Active Directory Saldırıları Nedir? Standart Kullanıcıdan Kritik Yetkilere Giden Yol

Bir saldırganın kurumsal ağa ilk erişimi sağlaması çoğu zaman operasyonun yalnızca başlangıcıdır.

İlk erişim düşük yetkili bir kullanıcı hesabı, standart bir çalışan bilgisayarı veya sınırlı erişime sahip bir servis üzerinden gerçekleşmiş olabilir.

Bu noktadan sonra saldırganın önündeki temel soru şudur:

“Bu erişimi daha yüksek yetkiye nasıl dönüştürebilirim?”

Microsoft tabanlı kurumsal yapılarda bu sorunun cevabı çoğu zaman Active Directory – AD içerisinde aranır.

Active Directory; kullanıcı hesaplarını, bilgisayarları, sunucuları, grupları, servis hesaplarını, güvenlik politikalarını ve erişim yetkilerini merkezi olarak yöneten kritik bir kimlik altyapısıdır.

Bu merkezi yapı işletmeler için büyük kolaylık sağlarken saldırgan açısından da son derece değerli bir hedef oluşturur.

Çünkü Active Directory üzerinde elde edilen yüksek yetkili bir erişim, saldırganın tek bir bilgisayardan çok daha geniş bir kurumsal altyapıya ulaşmasına neden olabilir.

Bu nedenle Active Directory güvenliği, Active Directory sızma testi, AD Pentest ve Red Team operasyonları modern kurumsal siber güvenliğin en kritik konularından biridir.

Ancak Active Directory saldırılarını anlamak için önemli bir gerçeği bilmek gerekir:

Saldırgan her zaman Domain Admin hesabının parolasını kırmak zorunda değildir.

Çoğu zaman saldırı yolu;

yanlış yetkilendirmeler,

zayıf servis hesabı yapılandırmaları,

kimlik bilgisi maruziyetleri,

grup üyelikleri,

delegasyon ilişkileri

ve yıllar içerisinde oluşmuş karmaşık erişim bağlantıları üzerinden ilerler.

Bu nedenle Active Directory güvenliğinde yalnızca tek tek kullanıcıların güvenliği değil, hesaplar arasındaki ilişkiler ve Attack Path – Saldırı Yolları önemlidir.

Active Directory Nedir?

Microsoft Active Directory Domain Services, kurumsal Windows altyapılarında kimlik ve erişim yönetiminin temel bileşenlerinden biridir.

Active Directory içerisinde;

• kullanıcı hesapları,
• bilgisayar hesapları,
• güvenlik grupları,
• organizational unit yapıları,
• Group Policy Object'leri,
• servis hesapları,
• domain controller'lar,
• erişim yetkileri,
• güven ilişkileri

merkezi olarak yönetilebilir.

Örneğin bir çalışan bilgisayarına kurumsal kullanıcı adı ve parolasıyla giriş yaptığında Active Directory kimlik doğrulama sürecinin önemli bir parçasıdır.

Aynı kullanıcı;

dosya sunucusuna,

ERP sistemine,

kurumsal uygulamalara,

paylaşımlı dizinlere

erişirken de Active Directory kimliği kullanılabilir.

Bu nedenle Active Directory sadece bir kullanıcı dizini değildir.

Kurumun Identity and Access Management – Kimlik ve Erişim Yönetimi yapısının merkezinde bulunabilir.

Active Directory Saldırganlar İçin Neden Bu Kadar Değerlidir?

Bir saldırgan kurumsal ağa ilk kez eriştiğinde çoğu zaman kritik sistemlerin yönetici yetkisine sahip değildir.

Standart bir kullanıcı hesabıyla başlamış olabilir.

Ancak Active Directory ortamı saldırganın kullanıcılar ve sistemler arasındaki güven ilişkilerini anlamasına yardımcı olabilir.

Örneğin saldırgan şu soruların cevaplarını araştırabilir:

Hangi domain içerisindeyim?

Hangi kullanıcı hesapları var?

Hangi gruplar yüksek yetkiye sahip?

Hangi kullanıcı hangi bilgisayarda local administrator?

Hangi servis hesapları mevcut?

Hangi sunucular kritik?

