LSA, LSASS, SAM ve NTDS: Hangi bileşen neyi yönetir?

1. Core Mechanism / Temel mekanizma

Bir Windows hosttaki uygulama, SSPI/LSA arayüzleri, LSASS süreç sınırı ve yerel SAM deposu ile; domain kimlik doğrulamasında ayrıca domain controller ve AD DS dizin deposu arasındaki akış. Bu ders bileşenleri konumlandırır; token ayrıntısını 02.03'e, credential saklama ve koruma derinliğini 10.x'e bırakır.

Arabirimler ve belirtimler

• LSA: yerel güvenlik politikası, logon ve authentication package mimarisini sağlayan güvenlik otoritesi/subsystem işlevleri.
• LSASS: LSA işlevlerini ve authentication/security package bileşenlerini barındıran kritik sistem süreci sınırı.
• SAM: her Windows sistemindeki yerel kullanıcı ve grup hesaplarının deposu.
• AD DS/NTDS: domain nesnelerinin dizin hizmeti ve domain controller üzerindeki kalıcı dizin deposu; Ntds.dit üye workstation deposu değildir.
• SSPI ve LSA authentication package arayüzleri: uygulamaların güvenlik paketleriyle çalıştığı sınır; uygulama normal akışta SAM veya Ntds.dit dosyasını doğrudan okumaz.
• 4611 Version 0: trusted logon process'in LSA ile kaydını Security kanalında bildirir.

Mimari işlev, çalışan süreç ve depo farklı katmanlardır

LSA, Windows'un yerel güvenlik politikası ve logon mimarisindeki otorite işlevlerini adlandırır. LSASS ise bu işlevlerin ve kimlik doğrulama paketlerinin çalıştığı korunan süreç sınırıdır.

SAM yerel hesapları saklayan depodur. Bir bileşenin SAM ile yerel hesap doğrulaması yapması, SAM'in LSASS ile aynı şey olduğu anlamına gelmez.

Bu ayrım olay yorumunu düzeltir: lsass.exe sürecinin varlığı credential erişimini, SAM dosyasının varlığı da dosyanın okunduğunu kanıtlamaz.

Domain hesabı üye hostta NTDS oluşturmaz

AD DS domain nesnelerini domain controller'larda tutar ve domain kopyalarını DC'ler arasında replike eder. Ntds.dit bu dizin verisinin DC üzerindeki kalıcı dosyasıdır.

Bir üye workstation domain hesabıyla logon isteği aldığında yerel LSA ve güvenlik paketleri domain otoritesiyle iletişim kurar. Domain hesabının kullanılması, workstation'da domain'in tam Ntds.dit deposu bulunduğu anlamına gelmez.

Yerel SAM ile domain dizini farklı otoritelerin depolarıdır; aynı kısa hesap adının hangi otoriteye ait olduğu akışta korunmalıdır.

Arayüzler depo dosyalarına doğrudan erişimi gizlemez, sınırlar

Uygulamalar ve servisler genellikle SSPI ve LSA authentication modelindeki paket arayüzleriyle çalışır. Desteklenen logon akışı bu arayüzlerden güvenlik paketine, oradan uygun yerel veya domain otoritesine ilerler.

Yerel akışta güvenlik paketi SAM tabanlı yerel doğrulamayı kullanabilir; domain akışında istek DC'deki domain otoritesine yönelir. Sonuç istemci hostta bir logon session ve güvenlik bağlamına dönüşür.

Bir depo dosyasına ayrıcalıklı doğrudan erişim, normal kimlik doğrulama arayüzünden farklı bir güvenlik olayı ve farklı önkoşullar gerektirir.

Durum ve veri akışı

1. Uygulama veya logon bileşeni credential bilgisini desteklenen güvenlik arayüzüne verir.
2. Yerel LSA/LSASS içindeki uygun authentication package isteği işler.
3. Yerel hesap için doğrulama yerel SAM otoritesine dayanır.
4. Domain hesabı için istemci tarafındaki güvenlik paketi domain controller'daki güvenlik otoritesiyle iletişim kurar.
5. Domain controller, AD DS account verisini kullanarak protokole uygun sonucu üretir.
6. Başarılı sonuç istemci veya servis hostunda logon session ve güvenlik bağlamına dönüşür.
7. Süreç telemetrisi, güvenlik olayı ve depo erişimi farklı kanıt türleri olarak tutulur.

