FSMO rolleri: Özel görevleri anlamak; rolleri tek bir “ana DC” ile karıştırmamak.

1. Core Mechanism / Temel mekanizma

Bu ders beş operations master rolünün kapsamını, hangi özel yazımı seri hâle getirdiğini ve transfer ile seizure arasındaki güven sınırını açıklar. 'Primary DC' modeli yerine bounded coordination modeli kurar.

Arabirimler ve belirtimler

• Schema Master: forest schema değişikliklerini koordine eden forest-wide tek roldür.
• Domain Naming Master: domain ve application partition ekleme/kaldırma işlemlerini koordine eden forest-wide roldür.
• RID Master: her domain içinde DC'lere RID pool ayırır.
• PDC Emulator: password-change önceliği, account lockout koordinasyonu ve domain time hierarchy için özel sorumluluk taşır.
• Infrastructure Master: domainler arası object reference güncellemelerinden sorumludur; bu görevin gerekip gerekmediği GC yerleşimine ve Recycle Bin özelliğine bağlıdır.
• fSMORoleOwner: ilgili directory nesnesinde rol sahibi DC'nin NTDS Settings DN'ini tutar.

Beş rol, iki kapsam

Schema Master ve Domain Naming Master forest başına birer tanedir. RID, PDC Emulator ve Infrastructure Master ise her domain için ayrıdır. Çok domainli bir forest bu nedenle yalnız beş role değil, forest rolleri artı her domainin üç rolüne sahiptir.

İlk forest root DC başlangıçta bütün rolleri alabilir; bu durum onun kalıcı 'ana DC' olduğu anlamına gelmez. Roller planlı transferle başka writable DC'lere taşınabilir.

Infrastructure Master’ı nereye yerleştirmelisin?

Birden fazla domain varsa ve domain’deki DC’lerin yalnız bir bölümü GC ise, Infrastructure Master’ı GC olmayan bir DC’ye yerleştir. GC, forest nesnelerinin partial replica’larını tuttuğu için bu rolü de taşıdığında güncellenecek cross-domain reference’ları aynı şekilde bulamaz. Domain’deki bütün DC’ler GC ise ya da forest tek domain’den oluşuyorsa bu yerleşim kısıtı gerekmez.

AD Recycle Bin optional feature etkinse her DC kendi cross-domain reference’larını günceller; Microsoft’un güncel açıklamasına göre Infrastructure Master’a bu iş için görev kalmaz. Rolün sahipliği yine vardır: görevin bu yapılandırmada gerekmemesi, fSMORoleOwner’ın veya rolün ortadan kalktığı anlamına gelmez.

Rol kaybının etkisi role özgüdür

Schema Master yoksa olağan authentication ve çoğu directory write devam eder; yeni schema değişikliği yapılamaz. RID Master geçici olarak yoksa DC'ler mevcut RID pool'larından principal üretmeye devam edebilir, fakat havuzlar tükendikçe yeni SID üretimi etkilenir.

PDC Emulator kesintisi password-change yakınsaması, lockout işleme ve zaman hiyerarşisi açısından daha görünürdür. Etkiyi 'domain down' diye genellemek yerine hangi operasyonun role bağımlı olduğu ölçülür.

Transfer ile seizure aynı işlem değildir

Transfer, mevcut rol sahibinin erişilebilir ve işbirliği yapabildiği planlı devir yoludur. Seizure, önceki sahibin geri dönmeyeceği disaster-recovery kararıdır.

Özellikle Schema Master, Domain Naming Master ve RID Master seize edildikten sonra eski rol sahibini yeniden çevrimiçi almak çift sahiplik ve tutarsız işlem riski yaratır. Eski DC yeniden kullanılacaksa metadata ve rebuild planı gerekir.

