Bilgisayar hesapları: Makine parolaları, join yetkileri, sahiplik ve secure channel bakımı.

1. Core Mechanism / Temel mekanizma

Bir computer account iki yerde birden yaşar: Active Directory'de bir nesne (objectClass=computer, sAMAccountName sonu '$', örn. WS-A7$) ve üye makinenin yerelinde saklanan makine sırrı (LSA secret). Bu iki uç, üyenin başlattığı Netlogon secure channel ile eşleşir. Dersin sınırı 'makine parolası ve secure channel'ın state'i'dir: Kerberos bilet akışının ayrıntısı 06.xx derslerinde, SPN sahipliği 08.04'te, parola politikası mekaniği 08.02'de kalır. Burada odak, makinenin kendi kimliğini nasıl taşıdığı ve o kimliğin sağlığının nerede görüldüğüdür.

Arabirimler ve belirtimler

• computer object: objectClass=computer; sAMAccountName '<host>$' ile biter; her domain üyesinin bir hesabı ve parolası vardır.
• userAccountControl: WORKSTATION_TRUST_ACCOUNT 0x1000 (workstation/member server), SERVER_TRUST_ACCOUNT 0x2000 (domain controller) — hesabın türünü ayırır.
• makine parolası: üyenin sakladığı yerel sır ile AD'deki hesabın parolası aynı olmalıdır; Netlogon secure channel bu eşleşmeye dayanır.
• Netlogon secure channel: MS-NRPC RPC arabirimi (\PIPE\NETLOGON named pipe, ncacn_ip_tcp dinamik endpoint, Netlogon SSP) üzerinden üye ile DC arasında kurulur.
• Maximum machine account password age: varsayılan 30 gün, izin verilen aralık 1-999; değişimi üye başlatır, DC zorlamaz.
• ms-DS-MachineAccountQuota: kimliği doğrulanmış bir kullanıcının oluşturabileceği hesap sayısı, varsayılan 10.
• Kerberos clock skew: bilet/authenticator doğrulamasının saat koşuludur; varsayılan tolerans 5 dakikadır. Netlogon secure channel credential doğrulamasıyla aynı kontrol değildir.
• denetim izi: 4741 (hesap oluşturuldu) ve 4742 (hesap değişti) yalnız DC'lerde, Audit Computer Account Management alt kategorisinde üretilir.

Makine hesabı neyi çözer: cihazın kendi kimliği

Bir kullanıcı domaine parolasıyla girer; peki cihazın kendisi domaine karşı nasıl bir kimlik taşır? Cevap computer account'tur. Domaine katılan her workstation ve member server, adı '$' ile biten bir hesap (WS-A7$) ve bu hesaba ait bir makine parolası edinir. Microsoft'un ifadesiyle 'her cihazın bir hesabı ve parolası vardır'. Bu parola bir insanın yazdığı parola değildir; makine tarafından üretilir, saklanır ve düzenli olarak yenilenir.

Makine parolasının işlevi, üye ile domain controller arasındaki secure channel'ı beslemektir. Netlogon secure channel, üyenin DC'ye 'ben gerçekten bu hesabım' dediği ve DC'nin grup üyelikleri, güven doğrulaması, parola değişimi gibi işlemleri yürüttüğü kanaldır. Kanalın paylaşılan sırrı makine parolasıdır: üyenin yerelinde tuttuğu sır ile AD'deki hesabın parolası aynı olduğu sürece kanal kurulabilir.

Bu yüzden computer account sadece bir 'envanter kaydı' değildir. O bir security principal'dır; kendi SID'i, kendi parolası ve kendi userAccountControl bayrakları vardır. Workstation ve member server için WORKSTATION_TRUST_ACCOUNT (0x1000), domain controller için SERVER_TRUST_ACCOUNT (0x2000) biti hesabın rolünü belirler. Ders boyunca WS-A7$ adlı tek bir hesabı izleyeceğiz.

Parolanın yaşam döngüsü: kim değiştirir, ne zaman

Makine parolasının en çok yanlış anlaşılan yanı, değişimi kimin başlattığıdır. 'Maximum machine account password age' politikası varsayılan olarak 30 gündür (izin verilen aralık 1-999 gün). Ama bu bir son kullanma tarihi zorlaması değildir: parolayı, üye makine kendi Netlogon servisi üzerinden değiştirir. DC parolayı 'süresi doldu' diye tek taraflı sıfırlamaz; değişim isteği üyeden gelir ve DC bunu secure channel üzerinden işler.

