Merhaba

Ön Not – Kapsam ve Amaç

Bu seri, Windows Server 2025 ile birlikte gelen Active Directory Domain Services (AD DS) dünyasını uçtan uca kavratmak amacıyla yazılmıştır. Odak noktası tek tek ürünler değil, mimarinin ve sürecin kendisidir: hangi bileşenin neden var olduğu, nasıl kurulduğu, yönetildiği ve güvenliğinin nasıl sağlandığı.

Metindeki donanım, yazılım ve komut örnekleri (ürün adları, Event ID’ler, PowerShell parametreleri, sürüm numaraları) versiyona, sürüme ve yıllara göre değişiklik gösterebilir. Bir ayarın adı değişebilir, bir ürün yaşam döngüsünü tamamlayabilir, yeni bir alternatif ortaya çıkabilir. Bu nedenle örnekleri birebir kopyalanacak reçeteler olarak değil, mantığı kavramak için birer illüstrasyon olarak okuyun; kendi ortamınıza uygularken ilgili üreticinin (Microsoft) güncel dokümantasyonunu esas alın.

Kısacası: amaç, mimariyi ve mantığı anlamaktır. Örnekler bugünün fotoğrafıdır; ilke ise kalıcıdır.

Seri Bölümleri:

1. Bölüm 1: Temeller ve Mimari
2. Bölüm 2: Kurulum ve Kimlik Doğrulama
3. Bölüm 3: Yönetim ve Güvenlik ← (Bu Yazı)
4. Bölüm 4: Yönetim Araçları ve Hibrit Kimlik

Serinin üçüncü bölümüne hoş geldiniz. Önceki bölümlerde AD (Active Directory)’nin mimarisini ve kurulumunu ele almıştık. Bu yazıda günlük yönetim ve güvenliğin kalbine iniyoruz: SYSVOL/DFS-R mimarisi, Group Policy (GPO) yönetimi, kullanıcı/grup/servis hesabı yönetimi (gMSA/dMSA), AD güvenliği ve sıkılaştırma (saldırı vektörleri, RC4/Kerberoasting, tiering, PAW/PAM), yedekleme/kurtarma ve izleme/denetim.

9. SYSVOL ve DFS-R (Distributed File System Replication) Mimarisi

SYSVOL, tüm DC (Domain Controller)’lerde bulunan ve Group Policy şablonlarını GPT (Group Policy Template) ile oturum açma betiklerini barındıran paylaşımlı bir klasör yapısıdır.\\domain.com\SYSVOL yolundan erişilir ve NETLOGON paylaşımını da içerir.

9.1. SYSVOL İçeriği ve GPO (Group Policy Object)’nun İki Parçası

Bir GPO (Group Policy Object) iki parçadan oluşur ve iki farklı yerde saklanır:

• GPC (Group Policy Container): AD (Active Directory) veritabanında saklanan kısım (metadata, sürüm numarası, bağlantılar). AD (Active Directory) replikasyonu ile yayılır.
• GPT (Group Policy Template): SYSVOL’de saklanan dosya tabanlı kısım (asıl ayarlar, betikler, ADMX). DFS-R (Distributed File System Replication) ile yayılır.

Bu iki parçanın sürüm numaraları eşleşmelidir. Eşleşmezse (Ör. biri replike olurken diğeri olmazsa), GPO (Group Policy Object) uygulanmaz bu, “GPO (Group Policy Object) çalışmıyor” şikayetlerinin sık nedenidir.

9.2. DFS-R (Distributed File System Replication)

SYSVOL replikasyonu, Windows Server 2008’den beri DFS-R (Distributed File System Replication) ile yapılır. DFS-R (Distributed File System Replication), RDC (Remote Differential Compression) teknolojisi sayesinde yalnızca değişen dosya bloklarını aktarır tüm dosyayı değil. Bu, bant genişliği verimliliği sağlar. DFS-R (Distributed File System Replication) multi-master ve çift yönlüdür.

🔄 FRS (File Replication Service) → DFS-R (Distributed File System Replication) geçişi ZORUNLUDUR: Eski FRS (File Replication Service), Windows Server 2016’dan itibaren tamamen desteklenmez. Windows Server 2025 DC (Domain Controller) eklemek için SYSVOL mutlaka DFS-R (Distributed File System Replication) kullanmalıdır. Hala FRS (File Replication Service) kullanan ortamlar dfsrmig aracıyla dört durumlu geçişi (Start → Prepared → Redirected → Eliminated) tamamlamalıdır.