Hangi hesaplar birbirine erişebiliyor?

Domain Admin'e ulaşabilecek bir attack path var mı?

Burada kritik nokta şudur:

Bir Active Directory ortamında binlerce kullanıcı bulunabilir.

Fakat saldırganın bütün hesapları ele geçirmesi gerekmez.

Doğru ilişkileri takip ederek birkaç adım içerisinde yüksek yetkili bir hesaba ulaşması mümkün olabilir.

Domain Admin Nedir?

Domain Admins, Active Directory ortamındaki en yüksek yetkili güvenlik gruplarından biridir.

Domain Admin yetkisine sahip kullanıcılar çok geniş yönetim yetkilerine sahip olabilir.

Bu nedenle saldırganın Domain Admin seviyesine ulaşması ciddi sonuçlara neden olabilir.

Ancak profesyonel Active Directory güvenlik değerlendirmelerinde sadece Domain Admin üyeliğine odaklanmak doğru değildir.

Çünkü farklı yetkilendirme ilişkileri de saldırgana benzer derecede kritik erişimler sağlayabilir.

Örneğin;

belirli GPO'ları değiştirme yetkisi,

kritik kullanıcıları yönetme yetkisi,

domain controller üzerinde yönetim erişimi,

delegasyon yetkileri,

kritik grup üyeliklerini değiştirme kabiliyeti

doğrudan veya dolaylı şekilde yüksek etki oluşturabilir.

Bu nedenle AD güvenliğinde sadece “kaç Domain Admin var?” sorusu yeterli değildir.

Asıl soru şudur:

“Hangi kullanıcı veya sistemlerden kritik yetkilere giden yollar mevcut?”

Attack Path Nedir?

Attack Path, saldırganın düşük yetkili bir başlangıç noktasından daha yüksek yetkili bir hesaba veya kritik sisteme ulaşmasını sağlayabilecek ilişkiler zinciridir.

Örneğin bir saldırı yolu teorik olarak şöyle görünebilir:

Standart Kullanıcı

↓

Yerel Yönetici Yetkisi

↓

Sunucu Erişimi

↓

Servis Hesabı

↓

Yetkili Grup

↓

Kritik Yönetim Yetkisi

Bu zincirin her bir adımı tek başına “kritik güvenlik açığı” olarak görünmeyebilir.

Ancak bağlantılar birlikte değerlendirildiğinde saldırgan açısından son derece değerli bir yol ortaya çıkabilir.

İşte Active Directory güvenliği açısından en önemli problemlerden biri budur:

Risk tek bir yanlış yapılandırmada değil, yanlış yapılandırmaların birbirine bağlanmasında olabilir.

BloodHound Nedir ve Neden Kullanılır?

Active Directory güvenlik değerlendirmelerinde en sık duyulan araçlardan biri BloodHound'dur.

BloodHound, Active Directory içerisindeki kullanıcılar, gruplar, bilgisayarlar ve yetki ilişkilerini grafik tabanlı olarak analiz etmeye yardımcı olan bir araçtır.

Temel amacı şu soruya cevap vermektir:

“Bu kullanıcıdan kritik bir hesaba giden yetki yolu var mı?”

Örneğin bir kullanıcının doğrudan Domain Admin yetkisi olmayabilir.

Ancak;

bir bilgisayarda local admin olabilir,

o bilgisayarda yüksek yetkili başka bir kullanıcı oturum açmış olabilir,

bu hesap başka bir sunucuda daha yüksek yetkiye sahip olabilir.

Bu ilişkiler zinciri manuel olarak fark edilmesi zor olabilir.

BloodHound benzeri analiz yaklaşımları bu bağlantıları görünür hale getirir.

Bu nedenle BloodHound yalnızca saldırganların kullandığı bir araç olarak düşünülmemelidir.

Blue Team ve Active Directory güvenlik ekipleri de Attack Path Management amacıyla bu tür analizlerden yararlanabilir.

Kerberos Active Directory Güvenliğinde Neden Önemlidir?

Active Directory ortamlarında yaygın olarak kullanılan kimlik doğrulama protokollerinden biri Kerberos'tur.

