Privilege Escalation Nedir? Saldırgan Normal Kullanıcıdan Kritik Yetkilere Nasıl Ulaşır?

Bir saldırganın kurumsal sisteme erişim sağlaması her zaman kritik yetkiye sahip olduğu anlamına gelmez.

Çoğu saldırı düşük yetkili bir kullanıcı hesabı, standart bir çalışan bilgisayarı veya sınırlı erişime sahip bir servis üzerinden başlar.

Bu noktada saldırganın en önemli hedeflerinden biri şudur:

Mevcut erişimi daha güçlü bir yetkiye dönüştürmek.

Siber güvenlik literatüründe bu süreç Privilege Escalation – Yetki Yükseltme olarak adlandırılır.

Privilege Escalation, bir tehdit aktörünün sahip olduğu mevcut kullanıcı veya sistem yetkisinden daha yüksek erişim seviyesine ulaşmaya çalışmasıdır.

Bu yükseltme;

standart kullanıcıdan local administrator'a,

local administrator'dan sistem yöneticisine,

düşük yetkili domain kullanıcısından privileged account'a,

belirli koşullarda kritik Active Directory yetkilerine

doğru gerçekleşebilir.

Ancak yetki yükseltme her zaman tek bir yazılım güvenlik açığından kaynaklanmaz.

Gerçek kurumsal ortamlarda en ciddi privilege escalation yolları çoğu zaman;

yanlış yetkilendirmeler,

gereğinden fazla grup üyelikleri,

zayıf servis hesapları,

hatalı ACL yapılandırmaları,

eski yönetim yetkileri,

paylaşılan administrator hesapları,

yanlış delegasyonlar

gibi birçok küçük problemin birleşmesiyle ortaya çıkar.

Bu nedenle Privilege Escalation, Active Directory Security, Red Teaming, Privileged Access Management ve Least Privilege birbirinden ayrı düşünülmemelidir.

Asıl soru şudur:

Standart bir kullanıcı hesabı ele geçirilirse saldırgan hangi yetkilere kadar ulaşabilir?

Privilege Escalation Nedir?

Privilege Escalation, bir kullanıcının veya saldırganın başlangıçta sahip olmadığı daha yüksek seviyedeki yetkilere erişim elde etmeye çalışmasıdır.

MITRE ATT&CK framework içerisinde Privilege Escalation ayrı bir taktik olarak ele alınır.

Bu aşamadaki amaç genellikle;

• daha fazla sistem üzerinde kontrol sağlamak,
• güvenlik kontrollerini aşmak,
• kritik dosyalara erişmek,
• başka kullanıcıların kimlik bilgilerine ulaşmak,
• servisleri yönetmek,
• yeni hesaplar veya erişim yolları oluşturmak,
• kritik iş sistemlerine ulaşmak

olabilir.

Red Team operasyonlarında Privilege Escalation'ın önemi büyüktür.

Çünkü saldırganın ilk erişim seviyesi çoğu zaman sınırlıdır.

Eğer düşük yetkili bir kullanıcıdan kritik yetkilere giden yol bulunabiliyorsa kurumun gerçek saldırı yüzeyi düşünüldüğünden çok daha geniş olabilir.

Local Privilege Escalation Nedir?

Yetki yükseltme genel olarak farklı seviyelerde değerlendirilebilir.

Bunlardan ilki Local Privilege Escalation – Yerel Yetki Yükseltme yaklaşımıdır.

Saldırgan bir bilgisayarda standart kullanıcı olarak oturum açmış olabilir.

Ancak sistem üzerinde administrator veya SYSTEM seviyesinde yetkiye sahip değildir.

Bu durumda saldırgan;

yanlış dosya izinleri,

hatalı servis yapılandırmaları,

zayıf uygulama yetkileri,

güncel olmayan yazılımlar,

yanlış işletim sistemi yapılandırmaları

gibi güvenlik problemlerinden yararlanarak daha yüksek yerel yetki elde etmeye çalışabilir.

Örneğin:

Standard User

↓

Local Administrator

Bu geçiş Local Privilege Escalation olarak değerlendirilebilir.

Local Administrator seviyesi saldırgan açısından önemlidir.

Çünkü bu yetki endpoint üzerinde daha fazla kontrol sağlayabilir ve saldırının sonraki aşamalarını kolaylaştırabilir.

Domain Privilege Escalation Nedir?

