Hangi politika uygulanır? LSDOU, filtering, inheritance ve loopback.

1. Core Mechanism / Temel mekanizma

Policy processing, GPO linklerinin site, domain ve OU bağlamından başlayıp client üzerindeki sonuç policy’ye ilerleyen bir seçim ve birleştirme sürecidir. LSDOU varsayılanı Local → Site → Domain → OU sırasıdır; security filtering, WMI filtering, inheritance ve loopback bu adayların hangisinin nasıl işlendiğini değiştirir. Aynı site, domain veya OU içindeki link order ise ayrı bir sıralamadır: varsayılan durumda en küçük sayı en yüksek precedence’i alır.

Arabirimler ve belirtimler

• Client önce Local GPO’yu, sonra site/domain/OU linklerini (OU parent’tan child’a) değerlendirir. Aynı container’daki link order’ı işleme sırasından ayır: order 1, order 2’den daha yüksek precedence taşır.
• Security filtering, GPO üzerinde hem Read hem Apply Group Policy izinleri gerektiren principal kapsamını sınırlar.
• WMI filtering, client’ın değerlendirdiği query sonucuna göre GPO’yu kapsamdan çıkarabilir.
• Inheritance block ve enforced, üst/alt linklerin birleşme davranışını değiştirir.
• Loopback, user policy GPO listesini computer scope’una göre Merge veya Replace eder; oturum açan user kimliğini değiştirmez. Merge user listesini önce, computer listesini sonra getirir; Replace yalnız computer scope listesini kullanır.

LSDOU bir başlangıç sırasıdır

Local → Site → Domain → OU sırası, linked GPO’ların temel işleme yönünü verir. Child OU’deki ayarlar çoğu durumda daha sonra geldiği için çakışmada etkili olabilir; fakat filtering ve inheritance bu resmi keser.

Basit bir ayar çakışmasını düşün: OU=Finance’e bağlı, uygulanabilir iki GPO var. GPO-A’nın link order’ı 2 ve değeri 5; GPO-B’nin order’ı 1 ve değeri 15. Varsayılan sırada önce A, sonra B işlenir; B daha yüksek precedence alır. Link order’ları yer değiştirirse beklenen kaynak da değişir. Bu örnekte filtering ve CSE davranışı sabit tutulur; her extension’ın aynı şekilde birleştiğini veya bir client’ın değiştiğini kanıtlamaz.

Filtering ve inheritance

Bir link’in varlığı uygulanacağı anlamına gelmez. Security filtering, GPO üzerindeki Read + Apply Group Policy izinlerini; WMI filtering ise destination client’ta değerlendirilen query sonucunu kullanır. Block inheritance ve enforced, üst/alt linklerin birleşimini etkiler.

Loopback’in farklı bağlamı

Loopback, user settings listesine computer scope’undan GPO’lar ekler veya user’ın normal listesini onunla değiştirir. Merge mode’da önce user OU zincirinden gelen user GPO listesi, sonra computer OU zincirinden gelen liste işlenir; computer listesi daha yüksek precedence alır. Replace mode’da user’ın normal GPO listesi toplanmaz ve yalnız computer scope listesinin user settings bölümleri işlenir.

Her iki modda da signed-in user kimliği aynı kalır; loopback authorization bypass değildir ve GPO filtering koşullarını sihirli biçimde silmez. Kiosk/RDS gibi özel bilgisayarlarda hedef, user ayarlarını computer scope’una göre seçmektir.

Effective policy kanıtı

“GPO listede” ile “setting effective oldu” aynı iddia değildir. Sonuç, client’ın processing log’u ve setting’in gerçek değerinin birlikte kontrol edilmesiyle sınanır.

Durum ve veri akışı

1. Client Local GPO’yu değerlendirir.
2. Site, domain ve parent’tan child’a OU adaylarını topla. Aynı container’da düşük öncelikli link önce, varsayılan en yüksek precedence’e sahip order 1 sonra gelir.
3. Read ile Apply Group Policy’yi ayrı kontroller olarak izle. Bu örnekte eksik izin veya client’ta false dönen WMI sonucu ilgili adayı dışlar.
4. Block inheritance ile enforced link kuralını ayrı karşılaştır. Bu sınırlı örnekte enforced parent link, block nedeniyle çıkarılmaz.
5. Uygulanabilir computer listesini ve örnek ayarın beklenen kaynağını oluştur. Bu liste CSE’nin çalıştığına dair kanıt değildir.
6. Loopback Merge, normal user listesinin sonuna computer kapsamındaki listeyi ekler; Replace yalnız computer listesini kullanır. Oturum açan kimlik değişmez.
7. Processing sonucunu, gözlenen client değerini ve kaynak GPO’yu ayrıca doğrula. Bu karşılaştırma Windows processing çalıştırmaz veya gerçekleşmiş bir ayar değeri uydurmaz.

2. Exploitation / İstismar

Broken trust assumption

Bir GPO’yu OU’ya linklemek her kullanıcıya veya bilgisayara uygulanacağı anlamına gelmez; kapsam, principal, client durumu ve inheritance birlikte belirlenir.

Technical prerequisites

• GPO link’i ilgili site/domain/OU’da mevcut olmalı.
• Principal GPO üzerinde Read ve Apply Group Policy izinlerine sahip olmalı; ikisinden biri eksikse security filtering sonucu değişebilir.
• WMI filter varsa client query koşulunu sağlamalı.
• Inheritance ve enforced/block kuralları açıkça bilinmeli.

