Nesne geri yükleme, DC kurtarma ve forest recovery: Aynı problem olmayan senaryolar.

1. Core Mechanism / Temel mekanizma

Bu ders recovery ölçeğini object, DC ve forest olarak ayırır. Recycle Bin bir deleted object'in logical state'ini geri getirebilir; nonauthoritative DC restore başka sağlıklı replica'lardan yakınsamaya dayanır; forest recovery ise tüm DC'lerin normal çalışamadığı forest-wide failure için en az bir DC'yi her domain'de trusted backup'tan geri kurar.

Arabirimler ve belirtimler

• object recovery: belirli deleted object ve korunmuş attribute/link state'inin geri getirilmesi.
• DC recovery: tek server'ın system state, SYSVOL ve replication üyeliğinin desteklenen yöntemle yeniden kurulması.
• nonauthoritative restore: restored AD DS state'in daha güncel değişiklikleri replication partner'lardan alacağı DC recovery yaklaşımı.
• forest recovery: forest-wide failure sonrasında her domain için identity service'in trusted backup ve izolasyonla yeniden oluşturulması.
• authoritative scope: hangi data'nın diğer replica'lara üstün gelmesinin amaçlandığı; object, SYSVOL veya daha geniş recovery adımıyla karıştırılmaz.
• validation boundary: directory object, SYSVOL, DNS, GC, FSMO, replication ve business authentication'ın ayrı doğrulanması.

Object restore en dar recovery birimidir

Active Directory Recycle Bin etkinse, etkinleştirildikten sonra silinen object'lerin link-valued ve non-link-valued attribute'ları korunabilir; restore edilen user önceki group membership'lerini geri kazanabilir. Özellik varsayılan olarak etkin değildir ve etkinleştirme geri alınamaz.

5141 bir directory object deletion olayını yalnız uygun SACL'de Delete auditing varsa üretir. Event object DN/GUID/class ve TreeDelete bağlamı verebilir; object'in Recycle Bin ile kurtarılabilir olduğunu, retention içinde kaldığını veya restore'un başarılı olduğunu kanıtlamaz.

DC restore ile forest recovery'nin güven modeli farklıdır

Nonauthoritative AD DS restore system state içeren backup gerektirir ve DC'nin directory state'ini partner replikasyonuyla güncelleme modeline dayanır. Bu, sağlıklı ve güvenilir partner varsayımı taşır; forest'ın tamamı güvenilmezse aynı varsayım kullanılamaz.

Forest recovery rehberi tüm DC'lerin normal çalışamadığı durumda her domain'de en az bir DC'nin trusted backup'tan restore edilmesini tanımlar. İlk recovery izolasyonda yapılır; DNS, GC, privileged account ve domain reconnect sırası planın parçasıdır. Tek object silinmesi bu ölçeği gerektirmez.

Kurtarma için kabul ölçülerini baştan belirle

Object restore için nesnenin görünmesi ilk kanıttır; SID/GUID, üyelik, ilgili ACL veya certificate mapping ve bağlı servisin yeni erişim sonucu ayrıca incelenir. DC recovery’de buna DNS, SYSVOL ve ilgili naming context’lerin replication durumu eklenir. Forest recovery daha geniştir: güvenilir backup’ın kaynağı, identity authority’leri, yeniden kurulan DC’ler ve kritik servislerin bağımlılıkları birlikte ele alınır.

En yeni backup mutlaka güvenilir backup değildir. Şüpheli dönemde alınmış bir kopyanın yaşı ile içeriğinin güvenilirliği farklı sorulardır. krbtgt, RODC’ye bağlı krbtgt hesabı ve certificate trust da tek bir “reset her şeyi düzeltir” modeline sığmaz. İlgili recovery birimi ve güncel prosedür seçilmeden evrensel sıra üretme. Buradaki tablo komut çalıştırmaz; hangi kanıtların eksik kaldığını gösterir.

Durum ve veri akışı

1. Kaybı object, tek DC/SYSVOL veya domain/forest trust failure olarak sınıflandır.
2. Seçilen yolun koşullarını kontrol et: Recycle Bin uygunluğu, system-state backup ve güvenilir partner’lar ya da forest recovery planı.
3. En dar desteklenen recovery yöntemini owner, isolation ve rollback ile seç.
4. Directory data, SYSVOL, DNS/GC/FSMO ve replication validation'ını recovery ölçeğine göre sırala.
5. Business authentication ve authorization davranışını teknik health'ten ayrı kabul testiyle doğrula.

2. Exploitation / İstismar

Broken trust assumption

Silme, DC kaybı veya daha geniş compromise/failure sonrası hızlı restore baskısı vardır; kaybın ölçeği ve trusted state henüz tam kanıtlanmamıştır.

Technical prerequisites

• Deleted object identity veya etkilenen DC/domain listesi immutable case kaydında sabitlenmiştir.
• Kullanılacak partner ya da backup'ın trust gerekçesi, zamanı ve custody'si belgelenmiştir.

Exploitation mechanism / İstismar mekanizması

Yanlış recovery ölçeği ya gereksiz büyük outage üretir ya da bozuk/güvenilmeyen state'i geri yayar. Object sorunu için forest restore aşırıdır; güvenilmeyen forest'ta tek DC'yi normal replication'a döndürmek ise threat state'i yeniden taşıyabilir.

Restore başarılı mesajı güvenin geri geldiği anlamına gelmez

Object görünür olabilir ama group membership, dependent service veya authorization sonucu ayrıca test edilir. DC boot edebilir ama SYSVOL, replication, DNS veya secure channel henüz sağlıklı olmayabilir.

