DC’nin dışındaki kritik bağımlılıklar: Hypervisor, yedekleme, PKI ve yönetim ajanları.

1. Core Mechanism / Temel mekanizma

Bir domain compromise veya kesinti senaryosunda ilk soru yalnız DC üzerindeki üyelikler değil, DC'yi yöneten ve geri yükleyebilen dış sistemlerin hangi kimlik yoluna dayandığıdır.

Arabirimler ve belirtimler

• Hypervisor management plane: DC VM'sine konsol, snapshot ve disk erişimi sağlayan ayrı yönetim alanı; guest içindeki AD ACL'leri bu düzlemi tek başına sınırlandırmaz.
• Backup control plane: backup server, repository ve restore operator rolleri; backup kopyasına erişim, AD içindeki normal file permission'dan farklı bir recovery yetkisidir.
• PKI: Enterprise CA, certificate template ve enrollment agent zinciri; yanlış template/özel anahtar koruması, paroladan bağımsız kimlik materyali üretebilir.
• Management agent: RMM/monitoring/patch agent hesabı ve servis kanalı; agent'ın çalıştığı host ile yönettiği hedef arasındaki yetki ayrı izlenmelidir.

Dört düzlem, dört sınır

Hypervisor, backup, PKI ve management agent aynı şeyi yapmaz; ortak yanları AD'nin dışındaki bir yönetim veya recovery yolunu temsil etmeleridir. Birinin admin rolü diğerinde otomatik admin anlamına gelmez.

Envanter satırı en az owner, authentication path, delegated role, protected asset ve bağımsız kanıt alanlarını taşımalıdır. Bu bir yetki iddiası değil, hangi sınırın ayrıca denetlenmesi gerektiğini görünür kılan bir modeldir.

Recovery yetkisi ile günlük yetkiyi ayır

Hypervisor konsolu, snapshot veya disk erişimi guest işletim sisteminin access check'inden ayrı bir yönetim yoluna sahip olabilir; bu nedenle iyi bir dosya ACL'i guest dışındaki VM storage erişimini kanıtlamaz. Backup repository ve restore yetkileri de günlük guest file ACL'lerinden ayrı bir recovery control plane'inde uygulanabilir. Ancak restore akışındaki kesin yetkilendirme noktası backup ürününe ve repository yapılandırmasına bağlıdır; her backup restore'un OS access check'inden önce çalıştığı varsayılmaz.

PKI tarafında certificate issuance ve private-key protection ayrı sorulardır; management agent tarafında da agent credential'ı ile insan admin hesabı aynı kimlik sayılmamalıdır.

Durum ve veri akışı

1. AD kimliği ve hedef varlıkları listele.
2. Hypervisor, backup, PKI ve agent için owner/authentication path/delegated role satırlarını doldur.
3. Her satırın bağımsız log, role assignment, template veya repository kanıtını belirle.
4. Bir control başarısızsa etkisini yalnız o boundary için yaz; laboratuvar sonucu veya otomatik containment iddiası çıkarma.

2. Exploitation / İstismar

Broken trust assumption

Saldırganın DC'ye doğrudan logon yapmasına gerek yoktur; dış yönetim veya recovery düzleminde yüksek etkili bir role ulaşması, guest içi AD kontrollerini baypas eden bir yol açabilir.

Technical prerequisites

• Dış düzlemin AD kimliğiyle veya AD'den türetilmiş credential/certificate ile bağlanması.
• Role assignment, repository veya template üzerinde gereğinden geniş yetki ya da ortak hesap bulunması.
• Boundary'nin bağımsız olarak loglanmaması veya restore/console işleminin owner tarafından doğrulanamaması.

Exploitation mechanism / İstismar mekanizması

Red analizi dört bağımlılığı tek “domain admin” etiketiyle birleştirmez: önce kimlik yolunu, sonra kontrol düzlemini, sonra kurtarma etkisini izler. Hypervisor snapshot/disk erişimi, backup restore, PKI issuance ve agent command yürütme farklı mekanizmalardır; kaynak bunların her birinin gerçek ortamda mevcut olduğunu kanıtlamıyorsa iddia sınırlandırılır.

Dışarıdan içeriye sıçrama

Bir management credential'ı ile guest admin olmak, hypervisor konsolu ile guest diskine erişmek ve backup repository'den restore etmek aynı saldırı değildir. Ortak hata, hepsini yalnız AD grup üyeliğiyle ölçmektir.

PKI ve agent için ayrı varsayım

Certificate template üzerindeki enrollment yetkisi, template'in subject/SAN ve private-key politikasından bağımsız okunamaz. Agent hesabı için de “servis hesabı” etiketi, hangi komutların hangi hedeflerde çalışabildiğini tek başına açıklamaz.

3. Defense & Detection / Savunma ve tespit

Telemetry scope

• Hypervisor console/snapshot/disk erişimini AD olaylarından ayrı, platform audit kaynağında izle.
• Backup role assignment, repository erişimi ve restore/delete işlemlerini ayrı owner ve zaman çizgisiyle korele et.
• CA template değişikliği, enrollment ve private-key kullanımını CA/PKI kayıtlarıyla; agent policy/command yürütmesini agent platform loglarıyla doğrula.
• Dış yönetim hesabını tiering, phishing-resistant MFA veya kısa ömürlü yetki gibi uygulanabilir control'larla sınırla; ürün/versiyon desteği doğrulanmadan zorunlu özellik varsayma.

