Şüpheli durumda kapsamı belirlemek: İzolasyon, kimlik güveni ve kurtarma öncelikleri.

1. Core Mechanism / Temel mekanizma

Bu ders incident triage ile forest recovery'yi ayırır. Kapsam henüz belirsizken geri döndürülemez toplu değişiklik yapılmaz; tam forest recovery, Microsoft rehberinde birçok durumda son seçenek olarak değerlendirilir ve karar business stakeholder'larla birlikte alınır.

Arabirimler ve belirtimler

• scope: etkilenen identity, DC, domain, forest, admin tier, time window ve bağımlı servis kümesi.
• identity trust: credential, ticket, key, privileged account ve yönetim workstation'ının güvenilir sayılma koşulu.
• containment: yayılımı veya yetkisiz erişimi azaltırken evidence ve kritik bağımlılıkları koruyan sınır.
• isolation: recovered veya incelenen sistemin güvenilmeyen network/identity yollarından kontrollü ayrılması.
• recovery priority: identity control plane, name resolution, time, replication ve business authentication bağımlılıklarının sırası.
• decision gate: scope/evidence değiştiğinde containment veya recovery planını yeniden değerlendiren açık eşik.

Kapsam, cihaz listesinden daha geniştir

Bir DC üzerindeki şüpheli değişiklik yalnız o host ile sınırlı olmayabilir; replicated directory data, privileged sessions, trust ilişkileri ve backup custody de araştırma kapsamına girer. Buna karşılık tek bir endpoint alarmı forest compromise kanıtı değildir.

Zaman çizelgesi, ilk bilinen kötü davranıştan daha erken başlar: credential issuance, admin logon, directory change, log gap ve replication yönleri birlikte incelenir. Kanıt yokluğu özellikle cleared log veya eksik collector olduğunda temiz dönem sayılmaz.

İzolasyon ve recovery farklı karar kapılarıdır

İzolasyonun amacı rastgele servis kesmek değil, güvenilmeyen yolları kapatıp güvenilir gözlem alanı oluşturmaktır. DNS, time ve management bağımlılıkları bilinmeden DC'yi ayırmak daha fazla körlük veya authentication outage yaratabilir; bu yüzden owner, rollback ve out-of-band erişim önceden belirlenir.

Forest recovery rehberi önce problemi ve kapsamı belirlemeyi, full recovery'yi son seçenek olarak değerlendirmeyi; recovery gerekirse her domain için bir DC'yi izolasyonda kurtarıp privileged account'ları reset etmeyi önerir. Bu sıra otomatik playbook değil, çevreye uyarlanacak karar çerçevesidir.

Durum ve veri akışı

1. Incident commander, evidence owner ve identity recovery authority rollerini ayır.
2. Etkilenen principal/DC/domain/forest ve güvenilmeyen zaman penceresini hipotez olarak yaz.
3. Evidence preservation ile yayılım azaltma hedeflerini çakıştırmadan containment seç.
4. Identity control plane bağımlılıklarını ve güvenilir backup/recovery source'u doğrula.
5. Object, DC, domain veya forest recovery gate'ini kanıtla seç; her aşamada credential reset ve business validation sırasını güncelle.

2. Exploitation / İstismar

Broken trust assumption

Directory değişikliği, privileged credential misuse veya DC compromise şüphesi vardır; saldırganın kapsamı ve persistence yolu henüz kanıtlanmamıştır.

Technical prerequisites

• Containment kararı için kritik authentication, DNS, time ve management bağımlılıklarının owner'ları belirlenmiştir.
• Evidence kopyaları access-controlled, timestamped ve orijinal source bilgisiyle korunmaktadır.

Exploitation mechanism / İstismar mekanizması

Identity incident'ında güvenilmeyen credential ve replicated state containment sonrasında da etkili olabilir. Yalnız host'u kapatmak ticket/key riskini sonlandırmaz; yalnız toplu parola resetlemek de güvenilmeyen admin path veya malicious directory state'i düzeltmez.

