Arıza mı, yanlış yapılandırma mı, güvenlik olayı mı? DNS, zaman ve replikasyon belirtileri.

1. Core Mechanism / Temel mekanizma

Bu ders semptomdan kök nedene atlamaz. İstemcinin doğru DC'yi bulup bulamadığı, tarafların zaman kaynakları ve DC'ler arasındaki naming context replikasyonu ayrı kanıt kümeleriyle incelenir; tek bir ping, logon başarısı veya yeşil dashboard üçünü birden doğrulamaz.

Arabirimler ve belirtimler

• DNS/DC Locator: istemcinin domain ve site için uygun DC service record'larını çözmesi.
• time hierarchy: domain üyelerinin AD DS hiyerarşisindeki güvenilir kaynaktan örnek alması ve local clock'u disipline etmesi.
• replication partner: belirli naming context için inbound/outbound değişim ilişkisinin karşı ucu.
• freshness: gözlenen directory state'in hangi DC, naming context ve zaman anına ait olduğu.
• diagnostic scope: dcdiag testinin enterprise, site veya tek server hedefi ve test ettiği işlev.
• failure boundary: discovery, authentication-time, transport veya directory convergence katmanlarından hangisinin kanıtla daraltıldığı.

Aynı kullanıcı şikâyeti üç ayrı zinciri saklayabilir

Bir istemcinin logon olamaması önce DNS/DC Locator yüzeyinde ele alınır: kullanılan resolver, SRV yanıtı, seçilen site ve ulaşılan DC kaydedilir. IP ile erişim olması, service record çözümünün veya doğru DC seçiminin çalıştığını göstermez.

DC bulunduğu hâlde Kerberos veya korelasyon sorunları varsa zaman kaynağı ve offset ayrı incelenir. W32Time bir forest içinde önceden belirlenmiş hiyerarşi kullanır; tek bir cihazın duvar saati doğru görünse bile aldığı source ve ölçüm zamanı bilinmeden zincir doğrulanmış sayılmaz.

Replikasyon tanısı DC ve naming context'e bağlıdır

Bir değişikliğin DC-A'da görünmesi, DC-B'ye ulaştığını kanıtlamaz. Partner, naming context, son başarılı inbound replication zamanı ve hata durumu birlikte okunur. Event 2042 gibi koruma olayları, inbound replication'ın tombstone lifetime aşımı nedeniyle durdurulduğu özel bir sınırı gösterir; genel DNS arızası etiketi değildir.

dcdiag farklı functional area testleri çalıştırır. Connectivity testi DSA ve DNS registration/reachability için LDAP ve RPC kullanır; Advertising testi DC Locator'ın beklenen rolleri bulmasını sınar. Bir testin geçmesi, başka testin kapsadığı portu veya runtime davranışını otomatik doğrulamaz.

Durum ve veri akışı

1. Şikâyetin istemci, DC, site, resolver ve UTC zaman penceresini sabitle.
2. DNS/DC Locator zincirinde SRV resolution ile seçilen DC'yi kaydet.
3. Her taraf için time source, offset ve ölçüm anını ayrı kanıtla.
4. Etkilenen naming context ve partner yönünde replication freshness/error durumunu incele.
5. Bulguyu DNS, time, transport veya replication boundary olarak daralt; karışık kanıt varsa birden çok hipotezi açık tut.

2. Exploitation / İstismar

Broken trust assumption

Bir saldırgan veya hatalı değişiklik DNS kaydı, time source ya da replication sağlığını etkileyerek benzer kullanıcı belirtileri üretmiştir; ders kasıt sonucunu semptomdan çıkarmayı reddeder.

Technical prerequisites

• Etkilenen istemci ve DC'lerin hangi resolver ve time source'u kullandığı aynı zaman penceresinde toplanmıştır.
• Replication iddiası belirli partner ve naming context ile sınırlandırılmıştır.

Exploitation mechanism / İstismar mekanizması

Yanlış teşhis, güvenlik olayını bakım arızası diye kapatabilir veya sıradan bir stale replica'yı compromise diye büyütebilir. Ayrım, niyet tahmininden değil bağımlılık zincirindeki ilk kanıtlı kopuştan yapılır.

Semptom sınıflandırması attribution değildir

Bozuk SRV kaydı, yanlış DNS client ayarı ve kasıtlı name-resolution manipülasyonu aynı discovery failure'ı üretebilir. Time drift de sanallaştırma, upstream kaynak veya yetkisiz configuration change kaynaklı olabilir.

