Merhaba
Devlet siber güvenlik ajansları, kurumların Microsoft Active Directory ortamlarını kimlik bilgisi hırsızlığına, yetki yükseltmeye (privilege escalation), yanal harekete (lateral movement) ve uzun süreli kalıcılık (persistence) saldırılarına karşı savunması için güncellenmiş teknik rehber yayımladı.
Güncellenen Detecting and Mitigating Active Directory Compromises yayını; ABD Cybersecurity and Infrastructure Security Agency (CISA), National Security Agency (NSA), Australian Signals Directorate, Canadian Centre for Cyber Security, Yeni Zelanda’nın National Cyber Security Centre’i ve Birleşik Krallık’ın National Cyber Security Centre’i tarafından hazırlandı.
İlk olarak Eylül 2024’te yayımlanan ve 15 Eylül 2026’da güncellenen rehber, Active Directory Domain Services, Active Directory Certificate Services ve Active Directory Federation Services’e yönelik en yaygın 17 saldırı tekniğini ele alıyor.
Son sürüm, DCSync saldırılarına ilişkin genişletilmiş savunma bilgisi sunuyor ve kullanıcılarla bilgisayarlara bağlı sertifika tabanlı kimlik doğrulama özniteliklerini istismar eden bir kalıcılık tekniği olan shadow credentials konusunda detaylı rehberlik getiriyor.
Ajanslar, Active Directory’nin kimlikleri, kimlik doğrulamayı, izinleri ve kritik sistemlere erişimi kontrol ettiği için kurumsal ortamlardaki en kritik hedeflerden biri olmaya devam ettiği konusunda uyardı. Bir domain üzerinde yeterli kontrol sağlayan saldırgan; e-posta sistemlerine, dosya sunucularına, veritabanlarına, iş uygulamalarına, yedeklere ve bulut hizmetlerine erişebilir.
Hibrit kurumlarda hasar, şirket içi ağın ötesine geçebilir. Active Directory ile Microsoft Entra ID arasındaki bağlantılar, Microsoft 365, Azure ve diğer bulut kaynaklarına giden yollar sunabilir.
Active Directory kurumsal saldırı yüzeyi olmaya devam ediyor
Active Directory, kullanıcıları, bilgisayarları, güvenlik politikalarını ve erişim izinlerini merkezi olarak yönetmek için yirmi yıldan fazla süredir kurumlar tarafından kullanılıyor. Merkezi rolü, onu iş operasyonları açısından vazgeçilmez kılıyor ama aynı zamanda saldırganlara kurum genelinde kontrol sağlayacak güçlü bir yol da sunuyor.
Ortak rehber, Active Directory’nin güvenliğini özellikle zorlaştıran birkaç özelliği tespit ediyor. Bunlar arasında izin verici varsayılan yapılandırmalar, eski (legacy) kimlik doğrulama protokollerine destek, karmaşık trust ilişkileri, aşırı yetkiler ve kullanıcılar, gruplar, bilgisayarlar ve servisler arasındaki ilişkilere sınırlı görünürlük bulunuyor. Kimliği doğrulanmış her domain kullanıcısının normalde önemli miktarda dizin bilgisini sorgulamasına izin verilir. Bu, birçok meşru Active Directory işlevi için gereklidir ancak aynı zamanda sıradan bir hesabı ele geçiren saldırganın ortamı envanterlemesine de olanak tanır.
Saldırganlar bu erişimi; servis hesaplarını, sertifika şablonlarını (certificate templates), delege edilmiş izinleri, yönetici gruplarını, domain trust’larını ve daha ayrıcalıklı sistemlere giden olası yolları tespit etmek için kullanabilir. Grafik tabanlı keşif (reconnaissance) araçları, düşük yetkili bir kimliğin domain admin hesabına ulaşabileceği ilişki zincirlerini ortaya çıkarabilir.
