Ayrıcalıklı erişim modeli: Tier 0, yönetim ayrımı ve Enterprise Access Model.

1. Core Mechanism / Temel mekanizma

Bu ders, ayrıcalığı yalnız Domain Admins üyeliği olarak değil, bir varlığın başka bir varlık üzerinde kalıcı veya geçici kontrol kurabilme yeteneği olarak okur. Legacy Tier 0; domain controller'lar, forest/domain yönetim grupları ve bunların güvenliğini belirleyen kimlik altyapısı etrafında şekillenir. Enterprise Access Model bu sınırı control plane olarak genişletir; management plane ile data/workload plane ise ayrı yönetim hedefleridir. 14.02 bu modelin endpoint, hesap ve oturum tarafındaki güvenilir yönetim yolunu; 14.03 DC dışındaki control-plane bağımlılıklarını işler.

Arabirimler ve belirtimler

• Control plane, enterprise identity ve access control kararlarını yönetir; bu plane'in ele geçirilmesi diğer plane'lere erişimi yeniden tanımlayabilir.
• Management plane, enterprise-wide IT yönetim işlevlerini taşır; güçlüdür ama control plane ile aynı güven sınırı değildir.
• Data/workload plane, uygulama ve verinin çalıştığı iş yüklerini kapsar; iş değeri yüksek olsa da her workload yöneticisi control-plane yöneticisi olmamalıdır.
• Legacy Tier 0, on-premises AD içinde yetki yükselmesini sınırlayan tier modelinin en yüksek güven katmanıdır; EAM bunu modern enterprise access yollarına genişletir.
• Yönetim ayrımı iki yönlüdür: lower plane kimlikleri control plane'i yönetemez, control-plane kimlikleri de lower-plane productivity yüzeylerinde kullanılmaz.
• Bir nesnenin plane'i etiketiyle değil kontrol etkisiyle belirlenir; control-plane kimliklerini, policy'leri veya yönetim yollarını değiştirebilen bağımlılık control-plane kapsamına yaklaşır.
• Sentetik SDDL artifact'i bu sınırın bir kaynak üzerindeki DACL karşılığını gösterir; gerçek ortam grupları veya etkili erişim sonucu iddia etmez.

Tier 0 bir grup adı değildir

Tier 0 denince yalnız Domain Admins grubunu düşünmek eksiktir. Asıl soru, bir principal veya sistemin identity ve access-control kararlarını değiştirebilip değiştiremediğidir. Bir hesap doğrudan ayrıcalıklı grupta olmayabilir; ancak o grubun üyeliğini, yöneticinin oturum açtığı sistemi veya yetki veren policy'yi değiştirebiliyorsa aynı kontrol zincirine dokunur.

Bu nedenle Tier 0 kapsamı statik bir ürün listesiyle değil, kontrol etkisiyle çıkarılır. Forest root, domain controller ve yüksek yetkili gruplar başlangıç noktalarıdır; fakat onların yönetim yolunu belirleyen bağımlılıklar da aynı analizde görünmelidir.

Enterprise Access Model neyi değiştirir

Microsoft'un Enterprise Access Model'i legacy AD tier modelini silmez; onu daha geniş bir enterprise access haritasına yerleştirir. Tier 0 control plane'e genişler. Eski Tier 1, enterprise-wide management plane ile workload'a özgü data/workload plane olarak ayrılır. Eski Tier 2 ise user access ve app access yollarına ayrılır.

Bu ayrım, cloud ve on-premises yönetimin aynı kuruluşta buluştuğu ortamda daha açıklayıcıdır. Bir workload yöneticisinin işi kritik olabilir ama bu, ona enterprise identity sistemini değiştirme yetkisi verilmesini gerektirmez. Aynı şekilde merkezi bir management platformu çok geniş erişime sahip olabilir; bu erişim control-plane yetkisine dönüşüyorsa sınır yeniden sınıflandırılmalıdır.

Yönetim ayrımı bir graph problemidir

Plane ayrımı yalnız OU, isim veya grup prefix'i değildir. Principal → group → delegated right → policy → endpoint → credential gibi zincirler birlikte okunmalıdır. Lower-plane bir admin'in control-plane GPO'sunu değiştirmesi veya control-plane admin'in lower-plane cihazda oturum açması, kâğıt üzerindeki ayrımı fiilen bozar.

Bu yüzden inceleme, 'kim Domain Admin?' sorusundan daha geniştir: 'kim control-plane kararını değiştirebilir, hangi cihaz bu kimliği kabul eder ve hangi bağımlılık bu yolu yeniden yazabilir?' sorularını cevaplar.

DACL sınırı görünür kılar

Artifact'teki sentetik DACL üç rol gösterir: control-plane admins için Generic All, auditors için Generic Read/Execute ve lower-plane admins için açık Generic All deny. Bu bir deployment tarifi değildir; plane politikasının kaynak üzerindeki izin kararına nasıl çevrilebileceğini görünür kılan küçük bir modeldir.