Kerberos güvenli ve merkezi kimlik doğrulama sağlamak amacıyla tasarlanmıştır.

Ancak yanlış yapılandırılmış hesaplar veya zayıf parola politikaları bazı Kerberos tabanlı saldırı senaryolarının ortaya çıkmasına neden olabilir.

Bu nedenle Red Team ve AD Pentest çalışmalarında Kerberos yapısı önemli bir değerlendirme alanıdır.

En çok bilinen kavramlardan bazıları;

Kerberoasting

AS-REP Roasting

Golden Ticket

Silver Ticket

gibi tekniklerdir.

Bu tekniklerin her biri farklı koşullara ve güvenlik risklerine dayanır.

Ancak savunma açısından temel mesaj aynıdır:

Active Directory güvenliği yalnızca kullanıcı parolalarından ibaret değildir.

Kimlik doğrulama protokollerinin nasıl yapılandırıldığı da güvenliğin önemli bir parçasıdır.

Kerberoasting Nedir?

Kerberoasting, Active Directory ortamlarında servis hesaplarının güvenliğini hedefleyen yaygın saldırı tekniklerinden biridir.

Kurumsal sistemlerde bazı servisler belirli kullanıcı hesapları üzerinden çalışabilir.

Bu hesaplar Service Account – Servis Hesabı olarak kullanılabilir.

Eğer bu hesaplar;

zayıf parola kullanıyorsa,

parolaları uzun süredir değişmemişse,

gereğinden fazla yetkiye sahipse

risk artabilir.

Kerberoasting saldırılarında saldırganın amacı servis hesaplarına ilişkin Kerberos verilerini elde ederek zayıf parola kullanımından faydalanmaya çalışmaktır.

Bu nedenle kurumların;

güçlü servis hesabı parolaları,

Managed Service Accounts,

Group Managed Service Accounts – gMSA,

minimum yetki prensibi

gibi güvenlik kontrollerini kullanması önemlidir.

AS-REP Roasting Nedir?

AS-REP Roasting, Kerberos kimlik doğrulama süreçlerinde belirli kullanıcı hesaplarının yanlış yapılandırılması durumunda ortaya çıkabilecek saldırı senaryolarından biridir.

Özellikle Kerberos pre-authentication mekanizmasının devre dışı bırakıldığı hesaplar risk oluşturabilir.

Bu tür yapılandırmalar genellikle uyumluluk veya eski uygulama gereksinimleri nedeniyle yıllar içerisinde ortaya çıkabilir.

Ancak artık kullanılmayan bir istisna yapılandırmasının sistemde kalması saldırgan açısından fırsat oluşturabilir.

Bu durum Active Directory güvenliğinde önemli bir prensibi ortaya çıkarır:

Geçmişte gerekli olan istisnalar düzenli olarak yeniden değerlendirilmelidir.

Servis Hesapları Neden Risklidir?

Servis hesapları birçok Active Directory ortamındaki en kritik kimliklerden biridir.

Çünkü servis hesapları genellikle;

uzun süre açık kalır,

parolaları nadiren değiştirilir,

birden fazla sistemde kullanılır,

yüksek erişim yetkilerine sahip olabilir.

Bu durum saldırgan açısından önemli bir hedef oluşturur.

Örneğin standart bir kullanıcı hesabı sınırlı erişime sahip olabilir.

Ancak aynı ortamda yanlış yapılandırılmış yüksek yetkili servis hesabı bulunuyorsa saldırgan bu hesabı attack path içerisinde değerlendirebilir.

Bu nedenle servis hesaplarının;

envanterinin çıkarılması,

yetkilerinin sınırlandırılması,

parolalarının güvenli yönetilmesi,

mümkünse gMSA gibi yönetilen hesaplara geçirilmesi

Active Directory Hardening çalışmalarının önemli parçalarındandır.

Local Administrator Yetkileri Neden Önemlidir?

Bir kullanıcının tek bir bilgisayarda Local Administrator olması ilk bakışta domain seviyesinde kritik görünmeyebilir.

Ancak bu erişim saldırgan açısından önemli olabilir.

Çünkü local administrator yetkisine sahip olunan bir sistem üzerinde;

kimlik bilgileri,

oturum bilgileri,

servis yapılandırmaları,

diğer kullanıcı aktiviteleri

gibi değerli bilgiler bulunabilir.