9.3. SYSVOL/DFS-R (Distributed File System Replication) Sağlık Kontrolü

# SYSVOL'ün DFS-R mi FRS mi kullandığını kontrol et
dfsrmig /getglobalstate

# FRS → DFS-R geçişi (hala FRS kullanılıyorsa)
dfsrmig /setglobalstate 1   # Prepared
dfsrmig /setglobalstate 2   # Redirected
dfsrmig /setglobalstate 3   # Eliminated (geri alınamaz)

# DFS-R replikasyon durumu
dfsrdiag ReplicationState

# SYSVOL sağlık testi
dcdiag /test:SysVolCheck /test:FrsSysVol

# SYSVOL ve NETLOGON paylaşımlarını doğrula
Get-SmbShare SYSVOL, NETLOGON

10. Group Policy Object (GPO) Yönetimi ve İşleme Akışı

Group Policy, kullanıcı ve bilgisayarlara merkezi olarak yapılandırma ve güvenlik ayarları uygulamanın temel mekanizmasıdır parola politikalarından yazılım dağıtımına, ekran kilidinden USB kısıtlamasına kadar.

10.1. GPO (Group Policy Object) İşleme Sırası: LSDOU

GPO (Group Policy Object)’lar belirli bir sırayla uygulanır ve sonra uygulanan, önceki ayarları ezer. Bu sıra LSDOU kısaltmasıyla bilinir:

1. Local – Yerel bilgisayar politikası
2. Site – Site düzeyi GPO (Group Policy Object)’lar
3. Domain – Domain düzeyi GPO (Group Policy Object)’lar
4. OU – OU (Organizational Unit)’lar (üst OU (Organizational Unit)’dan alt OU (Organizational Unit)’ya, iç içe)

Aynı seviyede birden fazla GPO (Group Policy Object) varsa, link sırası (link order) belirler: numara 1 en yüksek öncelikli olup en son (dolayısıyla kazanan olarak) uygulanır.

10.2. Öncelik Kuralları

• Enforced (Zorla): Bir GPO (Group Policy Object) “Enforced” işaretlenirse, alt seviyedeki ezme girişimlerini geçersiz kılar ve kazanır.
• Block Inheritance (Devralmayı Engelle): Bir OU (Organizational Unit), üst seviyeden gelen GPO (Group Policy Object)’ları devralmayı engeller. (Ancak Enforced GPO (Group Policy Object)’lar bunu da aşar.)
• Security Filtering (Güvenlik Filtreleme): GPO (Group Policy Object)’nun yalnızca belirli kullanıcı/grup/bilgisayara uygulanmasını sağlar.
• WMI Filtering: Koşula bağlı uygulama (Ör. yalnızca belirli OS sürümü veya RAM miktarına sahip makineler).

10.3. Yenileme (Refresh) ve İstemci Tarafı Uzantıları

GPO (Group Policy Object)’lar şu anlarda uygulanır: bilgisayar politikaları başlangıçta, kullanıcı politikaları oturum açıldığında; ayrıca arka planda yaklaşık 90 dakikada bir (±30 dk rastgele offset). Manuel yenileme için gpupdate /force kullanılır. Uygulamayı CSE (Client-Side Extensions) gerçekleştirir: Registry, Güvenlik, Betikler, Yazılım Kurulumu, Klasör Yönlendirme ve Group Policy Preferences.

10.4. GPO (Group Policy Object) Yönetimi ve Doğrulama (PowerShell)

# GPO modülünü içe aktar
Import-Module GroupPolicy

# Yeni GPO oluştur ve bir OU'ya bağla
New-GPO -Name "BT-Güvenlik-Politikası" -Comment "Tier 1 sunucu sıkılaştırma"
New-GPLink -Name "BT-Güvenlik-Politikası" -Target "OU=Sunucular,DC=bakicubuk,DC=com" -LinkEnabled Yes

# Tüm GPO'ları listele ve rapor üret
Get-GPO -All | Select-Object DisplayName, GpoStatus, ModificationTime
Get-GPOReport -All -ReportType Html -Path "C:\Temp\TumGPOlar.html"

# Bir kullanıcı/bilgisayar için etkin sonuç politikasını gör (RSoP)
gpresult /h C:\Temp\rsop-rapor.html /f
gpresult /r /scope computer

# GPO yedekle / geri yükle
Backup-GPO -All -Path "C:\GPO-Yedek"

🔄 Modern Not: GPO (Group Policy Object) hala şirket içi Windows yönetiminin standardıdır; ancak politika yönetimi giderek GPO (Group Policy Object) + Microsoft Intune (Bulut MDM) hibrit modeline evriliyor. Entra join edilmiş cihazlar GPO (Group Policy Object) yerine Intune yapılandırma profilleriyle yönetilir.

11. Kullanıcı, Grup ve Servis Hesabı Yönetimi

11.1. Grup Türleri ve Kapsamları

AD (Active Directory)’de gruplar, ağdaki kullanıcı ve bilgisayar yönetimini kolaylaştırmak için iki temel türe ayrılır: Güvenlik grupları (Security Groups) ve Dağıtım grupları (Distribution Groups). İkisi arasındaki temel fark, izin yönetimi (SID) ve kullanım amaçlarıdır.

