Trust direction, transitivity ve trust türleri: Kim kime güvenir?

1. Core Mechanism / Temel mekanizma

Bu ders trustDirection bitlerini, one-way/two-way ilişkileri ve transitive/non-transitive türleri TDO perspektifinden açıklar. Cross-domain ticket ayrıntısı 10.06'da kalır.

Arabirimler ve belirtimler

• Trusted Domain Object (TDO): trust partner ve ilişki özelliklerini directory'de temsil eder.
• trustDirection=1 (inbound): trusted domain primary domain'e güvenir; isimlendirme perspektifi TDO'nun bulunduğu domain'e göre okunur.
• trustDirection=2 (outbound): primary domain trusted domain'e güvenir.
• trustDirection=3: inbound ve outbound bitlerinin birleşimi, bidirectional trust.
• Transitive trust: trust path'in tanımlı domain/forest hiyerarşisinde genişleyebilmesine izin verir.
• External trust: belirli iki domain arasında, non-transitive ilişki; forest trust iki forest root arasında transitive kapsam sağlar.

Yönü resource sorusuyla oku

'A, B'ye güvenir' demek A'daki kaynakların B hesaplarını authentication için kabul edebilmesi demektir. Kullanıcı akışı B'den A kaynağına doğrudur; trust cümlesi ile kullanıcı oku ters görünür.

trustDirection attribute'u TDO'nun bulunduğu primary domain perspektifinden bit alanıdır. Aynı ilişkinin diğer taraftaki TDO'su karşı yön credential bilgisini taşır.

Transitivity, authorization değildir

Transitive trust, bir trust path oluşturulabilmesini sağlar. Bu, yol üzerindeki her resource'a erişim verildiği anlamına gelmez; hedef resource ACL'i hâlâ karar verir.

Parent-child ve tree-root trust'lar forest içinde otomatik ve transitive'dir. External trust, belirli iki domaini non-transitive bağlamak için; forest trust ise forestlar arası ad alanı ve referral kapsamı için kullanılır.

Trust türü risk modelini belirler

Realm trust, AD dışı Kerberos realm ile ilişki kurar. Shortcut trust ise aynı forest içindeki iki domain arasındaki authentication yolunu kısaltabilir; her isteğin forest root üzerinden uzun bir yolu izlemesini önlemeye yarar. Yolun kısalması kaynak izni vermez. Trust türüne göre yön, transitivity ve desteklenen authentication mekanizmaları ayrıca değerlendirilir.

Trust secret'ın varlığı erişim politikası değildir. SID filtering, selective authentication ve resource ACL'leri 10.06'da yolun sonraki kapılarıdır.

Durum ve veri akışı

1. İstemci hedef resource'un domain/forest konumunu belirler.
2. Yerel domain uygun TDO ve trust path'i arar.
3. Direction, authentication isteğinin bu yönde kabul edilip edilemeyeceğini sınırlar.
4. Transitivity, path'in doğrudan partnerin ötesine genişleyip genişleyemeyeceğini belirler.
5. Path bulunsa bile hedef resource ayrı authorization kararı verir.

2. Exploitation / İstismar

Broken trust assumption

Saldırgan trusted tarafta geçerli bir principal veya trust configuration üzerinde ayrıcalık elde etmiştir; trust tek başına yetkisiz erişim sağlamaz.

Technical prerequisites

• Trust gerekli olandan daha geniş yön/transitivity ile kurulmuştur.
• Resource ACL'leri broad foreign groups veya Authenticated Users benzeri kapsamlar içerir.

Exploitation mechanism / İstismar mekanizması

Gereksiz bidirectional veya transitive trust, saldırganın authentication path bulabildiği kaynak alanını büyütür. Gerçek erişim ancak hedef ACL ve sonraki trust kontrolleri izin verirse oluşur; bu yüzden risk trust ile ACL'in bileşimidir.

Geniş path ile geniş izin birleştiğinde

Trust yolunun bulunması saldırgana doğrudan dosya hakkı vermez. Ancak resource tarafında broad group membership veya yanlış foreign SID ACE'i varsa authentication path bu hatayı erişilebilir kılar.

Two-way trust operasyonel kolaylık sağlar ama compromise blast radius'i iki yönde büyütebilir. Gereksinim tek yönlüyse ters yön ek bir güven borcudur.

