Bir kaydı anlamayı öğren.

Hazır olay, izin ve mesaj örneklerinde önemli alanları ve ne anlama geldiklerini birlikte inceleyelim.

Hazır örnekler

ÖRNEĞİ BİRLİKTE OKUYALIM

EĞİTİM İÇİN HAZIRLANDI

Bu TGT isteği ne sonuç vermiş?

4771 · Ön doğrulama / tam XML

Pre-authentication hatası0x18

0x18 = KDC_ERR_PREAUTH_FAILED: pre-authentication bilgisi geçersiz. Yanlış parola olası açıklamadır; tek kayıt saldırıyı veya niyeti kanıtlamaz.

Hedef hesabın SID’siS-1-5-21-111111111-222222222-333333333-1104

Bu olayın hedef hesabı için yazılmış SID. Görünen hesap adıyla birlikte oku.

İlgili hesabın adıtunahan

Kayıtta yazan hesap adı. Ad tek başına farklı otoritelerdeki hesapların aynı olduğunu göstermez.

TGT isteğinin hedefikrbtgt/IYELABS.EXAMPLE

4771’de bu alan TGT isteğinin gönderildiği realm içindeki servisi adlandırır. krbtgt/REALM biçimi TGT servisini adlandırır; dosya erişimini göstermez.

Buradan çıkaracağın fikir

Kayıttaki hesap için yapılan TGT isteğinde pre-authentication geçersiz bulunmuş. Bu kayıt başarılı oturum, dosya erişimi veya saldırı niyeti göstermez. Hesap adını SID ile birlikte oku.

Burada bir örnek kaydı okuyoruz. Windows’a bağlanmıyoruz; olayın gerçekten yaşandığını veya saldırı olduğunu doğrulamıyoruz.

06.04 · Kerberos pre-authentication →

Bu örneğin kapsamı

Tam Event XML biçiminde sentetik eğitim kaydıdır; gerçek DC’den alınmadı. Audit Kerberos Authentication Service / Failure gerekir. Bu olay için nesne SACL’si gerekmez. Tek 0x18 kaydı tek başına saldırı kanıtı değildir.

Ham kaydı aç · EVENT-XML

<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
  <System>
    <Provider Name="Microsoft-Windows-Security-Auditing"
      Guid="{54849625-5478-4994-a5ba-3e3b0328c30d}" />
    <EventID>4771</EventID>
    <Version>0</Version>
    <Level>0</Level>
    <Task>14339</Task>
    <Opcode>0</Opcode>
    <Keywords>0x8010000000000000</Keywords>
    <TimeCreated SystemTime="2026-09-28T09:14:22.0000000Z" />
    <EventRecordID>10482</EventRecordID>
    <Correlation />
    <Execution ProcessID="712" ThreadID="1048" />
    <Channel>Security</Channel>
    <Computer>DC01.iyelabs.example</Computer>
    <Security />
  </System>
  <EventData>
    <Data Name="TargetUserName">tunahan</Data>
    <Data Name="TargetSid">S-1-5-21-111111111-222222222-333333333-1104</Data>
    <Data Name="ServiceName">krbtgt/IYELABS.EXAMPLE</Data>
    <Data Name="TicketOptions">0x40810010</Data>
    <Data Name="Status">0x18</Data>
    <Data Name="PreAuthType">2</Data>
    <Data Name="IpAddress">::ffff:192.0.2.21</Data>
    <Data Name="IpPort">51462</Data>
    <Data Name="CertIssuerName"></Data>
    <Data Name="CertSerialNumber"></Data>
    <Data Name="CertThumbprint"></Data>
  </EventData>
</Event>

ÖRNEĞİ BİRLİKTE OKUYALIM

EĞİTİM İÇİN HAZIRLANDI

Hangi kayıt erişim, hangisi audit veya integrity kuralı?

SDDL · Güvenlik tanımlayıcısı

Local SystemA · File All

İzin veren kayıt. Maske trustee’ye yönelik allow/deny kaydının kapsamıdır. İstek, token, sıra ve nesne türü incelenmeden effective access sonucu çıkarılmaz.

Built-in UsersA · File Read

İzin veren kayıt. Maske trustee’ye yönelik allow/deny kaydının kapsamıdır. İstek, token, sıra ve nesne türü incelenmeden effective access sonucu çıkarılmaz.

EveryoneAU · File Read

Audit kaydı. Maske audit edilecek erişim türlerini belirtir; erişim izni vermez. SA başarı, FA başarısız erişim audit seçimini belirtir. Bu ACE tek başına event yazıldığını kanıtlamaz.