Durum ve veri akışı

1. İşlem önce normal writable DC'ye gelir.
2. İşlem FSMO-koordinasyonlu değilse multi-master write yolu devam eder.
3. Özel işlem ilgili role ihtiyaç duyarsa rol sahibi DC bulunur.
4. Rol sahibine ulaşılıyorsa özel işlem koordine edilebilir; ulaşılamıyorsa etki role özgüdür. Geçici bağlantı sorunu, kalıcı kayıp kanıtı değildir.
5. Erişilebilir sahip ile planlı transfer; kalıcı kayıp doğrulandığında seizure ve eski sahibin izolasyonu ayrı recovery yollarıdır.

2. Exploitation / İstismar

Broken trust assumption

Saldırgan bir role sahip DC'yi yönetebiliyor veya role transfer/seizure yetkisine erişebiliyor; gerçek sistemde saldırı adımları verilmez.

Technical prerequisites

• Privileged directory administration veya rol sahibi DC üzerinde yüksek ayrıcalık vardır.
• Organizasyon rolleri tek bir DC'de yoğunlaştırmış ve recovery kararlarını belgelemiştir.

Exploitation mechanism / İstismar mekanizması

FSMO sahibi DC, rolün özel işlemleri için kritik bir control point'tir. Bu DC'nin ele geçirilmesi tüm directory yazımlarının tek sahibi olmak anlamına gelmez; fakat schema, domain topology, RID allocation veya password/time koordinasyonu gibi role özgü etkileri büyütür.

Rol sahibi DC bir etki çarpanıdır

Schema Master üzerindeki ayrıcalık schema genişletme yüzeyine, PDC Emulator üzerindeki ayrıcalık ise password ve time operasyonlarında yüksek görünürlüğe temas eder. Etki rolün sözleşmesiyle sınırlı anlatılmalıdır.

Plansız seizure, savunmacının kendisinin çift rol sahibi üretmesine neden olabilir. Bu yüzden erişilemiyor ile kalıcı olarak kayıp ayrımı güvenlik kararıdır.

3. Defense & Detection / Savunma ve tespit

Telemetry scope

• Her forest/domain için beklenen ve gözlenen FSMO sahiplerini envanterle.
• fSMORoleOwner değişikliklerini change-management kaydıyla eşleştir; 5136 takibi için ilgili nesne/attribute SACL’ini ve DC audit policy’sini doğrula.
• PDC Emulator time source ve replication sağlığını diğer rollerden ayrı izle.
• Seizure kararında eski DC'nin geri dönmeyeceğine ilişkin recovery kaydı tut.

Events and relevant fields

• 5136(S) · İlgili role-owner nesnesinde fSMORoleOwner için attribute-specific Write audit SACL’i ve DC’de Audit Directory Service Changes Success etkinse Security kanalında directory modification kaydı üretilebilir. Bir değişiklik çoğunlukla aynı OpCorrelationID altında Value Deleted ve Value Added kayıtları verir; olay tek başına transfer/seizure onayı veya role-holder sağlığını kanıtlamaz.

Durumu attribute ve operasyonla doğrula

Bir GUI ekranındaki liste yerine ilgili directory nesnesinin fSMORoleOwner değerini ve rol sahibinin ulaşılabilirliğini birlikte doğrula. Sahiplik ile sağlık aynı ölçüm değildir.

Alarm, rol değişti demekle yetinmemeli; onaylı transfer mi, disaster seizure mı ve eski rol sahibi izole mi sorularını bağlamalıdır.

Detection logic · XPath

*[System[(EventID=5136)]]

Query assumptions

• Bu XPath yalnız Security kanalındaki 5136 kayıtlarını seçen geniş bir aday filtresidir; role-owner nesnesi ve AttributeLDAPDisplayName=fSMORoleOwner ile environment-specific enrichment gerekir.
• Olay için DC’de Audit Directory Service Changes Success ve değiştirilen attribute üzerinde eşleşen Write audit SACL ACE’i gerekir.
• Bir modification çoğunlukla aynı OpCorrelationID ile Value Deleted ve Value Added kayıtları üretir; yeni değeri görmek için Value Added kaydı ve önceki kayıtla korelasyon incelenir.
• Artifact sentetiktir; gerçek bir Windows veya SIEM kaydı değildir.