Özellikle yüksek yetkili kullanıcılar aynı sisteme giriş yapıyorsa risk artabilir.

Bu nedenle kurumların geniş çaplı Local Administrator yetkilerini azaltması önemlidir.

Least Privilege – Minimum Yetki Prensibi, Active Directory güvenliğinin temel prensiplerinden biridir.

Kullanıcı yalnızca işi için gerekli yetkiye sahip olmalıdır.

Credential Access Nedir?

Credential Access, saldırganın kullanıcı adları, parolalar, token'lar veya diğer kimlik doğrulama materyallerine ulaşmaya çalıştığı MITRE ATT&CK taktiğidir.

Active Directory saldırılarında Credential Access kritik aşamalardan biridir.

Çünkü elde edilen her yeni kimlik bilgisi saldırganın erişim alanını genişletebilir.

Saldırganın temel hedefi çoğu zaman tek bir parolayı elde etmek değildir.

Amaç yeni bir kimlikle farklı bir sisteme erişebilmektir.

Bu süreç saldırı zincirini şu hale getirebilir:

İlk Kullanıcı

↓

Yeni Credential

↓

Yeni Sistem

↓

Daha Yetkili Credential

↓

Kritik Sistem

Bu nedenle kimlik bilgisi güvenliği modern Red Team ve Active Directory Security çalışmalarının merkezinde yer alır.

Pass-the-Hash Nedir?

Windows ortamlarında bilinen saldırı tekniklerinden biri Pass-the-Hash yöntemidir.

Bu saldırı yaklaşımında amaç her zaman kullanıcının açık metin parolasını öğrenmek değildir.

Belirli koşullarda kimlik doğrulamada kullanılan parola hash'inin kötüye kullanılmaya çalışılması söz konusu olabilir.

Savunma açısından bu risk;

yüksek yetkili hesapların nerelerde oturum açtığı,

yerel yönetici hesaplarının nasıl yönetildiği,

credential isolation,

Microsoft Defender Credential Guard,

Privileged Access Workstation

gibi güvenlik kontrollerini önemli hale getirir.

Buradaki temel prensip şudur:

Yüksek yetkili hesap mümkün olduğunca az sistemde kullanılmalıdır.

Pass-the-Ticket Nedir?

Kerberos tabanlı ortamlarda karşılaşılabilen başka bir saldırı yaklaşımı Pass-the-Ticket olarak bilinir.

Bu yöntemde Kerberos ticket'larının yetkisiz şekilde kullanılmaya çalışılması söz konusu olabilir.

Bu nedenle Active Directory güvenliği yalnızca parola korumasından oluşmaz.

Kimlik doğrulama oturumlarının ve ticket yaşam döngüsünün güvenliği de önemlidir.

Red Team çalışmalarında bu tip saldırı davranışlarının değerlendirilmesi, kurumun endpoint ve identity detection kabiliyetini ölçmek açısından değerli olabilir.

Privilege Escalation Nedir?

Privilege Escalation – Yetki Yükseltme, saldırganın mevcut erişiminden daha yüksek yetki seviyesine ulaşmaya çalışmasıdır.

Active Directory ortamında saldırgan standart kullanıcı hesabıyla başlamış olabilir.

Ancak saldırının hedefi;

local administrator,

server administrator,

privileged service account,

Domain Admin

gibi daha güçlü erişim seviyelerine ulaşmak olabilir.

Privilege Escalation her zaman yazılım zafiyeti üzerinden gerçekleşmez.

Yanlış yapılandırılmış erişim hakları da aynı sonucu oluşturabilir.

Örneğin;

gereğinden fazla grup üyeliği,

yanlış ACL yapılandırması,

hatalı delegasyon,

yüksek yetkili servis hesabı,

zayıf parola politikası

bir saldırı yolunun parçası olabilir.

Active Directory ACL Nedir?

Active Directory nesneleri üzerinde farklı Access Control List – ACL yetkileri bulunabilir.

Bu yetkiler kullanıcıların veya grupların belirli Active Directory nesneleri üzerinde hangi işlemleri gerçekleştirebileceğini belirler.

