Local Administrator, Domain Admin ve Enterprise Admin: Yetki kapsamlarını ayırmak.

1. Core Mechanism / Temel mekanizma

Karar bir makinede erişim kontrolü yapılırken verilir: token'daki grup SID'leri, hedef kaynağın izinleriyle karşılaştırılır. Bu dersin sınırı, üç yönetim kimliğinin SID'i, kapsamı (scope) ve yerleştirilme (nesting) zinciridir; access check mekaniğinin kendisi 05.01'de, delegasyon ACE'leri 05.05'te, bu kimlikleri koruyan AdminSDHolder/SDProp 05.06'dadır. Buradaki soru 'bu grup ne yapabilir' değil, 'bu grup nereye, nasıl yerleşerek yetki kazanır'dır.

Arabirimler ve belirtimler

• Administrators (Builtin Local): SID S-1-5-32-544; üye hostta yerel SAM grubu, DC’de AD’nin CN=Builtin container’ında yer alan directory group’tur. DC’ye yükseltilmiş sistemde üyeleri DC’lere tam erişim ve domain üzerinde unrestricted administrative access elde eder.
• Domain Admins: SID S-1-5-21-<domain>-512; global group; oluşturulduğu domain’e özeldir, o domain’in Builtin Administrators grubuna ve domain’e katılan makinelerin yerel Administrators grubuna varsayılan olarak eklenir.
• Enterprise Admins: SID S-1-5-21-<forest-root>-519; yalnız forest kök domain'inde bulunur; forest'taki her domain'in Administrators grubuna eklenir; kapsamı forest genelidir.
• Üyelik değişikliği olayları (Audit Security Group Management): local group için 4732 (üye eklendi) / 4733 (üye çıkarıldı); global group için 4728/4729; universal group için 4756/4757.
• Grup scope tipleri: Domain Local, Global ve Universal; bir SID'in RID'i ve grup scope'u, üyeliğin hangi domain/forest sınırında geçerli olduğunu belirler.

Üç kimlik, üç farklı sınır

İsimleri benzese de bu üç grup farklı sınırlarda yaşar. Üye sunucu ve workstation’larda Administrators, yerel SAM’de bulunan makineye özgü bir gruptur; iki hostun üyeleri farklı olabilir. DC’de ise aynı S-1-5-32-544 SID’i AD’nin Builtin container’ındaki Builtin Local Administrators grubunu gösterir. Domain Admins tek bir domain'e aittir ve o domain'in her yerinde tanınır. Enterprise Admins ise yalnız forest'ın kök domain'inde bulunur ve forest'ın tamamını kapsar.

Bu sınır farkı SID yapısında görünür. Administrators, tüm Windows kurulumlarında aynı olan bir built-in SID taşır: S-1-5-32-544. Domain Admins ve Enterprise Admins ise domain'e özgü bir SID ön ekiyle (S-1-5-21-<domain identifier>) ve sabit bir RID ile (512 ve 519) adlandırılır; yani her domain'in kendi Domain Admins SID'i vardır ama RID her zaman 512'dir.

Enterprise Admins'in yalnız kök domain'de olması kritik bir ayrıntıdır. RID 519'lu bu grup bir alt domain'de yerel olarak bulunmaz; onun forest-genelindeki gücü, kök domain'de var olup her domain'in Administrators grubuna eklenmesinden gelir.

Güç yerleştirmeden (nesting) gelir

Bir grubu güçlü yapan, adı değil, hangi grupların içine yerleştirildiğidir. Domain Admins domain genelinde güçlüdür çünkü domain'e katılan her makine, kurulumda Domain Admins'i kendi yerel Administrators grubuna ekler. Yani Domain Admins üyesi, doğrudan her makineye izin verilmiş olduğu için değil, her makinenin Administrators'ının içinde olduğu için yönetici olur.

Enterprise Admins, varsayılan olarak her domain’in Builtin Administrators grubuna üyedir; bu, geniş directory/DC yönetim yetkisi verir. Bu üyelik yolu, her üye bilgisayarın yerel Administrators grubuna otomatik nesting değildir. Makineye özgü yerel üyelikler ayrıdır; doğrudan kapsam ile forest yönetiminin potansiyel etkisini karıştırma.