Güvenlik Grupları (Security Groups)

• Kullanım amacı: Paylaşılan kaynaklara (dosyalar, klasörler, yazıcılar vb.) erişim izinleri atamak için kullanılır.
• İşleyiş: Kullanıcılara tek tek izin vermek yerine, ilgili kullanıcılar bir güvenlik grubunda toplanır ve izinler bu gruba tanımlanır. Bu, yönetimi büyük ölçüde basitleştirir.
• Önemli özellik: Sisteme her güvenlik grubuna bir SID (Security Identifier) atanır. Bu sayede grup, ACL (Access Control List) yapılarına dahil edilebilir yani bir kaynağın izin listesinde doğrudan yer alabilir.
• Ek özellik: Exchange ortamında “mail-enabled” yapılırsa, güvenlik grupları aynı zamanda toplu e-posta gönderimi için de kullanılabilir.

Dağıtım Grupları (Distribution Groups)

• Kullanım amacı: Yalnızca e-posta listeleri ve mesaj dağıtımı oluşturmak için kullanılır.
• İşleyiş: Exchange gibi e-posta sunucularında, gruba atanan tek bir e-posta adresiyle gruptaki tüm üyelere aynı anda mail gönderilir.
• Önemli özellik: Bu gruplara SID atanmaz. Bu nedenle dosya sunucusu, yazıcı gibi kaynaklarda yetkilendirme amacıyla kullanılamazlar. ACL (Access Control List)’lere dahil edilemezler.

Özetle: İzin/yetkilendirme gerekiyorsa Güvenlik Grubu (Security Group), yalnızca e-posta dağıtımı gerekiyorsa Dağıtım Grubu (Distribution Group) kullanılır. Bir Güvenlik grubu (Security Group) her iki işi de görebilirken, Dağıtım grubu (Distribution Group) izin yönetiminde kullanılamaz.

Grup Kapsamları (Group Scope)
Her iki grup türü de kullanım ihtiyacına göre üç farklı kapsama atanabilir:

• Domain Local: Kaynaklara izin atamak için; üyeler her domainden gelebilir, ancak yalnızca kendi domainindeki kaynaklara uygulanır.
• Global: Benzer erişim gereksinimli kullanıcıları gruplamak için; üyeler yalnızca kendi domaininden, ancak forest’ın her yerindeki kaynaklara uygulanabilir.
• Universal: Çoklu domain senaryoları (tüm forest yapısı) için; üyeler ve kaynaklar forest genelinde olabilir.

AGDLP / AGUDLP en iyi uygulaması: Kurumsal standart, izin atamada belirli bir zinciri izler. Bu yöntemin amacı, kullanıcıya hiçbir zaman doğrudan izin vermemek; bunun yerine grupları iç içe geçirerek yönetilebilir ve ölçeklenebilir bir yapı kurmaktır.

AGUDLP açılımı ve karşılıkları:

• A - Account (Kullanıcı Hesabı): Kullanıcıların kendisi.
• G - Global group (Global Grup): Hesapların toplandığı grup. Kullanıcılar buraya üye edilir.
• U - Universal group (Universal Grup): Çoklu domain/forest ortamlarında global grupların toplandığı grup. Global gruplar buraya üye edilir.
• DL - Domain Local group: Kaynağın bulunduğu domaindeki grup. Universal (veya global) gruplar buraya üye edilir.
• P - Permission (İzin): Kaynak izinleri. Domain local gruba atanır.

Yani üyelik zinciri şöyle akar:

Account → üye olur → Global → üye olur → Universal → üye olur → Domain Local → izin atanır → Permission

Tek domainli ortamda Universal katmanı çıkar ve zincir AGUDLP olur: Account → Global → Domain Local → Permission. AGUDLP ise araya U (Universal)’nun eklendiği, birden fazla domain/forest’ın bulunduğu senaryodur.

Kısa mantık: Her harf bir öncekini “kapsar”; izin her zaman en sondaki Domain Local gruba verilir ve kullanıcı hiçbir zaman doğrudan izin almaz. Bu yaklaşım, izinlerin tek noktadan (domain local grup) yönetilmesini sağlar; erişim vermek/almak, kullanıcıyı ilgili global gruba ekleyip çıkarmaktan ibaret hale gelir.

11.2. Kullanıcı ve Grup Yönetimi (PowerShell)

Import-Module ActiveDirectory

# Yeni kullanıcı oluştur
New-ADUser `
    -Name "Baki Cubuk" `
    -GivenName "Baki" -Surname "Cubuk" `
    -SamAccountName "baki.cubuk" `
    -UserPrincipalName "[email protected]" `
    -Path "OU=BT,DC=bakicubuk,DC=com" `
    -AccountPassword (Read-Host -AsSecureString "Parola") `
    -Enabled $true -ChangePasswordAtLogon $true

# Toplu kullanıcı oluşturma (CSV'den)
Import-Csv "C:\kullanicilar.csv" | ForEach-Object {
    New-ADUser -Name $_.Ad -SamAccountName $_.Kullanici `
        -UserPrincipalName "$($_.Kullanici)@bakicubuk.com" `
        -Path $_.OU -Enabled $true `
        -AccountPassword (ConvertTo-SecureString $_.Parola -AsPlainText -Force)
}

