Telemetri nerede oluşur? İstemci, sunucu, DC, audit policy ve SACL ilişkisi.

1. Core Mechanism / Temel mekanizma

Telemetri tasarımı, log toplamadan önce gelir. Hangi sorunun hangi makinede cevabı olduğunu bilmeden kurulan bir toplama mimarisi, hacmi büyük ama kanıt zinciri kopuk bir arşiv üretir. Windows denetim modeli üç kademeden oluşur: önce denetim politikası alt kategorisi bir olay ailesini açar, sonra nesne erişimi gibi ailelerde nesnenin SACL'i hangi erişimlerin kaydedileceğini belirler, en sonunda olay o işlemi gerçekleştiren makinenin Security kanalında yazılır. Üç kademeden biri eksikse kayıt oluşmaz ve bu eksiklik hata olarak değil sessizlik olarak görünür. Bu yüzden 'logda yok' ifadesi, 'olmadı' ifadesinin eş anlamlısı değildir.

Arabirimler ve belirtimler

• Denetim politikası alt kategorileri: Advanced Audit Policy Configuration, denetimi dokuz ana kategori altında ayrıntılı alt kategorilere böler. Olay aileleri bu alt kategorilere bağlıdır; kategori düzeyinde düşünmek hangi olayın açıldığını belirsiz bırakır.
• Alt kategori önceliği: 'Audit: Force audit policy subcategory settings to override audit policy category settings' ayarı etkin olduğunda alt kategori ayarları eski kategori tabanlı ayarların yerine geçer. Bu ayar beklenmedik biçimde kapalıysa, uygulanmış sanılan ayrıntılı politika etkisiz kalabilir.
• SACL: Nesne erişimi denetimi iki koşulludur. Alt kategori etkin olsa bile, nesnenin system access control list'inde ilgili principal ve erişim türü için bir audit ACE yoksa olay üretilmez.
• Domain controller'a özgü aileler: Kerberos kimlik doğrulama hizmeti ve servis bileti olayları yalnız domain controller'larda üretilir; bu olaylar istemcide aranmaz.
• Dizin değişikliği ailesi: Audit Directory Service Changes yalnız domain controller'larda geçerlidir ve ilgili nesne ya da container üzerinde uygun SACL gerektirir; kapsamı modify, create, undelete, move ve delete işlemleridir.
• Denetim ayarının değiştiğini gösteren olaylar farklı kapsam taşır: 4719 sistem audit policy değişikliğini; 4907 ise file/registry gibi AD dışı bir nesnenin SACL değişikliğini gösterir ve AD nesneleri için üretilmez. AD DS nesne değişiklikleri, Audit Directory Service Changes ve o attribute için SACL’de ilgili attribute için uygun Write Property audit ACE kapsamdaysa 5136 ile görülebilir. Bu kayıtlar uygulanmış policy'yi veya tüm nesnelerdeki SACL kapsamını tek başına kanıtlamaz.

Olay, işlemi yapan makinede doğar

Domain ortamında bir kullanıcı bir dosya sunucusuna bağlandığında birden çok makine iş yapar. Kerberos bileti domain controller'dan alınır, oturum dosya sunucusunda oluşturulur, kullanıcının iş istasyonu ise isteği başlatan taraftır. Her makine kendi yaptığı işi kaydeder. Bu nedenle 'kullanıcı hangi sunucuya erişti?' sorusunun cevabı DC'de değil, erişilen sunucudadır; 'kullanıcı hangi servis için bilet istedi?' sorusunun cevabı ise DC'dedir.

Bu ayrım, Kerberos olay ailelerinin yalnız domain controller'larda üretilmesiyle pekişir. Bir iş istasyonunun Security kanalında bilet talebi aramak sonuçsuz kalır; bu sonuçsuzluk bir arıza değil, mimarinin doğal sonucudur. Aynı şekilde dizin nesnesi değişiklikleri, değişikliği işleyen domain controller'da kaydedilir.

Pratik sonuç şudur: bir soruşturmada önce soru, sonra sorunun cevabını üretmesi beklenen makine, sonra o makinede ilgili alt kategorinin açık olup olmadığı belirlenir. Bu sıra atlandığında, toplanan log hacmi büyüse de aranan kanıt bulunamaz.

İki anahtarlı kapı: politika ve SACL

Nesne erişimi denetimi tek anahtarla açılmaz. Önce ilgili alt kategori etkinleştirilir; bu, işletim sistemine o olay ailesini üretme izni verir. Ardından denetlenmek istenen nesnenin SACL'ine, hangi principal'ın hangi erişimi için kayıt isteneceğini belirten audit ACE eklenir. İki koşuldan biri yoksa olay oluşmaz.