Domain Privilege Escalation, saldırganın Active Directory ortamında daha yüksek yetkili domain hesaplarına veya kritik domain yetkilerine ulaşmaya çalışmasıdır.

Bu süreç Local Privilege Escalation'dan daha geniş bir etkiye sahip olabilir.

Örneğin saldırgan;

standart domain kullanıcısı,

servis hesabı,

server administrator,

privileged group member

gibi farklı aşamalardan geçebilir.

Teorik bir saldırı yolu şöyle olabilir:

Domain User

↓

Local Admin

↓

Server Access

↓

Service Account

↓

Privileged Group

↓

Critical Domain Privilege

Bu zincirin tamamı tek bir güvenlik açığı değildir.

Bir Attack Path – Saldırı Yoludur.

Bu nedenle Active Directory güvenliğinde sadece tekil bulguları değil, yetki ilişkilerini birlikte analiz etmek gerekir.

Vertical ve Horizontal Privilege Escalation Arasındaki Fark

Privilege Escalation kavramı iki farklı şekilde de açıklanabilir.

Vertical Privilege Escalation, kullanıcının daha yüksek bir yetki seviyesine çıkmasıdır.

Örneğin:

Standart kullanıcı → Administrator.

Horizontal Privilege Escalation ise kullanıcının aynı yetki seviyesinde başka bir kullanıcının kaynaklarına erişebilmesidir.

Örneğin standart bir kullanıcının başka bir standart kullanıcının özel verilerine erişebilmesi.

Web uygulama güvenliğinde horizontal privilege escalation özellikle Broken Access Control ve IDOR/BOLA gibi risklerle ilişkilidir.

Kurumsal sistemlerde ise kimlik ve erişim kontrolü açısından benzer mantık geçerlidir.

Bu nedenle yetki güvenliği yalnızca “admin olabilir mi?” sorusundan ibaret değildir.

Kullanıcı kendisine ait olmayan hangi kaynaklara erişebiliyor?

sorusu da önemlidir.

Privilege Escalation Neden Saldırgan İçin Kritiktir?

Düşük yetkili kullanıcı hesabı saldırganın birçok işlemini sınırlar.

Ancak yüksek yetki elde edildiğinde saldırganın hareket alanı büyüyebilir.

Örneğin;

daha fazla dosyaya erişebilir,

güvenlik ayarlarını değiştirebilir,

başka kullanıcıların süreçlerini görebilir,

servis yapılandırmalarına erişebilir,

bazı güvenlik kontrollerini etkileyebilir,

başka sistemlere ilerleyebilir.

Bu nedenle saldırgan açısından Privilege Escalation çoğu zaman Lateral Movement ve Credential Access aşamalarının önünü açar.

Saldırı zinciri şu şekilde ilerleyebilir:

Initial Access

↓

Discovery

↓

Privilege Escalation

↓

Credential Access

↓

Lateral Movement

↓

Critical Asset

Ancak gerçek saldırılarda bu sıralama sabit değildir.

Saldırgan farklı aşamalar arasında tekrar tekrar geçiş yapabilir.

Misconfiguration Yetki Yükseltmenin En Büyük Kaynaklarından Biri

Privilege Escalation denildiğinde akla genellikle yazılım güvenlik açıkları gelir.

Ancak kurumsal yapılarda ciddi risklerin önemli bir bölümü Security Misconfiguration – Güvenlik Yapılandırma Hataları nedeniyle ortaya çıkabilir.

Örneğin;

kullanıcıya gereksiz administrator yetkisi verilmesi,

kritik klasörlerin yanlış izinlerle paylaşılması,

servislerin standart kullanıcı tarafından değiştirilebilir olması,

eski grup üyeliklerinin kaldırılmaması,

yanlış ACL konfigürasyonu

yetki yükseltme yolları oluşturabilir.

Bu tür risklerin önemli özelliği şudur:

Sistem teknik olarak güncel olabilir.

Hiçbir CVE bulunmayabilir.

Fakat saldırgan yine de yetkisini yükseltebilir.

Bu nedenle patch management tek başına privilege escalation riskini ortadan kaldırmaz.

Privilege Creep Nedir?

Kurumsal kimlik güvenliğinin önemli problemlerinden biri Privilege Creep – Yetki Birikimidir.

Bir çalışan şirkete başladığında belirli yetkilere sahip olur.

Daha sonra proje değiştirir.

Yeni görev alır.

