Merhaba,
Bu yazımda size hepinizin bildiği, aktif olarak kullandığımız Windows Active Directory’nin (“AD”) güvenliği konusunda birkaç noktaya değinmek istiyorum.
Active Directory belki de bütün kurumların aktif olarak kullandığı ancak yeterli ilginin gösterilmediği bir dizin servisidir.
Yapı içinde oluşturulmamış veya doğru kurgulanmamış parola politikaları, gereğinden fazla yetkilendirilmiş hesaplar, yetkili hesapların ve AD loglarının periyodik olarak gözden geçirilmemesi ve incelenmemesi, kurumların genelde yaptığı hatalar arasındadır.
Neden AD loglarını gözden geçirmeliyiz?
Şirketinize sızan ve sızdıktan hemen sonra yetkili hesap arayan saldırganların yatay hareketlerini takip etmemiz gerekiyor. Bunu yapma yollarının başında logların takibi gelmektedir. Eğer başarısız girişlerin takibini yapmazsanız mutfakta neler oluyor farkına varamazsınız.
Sızıntı sonrasında saldırganlar Pass The Hash, Pass The Ticket, Golden Ticket gibi saldırı metotlarını kullanırken sistem açıklarından yararlanıp yetki yükseltme ataklarında (power up) bulunabilirler. Sistem içine sızan saldırganlar farklı araçlarla domain içinde bilgi alıp yetkili kullanıcı hesaplarını ortaya çıkaracaklardır. Bu araçlardan bir tanesi olan Blood Hound ile yapılacak ufak bir efor ile domain admin kullanıcılarının listesine ulaşılabilir.
İşin güzel yanı bu ürünü güvenlik ekiplerinin AD üzerinde sızma testlerinde de kullanabilmesidir.
Bu noktada kendi kendimize kontrol için kullanabileceğiniz ürünlerden bir tanesi de AD ACL Scanner’dır. Bu araç sistem içinde uzun vadeli kalma düşüncesinde olan saldırganın yaptığı hareketleri gözlemlememizi sağlayabilir.
Daha Güvenli Bir AD Oluşturulması
- Yapınızı izole edin, iş istasyonlarınızın sunucu networküne erişimini engelleyin.
Microsoft’un önerdiği aşağıdaki yapı çoğu kurumda uygulanmamaktadır. Bunun sebebi kullanıcı alışkanlıkları ve kullanım kolaylığının ön planda tutulmasıdır.
- Kritik sistemlerinizin yönetimini kendi bilgisayarlarınızdan yapmak yerine PAW (Privileged Access Workstation)- VDI ya da sıkılaştırılmış sanal makinalar üzerinden yapın.
- Güncel işletim sistemleri kullanın ve güvenlik güncellemelerini takip edip zamanında uygulayın.
- Yetkili kullanıcı hesaplarınızı sınırlayın. Pek çok firmada ihtiyacı olmadığı halde gereksiz yetkilendirilmiş kullanıcı hesaplarını görmek mümkün. Bunları aylık olarak takip etmek ve raporlamak size fayda sağlayacaktır.
- Yerel yönetici parolalarını her cihazda farklı olacak şekilde Windows LAPS ile yönetin.
- AD audit loglarını açın ve mutlaka AD üzerinde oluşan logları takip edin.
- Ldap sorgularınızı SIEM üzerinden takip ediniz.
- Dns security için gerekli önlemleri alın ve firma ölçeğine göre dns firewall kullanın.
- Ayrıcalıklı kullanıcıların güvenliği için “AdminSDHolder” yetkilendirmesini yapın.
- Ayrıcalıklı kullanıcıların güvenliği için “Protected Users” grubunu kullanın.
- Adminlerin standart işlemleri ve yönetim işlemleri için farklı parolaları olan farklı hesaplar kullanmasını sağlayın.
- Administrator ve Built-in hesaplarını kullanmayın.
- AD üzerinde gereksiz ve kullanılmayan servisleri kapatın.
- Orta ve büyük ölçekli yapılarda PAM ve Microsoft Defender for Identity (eski adıyla ATA) ürünlerini kullanın.
- Ekiplerinizi oluşturun ve rol dağılımı yapın.
Windows LAPS ile Yerel Yönetici Parolalarını Yönetin
Yatay hareketi en çok kolaylaştıran zayıflıklardan biri, çok sayıda cihazda aynı yerel yönetici parolasının kullanılmasıdır. Tek bir cihazdan elde edilen parola ya da hash, Pass the Hash gibi yöntemlerle diğer cihazlarda da denenebilir ve saldırgan yazının başında anlattığımız gibi ağ içinde ilerler.
Windows LAPS (Local Administrator Password Solution), Microsoft’un bu sorun için sunduğu, Windows’a dahil çözümdür. Active Directory’ye ya da Microsoft Entra ID’ye katılmış cihazlarda yerel yönetici hesabının parolasını otomatik olarak yönetir ve yedekler. Her cihazın parolasını düzenli aralıklarla yeniler, güvenli biçimde saklar ve yetkili yöneticilerin gerektiğinde cihaza erişmesine ya da cihazı kurtarmasına olanak tanır. Domain denetleyicilerinde DSRM (Directory Services Restore Mode) hesabının parolasını da yönetebilir.
Ne kazandırır?
- Her cihazda farklı ve düzenli yenilenen bir yerel yönetici parolası olur; Pass the Hash ve yatay hareket riski azalır.
- Parolalar Active Directory’de erişim denetim listeleriyle korunur ve istenirse şifrelenerek saklanır; Entra ID’de ise rol tabanlı erişim denetimiyle yönetilir.
- Yardım masası ve acil durum senaryolarında, cihaza başka türlü erişilemediğinde yetkili kişi parolayı alıp cihaza girebilir.
