PAW, ayrı yönetici hesapları ve oturum disiplini: Güvenilir yönetim yolu.

1. Core Mechanism / Temel mekanizma

14.01 plane ayrımını kurdu; bu ders ayrımı operatörün günlük davranışına çevirir. PAW, son derece hassas roller için productivity tool'larını ve local administrative access'i sınırlayan en yüksek güvenlik profilli yönetim cihazıdır. Ayrı admin hesabı yetkiyi günlük kullanıcı kimliğinden ayırır. Oturum disiplini ise hangi hesabın hangi kaynak cihazdan hangi hedefe, hangi logon type ile bağlandığını görünür ve denetlenebilir tutar. Amaç yalnız credential theft riskini azaltmak değil, yüksek etkili bir session'ın başlangıç ve hedef sınırlarını açıkça uygulamaktır.

Arabirimler ve belirtimler

• PAW, hassas yönetim görevi için gereken uygulamalarla sınırlandırılmış hardened workstation'dır; productivity web/e-posta yüzeyi ayrı hesap ve cihazda tutulur.
• Ayrı admin hesabı yalnız yüksek etkili yönetim için kullanılır; günlük kullanıcı hesabı e-posta, web ve collaboration işlerini taşır.
• Source device boundary, admin hesabının oturum açabileceği cihazları PAW sınıfıyla sınırlar.
• Target boundary, PAW'dan yalnız yönetilecek plane'in onaylı endpoint'lerine erişilmesini sağlar.
• Session boundary, her interaktif yönetim oturumuna ayrı logon identity ve correlation anahtarı verir; shared account bu bağı zayıflatır.
• Windows 4624, başarılı logon için TargetUserName, TargetDomainName, TargetLogonId, LogonType ve sürüme bağlı WorkstationName/IpAddress gibi alanlar taşır.
• LogonType 10 RemoteInteractive, Remote Desktop veya Terminal Services ile uzaktan interaktif oturumu ifade eder; elevated veya güvenli olduğu anlamına gelmez.

PAW neyi azaltır

PAW, yüksek etkili hesabın credential ve session materyalini daha küçük bir attack surface içinde tutar. Microsoft'un privileged access device rehberi, PAW profilinde local administrative access ile productivity tools'un sınırlandırıldığını; e-posta ve web browsing'in en yaygın phishing yolunu oluşturduğu için bu yüzeylerin ayrı account ve workstation'a taşındığını açıklar.

Bu tanım PAW'ı sıradan bir kurumsal laptop'ın farklı isimlendirilmiş hali olmaktan çıkarır. Aynı cihazda genel web, e-posta, geliştirici aracı ve control-plane admin oturumu birlikte bulunuyorsa fiziksel cihaz ayrı olsa bile güven yolu ayrılmamıştır.

Ayrı hesap neden gereklidir

Günlük kullanıcı hesabı dış içerik, collaboration ve productivity servisleriyle sürekli temas eder. Aynı identity'nin control-plane yetkisi taşıması, bu geniş kullanıcı yüzeyini doğrudan yüksek etkili role bağlar. Ayrı admin hesabı iki risk alanını farklı policy, MFA, logon restriction ve monitoring profillerine ayırır.

Ayrı hesap shared account demek değildir. Her operatörün kişiye özgü admin identity'si olmalıdır; aksi halde bir logon session'ını gerçek operatöre bağlamak, ayrılışta erişimi kaldırmak ve davranış baseline'ı üretmek zorlaşır.

Oturum disiplini üç soruya cevap verir

Her yönetim oturumu için üç bağlam kaydedilmelidir: hangi account, hangi source device ve hangi target host. Bunlara logon type ve hedefteki TargetLogonId eklendiğinde, 'admin hesabı kullanıldı' gibi soyut bir bilgi somut bir session yoluna dönüşür.

4624 bu yolun bir parçasını verir. LogonType 10 yalnız RemoteInteractive oturumu tanımlar; bağlantının PAW'dan geldiğini veya doğru hedefe gittiğini kendi başına kanıtlamaz. WorkstationName ve IpAddress alanları da ağ topolojisi, forwarding veya eksik değerler nedeniyle bağlamla doğrulanmalıdır.