Exploitation mechanism / İstismar mekanizması

Red tarafında filtering yanlış hedefe bırakılırsa policy beklenmeyen bilgisayara ulaşabilir veya gerekli bilgisayardan dışlanabilir. Loopback yanlış anlaşılırsa user policy’nin sahipliği değişmiş gibi görünür; aslında değerlendirme bağlamı computer’a kaymıştır.

Kapsamı daraltma

Filtering bir “etiket” değil karar kapısıdır. Aynı GPO, iki client’ta farklı effective policy üretebilir; bu yüzden tek bir örnek client sonucu genellenmemelidir.

Loopback sınırı

Loopback user kimliğini silmez ve authorization’ı bypass etmez. Yalnız user policy’nin hangi computer kapsamıyla birleştirileceğini değiştirir.

3. Defense & Detection / Savunma ve tespit

Telemetry scope

• Beklenen user ve computer için site/domain/OU zinciri nedir?
• GPO üzerinde Read ve Apply Group Policy izinleri kimlerde?
• WMI filter sonucu, inheritance/enforced davranışı ve loopback modu nedir?
• Effective setting hangi GPO’dan geliyor?

Events and relevant fields

• Client-side policy processing log’u, hangi GPO’nun uygulanıp hangisinin filtering veya erişim nedeniyle atlandığını açıklamak için kullanılır.
• Resultant Set of Policy veya eşdeğer rapor, effective ayarı ve kaynak GPO’yu birlikte göstermelidir.
• GPO link, security filtering ve WMI filter değişiklikleri ayrı yönetim olayları olarak korele edilir.
• Loopback etkinliği computer OU kapsamı ile user session bağlamı birlikte incelenmeden yorumlanmaz.
• Event ID/alan isimleri sürüme ve audit ayarına bağlı olduğundan bu ders kesin event numarası iddia etmez.

Blue karar izi

Savunma, yalnız linked GPO sayısını değil processing kararını ve reason bilgisini izler. “Denied” ile “not evaluated” aynı kök nedene sahip değildir.

İnceleme yöntemi

Önce kapsam ağacını, sonra filtering’i, ardından effective setting’i kontrol etmek; varsayılan LSDOU anlatısını tek başına kanıt saymamaktan daha güvenlidir.

Detection logic · KQL

// Örnek şemada yalnız Applied/Denied sayılır; skipped veya değerlendirilmemiş satırlar dışarıda kalır.
PolicyProcessing | where Decision in ("Applied", "Denied") | summarize count() by Computer, User, GpoGuid, Reason

Query assumptions

• Dataset yok; query çalıştırılmadı.
• PolicyProcessing örnek şemadır.
• Bu predicate yalnız Applied ve Denied değerlerini geçirir. Diğer kararlar için gerçek şema ve değer adlarını doğrulayıp ayrı bir görünüm oluştur; burada üretim enum’u tanımlanmıyor.

False positives

• Normal OU taşınması, WMI sonucu değişimi veya planlı GPO revizyonu.

Hardening

• Link ve filtering değişikliklerini change control ile sınırla.
• Computer ve user kapsamlarını ayrı test et; loopback kullanılan OU’ları açıkça dokümante et.
• WMI filter’ları küçük ve gözlemlenebilir tut; başarısız sonuçları izle.
• Effective policy raporlarını güvenilir client örnekleriyle periyodik karşılaştır.

Örnekler üzerinde oku / Read the examples

O:DAG:DAD:(A;;LCRPLORC;;;AU)(OA;;CR;edacfd8f-ffb3-11d1-b41d-00a0c968f939;;AU)

İki yanlış kanı / Two reality checks

Sanılan: Bir GPO OU’ya linklendiyse o OU’daki herkes için uygulanır.

Gerçekte: Link yalnız aday kapsamdır; security/WMI filtering, read/apply izinleri ve inheritance kararı belirler.

Sanılan: Loopback user yetkisini computer’a geçirerek authorization’ı bypass eder.

Gerçekte: Loopback user policy’nin değerlendirme kapsamını computer bağlamıyla yeniden işler; identity ve authorization kontrollerini kaldırmaz.

Kaynaklar / Sources

• Microsoft · Group Policy overview
  Group Policy nesneleri, GPC/GPT ayrımı ve merkezi yapılandırma modeli.
• Microsoft Open Specifications · [MS-ADTS]: Group Policy
  Directory service nesneleri ve attribute değerlerinin AD içindeki temsili; bu ders için yalnız GPC bağlantısı bağlamı.
• Microsoft · Group Policy processing
  Local → Site → Domain → OU baseline, Read + Apply Group Policy security filtering, client-side WMI query, inheritance/enforced ve Merge/Replace loopback mode.
• Microsoft · Loopback processing of Group Policy
  Loopback user GPO list is computer-scope based; Merge adds computer list after user list; Replace skips gathering the normal user list.
• Microsoft Open Specifications · [MS-GPOL] GPO Processing Order
  §3.2.5.2: Local GPO, Site, Domain, then OU links from parent to child; default non-enforced processing order.
• Apply-Group-Policy extended right · Microsoft Learn
  Rights-GUID / Applies-To Group-Policy-Container