Yerel hesap, domain hesabı, SYSTEM ve servis kimliği arasındaki farklar.

1. Core Mechanism / Temel mekanizma

Servis kimliği ayrı bir sihirli hesap türü değildir

SCM, servisin yapılandırıldığı hesabı logon eder, oluşturulan access token'ı servis sürecine bağlar ve süreç yerel nesnelere bu token ile erişir.

Yapılandırılan kimlik önceden tanımlı bir hesap, normal user hesabı, managed service account veya virtual account olabilir. 'Servis hesabı' ifadesi tek başına hangi otoriteyi ve hangi ağ davranışını seçtiğini söylemez.

Süreçteki kod, token'a verilmiş haklarla sınırlıdır; servis etiketi bu sınırı genişletmez.

Yerel token ile ağ kimliğini ayır

LocalSystem yerel hostta geniş ayrıcalıklıdır, fakat uzak kaynağa SYSTEM adlı forest-wide bir principal olarak gitmez. Ağda bilgisayar hesabının credential'larını sunar.

NetworkService yerelde düşük ayrıcalıklı olmasına rağmen ağda yine bilgisayar hesabı adına davranır. LocalService ise ağda anonim credential sunar. Aynı yerel privilege düzeyinden ağ etkisi çıkarılamaz.

Uzak kaynak yeni bir logon bağlamı kurar ve erişimi kendisine sunulan principal'ın oradaki haklarıyla değerlendirir.

Durum ve veri akışı

1. Servis yapılandırması çalıştırılacak hesabı belirtir.
2. SCM hesabı logon eder ve bir access token oluşturulmasını sağlar.
3. Token servis sürecine bağlanır; yerel kaynak isteği bu token’ın SID/privilege bağlamıyla değerlendirilir. Kaynakta istenen erişim ayrıca karara bağlanır.
4. Servis uzak kaynağa erişirse seçilen kimliğin ağ credential davranışı devreye girer.
5. Uzak host, sunulan principal için kendi logon ve erişim kararını üretir.
6. Yerel ve uzak host telemetrisi, hesap otoritesi ve logon bağlamı korunarak ilişkilendirilir.

2. Exploitation / İstismar

Broken trust assumption

Kırılan varsayım, bir servisin yalnız amaçlanan uygulama işini yapacağı ve kimliğine verilen yerel veya ağ yetkilerini başka kaynaklar için kullanmayacağıdır.

Technical prerequisites

• Servis sürecinde kod çalıştırma veya servis yapılandırmasını değiştirme yetkisi.
• Servis sürecine bağlanan token'da hedef yerel işlem için gerekli hak.
• Uzak etki için bilgisayar hesabına veya yapılandırılmış domain servis hesabına uzak kaynakta gerçekten verilmiş hak.

Exploitation mechanism / İstismar mekanizması

Ele geçirilen servis süreci bağlı token ile yerel kaynaklara, kimliğin desteklediği ağ credential'ı ile uzak kaynaklara erişmeye çalışır. SYSTEM olmak forest-wide yetki sağlamaz; uzak etki, sunulan bilgisayar veya domain principal'ına hedef kaynakta atanmış haklarla sınırlıdır.

Yerel yüksek privilege ağda aynı isimle taşınmaz

LocalSystem bağlamında kod çalıştırmak hedef hostta güçlüdür; ancak uzak kaynağın göreceği principal bilgisayar hesabıdır. Bilgisayar hesabına hak verilmemişse uzak erişim reddedilir.

NetworkService daha düşük yerel privilege'a rağmen aynı bilgisayar ağ kimliğini sunabilir. Bu yüzden yalnız süreç sahibine bakarak etki sınırı hesaplanamaz.

Etki hesabın gerçek atamalarına bağlıdır

Domain servis hesabı ele geçirilmişse etkisi üyelikleri, user rights atamaları ve kaynak ACL'leriyle ölçülür. Hesabın 'service' etiketi ek yetki üretmez.

Managed account parola ayrıntıları bu dersin saldırı mekanizması değildir; burada yalnız kimliğin süreç ve ağ bağlamına nasıl taşındığı incelenir.

