Replikasyon: Değişiklikler, silinen nesneler ve SYSVOL nasıl yayılır?

1. Core Mechanism / Temel mekanizma

Bu ders, DC'ler arasındaki iki ayrı yayılım hattını ayırır: directory partition verisi AD DS replication ile; SYSVOL dosyaları ise domain DFSR'ye geçirilmişse DFSR, legacy FRS kullanıyorsa FRS ile çoğalır. Amaç bir DC'deki görünümü bütün forest için anlık ve tekil gerçek sanmamaktır.

Arabirimler ve belirtimler

• Naming context: schema, configuration, domain ve application partition'ları kendi replication kapsamlarına sahiptir.
• AD DS replication: writable DC'ler arasında attribute-level değişiklikleri taşıyan multi-master akıştır.
• Deleted object: silme bilgisini diğer DC'lere ulaştıran, sınırlı süre tutulan directory durumudur.
• tombstoneLifetime ve msDS-DeletedObjectLifetime: silinmiş durumun yaşam pencerelerini belirleyen forest ayarlarıdır.
• SYSVOL, Group Policy template'leri ve logon script'lerini barındırır; domain DFSR'ye geçirilmişse DFSR, legacy FRS kullanıyorsa FRS ile çoğalır.
• Event 2042: destination DC, son başarılı replication aralığı tombstone lifetime’ı aşan adı verilmiş source partner’dan inbound replication’ı durdurmuştur. Olay bütün partner’lar veya outbound yollar için bir durma kararı değildir.

İki veri düzlemi, iki yakınsama yolu

Bir GPO iki parçalıdır: directory'deki Group Policy container (GPC) ve SYSVOL'deki Group Policy template (GPT). AD DS replication GPC'yi; DFSR'ye geçirilmiş domainlerde DFSR, legacy FRS domainlerinde ise FRS GPT dosyalarını taşır. Bu yüzden bir DC'de GPO nesnesinin görülmesi dosyaların da aynı anda hazır olduğunu kanıtlamaz.

AD DS replication multi-master'dır; her writable DC uygun partition için değişiklik kabul edebilir. Yakınsama zaman alır ve site link schedule, erişilebilirlik ve replication topology tarafından sınırlanır.

Silme, yokluk değil çoğaltılan durumdur

Bir nesne silindiğinde diğer DC'lerin bu kararı öğrenmesi gerekir. AD DS silinmiş nesne durumunu retention penceresi boyunca tutar. Recycle Bin açık olduğunda deleted-object lifetime geri yüklenebilir evreyi, tombstone lifetime ise sonraki retention sınırını etkiler.

Belirli bir source ile replication aralığı tombstone lifetime’ı aşınca destination, bütün silme bilgisini güvenle öğrendiğini varsayamaz. Event 2042 etkilenen source’u ve duran inbound yolu belirtir. Recovery kararından önce source/destination bağlamı ve lingering object riski incelenir; bütün partner’ların, outbound yolların veya SYSVOL düzleminin durduğu sonucu çıkarılmaz.

SYSVOL ayrı failure boundary'dir

DFSR'ye geçirilmiş domainlerde SYSVOL, DFS Replication kullanır; legacy FRS domainlerinde SYSVOL FRS ile replike edilir. Directory replication sağlıklı görünürken yapılandırılmış SYSVOL replication motorundaki backlog veya servis sorunu nedeniyle policy dosyaları gecikebilir; tersi de mümkündür.

Authoritative SYSVOL recovery olağan replication işlemi değildir. msDFSR-Options=1 veya wbadmin -authsysvol gibi adımlar forest recovery bağlamında, doğru kaynak DC seçilerek uygulanır; sıradan gecikmede kullanılacak bir senkronizasyon düğmesi değildir.

Durum ve veri akışı

1. DC-A bir directory attribute’unu yerel naming context’te değiştirir. Bu snapshot’ta DC-A v2, DC-B hâlâ v1 değerini taşır.
2. Directory replication yolu, koşullar uygunsa değişikliği DC-B’ye ulaştırır. Partner’ın topology, schedule ve bağlantısı gerçek gecikmeyi etkiler; model gerçek süre tahmin etmez.
3. SYSVOL dosya değişikliği ayrı yoldan taşınır; bu fixture DFSR yolunu gösterir. Directory’nin güncel olması, SYSVOL dosyasının da ulaştığını göstermez.
4. Silme bilgisinin retention penceresi içinde ilgili ortaklara ulaşması ayrı gereksinimdir. Bu karşılaştırma silme veya retention hesaplamaz.
5. Retention ve replication korumaları ayrıca incelenir; Event 2042 gibi bir sınır, yalnız burada gösterilen iki değerden çıkarılamaz. Bu model event üretmez.

2. Exploitation / İstismar

Broken trust assumption

Saldırgan veya hatalı yönetici, replication haklarına ya da bir DC üzerinde değişiklik yapabilecek ayrıcalığa sahiptir; ders yetkisiz gerçek ortam müdahalesi tarif etmez.

Technical prerequisites

• İlgili naming context üzerinde değişiklik veya replication control access hakkı vardır.
• Savunma, AD DS ile domain'de yapılandırılmış SYSVOL replication mekanizmasının sağlık sinyallerini tek bir 'DC online' metriğine indirger.

Exploitation mechanism / İstismar mekanizması

Replication yetkileri, normal yönetim sınırından çok daha güçlü bir veri erişim yüzeyi açabilir; ayrıca saldırganın tek DC'deki değişikliği yakınsama gecikmesi içinde seçici olarak kullanması mümkündür. SYSVOL ve directory ayrımı gözden kaçarsa policy nesnesi ile uygulanacak dosya içeriği arasındaki tutarsızlık yanlış teşhis edilir.