Events and relevant fields

• 1102 örneğinde logu temizleyen hesabın Subject alanları UserData/LogFileCleared altındadır. Security kanalının temizlenmesi, hypervisor, backup, PKI veya agent’da hangi işlemin yapıldığını göstermez.
• AD olayları dış düzlemdeki console, restore, certificate issuance veya agent command kanıtının yerine geçmez.

Kanıtı doğru sistemde ara

1102 gibi bir AD olayı, dış control plane'in işlemini ispatlamaz. Platform audit, backup audit, CA kayıtları ve agent telemetry ayrı kaynaklardır; correlation yalnız ortak zaman/kimlik alanları varsa yapılmalıdır.

Kontrol sırası

Önce erişim envanteri ve owner, sonra güçlü kimlik doğrulama, sonra role/restore/template sınırı, en son alarm korelasyonu. Bu sıra görünmeyen bağımlılığı önce görünür kılar.

Detection logic · KQL

// AD-side log-clear adaylarını seçer; çalıştırılmadı. Dış platform korelasyonu bu sorguda yoktur.
SecurityEvent
| where EventID == 1102
| project TimeGenerated, Computer, SubjectUserName, SubjectLogonId

Query assumptions

• SecurityEvent tablosunda EventID, TimeGenerated, Computer, SubjectUserName ve SubjectLogonId alanları bulunduğu varsayılmıştır; gerçek workspace şeması doğrulanmalıdır.
• Bu örnek yalnız AD Security olaylarını seçer. Dış platform korelasyonu için kuruma özgü tablo/şema ile ortak kimlik ve zaman alanları ayrıca doğrulanmalıdır.
• 1102 tek başına dış bağımlılık, hypervisor/backup/PKI/agent işlemi veya compromise kanıtı değildir.

False positives

• Yetkili Security log bakım işlemi de 1102 üretebilir.
• Ayrı bir korelasyon sonradan eklenirse, platform saatleri ve kimlik alanları doğrulanmadan ilişkilendirilen kayıtlar yanıltıcı olabilir.

Hardening

• Hypervisor ve backup yönetimini ayrı admin tier ve ayrı MFA ile işlet; aynı domain admin hesabını ortak yönetim hesabı yapma.
• Repository ve restore rollerini minimum yetki, dual control ve immutable/offline kopya hedefleriyle tasarla; ürün desteğini doğrula.
• CA template/enrollment ve private-key korumasını ayrı review et; değişiklikleri owner onayı ve audit ile sınırla.
• Management agent credential'larını host/role bazında böl, komut kapsamını sınırla ve agent loglarını AD loglarından ayrı sakla.
• Recovery tabletop sırasında console, restore, CA ve agent yollarının hangilerinin AD kimliğine bağlı olduğunu kanıtlamadan “DC yedekten döner” sonucu çıkarma.

Örnekler üzerinde oku / Read the examples

<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event"><System><Provider Name="Microsoft-Windows-Eventlog" Guid="{fc65ddd8-d6ef-4962-83d5-6e5cfe9ce148}"/><EventID>1102</EventID><Version>0</Version><Level>4</Level><Task>104</Task><Opcode>0</Opcode><Keywords>0x4020000000000000</Keywords><TimeCreated SystemTime="2026-10-01T10:00:00.0000000Z"/><EventRecordID>12001</EventRecordID><Channel>Security</Channel><Computer>DC01.outreason.example</Computer><Security/></System><UserData><LogFileCleared xmlns="http://manifests.microsoft.com/win/2004/08/windows/eventlog"><SubjectUserSid>S-1-5-21-111-222-333-500</SubjectUserSid><SubjectUserName>backup-admin</SubjectUserName><SubjectDomainName>OUTREASON</SubjectDomainName><SubjectLogonId>0x4a21</SubjectLogonId></LogFileCleared></UserData></Event>

İki yanlış kanı / Two reality checks

Sanılan: DC'yi korumak için hypervisor ve backup adminlerini yalnız AD'deki DC security group'larına bakarak yönetmek yeterlidir.

Gerçekte: Bu düzlemler guest access check'inden ayrı privilege boundary'lerdir. Owner, authentication path, delegated role ve bağımsız audit kanıtı ayrı incelenmeden kapsam sonucu çıkarılamaz.

Sanılan: Enterprise CA veya management agent varsa AD'ye otomatik kalıcı backdoor vardır.

Gerçekte: Risk, template/enrollment/private-key veya agent command/credential kapsamı gibi somut konfigürasyona bağlıdır; kaynakla sınırlandırılmayan kalıcı backdoor iddiası kurulamaz.

Kaynaklar / Sources

• Microsoft Learn · Hyper-V security best practices
  Hyper-V yönetim ve host güvenliği; host/guest sınırının ayrı değerlendirilmesi.
• Microsoft Learn · Windows Server Backup Feature Overview (Windows Server 2012 / 2012 R2)
  Feature description / Practical applications: full server, volume, system state ve file/folder backup ile recovery kapsamı. Tarihsel özellik özeti; gerçek ortam rol ataması veya güncel sürüm testi değildir.
• Microsoft Learn · Securing Public Key Infrastructure (PKI) (Windows Server 2008–2012 R2)
  CA hierarchy, technical controls, CA keys/critical artifacts, monitoring ve compromise response bölümleri. Tarihsel PKI rehberi; bu derste belirli template yanlış yapılandırmasının kanıtı olarak kullanılmaz.
• Microsoft Learn · Windows event 1102
  Event XML Version0: Microsoft-Windows-Eventlog, Level4/Task104/Keywords0x4020000000000000; UserData/LogFileCleared eventlog namespace and Subject fields; no external-platform attribution.