LSASS Bellek Kimlik Bilgisi Dökümü: Mimikatz, Alternatif Araçlar ve Koruma Teknolojileri

Kapsam: Bu bölüm yalnızca canlı LSASS bellek dökümü tespitini kapsar. DCSync (T1003.006), Kerberoasting (T1558.003), bulut PRT/OAuth (T1528) ve tarayıcı oturumu (T1539) bu bölümün dışındadır. her biri ayrı detection paketi gerektirir.

Ön koşul: Sysmon EID 10 (ProcessAccess) lsass.exe için yapılandırılmış olmalıdır. Bu yapılandırma olmadan aşağıdaki kuralların büyük çoğunluğu çalışmaz.

Detection Felsefesi: Araç mı, Teknik mi?

Çekirdek tez: Doğru yapılandırılmış EID 10 + GrantedAccess + CallTrace + korelasyon; Mimikatz, ProcDump, comsvcs.dll, nanodump ve adı bilinmeyen custom dumper'ı aynı mantıkla yakalar. Araç tespiti teknik tespiti tamamlar, ikame etmez.

Sysmon notu: GrantedAccess değeri literal string olarak loglanır; bitwise normalize edilmez. 0x1FFFFF ile 0x1fffff Sysmon için farklı string olabilir — kurallarda case-insensitive eşleştirme veya normalize zorunludur.

Dört Katmanlı Detection Çerçevesi

Deploy sırası: K0 → K1 (whitelist ile) → K2 → K3 → K4. Pilot sırası: DR-LSASS-1b / 2 / 3 → DR-LSASS-4 / 5 → DR-LSASS-7 / 8 / 9 → DR-LSASS-10 → DR-LSASS-6.

K0 — Ön Koşul: Sysmon ve ASR Telemetrisi

Sysmon ProcessAccess (EID 10) Yapılandırması

<!-- sysmon-config.xml — lsass.exe erişim maskesi filtresi -->
<!-- Ortama göre whitelist genişletilmeli -->
<ProcessAccess onmatch="include">
  <Rule groupRelation="and">
    <TargetImage condition="end with">\lsass.exe</TargetImage>
    <GrantedAccess condition="contains any">
      0x40;0x1000;0x1010;0x1038;0x1400;0x1410;0x1438;0x143a;
      0x1440;0x120089;0x1f0fff;0x1f1fff;0x1f2fff;0x1f3fff;0x1fffff
    </GrantedAccess>
  </Rule>
</ProcessAccess>

0x1400 uyarısı: Bu maske tek başına çok yüksek FP üretir. Ya config'den çıkarın, ya da K1 kurallarında CallTrace ile zorunlu olarak eşleştirin. İkisi arasında tutarsızlık bırakmayın. 0x1400 = Query Information + Limited Query Information

Microsoft Defender ASR Telemetrisi

Credential Guard veya RunAsPPL aktif olsa bile bu olaylar bypass deneme sinyali üretebilir hunting kapsamına dahil edin.

K1 — EID 10 (ProcessAccess): Asıl Kaldıraç

Canlı LSASS dump yapan her araç, teknik ne olursa olsun, OpenProcess(lsass) veya eşdeğeri bir çağrı yapmak zorundadır. Bazı gelişmiş evasion yolları (handle duplication, forking) farklı süreç veya handle üzerinden geçer.

GrantedAccess Maskeleri — Referans Tablosu

Maskeleri araç imzası olarak değil, skor bileşeni olarak değerlendirin. Aynı araç farklı OS sürümlerinde farklı maske üretebilir.

CallTrace Zenginleştirmesi

EID 10'daki CallTrace alanı usermode call stack'ini kaydeder. Güçlü ayırt edici sinyaller:

• dbghelp.dll, dbgcore.dll → MiniDumpWriteDump zinciri

• |UNKNOWN( → reflective yükleme / direct syscall / spoof edilmiş stack

Önemli sınır: CallTrace spoofing mümkündür (WithSecure araştırması, nanodump --spoof-callstack). GrantedAccess maskesi kernel tarafından kaydedildiğinden spooflanamaz, CallTrace'e tek başına güvenen kurallar zayıftır, GrantedAccess ile birlikte kullanın.