Session'ı kapatmak yetkiyi silmek değildir

Windows access token logon sırasında oluşur ve user/group SID'lerini taşır. Bu nedenle açık session, belirli bir zamandaki authorization bağlamını temsil eder. Yönetim işi bittiğinde session'ı kapatmak bu bağlamın gereksiz yere hedefte açık kalmasını önler; ancak hesabın directory yetkisini kaldırmaz.

Tersi de doğrudur: bir hesabı gruptan çıkarmak, hâlihazırda oluşmuş her session'ın anında değiştiğini kanıtlamaz. Incident response, account state ile aktif session/token durumunu ayrı ayrı ele almalıdır.

Durum ve veri akışı

1. Operatör günlük işini standard user hesabı ve productivity cihazında yürütür.
2. Control-plane değişikliği gerektiğinde ayrı PAW cihazına geçer; aynı cihazda e-posta veya genel web oturumu açmaz.
3. Operatör kişiye özgü admin hesabıyla PAW üzerinde authenticate olur; shared admin hesabı kullanılmaz.
4. PAW network policy yalnız onaylı yönetim hedeflerine ve gereken identity/update servislerine izin verir.
5. Operatör onaylı management endpoint'ine bağlanır; hedef host başarılı logon için 4624 üretirse TargetLogonId o hosttaki ilgili session olaylarını korele etmekte kullanılabilir.
6. İş tamamlandığında hedefteki yönetim session'ı kapatılır; admin hesabı productivity işine taşınmaz.
7. Blue ekip admin account + source workstation + target host + logon type birleşimini beklenen yol profiliyle karşılaştırır.
8. Beklenmeyen source device veya target için session incelenir; 4624 tek başına yetki kullanıldığını ya da oturumun kötü niyetli olduğunu kanıtlamaz.

2. Exploitation / İstismar

Broken trust assumption

Kırılan varsayım: Ayrı bir PAW satın almak veya admin hesabına farklı bir kullanıcı adı vermek güvenilir yönetim yolunu otomatik olarak kurar.

Technical prerequisites

• Yüksek etkili admin account PAW dışındaki bir source device'da kabul edilmeli veya PAW üzerinde productivity yüzeyi bulunmalı.
• Source device ile target host arasında allowlist ya da plane-aware erişim kısıtı eksik olmalı.
• Admin identity shared olmalı veya session telemetrisi operatöre bağlanamamalı.
• Başarılı logon olayları account, source device, target ve logon type bağlamıyla baseline edilmemeli.

Exploitation mechanism / İstismar mekanizması

Saldırgan güvenilir yolun karıştığı noktayı hedefler. Admin account productivity cihazında kullanılırsa düşük güvenli source device yüksek etkili credential/session'a erişebilir. PAW üzerinde web/e-posta açılırsa phishing yüzeyi PAW'a taşınır. Shared admin account kullanılırsa session attribution kaybolur. PAW'dan onaysız lower-plane target'a bağlanılırsa o target yüksek etkili session materyali için saldırı yüzeyine dönüşür. Kontrol ancak account, device, target ve session sınırları birlikte uygulanırsa anlamlıdır.

Yolun en zayıf ucu

Hardened hedef, kirli source device'dan gelen admin session'ını güvenli hale getirmez. Credential veya session materyali daha hedefe ulaşmadan source device üzerinde açığa çıkabilir. Bu yüzden güvenilir yönetim yolu hedef güvenliği kadar başlangıç cihazının güvenliğine dayanır.

Benzer biçimde hardened PAW, admin'in bağlandığı her target'ı güvenli yapmaz. Lower-plane veya unmanaged bir target'a yüksek etkili account ile bağlanmak, o target'ı yeni bir credential exposure sınırına dönüştürür.

Telemetry'siz ayrım doğrulanamaz

Policy dokümanı admin hesabının yalnız PAW'da kullanılacağını söyleyebilir; fakat başarılı logon verisi source workstation ve target host ile izlenmiyorsa bu kuralın uygulandığı gösterilemez.