Acele recovery saldırganın yolunu geri taşıyabilir

Kapsam ve trusted backup zamanı doğrulanmadan restore yapmak kötü state'i veya credential riskini yeni ortama taşıyabilir. Tam tersine, her şeyi silmek de olay zaman çizelgesini ve business recovery seçeneklerini yok eder.

Karar kaydı; hangi güven varsayımının kırıldığını, hangi evidence'ın bunu desteklediğini ve sonraki gate'i açıklar.

3. Defense & Detection / Savunma ve tespit

Telemetry scope

• Scope ledger'da principal, host/DC, domain/forest, admin tier, time window ve confidence alanlarını ayrı tut.
• Containment action'larını owner, approval, UTC time, expected impact ve rollback ile kaydet.
• Backup custody, backup time, encryption/key access ve restore test statüsünü recovery kararından önce doğrula.
• Security log gap veya clear olayını evidence coverage kaybı olarak işaretle; otomatik compromise ya da innocence sonucu üretme.

Events and relevant fields

• 1102 Security audit log'un temizlendiğini gösterir; temizleyen subject bilgisi korelasyon için kullanılabilir, ancak olaydan önceki aktivitenin niteliğini tek başına açıklamaz.
• Log clear, bakım veya kasıtla oluşabilir; yüksek değerli DC'de beklenmedikse hızlı investigation gerektirir.

Log gap kapsamı büyütür, sonucu değil

Sentetik 1102 envelope'u Security channel'da log clear olayının kimliğini ve zamanını taşır. Parser UserData içindeki subject ayrıntılarını modellemez; bu paket bu nedenle olmayan subject alanları iddia etmez.

Bu artifact'in görevi investigation timeline'da visibility gap açmaktır. Recovery kapsamı yine bağımsız identity, directory ve host kanıtıyla seçilir.

Detection logic · XPath

*[System[(EventID=1102)]]

Query assumptions

• Security channel erişilebilir ve event forwarding/retention scope'u belgelenmiştir.
• Sorgu evidence-gap adayını seçer; incident scope'u başka telemetry ve directory state ile belirlenir.

False positives

• Yetkili bakım veya test sırasında log temizlenmiş olabilir.
• Event'in kendisi credential theft, persistence veya forest compromise kanıtı değildir.

Hardening

• DC ve privileged management loglarını access-separated merkezi collector'a gecikmesi izlenen şekilde ilet.
• Tiered administration, ayrı recovery credential'ları ve offline/immutable backup custody uygula.
• Forest recovery planını düzenli prova et; izolasyon, DNS/time ve business validation adımlarını çevreye özel tut.

Örnekler üzerinde oku / Read the examples

<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event"><System><Provider Name="Microsoft-Windows-Eventlog" Guid="{fc65ddd8-d6ef-4962-83d5-6e5cfe9ce148}"/><EventID>1102</EventID><Version>0</Version><Level>4</Level><Task>104</Task><TimeCreated SystemTime="2026-10-01T10:41:00.0000000Z"/><EventRecordID>1505001</EventRecordID><Channel>Security</Channel><Computer>dc02.outreason.example</Computer><Security/></System></Event>

İki yanlış kanı / Two reality checks

Sanılan: Bir DC şüpheliyse ilk güvenli adım tüm forest'ı hemen restore etmektir.

Gerçekte: Önce problem ve kapsam belirlenir; full forest recovery birçok durumda son seçenektir ve güvenilir backup ile business etkisi doğrulanmadan başlatılmaz.

Sanılan: İzolasyon tamamlanınca identity trust otomatik olarak geri gelir.

Gerçekte: İzolasyon yayılımı sınırlar; credential, ticket/key, directory state, backup custody ve admin path güveni ayrıca yeniden kurulur.

Kaynaklar / Sources

• Microsoft · AD Forest Recovery - Steps for Restoring the forest
  Identify scope first; total forest recovery as last option; recover one DC per domain in isolation; reset privileged accounts.
• Microsoft · AD Forest Recovery - Identify the problem
  Forest-wide failure examples and requirement to determine cause, scope and remedies.
• Microsoft · 1102(S): The audit log was cleared
  Event description, XML envelope and monitoring recommendation.