False positives

• Onaylı role transferi, DC demotion veya recovery sırasında planlı attribute değişikliği görülebilir.
• Audit policy/SACL yoksa 5136 oluşmayabilir; olayın yokluğu mevcut fSMORoleOwner değerinin doğru veya değişmemiş olduğunu kanıtlamaz.

Hardening

• Rolleri korunan ve izlenen writable DC’lerde barındır; Infrastructure Master için GC yerleşimini ve Recycle Bin durumunu ayrıca değerlendir.
• Rol transferini delegated least-privilege ve değişiklik onayıyla yürüt.
• Seizure için role özgü runbook, yedek ve eski sahibin izolasyon adımını zorunlu kıl.
• PDC Emulator için güvenilir upstream time source ve ayrı availability izlemesi kullan.

Örnekler üzerinde oku / Read the examples

<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event"><System><Provider Name="Microsoft-Windows-Security-Auditing" Guid="{54849625-5478-4994-A5BA-3E3B0328C30D}"/><EventID>5136</EventID><Version>0</Version><Level>0</Level><Task>14081</Task><Opcode>0</Opcode><Keywords>0x8020000000000000</Keywords><TimeCreated SystemTime="2026-10-02T08:30:00.0000000Z"/><EventRecordID>1042</EventRecordID><Correlation/><Execution ProcessID="544" ThreadID="720"/><Channel>Security</Channel><Computer>DC01.outreason.example</Computer><Security/></System><EventData><Data Name="OpCorrelationID">{b92c5c32-1bf4-4fd6-a5a2-7a3c43810a21}</Data><Data Name="AppCorrelationID">-</Data><Data Name="SubjectUserSid">S-1-5-21-1111111111-2222222222-3333333333-1104</Data><Data Name="SubjectUserName">svc-change-review</Data><Data Name="SubjectDomainName">OUTREASON</Data><Data Name="SubjectLogonId">0x49001</Data><Data Name="DSName">outreason.example</Data><Data Name="DSType">%%14676</Data><Data Name="ObjectDN">DC=outreason,DC=example</Data><Data Name="ObjectGUID">{671a7f50-7950-4dce-87e5-a5f35e7e055a}</Data><Data Name="ObjectClass">domainDNS</Data><Data Name="AttributeLDAPDisplayName">fSMORoleOwner</Data><Data Name="AttributeValue">CN=NTDS Settings,CN=DC02,CN=Servers,CN=Site-A,CN=Sites,CN=Configuration,DC=outreason,DC=example</Data><Data Name="OperationType">%%14674</Data></EventData></Event>

İki yanlış kanı / Two reality checks

Sanılan: FSMO sahibi DC, domaine yapılan bütün yazımların geçtiği tek ana DC'dir.

Gerçekte: Hayır. AD DS normalde multi-master'dır; FSMO rolleri yalnız beş özel koordinasyon görevini tek bir role owner'a bağlar.

Sanılan: Bir FSMO sahibi erişilemezse bütün domain anında çalışmayı bırakır.

Gerçekte: Etki role ve süreye bağlıdır. Mevcut RID pool'ları, olağan authentication ve çoğu write devam edebilir; role özgü işlemler zamanla veya hemen etkilenir.

Kaynaklar / Sources

• Microsoft · Planning Operations Master Role Placement
  Forest/domain role kapsamları, availability ve placement guidance.
• Microsoft · Transfer or seize Operation Master roles
  Transfer ile seizure ayrımı ve eski role owner geri dönüş sınırı.
• Microsoft · 5136(S) A directory service object was modified
  Event XML field names; DC Security channel; Audit Directory Service Changes subcategory; matching Write SACL for specific attributes; Value Deleted/Value Added and OpCorrelationID semantics.
• Microsoft · Active Directory FSMO roles in Windows
  Infrastructure Master: non-GC placement, all-GC exception and Recycle Bin optional feature behavior. Current supported Windows Server guidance checked 2026-10-03.