2. Exploitation / İstismar

Broken trust assumption

Kırılan varsayım, yalnız güvenilen kodun LSASS içine yüklenebileceği veya belleğine erişebileceği ve SAM/AD DS depolarına yalnız yetkili güvenlik bileşenlerinin ulaşacağıdır.

Technical prerequisites

• Hedef hostta yüksek yerel yetki, korunmasız süreç erişimi veya güvenilen security/authentication extension yükleme yetkisi.
• SAM gibi yerel store erişimi için ilgili hostta ayrıcalıklı dosya veya sistem erişimi.
• AD DS deposu için domain controller üzerinde ayrıca uygun ayrıcalık ve erişim.

Exploitation mechanism / İstismar mekanizması

LSASS belleğine süreç erişimi veya güvenilen paket kaydı süreç sınırını hedefler; SAM ya da Ntds.dit dosyasına erişim ise ayrı bir store yolu ve ayrı önkoşullar taşır. Bir yolun kanıtı diğer yolun gerçekleştiğini göstermez.

Süreç sınırı ile store sınırını karıştırma

Bir sürecin LSASS'i açmaya çalışması bellek erişimi hipotezini destekler, ancak SAM veya Ntds.dit dosyasının okunduğunu göstermez. Store erişimi ayrı telemetry ve yetki izi gerektirir.

Tersine, bir store dosyasına erişim de LSASS içine kod yüklendiğini kanıtlamaz. Müdahale analizi mekanizmayı kanıta göre sınıflandırmalıdır.

DC deposu farklı etki alanıdır

Üye hostta yüksek yerel yetki, o hosttaki LSASS ve SAM riskini artırır; kendiliğinden domain controller üzerindeki Ntds.dit erişimini sağlamaz.

DC üzerindeki depo için ayrıca DC'ye özgü ayrıcalık ve erişim gerekir. Bu ders gerçek credential çıkarma veya store kopyalama adımlarını tarif etmez.

3. Defense & Detection / Savunma ve tespit

Telemetry scope

• Audit Security System Extension / Success, trusted logon process kayıtları için 4611 üretir; bu alt kategoride Failure olayı yoktur.
• 4611 kaynak Windows hostun Security kanalındadır ve Version 0 şemasını kullanır.
• Sysmon Event 10 ProcessAccess yalnız Sysmon kurulup uygun filtreyle yapılandırıldığında süreç açma görünürlüğü sağlar.
• Sysmon alanları dağıtılan sürümün sysmon -s şeması görülmeden içerik modeline sabitlenmemelidir.
• Added LSA protection değişiklikleri önce audit mode ve uyumluluk gözlemiyle değerlendirilmelidir.

Events and relevant fields

• 4611 / SubjectUserSid, SubjectUserName, SubjectDomainName, SubjectLogonId: kayıt yapan subject bağlamı.
• 4611 / LogonProcessName: LSA ile trusted logon process olarak kaydedilen ad.
• 4611 / Version 0: belgelenen tek olay sürümü; minimum Windows Vista/Server 2008.
• Sysmon 10 / ProcessAccess: bir sürecin başka bir süreci açmasını kaynak ve hedef süreç bağlamıyla bildirir; LSASS bellek erişimi görünürlüğü örnektir.
• CodeIntegrity Operational 3065/3066 audit ve 3033/3063 enforcement olayları LSA protection uyumluluk bağlamında, işletim sistemi koşullarıyla birlikte yorumlanır.

4611 süreç kaydını gösterir, store erişimini değil

4611 trusted logon process'in LSA ile kaydını bildirir. Olayın varlığı LSASS belleğinin okunduğunu, SAM'in açıldığını veya Ntds.dit'e erişildiğini göstermez.

Olay çoğunlukla bilgilendiricidir. Subject'in ve LogonProcessName'in beklenen baseline dışında olması inceleme başlangıcı olabilir; sonuç değildir.

Süreç erişimi ayrı telemetry gerektirir

Microsoft Sysmon Event 10'u süreçler arası açma etkinliği ve LSASS bellek erişimi görünürlüğü için örnekler. Bu görünürlük yerleşik 4611'in yerine geçmez ve Sysmon olmadan mevcut değildir.

Kesin Event 10 alanları ve sürümü kurulu Sysmon'un şemasından doğrulanmadan taşınabilir sorgu yazılmamalıdır. Beklenen EDR, tanılama ve yönetim araçları false positive üretebilir.