Yönetim yetkisine katkı sağlayan üyelik yolunu değerlendirirken security-enabled grupları, uygun scope’u ve gerçek access token’ındaki etkin SID’leri incele. Directory’de nesting görmek başarılı authorization kanıtı değildir. Mevcut token’lar snapshot’tır; üyelik kaldırıldığında kendiliğinden değişmez.

Domain controller özel bir durumdur

Üye sunucuda Administrators, yalnız o makine üzerinde tam yetki verir. DC’de ayrı bir SAM account domain’i yoktur; hesap ve grup bilgileri Active Directory’de tutulur. Bu nedenle DC’deki S-1-5-32-544 Builtin Administrators grubu “DC’nin yerel SAM grubu” değildir: directory’deki Builtin Local gruptur ve Microsoft’un tanımına göre üyelerine DC üzerinde tam erişim, domain üzerinde unrestricted administrative access verir.

Domain Admins varsayılan olarak domain’in Builtin Administrators grubuna ve domain’e katılan her bilgisayarın yerel Administrators grubuna eklenir; DC’ler de bu kapsamdadır. Domain Admins üyeliği bu yüzden domain çapında yönetim gücü taşır. Builtin Administrators üyeliği ise Domain Admins üyeliğiyle aynı SID veya grup değildir; ancak DC’de bu gruptan gelen güçlü haklar nedeniyle potansiyel etkisi service-administrator düzeyindedir.

Örnekte bir service account, DC üzerindeki Builtin\Administrators grubuna (S-1-5-32-544) eklenir. Bu değişiklik ayrı bir SAM grubunu değil, AD’deki Builtin Local grubu hedefler; DC’lere ve domain yönetim yüzeyine çok yüksek erişim verir. 4732 üyelik değişikliğini kaydeder; tek başına kullanıcının her domain nesnesine hangi işlemi yapabildiğini göstermez.

Scope tipleri ve SID okuma

AD DS security group scope’u üyeliğin nerede geçerli olduğunu belirler. Domain Local, Global ve Universal scope’lara ek olarak Builtin container grupları değiştirilemeyen Builtin Local scope kullanır. Domain Admins bir Global gruptur: üyeleri kendi domain'inden gelir ama tüm domain boyunca (ve eklendiği yerlerde) kullanılabilir. Enterprise Admins forest root domain mixed-mode değilken Universal, forest root domain legacy mixed-mode iken Global scope ile tanımlanabilir; bu yüzden gerçek groupType’ı kontrol etmek gerekir. Administrators ise BUILTIN domain’deki Builtin Local gruptur; üye hostta makine SAM’ine, DC’de dizinin Builtin container’ına bağlıdır.

SID okumak bu ayrımı doğrular. S-1-5-32-544 gibi S-1-5-32 ile başlayan SID'ler built-in domain'e aittir ve tüm sistemlerde aynıdır. S-1-5-21-...-512 / -519 gibi SID'ler ise bir domain kimliğine bağlıdır; RID kısmı (512, 519) grubun hangi built-in yönetim rolü olduğunu sabit olarak söyler.

Bu yüzden bir token'daki SID listesi okunurken hem SID'in yapısı (built-in mı, domain'e özgü mü) hem de RID'i önemlidir. Aynı 'Administrators' etiketi farklı SID'lere karşılık gelebilir; kararı SID belirler, ekrandaki ad değil. Ticket/PAC yenilenmesi ile service token’ın yenilenmesi ayrıdır: ticket’ın değişmesi mevcut service token’ını yeniden yazmaz veya application session’ını kapatmaz.

