

Değişikliği ve etkisini ayır

5136, nTSecurityDescriptor özniteliğinin değiştiğini gösterebilir. Hangi ACE’nin hangi principal’a fiilen hangi erişimi verdiğini hesaplamak için eski/yeni descriptor ve hedef nesne bağlamı ayrıca ayrıştırılmalıdır.

OpCorrelationID, bir değişikliğin silinen ve eklenen değer kayıtlarını bağlamaya yardımcı olur; değişiklik onayı için change record ile eşleştirme gerekir.

SDDL’yi kapsam tablosuna dönüştür

Her ACE için type, flags, rights, object GUID, inherited-object GUID ve trustee ayrı sütun olmalıdır. Böylece geniş Generic All ile yalnız descendant OU’larda WRITE_DAC aynı etiket altında kaybolmaz.

Parser çıktısı effective access kararı değildir. Deny/allow sırası, group membership, object state ve inheritance bütünü ayrıca değerlendirilmelidir.

Detection logic · XPath

*[System[(EventID=5136)]] and *[EventData[Data[@Name='AttributeLDAPDisplayName']='nTSecurityDescriptor']]

Query assumptions

• Bu, ham Windows Event Log XML alan adları için çalıştırılmamış aday filtredir.
• OU kapsamı kesin ObjectDN allowlist’i veya kontrollü DN suffix kuralıyla ayrıca daraltılmalıdır.
• Audit Directory Service Changes Success ve uygun SACL yoksa kayıt oluşmayabilir.
• AttributeValue biçimi build ve yapılandırmaya göre lab’da doğrulanmadı; sorgu yalnız attribute adına dayanır.

False positives

• Onaylı Delegation of Control değişiklikleri ve planlı ACL bakımı.
• Provisioning otomasyonu ve migration işlemleri.
• Negatif örnek: 5136 yokluğu audit/SACL eksikken değişiklik olmadığını kanıtlamaz; 5136 varlığı da ACE’nin gerçek etkisini tek başına göstermez.

Hardening

• Delegasyonu doğrudan kişiye değil yönetilen gruba ve en dar right/object type kapsamıyla ver.
• OU DACL’lerini düzenli ayrıştır; explicit ve inherited ACE’leri, trustee SID ve GUID kapsamıyla sakla.
• Default container yerine yönetilebilir özel OU kullan; fakat bunu güvenlik izolasyonu diye sunma.
• İzolasyon gereksinimini forest/domain mimarisi ve hizmet yöneticileri tehdit modeliyle değerlendir.
• Audit değişikliklerini onaylı değişiklik kaydıyla karşılaştır; SDDL’yi Windows API round-trip ve kontrollü OU üzerinde lab doğrulamasından geçir. Bu adımlar henüz yapılmadı.

Örnekler üzerinde oku / Read the examples

D:(A;CI;GA;;;S-1-5-21-111111111-222222222-333333333-1105)(OA;CIIO;WD;;bf967aa5-0de6-11d0-a285-00aa003049e2;S-1-5-21-111111111-222222222-333333333-1106)

İki yanlış kanı / Two reality checks

Sanılan: Organizasyon şemasında ayrı departman OU’su oluşturmak güvenlik izolasyonu sağlar.

Gerçekte: OU idari sınıflandırma, Group Policy ve delegation kapsamıdır. Etkili izolasyon ACL’lere ve daha geniş mimariye bağlıdır; forest düzeyindeki hizmet yöneticilerine karşı güvenlik sınırı oluşturmaz.

Sanılan: OU üzerinde “yetki verildi” demek altındaki her nesnede Full Control demektir.

Gerçekte: Etki ACE rights mask’i, trustee SID’si, inheritance flags, object/inherited-object GUID’leri ve hedef nesnenin miras durumuyla sınırlıdır; bazı ACE’ler yalnız belirli descendant sınıflarında etkindir.

Kaynaklar / Sources

• Microsoft · Understanding the Active Directory Logical Model
  Forest, Domain ve Organizational Units bölümleri: ortak yapı ve mantıksal kapsamlar.
• Microsoft · MS-GPOD glossary
  “forest”, “domain”, “distinguished name (DN)” tanımları ve güvenlik/yönetim sınırı dili.
• IETF · RFC 4512: LDAP Directory Information Models
  §2.1–2.3: directory information tree, naming ve DN/RDN modeli.
• Microsoft · Organizational-Unit class
  Sınıf tanımı ve schemaIDGUID bf967aa5-0de6-11d0-a285-00aa003049e2.
• Microsoft · Delegating Administration by Using OU Objects
  OU nesneleriyle ayrıntılı delegation ve miras alınabilir haklar.
• Microsoft · Inheritance and Delegation of Administration
  ACE inheritance ve object-specific delegation modeli.
• Microsoft · ACE Strings
  ACE string syntax: type, flags, rights, object GUID, inherited-object GUID ve trustee.
• Microsoft · 5136(S): A directory service object was modified
  Event Description, Version 0 XML, field descriptions, SACL ve Directory Service Changes gereksinimleri.