Rehber, saldırganların bazen bir kurumun kendi yöneticilerinden daha iyi bir operasyonel dizin anlayışı geliştirebildiğine dikkat çekiyor. Uzun süreli domain’ler genellikle terk edilmiş hesaplar, belgelenmemiş delegasyon, eski (legacy) uygulamalar ve iç içe geçmiş gruplar aracılığıyla devralınan izinler barındırır.
Microsoft da kendi Active Directory güvenlik rehberinde benzer şekilde saldırganların tek bir güvenlik kontrolünü doğrudan kırmaya nadiren ihtiyaç duyduğunu belirtiyor. Bunun yerine sıklıkla yapılandırma zafiyetlerini, çalınmış kimlik bilgilerini ve meşru yönetimsel işlevleri gerekli yetkilere ulaşana kadar bir araya getiriyorlar.
Sıradan bir hesaptan domain kontrolüne
Birçok Active Directory saldırısı, tehdit aktörünün bir workstation’a, VPN hesabına veya düşük yetkili bir domain kimliğine zaten erişim sağladıktan sonra başlar. Saldırgan ardından daha hassas sistemlere erişime izin verecek kimlik bilgileri veya izinler aramaya çalışır.
Kerberoasting, en yaygın bilinen örneklerden biridir. Kimliği doğrulanmış herhangi bir kullanıcı, bir service principal name ile yapılandırılmış bir hesap için Kerberos service ticket talep edebilir. Bu ticket’in bir kısmı, servis hesabının parolasından türetilen materyal kullanılarak şifrelenir.
Saldırgan bu ticket’i çevrimdışı alıp, tekrarlayan kimlik doğrulama hataları üretmeden altta yatan parolayı kurtarmayı deneyebilir. Servis hesabının zayıf bir parolası veya gereksiz yönetimsel yetkileri varsa, başarılı bir kırma, hassas sunuculara hatta tam domain kontrolüne doğrudan bir yol açabilir.
Ajanslar, mümkün olduğunda geleneksel servis hesaplarının group Managed Service Account (gMSA) ile değiştirilmesini öneriyor. Bir gMSA, uzun ve otomatik olarak yönetilen bir parola kullanır ve bunu düzenli olarak rotasyona tabi tutar, bu da çevrimdışı kırmayı belirgin şekilde zorlaştırır. Uygulamalar gMSA’yı destekleyemediğinde, kurumlar en az 30 karakter uzunluğunda benzersiz ve tahmin edilemez parolalar kullanmalı ve hesabı gereken minimum yetkilerle sınırlamalıdır.
Savunma ekipleri ayrıca Kerberos service ticket taleplerindeki artışları, özellikle kısa bir süre içinde çok sayıda servis hesabına yönelik talepleri incelemelidir; bu olaylar Event ID 4769 olarak kaydedilir. Eski RC4 şifrelemesi kullanan talepler özellikle önemli olabilir çünkü saldırganlar çevrimdışı parola kırma için genellikle RC4 korumalı ticket’ları tercih eder.
MITRE ATT&CK, Kerberoasting’i T1558.003 olarak sınıflandırıyor ve tekniğin meşru Kerberos davranışını istismar ettiğini belirtiyor. Bu da davranışsal izlemeyi ve güçlü servis hesabı güvenliğini, yalnızca endpoint kötü amaçlı yazılım tespitine güvenmekten daha önemli hale getiriyor.
İlişkili bir teknik olan AS-REP roasting, Kerberos ön kimlik doğrulaması (pre-authentication) gerektirmeyecek şekilde yapılandırılmış hesapları hedef alır. Saldırgan, hesabın parolasından türetilen anahtarla şifrelenmiş kimlik doğrulama verisini talep edip çevrimdışı kırmayı deneyebilir.
Ortak rehber, belgelenmiş bir legacy gereksinim bunu imkansız kılmadıkça tüm hesapların Kerberos ön kimlik doğrulaması gerektirmesini sağlamayı öneriyor. Herhangi bir istisna, minimum yetkiye sahip olmalı ve uzun, benzersiz parolalarla korunmalıdır. Savunma ekipleri, ön kimlik doğrulaması devre dışı bırakılmış hesapları içeren Event ID 4768 kümelerini arayabilir.