Windows makinesi current ve previous machine-password history tutabilir. Yeni değişiklik karşı uca henüz ulaşmadıysa önceki değer iletişimin sürmesine yardımcı olabilir. Bu, sabit bir “kısa geçiş penceresi” veya iki ucun aynı anda iki değeri kabul edeceği garantisi değildir. Sorun incelerken üyenin local secret sürümünü, isteği alan DC’nin directory hesabını ve DC replikasyon durumunu ayrı doğrula.

Makine hesabı Kerberos da kullanabilir; bu, Netlogon secure channel ile aynı doğrulama yolu değildir. Netlogon RPC tarafında iki uç makine hesabının paylaşılan parola bilgisine dayanan credentials değerlerini doğrular; ardından session key sonraki RPC iletişimini korur. Kerberos tarafında ise ticket ve authenticator zaman kontrolleri yapılır. Saat farkı Kerberos isteğini reddettirebilir; bu ret tek başına Netlogon kanalının veya makine parolasının bozuk olduğunu kanıtlamaz.

Hesabın kim tarafından oluşturulduğu: join yetkisi ve sahiplik

Bir makinenin domaine katılabilmesi için önce onun computer account'unun oluşturulması gerekir. Bunu iki yol sağlar: bir yönetici hesabı nesneyi önceden oluşturur (delege edilmiş, kontrollü model), ya da katılımı yapan kullanıcı hesabı ms-DS-MachineAccountQuota kotası dahilinde nesneyi kendisi oluşturur. Bu kota varsayılan olarak 10'dur: kimliği doğrulanmış herhangi bir kullanıcı, ayrı bir yetki verilmese bile 10 adede kadar computer account oluşturabilir.

Sahiplik burada kritik bir ayrıntıdır; ancak computer object'i oluşturan hesabın owner olduğunu varsayma. Oluşturucu/owner konumu ve nesnenin gerçek security descriptor'ı ayrı kontrol edilmelidir: Microsoft, nesnenin creator veya owner'ının parent'tan miras gelen izinlerden bağımsız olarak ACL'i ayarlayabildiğini belirtir. Bu yüzden domain join/create delegasyonunu ve oluşturulan nesnenin owner/DACL'ini birlikte denetle; bilgisayar hesabı oluşturma tek başına o bilgisayarda local administrator yetkisi vermez.

4741 computer-account oluşturma kaydıdır; birçok computer-object değişikliği de 4742 üretir. İlgili olaylar yalnız DC’lerde, Audit Computer Account Management kapsamıyla toplanır. 4742 bütün değişikliklerin eksiksiz izi değildir: Microsoft, ADUC’nin Managed By tab’ındaki bazı değişiklikleri istisna olarak verir. DACL değişiminde ise 4742 görülebilir ve Changed Attributes alanları “-” kalabilir. Event yokluğunu nesnede değişiklik olmadığına yorma.

Directory değişikliği ile secure channel sağlığı aynı şey değildir

Dersin çekirdek ayrımı şudur: bir computer object'in AD'de değişmesi ile o makinenin secure channel'ının çalışması iki ayrı gerçektir. 4742, DC'de tutulan nesnenin bir özniteliğinin değiştiğini söyler; makinenin yerel sırrı ile AD'deki parolanın hâlâ eşleştiğini kanıtlamaz. Tersine, secure channel'ın sağlığı büyük ölçüde üye tarafında (yerel sır ve Netlogon RPC erişimi) belirlenir ve DC-side bir directory olayı bunu doğrudan ölçmez.

Örneğin bir yönetici bir computer object'in DACL'ini değiştirir: 4742 üretilir ama 'Changed Attributes' alanlarının tümü '-' gelebilir, çünkü DACL değişimi ayrı listelenmez. Aynı şekilde bir SPN eklendiğinde ServicePrincipalNames alanı dolu gelir. Bu sinyaller değişikliği anlatır; ama 'bu makine şu an DC ile konuşabiliyor mu' sorusunu yanıtlamaz.