Durum ve veri akışı

1. Her domain’in kendi Domain Admins grubu (RID 512) vardır. Enterprise Admins (RID 519) yalnız forest root domain’de bulunur; SID ön ekleri ve kapsamları farklıdır.
2. Domain Admins, domain’in Builtin Administrators grubuna ve domain’e katılan bilgisayarların yerel Administrators grubuna varsayılan olarak eklenir; DC’nin Administrators grubu AD içindeki Builtin Local gruptur.
3. Forest kökündeki Enterprise Admins, forest'taki her domain'in Administrators grubuna eklenir; böylece forest-geneli yönetim yetkisi taşır.
4. Yeni token, scope’a uygun üyelik yollarındaki geçerli ve etkin security-group SID’lerini içerir. Nested distribution group yolu, protected-account taramasını etkileyebilse de authorization SID’si kazandırmaz.
5. Örnek, service account’u domain’in Builtin Administrators grubuna ekler. İlgili audit açıkken DC’deki 4732, TargetSid=S-1-5-32-544 ile eklenen MemberSid’yi kaydeder.
6. Directory değişikliğini yeni oluşturulan token ile karşılaştır. 4732 üyelik değişikliğidir; mevcut process token’ına SID eklendiğini veya kaynak işleminin başarılı olduğunu kanıtlamaz.
7. Denetimde bir makinedeki gerçek yönetici kümesi, doğrudan üyeler artı Domain/Enterprise Admins gibi iç içe geçmiş grupların üyeleri çözülerek bulunur.
8. Üyelikten çıkarma directory’yi değiştirir. Mevcut process token’ları geriye dönük değişmez; ticket ve açık service session’ların ömrü ayrıdır. Yeni token’ları güncel üyelikle değerlendir; erişimin hemen kesilmesi gerekiyorsa aktif session’ları ayrıca ele al.

2. Exploitation / İstismar

Broken trust assumption

Kırılan varsayım şudur: 'Bir makinenin Administrators grubunda kim varsa yöneticiler onlardır; listeye bakmak yeterli.' Gerçekte grup üyeliği geçişlidir: Administrators grubunun içinde Domain Admins, Domain Admins'in içinde başka gruplar veya kullanıcılar olabilir. Doğrudan üye listesi, gerçek yönetici kümesinin yalnız görünen ucudur; asıl yetki iç içe geçmiş (nested) üyelik zincirinde saklıdır.

Technical prerequisites

• Hedef gruba üye ekleyebilmek için o grup üzerinde yazma yetkisi gerekir; örneğin Domain Admins'e eklemek zaten Domain Admins düzeyinde (ya da eşdeğer delegasyon) yetki ister. Yani bu bir yükseltme değil, çoğu zaman elde edilmiş yetkinin genişletilmesi/kalıcılaştırılmasıdır.
• Yerel Administrators'a ekleme için hedef makinede yerel yönetici yetkisi yeterlidir; bu, domain düzeyi yetkiye göre daha dar bir ön koşuldur ama o makine bir DC ise etki domain düzeyine çıkar.
• Geçişli üyeliği kötüye kullanmak için: zincirin herhangi bir halkasını (ör. Domain Admins'e nested bir grup) kontrol etmek yeterlidir; en tepedeki gruba doğrudan üye olmak şart değildir.
• Enterprise Admins etkisi için forest kök domain'ine erişim gerekir; alt domain'den kök domain'in EA grubuna müdahale, domain sınırını aşan ayrı bir yetki ister.

Exploitation mechanism / İstismar mekanizması

Yetki kazanımı çoğu zaman en görünür yerden (en tepedeki gruba doğrudan üyelik) değil, zincirin daha az izlenen bir halkasından gelir. Administrators grubu Domain Admins'i, Domain Admins de belki başka bir işletme grubunu içeriyorsa, o alttaki grubu kontrol eden herkes fiilen tüm makinelerde yöneticidir; oysa Domain Admins'in doğrudan üye listesi temiz görünebilir. Aynı desen forest ölçeğinde Enterprise Admins ile tekrarlanır: kök domain'deki tek bir grup her domain'in Administrators'ına yerleştiği için, o gruba açılan bir yol forest-geneli erişime dönüşür. Mekanizmanın özü yeni bir zafiyet değil; grup scope'u ve nesting'in tasarlanmış davranışının, denetimde doğrudan üye listesine bakmakla gözden kaçmasıdır. Protokol beklendiği gibi çalışır; yanlış olan, geçişli üyeliği çözmeden 'yönetici kim' sorusuna cevap vermektir.

Nested üyelik neden gizler

Bir güvenlik grubunun içine başka bir grup konabilir. Bu, yönetimi kolaylaştırır ama denetimi zorlaştırır: Domain Admins'in doğrudan üye listesi kısa ve tanıdık olabilirken, içindeki bir grubun içindeki bir grup sıradan bir kullanıcıyı en tepeye bağlıyor olabilir.