# Grup oluştur ve üye ekle
New-ADGroup -Name "GG-BT-Yoneticileri" -GroupScope Global -GroupCategory Security -Path "OU=Gruplar,DC=bakicubuk,DC=com"
Add-ADGroupMember -Identity "GG-BT-Yoneticileri" -Members "baki.cubuk"

# Denetim: 90 gündür oturum açmamış hesapları bul
Search-ADAccount -AccountInactive -TimeSpan 90.00:00:00 -UsersOnly |
    Where-Object Enabled -eq $true |
    Select-Object Name, LastLogonDate, DistinguishedName

11.3. Servis Hesapları: MSA, gMSA ve dMSA

Servisler ve uygulamalar, ağ kaynaklarına erişmek için hesaplara ihtiyaç duyar. Geleneksel yaklaşımda bunlar statik parolalı kullanıcı hesaplarıydı büyük bir güvenlik riski. AD (Active Directory), zamanla bu sorunu çözmek için üç nesil servis hesabı sundu:

• MSA (Managed Service Account): Windows Server 2008 R2 ile geldi. Parolası AD (Active Directory) tarafından otomatik yönetilen, tek bir makineye bağlı domain hesabı.
• gMSA (group Managed Service Account): Windows Server 2012 ile geldi. Parolası AD (Active Directory) tarafından yönetilen ve birden fazla sunucuda (ör. NLB kümesi, web çiftliği) kullanılabilen hesap. En yaygın modern servis hesabı türü.
• dMSA (delegated Managed Service Account): Windows Server 2025’in yeni özelliği. Aşağıda detaylandırıldı.

11.4. dMSA – Windows Server 2025’in Yeni Servis Hesabı

dMSA, geleneksel servis hesaplarının güvenlik açıklarını (özellikle Kerberoasting) hedef alan yeni bir hesap türüdür. Temel farkı: kimlik doğrulama cihaz kimliğine (device identity) bağlanır yalnızca AD (Active Directory)’de eşlenmiş belirli makine kimlikleri hesaba erişebilir. dMSA, geleneksel bir servis hesabından makine hesabına geçişe olanak tanırken, orijinal servis hesabının parolasını tamamen devre dışı bırakır ve anahtarları tamamen rastgele yönetir.

dMSA, Credential Guard ile birlikte çalışarak parolaları otomatik döndürür ve tüm servis hesabı biletlerini bağlar; eski hesaplar ise devre dışı bırakılır.

# KDS root key oluştur (ilk kez, gMSA/dMSA altyapısı için - 10 saat bekler)
Add-KdsRootKey -EffectiveImmediately   # Lab için: -EffectiveTime ((Get-Date).AddHours(-10))

# gMSA oluştur (yaygın senaryo)
New-ADServiceAccount -Name "gmsa-sql01" `
    -DNSHostName "gmsa-sql01.bakicubuk.com" `
    -PrincipalsAllowedToRetrieveManagedPassword "SQL-Sunucular$"

# dMSA oluştur (Windows Server 2025 - standalone)
New-ADServiceAccount -Name "dmsa-app01" -Type "DelegatedManagedServiceAccount" `
    -DNSHostName "dmsa-app01.bakicubuk.com"

⚠️ dMSA güvenlik notu: dMSA güçlü koruma sağlar, ancak her AD (Active Directory) yapısı gibi doğru izin ataması ve denetime bağlıdır. dMSA konteynerinde “Generic All” gibi geniş izinler ele geçirilirse tüm korumalar çöker. Ayrıca dMSA yeni olduğundan bazı SIEM/tespit kuralları henüz olgunlaşmamış olabilir. dMSA geçişini izlemek için Kerberos Event ID 307 (geçiş başladı), 308 (makine yetkilendirildi) ve 309 (Kerberos istemcisi anahtarları aldı) izlenir.

12. Active Directory Güvenliği ve Sıkılaştırma

Active Directory, saldırganların birincil hedefidir: bir kez ele geçirilirse tüm kurumsal kimliğin kontrolü kaybedilir. Bu bölüm, modern AD (Active Directory) güvenliğinin temel saldırı vektörlerini ve savunma katmanlarını ele alır.