Başka departmana geçer.

Yeni uygulamalara erişim verilir.

Eski yetkiler ise her zaman kaldırılmaz.

Yıllar içerisinde kullanıcı;

normal iş fonksiyonunun çok üzerinde erişime sahip olabilir.

Bu durum privilege creep olarak adlandırılır.

Privilege creep saldırgan açısından son derece değerlidir.

Çünkü ele geçirilen sıradan görünen bir kullanıcı hesabı beklenenden çok daha fazla sisteme erişebilir.

Bu nedenle Identity Governance and Administration – IGA süreçleri güvenlik açısından önemlidir.

Least Privilege Nedir?

Principle of Least Privilege – Minimum Yetki Prensibi, kullanıcıların ve servislerin yalnızca işlerini gerçekleştirmek için ihtiyaç duydukları minimum yetkiye sahip olması gerektiğini ifade eder.

Örneğin bir kullanıcı belirli bir klasörü okuyacaksa yazma yetkisine ihtiyaç duymayabilir.

Bir sistem yöneticisinin belirli bir sunucuyu yönetmesi gerekiyorsa bütün domain üzerinde administrator olmasına gerek olmayabilir.

Bir servis yalnızca bir veritabanına erişecekse tüm sunucularda yüksek yetkiye sahip olmamalıdır.

Bu yaklaşım basit görünmesine rağmen büyük kurumlarda uygulanması zor olabilir.

Çünkü yıllar içerisinde yetkiler birikir.

Projeler değişir.

Organizasyon yapıları değişir.

Eski hesaplar unutulur.

Bu nedenle Least Privilege yalnızca bir politika değil, sürekli yönetilmesi gereken bir süreçtir.

Servis Hesapları Privilege Escalation İçin Neden Önemlidir?

Service Accounts – Servis Hesapları, birçok kurumsal sistemin çalışması için gereklidir.

Ancak bu hesaplar yüksek risk oluşturabilir.

Çünkü servis hesapları sıklıkla;

uzun süreli parolalar kullanır,

interaktif kullanıcı hesaplarından daha az takip edilir,

birden fazla sunucuya erişebilir,

gereğinden yüksek yetkilere sahip olabilir.

Bir saldırgan düşük yetkili kullanıcı hesabından eriştiği sistem üzerinde servis hesabına ilişkin zayıflık keşfederse daha yüksek yetkiye ulaşabilir.

Bu nedenle servis hesabı güvenliği Privilege Escalation riskinin önemli parçalarından biridir.

Kurumların mümkün olduğunca;

gMSA,

managed identities,

secret rotation,

PAM,

minimum yetki

gibi yaklaşımları kullanması gerekir.

gMSA Nedir?

Group Managed Service Account – gMSA, Microsoft Active Directory ortamlarında servis hesaplarının parola yönetimini daha güvenli hale getirmeye yardımcı olan mekanizmalardan biridir.

Geleneksel servis hesaplarında parolalar manuel olarak belirlenebilir ve uzun süre değişmeden kalabilir.

gMSA yaklaşımında parola yönetimi Active Directory tarafından otomatikleştirilebilir.

Bu durum;

parola tekrar kullanımını,

uzun süreli statik credential riskini,

manuel parola yönetimini

azaltmaya yardımcı olur.

Ancak gMSA kullanmak tek başına bütün riskleri çözmez.

Hesabın hangi sistemlerde kullanılabildiği ve hangi yetkilere sahip olduğu yine kontrol edilmelidir.

Active Directory ACL ve Yetki Yükseltme

Active Directory nesneleri arasında birçok farklı yetki ilişkisi bulunur.

Bu ilişkiler ACL – Access Control List yapılarıyla yönetilir.

Yanlış yapılandırılmış ACL'ler düşük yetkili kullanıcıların beklenmedik şekilde kritik nesneleri değiştirebilmesine neden olabilir.

Örneğin bir kullanıcı;

başka bir kullanıcının özelliklerini değiştirebilir,

belirli bir grubu yönetebilir,

kritik bir nesne üzerinde yazma yetkisine sahip olabilir.

Bu tip durumlar doğrudan Domain Admin üyeliği gerektirmeden privilege escalation yolu oluşturabilir.

Bu nedenle AD Pentest ve Attack Path Analysis çalışmalarında ACL incelemesi kritik öneme sahiptir.