Bu ayrımın pratik sonucu: makine kimliğiyle ilgili bir arıza teşhis edilirken directory olayları ile secure channel durumu birlikte okunmalıdır. Nesne 'doğru' görünürken kanal kopuk olabilir (yerel sır kaymış), ya da nesne yeni değişmişken kanal sorunsuz olabilir. Artifact bölümünde tam olarak bu iki dünyanın hangi alanlarını okuyabildiğimizi göstereceğiz.

Durum ve veri akışı

1. Join: WS-A7$ computer account oluşturulur (yönetici önceden ya da kullanıcı kota dahilinde); ilk makine parolası set edilir.
2. Üye, makine sırrını yerelde saklar (LSA secret); AD'deki hesabın parolası ile bu sır eşleşir.
3. Netlogon secure channel: üye, makine parolasını kanıt olarak kullanarak DC ile secure channel kurar.
4. Bakım: varsayılan ~30 günde bir üye, kendi Netlogon servisi üzerinden parola değişimini başlatır.
5. Rollover sınırı: önceki password history’si henüz yayılmamış bir değişiklikte yardımcı olabilir; iki uçtaki secret sürümü ve DC replikasyonu ayrıca doğrulanır. Kanalın sağlıklı olduğu yalnız bundan çıkarılmaz.
6. Kanıt: DC'de nesne değişimi 4741/4742 olarak kaydedilir; ancak bu, üye tarafındaki kanal sağlığını ölçmez.
7. İki arıza yolunu ayrı incele: Netlogon credentials doğrulaması makine hesabının paylaşılan sır bilgisine dayanır; Kerberos ticket yolunda ise saat toleransı ret üretebilir. Birindeki hata diğerinin de bozuk olduğunun kanıtı değildir.

2. Exploitation / İstismar

Broken trust assumption

Güvenilen varsayım: 'computer account sıradan bir envanter kaydıdır, onu oluşturmak veya özniteliklerini değiştirmek bir ayrıcalık değildir.' Kırılan yer: makine parolası ve computer object'in belirli öznitelikleri (delegation, SPN, msDS-KeyCredentialLink gibi) doğrudan kimlik ve secure channel'a bağlıdır; nesneyi kim oluşturur veya kimin yazma hakkı varsa, o makinenin kimliği üzerinde söz sahibi olur.

Technical prerequisites

• ms-DS-MachineAccountQuota varsayılan 10 kota yoludur; fakat hesap oluşturma başka açık container/OU delegasyonuyla da yetkilendirilebilir. Computer object'in creator'ı ile gerçek owner'ı aynı kabul edilmemeli; effective owner ve DACL ayrıca kontrol edilmelidir.
• Bir principal, hedef computer object üzerinde yazma hakkına (ör. GenericWrite/GenericAll) veya owner konumuna sahiptir.
• Değiştirilen öznitelik kimlikle ilişkilidir: örn. delegation bayrakları/öznitelikleri (08.04) ya da parolayla ilişkili alanlar.
• Bu koşulların hiçbiri tek başına 'domain ele geçirildi' anlamına gelmez; kapsam, hedefin ayrıcalığı ve engelleyici kontrollerle sınırlıdır.

Exploitation mechanism / İstismar mekanizması

Computer account bir security principal olduğu için, üzerindeki yazma hakkı o kimliğin davranışını değiştirmeye açılır. Owner ya da yazma hakkı olan bir principal, hedef makinenin delegation ilişkilerini veya kimlik-doğrulama ile ilgili özniteliklerini değiştirerek o makinenin kimliğini kendi lehine yönlendirebilir. Bu, 'her yazma hakkı otomatik felaket' demek değildir: etki, hedef makinenin sahip olduğu erişime, sürüme ve devrede olan engelleyici kontrollere bağlıdır. Buradaki mekanizmanın delegation'a özgü ayrıntısı 08.04 ve 06.xx derslerine bağlanır; bu derste vurgu, hesap oluşturma yetkisiyle nesnenin gerçek owner/DACL’inin ayrı değerlendirilmesi gerektiğidir. Nesneye yazma yetkisi, cihazda local administrator olmakla eşitlenmez.