Saldırı yüzeyi bu yüzden en tepedeki gruba değil, zincirin en zayıf halkasına bakar. Domain Admins'e nested edilmiş, sahiplik/izinleri gevşek bir işletme grubunu kontrol etmek, doğrudan Domain Admins üyesi olmakla aynı sonucu verir ama çok daha az dikkat çeker.

Bu yüzden gerçek yönetici kümesi her zaman geçişli olarak, yani tüm nesting çözülerek hesaplanır. 'Effective members' hesabı, doğrudan üye listesinden çok daha büyük çıkabilir ve asıl risk oradadır.

Kapsam farkı etkiyi ölçeklendirir

Yerel Administrators'a eklenmek tek bir makineyi etkiler (o makine DC değilse). Domain Admins'e eklenmek domain'deki her makineyi etkiler. Enterprise Admins'e eklenmek forest'taki her domain'i etkiler. Aynı 'bir gruba üye ekleme' işlemi, hangi grup olduğuna göre bir makineden bir forest'a kadar ölçeklenir.

Bu ölçek farkı, aynı olayın (üye eklendi) neden çok farklı önem taşıdığını açıklar. 4732 ile yerel Administrators'a ekleme ile Domain/Enterprise Admins'e ekleme (4728/4756) teknik olarak benzer kayıtlardır ama etki alanları çok farklıdır.

Enterprise Admins özellikle tehlikelidir çünkü forest güven sınırının en üstündedir. Forest, güvenlik sınırının kendisidir; EA'yı kontrol etmek, tek bir domain'i değil tüm güven ilişkileri ağını kontrol etmek demektir.

Nerede sınırlı kalır

Bu bir zafiyet sömürüsü değil, tasarlanmış yetki modelinin görünürlük tarafındaki bir tuzağıdır. Gruplara üye ekleme yine yetki gerektirir; mesele yetkisiz erişim değil, mevcut yetkinin nested üyelikle gizlenmesi ve gerçek kapsamının yanlış okunmasıdır.

Yerel Administrators kapsamı gerçekten yereldir: bir üye sunucunun Administrators'ında olmak, başka bir makinede otomatik yetki vermez. Domain/Enterprise Admins'in geniş etkisi, yerel gruplara yapılan varsayılan eklemelerden gelir; bu eklemeler kaldırılmış bir ortamda kapsam daralır.

Enterprise Admins yalnız kök domain'de var olduğu için, çok-domain'li olmayan tek domain'li bir forest'ta EA ile Domain Admins etkileri pratikte örtüşebilir. Model, çok-domain'li forest'larda asıl ayrımını gösterir.

3. Defense & Detection / Savunma ve tespit

Telemetry scope

• Audit Security Group Management alt kategorisi, güvenlik gruplarına üye ekleme/çıkarma olaylarını üretir; local group için 4732/4733, global group için 4728/4729, universal group için 4756/4757.
• Yerel Administrators değişikliği 4732; global grup eklemesi 4728; universal grup eklemesi 4756 olarak kaydedilir. Enterprise Admins forest root domain mixed-mode değilken Universal olduğundan 4756 beklenir; legacy mixed-mode’da Global ise 4728 kullanılır. EventID’yi grup adından değil gerçek scope’tan seç.
• Bu olaylar hedef grubun bulunduğu yerde üretilir; domain gruplarındaki değişiklikler domain controller'da, yerel makine gruplarındaki değişiklikler ilgili makinede kaydedilir.
• Gerçek yönetici kümesini görmek için tek başına olaylar yetmez; periyodik olarak grupların geçişli (nested) üyeliği çözülüp doğrudan üye listesiyle karşılaştırılır.
• Ayrıcalıklı gruplara üyelik değişiklikleri, 05.06'daki adminCount/AdminSDHolder sinyalleriyle birlikte okunur; bir hesabın korunmaya alınması genellikle böyle bir üyelik değişikliğini izler.