DR-LSASS-1 — LSASS Şüpheli ProcessAccess (Birincil)

• Önem: Medium (tek başına) — korelasyonla yükselir

• FP: EDR, AV, backup agent, WMI (ortam whitelist zorunlu)

• Teknik: T1003.001

title: LSASS Memory Access with Suspicious GrantedAccess
id: dr-lsass-001
status: experimental
description: >
  lsass.exe sürecine kimlik dökme için tipik GrantedAccess maskeleriyle
  erişimi tespit eder. Meşru EDR/AV süreçleri whitelist'lenmeli.
logsource:
  product: windows
  category: process_access
detection:
  selection:
    TargetImage|endswith: '\lsass.exe'
    GrantedAccess|contains:
      - '0x1010'
      - '0x1038'
      - '0x1410'
      - '0x1438'
      - '0x143a'
      - '0x1440'
      - '0x120089'
      - '0x1f1fff'
      - '0x1f3fff'
      - '0x1fffff'
      - '0x0040'
  filter_known_legit:
    SourceImage|endswith:
      - '\MsMpEng.exe'
      - '\MsSense.exe'
      - '\wininit.exe'
      - '\csrss.exe'
      - '\services.exe'
      - '\lsass.exe'
      - '\WerFault.exe'
      - '\WerFaultSecure.exe'
      # ORTAM: EDR agent, backup agent, SCCM — baseline'dan ekleyin
  condition: selection and not filter_known_legit
falsepositives:
  - EDR, antivirüs, yedekleme ajanları meşru olarak LSASS'a erişir
  - Ortama özgü whitelist genişletilmeli (SourceImage + imza doğrulama)
level: medium
tags:
  - attack.credential_access
  - attack.t1003.001

DR-LSASS-1b — CallTrace Güçlendirilmiş (Yüksek Güven)

• Önem: High

• FP: DR-LSASS-1'e kıyasla çok düşük

• Not: 0x1400 bu kurala dahil edilmemiştir. CallTrace kombinasyonu olmadan FP çok yüksektir.

title: LSASS Access with MiniDump CallTrace
id: dr-lsass-001b
status: experimental
description: >
  MiniDumpWriteDump zincirini işaret eden CallTrace ile birlikte şüpheli
  GrantedAccess maskelerini tespit eder. DR-LSASS-1'in yüksek güvenli varyantı.
logsource:
  product: windows
  category: process_access
detection:
  selection_mask:
    TargetImage|endswith: '\lsass.exe'
    GrantedAccess|contains:
      - '0x1010'
      - '0x1f1fff'
      - '0x1f3fff'
      - '0x1fffff'
  selection_trace:
    CallTrace|contains:
      - 'dbghelp.dll'
      - 'dbgcore.dll'
  filter_known_legit:
    SourceImage|endswith:
      - '\MsMpEng.exe'
      - '\MsSense.exe'
  condition: (selection_mask and selection_trace) and not filter_known_legit
falsepositives:
  - Debugging araçları (meşru geliştirici ortamı)
level: high
tags:
  - attack.credential_access
  - attack.t1003.001

DR-LSASS-2 — comsvcs.dll ProcessAccess

• Önem: High

• Referans: SigmaHQ a49fa4d5-11db-418c-8473-1e014a8dd462

title: LSASS Memory Dump via comsvcs.dll
id: dr-lsass-002
status: test
description: >
  rundll32.exe'nin comsvcs.dll üzerinden lsass.exe'ye ProcessAccess açmasını
  tespit eder. CallTrace'de comsvcs.dll görünmesi güçlü sinyaldir.
logsource:
  product: windows
  category: process_access
detection:
  selection:
    TargetImage|endswith: '\lsass.exe'
    SourceImage|endswith: '\rundll32.exe'
    CallTrace|contains: 'comsvcs.dll'
  condition: selection
falsepositives:
  - Çok nadirdir; meşru comsvcs+lsass kombinasyonu beklenmez
level: high
tags:
  - attack.credential_access
  - attack.t1003.001

DR-LSASS-3 — comsvcs.dll ProcessCreate (Ordinal Obfuskasyon Dahil)

• Önem: High

• Referans: SigmaHQ 646ea171-dded-4578-8a4d-65e9822892e3

• Not: MiniDump yerine ordinal gösterim (#24, #+000024, 65560) ile obfuskasyon da kapsanır.

