Active Directory, Microsoft tarafından geliştirilen ve kurumsal ağ ortamlarında kullanıcıları, bilgisayarları, grupları ve diğer kaynakları merkezi olarak yönetmeyi sağlayan dizin hizmetidir. AD; kimlik doğrulama (authentication), yetkilendirme (authorization) ve dizin hizmetleri sunarak BT altyapısının temelini oluşturur. Windows Server üzerinde çalışan AD, LDAP protokolünü kullanır ve kurumsal ağlarda tek bir noktadan kullanıcı hesapları, gruplar, bilgisayarlar ve güvenlik politikalarının yönetilmesini mümkün kılar.
AD DS (Active Directory Domain Services), şirket içi (on-premises) sunucularda çalışan geleneksel dizin hizmetidir. Kerberos ve NTLM protokolleriyle kimlik doğrulama yapar, Group Policy ile cihaz yönetimi sağlar. Azure Active Directory (Entra ID) ise Microsoft'un bulut tabanlı kimlik ve erişim yönetimi hizmetidir. OAuth 2.0, SAML ve OpenID Connect protokollerini kullanır. Hibrit ortamlarda Azure AD Connect ile ikisi senkronize edilebilir. Azure AD; çok faktörlü kimlik doğrulama (MFA), koşullu erişim ve SaaS uygulama entegrasyonu gibi modern güvenlik özellikleri sunar.
Domain Controller, Active Directory veritabanının bir kopyasını barındıran ve ağdaki kimlik doğrulama isteklerini yanıtlayan sunucudur. DC; kullanıcı oturum açma işlemlerini doğrular, güvenlik politikalarını uygular ve dizin değişikliklerini diğer DC'lere replike eder. Tek bir DC'nin devre dışı kalması tüm ağ erişimini durdurabilir, bu nedenle her domain için en az iki DC bulunması ve coğrafi olarak farklı lokasyonlara yerleştirilmesi önerilir. DC güvenliği, tüm kurumsal BT altyapısının güvenliğinin temelidir.
Group Policy Object (GPO), Active Directory ortamında kullanıcı ve bilgisayar yapılandırmalarını merkezi olarak yönetmek için kullanılan politika mekanizmasıdır. GPO ile yapılabilecekler: parola politikaları (minimum uzunluk, karmaşıklık, süre), yazılım dağıtımı ve kısıtlama, güvenlik duvarı kuralları, USB/çıkarılabilir medya kontrolü, masaüstü ve tarayıcı ayarları, BitLocker şifreleme politikaları. GPO'lar Site → Domain → OU sırasıyla uygulanır ve çakışmalarda en son uygulanan politika geçerli olur.
Kerberos, Active Directory'nin varsayılan kimlik doğrulama protokolüdür ve bilet (ticket) tabanlı bir sistem kullanır. Süreç: (1) Kullanıcı, Key Distribution Center'a (KDC) kimlik bilgilerini gönderir. (2) KDC, Ticket Granting Ticket (TGT) verir. (3) Kullanıcı, TGT ile servis bileti (Service Ticket) talep eder. (4) Servis bileti ile hedef kaynağa erişir. Bu süreçte parola ağ üzerinden iletilmez. Kerberos'a yönelik başlıca saldırılar: Kerberoasting, Golden Ticket, Silver Ticket ve Pass-the-Ticket saldırılarıdır.
LDAP (Lightweight Directory Access Protocol), dizin hizmetlerine erişmek ve sorgulamak için kullanılan standart bir protokoldür. Active Directory, LDAP'ı temel erişim protokolü olarak kullanır. LDAP üzerinden kullanıcı arama, grup üyeliği sorgulama, nesne özelliklerini okuma ve değiştirme işlemleri yapılır. Güvenlik açısından LDAPS (LDAP over SSL/TLS) kullanılması, ağ üzerindeki verilerin şifrelenmesi için kritik önem taşır. LDAP sorgularının loglama ve izlenmesi, olası keşif saldırılarını tespit etmede yardımcı olur.
OU'lar, Active Directory nesnelerini mantıksal olarak gruplandırmak ve Group Policy uygulamak için kullanılan kapsayıcılardır. Etkili bir OU tasarımı: Departman bazlı (IT, Finans, İK), lokasyon bazlı (İstanbul, Ankara) veya hibrit yaklaşımla yapılabilir. İyi bir OU yapısı; yönetim yetkilerinin devredilmesini (delegation) kolaylaştırır, GPO uygulamasını verimli kılar ve güvenlik yönetimini basitleştirir. Fazla iç içe OU'lardan kaçınılmalı, genellikle 5 seviyeyi geçmemesi önerilir.