Events and relevant fields

• 4732 / TargetUserName ve TargetSid: değişen grup. Yerel Administrators için TargetSid S-1-5-32-544 ve TargetDomainName Builtin'dir; bu, olayın built-in yerel yönetici grubu olduğunu kesinleştirir.
• 4732 / MemberName ve MemberSid: MemberName, ilgili domain hesaplarında distinguished name; event şemasında belirtilen diğer durumlarda “-” olabilir. Eklenen principal’ın SID’si MemberSid alanındadır. Sürümü belirtilmiş bir olay örneği olmadan MemberName’in SID biçiminde olduğunu varsayma.
• 4732 / SubjectUserName ve SubjectUserSid: değişikliği yapan principal. Ayrıcalıklı grup değişikliklerinde bu alan beklenen yönetici kümesiyle karşılaştırılır.
• 4732 / SubjectLogonId: değişikliği yapan oturumun yerel tanımlayıcısı; aynı oturumdaki diğer olaylarla ilişkilendirme için kullanılır.
• 4728 global, 4756 universal gruplara üye eklenmesini gösterir. Domain Admins global olduğundan 4728 kullanılır; Enterprise Admins forest root domain mixed-mode değilken universal olduğundan 4756, legacy mixed-mode yapılandırmada global olduğundan 4728 kullanılır. Alanların kesin listesi kullanılan Windows sürümünün olay şemasından doğrulanmalıdır.
• Grup scope/RID: TargetSid'in yapısı (built-in S-1-5-32-544 vs domain S-1-5-21-...-512/-519) olayın hangi yönetim katmanına ait olduğunu belirler ve önceliklendirmeyi yönlendirir.

Doğrudan liste neden yanıltır

Bir grubun 'members' sekmesi yalnız doğrudan üyeleri gösterir. Oysa gerçek yetki geçişlidir: doğrudan üye olan bir grup, kendi üyelerini de o yetkiye bağlar. Bu yüzden 'Domain Admins'te kim var?' sorusunun doğru cevabı, tüm nesting çözülerek hesaplanan effective member listesidir.

Bu ayrım denetimde en sık gözden kaçan noktadır. Doğrudan liste temiz görünürken, iki seviye derinde sıradan bir kullanıcı en tepeye bağlı olabilir. Saldırgan da tam olarak bu görünmez halkayı hedefler.

Pratikte doğru yaklaşım, grup üyeliğini bir ağaç olarak okumaktır: her üye grubun içi de açılır ve en alttaki kullanıcılar 'gerçek yöneticiler' olarak listelenir. Bu liste, izleme ve kısıtlamanın asıl hedefidir.

SID ve RID kararı verir

Ekrandaki 'Administrators' etiketi hangi SID'e karşılık geliyor sorusu önemlidir. Built-in yerel grup S-1-5-32-544'tür ve tüm sistemlerde aynıdır; domain'e özgü yönetim grupları ise S-1-5-21-<domain>-512 (Domain Admins) ve -519 (Enterprise Admins) biçimindedir.

Olay ve token analizinde karar her zaman SID üzerinden verilir, ad üzerinden değil. Ad yerelleştirilebilir veya değiştirilebilir; SID ve RID sabittir. Bu yüzden 4732 gibi bir olayda TargetSid alanı, hangi yönetim katmanının etkilendiğini kesinleştiren asıl veridir.

Örnek olayımızda TargetSid S-1-5-32-544 ve TargetDomainName Builtin'dir; bu, değişikliğin makinenin/DC'nin yerel Administrators grubunda olduğunu kesinleştirir. Aynı analiz RID 512/519 için tekrarlandığında etkinin domain/forest ölçeğine çıktığı görülür.

Detection logic · Sigma

title: Membership additions - local Administrators and all global or universal groups
id: 2c9f5d3b-7a41-4e88-9f0c-1b6e2a4d8c73
status: experimental
description: >
  Broad membership-change inventory. The local branch targets built-in
  Administrators; the domain branch includes ordinary global and universal
  security groups. This is not a privileged-domain-group filter.
logsource:
  product: windows
  service: security
detection:
  local_admins:
    EventID: 4732
    TargetSid: 'S-1-5-32-544'
  domain_additions:
    EventID:
      - 4728
      - 4756
  condition: local_admins or domain_additions
fields:
  - TargetUserName
  - TargetSid
  - MemberName
  - MemberSid
  - SubjectUserName
falsepositives:
  - Expected business-group provisioning
  - Approved administrative membership changes
level: low