Detection logic · Sigma

title: LSA ile kaydolan trusted logon process
status: experimental
logsource:
  product: windows
  service: security
detection:
  selection:
    EventID: 4611
  condition: selection
fields:
  - SubjectUserSid
  - SubjectUserName
  - SubjectDomainName
  - SubjectLogonId
  - LogonProcessName
falsepositives:
  - Isletim sistemi baslangici ve normal logon bilesenleri
level: low

Query assumptions

• Kural yalnız 4611 kayıtlarını seçer; anomali kararı host ve işletim sistemi sürümüne özgü allowlist gerektirir.
• Subject veya LogonProcessName tek başına kötü niyet kanıtı değildir.
• Bu sorgu LSASS ProcessAccess, SAM erişimi veya Ntds.dit erişimini tespit etmez.
• Kural gerçek bir SIEM veya veri kümesi üzerinde çalıştırılmadı.

False positives

• İşletim sistemi başlangıcındaki normal trusted logon process kayıtları.
• Desteklenen authentication veya security extension bileşenleri.
• Kurumsal güvenlik ürünlerinin belgelenmiş ve onaylı bileşenleri.

Hardening

• Added LSA protection/PPL kullanımını desteklenen işletim sistemi ve plug-in uyumluluğuyla değerlendir; önce audit mode sonuçlarını incele.
• Authentication ve security package envanterini tut; yeni 4611 LogonProcessName değerlerini değişiklik kaydıyla karşılaştır.
• Sysmon ProcessAccess görünürlüğü kullanılacaksa sürüme özgü şemayı ve filtreleri doğrula; beklenen tanılama ve güvenlik araçlarını baseline et.
• DC ve üye host korumasını aynı kabul etme; AD DS store erişimi için DC'ye özgü en az ayrıcalık, yedek ve yönetim sınırları uygula.
• Sertleştirme değişikliğini pilot hostta uygula, CodeIntegrity audit/enforcement olaylarını izle ve geri alma yolunu hazır tut.

Örnekler üzerinde oku / Read the examples

<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
  <System>
    <Provider Name="Microsoft-Windows-Security-Auditing" />
    <EventID>4611</EventID>
    <Version>0</Version>
    <Channel>Security</Channel>
    <Computer>HOST01.besiktas.example</Computer>
  </System>
  <EventData>
    <Data Name="SubjectUserSid">S-1-5-18</Data>
    <Data Name="SubjectUserName">HOST01$</Data>
    <Data Name="SubjectDomainName">BESIKTAS</Data>
    <Data Name="SubjectLogonId">0x3e7</Data>
    <Data Name="LogonProcessName">SyntheticLogonProcess</Data>
  </EventData>
</Event>

İki yanlış kanı / Two reality checks

Sanılan: LSA, LSASS, SAM ve NTDS aynı veritabanının dört adıdır.

Gerçekte: LSA güvenlik otoritesi ve mimari işlevleri, LSASS bunları barındıran süreç sınırını, SAM yerel hesap deposunu, NTDS ise domain controller üzerindeki AD DS dizin deposunu ifade eder.

Sanılan: Domain hesabıyla bir workstation'a giriş yapılıyorsa workstation domain veritabanını taşır.

Gerçekte: Üye bilgisayarın yerel güvenlik bileşenleri domain otoritesiyle iletişim kurar; domain dizininin tam deposu domain controller'dadır, üye workstation'da Ntds.dit oluşmaz.

Kaynaklar / Sources

• Microsoft · Credentials Processes in Windows Authentication
  Windows credentials authentication overview, Local Security Authority ve Security Accounts Manager database.
• Microsoft · LSA Authentication Model
  LSA authentication package ve SSPI genişleme modeli.
• Microsoft · Active Directory Domain Services Overview
  Dizin deposu ve domain controller'lar arası replication service.
• Microsoft · Directory data store
  Ntds.dit dosyasını DC üzerindeki directory data store olarak açıklayan paragraf; arşiv Server 2003/R2 kaynağı.
• Microsoft · 4611(S) A trusted logon process has been registered with the Local Security Authority
  Event Description, Event XML, Field Descriptions ve Recommendations.
• Microsoft · Audit Security System Extension
  Alt kategori açıklaması, event volume ve Events List.
• Microsoft Sysinternals · Sysmon
  Event ID 10: ProcessAccess ve Operational kanal açıklaması.
• Microsoft · Configure added LSA protection
  Audit mode; CodeIntegrity 3065/3066 ve 3033/3063; automatic enablement koşulları.