Replication yetkisi neden sıradan read değildir

DS-Replication-Get-Changes-All hakkı secret domain data replication'ına izin verir. Bu hak helpdesk tipi directory read ile eşdeğer değildir ve dar bir principal kümesinde tutulmalıdır.

Yakınsama gecikmesi tek başına saldırı kanıtı değildir; ancak kritik attribute ve SYSVOL değişikliklerinin farklı zamanlarda görünmesi, saldırganın kısa bir pencereyi kötüye kullanmasına veya savunmanın yanlış DC'yi sorgulamasına yol açabilir.

3. Defense & Detection / Savunma ve tespit

Telemetry scope

• Her naming context için replication partner, last success ve failure durumunu ayrı izle.
• Directory Service Event 2042'yi lingering-object güven sınırı olarak önceliklendir.
• SYSVOL için yapılandırılmış replikasyon motorunun (DFSR veya legacy FRS) backlog/event sinyallerini AD DS replication sağlık ölçümünden ayrı tut.
• Replication control access haklarını domain root ACL üzerinde periyodik olarak gözden geçir.

Events and relevant fields

• 2042 · destination DC, tombstone lifetime’ı aşan adı verilmiş source partner’dan inbound replication’ın durduğunu bildirir; diğer partner ve yönler ayrıca incelenir.
• 4602 · authoritative SYSVOL synchronization başarı işareti; yalnız ilgili recovery prosedürü bağlamında anlamlıdır.

Kanıtı doğru düzleme bağla

Directory nesnesi görünmüyor sorusunda naming context AD DS replication'ını; policy dosyası eksik sorusunda domain'de yapılandırılmış SYSVOL motorunu (DFSR veya legacy FRS) ölç. İki motoru tek başarı ışığına bağlamak failure boundary'yi gizler.

2042, 'eski DC'yi tekrar bağla' çağrısı değil, otomatik replication'ın bilinçli olarak durdurulduğu bir güvenlik sınırıdır. Önce kaynak DC'ler ve lingering object riski belirlenir.

Detection logic · XPath

*[System[(EventID=2042)]]

Query assumptions

• Sorgu yalnız Directory Service kanalındaki Event 2042 zarfını seçer; lingering object varlığını tek başına kanıtlamaz.
• Sentetik artifact gerçek bir Windows hostundan alınmamıştır ve EventData şeması iddia etmez.

False positives

• Planlı olarak uzun süre offline tutulmuş bir DC de aynı güven sınırına ulaşabilir; bu yine operasyonel olarak düzeltilmesi gereken bir durumdur.
• 2042'nin yokluğu, domain'de yapılandırılmış DFSR veya legacy FRS SYSVOL replication'ının sağlıklı olduğunu göstermez.

Hardening

• Replication extended right'larını least privilege ile sınırla ve domain root DACL değişikliklerini izle.
• Uzun süre offline DC'leri tombstone lifetime aşılmadan önce kontrollü biçimde hizmetten çıkar veya güvenli geri dönüş planı uygula.
• AD DS ile domain'de yapılandırılmış SYSVOL replication motoru için ayrı health gate ve recovery runbook kullan.
• Authoritative SYSVOL recovery'yi yalnız doğrulanmış forest recovery senaryosunda ve yedek/rol planıyla uygula.

Örnekler üzerinde oku / Read the examples

<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event"><System><Provider Name="Microsoft-Windows-ActiveDirectory_DomainService"/><EventID>2042</EventID><Level>2</Level><Channel>Directory Service</Channel><Computer>DC-BRANCH.outreason.example</Computer></System></Event>

İki yanlış kanı / Two reality checks

Sanılan: AD replication sağlıklıysa SYSVOL de aynı anda ve aynı motorla sağlıklıdır.

Gerçekte: Hayır. Directory partition'ları AD DS replication ile; SYSVOL dosyaları DFSR'ye geçirilmiş domainlerde DFSR, legacy FRS domainlerinde FRS ile yayılır. İki düzlemin topology, backlog ve failure sinyalleri ayrı doğrulanır.

Sanılan: Silinen nesne anında bütün DC'lerden fiziksel olarak kaybolur.

Gerçekte: Silme çoğaltılması gereken bir directory durumudur. Retention penceresi, diğer DC'lerin silmeyi öğrenmesini sağlar; pencereyi aşan kopukluk lingering object riskine dönüşür.

Kaynaklar / Sources

• Microsoft Open Specifications · Tombstone Lifetime and Deleted-Object Lifetime
  tombstoneLifetime ve msDS-DeletedObjectLifetime tanımları.
• Microsoft · Active Directory replication concepts
  Writable/RODC replication model, naming contexts, and Global Catalog full/partial replicas.
• Microsoft · Migrate SYSVOL replication from FRS to DFS Replication
  SYSVOL uses FRS in legacy domains and DFSR after migration; migration states and scope.
• Microsoft · Active Directory replication Event ID 2042
  Inbound replication stops after the tombstone-lifetime threshold; EventData is not reconstructed.
• Microsoft · Perform an authoritative synchronization of DFSR-replicated SYSVOL
  Forest-recovery authoritative synchronization and verification with DFSR Event 4602.
• Microsoft · Active Directory replication Event ID 2042
  Cause and event text: destination DC stops inbound replication with named source partner.