Forest ve domain sınırları: Yönetim ayrımı ile güvenlik izolasyonu.

1. Core Mechanism / Temel mekanizma

Bu ders domain ile forest'ın hangi veriyi ve yönetim yetkisini sınırladığını ayırır. OU delegation, ayrı domain ve ayrı forest seçeneklerini aynı güvenlik izolasyonu seviyesi gibi sunmaz.

Arabirimler ve belirtimler

• Domain naming context: domain principal'ları, policy tabanı ve domain-local yönetim kapsamıdır.
• Forest: ortak schema, configuration partition ve forest-wide trust/control plane sınırıdır.
• Enterprise Admins ve Schema Admins: forest root domain'de bulunan forest-wide ayrıcalık gruplarıdır.
• Global Catalog: forest içindeki nesnelerin partial attribute set'ini taşır; ayrı domainleri discovery düzleminde bağlar.
• OU delegation: aynı domain içinde yönetim kapsamı verir fakat domain/forest güvenlik sınırı oluşturmaz.
• Ayrı forest: ayrı schema/configuration ve ayrı privileged control plane sağlar; trust eklenirse erişim yolu ayrıca tasarlanır.

Domain neden yararlı ama tam izolasyon değildir

Domain kendi naming context'ine, domain policy'sine ve üç domain FSMO rolüne sahiptir. Replication scope ve yönetim delegation'ı için anlamlı bir sınırdır.

Fakat aynı forest'taki domainler ortak schema ve configuration kullanır; forest-wide admin katmanı child domainleri etkileyebilir. Bu nedenle ayrı domain, düşman yöneticiye karşı güvenlik izolasyonu vaat etmez.

Forest en geniş AD DS güvenlik sınırıdır

Forest içindeki domainler otomatik, transitive trust ilişkileriyle aynı kimlik ekosistemine bağlıdır. Schema ve configuration değişiklikleri forest çapındadır.

Service autonomy, service isolation ve data isolation aynı hedef değildir. Microsoft forest design modelleri organizational, resource ve restricted access forest'ları bu farklı ihtiyaçlarla ayırır.

Trust izolasyonu kaldırmaz ama bir yol açar

Ayrı forest oluşturmak tek başına kaynak erişimini mümkün kılmaz. Forestlar arasında trust kurulursa authentication yolu açılır; gerçek authorization yine resource ACL'i, SID filtering ve selective authentication gibi kontrollerle belirlenir.

Restricted access hedefinde en güçlü karar çoğu zaman trust kurmamaktır. Trust gerekiyorsa yön, kapsam ve allowed-to-authenticate yüzeyi açıkça belgelenmelidir.

Durum ve veri akışı

1. İhtiyaç önce delegation, service autonomy veya hostile-admin isolation olarak sınıflandırılır.
2. Yalnız yönetim delegation'ı gerekiyorsa OU/domain içi sınırlar değerlendirilir.
3. Forest-wide admin'den izolasyon gerekiyorsa ayrı forest control plane kurulur.
4. Cross-forest erişim gerekmiyorsa trust kurma; gerekiyorsa yalnız gerekli yöndeki yolu değerlendir.
5. Resource authorization ACL, SID filtering ve selective authentication ile ayrıca sınırlandırılır.

2. Exploitation / İstismar

Broken trust assumption

Saldırgan aynı forest içindeki forest-wide privileged control plane'i ele geçirmiştir veya ayrı domaini yanlışlıkla bağımsız güvenlik sınırı sayan tasarımdan yararlanır.

Technical prerequisites

• Kritik workload aynı forest içinde tutulmuştur.
• Forest root ve forest-wide groups, child domain kadar güçlü korunmamıştır.

Exploitation mechanism / İstismar mekanizması

Forest-wide ayrıcalık ortak schema/configuration ve trust control plane üzerinden child domain izolasyonu varsayımını bozar. Saldırganın etkisi her kaynakta otomatik authorization değildir; fakat forest control plane üzerindeki yetki, domain-local delegation sınırlarını aşan değişiklikler yapabilmesine olanak verir.

Yanlış boundary seçimi kalıcı risk üretir

OU veya child domain ile ayrı yönetici ekip oluşturmak operasyonel ayrım sağlar; fakat o ekip forest owner'dan bağımsız değildir. Risk modeli kötü niyetli veya ele geçirilmiş forest admin içeriyorsa boundary forest olmalıdır.