Yanlış yapılandırılmış ACL'ler saldırgan açısından son derece değerli olabilir.

Örneğin düşük yetkili bir kullanıcı farkında olmadan kritik bir kullanıcı hesabı veya grup üzerinde gereğinden fazla kontrol yetkisine sahip olabilir.

Bu durum yıllar içerisinde;

geçici proje yetkileri,

personel değişiklikleri,

eski uygulamalar,

yanlış delegasyonlar

nedeniyle ortaya çıkabilir.

Bu nedenle Active Directory güvenlik değerlendirmelerinde yalnızca grup üyelikleri değil, ACL ilişkileri de analiz edilmelidir.

Active Directory Delegation Riskleri

Active Directory ve Kerberos ortamlarında farklı delegation mekanizmaları bulunabilir.

Delegation, uygulamaların veya servislerin kullanıcı adına belirli işlemler gerçekleştirebilmesini sağlayan önemli bir özelliktir.

Ancak yanlış yapılandırıldığında saldırı yolları oluşturabilir.

Bu nedenle Red Team ve AD Pentest çalışmalarında;

legacy delegation yapıları,

servis hesapları,

yetkilendirme ilişkileri

dikkatle değerlendirilmelidir.

Özellikle yıllardır kullanılmayan servislerin eski delegasyon yapılandırmaları güvenlik açısından gözden kaçabilir.

Group Policy Object – GPO Neden Kritik?

Group Policy Object – GPO, Active Directory ortamlarında kullanıcı ve bilgisayarların merkezi yapılandırılmasını sağlayan güçlü bir mekanizmadır.

GPO üzerinden;

güvenlik politikaları,

Windows ayarları,

script'ler,

uygulama yapılandırmaları

çok sayıda sisteme uygulanabilir.

Bu nedenle kritik bir GPO üzerinde yetkisiz değişiklik yapabilmek önemli bir güvenlik riski oluşturabilir.

Bir kullanıcının Domain Admin olmaması onun önemsiz olduğu anlamına gelmez.

Eğer aynı kullanıcı kritik GPO üzerinde değişiklik yetkisine sahipse etkisi çok yüksek olabilir.

Bu örnek Active Directory güvenliğinde neden yalnızca grup isimlerine bakmanın yeterli olmadığını gösterir.

Domain Controller Neden Korunmalıdır?

Domain Controller – DC, Active Directory altyapısının en kritik sistemlerinden biridir.

Kimlik doğrulama ve directory servisleri üzerinde merkezi rol oynar.

Bu nedenle Domain Controller güvenliği özel önem taşır.

Domain Controller'lar;

genel kullanıcı aktivitelerinden,

gereksiz uygulamalardan,

internet erişiminden,

normal yönetim işlemlerinden

mümkün olduğunca ayrıştırılmalıdır.

Ayrıca yüksek yetkili hesapların kullanım biçimi sıkı şekilde kontrol edilmelidir.

Bir Domain Controller'ın ele geçirilmesi, kurumun Active Directory güvenliği açısından çok ciddi sonuçlar doğurabilir.

Tiering Model ve Privileged Access

Active Directory güvenliğinde kullanılan önemli yaklaşımlardan biri Administrative Tiering veya modern privileged access modelleridir.

Temel fikir şudur:

En kritik yönetim hesapları günlük kullanıcı bilgisayarlarında kullanılmamalıdır.

Örneğin Domain Admin hesabının;

e-posta okumak,

internete girmek,

normal workstation yönetmek

için kullanılmaması gerekir.

Yüksek yetkili hesapların kullanım alanı ne kadar genişlerse saldırganın bu hesaplara ulaşabileceği saldırı yüzeyi de büyür.

Bu nedenle kurumlar;

ayrı admin hesapları,

Privileged Access Workstation – PAW,

PAM,

Just-in-Time Access,

Just Enough Administration

gibi yaklaşımları değerlendirebilir.

Active Directory ve Lateral Movement

Active Directory saldırılarının kritik etkilerinden biri Lateral Movement – Yanal Hareket kabiliyetidir.