Nesnenin sahibiLocal System

Bu bölüm security descriptor’ın bir parçasıdır. Owner, primary group, DACL ve SACL farklı bilgi taşır.

Buradan çıkaracağın fikir

Bir kuralı okumak ile “bu kişi kesin erişebilir” demek farklıdır. Erişim isteği, token, ACE sırası ve nesne türüyle birlikte değerlendirme gerekir.

Bu görünüm SDDL’deki kuralları açıklar; Windows’un erişim kararını çalıştırmaz. SACL audit ve mandatory label kurallarını taşır; izin veren DACL’in yerine geçmez.

Bu örneğin kapsamı

Sentetik dosya nesnesi tanımlayıcısı. A/D/OA/OD/AU/OU/ML türleri okunur; callback/koşullu ACE’ler yorumlanmadan işaretlenir. Genel hakların eşlenmesi ve effective access hesaplanmaz.

Ham kaydı aç · SDDL

O:SYG:BAD:PAI(A;;FA;;;SY)(A;;FR;;;BU)S:(AU;SAFA;FR;;;WD)

ÖRNEĞİ BİRLİKTE OKUYALIM

EĞİTİM İÇİN HAZIRLANDI

Bu bayt dizisinin içinde hangi parçalar var?

AS-REP · ASN.1 / TLV

INTEGER5

Bu parça 1 bayt uzunluğunda. Tür ve uzunluk, mesajın içindeki parçanın sınırını gösterir; protokolde ne anlama geldiğini tek başına söylemez.

INTEGER11

Bu parça 1 bayt uzunluğunda. Tür ve uzunluk, mesajın içindeki parçanın sınırını gösterir; protokolde ne anlama geldiğini tek başına söylemez.

GeneralStringIYELABS.EXAMPLE

Bu parça 15 bayt uzunluğunda. Tür ve uzunluk, mesajın içindeki parçanın sınırını gösterir; protokolde ne anlama geldiğini tek başına söylemez.

INTEGER1

Bu parça 1 bayt uzunluğunda. Tür ve uzunluk, mesajın içindeki parçanın sınırını gösterir; protokolde ne anlama geldiğini tek başına söylemez.

Buradan çıkaracağın fikir

Bayt dizisi tek bir blok değildir: tür, uzunluk ve değer taşıyan parçalardan oluşur. Bir parçanın sınırını görmek, şifreli içeriğini açmak değildir.

Burada yalnız yapıyı okuyoruz. ASN.1 şeması veya kriptografi doğrulanmaz; şifreli içerik çözülmez.

Bu örneğin kapsamı

RFC biçimini gösteren sentetik ASN.1 yapısı. cipher alanları kasıtlı sahte sekiz bayttır; gerçek bilet veya doğrulanabilir ciphertext değildir. Okuyucu TLV/ofset çözer; Kerberos şema ve kriptografi doğrulaması yapmaz.

Ham kaydı aç · ASN1-HEX

6b 81 ae 30 81 ab a0 03 02 01 05 a1 03 02 01 0b
a3 11 1b 0f 49 59 45 4c 41 42 53 2e 45 58 41 4d
50 4c 45 a4 14 30 12 a0 03 02 01 01 a1 0b 30 09
1b 07 74 75 6e 61 68 61 6e a5 5c 61 5a 30 58 a0
03 02 01 05 a1 11 1b 0f 49 59 45 4c 41 42 53 2e
45 58 41 4d 50 4c 45 a2 24 30 22 a0 03 02 01 02
a1 1b 30 19 1b 06 6b 72 62 74 67 74 1b 0f 49 59
45 4c 41 42 53 2e 45 58 41 4d 50 4c 45 a3 18 30
16 a0 03 02 01 12 a1 03 02 01 01 a2 0a 04 08 a1
a2 a3 a4 b1 b2 b3 b4 a6 18 30 16 a0 03 02 01 12
a1 03 02 01 01 a2 0a 04 08 c1 c2 c3 c4 d1 d2 d3
d4

Bir kaydı okuyup desteklenen sonucu çıkar.

Hazır örneklerden “4771 · Ön doğrulama / tam XML” kaydını seç.
Status, TargetSid, TargetUserName ve ServiceName alanlarına tıkla; her alanın ne söylediğini oku.
Dört alanı birlikte değerlendir ve kendi yorumunu açıklamayla karşılaştır. İstersen ham XML’yi açıp Computer alanından kaydı üreten bilgisayarı da oku.

Kaydın hangi işlem hakkında bilgi verdiğini ve yorumunun sınırını ayırırsın. Bir hata kaydı tek başına hesabın ele geçirildiğini kanıtlamaz.