title: Process Memory Dump via comsvcs.dll (Ordinal Obfuscation Included)
id: dr-lsass-003
status: test
description: >
  rundll32.exe + comsvcs.dll + MiniDump kombinasyonunu tespit eder.
  Ordinal (#24, 65560) ile obfuskasyon varyantları da dahildir.
logsource:
  product: windows
  category: process_creation
detection:
  selection_img_name:
    Image|endswith: '\rundll32.exe'
  selection_img_orig:
    OriginalFileName: 'RUNDLL32.EXE'
  selection_cli:
    CommandLine|contains|all:
      - 'comsvcs'
      - 'full'
    CommandLine|contains:
      - 'MiniDump'
      - 'Minidump'
      - '#24'
      - '#-'
      - '#+'
      - '#65560'
      - '65560'
  condition: (selection_img_name or selection_img_orig) and selection_cli
falsepositives:
  - Meşru kullanım yok denecek kadar nadirdir
level: high
tags:
  - attack.credential_access
  - attack.t1003.001

K2 — Korelasyon (Yüksek Güven)

DR-LSASS-4 — comsvcs.dll Tam Zincir (EID 1 + 10 + 11)

• Önem: Critical

• Platform: Sigma (zaman korelasyonu — SIEM'e özgü uygulama gerekir)

• Mantık: 60 saniyelik pencerede EID 1 (rundll32+comsvcs) → EID 10 (lsass erişim) → EID 11 (.dmp oluşumu)

title: comsvcs.dll LSASS Dump — Full Chain Correlation
id: dr-lsass-004
status: experimental
description: >
  rundll32+comsvcs ProcessCreate, ardından lsass.exe ProcessAccess ve
  60 saniye içinde .dmp FileCreate zincirini tespit eder.
  Platform SIEM'de zaman korelasyonu ile uygulanmalıdır.
  NOT: Zaman korelasyonu Sigma'nın resmi modeline girmez;
  bu kural SIEM-native sorguya dönüştürme referansı olarak kullanılmalıdır.
  Join key: ProcessGuid / SourceProcessGUID + DeviceId + 60s pencere.
logsource:
  product: windows
  category: process_creation   # EID 1 anchor
detection:
  selection_proc:
    Image|endswith: '\rundll32.exe'
    CommandLine|contains|all:
      - 'comsvcs'
    CommandLine|contains:
      - 'MiniDump'
      - '#24'
      - '65560'
  # EID 10 ve EID 11 SIEM korelasyonunda ek tablo olarak eklenmeli:
  # EID 10: SourceProcessGUID == proc.ProcessGuid AND TargetImage endswith lsass.exe
  # EID 11: InitiatingProcessGuid == proc.ProcessGuid AND TargetFilename endswith .dmp
  # Zaman penceresi: 60 saniye
  condition: selection_proc
falsepositives:
  - Yok denecek kadar nadirdir; zincirin üçü birden tetiklenmeli
level: critical
tags:
  - attack.credential_access
  - attack.t1003.001

DR-LSASS-5 — Silent Process Exit / WerFault LSASS Dump

5a — Registry (IFEO / SilentProcessExit)

• Önem: High

• Not: GlobalFlag 0x200 tek başına yeterli değildir; birçok PoC 0x214 (IFEO + heap tracking kombinasyonu) kullanır. contains: '0x200' 0x214'ü de yakalar — bu davranış kasıtlıdır.

title: Silent Process Exit / IFEO Abuse Configured for LSASS
id: dr-lsass-005a
status: experimental
description: >
  LSASS için Silent Process Exit (SPE) veya IFEO yapılandırma kötüye kullanımı.
  Attack preparation sinyalidir. tek başına incident sayılmaz.
  Doğrulama: DR-LSASS-5b (WerFault .dmp) ve/veya EID 1 + EID 10 + EID 11 (60s pencere).
logsource:
  product: windows
  category: registry_event
detection:
  # --- IFEO: Silent Process Exit monitor flag ---
  selection_ifeo_globalflag:
    TargetObject|contains: '\Image File Execution Options\lsass.exe'
    TargetObject|endswith: '\GlobalFlag'
    Details|contains:
      - '0x200'
      - '0x0200'
      - '0x00000200'
      - '0x214'
      - '0x00000214'
      - 'DWORD (200)'
      - 'DWORD (512)'      
      - 'DWORD (0x200)'
      - 'DWORD (0x214)'
  # --- IFEO: Debugger (execution hijack) ---
  selection_ifeo_debugger:
    TargetObject|contains: '\Image File Execution Options\lsass.exe'
    TargetObject|endswith: '\Debugger'
    Details|contains: '\'
  # --- SPE: dump intent ---
  selection_spe_dump_intent:
    TargetObject|contains: '\SilentProcessExit\lsass.exe'
    TargetObject|endswith:
      - '\ReportingMode'
      - '\LocalDumpFolder'
      - '\DumpType'
  # --- SPE: execution chain ---
  selection_spe_exec_chain:
    TargetObject|contains: '\SilentProcessExit\lsass.exe'
    TargetObject|endswith:
      - '\MonitorProcess'
      - '\Debugger'
  condition: 1 of selection_*
falsepositives:
  - Bilinçli debug/test ortamı (ayrı OU / test GPO)
  - EDR veya crash analytics vendor tooling (imzalı binary + change ticket)
  - Gerçek LSASS crash root-cause analizi (WER + crash telemetry ile korele)
  - Whitelist: SourceImage/imza + hedef OU + değişiklik kaydı (CMDB ticket)
level: high
tags:
  - attack.credential_access

