Merhaba

Active Directory Sıkılaştırma serisinin yedinci ve son bölümüne geldik. Önceki altı bölümde eski protokolleri kaldırdık, imzalama ve şifrelemeyi zorunlu kıldık; yani ağdaki teknik saldırı yüzeyini daralttık. Bu bölümde ise odak değişiyor: teknik ayarlardan yetki yönetimine, yani en az yetki (least privilege) ilkesine geçiyoruz.

En az yetki, güvenliğin en temel ilkelerinden biri: her hesap, her servis ve her yönetici yalnızca işini yapmak için gereken en düşük yetkiye sahip olmalı, ne bir fazlası. Kulağa basit gelse de, pratikte pek çok Active Directory ortamının en büyük zafiyeti tam da bu ilkenin ihlalidir: gereğinden fazla Domain Admin, her yere erişebilen servis hesapları, yıllardır temizlenmemiş yetkiler.

En Az Yetki Neden Kritik

Aşırı yetkinin yarattığı riskler somut olarak şöyle. Bir servis hesabı gereğinden fazla yetkiye sahipse, o servis ele geçirildiğinde saldırgan da o yetkileri devralır. Bir yardım masası çalışanı Domain Admin ise, onun makinesindeki tek bir phishing tüm domain’i riske atar. Kullanılmayan ama hala yetkili duran eski hesaplar, saldırganların gözden kaçan giriş kapılarıdır. Ve en tehlikelisi, ayrıcalıklı hesapların günlük işlerde (e-posta okumak, internette gezinmek) kullanılması: bu, kimlik bilgilerinin sıradan iş istasyonlarında açığa çıkmasına ve pass-the-hash gibi tekniklerle çalınmasına yol açar.

En az yetki ilkesi bu zincirin her halkasını zayıflatır. Yetkiler daraldıkça, ele geçirilen tek bir hesabın verebileceği zarar da sınırlanır. Saldırganın domain hakimiyetine giden yolu uzar, zorlaşır ve daha çok iz bırakır; bu da tespit şansını artırır.

Ayrıcalıklı Erişimin Katmanları

En az yetkiyi uygularken önce ortamdaki ayrıcalıklı hesapları ve grupları anlamak gerekir. Active Directory’de en yüksek yetkiye sahip yerleşik gruplar özel dikkat ister:

Hedef, bu grupların üyeliğini mutlak minimumda tutmak ve içlerine yalnızca gerçekten gereken hesapları, yalnızca gerektiği süre boyunca koymaktır. Özellikle Schema Admins grubunun kalıcı üyesi olmamalı; bu gruba yalnızca şema değişikliği yapılacağı an, geçici olarak üye eklenmelidir.

Aşama 1: Mevcut Yetkileri Tespit Etmek
En az yetkiye geçişin ilk adımı, kimin neye yetkili olduğunu net biçimde görmek. Pek çok ortamda bu tablo yıllar içinde kontrolsüz büyümüştür.

Ayrıcalıklı grup üyeliklerini listelemek için PowerShell kullanabilirsiniz.

Örneğin Domain Admins üyelerini görmek için:

Get-ADGroupMember -Identity "Domain Admins" -Recursive |
    Select-Object Name, SamAccountName, objectClass |
    Sort-Object Name

Kritik grupların tamamını tek seferde taramak için:

$gruplar = "Domain Admins","Enterprise Admins","Schema Admins","Administrators"
foreach ($g in $gruplar) {
    "`n=== $g ==="
    Get-ADGroupMember -Identity $g -Recursive | Select-Object -ExpandProperty SamAccountName
}

Uzun süredir kullanılmayan ayrıcalıklı hesapları bulmak için son oturum açma zamanını da kontrol edin:

Get-ADGroupMember -Identity "Domain Admins" -Recursive |
    Get-ADUser -Properties LastLogonDate |
    Select-Object Name, LastLogonDate |
    Sort-Object LastLogonDate

Ayrıca servis hesaplarının hangi yetkilere sahip olduğunu ve gereğinden fazla yetkili olup olmadığını gözden geçirin. SPN’e sahip hesaplar (Bölüm 4’te Kerberoasting bağlamında da değindiğimiz gibi) bu incelemede özellikle önemlidir.

Aşama 2: En Az Yetkiyi Uygulamak

Tespit tamamlandıktan sonra yetkileri daraltma aşamasına geçilir. Bu, tek bir ayar değil, bir dizi yönetim pratiğidir.

Ayrıcalıklı Grup Üyeliklerini Azaltmak
En temel adım, ayrıcalıklı grupları temizlemektir. Gerçekten gerekmeyen her hesabı Domain Admins, Enterprise Admins ve benzeri gruplardan çıkarın. Kalıcı üyelik yerine, yetkinin yalnızca ihtiyaç anında verildiği bir model hedefleyin (just-in-time erişim).

Ayrı Yönetici Hesapları Kullanmak
Ayrıcalıklı işler ile günlük işler asla aynı hesapta olmamalı. Her yönetici için iki ayrı hesap önerilir: günlük işler (e-posta, gezinme) için standart bir kullanıcı hesabı ve yalnızca yönetim görevleri için ayrılmış, ayrıcalıklı bir hesap. Bu ayrım, bir phishing veya zararlı yazılımın ayrıcalıklı kimlik bilgilerine ulaşmasını büyük ölçüde engeller.