Group Membership Riskleri

Active Directory grupları yetki yönetimini kolaylaştırır.

Ancak iç içe grup yapıları zaman içerisinde karmaşık hale gelebilir.

Örneğin:

User A → Group A → Group B → Group C → Privileged Resource

şeklinde uzun bir yetkilendirme zinciri bulunabilir.

Kullanıcının doğrudan kritik grupta görünmemesi güvenli olduğu anlamına gelmez.

Nested group membership nedeniyle dolaylı yetki elde edebilir.

Bu nedenle privileged access analizlerinde yalnızca doğrudan grup üyelikleri değil, nested group relationships de değerlendirilmelidir.

Local Administrator Yetkileri Nasıl Privilege Escalation'a Dönüşür?

Birçok kurumda çalışanların veya IT ekiplerinin gereğinden fazla local administrator yetkisine sahip olduğu görülebilir.

Bu durum başlangıçta operasyonel kolaylık sağlar.

Ancak saldırı açısından ciddi risk oluşturur.

Local Administrator olan bir kullanıcı;

sistem yapılandırmalarını değiştirebilir,

yüksek yetkili işlemler gerçekleştirebilir,

bazı kimlik bilgilerine erişmeye çalışabilir.

Daha önemlisi, yüksek yetkili başka kullanıcılar aynı cihazı kullanıyorsa saldırgan bu durumdan yararlanarak privilege escalation zincirini ilerletebilir.

Bu nedenle local administrator hakları düzenli olarak gözden geçirilmelidir.

Shared Admin Accounts Neden Risklidir?

Birden fazla sistemde aynı administrator hesabının kullanılması privilege escalation ve lateral movement riskini büyütür.

Örneğin aynı yönetici hesabı;

50 workstation,

10 sunucu,

birkaç yönetim sistemi

üzerinde kullanılıyor olabilir.

Bu hesabın ele geçirilmesi durumunda saldırgan çok geniş bir erişim kazanabilir.

Bu nedenle;

ayrı yönetim hesapları,

unique local admin passwords,

LAPS,

PAM

gibi kontroller kullanılmalıdır.

Yüksek yetkili credential'ın ne kadar az sistemde kullanılacağı güvenlik açısından o kadar önemlidir.

Sudo ve Linux Privilege Escalation

Privilege Escalation yalnızca Windows veya Active Directory ortamlarının konusu değildir.

Linux sistemlerde de benzer riskler bulunur.

Örneğin;

yanlış sudo yapılandırmaları,

gereğinden geniş file permissions,

yüksek yetkili script'ler,

yanlış servis izinleri,

güncel olmayan kernel veya uygulamalar

yetki yükseltme yolları oluşturabilir.

Bu nedenle Red Team operasyonlarında yalnızca Windows endpoint'leri değil, Linux sunucuların privileged access yapısı da değerlendirilmelidir.

Cloud Privilege Escalation Nedir?

Kurumsal altyapının buluta taşınmasıyla Cloud Privilege Escalation giderek daha önemli hale gelmiştir.

Azure, AWS ve Google Cloud gibi ortamlarda saldırganın hedefi işletim sistemi administrator yetkisinden çok IAM yetkileri olabilir.

Örneğin düşük yetkili bir cloud identity;

rol oluşturabiliyor,

mevcut role yetki ekleyebiliyor,

service account kullanabiliyor,

secret okuyabiliyor,

başka bir workload üzerinde işlem yapabiliyorsa

daha yüksek cloud privilege seviyesine çıkabilir.

Bu nedenle bulut güvenliğinde IAM Misconfiguration en kritik risklerden biridir.

Cloud Pentest ve Red Team çalışmalarında permission graph ve role relationship analizleri giderek daha fazla önem kazanmaktadır.

Microsoft Entra ID ve Privilege Escalation

Modern hibrit yapılarda Active Directory ile Microsoft Entra ID birlikte kullanılabilir.

Bu nedenle yetki yükseltme yalnızca on-premise domain ortamında gerçekleşmeyebilir.

Saldırgan;

cloud kullanıcıları,

service principal'lar,

application permissions,

admin roles,

Conditional Access yapılandırmaları

üzerinden de privilege escalation yolları arayabilir.

Bu durum Hybrid Identity Security kavramını önemli hale getirir.

Bir kurumun on-premise AD'si güçlü olabilir ancak cloud identity yapılandırması zayıfsa saldırgan farklı bir yol kullanabilir.