Kota + sahiplik: sessizce açılan kapı

MachineAccountQuota'nın varsayılan 10 değeri, bazı ortamlarda ek object-create delegasyonu olmadan kimliği doğrulanmış kullanıcının account açabilmesini sağlar. Fakat her oluşturucunun otomatik owner olduğu sonucunu çıkarma: gerçek owner ve DACL'i nesneden doğrula. Object creator/owner ACL üzerinde etkili olabildiği için create yetkisi ve oluşan nesnenin security descriptor'ı birlikte yönetilmelidir.

Bu tek başına bir saldırı değildir; bir koşul ve yetki sınırıdır. Oluşturma ya da mevcut computer object üzerinde yazma/owner hakkı varsa, hedef attribute ve ACL'in izin verdiği ölçüde kimlik davranışı etkilenebilir. Etkiyi computer account'un varlığı veya sahibinin kimliği değil, actual owner/DACL, hedef attribute ve güven ilişkisi belirler.

Sınır ve engelleyici kontrol

Kapsam sınırı nettir: bir computer object üzerindeki kontrol, otomatik olarak tüm domain'i vermez. Etki, o makinenin eriştiği kaynaklar ve devrede olan kontrollerle çevrilidir. MachineAccountQuota'yı 0'a çekmek ya da hesap oluşturmayı yalnız belirli yönetici gruplarına delege etmek, en baştaki kapıyı kapatır.

İkinci engelleyici kontrol, computer object'ler üzerindeki yazma haklarının sıkılaştırılması ve owner'ların denetlenmesidir. Kim hangi makineyi oluşturmuş, kim yazabiliyor sorusunu yanıtlamak, bu dersin Blue bölümünde ele alınan denetim iziyle mümkün olur.

3. Defense & Detection / Savunma ve tespit

Telemetry scope

• Audit Computer Account Management alt kategorisi etkinleştirildiğinde 4741 (oluşturma) ve 4742 (değişiklik) olayları üretilir.
• Bu olaylar yalnız domain controller'larda oluşur; üye makinelerde aranmaz.
• 4742 birçok computer-object değişikliğini kaydeder; belgelenmiş istisnalar vardır. DACL değişimi 4742 üretirken Changed Attributes alanlarının tamamı “-” olabilir. Hem audit/collection kapsamını hem de event’in hangi değişiklikleri kaydettiğini doğrula; event yokluğu değişiklik yokluğu değildir.
• Bir computer account üzerinde kullanıcıya özgü bir öznitelik elle değiştirilirse hesap NORMAL_USER_ACCOUNT'a döner ve 4742 yerine 4738 (kullanıcı hesabı değişti) görülür.
• Secure channel sağlığı DC-side denetim olayıyla değil, üye tarafındaki Netlogon durumu ve ilgili operasyonel kanıtlarla değerlendirilir.

Events and relevant fields

• 4741 — A computer account was created (yeni computer object; SubjectUserSid oluşturan principal).
• 4742 — A computer account was changed (öznitelik değişimi; ServicePrincipalNames, DnsHostName, OldUacValue/NewUacValue, PasswordLastSet alanları).
• 4738 — A user account was changed (bir computer object kullanıcı-tipi özniteliğe zorlandığında 4742 yerine bunu görürsünüz).
• TimeCreated (System) — olayın DC saatiyle zaman bağlamı; makine parolası veya kanal sağlığının kanıtı değildir.

Neyi görürsünüz, neyi göremezsiniz

4742 güçlü bir directory sinyalidir ama sınırlıdır: değişmeyen öznitelikler '-' gelir, DACL değişimi ayrı alan olarak listelenmez, ve olay yalnız DC'de üretilir. Yani 'bu computer object değişti' bilgisini verir; 'bu makine DC ile secure channel kurabiliyor' bilgisini vermez. Teşhis yaparken bu ayrımı korumak, yanlış yönlendirmeyi engeller.

Zaman bağlamı olayın System/TimeCreated alanından gelir; bu, değişikliğin DC saatine göre ne zaman kaydedildiğini söyler. Makine parolasının ne zaman yenilendiğini ya da yerel sırrın hâlâ geçerli olduğunu kanıtlamaz. Bu iki soruyu ayrı tutmak, artifact bölümünün de amacıdır.

