Selamlar, bu yazıda sizlere Active Directory ve kullanımı hakkında bilgi vereceğim.
Active Directory Nedir?
AD, Microsoft'un şirket ağlarında kullanıcı, bilgisayar, grup, yetki gibi kaynakları merkezi olarak yönettiği dizin hizmetidir. Kurumsal bir ağda AD, güvenlik ve erişim kontrolünün kalbidir. Örneğin; bir kullanıcı adı (örnek: mehmet.yilmaz) ve parola ile şirketteki tüm sistemlere (bilgisayar, ağ, e-posta, yazıcı vb.) giriş yapmasını sağlar. Group Policy sayesinde hangi hesabın hangi bilgisayarı kullanabileceği, hangi dosyalara erişebileceği gibi kuralları merkezi olarak belirler. LDAP ve Kerberos gibi protokoller kullanır.
Active Directory'nin SIEM, SOAR vb. Sistemlerle İlgisi
AD, saldırganların en çok hedeflediği noktalardan biridir.
Active Directory'de En Çok Kullanılan Saldırı ve Korunma Yöntemleri
Bunlar genellikle ağ içi saldırılardır. Yani bir şekilde şirket ağına sızan saldırganların AD üzerinden kontrolü ele geçirme stratejileridir.
Active Directory Nedir?
AD, Microsoft'un şirket ağlarında kullanıcı, bilgisayar, grup, yetki gibi kaynakları merkezi olarak yönettiği dizin hizmetidir. Kurumsal bir ağda AD, güvenlik ve erişim kontrolünün kalbidir. Örneğin; bir kullanıcı adı (örnek: mehmet.yilmaz) ve parola ile şirketteki tüm sistemlere (bilgisayar, ağ, e-posta, yazıcı vb.) giriş yapmasını sağlar. Group Policy sayesinde hangi hesabın hangi bilgisayarı kullanabileceği, hangi dosyalara erişebileceği gibi kuralları merkezi olarak belirler. LDAP ve Kerberos gibi protokoller kullanır.
Active Directory'nin SIEM, SOAR vb. Sistemlerle İlgisi
AD, saldırganların en çok hedeflediği noktalardan biridir.
- Kullanıcı oturum bilgileri
- Admin yetkileri
- Lateral Movement
- Credential Dumping
- Persistence
- XDR: AD'den gelen oturum, kimlik ve yetki verilerini analiz eder.
- SIEM: AD loglarını (örneğin 4624 [logon success]) korelasyon kurallarında kullanır.
- SOAR: AD'de bir kullanıcıya müdahale etmek için (hesap kilitlemek, parolasını sıfırlamak gibi playbooklarda AD API'sini kullanır.)
- AD'den anormal saatlerde oturum açıldı. → XDR bunu fark eder.
- SIEM loglara bakar: Aynı kullanıcı kısa sürede 5 sunucuya erişmiş.
- SOAR devreye girer: Otomatik olarak bu kullanıcıyı kilitler, olay kaydı açar. SOC analistine e-posta atar.
Active Directory'de En Çok Kullanılan Saldırı ve Korunma Yöntemleri
Bunlar genellikle ağ içi saldırılardır. Yani bir şekilde şirket ağına sızan saldırganların AD üzerinden kontrolü ele geçirme stratejileridir.
- Kerberoasting
- Amaç: Hizmet hesaplarının şifre karmasını (hash) elde ederek kırmak.
- Süreç:
- Saldırgan AD'den SPN (Service Principal Name) içeren kullanıcıları listeler. (Örneğin bir SQL servisi hesabı)
- Bu kullanıcılar için TGS bileti ister. (Normal kullanıcı gibi)
- Elde edilen bilet offline olarak kırılmaya çalışılır. (hashcat veya brute-force)
- Korunma:
- Servis hesapları güçlü ve karmaşık parolalara sahip olmalı.
- Kullanılmayan SPN'ler devre dışı bırakılmalı.
- "Kerberos Pre-Authentication" zorunlu tutulmalı.
- Pass The Hash (PtH)
- Amaç: Kullanıcı parolasına ihtiyaç duymadan, yalnızca hash ile sistemlere erişmek
- Süreç:
- Bir makineden NTML hash'i elde edilir.
- Bu hash, diğer sistemlere erişimde kimlik yerine kullanılır.
- Korunma:
- LSA Protection (Credential Guard) etkinleştirilmeli.
- Admin hesapları, farklı makinelerde kullanılmamalı.
- "Remote Credential Guard" veya "Windows Hello for Business" gibi kimlik doğrulama çözümleri uygulanmalı.
- Pass The Ticket (PtT)
- Amaç: Ele geçirilen Kerberos biletiyle yetkili gibi davranmak.
- Süreç:
- Bir kullanıcıya ait TGT (Ticket Granting Ticket) çalınır.
- Bu bilet başka makinelerde kullanılarak kimlik doğrulama yapılır.
- Korunma:
- Bilet ömrü kısa tutulmalı (varsayılan 10 saat → düşürülebilir)
- Tehdit tespiti için SIEM’de 4769 ve 4771 gibi loglar izlenmeli.
- DCSync Saldırısı
- Amaç: AD’den tüm kullanıcıların hashlerini uzaktan çekmek.
- Süreç:
- AD’de “Replicator” yetkisine sahip bir kullanıcı, etki alanı denetleyicisini taklit eder.
- NTDS.dit veritabanından hash’ler çekilir.
- Korunma:
- “AdminCount = 1” olan kullanıcılar incelenmeli.
- “Replicating Directory Changes” yetkisi sadece DC’lerde olmalı.
- Microsoft ATA ya da Defender for Identity gibi sistemlerle DCSync davranışları incelenmeli.
- Golden Ticket:
- Amaç: Tüm AD üzerinde sınırsız yetki elde etmek.
- Süreç:
- KRBTGT kullanıcısının hash’i ele geçirilir.
- Bu hash ile sahte TGT oluşturulur.
- Saldırgan artık istediği kullanıcı ve yetkiyle hareket edebilir.
- Korunma:
- KRBTGT hesabının parolası düzenli aralıklarla (örneğin 6 ayda 1 kez) değiştirilmeli.
- Domain admin hesapları minimum sayıda tutulmalı.
- Güçlü SIEM kuraları ve UEBA (User Entity Behavior Analytics) ile davranışlar izlenmeli.
- BloodHound & Attack Path Mapping
- Amaç: AD üzerinde ilişki grafiğini çıkararak “en kolay yetki yükseltme” yolunu bulmak.
- Süreç:
- BloodHound aracılığıyla tüm kullanıcılar, gruplar, izinler ve ilişkiler çıkarılır.
- En zayıf halkalar üzerinden admin haklarına kadar giden zincir buldunuz.
- Korunma:
- Least Privilege (asgari yetki) prensibi uygulanmalı.
- Admin gruplarına kullanıcılar gerektiğinde geçice süreliğine alınmalı.
- “Tiered administration” uygulanmalı (Aşama 0: Domain Admin, Aşama 1: Server Admin, Aşama 2: User Helpdesk gibi).