Saldırgan bir bilgisayara eriştikten sonra aynı ağ içerisindeki farklı sistemlere ilerlemeye çalışabilir.

Örneğin;

workstation'dan sunucuya,

sunucudan başka sunucuya,

kullanıcı hesabından servis hesabına

geçiş yolları araştırılabilir.

Active Directory içerisindeki kimlik ve erişim ilişkileri bu hareketi kolaylaştırabilir veya zorlaştırabilir.

Bu nedenle Network Segmentation ve Identity Segmentation birlikte değerlendirilmelidir.

Sadece firewall segmentasyonu yeterli olmayabilir.

Kimlikler arasındaki erişim ilişkileri de sınırlandırılmalıdır.

Active Directory Pentest Nedir?

Active Directory Pentest, kurumsal AD ortamındaki güvenlik açıklarını, yanlış yapılandırmaları ve saldırı yollarını değerlendiren sızma testi çalışmasıdır.

Bu çalışma kapsamında;

kullanıcı ve grup yetkileri,

servis hesapları,

Kerberos yapılandırmaları,

NTLM kullanımı,

ACL ilişkileri,

delegation yapılandırmaları,

GPO güvenliği,

local administrator ilişkileri,

password policy,

privileged accounts,

attack path'ler

analiz edilebilir.

Ancak profesyonel AD Pentest yalnızca otomatik araç çıktılarından oluşmamalıdır.

Asıl değer bulunan ilişkilerin gerçek saldırı etkisine dönüştürülüp dönüştürülemeyeceğinin analiz edilmesidir.

Active Directory Pentest ile Red Team Arasındaki Fark

AD Pentest ve Red Team birbiriyle ilişkili olsa da aynı çalışma değildir.

Active Directory Pentest'in ana hedefi AD ortamındaki güvenlik risklerini sistematik şekilde tespit etmektir.

Red Team ise Active Directory'yi daha geniş saldırı senaryosunun bir parçası olarak kullanabilir.

Örneğin Red Team hedefi;

“İnternetten başlayarak kritik sisteme erişmek.”

olabilir.

Bu durumda saldırı zinciri şöyle ilerleyebilir:

Initial Access

↓

Standart Kullanıcı

↓

Active Directory Discovery

↓

Credential Access

↓

Privilege Escalation

↓

Lateral Movement

↓

Critical Asset

Burada Active Directory hedef değil, saldırganın hedefe ulaşmasını sağlayan ana yollardan biridir.

SOC Active Directory Saldırılarını Nasıl Tespit Edebilir?

Active Directory saldırılarının tespit edilmesi yalnızca Domain Controller loglarını izlemekten ibaret değildir.

Farklı telemetry kaynaklarının birlikte değerlendirilmesi gerekir.

Örneğin;

Windows Event Logs,

Domain Controller Security Logs,

EDR/XDR verileri,

Identity Provider logları,

PAM kayıtları,

network telemetry,

SIEM korelasyonları

birlikte analiz edilebilir.

SOC için önemli olan tek bir eventi görmek değil, olaylar arasındaki ilişkiyi anlayabilmektir.

Örneğin;

standart kullanıcı hesabında olağan dışı davranış,

ardından farklı sistemlere authentication,

sonrasında yüksek yetkili kaynaklara erişim denemesi

birlikte değerlendirildiğinde daha anlamlı olabilir.

Bu yaklaşım Identity Threat Detection and Response – ITDR kavramını da önemli hale getirmiştir.

ITDR Nedir?

Identity Threat Detection and Response – ITDR, kimlik sistemlerine yönelik saldırıların tespit edilmesi ve müdahale edilmesini hedefleyen güvenlik yaklaşımıdır.

Modern saldırılarda saldırganlar yalnızca endpoint veya network üzerinden ilerlemez.

Kimlikleri kötüye kullanırlar.

Bu nedenle;

Active Directory,

Microsoft Entra ID,

privileged accounts,

service accounts,

authentication behaviour

gibi alanların sürekli izlenmesi gerekir.

ITDR, klasik endpoint güvenliği ile kimlik güvenliği arasındaki boşluğu kapatmaya yardımcı olur.

Active Directory Hardening Nasıl Yapılmalıdır?

Active Directory güvenliği tek seferlik bir proje değildir.