Parola sprey saldırısı (password spraying), geleneksel kilitlenme varsayımlarını aşabilir
Password spraying, Active Directory’ye girmenin bir başka yaygın yoludur. Saldırgan, tek bir hesaba karşı kilitlenmeyi tetikleme olasılığı yüksek olan pek çok parola denemek yerine, çok sayıda hesaba karşı bir veya birkaç olası parola dener.
Bu yöntem, her hesabın kilitlenme eşiğinin altında kalarak parola tekrar kullanımını istismar edebilir. Saldırı araçları önce domain’in parola ve kilitlenme politikalarını sorgulayabilir, ardından tespit olasılığını azaltmak için denemelerini yavaşlatabilir.
Ajanslar, MFA’nın son derece değerli olduğunu ancak şirket içi (on-premises) kimlik doğrulama sorunlarının tümünü çözemeyeceğini vurguladı. Bir saldırgan iç ağa ulaştığında, belirli NTLM tabanlı kimlik doğrulama yolları MFA’yı hiç tetiklemeyebilir.
Bu nedenle güvenlik ekipleri, her hesabı ayrı ayrı değerlendirmek yerine kullanıcılar ve kaynak sistemler arasındaki başarısız oturum açma olaylarını ilişkilendirmelidir. Yoğun bir dönemde farklı kullanıcı adlarıyla gerçekleşen çok sayıda Event ID 4625, 4648 veya 4771 kaydı, sprey saldırısına işaret edebilir. Neredeyse aynı badPasswordTime değerlerine sahip hesap kümeleri de başka bir ipucu sağlayabilir.
Rehber ayrıca ağ paylaşımlarında (network shares) saklanan kimlik bilgilerine dikkat çekiyor. Tehdit aktörleri, erişilebilir dosyalarda parolalar, API anahtarları, sertifikalar, parola yöneticisi veritabanları, yapılandırma dosyaları ve yedek materyal için rutin olarak tarama yapıyor. Kurumlar, kurumsal kimlik bilgisi yönetim sistemleri kullanmalı ve açıkta kalan sırlar için kendi periyodik aramalarını yapmalıdır.
Varsayılan bilgisayar hesabı izinleri ek risk yaratıyor
Rapor, sıradan domain kullanıcılarının geleneksel olarak en fazla on bilgisayar hesabı oluşturmasına izin veren ms-DS-MachineAccountQuota özniteliğinin istismarını inceliyor.
Bir saldırgan bir bilgisayar nesnesi oluşturabilir, ona kurumun adlandırma kurallarına uygun bir isim verebilir ve ardından bu makine kimliğini kullanarak kimlik doğrulaması yapabilir. Domain Computers grubuna aşırı erişim verilmişse, saldırgan daha ileri bir ele geçirmeyi destekleyecek izinleri devralabilir.
Makine hesapları, relay teknikleriyle de birleştirilebilir. LDAP signing veya channel binding korumalarının düzgün şekilde uygulanmadığı sistemlerde, bir saldırgan kimlik doğrulamayı Active Directory’ye relay edip nesneleri veya yetkileri manipüle edebilir.
Yöneticiler, sıradan kullanıcıların sistemleri domain’e katma iznine gerçekten ihtiyaç duyup duymadığını belirlemelidir. Bu yeteneğin gereksiz olduğu yerlerde, makine hesabı kotası sıfıra ayarlanmalı ve bilgisayar oluşturma yetkisi yalnızca yetkili provizyon kimliklerine devredilmelidir. Yeni veya değiştirilmiş bilgisayar nesneleri, Event ID 4741 ve 4742 dahil olmak üzere merkezi olarak izlenmelidir.
Microsoft’un kimlik doğrulama relay tehditlerine ilişkin daha yakın tarihli analizi de benzer şekilde LDAP signing ve channel binding’in zorunlu kılınmasını, NTLM kullanımının azaltılmasını ve anormal kimlik doğrulama kalıplarının izlenmesini öneriyor.