PAM Nedir ve Privilege Escalation'ı Nasıl Azaltır?

Privileged Access Management – PAM, yüksek yetkili hesapların güvenli biçimde yönetilmesini sağlayan güvenlik yaklaşımıdır.

PAM çözümleri;

administrator parolalarının merkezi tutulması,

credential rotation,

yetkili oturumların kayıt altına alınması,

erişim taleplerinin onaylanması,

süreli yetki verilmesi

gibi kontroller sağlayabilir.

Privilege Escalation açısından PAM'ın temel amacı şudur:

Yüksek yetkili hesapların sürekli ve kontrolsüz biçimde kullanıcıların elinde bulunmasını önlemek.

Bu yaklaşım saldırganın ele geçirdiği normal kullanıcı hesabından doğrudan yüksek yetkili credential'a ulaşmasını zorlaştırır.

Just-in-Time Privilege Nedir?

Just-in-Time – JIT Privilege, yüksek yetkinin yalnızca gerektiği anda ve sınırlı süre için verilmesidir.

Örneğin bir sistem yöneticisi normal şartlarda yüksek yetkiye sahip değildir.

Kritik bir işlem yapacağı zaman onay alır.

30 dakika boyunca yüksek yetki kullanır.

Süre dolduğunda yetki otomatik olarak kaldırılır.

Bu yaklaşım standing privileges – sürekli yüksek yetkiler sorununu azaltır.

Çünkü saldırgan hesabı ele geçirdiğinde sürekli administrator yetkisi bulamaz.

Just Enough Administration Nedir?

Just Enough Administration – JEA, yöneticilerin yalnızca ihtiyaç duydukları yönetim işlemlerini gerçekleştirebilmesine yönelik bir yaklaşımdır.

Örneğin bir kullanıcının bütün sunucuda administrator olması yerine sadece belirli bir servisi yeniden başlatmasına izin verilebilir.

Bu yaklaşım privilege escalation riskini ve potansiyel saldırı etkisini azaltır.

Least Privilege, JIT ve JEA birlikte kullanıldığında privileged access yapısı önemli ölçüde güçlendirilebilir.

Privileged Access Workstation – PAW Nedir?

Yüksek yetkili hesapların günlük kullanıcı bilgisayarlarında kullanılması ciddi risk oluşturur.

Bu nedenle kritik yönetim aktiviteleri için özel olarak sertleştirilmiş cihazlar kullanılabilir.

Bu cihazlara Privileged Access Workstation – PAW denir.

PAW sistemlerinde;

internet erişimi sınırlandırılabilir,

e-posta kullanılmayabilir,

yalnızca yönetim işlemlerine izin verilebilir,

yüksek güvenlik politikaları uygulanabilir.

Amaç Domain Admin gibi kritik kimliklerin günlük kullanıcı aktivitelerinden izole edilmesidir.

Privilege Escalation ve Credential Access İlişkisi

Privilege Escalation ve Credential Access çoğu saldırıda birbirini besler.

Bir saldırgan daha yüksek yetki elde ettiğinde daha fazla credential'a erişebilir.

Yeni credential'lar ise daha yüksek yetkili başka hesaplara ulaşmasını sağlayabilir.

Örneğin:

Standard User

↓

Local Admin

↓

Credential Access

↓

Server Admin

↓

New Credential

↓

Privileged Domain Account

Bu nedenle endpoint credential protection özellikle önemlidir.

Credential Guard,

PAM,

LAPS,

admin tiering,

oturum ayrıştırması

gibi kontroller privilege escalation zincirini kırabilir.

EDR Privilege Escalation'ı Tespit Edebilir mi?

EDR ve XDR platformları privilege escalation sırasında ortaya çıkan bazı davranışları tespit edebilir.

Örneğin;

beklenmedik process davranışları,

güvenlik ayarı değişiklikleri,

yüksek yetkili süreçler,

credential erişim girişimleri,

şüpheli servis aktiviteleri

gibi davranışlar analiz edilebilir.

Ancak EDR'nin kurulu olması tek başına yeterli değildir.

Detection kuralları,

policy yapılandırmaları,

telemetry,

SOC analizi

birlikte çalışmalıdır.

Red Team operasyonlarında bu nedenle Privilege Escalation senaryoları aynı zamanda EDR Security Validation amacıyla kullanılabilir.

SOC Privilege Escalation'ı Nasıl Tespit Eder?