12.1. Başlıca Saldırı Vektörleri

• Kerberoasting: Saldırgan, SPN’e (Service Principal Name) sahip servis hesaplarının servis biletlerini talep eder ve çevrimdışı olarak kaba kuvvetle parolayı kırmaya çalışır. Zayıf parolalı servis hesapları en büyük risktir. Savunma: gMSA/dMSA kullanın (~120 karakter / 240 baytlık, otomatik döndürülen yönetilen parolalar pratikte kırılamaz), servis hesaplarında AES şifreleme zorunlu kılın, RC4’ü devre dışı bırakın. (Bu saldırının teknik detayı ve RC4 ilişkisi aşağıda açıklanmıştır.)
• Pass-the-Hash (PtH): Saldırgan, ele geçirdiği NTLM hash’ini parolayı bilmeden kimlik doğrulama için kullanır. Savunma: Credential Guard (WS2025’te varsayılan), Tiered Administration (katmanlı yönetim), LAPS.
• Pass-the-Ticket (PtT): Çalınan Kerberos biletiyle (özellikle TGT) kimliğe bürünme. Savunma: Credential Guard, ayrıcalıklı hesaplar için kısa bilet ömrü.
• Golden Ticket / Silver Ticket: krbtgt hesabının hash’i ele geçirilirse saldırgan istediği kimlik için sahte TGT üretebilir (Golden Ticket). Savunma: krbtgt parolasını periyodik (iki kez) döndürün, Tier 0’ı sıkı koruyun.
• DCSync: “Replicate Directory Changes” iznine sahip bir hesapla saldırgan, DC (Domain Controller) gibi davranıp parola hash’lerini replike ister. Savunma: Bu izinleri denetleyin, yalnızca DC (Domain Controller)’lerde ve senkronizasyon hesaplarında olmalıdır.
• AD CS (Active Directory Certificate Services) saldırıları (ESC1-ESC8): Yanlış yapılandırılmış sertifika şablonları ayrıcalık yükseltmeye izin verebilir. Özellikle ESC8 (NTLM relay ile CA’ya) ve sertifika tabanlı Domain Admin yükseltmeleri kritiktir. Savunma: Sertifika şablonu izinlerini denetleyin, CA’da HTTP kayıt uç noktalarını (web enrollment) kısıtlayın.

RC4, Kerberos ve Kerberoasting: Teknik Derinlik

Yukarıdaki savunma reçetesini (gMSA/dMSA + AES + RC4 kapatma) daha iyi anlamak için RC4’ün neden bir zafiyet kaynağı olduğuna yakından bakmak gerekir.

RC4 (Rivest Cipher 4) nedir ve neden zayıftır? RC4, 1987’de Ron Rivest tarafından tasarlanan bir akış şifreleme (stream cipher) algoritmasıdır. Uzun yıllar SSL/TLS, WEP ve Kerberos gibi yerlerde yaygın kullanıldı; ancak günümüzde kriptografik olarak kırık/zayıf kabul edilir. Zayıflığının temel nedeni, ürettiği anahtar akışında (keystream) istatistiksel önyargıların (biases) bulunmasıdır özellikle ilk baytlar rastgelelikten sapar. Yeterli şifreli metin toplandığında düz metin kısmen kurtarılabilir. WEP’in çökmesinin ve TLS’te RC4’ün yasaklanmasının (RFC 7465) temel sebebi budur.
Kerberos bağlamında kritik nokta: Kerberos, bir hesabın parolasından türetilen anahtarla bilet şifreler. RC4 kullanıldığında bu anahtar, parolanın NTLM hash’inin doğrudan kendisidir tuz (salt) yok, iterasyon yok. Bu, Kerberoasting saldırısını mümkün kılan zafiyettir: saldırgan bir servis hesabının SPN’i için TGS bileti ister; bilet RC4 ile şifrelenmişse, çevrimdışı olarak parola tahminleriyle hızla kırılabilir. Zayıf veya insan tarafından belirlenmiş servis hesabı parolaları böyle ele geçirilir.

Savunma önlemlerinin her biri bu saldırı yüzeyinin belirli bir kısmını kapatır:

• gMSA/dMSA kullanımı: Yönetilen servis hesapları, AD (Active Directory) tarafından üretilen ~120 karakterlik (240 bayt), karmaşık ve otomatik döndürülen (varsayılan 30 gün) parolalar kullanır. Bu parolalar çevrimdışı kaba kuvvetle pratik olarak kırılamaz; Kerberoasting’i etkisiz hale getirir.
• AES zorunluluğu: Servis hesaplarında msDS-SupportedEncryptionTypes değeri AES128/AES256’ya ayarlanırsa, Kerberos biletleri AES ile şifrelenir. AES anahtar türetiminde salt ve 4096 iterasyonlu string-to-key kullanılır; bu, çevrimdışı kırmayı kat kat zorlaştırır.
• RC4’ü devre dışı bırakmak: AES açık olsa bile RC4 açık kalırsa, saldırgan downgrade ile RC4 bileti isteyebilir. Bu nedenle RC4’ü (ve DES’i) domain genelinde kapatmak, downgrade yolunu kesmek için kritiktir.

⚠️ Kademeli geçiş uyarısı: Eski sistemler, güven ilişkileri (trust) veya bazı uygulamalar hala RC4’e bağımlı olabilir. RC4’ü aniden kapatmak servis kesintisine yol açabilir. Doğru yaklaşım: önce denetlemek (event log’larla RC4 kullanan hesapları tespit etmek Event ID 4768/4769’da şifreleme türü 0x17 RC4’ü gösterir), sonra bağımlılıkları gidererek kademeli geçiş yapmaktır.