Certificate Services alternatif bir kimlik doğrulama otoritesine dönüşebilir
Active Directory Certificate Services, sertifikaların kullanıcıları ve bilgisayarları parolaları olmadan kimlik doğrulamasında kullanılabilmesi nedeniyle domain güvenliğinin giderek daha önemli bir bileşeni haline geldi.
Sertifika şablonları veya kayıt (enrollment) izinleri yanlış yapılandırılmışsa, düşük yetkili bir saldırgan daha ayrıcalıklı bir kimliği temsil eden bir sertifika talep edebilir. Saldırgan ardından bu sertifikayı Kerberos kimlik bilgileri almak ve kurban olarak kimlik doğrulaması yapmak için kullanabilir.
Bu durum, bir certificate authority yapılandırma sorununu tam bir domain ele geçirmeye dönüştürebilir. Rehber, tüm enterprise certification authority’lerin ve sertifika şablonlarının envanterinin çıkarılmasını, kullanılmayan şablonların kaldırılmasını, kayıt haklarının kısıtlanmasını ve talep edenlerin kimlik bilgisi sağlamasına izin veren şablon özelliklerinin gözden geçirilmesini öneriyor.
Güvenlik ekipleri, ilgili CA ve domain controller denetim (auditing) kayıtlarını etkinleştirip merkezi olarak toplamalıdır. Event ID 4886 ve 4887 sertifika taleplerini ve verilmesini kaydederken, Event 4899 ve 4900 sertifika şablonlarındaki veya güvenlik ayarlarındaki değişiklikleri ortaya çıkarabilir. Sertifika tabanlı ön kimlik doğrulama türüne sahip Kerberos Event ID 4768, verilmiş bir sertifika kullanılarak yapılan kimlik doğrulamasının tespit edilmesine yardımcı olabilir.
Ajanslar ayrıca “Golden Certificate” tekniğini de ele alıyor. Bir saldırgan bir certification authority’nin özel anahtarını ele geçirdiğinde, domain’in güvendiği sertifikaları sahte olarak üretebilir. Etkilenen bir kullanıcının parolasını değiştirmek, sahte bir sertifikayı geçersiz kılmaz. Saldırgan, ele geçirilen CA güveni değiştirilip yetkisiz sertifikalar iptal edilene kadar erişimi sürdürebilir.
Root ve subordinate CA’lar bu nedenle domain controller’larla karşılaştırılabilir bir koruma seviyesi almalıdır. Ajanslar, yönetici erişimini sıkı bir şekilde kısıtlamayı, application control kullanmayı, yedekleri güvenli bir şekilde korumayı ve hassas CA anahtarlarını mümkün olduğunda hardware security module (HSM) içinde saklamayı öneriyor.
Genişletilmiş DCSync rehberi, replikasyon haklarının tehlikesini vurguluyor
DCSync, domain controller’ların dizin bilgisi alışverişi için kullandığı aynı replikasyon işlevini istismar eder. Gerekli directory-replication izinlerine sahip bir saldırgan, bir domain controller’ı taklit edip kimlik bilgisi verisini doğrudan Active Directory’den talep edebilir.
Teknik, saldırganın bir domain controller’a etkileşimli olarak oturum açmasına gerek kalmadan mevcut ve geçmiş parola hash’lerini, Kerberos anahtarlarını ve diğer hassas materyali ortaya çıkarabilir. MITRE ATT&CK, DCSync’i T1003.006 olarak izliyor. Özellikle tehlikeli hedefler arasında KRBTGT hesabı, domain yöneticileri ve servis hesapları bulunuyor. KRBTGT sırrına erişim, bir saldırganın Kerberos ticket-granting ticket’ları sahte olarak üretmesine olanak tanıyarak Golden Ticket saldırısının temelini oluşturabilir.
Güncellenen rehber ayrıca saldırganların DCSync’i “store passwords using reversible encryption” ayarıyla nasıl birleştirebildiğini de açıklıyor. Bir tehdit aktörü bu seçeneği belirli kullanıcılar için etkinleştirip parolalarının değişmesini beklerse, Active Directory kurtarılabilir parola bilgisini saklayabilir. Ardından gelen bir replikasyon talebi, çevrimdışı kırma gerektirmeden parolayı elde edebilir.