- Ek lisans maliyeti yoktur: parolaları Active Directory’ye yedeklemek için ek lisans gerekmez, Entra ID’ye yedeklemek için en az Entra ID Free lisansı yeterlidir.
Dikkat edilecekler
- Sürüm gereksinimi: Windows 11 23H2 ve sonrasında yerleşiktir. Windows 11 22H2/21H2, Windows 10 ve Windows Server 2019/2022 için 11 Nisan 2023 ve sonrası güncelleştirmeleri gerekir; Windows Server 2025 desteklenir. Windows 10 desteği 14 Ekim 2025’te bitti, yeni dağıtımlarda Windows 11 ya da desteklenen bir Windows Server sürümü tercih edilmelidir.
- Parola nereye yedeklenir: Cihaz yalnızca Active Directory’ye katılmışsa AD’ye, yalnızca Entra ID’ye katılmışsa Entra ID’ye yedekler. Karma katılımı olan cihaz ikisinden birini seçer; aynı anda ikisine yedekleme yapılmaz.
- Eski Microsoft LAPS: 2016’da yayımlanan eski ürün Windows 11 23H2 ve sonrasından itibaren kullanımdan kaldırıldı. Geçiş için bir emülasyon modu vardır, ancak bu modda parolalar AD’de açık metin olarak saklanır; şifreleme ve parola geçmişi kullanılamaz. Microsoft, yeni Windows LAPS’e geçişi şiddetle önerir.
- Yönetim: İlkeler Grup İlkesi ya da Intune (CSP) ile tanımlanır; PowerShell modülü ve ayrı bir olay günlüğü kanalı sunulur.
- Okuma yetkisi: Parolayı kimlerin görebileceğini dar bir yönetici grubuyla sınırlayın ve bu erişimleri loglayın; aksi halde parolaların tek noktada toplanması yeni bir hedef oluşturur.
Ayrıntılar için Microsoft’un Windows LAPS’e genel bakış sayfasına bakabilirsiniz.
Sistem açıklarınız hakkında önce siz bilgi sahibi olun. Saldırganlardan korunmak için sunucularınızın mutlaka zafiyet taramalarını ve sızma testlerinizi yaptırın.
Çıkan sonuçların kapatılması için kendi teknik ekibiniz yeterli değil ise hem ekibinizin eğitim/kariyer planlarını yapın hem de profesyonel destek alın.
Sistemlerinizin güvenliğini aldığınız ürünler değil oluşturduğunuz kurum kültürü ve işlettiğiniz süreçler korur.
Pek çok kurum tabi olduğu regülasyonların sonucunda günlerce süren POC süreçleri sonrasında satın aldıkları ürünleri ilk kullanımdan sonra unutur hale geliyorlar. Bu işlemleri zorunlu olarak yaptırıyor ve çıktılarını takip etmiyorlar.
Ben bu çalışmaların geneline “yasak savar” ismini taktım.
Yasak Savar Nedir? Regülasyonun uymak zorunda bıraktığı kurallara uyar gibi yapmak, ürünü ya da hizmeti alıp süreçleri işletmemektir.
Kurum güvenliğini harcadıkları para ile kıyas eden firmalar olduğu sürece istismar edilen firmaların her geçen gün artması şaşırtıcı değil olağandır.
Hızlı Kontrol Listesi
Kurumunuzda aşağıdakilerden kaçına “evet” diyebiliyorsunuz?
- AD audit logları açık mı ve düzenli inceleniyor mu?
- Başarısız oturum açma denemeleri ve ayrıcalıklı grup değişiklikleri izleniyor mu?
- Domain Admin ve diğer yetkili hesaplar aylık olarak gözden geçiriliyor mu?
- Yöneticiler günlük iş ve yönetim için ayrı hesaplar kullanıyor mu?
- Kritik sistemler PAW ya da sertleştirilmiş yönetim istasyonlarından mı yönetiliyor?
- İş istasyonlarının sunucu ağına erişimi kısıtlı mı?
- Yerel yönetici parolaları Windows LAPS ile cihaz başına farklı ve düzenli yenilenen şekilde yönetiliyor mu?
- AdminSDHolder ve Protected Users uygulanıyor mu?
- Sunucular için zafiyet taraması ve sızma testi düzenli yaptırılıyor mu?
Sık Sorulan Sorular
Active Directory neden saldırganların ilk hedefidir?
Kimlik doğrulama ve yetkilendirme merkezi olduğu için; AD’nin ele geçirilmesi tüm alan üyesi sistemlere erişim anlamına gelir.
AD loglarında hangi olaylar izlenmelidir?
Başarısız oturum açmalar (4625), Kerberos bilet istekleri (4768/4769), özel ayrıcalık atamaları (4672) ve ayrıcalıklı grup üyeliği değişiklikleri (4728/4732/4756).
Windows LAPS nedir?
Windows’a dahil, yerel yönetici parolasını her cihazda farklı olacak şekilde otomatik yenileyip AD’ye ya da Entra ID’ye yedekleyen çözüm.
Eski Microsoft LAPS ile Windows LAPS arasındaki fark nedir?
Windows LAPS işletim sistemine yerleşiktir; parola şifreleme, parola geçmişi ve Entra ID desteği sunar. Eski ürün kullanımdan kaldırılmıştır.
Ayrıcalıklı hesaplar ne sıklıkla gözden geçirilmelidir?
En az ayda bir; ayrıca personel veya görev değişikliklerinde.
Active Directory ortamınızın güvenlik durumunu birlikte değerlendirmek isterseniz Siber Güvenlik ve Bilgi Güvenliği Danışmanlığı hizmetimizi inceleyebilir veya bizimle iletişime geçebilirsiniz.