Doğrulama yolu

Bir sıkılaştırma yaptıktan sonra (ör. kotayı 0'a çekmek) doğrulama, yeni computer account oluşturma girişimlerinin beklendiği gibi yalnız yetkili gruplarca başarılı olmasını izlemekle yapılır; 4741 olaylarının SubjectUserSid dağılımı bunu gösterir. Değişiklik geri alınabilir olmalıdır: kota ve delegasyon ayarları belgelenip aşamalı uygulanır.

Secure channel tarafında doğrulama, üye makine bağlamında yapılır; bu ders directory kanıtına odaklandığı için, kanal sağlığının üye tarafında ayrı araçlarla ölçüldüğünü belirtmekle yetiniyoruz. Directory olayı ile kanal durumunu tek bir panelde eşitlemek hatalıdır.

Detection logic · XPath

<QueryList>
  <Query Id="0" Path="Security">
    <!-- Bu XPath yalnız yerel Security kanalındaki 4742 olaylarını seçer; -->
    <!-- ServicePrincipalNames alanı '-' olmayan (yani SPN'i değişen) computer -->
    <!-- account değişikliklerini daraltır. Çok-host korelasyonu YAPMAZ. -->
    <Select Path="Security">
      *[System[(EventID=4742)]]
      and
      *[EventData[Data[@Name='ServicePrincipalNames'] and (Data[@Name='ServicePrincipalNames'] != '-')]]
    </Select>
  </Query>
</QueryList>

Query assumptions

• Kaynak: bir domain controller'ın yerel Security kanalı; Audit Computer Account Management açık olmalı.
• XPath yalnız tek bir olay belgesindeki alanları seçer; birden çok DC veya zaman penceresi arasında korelasyon kurmaz.
• Alan yoksa (ör. EventData'da ServicePrincipalNames bulunmuyorsa) koşul eşleşmez; eksik alan sessizce dışta kalır.

False positives

• Meşru SPN bakımı (yeni servis kaydı, host rename) aynı 4742/ServicePrincipalNames iz düşümünü üretir; benign taban çizgisi gerekir.
• Toplu istemci onboarding dönemlerinde 4741/4742 hacmi doğal olarak yükselir; alarm eşiği bağlama göre ayarlanmalı.
• Bir computer account'un kullanıcı-tipi özniteliğe zorlanması olayı 4738'e kaydırır; yalnız 4742 aranırsa bu durum gözden kaçar.

Hardening

• ms-DS-MachineAccountQuota'yı 0'a indirip domaine katma yetkisini yalnız belirlenmiş yönetici gruplarına delege et; değişikliği envanter ve onay süreciyle doğrula.
• Computer object'ler üzerindeki yazma hakları ve owner'ları düzenli gözden geçir; beklenmeyen owner'ları düzelt.
• Maximum machine account password age'i kurumsal ihtiyaca göre belirle; parola değişimini gereksiz yere kapatma — kapatmak, yenilenmeyen sabit bir makine sırrı bırakır.
• Kerberos için saat senkronizasyonunu ve clock skew toleransını izle; Netlogon kanalını ayrıca kendi RPC/credential kanıtıyla değerlendir. Saat kaynaklı Kerberos reddini tek başına makine parolası arızası sayma.
• Audit Computer Account Management'i DC'lerde etkin tut; 4741/4742 hacmini SIEM tarafında normalize ederek anlamlı taban çizgisi kur.

Örnekler üzerinde oku / Read the examples

<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event"><System><Provider Name="Microsoft-Windows-Security-Auditing" Guid="{54849625-5478-4994-A5BA-3E3B0328C30D}"/><EventID>4742</EventID><Version>0</Version><Level>0</Level><Task>13825</Task><Opcode>0</Opcode><Keywords>0x8020000000000000</Keywords><TimeCreated SystemTime="2026-09-29T06:12:44.918273400Z"/><EventRecordID>884213</EventRecordID><Correlation/><Execution ProcessID="720" ThreadID="4188"/><Channel>Security</Channel><Computer>DC01.outreason.example</Computer><Security/></System><EventData><Data Name="TargetUserName">WS-A7$</Data><Data Name="TargetDomainName">OUTREASON</Data><Data Name="TargetSid">S-1-5-21-1109110911-2202220222-3303330333-6218</Data><Data Name="SubjectUserSid">S-1-5-21-1109110911-2202220222-3303330333-6218</Data><Data Name="SubjectUserName">WS-A7$</Data><Data Name="SubjectDomainName">OUTREASON</Data><Data Name="SubjectLogonId">0x3e7</Data><Data Name="PrivilegeList">-</Data><Data Name="SamAccountName">-</Data><Data Name="DisplayName">-</Data><Data Name="UserPrincipalName">-</Data><Data Name="PasswordLastSet">-</Data><Data Name="AccountExpires">-</Data><Data Name="PrimaryGroupId">-</Data><Data Name="AllowedToDelegateTo">-</Data><Data Name="UserAccountControl">-</Data><Data Name="DnsHostName">ws-a7.outreason.example</Data><Data Name="ServicePrincipalNames">HOST/ws-a7.outreason.example	HOST/WS-A7</Data></EventData></Event>