5b — WerFault LSASS Dump Dosyası

• Referans: SigmaHQ c3e76af5-4ce0-4a14-9c9a-25ceb8fda182

• Not: RunAsPPL ortamında WerFault başarılı dump üretemeyebilir ama girişim sinyali yine de oluşur.

title: WerFault LSASS Process Memory Dump
id: dr-lsass-005b
status: test
description: >
  WerFault.exe'nin lsass.exe'ye ait dump dosyası oluşturmasını tespit eder.
  LSASS çökmeden tetiklenen dump (Silent Process Exit yöntemi) yüksek güven sinyalidir.
  Custom WER path yapılandırılmışsa FN üretebilir
  HKLM\SOFTWARE\Microsoft\Windows\Windows Error Reporting\LocalDumps kontrol edilmeli
logsource:
  product: windows
  category: file_event
detection:
  selection_process:
    Image|endswith:
      - '\WerFault.exe'
      - '\WerFaultSecure.exe'
  selection_dump_any:
    TargetFilename|contains|all:
      - 'lsass'
      - '.dmp'
  selection_dump_wer_canonical:    # Korelasyon için not 
    TargetFilename|re: '\\lsass(\.exe)?\.\d+\.dmp$'
  condition: selection_process and selection_dump_any
level: high

DR-LSASS-6 — Post-Dump Lateral Movement Pointer

• Önem: High

• Mantık: LSASS erişiminden sonra 15 dakika içinde aynı host'tan çok sayıda Type 3 network logon.

• Uygulama notu: EID 10 Sysmon tablosundan, EID 4624 Windows Security tablosundan çekilmelidir. Bunlar farklı log kaynaklarıdır; union veya platform-native join ile birleştirilmelidir. Eşik (LogonCount ≥ 5) baseline sonrası kalibre edilmelidir.

title: Post-LSASS-Access Lateral Movement Indicator
id: dr-lsass-006
status: experimental
description: >
  lsass.exe ProcessAccess olayından 15 dakika sonra aynı host'tan
  çok sayıda Type 3 (network) logon tespiti.
  Bu kural iki farklı log kaynağının (Sysmon EID 10 + Windows Security EID 4624)
  SIEM'de join edilmesini gerektirir.
  Eşik (LogonCount >= 5, 15 dakika) ortam baseline'ına göre kalibre edilmelidir.
logsource:
  product: windows
  category: process_access   # Anchor: Sysmon EID 10
detection:
  selection_anchor:
    TargetImage|endswith: '\lsass.exe'
    GrantedAccess|contains:
      - '0x1010'
      - '0x1fffff'
      - '0x1f3fff'
      - '0x1438'
  # Korelasyon katmanı (SIEM-native join):
  # Windows Security EID 4624, LogonType=3, aynı host, 0-15 dk pencere
  # Eşik: ≥5 farklı hedef → hunt; ≥10 → critical
  condition: selection_anchor
falsepositives:
  - Yoğun network logon ortamlarında FP yüksek olabilir (baseline zorunlu)
  - Güvenlik taramaları, kimlik doğrulama test araçları
level: high
tags:
  - attack.credential_access
  - attack.t1003.001
  - attack.lateral_movement
  - attack.t1550.002