AD ortamlarında sık karşılaşılan güvenlik açıkları: Zayıf parola politikaları (kısa, basit, değiştirilmeyen parolalar), aşırı ayrıcalıklı hesaplar (Domain Admin grubunda gereksiz kullanıcılar), eski ve kullanılmayan hesaplar (deaktif edilmemiş), Kerberoasting'e açık servis hesapları (SPN ile tanımlı, zayıf parolalı), güvensiz LDAP bağlantıları (şifresiz), yetersiz loglama ve AdminSDHolder korumasının yanlış yapılandırılması. Düzenli AD güvenlik denetimi bu açıkların proaktif olarak tespit edilmesini sağlar.
Pass-the-Hash (PtH), saldırganın ele geçirdiği NTLM parola hash'ini kullanarak, parolayı bilmeden kimlik doğrulama yapmasıdır. Pass-the-Ticket (PtT) ise çalınan Kerberos biletleriyle kaynaklara erişim sağlanmasıdır. Her iki saldırı da yanal hareket (lateral movement) için kullanılır. Önleme yöntemleri: Credential Guard etkinleştirme, LAPS (Local Administrator Password Solution) kullanımı, ayrıcalıklı erişim iş istasyonları (PAW), ağ segmentasyonu ve Windows Defender Credential Guard ile bellek koruma.
Golden Ticket saldırısında, KRBTGT hesabının hash'i ele geçirilerek sahte TGT (Ticket Granting Ticket) oluşturulur; bu bilet domain'deki tüm kaynaklara sınırsız erişim sağlar ve varsayılan olarak 10 yıl geçerlidir. Silver Ticket ise belirli bir servisin hash'iyle oluşturulan sahte servis biletidir; kapsamı daha dar olmakla birlikte KDC'den geçmediği için tespit edilmesi daha zordur. Önleme: KRBTGT parolasını düzenli olarak iki kez sıfırlamak, servis hesaplarına güçlü parolalar atamak ve anormal bilet kullanımlarını izlemek.
Ayrıcalıklı hesap yönetimi (PAM - Privileged Access Management): En az yetki prensibi uygulanmalı; Domain Admins grubunda yalnızca gerçekten ihtiyaç duyan hesaplar bulunmalıdır. Ayrı yönetici hesapları kullanılmalı (günlük kullanım için ayrı, yönetim için ayrı). Privileged Access Workstation (PAW) ile yönetim işlemleri izole ortamda yapılmalıdır. Just-In-Time (JIT) erişim ile ayrıcalıklar geçici olarak verilmelidir. Tüm ayrıcalıklı hesap etkinlikleri loglanmalı ve SIEM ile izlenmelidir.
AD replikasyonu, Domain Controller'lar arasında dizin veritabanı değişikliklerinin senkronize edilmesi sürecidir. Intra-site replikasyon (aynı site içi) genellikle 15 saniye içinde gerçekleşir; inter-site replikasyon (siteler arası) yapılandırılmış zamanlama ile çalışır. Yaygın sorunlar: DNS çözümleme hataları, ağ bağlantı kopuklukları, USN rollback, lingering objects. Teşhis araçları: repadmin /replsummary, repadmin /showrepl, dcdiag /test:replications. Sağlıklı replikasyon, AD ortamının tutarlılığı ve güvenilirliği için kritiktir.
Active Directory, DNS'e sıkı şekilde bağımlıdır; DNS olmadan AD çalışamaz. Domain Controller'lar, SRV kayıtları aracılığıyla bulunur ve Kerberos kimlik doğrulama sürecinde DNS çözümlemesi gereklidir. En iyi uygulamalar: AD entegreli DNS bölgeleri kullanmak, dinamik güncellemeleri güvenli modda (secure only) yapılandırmak, DNS scavenging ile eski kayıtları temizlemek, koşullu yönlendiriciler (conditional forwarders) yapılandırmak ve DNS sunucu olarak mutlaka DC'leri kullanmak. DNS güvenliği doğrudan AD güvenliğini etkiler.