SDDL parser yalnız owner, group, DACL flag'leri ve ACE alanlarını ayrıştırır. SID'lerin gerçek gruplara ait olduğunu, ACE sırasının hedef object type için doğru sonucu verdiğini veya başka bir control yolunun bulunmadığını kanıtlamaz.

Durum ve veri akışı

1. Korunacak iş değerleri ve bunlara erişimi belirleyen identity/access-control bileşenleri envantere alınır.
2. Bir bileşenin hangi hesapları, policy'leri veya yönetim yollarını değiştirebildiği incelenir; etiket yerine kontrol etkisi kaydedilir.
3. Identity ve access-control kararlarını değiştirebilen varlıklar control-plane kapsamına yerleştirilir.
4. Enterprise-wide yönetim araçları management plane'e, workload'a özgü yönetim rolleri data/workload plane'e ayrılır.
5. Her plane için ayrı yönetici principal'ları ve ayrı kaynak ACL'leri tanımlanır.
6. Lower-plane principal'ın control-plane kaynağında yönetim hakkı taşıdığı geçişler kaldırılır veya açıkça istisna olarak belgelenir.
7. Control-plane yöneticisinin oturum açabileceği cihaz ve hedefler ayrıca sınırlandırılır; bu endpoint yolu 14.02'nin konusudur.
8. Değişiklikler yalnız grup adına bakılarak değil, transitive control yolları ve etkili DACL'ler üzerinden yeniden değerlendirilir.

2. Exploitation / İstismar

Broken trust assumption

Kırılan varsayım: Yüksek yetkili grupların üyeliği temizse Tier 0 ayrımı tamamdır.

Technical prerequisites

• Lower-plane principal veya yönettiği sistem, control-plane kapsamındaki bir ACL, group membership, policy ya da endpoint üzerinde değişiklik etkisi taşımalı.
• Bu etki doğrudan üyelik yerine nested group, delegated right veya yönetim ajanı gibi dolaylı bir yoldan gelebilmeli.
• İnceleme yalnız ayrıcalıklı grup üyeliğine bakıp transitive control yolunu kapsamamalı.
• Control-plane kimliği lower-plane cihazda kullanılmalı veya lower-plane hesabı control-plane hedefinde kabul edilmeli.

Exploitation mechanism / İstismar mekanizması

Saldırgan doğrudan control-plane grubuna üye olmak yerine bu grubu, policy'yi veya yöneticinin güvenilir oturum yolunu değiştirebilen lower-plane bir bileşeni hedefler. Management veya workload admin hesabı control-plane kaynağında WriteDACL, owner değiştirme, policy yazma ya da yönetim endpoint'ine local admin etkisi taşıyorsa plane sınırı atlanır. Etiketler doğru görünürken transitive control graph saldırgana daha yüksek plane'e geçiş verir.

Plane ihlali neden sessizdir

Lower-plane hesabı Domain Admins üyesi olmayabilir; bu yüzden basit üyelik raporu temiz görünür. Ancak aynı hesap bir yönetim aracının servis ayarını, control-plane GPO'sunu veya Tier 0 yöneticisinin kullandığı endpoint'i değiştirebiliyorsa sonuç yine control-plane kimliğini ele geçirmektir.

Bu saldırı modelinde kritik veri tek bir grup listesi değil, kontrol kenarlarının bütünüdür. En zayıf kenar, saldırganın hangi plane'den başladığından bağımsız olarak daha yüksek plane'in kararını değiştirebildiği yerdir.

Etiket güvenlik sınırı değildir

Bir gruba T0 prefix'i vermek veya bir sunucuyu Tier 0 OU'suna taşımak, ona ulaşan yönetim yollarını otomatik olarak ayırmaz. ACL, service account, deployment platformu ve oturum kaynağı aynı sınırı uygulamıyorsa isimlendirme yalnız envanter kolaylığı sağlar.

Bu nedenle tehdit modeli, 'hangi nesne Tier 0?' ile bitmez; 'bu nesneyi kim ve ne değiştirebilir?' sorusunu her bağımlılık için tekrarlar.

3. Defense & Detection / Savunma ve tespit

Telemetry scope

• Control-plane varlıkları için owner, DACL, group membership, policy writer ve yönetim endpoint'i sahipliğini aynı envanterde tut.
• Her control kenarında source principal'ın plane'i ile target varlığın plane'ini kaydet; lower-to-control geçişleri istisna kaydı olmadan kabul etme.
• Nested group ve delegated rights çözümlemesini doğrudan üyelik raporundan ayrı çalıştır.
• Control-plane admin hesaplarının lower-plane endpoint'lerdeki logon izlerini 14.02'deki cihaz/oturum verisiyle korele et.