3. Defense & Detection / Savunma ve tespit

Telemetry scope

• Her TDO için partner, trustDirection, trustType ve trustAttributes değerlerini envanterle.
• Business data flow ile trust yönünü karşılaştır; gereksiz reverse direction'ı kaldır.
• External/forest trust seçimini transitivity gereksinimiyle gerekçelendir.
• Foreign principal içeren resource ACL'lerini trust envanteriyle korele et.

Events and relevant fields

• Trust posture tek bir Event ID ile kanıtlanmaz; TDO attribute'ları, name suffix routing ve iki uçtaki configuration birlikte incelenir.

Okları iki cümleyle doğrula

Her trust diyagramında hem 'A, B hesaplarına güvenir' hem 'B kullanıcıları A kaynaklarına authentication deneyebilir' cümlesini yaz. İkisi aynı ilişkiyi zıt görünen oklarla anlatır ve yön hatasını azaltır.

Ardından ayrı bir authorization satırı ekle: hangi A resource ACL'i hangi B principal'ına ne veriyor? Trust ile izin aynı çizgiye çizilmemelidir.

Detection logic · Sigma

title: Trusted Domain Object Change Candidate
logsource:
  product: windows
  service: security
detection:
  selection:
    EventID: 5136
  condition: selection

Query assumptions

• 5136 yalnız directory object modification adayıdır; TDO class, ObjectDN ve AttributeLDAPDisplayName ile environment-specific enrichment gerekir.
• Olay yalnız DC’de Audit Directory Service Changes Success ve değişen attribute üzerinde eşleşen Write audit SACL ACE’i varsa üretilebilir.
• Bir change çoğunlukla aynı OpCorrelationID ile Value Deleted ve Value Added kayıtları üretir; AttributeValue ve OperationType birlikte değerlendirilmelidir.
• Canlı sistemde çalıştırılmamış genel bir aday kuraldır; trust değişikliği veya yetkili işlem olduğunu tek başına doğrulamaz.

False positives

• Onaylı trust secret rotation veya planned TDO configuration change 5136 üretebilir.
• Audit policy/SACL yoksa 5136 oluşmayabilir; event yokluğu trust posture’un değişmediğini kanıtlamaz.

Hardening

• Trust'ı business flow için gereken minimum direction ve scope ile kur.
• Non-transitive doğrudan ihtiyaç için external trust; forest-wide path gerekiyorsa kontrollü forest trust değerlendir.
• Trust yönetimini resource ACL yönetiminden ayrı ama korele review gate'lerine bağla.
• Bidirectional trust'ı varsayılan kolaylık olarak değil iki ayrı risk kabulü olarak ele al.

Örnekler üzerinde oku / Read the examples

O:BAG:BAD:(A;;RPWP;;;S-1-5-21-1111111111-2222222222-3333333333-5205)

İki yanlış kanı / Two reality checks

Sanılan: A, B'ye güveniyorsa A kullanıcıları otomatik olarak B kaynaklarına gider.

Gerçekte: Trust cümlesi resource tarafının kimi kabul ettiğini anlatır: A, B'ye güveniyorsa B principal'ları A kaynaklarına authentication deneyebilir; authorization yine A resource ACL'indedir.

Sanılan: Transitive trust, zincirdeki bütün kaynaklara otomatik erişim verir.

Gerçekte: Transitivity yalnız authentication path'in genişleyebilmesini sağlar. Her hedefte SID filtering, authentication scope ve resource ACL gibi ayrı kontroller uygulanır.

Kaynaklar / Sources

• Microsoft Open Specifications · trustDirection
  TRUST_DIRECTION_DISABLED/INBOUND/OUTBOUND/BIDIRECTIONAL bit values and primary-domain perspective.
• Microsoft Open Specifications · trustAttributes
  TRUST_ATTRIBUTE_NON_TRANSITIVE and TRUST_ATTRIBUTE_FOREST_TRANSITIVE flags; trust relationship attributes.
• Microsoft Open Specifications · trustType
  Normative trustType values and relationship to the trusted domain/TDO.
• Microsoft · Windows Authentication Concepts
  Trust direction and transitivity bound authentication paths; target permissions remain necessary for resource access.
• Microsoft · 5136(S) A directory service object was modified
  Event fields, Security channel/DC generation, Audit Directory Service Changes, matching attribute Write SACL, and operation correlation.
• Microsoft · Planning Forest Root Domain Controller Placement
  Shortcut trusts between domains optimize authentication requests; forest-root DC placement and remote resource access.