4624 artifact'i tam da bu sınırlı kanıtı gösterir: belirli hostta başarılı bir RemoteInteractive logon kaydı. Olay, hesabın iş amacıyla kullanıldığını, cihazın gerçekten hardened olduğunu veya session boyunca yalnız onaylı eylem yapıldığını kanıtlamaz.

3. Defense & Detection / Savunma ve tespit

Telemetry scope

• Admin account envanterini kişiye, yönetebileceği plane'e ve izin verilen PAW cihazlarına bağla.
• Başarılı admin logon'larını source workstation, source IP, target host, LogonType ve TargetLogonId ile kaydet.
• Admin account'ın productivity endpoint, e-posta/web erişimli cihaz veya onaysız target üzerindeki logon'larını ayrı ihlal sınıfı olarak izle.
• Shared veya owner'ı belirsiz admin identity bırakma; break-glass hesapları ayrı kullanım ve inceleme akışına al.
• Açık yönetim session'larını ve account yetkilerini ayrı veri kümeleri olarak değerlendir.

Events and relevant fields

• 4624 başarılı logon olayında TargetUserName, TargetDomainName, TargetLogonId ve LogonType temel session bağlamını verir.
• LogonType 10 RemoteInteractive bağlantıyı gösterir; elevated token, yetki kullanımı veya PAW uyumluluğu sonucu değildir.
• TargetLogonId aynı hosttaki 4672 gibi ilgili session olaylarıyla korelasyon için kullanılabilir; hostlar arası global session ID değildir.
• WorkstationName ve IpAddress alanları source bağlamına katkı verir, ancak boş/yerel/proxy etkili değerler ortamda ayrıca değerlendirilmelidir.

Beklenen yol profili

Detection tek bir Event ID listesi değildir. Her admin identity için beklenen source PAW kümesi, target plane ve izin verilen logon type tanımlanır. 4624 bu profile bağlandığında anlam kazanır: aynı account'ın onaysız workstation veya target üzerindeki başarılı logon'u incelenebilir bir sapmadır.

Artifact'teki adm-tunahan, PAW-01'den ADM-JUMP-01'e LogonType 10 ile bağlanır. Bu yalnız formatı ve korelasyon alanlarını öğretir; gerçek allowlist, gerçek kullanıcı veya başarılı bir control sonucu değildir.

Account state ve session state ayrıdır

Bir admin hesabını disable etmek veya gruptan çıkarmak directory state'i değiştirir. Hangi target'larda hangi session'ların açık kaldığı ise ayrıca ölçülmelidir. İki veri kümesini birleştirmeden incident containment tamamlandı denemez.

Aynı nedenle yalnız session'ı kapatmak da kalıcı yetkiyi kaldırmaz. Least privilege, account entitlement ile aktif kullanım bağlamını ayrı kontroller olarak ele alır.

Detection logic · XPath

*[System[EventID=4624] and EventData[Data[@Name='TargetUserName']='adm-tunahan' and Data[@Name='LogonType']='10']]

Query assumptions

• Sorgu System ve EventData koşullarını aynı event node üzerinde birleştirir ve Security logundaki 4624 şemasına uygulanır.
• adm-tunahan sentetik örnek hesaptır; production account inventory ile değiştirilmelidir.
• PAW uyumluluğu ayrıca WorkstationName/IpAddress alanlarını cihaz envanteriyle korele ederek doğrulanmalıdır.

False positives

• Onaylı PAW'dan yapılan planlı Remote Desktop yönetimi beklenen eşleşmedir.
• Break-glass kullanımı incident kaydıyla yetkilendirilmiş olabilir.
• WorkstationName veya IP değeri source device'ı eksik ya da dolaylı gösterebilir.

Hardening

• Yüksek etkili rol için kişiye özgü ayrı admin account kullan; günlük productivity hesabına aynı yetkiyi verme.
• Admin account logon'unu yalnız onaylı PAW source device'ları ve yönetilecek plane'in onaylı target'larıyla sınırla.
• PAW üzerinde e-posta, genel web browsing ve gereksiz productivity tool'larını çalıştırma.
• Local admin, application allowlisting, disk encryption ve device security kontrollerini PAW profilinin parçası olarak yönet.
• Yönetim işi bittiğinde target session'ı kapat; aktif session envanteri ile directory account state'ini ayrı ayrı doğrula.