3. Defense & Detection / Savunma ve tespit

Telemetry scope

• Servis hostunda Audit Logon / Success görünürlüğü 4624 service logon kayıtları için gereklidir.
• 4624 LogonType 5, SCM tarafından başlatılan servis logon'unu gösterir; tek başına saldırı göstergesi değildir.
• Uzak kaynak erişimi için uzak hosttaki ağ logon bağlamını ayrıca incele; yerel type 5 kaydı uzak erişimi kanıtlamaz.
• 4624 Version alanını koru; VirtualAccount, ElevatedToken ve TargetLinkedLogonId gibi alanlar Version 2'ye bağlıdır.

Events and relevant fields

• 4624 / TargetUserSid, TargetUserName, TargetDomainName: logon olan principal ve otorite bağlamı.
• 4624 / TargetLogonId: aynı host üzerindeki ilgili etkinliklerle korelasyon anahtarı.
• 4624 / LogonType 5: Service Control Manager tarafından başlatılan servis logon'u.
• 4624 / LogonProcessName, AuthenticationPackageName, ProcessId, ProcessName: logon üretim bağlamı; sürüm ve üretici şemasına göre yorumlanır.
• 4624 / Version 2: VirtualAccount, ElevatedToken ve TargetLinkedLogonId alanlarını ekler; eski sürümlerde bu alanlar varsayılmamalıdır.

Type 5 bir bağlamdır, hüküm değildir

4624 LogonType 5, bir service logon session'ı oluşturulduğunu söyler. Normal boot ve servis restart işlemleri aynı kaydı üretir; olay tek başına kötü niyet kanıtı değildir.

Değer, beklenen servis-hesap-host envanteriyle karşılaştırıldığında anlam kazanır. Özellikle TargetDomainName, aynı kısa hesap adlarını ayırmak için gereklidir.

Uzak etkiyi uzak hostta doğrula

Servis hostundaki type 5 kaydı süreç kimliğini gösterir; uzak kaynağın kimi gördüğü ve neye izin verdiği uzak host telemetrisinde aranır.

LocalSystem ve NetworkService için bilgisayar hesabı ağ davranışı, LocalService için anonim davranış beklenir. Gerçek alan değerleri desteklenen işletim sistemi build'i ve collector ile labda doğrulanmadan sabit allowlist yapılmamalıdır.

Detection logic · Sigma

title: Beklenmeyen servis logon kimligi
status: experimental
logsource:
  product: windows
  service: security
detection:
  selection:
    EventID: 4624
    LogonType: 5
  condition: selection
fields:
  - TargetUserSid
  - TargetUserName
  - TargetDomainName
  - TargetLogonId
  - LogonProcessName
  - AuthenticationPackageName
  - ProcessName
falsepositives:
  - Isletim sistemi acilisi ve beklenen servis yeniden baslatmalari
level: low

Query assumptions

• LogonType hedef backendde sayı veya metin olarak saklanabilir; mapping doğrulanmalıdır.
• Kural tüm service logon kayıtlarını seçen bir inceleme başlangıcıdır; beklenmeyen hesap değerlendirmesi envanter gerektirir.
• Version 2'ye özgü alanlar seçim koşulu yapılmadı; eski kayıtlar dışlanmamalıdır.
• Kural gerçek bir SIEM veya veri kümesi üzerinde çalıştırılmadı.

False positives

• İşletim sistemi açılışı sırasında normal servis başlangıçları.
• Planlı servis restart, bakım ve failover işlemleri.
• Yazılım kurulumu veya güncellemesiyle oluşturulan beklenen servis logon'ları.

Hardening

• Her servis için gereken en düşük yerel ve ağ kimliğini seç; gerekmedikçe LocalSystem veya geniş yetkili domain hesabı kullanma.
• Servis kimliğine interactive logon hakkı verme; user rights ve kaynak ACL'lerini amaçlanan iş yüküyle sınırla.
• Kimlik değişikliğinden önce yerel ve uzak bağımlılıkları envanterle; pilot uygula ve geri alma yolu hazırla.
• Parola yönetimi gereken uygun iş yüklerinde managed service account seçeneklerini 08.04 kapsamındaki ürün ve uyumluluk incelemesiyle değerlendir.