DCSync tamamen ortadan kaldırılamaz çünkü meşru domain controller’lar ve bazı kimlik yönetim sistemleri replikasyon izinlerine ihtiyaç duyar. Ancak kurumlar, replikasyon hakkına sahip her kullanıcı, grup, servis ve bilgisayarı tespit edip operasyonel olarak gerekli olmayan izinleri kaldırarak riski azaltabilir.
Replikasyon trafiği normalde bilinen domain controller’lardan kaynaklanmalıdır. Workstation’lardan, üye sunuculardan veya diğer beklenmedik adreslerden gelen directory-replication talepleri derhal incelenmelidir.
ntds.dit hırsızlığı domain’in yeniden kurulmasını gerektirebilir
Kimlik bilgisi hırsızlığına giden bir başka yol, Active Directory Domain Services’in kullandığı veritabanı olan ntds.dit‘i kopyalamaktır. Dosya, dizin nesnelerini ve parola hash’lerini içerir ve yazılabilir domain controller’larda bulunur.
Canlı veritabanı normalde kilitli olduğu için, saldırganlar erişilebilir bir kopya oluşturmak için Volume Shadow Copy Service veya ntdsutil gibi meşru araçları kullanabilir. Ayrıca korunan bilgiyi çözmek için ilgili SYSTEM registry hive’ına da ihtiyaç duyarlar.
Yedekler ayrı bir risk oluşturur. İyi korunan bir domain controller, saldırgan aynı veritabanını yeterince güvenli olmayan bir yedek paylaşımından alabiliyorsa çok az güvenlik sağlar.
Ajanslar, ntds.dit‘in yetkisiz kaybını tam bir domain ele geçirme kanıtı olarak tanımlıyor. Kurtarma, kullanıcı, servis, makine ve trust hesabı parolalarının koordineli şekilde sıfırlanmasını gerektirebilir. En ciddi vakalarda kurum, yeni bir forest inşa edip ele geçirilmiş olanı emekliye ayırmak zorunda kalabilir.
Bu, birkaç enfekte workstation’ı yeniden kurmaktan çok daha yıkıcı bir süreçtir. Orijinal domain’e bağlı her uygulamayı, sunucuyu ve iş sürecini etkileyebilir.
Sahte Kerberos ticket’ları kalıcı erişim sağlıyor
Golden Ticket ve Silver Ticket saldırıları, saldırganların Kerberos kimlik bilgilerini sahte olarak üretmesine olanak tanır.
Bir Golden Ticket, domain’in KRBTGT hesabına ait sır kullanılarak oluşturulur. Saldırganın domain genelinde erişim talep ederken neredeyse herhangi bir kimlik veya grup üyeliğini iddia etmesine izin verebilir. Bir Silver Ticket genellikle daha dar kapsamlıdır. Bir servis veya bilgisayar hesabının parola hash’ini kullanarak, bir veritabanı veya web uygulaması gibi belirli bir servis için sahte bir ticket üretir. Ancak bu ticket’lar, saldırganın domain controller’dan yeni bir service ticket almadan hedef servisle doğrudan iletişim kurabilmesi nedeniyle tespit edilmesi zor olabilir.
MITRE, çalınmış veya sahte Kerberos ticket’larını geleneksel kimlik doğrulamayı atlatmanın ve yanal hareket ile kalıcılığı desteklemenin bir mekanizması olarak tanımlıyor. Bir pass-the-ticket saldırısı da, MITRE’nin T1550.003 dokümantasyonuna göre, kullanıcının parolasını bilmeden zaten verilmiş bir ticket’ı yeniden kullanabilir.
KRBTGT hesabı ele geçirilmişse, parolası normalde replikasyon için yeterli süre tanınarak iki kez sıfırlanmalıdır. Yalnızca bir kez sıfırlamak, eski anahtar materyalini geçerli bırakabilir. Kurumlar, düzgün koordine edilmemiş değişikliklerin kimlik doğrulamayı bozabileceğini dikkate alarak operasyonu dikkatle planlamalıdır.