Bu iki anahtarlı yapı dizin tarafında da geçerlidir. Audit Directory Service Changes alt kategorisi etkinleştirildiğinde bile, ilgili nesnenin ya da üst container'ın SACL'inde uygun audit ACE bulunmuyorsa değişiklik olayları üretilmez. Microsoft bu alt kategorinin yüksek hacim üretebildiğini belirtir; bu nedenle SACL kapsamı dar ve bilinçli seçilir.

Kapsam seçimi bir denge işidir. Çok geniş bir SACL, DC'lerde gereksiz yük ve gürültü üretir. Çok dar bir SACL ise aranan değişikliğin hiç kaydedilmemesine yol açar. Doğru yaklaşım, kritik container ve nesne sınıflarını önceden belirleyip SACL'i bu kapsamda tutmak ve kapsam kararını yazılı bırakmaktır.

Sessizliğin kaynağını ayırt etmek

Bir olayın bulunamamasının en az dört farklı nedeni vardır: işlem hiç olmamıştır, yanlış makineye bakılmıştır, ilgili alt kategori kapalıdır veya nesnenin SACL’i o erişimi kapsamıyordur. Bu ihtimalleri ayırmadan değişiklik yapılmadığı sonucuna varamayız. SACL değişikliği için de event kapsamı önemlidir: 4907 AD nesneleri için üretilmez. 5136 ise uygun audit alt kategorisi ve SACL’de ilgili attribute için Write Property audit ACE bulunduğunda AD attribute değişikliğini gösterebilir; SACL’in kendisinin her değişimini izlediğinin garantisi değildir. Audit ACE kaldırılırsa o girdinin sağladığı event kapsamı da kaybolabilir.

Bu nedenle telemetri envanteri, toplanan kaynakların listesi değil, hangi sorunun hangi koşullarda cevaplanabildiğinin haritasıdır. Her kritik soru için kaynak makine, gerekli alt kategori ve gerekiyorsa SACL kapsamı aynı satırda yazılır. Böyle bir harita, olay anında dakikalar yerine saniyeler alan bir yön tayini sağlar.

Burada Write Property audit ACE, attribute’a yazma işleminin hangi koşullarda kaydedileceğini belirleyen SACL girdisidir; yazma izni veren DACL ACE’si değildir. SACL’in kendisine erişmek veya onu değiştirmek ayrı bir konudur: Windows ACCESS_SYSTEM_SECURITY hakkını ve ilgili SeSecurityPrivilege koşullarını değerlendirir. Bu ayrım, audit kaydının bulunmamasını doğrudan “yazma izni yok” diye yorumlamayı önler.

Durum ve veri akışı

1. Soru belirlenir: oturum mu, bilet mi, dizin değişikliği mi? Soru, olayın hangi makinede doğmasının beklendiğini belirler.
2. Hedef makinede ilgili denetim alt kategorisinin etkin olup olmadığı doğrulanır; alt kategori ayarlarının eski kategori ayarlarının yerine geçmesini sağlayan politika ayarı da kontrol edilir.
3. Nesne erişimi veya dizin değişikliği söz konusuysa, hedef nesnenin ya da container'ın SACL'i incelenir; kapsanan principal ve erişim türleri okunur.
4. İşlem gerçekleştiğinde olay, işlemi yapan makinenin Security kanalına yazılır; Kerberos authentication-service/ticket ve dizin değişikliği aileleri için bu makine domain controller'dır.
5. Sistem audit policy değişiklikleri için 4719’u incele. 4907, file/registry gibi AD dışı nesnelerdeki SACL değişikliklerini kapsar; AD nesneleri için üretilmez. AD DS attribute değişikliklerinde 5136, ilgili alt kategoriye ve nesnenin SACL’indeki uygun Write Property audit ACE’ye bağlıdır. Effective policy ve nesnenin denetim kapsamını ayrıca doğrula; tek bir event tam kapsamı kanıtlamaz.

2. Exploitation / İstismar

Broken trust assumption

“Bütün domain controller'ların ve sunucuların Security loglarını merkezi olarak topluyoruz; dolayısıyla ortamda olan her şeyi görebiliriz” varsayımı. Buradan da bir incelemede aranan kaydın bulunamamasının, o işlemin hiç gerçekleşmediği anlamına geldiği sonucuna varılır.