Katmanlı Yönetim Modeli (Tiering)

Microsoft’un önerdiği katmanlı model (Tier 0 / Tier 1 / Tier 2), kimlik bilgilerinin katmanlar arası sızmasını engeller:

• Tier 0: Domain Controller’lar, Active Directory, ayrıcalıklı kimlikler (En Kritik Katman)
• Tier 1: Sunucular ve uygulamalar
• Tier 2: İş istasyonları ve son kullanıcı cihazları

Oturum Açma Kısıtlamaları

Ayrıcalıklı hesapların yalnızca yetkili sistemlerde oturum açabilmesini GPO (Group Policy Object) ile zorlayabilirsiniz. Deny log on politikaları ile Tier 0 hesaplarının iş istasyonlarında ve sunucularda oturum açmasını engellemek, katmanlı modelin uygulanmasında kritik bir adımdır:

Computer Configuration > Policies > Windows Settings > Security Settings > Local Policies > User Rights Assignment

Buradaki Deny log on locally, Deny log on through Remote Desktop Services ve benzeri politikalarla ayrıcalıklı grupların yanlış katmanlarda oturum açması engellenir.

burayıkontrolet.

Protected Users ve Diğer Korumalar

Active Directory, ayrıcalıklı hesaplar için ek koruma mekanizmaları sunar. Protected Users grubuna eklenen hesaplar için zayıf kimlik doğrulama yöntemleri (NTLM, DES/RC4, temsili yetki delegasyonu) otomatik olarak devre dışı kalır. Kritik yönetici hesaplarını bu gruba eklemek, kimlik bilgisi hırsızlığına karşı önemli bir katman ekler. Ayrıca hassas hesaplarda Account is sensitive and cannot be delegated bayrağını işaretlemek, o hesabın delegasyon yoluyla kötüye kullanılmasını engeller.

Yerel Yönetici Parolaları ve LAPS

En az yetki tartışması, yerel yönetici hesapları olmadan tamamlanmaz. Her makinede benzersiz ve rotasyonlu yerel yönetici parolaları sağlayan Windows LAPS, en az yetki ilkesinin doğal bir tamamlayıcısıdır. Bu konuyu serinin ayrı bir bölümünde (Windows LAPS) ayrıntısıyla ele aldık; en az yetki stratejinizin bir parçası olarak mutlaka değerlendirin.

Doğrulama ve Süreklilik

En az yetki, bir kez yapılıp bitirilen bir iş değil, sürekli bir disiplindir. Ayrıcalıklı grup üyeliklerini düzenli aralıklarla (Örneğin üç ayda bir) gözden geçirin. Yeni eklenen üyelikleri izleyin; ayrıcalıklı gruplara yapılan her ekleme bir olay olarak kaydedilmeli ve gözden geçirilmelidir.

Ayrıcalıklı grup değişikliklerini izlemek için grup üyeliği değişikliği olaylarını (Örneğin Event ID 4728, 4732, 4756 gibi gruba üye ekleme olayları) bir SIEM üzerinde takip edin. Böylece yetkisiz veya beklenmedik bir yetki yükseltmesi anında fark edilir.

Genel Görünüm

En az yetki ilkesi, Active Directory sıkılaştırmasının teknik ayarların ötesine geçen halkasıdır. NTLMv1, SMBv1, LDAP signing, Kerberos AES ve SMB signing gibi bölümlerde ağ katmanındaki saldırı yüzeyini daralttık; en az yetki ise saldırganın nihai hedefine, yani ayrıcalıklı erişime giden yolu kapatır.

İzlenecek yol nettir: önce görünürlük (ayrıcalıklı grup üyeliklerinin ve servis hesaplarının tespiti), sonra daraltma (gereksiz üyelikleri kaldırma, ayrı yönetici hesapları, katmanlı model, oturum açma kısıtlamaları, Protected Users), en son da süreklilik (düzenli gözden geçirme ve değişiklik izleme). Bu disiplini kurduğunuzda, tek bir hesabın ele geçirilmesinin tüm domain’i düşürmesini engeller ve saldırganın işini kat kat zorlaştırırsınız.

Bu bölümle Active Directory Sıkılaştırma serisini tamamlamış oluyoruz. Yedi bölüm boyunca eski protokolleri kaldırmaktan, imzalama ve şifrelemeyi zorunlu kılmaya, oradan da yetki yönetimine uzanan bütünsel bir sıkılaştırma yolculuğu yaptık. Bu adımların hepsi birlikte, kimlik altyapınızı katman katman daha dayanıklı hale getirir. Sıkılaştırma bir varış noktası değil, sürekli sürdürülen bir disiplindir; bu seriyi de o disiplinin bir başlangıç haritası olarak kullanabilirsiniz.

Hedef, bu grupların üyeliğini mutlak minimumda tutmak ve içlerine yalnızca gerçekten gereken hesapları, yalnızca gerektiği süre boyunca koymaktır. Özellikle Schema Admins grubunun kalıcı üyesi olmamalı; bu gruba yalnızca şema değişikliği yapılacağı an, geçici olarak üye eklenmelidir.

Uyumluluk ve Çerçeve Eşlemesi

Aşağıdaki tablo, serideki her sıkılaştırmanın hangi uyumluluk çerçevesi kontrolünü karşıladığını ve hangi MITRE ATT&CK tekniğini engellediğini özetler. Hiçbir çerçeve bu ayarları isim isim zorunlu tutmaz; sıkılaştırmalar ilgili kontrolleri karşılar. Bağlayıcılık: Zorunlu = PCI DSS (kart verisi), KVKK (TR), TCMB (finansal), HIPAA (ABD sağlık); Taahhüde bağlı = ISO 27001; Gönüllü = NIST CSF, CIS Controls.

Engellenen başlıca MITRE ATT&CK teknikleri: T1557 Adversary-in-the-Middle (NTLM relay), T1550.002 Pass-the-Hash, T1187 Forced Authentication

Başka bir yazımızda görüşmek dileğiyle…