K3 — Bypass ve Kernel Sinyalleri

DR-LSASS-7 — HandleKatz Handle Duplication

• Önem: High

• Referans: SigmaHQ b1bd3a59-c1fd-4860-9f40-4dd161a7d1f5

• Not: HandleKatz bazen LSASS'a doğrudan EID 10 üretmez; LSASS handle'ı tutan başka bir süreçte erişim görülebilir.

title: Suspicious LSASS Access via Handle Duplication (HandleKatz/Nanodump)
id: dr-lsass-007
status: experimental
description: >
  LSASS üzerinde UNKNOWN bellekten yapılan process access girişimlerini tespit eder.
  HandleKatz, Nanodump ve benzer araçlar NtDuplicateObject ile handle çalarken
  imzasız (reflective) bölgeden çağrı yapar. CallTrace'deki UNKNOWN segmenti
  güçlü anomali sinyalidir.
logsource:
  product: windows
  category: process_access
detection:
  selection_target:
    TargetImage|endswith: '\lsass.exe'
    CallTrace|contains: '|UNKNOWN'
  selection_access:
    GrantedAccess|contains:
      - '0x1440'
      - '0x1fffff'
      - '0x143a'
      - '0x0410'
      - '0x1410'
  filter_legit:
    SourceImage|contains:
      - '\procexp'
      - '\procexp64'
      - '\MsMpEng.exe'
  condition: selection_target and selection_access and not filter_legit
falsepositives:
  - Process Explorer ve Sysinternals araçları (filter ile büyük ölçüde engellenir)
  - Bazı EDR/AV ürünleri kendi LSASS erişimlerinde benzer trace üretebilir
  - Uygulama uyumluluk katmanı (shim) nadiren UNKNOWN segment üretebilir
level: high
tags:
  - attack.credential_access
  - attack.t1003.001
  - attack.t1055

DR-LSASS-7b — MirrorDump (Ters Yön — SourceImage=lsass.exe)

• Önem: High

• Not: MirrorDump tekniği LSASS'ın kaynak süreç olarak başka bir sürece erişmesini sağlar — standart TargetImage=lsass kuralları bu deseni kaçırır.

title: Potential MirrorDump - LSASS as Source with Suspicious Handle Access
id: dr-lsass-007b
status: experimental
description: >
  LSASS'ın kaynak süreç (SourceImage) olarak başka bir sürece
  UNKNOWN bellekten erişimini tespit eder.
  Standart TargetImage=lsass kuralları bu ters yön desenini kaçırır.
logsource:
  product: windows
  category: process_access
detection:
  selection:
    SourceImage|endswith: '\lsass.exe'
    GrantedAccess|contains:
      - '0x0040'
      - '0x0010'
      - '0x1010'
      - '0x1fffff'
    CallTrace|contains: '|UNKNOWN'
  filter_legit:
    TargetImage|contains:
      - '\svchost.exe'
      - '\winlogon.exe'
      - '\csrss.exe'
      - '\services.exe'
  filter_self_access:
    TargetImage|endswith: '\lsass.exe'
  condition: selection and not filter_legit and not filter_self_access
falsepositives:
  - Bilinmeyen meşru sistem süreçleri LSASS'tan handle alabilir
  - Bazı EDR ürünleri bu deseni tetikleyebilir
level: high
tags:
  - attack.credential_access
  - attack.t1003.001

DR-LSASS-8 — Kernel Sürücü Yükleme + LSASS Erişim (BYOVD / mimidrv)

• Önem: Critical

• Mantık: Şüpheli sürücü yüklenmesi (EID 6 / 7045) ardından 15 dakika içinde LSASS erişimi.

• Ek: Microsoft Vulnerable Driver Blocklist ihlalleri, bilinen BYOVD sürücüleri (RTCore64, DBUtil, gdrv, aswArPot vb.) imza + davranış olarak ayrıca izlenmelidir.