12.2. Tiered Administration (Katmanlı Yönetim) Modeli

En etkili AD (Active Directory) savunması, kimlik bilgisi hijyenidir. Katmanlı model (Tier 0/1/2), yüksek ayrıcalıklı kimliklerin düşük güvenlikli sistemlerde asla açığa çıkmamasını sağlar:

• Tier 0 kimlikleri (Domain Admin vb.) yalnızca Tier 0 sistemlerde (DC (Domain Controller)’ler, PAW – Privileged Access Workstation) kullanılır.
• Bir Domain Admin hesabı asla normal bir iş istasyonunda veya sunucuda oturum açmamalıdır çünkü o makine ele geçirilmişse kimlik bilgisi çalınır.
• Ayrı yönetici hesapları: Günlük iş için normal hesap, yönetim için ayrı ayrıcalıklı hesap.

PAW (Privileged Access Workstation) ve PAM (Privileged Access Management)

Katmanlı yönetimi hayata geçirirken sık karıştırılan iki kavram, isim benzerliğine rağmen tamamen farklı şeylerdir:

• PAW (Privileged Access Workstation – Ayrıcalıklı Erişim İş İstasyonu) bir cihazdır. Yöneticilerin ayrıcalıklı işlemleri (Ör. Domain Admin ile DC (Domain Controller) yönetimi) yalnızca üzerinden yaptığı, özel olarak sertleştirilmiş ve izole edilmiş bir iş istasyonudur. İnternet erişimi kısıtlı, yalnızca yönetim araçları yüklü, sıkı GPO (Group Policy Object)’larla korunur. Mantığı şudur: yöneticinin e-posta/web için kullandığı normal makine tehditlere açıktır; oraya Domain Admin kimliği girilirse ve makine ele geçirilmişse kimlik çalınır. PAW (Privileged Access Workstation), ayrıcalıklı kimliklerin yalnızca temiz, izole bir cihazda kullanılmasını sağlar. Kısaca “ayrıcalıklı işi nereden yapıyorsun?” sorusunun cevabıdır.
• PAM (Privileged Access Management – Ayrıcalıklı Erişim Yönetimi) bir yaklaşım/çözüm kategorisidir. Ayrıcalıklı hesapların ve erişimin nasıl verildiğini, kullanıldığını ve denetlendiğini yönetir. Tipik özellikleri: JIT (Just-In-Time) erişim (ayrıcalık kalıcı değil, yalnızca gerektiğinde ve belirli süreyle verilir), parola kasası (vaulting), oturum kaydı/denetimi ve onay iş akışları. Kısaca “ayrıcalığı kim, ne zaman, ne kadar süreyle, hangi onayla alıyor?” sorusunun cevabıdır.

İkisi tamamlayıcıdır: ideal senaryoda yönetici bir PAW (Privileged Access Workstation) üzerinden çalışır ve o an ihtiyaç duyduğu ayrıcalığı bir PAM (Privileged Access Management) çözümü aracılığıyla JIT (Just-In-Time) olarak (Ör. “2 saatliğine Domain Admin”) talep eder böylece hem nereden (temiz cihaz) hem nasıl (geçici, denetlenen erişim) güvence altına alınır.

Not: Bulut/Hibrit tarafında PAM (Privileged Access Management)’in Microsoft Entra ID karşılığı PIM (Privileged Identity Management)‘dir; just-in-time ayrıcalık yükseltme sağlar (Bkz. Bölüm 4: Yönetim Araçları ve Hibrit Kimlik yazısında 16. Microsoft Entra ID ve Hibrit Kimlik bölüm).

12.3. Temel Sıkılaştırma Önlemleri

# LAPS (Windows LAPS) - yerel yönetici parolalarını otomatik yönet
# WS2025'te yerleşik; Entra ID veya AD'de saklama seçeneği
Get-Command -Module LAPS

# Yönetilmeyen (RC4) Kerberos şifreleme kullanan hesapları bul
Get-ADObject -Filter 'msDS-supportedEncryptionTypes -bor 4' `
    -Properties msDS-supportedEncryptionTypes

# "Password never expires" olan hesapları denetle
Get-ADUser -Filter 'PasswordNeverExpires -eq $true -and Enabled -eq $true' |
    Select-Object Name, SamAccountName

# Ayrıcalıklı grupları (Domain/Enterprise Admins) düzenli denetle
Get-ADGroupMember "Domain Admins" | Select-Object Name, SamAccountName
Get-ADGroupMember "Enterprise Admins" | Select-Object Name, SamAccountName

# krbtgt hesap parolasının yaşını kontrol et (periyodik döndürülmeli)
Get-ADUser krbtgt -Properties PasswordLastSet | Select-Object PasswordLastSet

Protected Users grubu: Yüksek ayrıcalıklı hesapları bu gruba ekleyin NTLM oturum açması engellenir, DES/RC4 devre dışı kalır ve kimlik bilgisi önbelleğe alınmaz.

12.4. AD (Active Directory) Güvenlik Değerlendirme Araçları

Düzenli değerlendirme, güvenlik açıklarını proaktif bulmanın anahtarıdır. Bu araçlar, “AD (Active Directory)’im ne kadar güvenli, saldırganın istismar edebileceği yanlış yapılandırmalar nerede?” sorusunu yanıtlar bir tür güvenlik check-up’ı gibi çalışır: ortamı tarar, riskleri bulur ve önceliklendirir.