SOC ekipleri privilege escalation belirtilerini farklı veri kaynakları üzerinden değerlendirebilir.

Örneğin;

yeni administrator group üyelikleri,

olağan dışı privileged login,

hesap yetkisi değişiklikleri,

kritik GPO değişiklikleri,

service account aktiviteleri,

beklenmeyen privileged process davranışları

önemli sinyaller olabilir.

Burada temel nokta davranışın bağlamıdır.

IT yöneticisinin planlı bir değişiklik yapması normal olabilir.

Standart finans kullanıcısının bir anda administrator grubuna eklenmesi ise son derece şüpheli olabilir.

Bu nedenle User and Entity Behavior Analytics – UEBA gibi davranış analizi yaklaşımları önemlidir.

ITDR Yetki Yükseltme Saldırılarını Nasıl Görür?

Identity Threat Detection and Response – ITDR, kimlik tabanlı saldırıların tespiti açısından giderek daha önemli hale gelmektedir.

ITDR;

yüksek yetkili hesap aktiviteleri,

Active Directory değişiklikleri,

anormal authentication,

identity attack path'leri,

privilege relationship'leri

gibi alanları analiz edebilir.

Bu yaklaşım özellikle saldırganların malware kullanmadan geçerli kullanıcı hesaplarıyla hareket ettiği senaryolarda önemlidir.

Çünkü geleneksel antivirüs hiçbir zararlı dosya görmeyebilir.

Sorun malware değil, kimliğin kötüye kullanılmasıdır.

Privilege Escalation ve Living off the Land

Modern saldırganlar her zaman özel malware kullanmaz.

İşletim sisteminde zaten bulunan meşru araçlardan yararlanabilirler.

Bu yaklaşıma Living off the Land – LotL denir.

PowerShell,

Windows yönetim araçları,

script motorları,

uzak yönetim servisleri

normal operasyonların parçasıdır.

Bu nedenle saldırgan bu araçları kullandığında geleneksel imza tabanlı güvenlik yaklaşımı yetersiz kalabilir.

Savunmanın davranış odaklı olması gerekir.

Red Team Privilege Escalation Testinde Neyi Ölçer?

Profesyonel Red Team çalışmasında privilege escalation yalnızca “administrator olduk” şeklinde raporlanmamalıdır.

Şu soruların cevaplanması gerekir:

Başlangıç yetkisi neydi?

Hangi yanlış yapılandırma saldırı yolunu oluşturdu?

Yüksek yetkiye kaç adımda ulaşıldı?

EDR davranışı gördü mü?

SOC alarm üretti mi?

PAM saldırı zincirini engelledi mi?

Least Privilege uygulanıyor muydu?

Başka hangi sistemler bu yetkiden etkileniyordu?

Saldırı zincirinin en erken hangi noktada kırılması mümkündü?

Bu sorular Red Team raporunu teknik bir exploit listesinden gerçek bir risk analizine dönüştürür.

Attack Path Management Neden Önemlidir?

Kurumsal Active Directory ve hybrid identity ortamlarında binlerce yetki ilişkisi olabilir.

Bu nedenle tek tek kullanıcıları manuel kontrol etmek yeterli değildir.

Attack Path Management, düşük yetkili kimliklerden kritik varlıklara giden erişim yollarının sürekli analiz edilmesini amaçlar.

Örneğin şu yol ortaya çıkabilir:

Normal User

↓

Group Membership

↓

Local Admin

↓

Service Account

↓

Privileged Server

↓

Critical Identity

Bu attack path içerisinde tek bir noktayı ortadan kaldırmak bütün saldırı zincirini bozabilir.

Bu nedenle düzeltme çalışmalarında her zaman bütün sistemleri değiştirmek gerekmez.

Bazen en kritik bağlantıyı kesmek yeterlidir.

Privilege Escalation Riskini Azaltmak İçin Neler Yapılmalı?

Privilege Escalation tek bir güvenlik ürünüyle çözülebilecek bir problem değildir.

Kurumların özellikle;

Least Privilege

gereksiz erişimleri azaltması,

PAM

yüksek yetkili hesapları merkezi yönetmesi,

JIT Access

sürekli admin yetkilerini azaltması,

JEA

yönetici fonksiyonlarını sınırlandırması,

LAPS

yerel administrator hesaplarını ayrıştırması,

gMSA

servis hesabı parola yönetimini güçlendirmesi,

PAW

kritik admin hesaplarını izole etmesi,

Active Directory Hardening

ACL ve delegation ilişkilerini düzenli incelemesi,

EDR/XDR

endpoint davranışlarını izlemesi,

ITDR

kimlik saldırılarını izlemesi,

SIEM/SOC

privileged activity korelasyonu oluşturması

gerekir.