Technical prerequisites

• Denetim politikası kategori düzeyinde tanımlanmıştır; hangi alt kategorilerin gerçekten etkin olduğu makine bazında doğrulanmamıştır.
• Nesne erişimi ve dizin değişikliği denetimi 'açık' kabul edilir, ama kritik container ve nesnelerin SACL kapsamı belgelenmemiştir.
• Toplama mimarisi kaynak makineleri listeler; hangi sorunun hangi makinede cevaplanabildiğine dair bir eşleme yoktur.
• Denetim ayarı değişikliklerini gösteren olaylar izlenmez; kapsam daralması fark edilmez.
• Politika çakışmaları ve alt kategori önceliği ayarının durumu düzenli olarak kontrol edilmez.

Exploitation mechanism / İstismar mekanizması

Bu varsayımın ürettiği hata, yokluğu kanıta dönüştürmektir. Windows denetim modelinde kayıt üretimi koşulludur: alt kategori kapalıysa olay hiç doğmaz, nesne erişimi ailelerinde SACL kapsamı dışında kalan bir erişim için de olay doğmaz. Her iki durumda da sistem bir hata vermez; yalnızca kayıt yoktur. Merkezi toplama bu sessizliği gizler, çünkü toplayıcı yalnız üretilmiş olayları alır ve üretilmemiş olayın eksikliğini raporlayamaz. İkinci hata kaynağı yanlış makineye bakmaktır: Kerberos bilet aileleri yalnız domain controller'larda, oturum oluşumu ise erişilen makinede kaydedilir. Üçüncü hata kaynağı ise kapsamın zamanla değişmesidir; bir nesnenin SACL'i daraltıldığında o nesneye ilişkin kayıt akışı sessizce durur. Bu ders bir saldırı yöntemi tarif etmez; anlatılan şey, telemetri kapsamının her inceleme öncesinde bir varsayım değil doğrulanmış bir girdi olması gerektiğidir.

Yokluk, kanıt değildir

Bir inceleme raporunda en kolay yazılan ve en kırılgan cümle, 'ilgili kayıt bulunamadı, dolayısıyla böyle bir işlem gerçekleşmedi' cümlesidir. Bu cümlenin geçerli olabilmesi için üç şeyin ayrıca doğrulanmış olması gerekir: doğru makineye bakıldığı, ilgili alt kategorinin o dönemde etkin olduğu ve nesne erişimi söz konusuysa SACL'in o erişimi kapsadığı.

Üçü doğrulanmadan yazılan cümle, aslında telemetri kapsamının bir ifadesidir, ortamın davranışının değil. Olgun bir inceleme süreci bu ayrımı rapor diline taşır: 'kapsanan kaynaklarda kayıt görülmedi' ile 'işlem gerçekleşmedi' farklı güç derecesine sahip iki iddiadır.

Kapsam zamanla kayar

Telemetri kapsamı statik değildir. Politika nesneleri değişir, yeni sunucular farklı temel yapılandırmalarla gelir, kritik dizin container'larının güvenlik tanımlayıcıları güncellenir. Bu değişimlerin bir kısmı kapsamı genişletir, bir kısmı daraltır ve daralma genellikle sessizdir.

Denetim kapsamı değişikliği, izlediği kaydın kendisini etkileyebilir. 4719 sistem audit policy değişikliklerini bildirir; 4907 file/registry gibi AD dışı nesneler için SACL değişikliklerini bildirir, AD nesneleri için değil. AD DS tarafında 5136 yalnız alt kategori ve SACL’de ilgili attribute için Write Property audit ACE koşulları sağlandığında görünür. Bu nedenle olay izleme, makinede policy doğrulamasının ve güvenlik tanımlayıcılarının doğrudan okunmasının yerine geçmez.

Hacim, görünürlük değildir

Yüksek log hacmi çoğu zaman iyi görünürlük sanılır. Oysa hacmin büyük bölümü rutin ailelerden gelir ve kritik soruların cevabı bu ailelerde bulunmaz. Dizin değişikliği denetimi gibi aileler ise yüksek hacim üretebildiği için dikkatle kapsamlandırılır.

Doğru ölçüt hacim değil, soru kapsamıdır: kuruluşun cevaplaması gereken belirli soruların kaçı mevcut kapsamla cevaplanabiliyor? Bu ölçüt, toplama mimarisini genişletme kararlarını da önceliklendirir.