Bu yüzden tanı kaydı hem teknik boundary'yi hem değişiklik provenance'ını taşır; yalnız hata kodundan 'saldırı' ya da 'operasyonel arıza' sonucu çıkarmaz.

3. Defense & Detection / Savunma ve tespit

Telemetry scope

• Client DNS ayarı, SRV yanıtı, seçilen DC ve site bilgisini aynı case zaman çizelgesinde sakla.
• Time source/offset ölçümünü cihaz, UTC toplama zamanı ve kullanılan yöntemle etiketle.
• Replication kanıtını source DC, destination DC, naming context, direction ve last-success alanlarıyla sınırla.
• dcdiag sonucunda çalıştırılan test adını ve scope directive'ini koru; özet PASS/FAIL tek başına yeterli değildir.

Events and relevant fields

• 2042, uzun süre replikasyon yapmamış bir DC'de inbound replication korumasına ilişkin özel bir olaydır; tek başına nedenin DNS, saldırı veya kalıcı veri kaybı olduğunu söylemez.
• Event yokluğu audit/log retention ve yanlış DC sorgusu dışlanmadan sağlık kanıtı değildir.

Kanıt matrisi kök nedeni daraltır

Sentetik 2042 envelope'u yalnız event identity, kanal, DC ve zamanı taşır. EventData yeniden kurulmadığı için olmayan alanlardan hata metni veya partner adı türetilmez.

Bu envelope DNS ve time ölçümlerinin yerine geçmez; tanı tablosundaki replication-protection satırını dolduran sınırlı bir artifact'tir.

Detection logic · XPath

*[System[(EventID=2042)]]

Query assumptions

• Sorgu Directory Service logunda 2042 adaylarını seçmek içindir; ilgili DC ve log retention kapsamı ayrıca doğrulanır.
• Olay, replication protection boundary'sini gösterir; otomatik repair kararı veya root-cause sınıflaması değildir.

False positives

• İzolasyondan dönen veya uzun süre kapalı kalan bir DC aynı koruma olayını kasıt olmadan üretebilir.
• Tek DC'deki 2042 forest genelindeki tüm naming context'lerin aynı durumda olduğunu göstermez.

Hardening

• AD-integrated DNS ve time hierarchy için değişiklik sahipliği, rollback ve bağımsız izleme tanımla.
• Replication freshness'i partner ve naming context bazında izle; yalnız servis up/down metriğine güvenme.
• Uzun süre offline kalan DC'leri doğrudan yeniden bağlamak yerine desteklenen recovery/decommission karar ağacına al.

Örnekler üzerinde oku / Read the examples

<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event"><System><Provider Name="Microsoft-Windows-ActiveDirectory_DomainService"/><EventID>2042</EventID><Version>0</Version><Level>2</Level><TimeCreated SystemTime="2026-10-01T10:03:00.0000000Z"/><EventRecordID>1503001</EventRecordID><Channel>Directory Service</Channel><Computer>dc03.outreason.example</Computer><Security/></System></Event>

İki yanlış kanı / Two reality checks

Sanılan: DC'ye ping atılabiliyorsa DNS, Kerberos zamanı ve replikasyon sağlıklıdır.

Gerçekte: Ping yalnız sınırlı network reachability sinyalidir; DC Locator, time source/offset ve naming-context replikasyonu ayrı doğrulanır.

Sanılan: Bir replikasyon hatası görülünce tüm forest bozulmuştur.

Gerçekte: Replication state yön, partner ve naming context'e bağlıdır; kapsam bu eksenlerde ölçülmeden forest-wide sonuç yazılmaz.

Kaynaklar / Sources

• Microsoft · dcdiag
  Current descriptions of Connectivity and Advertising; test scopes differ and neither result alone validates every runtime authentication path.
• Microsoft · How the Windows Time Service Works
  AD DS forest time hierarchy, time samples and clock discipline.
• Microsoft · Active Directory replication Event ID 2042
  Inbound replication protection after the configured tombstone-lifetime threshold; event identity alone does not establish DNS cause or malicious intent.
• Microsoft · Locating Active Directory Domain Controllers in Windows and Windows Server
  DNS/SRV-based DC discovery, site selection, LDAP availability checks, and locator caching.
• Microsoft · Troubleshooting Active Directory Replication Problems
  repadmin /showrepl partner, naming-context, last-success, and last-failure information.