Bunların yanında düzenli AD Pentest, Red Team ve Purple Team çalışmaları gerçekleştirerek kontrollerin gerçekten çalıştığı doğrulanmalıdır.

Privilege Escalation Raporunda Neler Olmalıdır?

Profesyonel bir Privilege Escalation veya Red Team raporu yalnızca kullanılan teknikleri listelememelidir.

Raporda;

Initial Access Level

Başlangıçtaki yetki seviyesi.

Privilege Escalation Path

Daha yüksek yetkiye giden saldırı yolu.

Identity Relationships

Kullanıcı, grup, sistem ve servis hesabı ilişkileri.

Business Impact

Elde edilen yetkinin oluşturabileceği iş etkisi.

Detection Analysis

EDR, ITDR ve SOC tarafından hangi aktivitelerin görüldüğü.

Root Cause

Saldırı yolunu mümkün kılan asıl yapılandırma problemi.

Remediation Priority

Saldırı zincirini en hızlı kıracak düzeltmeler.

Retest

Düzeltmeler sonrasında saldırı yolunun yeniden doğrulanması

gibi alanlar bulunmalıdır.

Bu yaklaşım privilege escalation değerlendirmesini teknik bir bulgudan Security Validation sürecine dönüştürür.

Privilege Escalation Neden Yönetim Seviyesinde Önemlidir?

Yetki yükseltme ilk bakışta teknik bir konu gibi görünebilir.

Ancak iş etkisi çok büyüktür.

Bir saldırgan kritik yetkiye ulaştığında;

finansal verilere,

müşteri bilgilerine,

ticari sırlara,

yedekleme sistemlerine,

ERP altyapısına,

kurumsal e-postalara,

cloud servislerine

erişim sağlayabilir.

Dolayısıyla privilege escalation problemi yalnızca IT güvenlik ekibinin sorunu değildir.

Kurumsal risk ve iş sürekliliği problemidir.

Bu nedenle üst yönetim seviyesinde takip edilmesi gereken metriklerden biri de privileged access riskidir.

Sonuç: Saldırganın Hedefi Parolanız Değil, Yetkinizdir

Bir saldırgan açısından ele geçirilen her kullanıcı hesabının değeri aynı değildir.

Asıl değer o hesabın ulaşabileceği yerlerde saklıdır.

Standart bir kullanıcı yalnızca kendi bilgisayarına erişiyor gibi görünebilir.

Ancak;

başka bir sistemde local administrator olabilir,

kritik bir servis hesabına erişim yolu bulunabilir,

yanlış ACL üzerinden başka bir kullanıcıyı kontrol edebilir,

nested group ilişkisi üzerinden beklenmeyen yetkilere sahip olabilir.

Bu nedenle modern siber güvenlikte sadece:

“Kullanıcı hesabı ele geçirilebilir mi?”

sorusu yeterli değildir.

Asıl soru:

“Bu kullanıcı ele geçirilirse hangi yetkilere dönüşebilir?”

olmalıdır.

Privilege Escalation analizi bu sorunun cevabını verir.

Güçlü bir kurum, saldırganın ilk hesabı ele geçirmesini engellemeye çalışır.

Daha güçlü bir kurum ise şu varsayımla hareket eder:

İlk hesap ele geçirilse bile yüksek yetkiye ulaşılmasını engellemeliyiz.

Least Privilege, PAM, JIT, PAW, Active Directory Hardening, ITDR ve Attack Path Management bu nedenle modern siber güvenlik mimarisinin temel bileşenleridir.

Ancak saldırgan yüksek yetkiye ulaştığında önünde başka bir problem ortaya çıkar.

Erişimi kaybetmeden kurum içerisinde kalabilmek.

Güvenlik ekipleri hesapları kapatsa veya sistemleri yeniden başlatsa bile yeniden erişebilmek.

Ve kurduğu iletişim kanalını savunma sistemlerinden saklamak.

Bu aşamalar iki kritik kavramı ortaya çıkarır:

Persistence ve Command & Control (C2).