4768 A Kerberos authentication ticket (TGT) was requested

Event ID 4768, Active Directory ortamında bir kullanıcı veya bilgisayar hesabı için Kerberos Ticket Granting Ticket – TGT talep edildiğinde Domain Controller üzerinde oluşan Security event kaydıdır. Kerberos kimlik doğrulama sürecinde client ilk olarak KDC’den bir TGT talep eder. Bu işlem başarılı olduğunda veya belirli hata senaryolarında Domain Controller üzerindeki Security log içerisinde Event ID 4768 görülebilir. Bu nedenle 4768 yalnızca troubleshooting amacıyla değil, aynı zamanda kullanıcı aktivitelerinin, encryption kullanımının ve şüpheli authentication davranışlarının analizinde de oldukça değerlidir.

Event ID 4768 Nedir?

Event ID 4768’in açıklaması:

A Kerberos authentication ticket (TGT) was requested.

Bu event, Kerberos KDC’nin bir hesap için Ticket Granting Ticket talebini işlemesi sırasında oluşur ve yalnızca Domain Controller üzerinde loglanır. Normal bir kullanıcı domain’e logon olduğunda workstation bir Domain Controller ile iletişim kurarak TGT ister. Bilgiler ve hesap durumu uygunsa KDC TGT’yi oluşturur ve başarılı bir Event ID 4768 kaydı oluşur. Computer account’lar için de aynı event görülebilir. Bilgisayar hesaplarının sonunda bulunan $ karakteri sayesinde bunları kullanıcı hesaplarından kolayca ayırabilirsiniz.

4768 Kerberos Akışının Hangi Aşamasında Oluşur?

Kerberos authentication sürecinin ilk aşamasında client KDC’ye AS-REQ mesajı göndererek bir TGT ister.

1. Client → KDC: AS-REQ
2. KDC → Client: AS-REP + TGT
3. Client → KDC: TGS-REQ
4. KDC → Client: TGS-REP + Service Ticket

Event ID 4768 özellikle ilk iki adımla, yani TGT talebi ve oluşturulmasıyla ilgilidir. Kerberos’un genel çalışma mantığı için Kerberos Nedir? Kerberos Nasıl Çalışır? makaleme göz atabilirsiniz.

Event ID 4768 Nerede Oluşur?

4768 event’i client bilgisayar üzerinde değil, authentication talebini işleyen Domain Controller üzerinde oluşur. Bu event’i görebilmek için aşağıdaki audit policy’nin etkin olması gerekir:

Computer Configuration
Policies
Windows Settings
Security Settings
Advanced Audit Policy Configuration
Audit Policies
Account Logon
Audit Kerberos Authentication Service

Burada hem Success hem de Failure auditing ihtiyaca göre etkinleştirilebilir. Domain Controller’larda bu event’in hacmi yüksek olabilir. Bu nedenle SIEM veya merkezi log toplama sistemlerinde analiz yapılırken filtreleme stratejisini doğru planlamak gerekir.

Event ID 4768 Alanları Nasıl Okunur?

4768 kaydını incelerken tüm alanlara aynı ağırlığı vermiyorum. Troubleshooting ve güvenlik analizi açısından özellikle aşağıdaki bölümler önemlidir.

Account Information

• Account Name: TGT talep edilen kullanıcı veya computer account.
• Supplied Realm Name: Hesabın ait olduğu Kerberos realm veya domain bilgisi.
• User ID: Hesabın SID bilgisi.

Computer account’larda Account Name genellikle SERVER01$ veya CLIENT01$ formatında görünür.

Service Information

TGT talebinde Service Name normal şartlarda krbtgt hesabını gösterir. Bunun nedeni TGT’nin domain içerisindeki Kerberos Ticket Granting Service tarafından oluşturulmasıdır.

Network Information

• Client Address: TGT talebinin geldiği IP adresi.
• Client Port: Kaynak port bilgisi.

Security investigation sırasında benim ilk baktığım alanlardan biri Client Address bilgisidir. Çünkü bir kullanıcının hangi sistemden TGT talep ettiğini anlamaya yardımcı olur.

Additional Information

• Ticket Options
• Result Code
• Ticket Encryption Type
• Pre-Authentication Type

Özellikle Result Code troubleshooting açısından, Ticket Encryption Type ise güvenlik ve Kerberos encryption analizi açısından oldukça değerlidir.