LAPS, her bilgisayarın yerel yönetici parolasını benzersiz, rastgele ve düzenli olarak değişen bir parola ile yönetmeye yarayan Microsoft çözümüdür. LAPS olmadan tüm bilgisayarlarda aynı yerel yönetici parolası kullanılır ve bu durum Pass-the-Hash saldırılarını kolaylaştırır. Kurulum: LAPS istemci uzantısı tüm bilgisayarlara dağıtılır, AD şeması genişletilir, GPO ile parola politikaları tanımlanır. Windows LAPS (yeni sürüm) Azure AD desteği, parola şifreleme ve denetim günlüğü gibi ek özellikler sunar.
AD FS, farklı kuruluşlar ve uygulamalar arasında güvenli kimlik federasyonu sağlayan bir hizmettir. Kullanıcıların tek bir kimlik bilgisiyle (SSO - Single Sign-On) birden fazla uygulamaya erişmesini mümkün kılar. SAML 2.0, WS-Federation ve OAuth protokollerini destekler. Kullanım senaryoları: bulut uygulamalarına kurumsal kimlikle erişim, iş ortakları arası güvenli paylaşım, Office 365 federasyonu. Güncel eğilim olarak Microsoft, AD FS yerine Azure AD (Entra ID) kullanımını önermeye başlamıştır.
AD denetimi, güvenlik olaylarının izlenmesi ve potansiyel tehditlerin tespit edilmesi için kritiktir. Temel denetim politikaları: Hesap oturum açma olayları (Event ID 4624, 4625), hesap yönetimi (4720, 4726, 4728), dizin hizmeti erişimi, nesne erişimi ve politika değişiklikleri. İleri düzey denetim için Advanced Audit Policy Configuration kullanılmalıdır. Toplanan loglar bir SIEM çözümüne (Splunk, Microsoft Sentinel, Wazuh) gönderilerek merkezi analiz ve korelasyon yapılmalıdır.
Tier Model, Active Directory ortamında ayrıcalıklı erişimi katmanlara ayırarak güvenliği artıran bir mimari yaklaşımdır. Tier 0: Domain Controller'lar, AD yönetim sunucuları ve KRBTGT gibi en kritik varlıklar. Tier 1: Uygulama sunucuları, veritabanı sunucuları, dosya sunucuları. Tier 2: İş istasyonları ve son kullanıcı cihazları. Temel kural: üst katmandaki bir hesap alt katmanda oturum açamaz (credential exposure önleme). Bu model, bir iş istasyonunun ele geçirilmesinin Domain Controller'a uzanmasını engeller.
AD yedekleme stratejisi: System State yedekleme (AD veritabanı, SYSVOL, kayıt defteri dahil), düzenli aralıklarla (günlük veya en az haftalık), tombstone lifetime (varsayılan 180 gün) süresi içinde. Kurtarma seçenekleri: Nonauthoritative restore (tek DC kurtarma, replikasyonla güncelleme), authoritative restore (silinen nesneleri geri getirme), AD Recycle Bin (silinmiş nesneleri kolay kurtarma — mutlaka etkinleştirilmelidir). Felaket senaryosuna karşı yılda en az bir kez forest recovery testi yapılmalıdır.
Active Directory Certificate Services (AD CS), kurumsal PKI (Public Key Infrastructure) altyapısını oluşturur ve sertifika tabanlı kimlik doğrulama sağlar. Son yıllarda ESC1-ESC8 olarak adlandırılan AD CS güvenlik açıkları (Certified Pre-Owned araştırması) büyük dikkat çekmiştir. Bu açıklar; yanlış yapılandırılmış sertifika şablonları, aşırı izinler ve güvensiz kayıt (enrollment) politikalarından kaynaklanır. Önlemler: sertifika şablonlarını denetlemek, gereksiz şablonları kaldırmak, DVBA izinlerini sıkılaştırmak ve CA sunucusunu Tier 0 varlık olarak korumak.
AD güvenlik değerlendirmesi kapsamlı bir süreçtir: (1) Envanter çıkarma — tüm DC'ler, hesaplar, gruplar ve güven ilişkileri. (2) Ayrıcalık analizi — Domain Admins, Enterprise Admins ve AdminSDHolder korumalı grupların incelenmesi. (3) Parola politikası ve zayıf parola taraması. (4) Kerberos yapılandırma kontrolü (SPN'ler, delegasyon ayarları). (5) GPO güvenlik incelemesi. (6) AD CS şablon denetimi. Araçlar: PingCastle, Purple Knight, BloodHound (savunma amaçlı) ve Adalanche. Değerlendirme sonuçları risk skorlarıyla raporlanır ve iyileştirme yol haritası oluşturulur.