Saldırı isimlerinden mekanizmalara: Kerberoasting, relay, DCSync ve benzeri terimleri anlamak.

1. Core Mechanism / Temel mekanizma

Saldırı adlarını mekanizmaya çeviren ders: Kerberoasting service ticket ciphertext ile service account key ilişkisini; relay challenge-response'un hedefe taşınabilirlik koşullarını; DCSync ise DRS replication yetkisi ve RPC yüzeyini açıklar.

Arabirimler ve belirtimler

• Kerberoasting: SPN'e bağlı service account için TGS ciphertext alma ve offline key guessing riski.
• relay: authentication exchange'in hedef hizmet tarafından kabul edilme koşullarına bağlı iletimi.
• DCSync: directory replication service protokolü üzerinden replication-benzeri veri isteği.
• DS-Replication-Get-Changes ve DS-Replication-Get-Changes-All: directory replication için ayrı control access right'lar; ikincisi secret domain data replikasyonunu kapsar. İddianın kapsamına göre doğru right'lar ve endpoint access birlikte doğrulanır.
• 4769: KDC service-ticket operation gözlemi.
• 4662: SACL varsa directory object operation gözlemi; Properties GUID bağlamı gerekir.

Kerberoasting bir SPN sorgusu değildir

Normal Kerberos akışında KDC, service principal için ticket üretir; service ticket'ın korunması ilgili service account key'iyle ilişkilidir. Risk, saldırganın geçerli domain context'te ticket istemesi ile service key'in offline tahmin edilebilirliği birleştiğinde doğar.

Bu nedenle SPN varlığı tek başına bulgu değildir. Account key hygiene, encryption türleri, service account kullanım modeli ve ticket isteğinin bağlamı ayrı değerlendirilir.

Relay, protokol adı değil kabul zinciridir

Relay değerlendirmesi, istemcinin challenge-response ürettiği, aradaki aktörün bunu başka hedefe taşıyabildiği ve hedefin signing, channel binding veya service binding gibi kontroller olmadan kabul ettiği koşulları gerektirir.

Bir logonda NTLM görülmesi relay'i ispatlamaz. Kaynak, hedef, negotiated protection ve hedefteki authorization sonucu birlikte olmadan yalnızca aday telemetri vardır.

DCSync adı, DRSR ve right kontrolünü gizlememeli

DCSync olarak adlandırılan durum, normal DC replication mimarisini taklit eden bir istemcinin DRS Remote Protocol yüzeyini kullanabilmesiyle ilişkilidir. DRSR/RPC endpoint erişimi ile directory tarafındaki replication authorization birbirinden ayrı kapılardır; secret domain data iddiasında Get-Changes ve Get-Changes-All gibi ilgili right'ların kapsamı ayrıca doğrulanır.

4662 içinde replication control access right GUID'i görülmesi, uygun SACL altında bu right ile ilgili bir operation için güçlü bir araştırma sinyali olabilir. Bununla birlikte event, yalnız başına hangi istemcinin tüm replika verisini aldığı veya impact'in tamamı demek değildir.

Durum ve veri akışı

1. Etiketi normal protokol veya authorization akışına geri çevir.
2. Her mekanizma için principal, key/right/ağ önkoşulunu yaz.
3. Toplanan ciphertext, challenge-response veya directory operation artifact'ini ayır.
4. Tespit sinyalinin hangi adımı gördüğünü ve hangi sonucu kanıtlamadığını belirt.

2. Exploitation / İstismar

Broken trust assumption

Saldırganın bir domain principal'ı, bir ağ konumu veya yanlış delege edilmiş replication right gibi ayrı bir önkoşulu vardır; ders credential toplama, relay kurma veya replication istemcisi işletme talimatı vermez.

Technical prerequisites

• Kerberoasting değerlendirmesinde hedef SPN ve ticket istenebilen domain context; ayrıca key strength değerlendirmesi gerekir.
• Relay değerlendirmesinde hedef servis, ağ yolu ve koruyucu negotiated mekanizmaların durumu doğrulanır.
• DCSync değerlendirmesinde endpoint erişimi ile gerekli replication control access right'ları ayrı ayrı doğrulanır.

Exploitation mechanism / İstismar mekanizması

Aynı saldırı adı altında farklı önkoşulların atlanması false positive üretir. DCSync bir 'hash dump düğmesi', relay her NTLM kaydı ve Kerberoasting her SPN değildir; her iddia mekanizmanın gerekli kapılarını göstermelidir.

İsimden doğrudan etkiye atlama

Kerberos ticket görünmesi service key'in zayıf olduğunu, 4624'te NTLM görülmesi relay olduğunu, replication GUID'i görülmesi ise domain compromise gerçekleştiğini kanıtlamaz. Bunlar daha dar bir hipotezin girdileridir.

Mekanizmayı açmak, savunmanın da daha az yıkıcı olmasını sağlar: yalnız doğru SPN/key yüzeyi, doğru protocol protection veya doğru delegation right hedeflenir.