title: Suspicious Driver Load Followed by LSASS Access (BYOVD / mimidrv)
id: dr-lsass-008
status: experimental
description: >
  Beklenmedik sürücü yüklenmesinden (EID 6 / 7045) sonra
  LSASS'a erişim tespiti. RunAsPPL bypass girişiminin birincil sinyalidir.
  İki log kaynağı (EID 6 + EID 10) SIEM'de zaman korelasyonu ile birleştirilmeli.
  Bilinen BYOVD sürücüleri için Microsoft Vulnerable Driver Blocklist referans alınmalı.
  UYARI: Company alanı tüm Sysmon sürümlerinde dolu olmayabilir;
  filter_legit ortamda doğrulanmalıdır.
  UYARI: İmzalı vulnerable sürücüler (gdrv.sys, aswArPot.sys vb.)
  Company filtresiyle kaçabilir — blocklist hash'leri güncel tutulmalı.
logsource:
  product: windows
  category: driver_load
detection:
  selection_known_byovd_name:
    ImageLoaded|endswith:
      - '\RTCore64.sys'
      - '\mhyprot2.sys'
      - '\mimidrv.sys'
      - '\DBUtil_2_3.sys'
      - '\zamguard64.sys'
      - '\gdrv.sys'
      - '\aswArPot.sys'
      # Microsoft Vulnerable Driver Blocklist'ten genişletilmeli
  selection_unsigned:
    Signed: 'false'
    ImageLoaded|startswith:
      - 'C:\Windows\'
      - 'C:\Program Files\'
  filter_legit:
    ImageLoaded|startswith:
      - 'C:\Windows\System32\drivers\'
      - 'C:\Windows\SysWOW64\drivers\'
    Signed: 'true'
    Company|contains:
      - 'Microsoft'
      - 'Intel'
      - 'NVIDIA'
      - 'AMD'
  condition: selection_known_byovd_name or (selection_unsigned and not filter_legit)
falsepositives:
  - İmzalı fakat vulnerable sürücüler isim listesinde yoksa kaçabilir — blocklist güncel tutulmalı
  - Yeni donanım sürücüsü kurulumu (Company filtresi kapsamı dışında kalabilir)
  - Company alanı boş gelen Sysmon eventlerinde filter_legit çalışmaz — FP artabilir
level: critical
tags:
  - attack.credential_access
  - attack.t1003.001
  - attack.defense_evasion
  - attack.t1068
  - attack.t1014

DR-LSASS-9 — Process Forking (nanodump --fork / RtlCreateProcessReflection)

• Önem: High

• Not: Fork sonrası dump klon PID üzerinden gerçekleşir — TargetImage=lsass.exe kuralları bu klona yapılan erişimi kaçırır. Bu kural oluşturma katmanında tespit eder.

title: Suspicious Child Process Spawned by LSASS
id: dr-lsass-009
status: experimental
description: >
  lsass.exe'nin beklenmedik bir child process üretmesini tespit eder.
  nanodump --fork (RtlCreateProcessReflection / PssNtCaptureSnapshot) tekniğinin
  birincil sinyalidir. Fork sonrası dump klon PID'e yapılır;
  TargetImage=lsass kuralları bu deseni kaçırır.
logsource:
  product: windows
  category: process_creation
detection:
  selection:
    ParentImage|endswith: '\lsass.exe'
  filter_legit:
    Image|endswith:
      - '\werfault.exe'
      - '\werfaultsecure.exe'
      - '\conhost.exe'
  condition: selection and not filter_legit
falsepositives:
  - EDR/AV ürünleri LSASS altında inject süreç oluşturabilir, ortama göre filter_legit genişletilmeli
  - conhost.exe bazı Windows versiyonlarında LSASS child'ı olarak görünebilir
level: high
tags:
  - attack.credential_access
  - attack.t1003.001

K4 — Registry ve Yapılandırma Manipülasyonu

DR-LSASS-10a — WDigest Düz Metin Etkinleştirme

• Önem: High

• Teknik: T1003.001

title: WDigest UseLogonCredential Enabled
id: dr-lsass-010a
status: experimental
description: >
  WDigest düz metin parola önbelleğinin etkinleştirilmesini tespit eder.
  Win 8.1+ sistemlerde bu değer varsayılan olarak yoktur veya 0'dır.
  Beklenmedik UseLogonCredential=1 ataması saldırı göstergesidir.
logsource:
  product: windows
  category: registry_set
detection:
  selection:
    TargetObject|endswith: '\WDigest\UseLogonCredential'
    Details|endswith:
      - '0x00000001'
      - 'DWORD (0x00000001)'
  condition: selection
falsepositives:
  - Kasıtlı yönetici yapılandırması (çok nadirdir; dokümente edilmeli)
level: high
tags:
  - attack.credential_access
  - attack.t1003.001