İki yanlış kanı / Two reality checks

Sanılan: Domain controller, makine parolasının süresi dolunca onu otomatik olarak sıfırlar.

Gerçekte: Makine parolası değişimini üye makine kendi Netlogon servisi üzerinden başlatır; 'Maximum machine account password age' (varsayılan 30 gün) bir üst sınırdır, DC'nin uyguladığı bir zorla-sıfırlama değildir. Uzun süre offline kalan bir üye parolasını değiştirmemiş olabilir ve bu tek başına hesabı geçersiz kılmaz.

Sanılan: 4742 olayını görmek, o makinenin secure channel'ının sağlıklı olduğunu kanıtlar.

Gerçekte: 4742 yalnız DC'de tutulan computer object'in bir değişikliğini kaydeder; üyenin yerel sırrı ile AD parolasının hâlâ eşleştiğini göstermez. Kanal sağlığı büyük ölçüde üye tarafında (yerel sır, saat, ağ) belirlenir; directory olayı bunu ölçmez.

Kaynaklar / Sources

• Microsoft · Domain member: Maximum machine account password age
  Her cihazın bir hesabı ve parolası vardır; domain üyeleri varsayılan olarak 30 günde bir parola değişimi gönderir; aralık 1-999.
• Microsoft Open Specifications · [MS-NRPC]: Netlogon Remote Protocol
  Overview ve Section 2.1 Transport: \PIPE\NETLOGON named pipe, ncacn_ip_tcp dinamik endpoint, Netlogon SSP (secure channel taşıyıcısı).
• Microsoft · Maximum tolerance for computer clock synchronization
  Kerberos V5 istemci-DC saat farkı toleransı; varsayılan 5 dakika; replay koruması.
• Microsoft · 4742(S) A computer account was changed
  Event XML (Version 0); yalnız DC'lerde; Audit Computer Account Management; alanlar ServicePrincipalNames, DnsHostName, OldUacValue/NewUacValue, PasswordLastSet; değişmeyen alanlar '-'; kullanıcı-tipi değişiklik 4738'e kayar.
• Microsoft · 4741(S) A computer account was created
  Yalnız DC'lerde; Audit Computer Account Management; SubjectUserSid, SamAccountName, PrimaryGroupId 515, NewUacValue, ServicePrincipalNames.
• Microsoft · UserAccountControl property flags
  WORKSTATION_TRUST_ACCOUNT 0x1000 ve SERVER_TRUST_ACCOUNT 0x2000 dahil userAccountControl bit değerleri.
• Microsoft · Default limit to number of workstations a user can join to the domain (MachineAccountQuota)
  ms-DS-MachineAccountQuota varsayılanı 10; kimliği doğrulanmış her kullanıcı 10 adede kadar computer account oluşturabilir.
• Microsoft · Active Directory domain join permissions
  Quota ile yönetilen Add workstations to domain ve OU/container üzerindeki explicit Create Computer Objects izni farklı join authorization yollarıdır.
• Microsoft · Delegating Administration of Account OUs and Resource OUs
  Creator veya owner nesnenin ACL'ini parent'tan miras gelen izinlerden bağımsız ayarlayabilir; account object control local computer admin yetkisi değildir.
• Microsoft Open Specifications · [MS-NRPC] Netlogon Common Authentication Details
  §3.1: paylaşılan makine parolası bilgisine dayalı karşılıklı Netlogon credentials doğrulaması ve sonraki RPC için session key.