3. Defense & Detection / Savunma ve tespit

Telemetry scope

• Her kritik soru için bir satır tut: soru, cevabı üretmesi beklenen makine rolü, gerekli denetim alt kategorisi ve gerekiyorsa SACL kapsamı.
• Denetim alt kategorisi yapılandırmasını makine rolü bazında düzenli olarak raporla; kategori düzeyindeki beyanla yetinme.
• Alt kategori ayarlarının eski kategori ayarlarının yerine geçmesini sağlayan politika ayarının durumunu ayrıca doğrula.
• Kritik dizin container'ları için SACL kapsamını belgele; hangi principal ve hangi erişim türlerinin denetlendiği yazılı olsun.
• Sistem audit policy değişiklikleri için 4719'u; AD dışı file/registry nesnelerindeki SACL değişiklikleri için 4907'yi ayrı kapsamlarla izle. AD object değişikliklerinde 5136 için alt kategori ve SACL’de ilgili attribute için Write Property audit ACE koşulunu doğrula; bu event'leri SACL'in her zaman izlenebildiğinin kanıtı sayma.
• Domain controller'lara özgü olay ailelerini yalnız DC kaynaklarından bekle; istemci kaynaklarında aramayı envanter notuna yaz.

Events and relevant fields

• Bir alt kategorinin etkin olması, ilgili bütün olayların üretileceği anlamına gelmez; nesne erişimi ailelerinde SACL ikinci koşuldur.
• Dizin değişikliği olaylarının yokluğu, dizinde değişiklik olmadığını kanıtlamaz; SACL kapsamı dışındaki değişiklikler kaydedilmez.
• İstemci makinesinde Kerberos bilet olayı bulunmaması bir yapılandırma hatası değildir; bu aileler domain controller'larda üretilir.
• Event 4719 sistem audit policy değişikliğini gösterir; yetkili policy deployment'ı da üretebilir. 4907 AD dışı nesne SACL'i içindir ve AD nesnelerinde üretilmez. Her iki kayıt da değişikliğin yetkili olup olmadığını veya mevcut kapsamın tamamını tek başına kanıtlamaz.
• Merkezi toplayıcıda bir makinenin görünmemesi, o makinede olay üretilmediği anlamına gelmez; iletim katmanı ayrı bir arıza kaynağıdır.

Telemetri envanterini soruyla başlat

Çoğu kuruluş telemetri envanterini kaynak listesi olarak tutar: hangi sunuculardan log alınıyor, hangi kanallar toplanıyor. Bu liste gereklidir ama yeterli değildir. Operasyonel değer, listenin soru bazlı bir haritaya dönüşmesiyle ortaya çıkar.

Harita şu biçimdedir: 'Bir hesabın belirli bir sunucuda oturum açıp açmadığını nasıl doğrularım?' sorusunun karşısında kaynak makine rolü, gerekli alt kategori ve saklama süresi yazar. Bu satır doldurulamıyorsa, o soru bugün cevaplanamıyor demektir ve bu bir risk kaydıdır.

Kapsamı kanıtla, varsayma

Denetim yapılandırmasının beyan edilen hali ile makinede uygulanan hali ayrışabilir. Politika çakışmaları, alt kategori önceliği ayarının durumu ve yerel yapılandırma farkları bu ayrışmanın tipik nedenleridir. Bu yüzden kapsam, politika belgesinden değil makineden okunmalıdır.

Aynı disiplin SACL için de geçerlidir. Kritik container'ların güvenlik tanımlayıcıları periyodik olarak okunup beklenen audit ACE'lerin yerinde olduğu doğrulanır. Bu doğrulama, bir incelemede 'kayıt yok' cümlesini anlamlı kılan tek dayanaktır.

Detection logic · KQL

// File/registry gibi AD dışı nesnelerdeki SACL değişiklikleri; çalıştırılmadı. AD object SACL değişikliklerini kapsamaz.
SecurityEvent
| where TimeGenerated > ago(30d)
| where EventID == 4907
| project TimeGenerated, Computer, Account, ObjectName, ObjectType
| order by TimeGenerated desc

Query assumptions

• Bu KQL biçim örneğidir ve çalıştırılmamıştır; SecurityEvent tablosu ve Account/ObjectName/ObjectType alanlarının gerçek workspace'te doğrulanması gerekir.
• Event 4907 file veya registry gibi AD dışı nesnelerin SACL değişikliklerini gösterir; Microsoft bu olayın Active Directory nesneleri için üretilmediğini belirtir.
• Bu sorgu yalnız toplayıcıya ulaşan 4907 kayıtlarını kapsar. AD DS object SACL değişikliği veya toplanmayan makinelerdeki kapsam hakkında sonuç vermez.

False positives

• Planlı file/registry SACL sertleştirmesi 4907 kayıtları üretebilir; bunlar yetkili change kayıtlarıyla eşleştirilmelidir.
• Event 4907 görülmemesi, AD object SACL'lerinin değişmediğini veya kapsamın tam olduğunu göstermez.