DR-LSASS-10b — RunAsPPL Devre Dışı Bırakma

• Önem: High

• Teknik: T1562.001 (Defense Evasion)

title: RunAsPPL Disabled via Registry
id: dr-lsass-010b
status: experimental
description: >
  LSA korumasının (RunAsPPL) registry üzerinden devre dışı bırakılmasını tespit eder.
  UEFI kilidi yoksa bu değişiklik + yeniden başlatma PPL bypass sağlar.
  Bu değişikliği yapan sürecin kimliği mutlaka incelenmelidir.
logsource:
  product: windows
  category: registry_set
detection:
  selection:
    TargetObject|endswith: '\Control\Lsa\RunAsPPL'
    Details|endswith:
      - '0x00000000'
      - 'DWORD (0x00000000)'
  selection_deleted:
    TargetObject|endswith: '\Control\Lsa\RunAsPPL'
    Details: '(Empty)'
  condition: selection or selection_deleted
falsepositives:
  - Bilinçli sistem yöneticisi değişikliği (değişiklik yönetimi kaydıyla doğrulanmalı)
level: high
tags:
  - attack.defense_evasion
  - attack.t1562.001

Diğer Sysmon Sinyalleri — Öncelik Tablosu

Araç Tespiti — Düşük Maliyetli İlk Kapı (Tamamlayıcı)

EID 1 / 4688 ile bilinen imzalar. Yeniden adlandırma veya dosyasız çalıştırma ile trivially atlatılır; teknik tespiti ikame etmez, tamamlar.

sekurlsa::       lsadump::       privilege::debug
p::d             s::l            mimidrv.sys
-ma lsass        procdump + lsass
createdump       rdrleakdiag     fullmemdmp

Modern Evasion — Detection Üstünlüğü Yarışı

WDigest bellek patch notu: g_fParameter_UseLogonCredential ve g_IsCredGuardEnabled LSASS belleğinde doğrudan yamacak tespit edilemez. Bu saldırıyı yakalamanın güvenilir yolu kernel callback tabanlı EDR telemetrisi veya memory integrity taramasıdır — Sysmon bu boşluğu kapsamaz.

ETW Threat Intelligence: Güncel EDR'ler ReadVirtualMemory, handle duplication ve benzeri işlemler için ETW-TI kullanır. Sysmon-only SOC'larda Bölüm 2'deki koruma katmanları (Credential Guard, RunAsPPL) detection'ın dolaylı bir parçası sayılmalıdır — koruma başarısız olursa sinyal üretilir.

LSASS-Dışı Credential Yüzeyi (Kısa Harita)

Bu kurallar T1003.001 kapsamının dışındadır; her biri ayrı detection paketi gerektirir.

DCSync GUID Referansı (T1003.006)

EID 4662 ile izlenir. GUID yazımına dikkat — bb49 sonu doğru, bcd2 sonu yanlış yazım kuralı ölü yapar.

False Positive Yönetimi

1. İlk 2 hafta audit modunda çalıştır — hangi SourceImage'ların LSASS'a hangi maskeyle eriştiğini baseline'la.

2. Whitelist oluştur: EDR agent, AV engine, backup agent, SCCM, WMI (WmiPrvSE.exe dikkatli ele alınmalı).

3. CallTrace ile meşru dbghelp kullanımını ayır — geliştirici makinelerinde debugger meşru dump üretebilir.

4. ASR audit → whitelist → block sırası uygulanmalı.

5. Eşikler (DR-LSASS-6 gibi zaman-tabanlı kurallar) P95 + 2σ disipliniyle kalibre edilmeli.

MITRE ATT&CK Eşlemesi

Gerçekçi Beklenti

Detection'ın amacı saldırgana bedava hareket alanını kapatmaktır — mükemmel görünürlük değil. Her katman ek maliyet ve gürültü getirir; her kuralın kendine ait FP bütçesi olmalıdır.

Credential Guard ve RunAsPPL aktif ortamlarda bile bypass denemeleri sinyal üretir. "Koruma var → detection gereksiz" yanlıştır; koruma başarısız olduğunda detection son savunma hattıdır.

Üretim / import notu: Tek-olay kurallar → Sigma. Zaman korelasyonu gerektiren kurallar (DR-LSASS-4, 6, 8) → SIEM-native sorguya dönüştürülmeli; eşikler ve whitelist'ler sabit kural içine gömülmemeli, ortam parametresi tablosunda tutulmalıdır.