Hibrit kimlik, potansiyel etki alanını genişletiyor
Rehber, şirket içi bir ihlalin AD FS ve Microsoft Entra Connect aracılığıyla bulut hizmetlerine yayılabileceği konusunda uyarıyor.
Bir Golden SAML saldırısında, saldırgan AD FS tarafından kullanılan token-signing sertifikasını ve özel anahtarı ele geçirir. Saldırgan ardından güvenilir kimlik sağlayıcıdan geliyormuş gibi görünen sahte SAML yanıtları üretebilir.
Bu, kullanıcı taklidine ve bağlı bulut hizmetlerine erişime olanak tanıyabilir. Bir relying party, kimlik sağlayıcının MFA iddiasını kabul ediyorsa, sahte yanıt da hiçbir meşru kimlik doğrulaması gerçekleşmemiş olmasına rağmen MFA’yı karşılamış gibi görünebilir.
Golden SAML, saldırgan imzalama materyalini ele geçirdikten sonra tespit edilmesi özellikle zordur çünkü uydurma yanıtlar geçerli aktiviteye benzeyebilir. Savunmacılar, sertifika dışa aktarma olaylarını, AD FS yapılandırma değişikliklerini ve bulut oturum açmaları ile karşılık gelen AD FS kimlik doğrulama kayıtları arasındaki tutarsızlıkları izlemelidir.
Ajanslar, AD FS sunucularının domain controller’larla aynı güvenlik katmanında korunmasını, AD FS servisi için gMSA kullanılmasını, yönetimsel yolların sınırlandırılmasını ve şüpheli bir ihlalden sonra token-signing ve token-encryption sertifikalarının rotasyona tabi tutulmasını öneriyor. Güncellenen rehber, doğrulanmış bir olay olmasa bile periyodik sertifika rotasyonunu tavsiye ediyor.
Microsoft Entra Connect, bir başka yüksek değerli köprüdür. Yapılandırmasına bağlı olarak, hem şirket içi Active Directory’yi hem de Microsoft Entra ID’yi etkileyen kimlik bilgilerine ve izinlere erişimi barındırabilir veya kolaylaştırabilir.
Ele geçirilmiş bir senkronizasyon sunucusu, bir saldırganın servis hesabı kimlik bilgilerini çıkarmasına, directory-replication hakları elde etmesine veya bulut kimliklerini manipüle etmesine izin verebilir. Password hash synchronization dağıtımlarında, ilişkili şirket içi hesap DCSync için gereken izinlere benzer bir erişime sahip olabilir. Bulut senkronizasyon kimliği de güçlü dizin yetkileri taşıyabilir.
Microsoft, bu trust ilişkisinin operasyonel etkisini Storm-0501’in şirket içi ağlardan bulut ortamlarına geçişine ilişkin incelemesinde belgeledi. Gözlemlenen saldırılarda, çalınmış kimlik bilgileri yanal hareketi, domain yöneticilerinin ele geçirilmesini ve nihayetinde ransomware dağıtımını destekledi. Ortak ajanslar, şirket içi ve bulut yönetici kimliklerinin ayrı tutulmasını, ayrıcalıklı AD hesaplarının Entra ID’ye senkronize edilmesinden kaçınılmasını, bulut yöneticileri için phishing-resistant MFA’nın zorunlu kılınmasını ve Entra Connect sunucularına yönetimsel erişimin ciddi şekilde kısıtlanmasını öneriyor.
Shadow credentials, parola sıfırlamaya dirençli kalıcılık yaratıyor
Güncellenen rehberdeki en önemli eklerden biri shadow credentials ile ilgili.
Teknik, bir Active Directory kullanıcı veya bilgisayar nesnesinin msDS-KeyCredentialLink özniteliğini değiştirir. Bu öznitelik, Windows Hello for Business dahil olmak üzere sertifika destekli ve parolasız (passwordless) kimlik doğrulama mekanizmalarını destekler.