Query assumptions

• 4732/4728/4756 yalnızca Audit Security Group Management alt kategorisi Success için etkinse üretilir; kapalıysa kural hiçbir şey görmez.
• Yalnız local_admins dalı belirli bir grup SID’ini hedefler. domain_additions dalı sıradan işletme grupları dahil toplanan tüm 4728/4756 kayıtlarını kapsar; EventID ayrıcalık kanıtı değildir.
• Ayrıcalıklı domain grubu incelemesi için hedef grubu, ayrıcalıklı nesting yollarını da kapsayan ortama özgü SID envanteriyle karşılaştır. Grup adı veya olay scope’u tek başına bu envanterin yerini tutmaz. Bu kural bilerek o karşılaştırmayı yapmaz.
• 4728/4756 olaylarının tam alan listesi birincil Microsoft belgesinden ayrıntısıyla doğrulanmamıştır; kural bu olayları EventID düzeyinde hedefler ve alan bazlı ince filtreleme yapmaz. Alan adları üretim öncesi kullanılan sürümün şemasına göre doğrulanmalıdır.
• MemberName bir DN veya SID biçiminde gelebilir; eklenen hesabı tanımlamak için MemberSid daha kararlı bir alandır.
• Bu kural gerçek bir SIEM üzerinde çalıştırılmamıştır; olay anlamı ve 4732 alanları birincil kaynağa göre hazırlanmıştır, 4728/4756 alan ayrıntıları doğrulanmamıştır ve kullanılan sürümün şemasına göre doğrulanmalıdır.

False positives

• Geniş domain dalında normal işletme grubu üyelik eklemeleri beklenir; eşleşme incident anlamına gelmez.
• Planlı yönetici on-boarding: yeni bir yöneticinin ayrıcalıklı gruba eklenmesi bu kaydı üretir ve beklenen bir değişikliktir.
• Provisioning/otomasyon hesaplarının beklenen grup üyelik değişiklikleri.
• Bir servis hesabının kısa süreli, gerekçeli olarak yerel Administrators'a eklenmesi (örneğin bir kurulum penceresi).
• Negatif örnek: Audit Security Group Management kapalıysa üyelik değişikliği hiç olay üretmez; alarm yokluğu 'değişiklik olmadı' anlamına gelmez. Kural bir görünürlük katmanıdır, gerçek üyeliği çözen periyodik denetimin yerini tutmaz.

Hardening

• Ayrıcalıklı grupların (Administrators, Domain Admins, Enterprise Admins) üyeliğini periyodik olarak geçişli (nested) biçimde çöz ve doğrudan üye listesiyle karşılaştır; gerçek yönetici kümesi çoğu zaman doğrudan listeden büyüktür.
• Domain Admins ve Enterprise Admins üyeliğini minimumda tut ve Enterprise Admins'i normalde boş bırak; EA yalnız forest ölçekli, gerçekten gerekli işlemler için geçici olarak doldurulmalıdır.
• Ayrıcalıklı gruplara nested edilmiş grupları denetle; Domain Admins'in içindeki bir işletme grubu, o grubu kontrol eden herkesi fiilen Domain Admin yapar. Nesting'i sadeleştir.
• Audit Security Group Management (Success) alt kategorisini domain controller'larda ve kritik üye sunucularda etkinleştir; 4732/4728/4756 olmadan üyelik değişiklikleri görünmez.
• SID'e göre önceliklendir: TargetSid S-1-5-32-544 (yerel Administrators, özellikle DC'de) ve RID 512/519 taşıyan domain grupları en yüksek öncelikli izleme hedefleridir.
• Doğrulama adımı: bir test servis hesabını Builtin\Administrators'a ekle, DC'de 4732 olayının TargetSid=S-1-5-32-544, MemberSid=<hesap> ile üretildiğini gör; sonra Domain Admins'e ekleyip 4728'in üretildiğini karşılaştır ve alan farklarını not et.