Forest recovery'de de directory service'in açılması son adım değildir; privileged identities, trust passwords, remaining DC redeployment ve business validation planlı kapılardır.

Bu örneğin risk sınırı

Sistem açıldıktan sonra eski güven ilişkisi veya gereksiz izin yolu sürüyorsa restore görünürlüğü riskin giderildiğini kanıtlamaz.

3. Defense & Detection / Savunma ve tespit

Telemetry scope

• Deletion artifact'ini ObjectGUID, ObjectDN, class, TreeDelete, DC ve UTC time ile sakla.
• Recovery request'inde unit-of-recovery ve broken trust assumption alanlarını zorunlu tut.
• Backup için capture time, system-state coverage, encryption/key custody ve restore-test sonucunu kaydet.
• Post-recovery evidence'ı object state, replication/SYSVOL health ve business access olarak üç ayrı sonuçta tut.

Events and relevant fields

• 5141, SACL Delete auditing mevcutsa directory object deletion için üretilir; silinen object'in recoverability veya restore sonucu değildir.
• Forest recovery sonrası replication doğrulaması repadmin /replsum ve SYSVOL için ilgili DFS Replication event'leri gibi ayrı kontroller gerektirir.

Deletion event'i recovery seçim girdisidir

Sentetik 5141 artifact'i bir computer object deletion envelope'u taşır. Parser object DN/GUID/class ve TreeDelete alanlarını düzleştirir; Recycle Bin'in etkinliğini, retention süresini veya object restore sonucunu hesaplamaz.

Bu ayrım, telemetry'nin doğrudan recovery komutuna çevrilmesini engeller.

Değişiklik sonrası doğrulama

Her recovery birimi için trusted state, yeni authentication/authorization davranışı ve meşru iş akışını ayrı kabul ölçüsü yap. Doğrulanmayan bağımlılığı “tamamlandı” olarak kapatma.

Detection logic · XPath

*[System[(EventID=5141)]]

Query assumptions

• Directory Service Changes auditing ve object SACL Delete entry coverage'ı doğrulanmıştır.
• Query deletion adaylarını seçer; Recycle Bin state, retention ve restore success ayrı kontrol edilir.

False positives

• Onaylı deprovisioning veya OU cleanup aynı event'i üretebilir.
• TreeDelete alanı silme bağlamını destekler; incident severity veya recovery ölçeğini tek başına belirlemez.

Hardening

• Recycle Bin etkinlik durumu ve deleted-object retention değerini recovery envanterinde görünür tut.
• DC system-state/forest recovery backup'larını access-separated, encrypted ve düzenli restore-test edilmiş biçimde koru.
• Object restore, DC rebuild ve forest recovery runbook'larını ayrı approval ve validation gate'leriyle yönet.

Örnekler üzerinde oku / Read the examples

<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event"><System><Provider Name="Microsoft-Windows-Security-Auditing"/><EventID>5141</EventID><Version>0</Version><Level>0</Level><TimeCreated SystemTime="2026-10-01T11:06:00.0000000Z"/><EventRecordID>1506001</EventRecordID><Channel>Security</Channel><Computer>dc01.outreason.example</Computer><Security/></System><EventData><Data Name="OpCorrelationID">{15A60000-0000-4000-8000-000000000001}</Data><Data Name="AppCorrelationID">-</Data><Data Name="SubjectUserSid">S-1-5-21-1987654321-1234567890-2468013579-1106</Data><Data Name="SubjectUserName">ilkkan</Data><Data Name="SubjectDomainName">OUTREASON</Data><Data Name="SubjectLogonId">0x15a6</Data><Data Name="DSName">outreason.example</Data><Data Name="DSType">%%14676</Data><Data Name="ObjectDN">CN=APP02,OU=Servers,DC=outreason,DC=example</Data><Data Name="ObjectGUID">{15A60000-0000-4000-8000-000000000002}</Data><Data Name="ObjectClass">computer</Data><Data Name="TreeDelete">%%14679</Data></EventData></Event>

{
  "kind": "teaching-record",
  "synthetic": true,
  "scenario": "E05",
  "unit": "object",
  "visible": true,
  "trustedBackupProvenance": "reviewed",
  "dependentService": "not-validated",
  "closure": "incomplete"
}

İki yanlış kanı / Two reality checks

Sanılan: Silinen bir user için en güvenli seçenek DC veya forest restore etmektir.

Gerçekte: Recovery birimi önce sınıflandırılır; uygun koşullarda Recycle Bin object restore en dar çözümdür, DC/forest recovery farklı failure ve trust sınırları içindir.

Sanılan: Bir DC backup'tan açıldıysa recovery tamamlanmıştır.

Gerçekte: Directory state, SYSVOL, DNS/GC/FSMO, replication ve business authentication ayrı doğrulanır; yöntemin authoritative/nonauthoritative kapsamı açık olmalıdır.

Kaynaklar / Sources

• Microsoft · Enable Active Directory Recycle Bin in Windows Server
  Preserved attributes/link state, prerequisites, irreversible enablement and deleted-object restore boundary.
• Microsoft · Performing a nonauthoritative restore of AD DS
  System-state backup requirement and nonauthoritative AD DS restore procedure boundary.
• Microsoft · Active Directory Forest Recovery Guide
  Forest-wide failure scope and forest recovery plan template.
• Microsoft · 5141(S): A directory service object was deleted
  SACL-dependent generation, EventData object fields and TreeDelete.
• Forest recovery initial recovery
  Initial writable DC; isolation/trusted backup; dependent trust/credentials; first recovery gates
• Forest recovery krbtgt reset boundary
  Writable vs RODC scope; waiting period; password history note