Events and relevant fields

• Bu ders tek bir Windows Event ID'yi Tier 0 kanıtı saymaz; ACL, group, policy ve endpoint değişikliklerinin ilgili kaynak telemetrileri birlikte gerekir.
• DACL değişikliği kaynağa göre olay üretebilir, fakat bir değişiklik olayı tek başına yeni descriptor'ın güvenli olduğunu göstermez.
• İzin envanteri point-in-time snapshot'tır; group nesting veya owner değişikliği sonrası yeniden hesaplanmalıdır.

Savunmanın birimi: kontrol kenarı

Blue ekip için ölçülebilir birim grup üyeliği değil, source principal'dan target resource'a giden control edge'dir. WriteDACL, owner değiştirme, group membership yazma, policy dağıtma ve yönetim endpoint'ini yönetme farklı veri kaynaklarından gelebilir; fakat aynı plane ihlaline bağlanır.

Bu envanter zaman damgalı olmalıdır. Bir ACL snapshot'ı, daha sonra değişen nesting veya owner durumunu kendiliğinden yansıtmaz.

Sınır iki yönde uygulanır

Lower-plane hesabının control-plane'i yönetmesini engellemek tek başına yeterli değildir. Control-plane hesabı bir productivity veya workload cihazında oturum açarsa o cihaz, credential ve session materyali için yeni bir saldırı yüzeyi olur.

Bu nedenle plane policy'si hem target ACL'lerinde hem de logon kaynağı/cihaz kabul kurallarında görünmelidir. İkinci yüz 14.02'de PAW, ayrı hesap ve oturum disipliniyle somutlaşır.

Detection logic · KQL

PrivilegedPathInventory | where TargetPlane == "Control" and SourcePlane != "Control" | project SourcePrincipal, SourcePlane, ControlEdge, TargetResource, EvidenceId

Query assumptions

• PrivilegedPathInventory kuruluşun kendi normalleştirilmiş graph/envanter tablosudur; ürün tablosu olduğu iddia edilmez.
• SourcePlane ve TargetPlane etiketleri kontrol etkisi analiziyle üretilmiş olmalıdır.
• ControlEdge alanı doğrudan ve transitively çözülmüş yetki türünü taşımalıdır.

False positives

• Belgelenmiş break-glass veya migration yolu geçici olarak lower-to-control kenarı üretebilir.
• Salt-okuma audit yetkisi yanlışlıkla yönetim kontrolü olarak sınıflandırılmış olabilir.
• Stale inventory kaldırılmış bir delegation'ı hâlâ gösteriyor olabilir.

Hardening

• Control-plane kapsamını grup adlarından değil, identity/access-control etkisinden çıkar.
• Lower-plane principal'lara control-plane kaynaklarında yönetim, owner veya DACL değiştirme hakkı verme.
• Control-plane ve lower-plane yönetimi için ayrı hesap, cihaz ve hedef kabul politikaları uygula.
• İstisnaları süreli, sahibi belli ve yeniden inceleme tarihli tut.
• Ayrımı periyodik transitive control graph ve etkili izin incelemesiyle doğrula.

Örnekler üzerinde oku / Read the examples

O:SYG:SYD:PAI(D;;GA;;;S-1-5-21-111111111-222222222-333333333-2101)(A;;GRGX;;;S-1-5-21-111111111-222222222-333333333-2201)(A;;GA;;;S-1-5-21-111111111-222222222-333333333-2200)

İki yanlış kanı / Two reality checks

Sanılan: Tier 0, Domain Admins ve domain controller'lardan oluşan sabit bir ürün listesidir.

Gerçekte: Legacy model bu varlıklarla başlar; fakat güven sınırı, identity ve access-control kararlarını değiştirebilen tüm control yollarını kapsar. Enterprise Access Model bu yaklaşımı control plane olarak genişletir.

Sanılan: Tier 0 grubuna yalnız doğru kişileri almak yönetim ayrımını tamamlar.

Gerçekte: Nested rights, DACL/owner yetkisi, policy writer ve yönetim endpoint'i gibi dolaylı yollar lower-plane principal'a control-plane etkisi verebilir; ayrım transitive control graph üzerinden doğrulanmalıdır.

Kaynaklar / Sources

• Microsoft · Securing privileged access Enterprise access model
  Control, management ve data/workload planes; Zero Trust ilkeleri; Evolution from the AD tier model; Tier 0 scope expansion; Tier 1 ve Tier 2 splits.
• Microsoft · Security Descriptors
  Owner SID, primary group SID, DACL, SACL ve control flags bileşenleri.
• Microsoft · Access Control Entries
  ACE içindeki trustee SID, access mask, allow/deny type ve inheritance/flag bilgisi.