Hedef nesneyi değiştirme iznine sahip bir saldırgan, yetkisiz bir genel anahtar (public-key) materyali ekleyebilir ve ardından karşılık gelen özel anahtarla o kimlik olarak kimlik doğrulaması yapabilir. Saldırgan bir Kerberos ticket-granting ticket talep edebilir ve hedeflenen kullanıcı veya bilgisayarın izinlerini devralabilir.
Bu, meşru ve kötü amaçlı key credential’ların bir arada var olabilmesi nedeniyle özellikle tehlikelidir. Hesabın parolasını sıfırlamak, saldırganın sertifika tabanlı erişimini kaldırmayabilir.
Ajanslar, Domain Admins, Key Admins ve Enterprise Key Admins üyeliğinin sınırlandırılmasını, msDS-KeyCredentialLink üzerinde değişikliğe izin veren delege edilmiş izinlerin gözden geçirilmesini ve kullanıcılar ile bilgisayarların beklenmeyen key credential’lar açısından periyodik olarak incelenmesini öneriyor.
Kurumlar, Directory Service Changes denetimini etkinleştirmeli ve uygun sistem erişim kontrol listelerini (SACL) yapılandırmalıdır. Bir değişiklik, değişikliği işleyen domain controller’da Event ID 5136 üretebilir. LDAP özniteliğinin msDS-KeyCredentialLink olduğu ve değişikliği yapan kimliğin onaylı bir parolasız provizyon servisi olmadığı kayıtlar incelenmelidir.
Parolasız kimlik doğrulama kullanmayan bir ortamda, bu öznitelikte herhangi bir key credential bulunması şüpheli olabilir.
Canary nesneleri, yükselmeden önce keşfi ortaya çıkarabilir
Rehber, birçok Active Directory saldırısının meşru özellikleri kullandığı ve normal yönetim sırasında da oluşan olaylar ürettiği için tespitinin zor olduğunu kabul ediyor.
Görünürlüğü artırmak için ajanslar, canary object’lerin stratejik olarak dağıtılmasını öneriyor. Bunlar, meşru bir operasyonel amacı olmayan ancak otomatik enumerasyonu çekmek için tasarlanmış sahte kullanıcılar veya diğer dizin nesneleridir.
Bir canary, okuma girişimlerinin denetlenen bir erişim başarısızlığı üreteceği şekilde yapılandırılabilir. Benzersiz tanımlayıcısı Event ID 4662‘de görünürse, kurum bir saldırganı veya Active Directory’yi enumere eden bir keşif aracını tespit etmiş olabilir.
Canary’ler, Kerberoasting, AS-REP roasting, DCSync ve daha geniş dizin keşfi için erken uyarı sağlayabilir. Özellikle faydalıdırlar çünkü uyarı, meşru kullanıcıların asla erişmemesi gereken bir nesneyle etkileşime dayanır.
Ancak bunlar olay ilişkilendirmenin tam bir yerine geçmez. Bilinen tek bir hesabı hedef alan dikkatli bir saldırgan, sahte nesneye hiç dokunmayabilir. Kurumların yine de domain controller, certificate authority, federation ve senkronizasyon loglarının merkezi toplanmasına ve zamanında analizine ihtiyacı vardır.
Ayrıcalıklı erişim ayrımı, temel savunmadır
Rehber boyunca en çok tekrarlanan öneri, kurumun en güçlü kimliklerini ve sistemlerini izole etmektir.
Ajanslar, düşük güvenli sistemlerin daha yüksek güvenli altyapıyı etkileyemediği katmanlı bir yönetim modeli (tiered administrative model) uygulanmasını tavsiye ediyor. Tier 0; domain controller’ları, enterprise certification authority’leri, AD FS sistemlerini, Entra Connect sunucularını, yedekleme altyapısını ve domain üzerinde kontrole sahip hesapları içerir.
