Bir erişim olayı, birkaç güven sınırı: kanıttan karara

1. Core Mechanism / Temel mekanizma

Bu ders önceki mekanizmaları tek vakada birleştirir. 08.01 context ömrünü, 10.07 replica görünümünü, 05.05 kaynak hakkını açıkladı. Burada hazır sonuç yerine kanıt seçimi ve karar gerekçesi üretirsin.

Arabirimler ve belirtimler

• Gözlem: üreten taraf, zaman, identity ve kapsam birlikte kaydedilir.
• Hipotez: belirtiyi açıklayabilir; doğru kabul edilmeden ayırıcı kanıt gerekir.
• Müdahale: belirli owner’ın durumunu değiştirir; diğer context’leri kendiliğinden yenilemez.
• Kapanış: güvenilir identity durumu, yeni kaynak davranışı ve meşru iş akışı ayrı ölçülür.

İlk olgu, üç açıklama

09:00’da kullanıcı Finance üyesidir. 10:00’da üyelik DC-A’da kaldırılır. 10:05’te dosya hâlâ açılır. İlk hipotez directory görünümünün eski olmasıdır; ikincisi hedefin eski session’ı kullanması; üçüncüsü başka bir permission yolunun READ vermesidir. İlk belirti bunları ayırmaz.

Üç varyantta yalnız temel neden değişir. A’da kullanılan replica eski; B’de replica güncel ama hedef context eski; C’de directory ve context güncel, READ başka bir ACE ile veriliyor. Sentetik dossier bu farkları yalnız ilgili kanıt kartını açtığında gösterir.

Bir sonraki kanıtı neden seçtin?

Önce kullanılan DC/NC ve object identity eşleşmesini kontrol etmek replica hipotezini sınar. O güncel ise target session creation ve context yaşı eski oturum hipotezini ayırır. O da güncelse requested READ ve eşleşen ACE/üyelik yolu önem kazanır.

4624 hedef logon oluşumuna, 4769 KDC’de ticket talebine dair koşullu kanıttır. İkisi de tek başına dosyanın açıldığını veya bütün effective permissions’ı göstermez. Gözlemin hangi soruyu cevaplamadığını da yaz.

Müdahalenin etkisini önce tahmin et

Replication düzeldiğinde directory görünümü yenilenebilir; açık session’ın context’i bununla yenilenmiş olmaz. Eski context yerine kontrollü yeni context oluşturmak ise başka bir ACE’nin verdiği hakkı kaldırmaz. Bu yüzden her önerinin hangi hipotezi hedeflediği açık olmalıdır.

Directory group removal, parola değişikliği ve hesap kapatma aynı eylem değildir. Yeni authentication denemesi current account/policy/DC kontrollerine tabi olabilir; kabul edilmiş session’ın devamı ayrı değerlendirilir. “TGT varsa her şey sürer” veya “disable anında her şeyi keser” gibi evrensel sonuçlar kurma.

Kapanış kanıtını yaz

İyi bir bulgu şu ayrımları taşır: belirti, sınanan hipotez, gözlenen etki, güven düzeyi ve kapsam. Örneğin “DC-B’de membership güncel; target 09:10 context’ini kullanıyor” gözlemi eski-session hipotezini destekler. Kullanıcının niyetini veya bütün servislere erişimini söylemez.

Kapanış için değişikliğin yapıldığını değil, beklenen yeni davranışı göster: yeni context’te gereksiz READ kalkmış mı, yetkili kullanıcı işi sürdürebiliyor mu, ilgili replica ve identity güveni doğrulanmış mı? Restore sonrası nesnenin görünmesi bu ölçülerin yerine geçmez.

Durum ve veri akışı

1. Belirtiyi identity, kaynak, istenen hak ve zamanla sınırla.
2. Replica, eski context ve başka izin yolu hipotezlerini ayrı tut.
3. Kullanılan DC ve hedef nesneye ait directory kanıtını seç.
4. Target context’in oluşturulma zamanını ve verilen READ yolunu incele.
5. Seçili müdahalenin owner ve state etkisini gerçekleşmeden önce tahmin et.
6. Yeni davranış, identity güveni ve meşru iş akışıyla kapanışı doğrula.

2. Exploitation / İstismar

Broken trust assumption

Tek success kaydını, group removal’ı veya restore görünürlüğünü güvenin yeniden kurulduğunun kanıtı saymak.

Technical prerequisites

• Etki iddiası için ilgili target, effective hak ve observed context belirlenmiş olmalıdır.