Ayrı forest da sihirli değildir: aynı privileged workstation, ortak backup credential veya geniş bidirectional trust control plane'leri tekrar bağlayabilir.

3. Defense & Detection / Savunma ve tespit

Telemetry scope

• Her workload için beklenen security boundary'yi OU/domain/forest olarak yazılı sınıflandır.
• Forest root privileged groups ve schema/configuration ACL'lerini ayrı incele.
• Cross-forest trust'ları yön, transitivity, SID filtering ve authentication scope ile envanterle.
• Ayrı forestların privileged access, backup ve monitoring bağımlılıklarını ortak secret açısından denetle.

Events and relevant fields

• Bu ders tek bir Windows Event ID'yi isolation kanıtı saymaz; boundary tasarım ve ACL/trust durumu birlikte doğrulanır.

Boundary iddiasını bağımlılıklarla test et

İki forest ayrı olsa bile aynı admin hesabı, backup operator veya hypervisor control plane kullanılıyorsa pratik izolasyon zayıflar. Boundary diyagramı kimlik dışı yönetim yollarını da içermelidir.

Bir resource ACL'inde yabancı forest SID'i görmek, erişimin çalıştığını tek başına kanıtlamaz; trust direction ve authentication scope önce geçilmelidir.

Detection logic · Sigma

title: Forest Boundary Privileged Group Change Review
logsource:
  product: windows
  service: security
detection:
  selection:
    EventID:
      - 4728
      - 4729
      - 4756
      - 4757
  condition: selection

Query assumptions

• Kural yalnız grup üyeliği değişikliği adaylarını toplar; hangi grubun forest-wide olduğunu environment enrichment belirler.
• Canlı dataset üzerinde çalıştırılmamıştır ve başarı oranı iddia edilmez.

False positives

• Onaylı break-glass veya görev rotasyonu meşru üyelik değişikliği üretebilir.
• Grup değişikliği görülmemesi forest root ACL'lerinin güvenli olduğunu kanıtlamaz.

Hardening

• Forest root admin katmanını child domain yönetiminden daha düşük değil, en yüksek assurance ile koru.
• Hostile-admin isolation gerekiyorsa ayrı forest ve ayrı privileged access plane kullan.
• Cross-forest trust'ı varsayılan bidirectional yerine yalnız gereken yönde ve selective authentication ile değerlendir.
• Restricted data modelinde trust vermeme seçeneğini açık security control olarak koru.

Örnekler üzerinde oku / Read the examples

O:BAG:BAD:(A;;GR;;;S-1-5-21-1987654321-1234567890-2468013579-4101)

İki yanlış kanı / Two reality checks

Sanılan: Ayrı domain açmak, forest admin'lerinden güvenlik izolasyonu sağlar.

Gerçekte: Aynı forest ortak schema/configuration ve forest-wide privileged control plane paylaşır. Ayrı domain yönetim ve replication ayrımıdır; hostile forest admin'e karşı tam izolasyon değildir.

Sanılan: Ayrı forest kurulduğunda iki taraf arasında hiçbir güven veya erişim yolu kalmaz.

Gerçekte: Ayrı forest bağımsız control plane sağlar; fakat trust, ortak privileged infrastructure veya ACL ile yeniden bağlantı kurulabilir. İzolasyon bu bağımlılıklarla birlikte değerlendirilir.

Kaynaklar / Sources

• Microsoft · Understanding the Active Directory Logical Model
  Forest/domain shared logical structure, schema/configuration, domain partitioning, and same-forest trusts.
• Microsoft · Service Administrator Scope of Authority
  Forest service-administrator access across all forest data/services and the separate-forest boundary for groups that cannot accept this risk.
• Microsoft · Forest Design Models
  Organizational, resource, and restricted-access forest models; separate accounts/workstations; optional separate physical network.
• Microsoft · How AccessCheck Works
  Requested access is evaluated against the caller token and object DACL.
• Microsoft Open Specifications · SID Filtering and Claims Transformation
  Trust-boundary-specific SID filtering behavior.
• Microsoft · Allowed-To-Authenticate extended right
  The control access right limits who can authenticate to a particular computer or service; forest selective-authentication behavior is configuration-specific.
• Microsoft · Audit Security Group Management
  4728/4729 global and 4756/4757 universal security-group membership event families.