Örnekler üzerinde oku / Read the examples

<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event"><System><Provider Name="Microsoft-Windows-Security-Auditing" Guid="{54849625-5478-4994-A5BA-3E3B0328C30D}"/><EventID>4624</EventID><Version>2</Version><Level>0</Level><Task>12544</Task><Opcode>0</Opcode><Keywords>0x8020000000000000</Keywords><TimeCreated SystemTime="2026-10-01T08:14:23.0000000Z"/><EventRecordID>1402001</EventRecordID><Correlation/><Execution ProcessID="708" ThreadID="912"/><Channel>Security</Channel><Computer>ADM-JUMP-01.outreason.example</Computer><Security/></System><EventData><Data Name="SubjectUserSid">S-1-5-18</Data><Data Name="SubjectUserName">ADM-JUMP-01$</Data><Data Name="SubjectDomainName">OUTREASON</Data><Data Name="SubjectLogonId">0x3e7</Data><Data Name="TargetUserSid">S-1-5-21-111111111-222222222-333333333-2102</Data><Data Name="TargetUserName">adm-tunahan</Data><Data Name="TargetDomainName">OUTREASON</Data><Data Name="TargetLogonId">0x14a02</Data><Data Name="LogonType">10</Data><Data Name="LogonProcessName">User32</Data><Data Name="AuthenticationPackageName">Negotiate</Data><Data Name="WorkstationName">PAW-01</Data><Data Name="LogonGuid">{14020000-0000-0000-0000-000000000001}</Data><Data Name="TransmittedServices">-</Data><Data Name="LmPackageName">-</Data><Data Name="KeyLength">0</Data><Data Name="ProcessId">0x2c4</Data><Data Name="ProcessName">C:\Windows\System32\svchost.exe</Data><Data Name="IpAddress">192.0.2.41</Data><Data Name="IpPort">53314</Data><Data Name="ImpersonationLevel">%%1833</Data><Data Name="RestrictedAdminMode">-</Data><Data Name="TargetOutboundUserName">-</Data><Data Name="TargetOutboundDomainName">-</Data><Data Name="VirtualAccount">%%1843</Data><Data Name="TargetLinkedLogonId">0x0</Data><Data Name="ElevatedToken">%%1842</Data></EventData></Event>

İki yanlış kanı / Two reality checks

Sanılan: PAW, normal kurumsal laptop'a yeni bir isim vermek ve admin tools kurmaktır.

Gerçekte: PAW profili local administrative access ve productivity tools'u sınırlar; e-posta ve genel web browsing ayrı hesap ve workstation'a taşınır. Güvenlik değeri bu attack-surface ayrımından gelir.

Sanılan: 4624 LogonType 10 görülmesi oturumun PAW'dan, elevated ve güvenli olduğunu kanıtlar.

Gerçekte: LogonType 10 yalnız RemoteInteractive oturumu tanımlar. PAW uyumluluğu source device inventory ile, privilege bağlamı ilgili alan/olaylarla ve yetkilendirme iş kaydıyla ayrıca doğrulanır.

Kaynaklar / Sources

• Microsoft · Why are privileged access devices important
  Privileged Access Workstation security level: sensitive roles, restricted local admin/productivity tools, email/web browsing'in ayrılması, separate accounts and workstations.
• Microsoft · 4624(S) An account was successfully logged on
  Event Version 2 örneği; TargetUserName, TargetDomainName, TargetLogonId, WorkstationName ve IpAddress field descriptions; Logon Type tablosunda 10 RemoteInteractive.
• Microsoft · Access tokens
  Access token'ın logon sırasında oluşturulması ve user/group SID'leri ile session authorization context taşıması.
• Microsoft · Consuming Events (Windows Event Log)
  Windows Event Log XPath subset and selector rules: selectors must select event nodes; predicates can combine System and EventData conditions on the same event.