Örnekler üzerinde oku / Read the examples

<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
  <System>
    <Provider Name="Microsoft-Windows-Security-Auditing" />
    <EventID>4624</EventID>
    <Version>2</Version>
    <Channel>Security</Channel>
    <Computer>APP01.besiktas.example</Computer>
  </System>
  <EventData>
    <Data Name="TargetUserSid">S-1-5-21-111111111-222222222-333333333-1201</Data>
    <Data Name="TargetUserName">svc-reader</Data>
    <Data Name="TargetDomainName">BESIKTAS</Data>
    <Data Name="TargetLogonId">0x456</Data>
    <Data Name="LogonType">5</Data>
    <Data Name="LogonProcessName">synthetic-example</Data>
    <Data Name="AuthenticationPackageName">synthetic-example</Data>
  </EventData>
</Event>

<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
  <System><Provider Name="Microsoft-Windows-Security-Auditing"/><EventID>4624</EventID><Version>2</Version><Channel>Security</Channel><Computer>WS01</Computer></System>
  <EventData><Data Name="TargetUserSid">S-1-5-21-101010101-202020202-303030303-1001</Data><Data Name="TargetUserName">tunahan</Data><Data Name="TargetDomainName">WS01</Data><Data Name="TargetLogonId">0x7a31</Data><Data Name="LogonType">2</Data><Data Name="AuthenticationPackageName">Negotiate</Data><Data Name="WorkstationName">WS01</Data><Data Name="IpAddress">-</Data><Data Name="LogonGuid">{00000000-0000-0000-0000-000000000000}</Data></EventData>
</Event>

<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
  <System><Provider Name="Microsoft-Windows-Security-Auditing"/><EventID>4624</EventID><Version>2</Version><Channel>Security</Channel><Computer>WS01.iyelabs.example</Computer></System>
  <EventData><Data Name="TargetUserSid">S-1-5-21-111111111-222222222-333333333-1105</Data><Data Name="TargetUserName">tunahan</Data><Data Name="TargetDomainName">IYELABS</Data><Data Name="TargetLogonId">0x8b42</Data><Data Name="LogonType">2</Data><Data Name="AuthenticationPackageName">Negotiate</Data><Data Name="WorkstationName">WS01</Data><Data Name="IpAddress">-</Data><Data Name="LogonGuid">{11111111-2222-3333-4444-555555555555}</Data></EventData>
</Event>

İki yanlış kanı / Two reality checks

Sanılan: SYSTEM, domain veya forest genelinde en güçlü hesaptır.

Gerçekte: LocalSystem'ın geniş ayrıcalığı yerel bilgisayardadır. Ağ erişiminde bilgisayar hesabının credential'larını sunar ve uzak kaynak yalnız bu principal'a gerçekten verilmiş hakları uygular.

Sanılan: Bütün servisler aynı 'servis hesabı' güvenlik bağlamını kullanır.

Gerçekte: SCM her servisi yapılandırılmış user, managed, virtual veya önceden tanımlı hesap altında çalıştırabilir. Yerel token ve ağ davranışı seçilen kimliğe göre değişir.

Kaynaklar / Sources

• Microsoft · Service User Accounts
  SCM'nin hesabı logon etmesi ve token'ı servis sürecine bağlaması.
• Microsoft · LocalSystem Account
  Yerel privilege ve ağda bilgisayar kimliği davranışı.
• Microsoft · NetworkService Account
  Yerel düşük privilege ve ağda bilgisayar credential'ları.
• Microsoft · LocalService Account
  Yerel düşük privilege ve ağda anonim credential davranışı.
• Microsoft · Access Tokens
  Access token contents; süreç/thread kimliği, SID ve privilege'lar.
• Microsoft · 4624(S) An account was successfully logged on
  Event Description, Event Versions, Logon types ve Field Descriptions.
• Microsoft · Security identifiers
  How SIDs work; local ve domain güvenlik otoriteleri.
• Microsoft · Local accounts
  Giriş ve “Local accounts” bölümü: yerel hesapların cihazda tanımlanması ve yerel güvenlik bağlamı.
• Microsoft · Security Principals
  “How security principals work”, “Security identifiers” ve “Access tokens”.
• Microsoft · Credentials Processes in Windows Authentication
  “Windows credentials authentication overview”: yerel SAM ve domain/DC doğrulama yolları.
• Microsoft · 4624(S): An account was successfully logged on
  Event Description, Version 2 XML ve New Logon alan açıklamaları; Account Domain yerel hesap davranışı.
• Microsoft · Windows LAPS overview
  Giriş ve Benefits: cihaz başına benzersiz yerel yönetici parolası ve döndürme.