LSASS'tan kimlik bilgisi dökülmesine karşı nasıl savunulur

Saldırgan ne yapar

lsass.exe (Local Security Authority Subsystem Service), oturum açmış kullanıcıların kimlik bilgilerini bellekte tutar: NTLM hash'leri, Kerberos biletleri ve eski yapılandırmalarda yeniden kullanılabilir parolalar. Yönetici yetkisi olan bir saldırgan bu belleği ya doğrudan okur (Mimikatz) ya da bir döküm dosyası yazıp onu başka yerde okur: rundll32.exe comsvcs.dll, MiniDump, Görev Yöneticisi'nin "Döküm dosyası oluştur" seçeneği, ProcDump ya da izlenen API fonksiyonlarından kaçmak için çekirdeği doğrudan çağıran Dumpert gibi araçlar. Çalınan hash'ler ve biletler diğer makinelerde oturum açmak için kullanılır.

Logda nasıl görünür

Araç belleği okumadan önce lsass.exe'ye bir handle açar. Sysmon bunu, istenen erişim haklarını (GrantedAccess) ve isteği yapan kod zincirini (CallTrace) içeren bir süreç erişimi olayı olarak kaydeder (Event ID 10, category: process_access). Kayıtlardaki erişimlerden biri, Dumpert'in:

0x1fffff süreç üzerindeki bütün haklardır. Bellek okuyan bir araç en az PROCESS_VM_READ (0x0010) hakkına ihtiyaç duyar.

Tespit

Challenge verisinde ölçüldü: kural 8 saldırı olayından 8 tanesini yakaladı, 4.346 normal olaydan 0 tanesiyle eşleşti.

title: Process opens LSASS in a way used for credential dumping
id: 1d6a9c4f-7b30-4e85-b2d7-9f0e3a6c5b18
status: test
description: Detects handles to lsass.exe opened by code that was not loaded from a file (CallTrace contains UNKNOWN), by rundll32.exe (the comsvcs.dll MiniDump technique), or with full access by a process other than the system components that do this normally.
references:
  - https://attack.mitre.org/techniques/T1003/001/
  - https://howdefend.com/defend/lsass-credential-dumping/
author: Bartu Kılıç
date: 2026-10-20
tags:
  - attack.credential-access
  - attack.t1003.001
logsource:
  product: windows
  category: process_access
detection:
  selection_target:
    TargetImage|endswith: '\lsass.exe'
  selection_unknown:
    CallTrace|contains: 'UNKNOWN'
  selection_full:
    GrantedAccess: '0x1fffff'
  selection_comsvcs:
    SourceImage|endswith: '\rundll32.exe'
  filter_system:
    SourceImage|endswith:
      - '\msiexec.exe'
      - '\wininit.exe'
      - '\csrss.exe'
  condition: selection_target and (selection_unknown or selection_comsvcs or (selection_full and not filter_system))
falsepositives:
  - Endpoint security and backup agents that read LSASS memory (add them by full path)
  - Task Manager when an administrator creates a dump of lsass.exe on purpose
level: high

Kuralın kaçırdıkları

• Daha az hak isteyen araçlar. Belleği okumak için tam erişim değil 0x0010 gerekir. Kural daha dar istekleri yalnızca rundll32.exe'den ya da bir dosyaya dayanmayan koddan gelirse yakalar; sıradan bir çalıştırılabilir dosyadan 0x1010 isteyen özel bir araç geçer. Bu maskeleri eklemek normal yazılımları içeri alır: temiz Windows 10 istemcisinde Windows Installer ve bir güncelleme servisi tam olarak bu hakları istiyor.
• LSASS'ta açılmayan handle'lar. Bazı teknikler başka bir süreçteki mevcut handle'ı çoğaltır ya da kimlik bilgilerini başka yerden okur (SAM hive'ı, NTDS.dit, domain controller'dan replikasyon).
• Eksik loglama. Süreç erişimi olayları çok sayıdadır, bu yüzden birçok Sysmon yapılandırması onları filtreler. Yapılandırma lsass.exe'ye erişimi tutmalıdır.

Önleme

• LSA protection. HKLM\SYSTEM\CurrentControlSet\Control\Lsa altında RunAsPPL'yi ayarlayın (UEFI kilidiyle 1, kilitsiz 2) ve yeniden başlatın. LSASS böylece korumalı süreç olarak çalışır ve bu koruma seviyesi için imzalanmamış kod belleğini okuyamaz. Varsayılan olarak yalnızca Active Directory ya da Microsoft Entra'ya katılmış, memory integrity çalıştırabilen yeni Windows 11 22H2 ve sonrası kurulumlarda açıktır; LSA'ya yüklenen eklentiler Microsoft imzalı olmalıdır, önce denetim modunda deneyin.
• Credential Guard. NTLM hash'lerini ve Kerberos biletlerini LSASS belleğinin içermediği yalıtılmış bir ortamda tutar.
• Attack surface reduction. Microsoft Defender'ın "Block credential stealing from the Windows local security authority subsystem" kuralı (9e6c4e1f-7d60-472f-ba1a-a39ef669e4b2). Microsoft, LSA protection açıksa bu kuralın gereksiz olduğunu belirtiyor.
• Daha az yönetici. Bu sayfadaki her teknik makinede yönetici ya da debug yetkisi ister.

Pratik

Kuralı aynı veri üzerinde, hedeflerin hepsi etiketliyken kendiniz yazın.

Kaynaklar

• MITRE ATT&CK: T1003.001 LSASS Memory
• Microsoft Learn: Configure added LSA protection
• Microsoft Learn: Attack surface reduction rules reference
• OTRF Security-Datasets (attack recordings used on this page)