3. Defense & Detection / Savunma ve tespit

Telemetry scope

• Kerberos soruşturmasında SPN owner, service account kullanım amacı, encryption posture ve ticket telemetry'yi ilişkilendir.
• Relay soruşturmasında client, relay adayı ara nokta, target service ve negotiated protection'ı aynı zaman çizelgesinde tut.
• Replication right'larını object, trustee, inherited scope ve control access GUID düzeyinde incele.
• 4662 için SACL coverage, DC role ve ObjectType/Properties GUID çözümlemesini rapora ekle.

Events and relevant fields

• 4769 KDC'de ticket request/issuance gözlemidir; target service erişimi veya offline cracking sonucu değildir.
• 4662, SACL tarafından seçilen directory object operation'ını kaydeder. ObjectType erişilen nesnenin sınıfını; Properties ise operation'la ilişkili class/property-set GUID'lerini taşır. Event, replication trafiğinin içeriğini veya bütün etkiyi göstermez.

Tek telemetriyle saldırı adı koyma

Artifact, sentetik bir 4662 event'inde ObjectServer=DS, AccessMask=0x100 ve replication GUID bağlamını gösterir. Parser XML yapısını ve alanları okur; GUID'in etkili authorization sonucu olup olmadığını hesaplamaz.

Bu ayrım, yüksek etkili alarmın önce right, trustee, source host ve SACL kapsamı ile zenginleştirilmesini sağlar.

Detection logic · XPath

*[System[(EventID=4662)]]

Query assumptions

• Bu XPath örneği 4662 event'lerini seçer; Properties içindeki replication GUID'ine göre filtreleme yapmaz.
• Replication-right GUID incelemesi, ObjectType nesne sınıfı ile Properties alanındaki operation GUID'lerini ayırarak yapılır; AccessMask, Subject, ObjectName ve source host bağlamı da gerekir.
• Gerçek 4662 görünürlüğü SACL ve ilgili audit policy ayarına bağlıdır; sorgu canlı bir SIEM veya Windows kanalı üzerinde yürütülmedi.

False positives

• Yetkili DC veya yönetim işlemi aynı right bağlamında event üretebilir.
• GUID eşleşmesi, veri içeriği, istemci niyeti veya uçtan uca compromise kanıtı değildir.

Hardening

• Service account key hygiene'ı SPN envanteriyle birlikte yönet; gereksiz SPN'leri kaldır.
• NTLM gereken yerlerde signing, sealing ve channel/service binding kontrollerini protokol ve hedefe göre doğrula.
• Replication control access right'larını yalnız gerekli DC/servis principal'larına ver ve değişikliklerini review et.

Örnekler üzerinde oku / Read the examples

<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event"><System><Provider Name="Microsoft-Windows-Security-Auditing"/><EventID>4662</EventID><Version>0</Version><Level>0</Level><TimeCreated SystemTime="2026-10-01T09:27:41.0000000Z"/><EventRecordID>1303001</EventRecordID><Channel>Security</Channel><Computer>dc01.outreason.example</Computer><Security/></System><EventData><Data Name="SubjectUserSid">S-1-5-21-1987654321-1234567890-2468013579-1504</Data><Data Name="SubjectUserName">sync-reader</Data><Data Name="ObjectServer">DS</Data><Data Name="ObjectType">{19195a5b-6da0-11d0-afd3-00c04fd930c9}</Data><Data Name="ObjectName">DC=outreason,DC=example</Data><Data Name="OperationType">Object Access</Data><Data Name="AccessMask">0x100</Data><Data Name="Properties">{1131f6ad-9c07-11d1-f79f-00c04fc2dcd2}</Data></EventData></Event>

İki yanlış kanı / Two reality checks

Sanılan: SPN, NTLM veya replication GUID'i görmek doğrudan Kerberoasting, relay ya da DCSync gerçekleştiğini gösterir.

Gerçekte: Bunlar mekanizmaya özgü aday sinyallerdir; gerekli right/key/ağ koşulu ve sonuç için ayrı kanıt gerekir.

Sanılan: DCSync, normal replication'dan tamamen ayrı bir protokoldür.

Gerçekte: İddia DRS replication mekanizması ve authorization boundary üzerinden değerlendirilir; bu yüzden right scope ve audit coverage kritik bağlamdır.

Kaynaklar / Sources

• Microsoft Open Specifications · MS-DRSR
  DRS Remote Protocol scope: AD replication and management RPC.
• Microsoft · DS-Replication-Get-Changes-All extended right
  Control access right identity and Rights-GUID.
• Microsoft Open Specifications · MS-NLMP
  NTLM negotiate flags, AV pairs, MIC and session-key protection context.
• Microsoft · 4662(S, F): An operation was performed on an object
  Appropriate SACL/audit settings govern event generation; ObjectType identifies the accessed object class; Properties carries class/property-set GUIDs associated with the operation; AccessMask gives operation context.
• Microsoft · 4769(S, F): A Kerberos service ticket was requested
  4769 is generated on DCs when a KDC gets a TGS request; request/issuance is not proof of target-service acceptance or offline guessing result.
• Microsoft · DS-Replication-Get-Changes extended right
  Extended right needed to replicate changes from a naming context; Rights-GUID 1131f6aa-9c07-11d1-f79f-00c04fc2dcd2.