Yapılandırma ile fiilî davranışı karşılaştırmak: Kanıt kalitesi ve yanlış pozitifler.

1. Core Mechanism / Temel mekanizma

Bu derste ayardan sonuca giden yolu izliyoruz. Değer hangi DC’den okundu, ne zaman toplandı, hangi hedefte uygulandı? Configuration snapshot ile runtime gözlemini ayrı tut; her kanıtı kaynağı, zamanı ve kapsamıyla birlikte değerlendir.

Arabirimler ve belirtimler

• Configured state: directory, registry, GPO veya servis ayarında yazılı değer.
• Effective state: scope, precedence, inheritance ve yerel koşullar değerlendirildikten sonra hedefte geçerli olan ayar.
• Observed behavior: belirli principal ve hedef için, belirli bir zaman aralığında gözlenen işlem.
• Telemetry coverage: audit policy, SACL, collector, retention ve sorgu kapsamının görmeye izin verdiği işlemler.
• Provenance: kaydın hangi sistemden, ne zaman ve hangi yöntemle toplandığı.
• Confidence: doğrudan kanıtı, korelasyonu ve eksik bilgiyi ayırarak varılan sonucun ne kadar güçlü olduğunu belirtmek.

Ayar yazıldı; hedefte ne oldu?

Bir attribute yazıldığında directory’deki değer değişebilir. Ancak başka bir DC’nin aynı değere yakınsaması, GPO kapsamının değerlendirilmesi, token’ın yenilenmesi veya servisin ayarı yeniden okuması ayrı adımlardır. Hangi adımların gerektiği incelenen ayara bağlıdır.

5136, kapsama giren bir directory değişikliğinde AttributeLDAPDisplayName ve AttributeValue alanlarını gösterebilir. Hedef istemcinin değeri aldığını veya davranışının değiştiğini bu event’ten çıkaramayız; hedefte ayrı gözlem gerekir.

Çok kayıt, bağımsız doğrulama demek değildir

Kanıtın yanında source identity, UTC zamanı, nesne kimliği, toplama yöntemi ve bilinen eksikler bulunmalı. Aynı Event ID’den çok sayıda kayıt gelmesi tek başına bağımsız doğrulama değildir; hepsi aynı toplama sorunundan etkilenebilir.

Bir uyarıyı değerlendirmek, yalnız “zararlı mı, zararsız mı?” diye sınıflandırmak değildir. Sorgu beklenenden geniş bir aday kümesi seçmiş olabilir; onaylı değişiklik, eski configuration snapshot veya eksik bağlam farklı açıklamalara yol açabilir.

Durum ve veri akışı

1. İstenen ayarı ve değişikliğin kaydını sakla.
2. Bu ayarın hedefe ulaşması ve uygulanması için gereken adımları belirle.
3. Belirli principal ve hedef için effective state’i ayrı bir gözlemle kontrol et.
4. Runtime davranışını ve kullanıcı etkisini aynı zaman aralığında gözle.
5. Sonuca ulaşırken eksik kayıtları ve alternatif açıklamaları belirt.

2. Exploitation / İstismar

Broken trust assumption

Şüpheli veya hatalı bir işlem ayarı değiştirmiş olabilir. Tek değişiklik kaydı, etkin kötüye kullanımı veya kullanıcıya etkisini göstermez.

Technical prerequisites

• Değişiklik kaydındaki nesne, attribute, subject ve correlation alanları kaynak bilgisiyle korunmuştur.
• İddia edilen davranış için gerekli replication, policy değerlendirmesi ve runtime koşulları ayrı tanımlanmıştır.

Exploitation mechanism / İstismar mekanizması

Yalnız yazılı ayara bakmak eski bir replica’yı veya precedence farkını kaçırabilir. Yalnız değişiklik event’ine bakmak ise hedefte uygulanmamış bir ayarı etkili sanmaya yol açabilir. Red bakışında da değişiklik, uygulama ve sonuç ayrı kanıtlarla değerlendirilir.

Tek kayıt iki farklı yanılgıya yol açabilir

Bir DC’deki configuration snapshot doğru görünürken başka bir DC eski değeri gösterebilir. Şüpheli bir değişiklik kaydı bulunmasına rağmen hedefte başka bir policy öncelik kazanmış olabilir. Bu olasılıklar ilgili kaynaklarda kontrol edilmelidir.

Bulguya hem ne görüldüğünü hem de bunun neyi kanıtlamadığını yaz. Severity etiketi, eksik kanıtı tamamlamaz.