Windows Server 2025 ve Güncel 4768 Alanları

Burada eski Event ID 4768 dokümanlarıyla güncel sistemler arasında önemli bir fark bulunuyor. Windows Server 2016 ve üzeri sistemlerde 14 Ocak 2025 ve sonrası güvenlik güncellemeleriyle birlikte Event 4768’in genişletilmiş sürümü kullanılmaya başlandı. Bu güncel event yapısında Kerberos encryption analizi için ek alanlar görülebilir. Özellikle aşağıdaki bilgiler artık çok daha değerlidir:

• Hesabın desteklediği encryption type’lar,
• Hesap için kullanılabilir Kerberos key’leri,
• KDC tarafından desteklenen encryption type’lar,
• Client tarafından advertise edilen encryption type’lar,
• Session key encryption bilgileri.

Bu alanlar özellikle RC4 kullanımının tespit edilmesi ve AES geçiş projelerinde son derece faydalıdır.

Ticket Encryption Type Nasıl Okunur?

4768 içerisindeki Ticket Encryption Type, Kerberos ticket için kullanılan encryption algoritması hakkında bilgi verir.

Değer	Encryption Type
0x11	AES128-CTS-HMAC-SHA1-96
0x12	AES256-CTS-HMAC-SHA1-96
0x17	RC4-HMAC
0x1	DES-CBC-CRC
0x3	DES-CBC-MD5

Modern Active Directory ortamlarında özellikle 0x17 yani RC4 kullanımını ayrıca izlemek gerekir. Eğer ortamınız AES desteklemesine rağmen TGT’lerde veya service ticket’larda RC4 görüyorsanız bunun nedenini araştırmak doğru olacaktır.

Event ID 4768 Result Code Değerleri

Result Code alanı, TGT talebinin başarılı olup olmadığını veya hangi nedenle başarısız olduğunu anlamamızı sağlar. En sık karşılaştığım ve pratikte en anlamlı result code değerleri aşağıdaki gibidir:

Result Code	Anlamı	Genel Yorum
0x0	Success	TGT başarılı şekilde oluşturuldu.
0x6	Client not found in Kerberos database	Kullanıcı adı yanlış olabilir veya yeni account henüz ilgili DC’ye replicate olmamış olabilir.
0x7	Server not found in Kerberos database	İlgili principal Active Directory içerisinde bulunamıyor olabilir.
0xC	KDC policy rejects request	Logon restriction veya policy kaynaklı olabilir.
0xE	KDC has no support for encryption type	Client, KDC veya hesap arasında encryption type uyumsuzluğu olabilir.
0x12	Client credentials revoked	Account disabled, expired veya benzeri hesap durumu problemi olabilir.
0x17	Password expired	Kullanıcının parolası süresi dolmuş olabilir.
0x20	Ticket expired	Ticket’ın geçerlilik süresi dolmuştur.
0x25	Clock skew too great	Client ve Domain Controller arasındaki saat farkı fazla olabilir.

Eski dokümanlarda 0x18 gibi pre-authentication hatalarını 4768 altında görebilirsiniz. Ancak modern Windows audit davranışında 0x18 – Pre-authentication information was invalid gibi belirli pre-authentication hataları çoğunlukla Event ID 4771 üzerinden izlenir.

0x6 Hatası Ne Anlama Gelir?

0x6 – KDC_ERR_C_PRINCIPAL_UNKNOWN, KDC’nin talep edilen client principal’ı Kerberos database içerisinde bulamadığını gösterir. Pratikte aşağıdaki durumlarda karşılaşılabilir:

• Yanlış username kullanılması,
• Olmayan hesaplarla authentication denemeleri,
• Yeni oluşturulan kullanıcı veya computer account’un henüz ilgili DC’ye replicate olmaması,
• Yanlış domain veya realm bilgisinin kullanılması.

Tek bir 0x6 kaydı her zaman saldırı anlamına gelmez. Ancak aynı IP adresinden çok sayıda farklı kullanıcı hesabı için tekrar eden 0x6 kayıtları görüyorsanız username enumeration veya parola saldırısı ihtimali ayrıca değerlendirilmelidir.

0x12 Hatası Ne Anlama Gelir?

0x12 – KDC_ERR_CLIENT_REVOKED, client hesabının authentication için uygun durumda olmadığını gösterir. Account disabled veya expired gibi durumlarda bu sonucu görebilirsiniz. Özellikle kritik kullanıcı hesaplarında kısa süre içerisinde tekrarlanan 0x12 event’leri görülmesi güvenlik analizi açısından incelenmelidir.

0x25 Clock Skew Too Great Hatası

0x25 Kerberos tarafında özellikle dikkat ettiğim hatalardan biridir. Client ile Domain Controller arasındaki saat farkının kabul edilebilir sınırları aşması durumunda oluşabilir. Bu durumda yalnızca Windows Time servisinin çalışıp çalışmadığını kontrol etmek yeterli değildir. Client’ın hangi NTP kaynağından saat aldığını, domain time hierarchy’nin doğru çalışıp çalışmadığını ve özellikle PDC Emulator üzerindeki zaman kaynağını kontrol etmek gerekir. Bu konuyu daha detaylı olarak Domain Controller ve Client’ların Saat Senkronizasyonu makalemde inceleyebilirsiniz.