PingCastle

Güvenlik uzmanı Vincent Le Toux tarafından geliştirilen, çok yaygın kullanılan bir AD (Active Directory) değerlendirme aracıdır. AD (Active Directory)’yi tarar ve ortama bir risk puanı verir (0-100 arası; düşük puan daha iyidir). Zayıf noktaları eski protokoller, tehlikeli delegasyonlar, ayrıcalıklı hesap sorunları, güncel olmayan sistemler, güven ilişkisi (trust) riskleri vb. kategorize eder ve ayrıntılı bir HTML rapor üretir. Genellikle yalnızca okuma yetkisiyle çalışır ve dakikalar içinde sonuç verir. Ücretsiz sürümü çoğu kurum için yeterlidir; ticari sürümü de mevcuttur. Tek bir ormana derinlemesine, risk-puanı odaklı bakışıyla öne çıkar.

Purple Knight (Semperis)

Semperis firmasının ücretsiz AD (Active Directory) ve Microsoft Entra ID güvenlik değerlendirme aracıdır. Ortamı, bilinen saldırı göstergeleri açısından tarar: hem IoE (Indicators of Exposure – istismar edilebilir açıklar) hem de IoC (Indicators of Compromise – zaten saldırıya uğramış olma belirtileri). Yani “istismar edilebilir açığım var mı?” ile “zaten ele geçirilmiş olabilir miyim?” sorularını birlikte ele alır. Bulguları kategorilere göre puanlar ve iyileştirme önerileri sunar. Şirket içi AD (Active Directory) ile bulut Entra ID’yi birlikte kapsayan hibrit bakışıyla öne çıkar.

BloodHound

Saldırı yollarını (attack path) grafiksel olarak haritalayan araçtır; hangi düşük ayrıcalıklı hesabın, hangi izin/üyelik zinciri üzerinden Domain Admin’e ulaşabileceğini görselleştirir. PingCastle/Purple Knight “nerede zayıfım?” sorusuna genel bir tablo verirken, BloodHound “bir saldırgan A noktasından Domain Admin’e tam olarak nasıl gider?” sorusunu yanıtlar. Hem kırmızı takım (saldırı simülasyonu) hem mavi takım (savunma) tarafından kullanılır.

Microsoft Defender for Identity

Yukarıdakiler periyodik tarama araçlarıyken, Defender for Identity DC (Domain Controller)’lere kurulan sensörlerle gerçek zamanlı saldırı tespiti yapar (Bkz. 14. İzleme, Denetim ve Sorun Giderme bölüm). Değerlendirme (periyodik fotoğraf) ile izleme (sürekli video) birbirini tamamlar.

En iyi uygulama: AD (Active Directory) güvenliğini bir “kur ve unut” işi değil, sürekli bir süreç olarak yönetin. İşlevleri büyük ölçüde örtüştüğü için birçok kurum PingCastle ve Purple Knight’ı birlikte veya dönüşümlü kullanır. En az çeyrek dönemde bir tarama yapın, çıkan bulguları önem derecesine göre önceliklendirin ve giderin.

13. Yedekleme, Kurtarma ve AD (Active Directory) Recycle Bin

AD (Active Directory) kaybı, bir kuruluş için felakettir. Sağlam bir yedekleme ve kurtarma stratejisi zorunludur.

13.1. System State Yedeği

AD (Active Directory)’yi yedeklemenin temel yöntemi System State yedeğidir. Bu, AD (Active Directory) veritabanını (Ntds.dit), SYSVOL’ü, Registry’yi, sertifika hizmetlerini ve önyükleme dosyalarını içerir.

# Windows Server Backup özelliğini kur
Install-WindowsFeature Windows-Server-Backup

# System State yedeği al (ayrı bir diske)
wbadmin start systemstatebackup -backupTarget:E: -quiet

# Yedekleri listele
wbadmin get versions

En iyi uygulama: Her domaindeki en az iki DC (Domain Controller)’yi düzenli yedekleyin. Yedeklerin tombstone süresinden (varsayılan 180 gün) daha eski olmamasına dikkat edin. Daha eski bir yedekten geri yükleme lingering object sorunlarına yol açar.

13.2. Authoritative vs Non-Authoritative Restore

DC (Domain Controller) kurtarmada iki temel senaryo vardır:

• Non-Authoritative Restore: DC (Domain Controller)’yi yedekten geri yükledikten sonra, diğer DC (Domain Controller)’lerden normal replikasyon ile en güncel duruma getirir. Tek bir DC (Domain Controller) arızalandığında kullanılır en yaygın senaryo.
• Authoritative Restore: Yanlışlıkla silinen objeleri (Ör. bir OU (Organizational Unit) dolusu kullanıcı) geri getirmek için kullanılır. Geri yüklenen objelerin USN’i yapay olarak yükseltilir, böylece silinmeleri diğer DC (Domain Controller)’lere değil, geri yüklenmeleri replike olur. DSRM (Directory Services Restore Mode) içinde ntdsutil ile yapılır.