Örnekler üzerinde oku / Read the examples

<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event"><System><Provider Name="Microsoft-Windows-Security-Auditing" Guid="{54849625-5478-4994-a5ba-3e3b0328c30d}"/><EventID>4732</EventID><Version>0</Version><Level>0</Level><Task>13826</Task><Opcode>0</Opcode><Keywords>0x8020000000000000</Keywords><TimeCreated SystemTime="2026-09-29T08:14:07.552117Z"/><EventRecordID>884213</EventRecordID><Correlation/><Execution ProcessID="712" ThreadID="4020"/><Channel>Security</Channel><Computer>DC01.outreason.example</Computer><Security/></System><EventData><Data Name="MemberName">CN=svc-backup,OU=Service Accounts,DC=outreason,DC=example</Data><Data Name="MemberSid">S-1-5-21-1470163944-2039885437-3358247602-5110</Data><Data Name="TargetUserName">Administrators</Data><Data Name="TargetDomainName">Builtin</Data><Data Name="TargetSid">S-1-5-32-544</Data><Data Name="SubjectUserSid">S-1-5-21-1470163944-2039885437-3358247602-500</Data><Data Name="SubjectUserName">Administrator</Data><Data Name="SubjectDomainName">OUTREASON</Data><Data Name="SubjectLogonId">0x3e7</Data><Data Name="PrivilegeList">-</Data></EventData></Event>

İki yanlış kanı / Two reality checks

Sanılan: Bir makinenin Administrators grubunun üye listesine bakmak, o makinedeki tüm yöneticileri görmek için yeterlidir.

Gerçekte: Grup üyeliği geçişlidir. Administrators grubu tipik olarak Domain Admins'i içerir; Domain Admins de başka grupları veya kullanıcıları içerebilir. Bu yüzden doğrudan üye listesi gerçek yönetici kümesinin yalnız görünen ucudur; effective (nested çözülmüş) üyelik çoğu zaman çok daha büyüktür ve asıl risk bu görünmez halkalardadır.

Sanılan: Local Administrators, Domain Admins ve Enterprise Admins aynı şeyin farklı adlarıdır; hepsi 'yönetici' demektir.

Gerçekte: Üç grup farklı kapsam ve SID taşır. Üye hostlardaki Administrators makineye özgü built-in gruptur (S-1-5-32-544); DC’de aynı SID, AD’deki Builtin Local Administrators grubunu gösterir. Domain Admins tek domain’e ait global gruptur (RID 512) ve domain’in Builtin Administrators grubuna ve domain’e katılan makinelerin yerel Administrators grubuna eklenir. Enterprise Admins yalnız forest root’ta bulunur (RID 519) ve forest’taki her domain’in Administrators grubuna eklenir. DC’de Builtin Administrators çok yüksek domain yönetim etkisi taşır, fakat Domain Admins ile aynı group identity değildir.

Kaynaklar / Sources

• Microsoft · Security identifiers (well-known SIDs)
  Built-in Administrators S-1-5-32-544; Domain Admins S-1-5-21-<domain>-512; Enterprise Admins S-1-5-21-<root domain>-519 ve RID/scope açıklamaları.
• Microsoft · Active Directory security groups (Domain Admins / Enterprise Admins / Administrators)
  Domain Admins Global, her makinenin Administrators'ına eklenir; Enterprise Admins yalnız forest kökünde, her domain'in Administrators'ına eklenir; Administrators built-in local scope.; Administrators: S-1-5-32-544, Builtin Local, CN=Builtin; when hosted on a domain controller, members have unrestricted access to the domain and full access to domain controllers.
• Microsoft · 4732(S) A member was added to a security-enabled local group
  Subcategory Audit Security Group Management; Task 13826; Version 0; EventData alanları MemberName, MemberSid, TargetUserName, TargetDomainName, TargetSid, SubjectUserName, SubjectUserSid, SubjectLogonId, PrivilegeList.
• Microsoft Open Specifications · MS-ADTS Enterprise Administrators group
  Enterprise Admins yalnız forest root’ta bulunur; root domain mixed-mode değilse groupType Universal, mixed-mode ise Global.
• Microsoft · Audit Security Group Management
  Event family mapping: local 4732/4733, global 4728/4729, universal 4756/4757.
• Microsoft Win32 · Built-in and Account Domains
  Member computer SAM stores built-in/account domains; domain controllers have neither built-in nor account domains and use AD DS rather than a separate SAM database.
• SigmaHQ · Sigma rules specification
  Detection maps/lists, condition, field mapping and level; no backend conversion/runtime validation