4768 ile 4771 Arasındaki Fark Nedir?

4768 ve 4771 event’leri Kerberos authentication sürecinde birbirine yakın olduğu için sıkça karıştırılır.

Event ID	Anlamı
4768	Kerberos TGT talep edildi.
4771	Kerberos pre-authentication başarısız oldu.

Örneğin yanlış parola nedeniyle oluşan pre-authentication hatalarında çoğunlukla 4771 üzerinden daha anlamlı bilgi elde edilir.

4768 ile 4769 Arasındaki Fark Nedir?

Bu iki event Kerberos authentication sürecinin farklı aşamalarını temsil eder:

• 4768: TGT talebi.
• 4769: Service Ticket talebi.

Yani 4768 kullanıcının Kerberos authentication sürecinin başlangıcını gösterirken 4769 kullanıcının belirli bir servise erişmek amacıyla ticket talep ettiğini gösterir.

Event ID 4768 Saldırı Belirtisi midir?

Hayır. 4768 tek başına bir saldırı göstergesi değildir. Normal Active Directory ortamlarında çok sık oluşan bir event’tir. Ancak event’i bağlam içerisinde değerlendirmek gerekir. Aşağıdaki senaryolar benim için daha fazla inceleme gerektirir:

• Aynı IP adresinden çok sayıda farklı account için başarısız TGT talebi,
• Kritik hesaplar için alışılmadık sistemlerden TGT talebi,
• Mesai dışı veya beklenmeyen lokasyonlardan authentication talepleri,
• Çok sayıda 0x6 veya 0x12 result code,
• Beklenmedik RC4 kullanımı,
• Disabled veya kullanılmaması gereken hesapların TGT talep etmesi,
• Kısa sürede olağandışı sayıda authentication request oluşması.

Özellikle tek bir event’e bakarak karar vermek yerine 4768 kayıtlarını 4771, 4769, logon event’leri ve endpoint telemetrisiyle birlikte değerlendirmek daha doğru sonuç verir.

Ben 4768 Analizinde Hangi Alanlara Bakıyorum?

Sahada Event ID 4768 incelerken benim genel kontrol sıram şu şekildedir:

1. Account Name – Hangi hesap TGT istiyor?
2. Client Address – İstek hangi sistemden geliyor?
3. Result Code – İşlem başarılı mı, başarısız mı?
4. Ticket Encryption Type – AES mi, RC4 mü kullanılıyor?
5. Pre-Authentication Type – Authentication yöntemi nedir?
6. Event tekrar ediyor mu?
7. Aynı IP başka hesaplar için de benzer talepler üretiyor mu?
8. 4769 veya 4771 ile korelasyon var mı?

Bu sıralama sayesinde yalnızca tek bir event’in detayına takılmadan olayın hem authentication hem de security tarafındaki bağlamını daha hızlı oluşturabiliyorum.

Örnek Event ID 4768

A Kerberos authentication ticket (TGT) was requested.

Account Information:
    Account Name:       hakan
    Supplied Realm Name: CONTOSO.LOCAL
    User ID:            CONTOSO\hakan

Service Information:
    Service Name:       krbtgt
    Service ID:         CONTOSO\krbtgt

Network Information:
    Client Address:     ::ffff:10.10.10.25
    Client Port:        52134

Additional Information:
    Ticket Options:         0x40810010
    Result Code:            0x0
    Ticket Encryption Type: 0x12
    Pre-Authentication Type: 2

Bu örnekte en temel yorum şudur:

• Result Code 0x0: TGT başarıyla oluşturulmuş.
• Ticket Encryption Type 0x12: AES256 kullanılmış.
• Client Address: Talep 10.10.10.25 adresinden gelmiş.
• Service Name krbtgt: Normal TGT talebidir.

Özet

Event ID 4768, Active Directory ve Kerberos troubleshooting sırasında bilinmesi gereken temel Security event’lerinden biridir. Bir kullanıcı veya computer account için TGT talep edildiğini gösterir ve Domain Controller üzerinde oluşur. Tek başına 4768 görmek bir saldırı anlamına gelmez. Asıl önemli olan Account Name, Client Address, Result Code, Ticket Encryption Type ve diğer Kerberos event’leriyle birlikte değerlendirme yapmaktır. Özellikle güncel Windows Server sürümlerinde Event 4768 içerisinde bulunan encryption type ve supported key bilgileri sayesinde yalnızca authentication hatalarını değil, RC4 gibi eski Kerberos encryption kullanımını da çok daha kolay tespit etmek mümkündür.