Tier 0 yöneticileri, ayrıcalıklı kimlik bilgileriyle internette gezinmemeli, sıradan e-posta okumamalı veya standart workstation’larda oturum açmamalıdır. Yönetim, adanmış ayrıcalıklı erişim workstation’ları (privileged access workstations) veya güçlendirilmiş jump sistemleri aracılığıyla yapılmalıdır.
Microsoft’un Active Directory için güncel katman modeli, düşük güvenli varlıkların yüksek güvenli olanları kontrol edememesi gereken bir bütünlük ilkesi uyguluyor. Mimari, kimlik bilgisi ifşasını sınırlamayı ve sıradan bir workstation’ın ele geçirilmesinin domain kontrolüne giden bir yola dönüşmesini önlemeyi amaçlıyor.
Phishing-resistant MFA, özellikle uzaktan erişim ve bulut yönetimi için önemini koruyor. Ancak rehber, MFA’nın yetki ayrımı, kimlik bilgisi izolasyonu, güvenli yönetim, protokol sertleştirme (hardening) ve kapsamlı loglama ile birlikte çalışması gerektiğini açıkça ortaya koyuyor.
Bir domain yöneticisinin oturumunu çalan, bir kimlik sunucusunu ele geçiren veya güvenilir kimlik doğrulama materyalini sahte olarak üreten bir saldırgan, geleneksel bir parola saldırısını durduracak kontrolleri aşabilir.
Kurumlar, kimlik sistemlerini kritik altyapı olarak ele almaya çağrılıyor
Güncellenen yayın, Active Directory güvenliğini rutin bir sunucu sertleştirme (hardening) egzersizi yerine bir kurumsal dayanıklılık (resilience) meselesi olarak yeniden çerçeveliyor.
Birçok kurum için dizinin kontrolünü kaybetmek, ağın geri kalanının dayandığı güven temelini kaybetmek anlamına gelir. Olay müdahale ekipleri artık hesapların, grup üyeliklerinin, sertifikaların, Kerberos ticket’larının veya federe kimlik doğrulama iddialarının meşru olduğunu varsayamayabilir.
NSA daha önce Active Directory’yi saldırganlara “krallığın anahtarlarını” sunan cazip bir hedef olarak tanımlamıştı. Orijinal ortak rapora eşlik eden duyurusu, domain kontrolünün saldırganların diğer korumaları atlatıp e-posta, dosya sunucuları ve kritik uygulamalara erişebileceği konusunda uyarmıştı.
Güncellenen rehberin pratik mesajı, kurumların bir olay beklemeden dizinlerini haritalandırması, ayrıcalıklı ilişkileri denetlemesi ve kurtarma prosedürlerini test etmesi gerektiğidir.
Öncelikli çalışmalar; ayrıcalıklı grup üyeliğinin azaltılmasını, yönetimsel kimliklerin ayrılmasını, geleneksel servis hesaplarının gMSA ile değiştirilmesini, gereksiz legacy kimlik doğrulamanın devre dışı bırakılmasını, sertifika şablonlarının gözden geçirilmesini, replikasyon izinlerinin denetlenmesini, yedeklerin korunmasını, hassas öznitelik değişikliklerinin izlenmesini ve Active Directory’yi bulut kimlik platformlarına bağlayan sistemlerin güvenliğe alınmasını içermelidir.
Bir saldırgan domain’in en hassas kriptografik sırlarını çalmış olduğunda, rutin iyileştirme önlemleri artık yeterli olmayabilir. Parola sıfırlamaları, endpoint’lerin yeniden imajlanması ve kötü amaçlı yazılım temizliği; sahte sertifikaları, federation anahtarlarını, shadow credential’ları ve Kerberos kalıcılık mekanizmalarını dokunulmamış bırakabilir.
Domain seviyesinde bir ele geçirmeyi önlemek ve bunu hızla tespit etmek için gerekli kanıtı korumak, bu nedenle dizinin kendisi bir saldırganın kontrolüne girdikten sonra güveni yeniden tesis etmeye çalışmaktan çok daha az yıkıcıdır.
Başka bir yazımızda görüşmek dileğiyle…