13.3. AD (Active Directory) Recycle Bin (Geri Dönüşüm Kutusu)

Modern AD (Active Directory), yanlışlıkla silme kurtarması için AD (Active Directory) Recycle Bin sunar. Etkinleştirildiğinde, silinen objeler tüm öznitelikleriyle birlikte belirli bir süre saklanır ve tam restore gerektirmeden kolayca geri getirilebilir. Bu, authoritative restore ihtiyacının çoğunu ortadan kaldırır.

# AD Recycle Bin'i etkinleştir (geri alınamaz - ama zararsız, kalıcı özellik)
Enable-ADOptionalFeature "Recycle Bin Feature" `
    -Scope ForestOrConfigurationSet `
    -Target "bakicubuk.com"

# Silinen objeleri listele
Get-ADObject -Filter 'isDeleted -eq $true -and Name -ne "Deleted Objects"' `
    -IncludeDeletedObjects -Properties *

# Silinen bir kullanıcıyı geri getir
Get-ADObject -Filter 'SamAccountName -eq "bcubuk"' -IncludeDeletedObjects |
    Restore-ADObject

En iyi uygulama: AD (Active Directory) Recycle Bin’i hemen etkinleştirin henüz açık değilse. Objelerin geri getirilebilir kalma süresi, msDS-deletedObjectLifetime özniteliğiyle (varsayılan tombstone süresine eşit) kontrol edilir.

13.4. Forest Kurtarma ve Immutable Yedekler

En kötü senaryo tüm forest’ın (Ör. ransomware ile) kaybı için AD (Active Directory) Forest Recovery planı hazır olmalıdır. Modern strateji, yedeklerin değiştirilemez (immutable) ve ağdan yalıtılmış (air-gapped) olmasını gerektirir; çünkü ransomware saldırganları önce yedekleri hedef alır. Semperis ADFR veya Microsoft’un forest recovery kılavuzu bu senaryolar için başvuru kaynaklarıdır. Forest kurtarma planınızı düzenli olarak test edin belge rafta durmasın.

14. İzleme, Denetim ve Sorun Giderme

14.1. Kritik Güvenlik Event ID’leri
AD (Active Directory) güvenlik izlemesinin temeli, DC (Domain Controller)’lerdeki Security event log’unun bir SIEM‘e (Ör. Microsoft Sentinel, QRadar, Splunk) aktarılmasıdır.

İzlenmesi gereken başlıca olaylar:

14.2. Denetim Politikası (Advanced Audit Policy)

Bu olayların üretilmesi için Advanced Audit Policy Configuration GPO (Group Policy Object)’su ile denetim kategorilerini etkinleştirin: Account Logon, Account Management, DS Access, Logon/Logoff, Policy Change. SACL (System Access Control List) ile kritik OU (Organizational Unit)’lardaki değişiklikleri izleyin.

14.3. Microsoft Defender for Identity

Defender for Identity, DC (Domain Controller)’lere kurulan sensörlerle şirket içi AD (Active Directory)’yi gerçek zamanlı izleyen bulut tabanlı bir çözümdür. Kerberoasting, DCSync, pass-the-hash, lateral movement gibi saldırıları davranışsal analizle tespit eder ve Microsoft 365 Defender portalına iletir. Hibrit ortamlarda AD (Active Directory) ve Entra ID sinyallerini birleştirir.

14.4. Sorun Giderme Referans Tablosu

Günlük AD (Active Directory) sorun gidermesinde en sık kullanılan araç ve komutlar:

Sistematik yaklaşım: Bir AD (Active Directory) sorununda önce dcdiag ile genel sağlığı, sonra repadmin /replsummary ile replikasyonu, ardından DNS’i kontrol edin. AD (Active Directory) sorunlarının büyük çoğunluğu DNS yanlış yapılandırması veya zaman kayması (time skew > 5 dk, Kerberos’u bozar) kaynaklıdır.

Bu yazıda SYSVOL/DFS-R mimarisini, Group Policy yönetimini, kullanıcı/grup/servis hesaplarını, AD (Active Directory) güvenliği ve sıkılaştırmayı (saldırı vektörleri, RC4/Kerberoasting, katmanlı yönetim, PAW (Privileged Access Workstation)/PAM (Privileged Access Management)), yedekleme/kurtarmayı ve izleme/denetimi ele aldık. Bölüm 3 böylece tamamlandı.

Serinin son yazısında “Bölüm 4: Yönetim Araçları ve Hibrit Kimlik” konularına giriyoruz: ADUC/ADAC/PowerShell/WAC yönetim araçları, Microsoft Entra ID ve hibrit kimlik mimarisi, Entra Connect Sync, kimlik doğrulama yöntemleri ve sık sorulan sorular.

Başka bir yazıda görüşmek dileğiyle…

---

Bu yazı, Windows Server 2025 Active Directory Teknik Rehberi serisinin 3. bölümüdür. Seri bakicubuk.com için hazırlanmıştır.