Hardening

• Denetim politikasını alt kategori düzeyinde tanımla ve uygulanan değerleri makine üzerinde doğrula; beyan ile uygulanan değer ayrı şeylerdir.
• Kritik dizin container'ları için SACL kapsamını dar ve amaca yönelik tut; kapsamı genişletmeden önce hacim etkisini değerlendir.
• Telemetri envanterini soru bazlı yaz; kaynak listesi tek başına görünürlük kanıtı değildir.
• Denetim ayarı değişikliklerini yetkili değişiklik kayıtlarıyla eşleştir; eşleşmeyen değişiklikler incelenir.
• Domain controller log hacmini ayrı planla; dizin değişikliği denetimi yüksek hacim üretebilir ve saklama süresini etkiler.
• Kapsam değişikliklerini sürüm kontrollü bir belgede izle; 'ne zamandan beri görüyoruz?' sorusunun cevabı her inceleme için gereklidir.

Örnekler üzerinde oku / Read the examples

O:DAG:DAD:AI(A;CI;RPLCLORC;;;AU)(A;CI;RPWPCRCCDCLCLORCWOWDSDDTSW;;;DA)S:AI(AU;CISA;WPWDWO;;;WD)(AU;CIFA;WP;;;S-1-5-21-4071847660-1138144873-2902452632-1174)

İki yanlış kanı / Two reality checks

Sanılan: Denetim politikası açık olduğu için ilgili bütün işlemler Security kanalında kaydedilir.

Gerçekte: Hayır. Denetim alt kategorisinin etkin olması gerekli koşuldur ama nesne erişimi ve dizin değişikliği ailelerinde tek koşul değildir: ilgili nesnenin ya da container'ın SACL'inde uygun bir audit ACE bulunmazsa olay üretilmez. Ayrıca alt kategori ayarlarının eski kategori tabanlı ayarların yerine geçmesini sağlayan politika ayarı beklenen durumda değilse, uygulanmış sanılan ayrıntılı yapılandırma etkisiz kalabilir. Her iki durumda da sistem hata vermez; yalnızca kayıt oluşmaz.

Sanılan: Bütün logları merkezde topladığımıza göre, aradığım olayı herhangi bir kaynakta bulabilirim.

Gerçekte: Hayır. Olay, işlemi gerçekleştiren makinede doğar. Kerberos kimlik doğrulama hizmeti ve servis bileti olayları yalnız domain controller'larda üretilir; dizin nesnesi değişiklikleri de değişikliği işleyen domain controller'da kaydedilir; oturum oluşumu ise erişilen makinede görünür. Merkezi toplama bu kaynak ayrımını ortadan kaldırmaz, yalnız kayıtları bir araya getirir. Bu nedenle 'kayıt yok' sonucu, önce doğru kaynağa bakıldığının ve kapsamın o dönemde etkin olduğunun doğrulanmasıyla anlam kazanır.

Kaynaklar / Sources

• Microsoft · Advanced security audit policy settings
  Denetimin ana kategoriler altında alt kategorilere bölünmesi ve olay ailelerinin alt kategorilere bağlı olması.
• Microsoft · Audit: Force audit policy subcategory settings to override audit policy category settings
  Alt kategori ayarlarının kategori tabanlı ayarların yerine geçmesini sağlayan politika ayarının tanımı ve etkisi.
• Microsoft · Audit Directory Service Changes
  Alt kategorinin yalnız domain controller'larda geçerli olması, SACL koşulu, modify/create/undelete/move/delete kapsamı ve yüksek hacim uyarısı.
• Microsoft · 4907(S) Auditing settings on object were changed
  SACL change for objects such as files/registry keys; Microsoft explicitly states Event 4907 does not generate for Active Directory objects.
• Microsoft · 4768(S, F) A Kerberos authentication ticket (TGT) was requested
  Olayın yalnız domain controller'larda üretilmesi ve Audit Kerberos Authentication Service alt kategorisine bağlı olması.
• Microsoft · 4624(S) An account was successfully logged on
  Olayın erişilen bilgisayarda üretilmesi ve logon type ile alan açıklamaları.
• Microsoft · 4719(S) System audit policy was changed
  Bilgisayarın audit policy değişikliği; Category/Subcategory, SubcategoryGuid ve değişiklik alanları.
• Microsoft · 5136(S) A directory service object was modified
  AD DS object change event requires an appropriate SACL’de ilgili attribute için Write Property audit ACE ACE; Event 4907 does not generate for AD objects.
• Microsoft · SACL Access Right
  ACCESS_SYSTEM_SECURITY and enabled SE_SECURITY_NAME privilege; access to a SACL is not controlled by DACL entries.