Exploitation mechanism / İstismar mekanizması

Yanlış owner’a müdahale etmek belirtiyi gizleyip gerçek permission yolunu açık bırakabilir. Bir hak yolunun bulunması kasıt kanıtı değildir; actor ve approved-change bağlamı ayrı gerekir. Eğitim vakası benign durum gözlemleriyle sınırlıdır.

Etki ve niyet ayrı tutulur

Dosyanın açılması bir etki gözlemidir. Kullanıcı, membership değişikliğinden habersiz eski session’ını kullanıyor olabilir. Kasıt iddiası için verilen dosya sonucuna ek bağımsız kanıt gerekir.

Yanlış müdahale yanlış kapanış üretir

Başka izin yolu varsa yalnız ticket temizlemek sorunu çözmüş sayılmaz. İlgili ACE ve legitimate dependency’yi tanımadan geniş hak kaldırmak da işi bozabilir. Öneriyi en dar kanıtlanmış kapsama bağla.

3. Defense & Detection / Savunma ve tespit

Telemetry scope

• Her kartta producer, time, identity, scope ve kanıt sınırını gör. Hipotezleri aynı veriden ayır; kararının sonucu kadar nedenini de kaydet.

Events and relevant fields

• Olay kayıtları yalnız uygun üretim/toplama koşullarında kendi producer’ının kararını gösterir; bütün erişim zincirini kanıtlamaz.

Kanıtın kapsamını koru

Her kartta producer, time, identity, scope ve kanıt sınırını gör. Hipotezleri aynı veriden ayır; kararının sonucu kadar nedenini de kaydet.

Üretim ve toplama kapsamını bilmeden eksik olayı negatif kanıt sayma. Yeni davranışı ilgili owner’ın gözlemiyle doğrula.

Detection logic · XPath

*[System[(EventID=4768 or EventID=4769 or EventID=4624)]]

Query assumptions

• Bu seçim yalnız uygun Windows Security log’larındaki aday olayları seçer. Dersin JSON gözlem tablosu Windows event değildir.
• Her kartta producer, time, identity, scope ve kanıt sınırını gör. Hipotezleri aynı veriden ayır; kararının sonucu kadar nedenini de kaydet.

False positives

• Meşru değişiklikler, cache/context kullanımı veya geçici bağlantı sorunu aynı belirtiyi üretebilir; bu seçim saldırı kararı vermez.

Hardening

• Önce actual caller, target, DC ve zaman aralığını sabitle; ilgisiz sinyalle kesinlik üretme.
• Değişikliği bir owner/state’e bağla; yeni context ve meşru iş akışını ayrı doğrula.
• Kapanışta kalan belirsizliği ve kapsanmayan servisleri açıkça kaydet.

Örnekler üzerinde oku / Read the examples

{
  "kind": "teaching-record",
  "synthetic": true,
  "scenario": "N04",
  "episode": "Finance membership removed, access continues",
  "facts": [
    "09:00 local token contains Finance SID",
    "10:00 DC-A membership removed",
    "10:03 DC-B same current membership",
    "10:05 resource reuses 09:10 session"
  ],
  "hypotheses": [
    "stale directory",
    "old target context",
    "another permission path"
  ],
  "nextEvidenceOptions": [
    "DC+NC+identity snapshot",
    "target session creation/context",
    "target requested right and matching ACE"
  ]
}

İki yanlış kanı / Two reality checks

Sanılan: Belirti aynıysa neden de aynıdır.

Gerçekte: Eski replica, eski session ve başka ACE aynı READ sonucunu üretebilir. Ayırıcı kanıt olmadan tek neden seçilemez.

Sanılan: Değişiklik tamamlandı; vaka kapandı.

Gerçekte: Beklenen yeni davranış, identity güveni ve yetkili kullanıcının işi ayrı ölçülür. Tamamlanan işlem bunların yerine geçmez.

Kaynaklar / Sources

• Access tokens
  Access token contents; primary and impersonation tokens
• AD DS replication behavior
  Replication behavior overview
• Troubleshoot AD replication
  Dependencies; resolution methods; event/error tables; showrepl fields
• SSPI model
  SSPI Model paragraphs 1–3
• Choose hybrid authentication
  Scope; PHS/PTA/federation; business continuity and account-state timing
• Enterprise access model
  Control/management/data planes; privileged pathways; evolution from AD tiers
• AD forest recovery guide
  Guide scope and recovery planning overview