3. Defense & Detection / Savunma ve tespit

Telemetry scope

• Configuration snapshot’ını source DC, object GUID/DN, attribute ve UTC toplama zamanı ile sakla.
• Değişiklik kaydıyla effective-state gözlemini ilişkilendir; bunları aynı kanıt türü gibi sunma.
• Audit policy, SACL, collector sağlığı, retention ve saat farklarını kontrol et.
• Değişiklik onaylı olsa da runtime doğrulamasını ve rollback koşullarını ayrıca değerlendir.

Events and relevant fields

• 5136, uygun audit ve SACL kapsamındaki directory değişikliğini gösterir; endpoint’te policy’nin uygulandığını veya güvenlik etkisini tek başına kanıtlamaz.
• Event bulunmaması değişiklik yapılmadığını göstermez; audit policy, SACL, collector veya retention eksik olabilir.

5136 değişikliği gösterir; hedefin davranışını değil

Sentetik örnek, bir computer nesnesindeki msDS-SupportedEncryptionTypes değeri için Value Added kaydıdır. Parser alanları gösterir; endpoint’in hangi Kerberos encryption type’ını kullandığını, replication’ın yakınsadığını veya ayarın uygulandığını hesaplamaz.

Bunlar birbirini tamamlayan kanıtlardır: directory kaydı değişikliği, hedefteki gözlem ise davranışı açıklar.

Detection logic · XPath

*[System[(EventID=5136)]]

Query assumptions

• Sorgu 5136 adaylarını seçer. Nesne, attribute ve OperationType alanlarıyla daha sonra daraltılmalıdır; bu örnek canlı Event Log’da çalıştırılmadı.
• Effective state ve runtime sonucu, değişiklik kaydından ayrı gözlemler gerektirir.

False positives

• Onaylı yönetim ve otomasyon değişiklikleri de aynı event’i üretebilir.
• Tek bir değişiklik için Value Deleted ve Value Added kayıtları görülebilir; bunları iki bağımsız olay gibi sayma. Replication güncelliğini ise ayrı kaynaklardan kontrol et; replication’ın kendisini 5136 tekrarlarının nedeni sayma.

Hardening

• Kritik ayarlarda yazılı değeri, hedefteki effective state ve gözlenen davranışla birlikte doğrula.
• Directory değişikliklerini yalnız object/attribute listesiyle sınıflandırma; sorumlu rolü, değişiklik zamanını ve correlation bağlamını da incele.
• Collector saatleri, audit kapsamı ve retention sorunları için ayrı sağlık kontrolleri kullan.

Örnekler üzerinde oku / Read the examples

<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event"><System><Provider Name="Microsoft-Windows-Security-Auditing"/><EventID>5136</EventID><Version>0</Version><Level>0</Level><TimeCreated SystemTime="2026-10-01T10:24:00.0000000Z"/><EventRecordID>1504001</EventRecordID><Channel>Security</Channel><Computer>dc01.outreason.example</Computer><Security/></System><EventData><Data Name="OpCorrelationID">{15A40000-0000-4000-8000-000000000001}</Data><Data Name="AppCorrelationID">-</Data><Data Name="SubjectUserSid">S-1-5-21-1987654321-1234567890-2468013579-1106</Data><Data Name="SubjectUserName">kayra</Data><Data Name="SubjectDomainName">OUTREASON</Data><Data Name="SubjectLogonId">0x15a4</Data><Data Name="DSName">outreason.example</Data><Data Name="DSType">%%14676</Data><Data Name="ObjectDN">CN=APP01,OU=Servers,DC=outreason,DC=example</Data><Data Name="ObjectGUID">{15A40000-0000-4000-8000-000000000002}</Data><Data Name="ObjectClass">computer</Data><Data Name="AttributeLDAPDisplayName">msDS-SupportedEncryptionTypes</Data><Data Name="AttributeSyntaxOID">2.5.5.9</Data><Data Name="AttributeValue">24</Data><Data Name="OperationType">%%14674</Data></EventData></Event>

İki yanlış kanı / Two reality checks

Sanılan: Directory’de doğru değer görünüyorsa bütün istemciler doğru davranıyordur.

Gerçekte: Yazılı değer başlangıç noktasıdır; replication, scope, precedence ve runtime değerlendirmesi hedefteki sonucu etkiler.

Sanılan: Bir security event görmek iddiayı kesinleştirir; görmemek olayı çürütür.

Gerçekte: Event’in anlamı ve yokluğundan çıkarılabilecek sonuç, audit/SACL/collector/retention kapsamına bağlıdır.

Kaynaklar / Sources

• Microsoft · 5136(S): A directory service object was modified
  Event XML, field descriptions and Value Added/Value Deleted operation types.
• Microsoft · Audit Directory Service Changes
  Audit subcategory and SACL-dependent directory change visibility.