Sürekli iyileştirilmesi gereken bir güvenlik sürecidir.

Kurumların özellikle;

gereksiz Domain Admin hesaplarını azaltması,

yüksek yetkili kullanıcıları ayrıştırması,

servis hesaplarını güvenli yönetmesi,

gMSA kullanımını değerlendirmesi,

eski protokolleri azaltması,

NTLM kullanımını kontrol etmesi,

LAPS kullanması,

ACL ve delegation ilişkilerini incelemesi,

GPO yetkilerini denetlemesi,

Local Administrator erişimlerini sınırlandırması,

MFA ve PAM entegrasyonlarını geliştirmesi,

AD loglarını merkezi olarak izlemesi

önemlidir.

Ancak en kritik adımlardan biri düzenli olarak Attack Path Analysis gerçekleştirmektir.

Çünkü ortam zaman içerisinde değişir.

Yeni kullanıcılar eklenir.

Yeni sunucular oluşturulur.

Projeler başlar.

Yetkiler verilir.

Servis hesapları açılır.

Geçici erişimler unutulur.

Bu değişiklikler yeni saldırı yolları oluşturabilir.

Active Directory Güvenliği Neden Sürekli Test Edilmelidir?

Bir Active Directory ortamı bugün güvenli olabilir.

Ancak birkaç ay içerisinde;

yeni uygulamalar,

yeni kullanıcılar,

organizasyon değişiklikleri,

yeni servis hesapları,

yeni yetkiler

nedeniyle güvenlik yapısı değişebilir.

Bu nedenle yalnızca yılda bir kez yapılan değerlendirme her zaman yeterli olmayabilir.

Kurumlar;

Active Directory Pentest,

Attack Path Management,

Identity Security Assessment,

Purple Team Exercise,

ITDR monitoring

gibi farklı yöntemleri birlikte değerlendirebilir.

Amaç yalnızca güvenlik açığı bulmak değil, yeni saldırı yollarının oluşmasını erken aşamada tespit etmektir.

Active Directory Raporunda Neler Olmalıdır?

Profesyonel bir Active Directory güvenlik değerlendirmesi sonunda yalnızca teknik açık listesi sunulmamalıdır.

Rapor;

Executive Risk Summary

Kritik AD risklerinin yönetim seviyesinde özeti.

Attack Path Analysis

Düşük yetkili kullanıcılardan kritik yetkilere giden yollar.

Privileged Account Analysis

Yüksek yetkili hesapların durumu.

Service Account Risks

Servis hesaplarındaki güvenlik problemleri.

Kerberos Security

Kerberos tabanlı riskler ve yanlış yapılandırmalar.

ACL & Delegation Review

Yetkilendirme ve delegation sorunları.

Detection Coverage

SOC ve EDR sistemlerinin saldırıları görüp göremediği.

Remediation Roadmap

Önceliklendirilmiş iyileştirme planı

gibi bölümleri içerebilir.

Bu yapı Active Directory risklerini teknik bulgulardan iş risklerine dönüştürmeye yardımcı olur.

Sonuç: Active Directory'de En Tehlikeli Şey Tek Bir Açık Değil, Açıklar Arasındaki Yoldur

Bir Active Directory ortamında binlerce kullanıcı, bilgisayar ve yetki ilişkisi bulunabilir.

Bunların büyük bölümü tek başına kritik görünmeyebilir.

Ancak saldırgan tek tek sistemlere değil, ilişkilere bakar.

Bir kullanıcı başka bir bilgisayarda admin olabilir.

O bilgisayarda yüksek yetkili kullanıcı oturum açabilir.

Bir servis hesabının parolası zayıf olabilir.

Bu hesap kritik gruba erişebilir.

Bir ACL yanlış yapılandırılmış olabilir.

Ve birkaç küçük hata birleşerek kritik bir saldırı yoluna dönüşebilir.

Bu nedenle Active Directory güvenliğinde en önemli sorulardan biri:

“Domain Admin hesaplarımız güvenli mi?”

değildir.

Daha doğru soru şudur:

“Standart bir kullanıcıdan kritik yetkilere ulaşabilecek herhangi bir Attack Path var mı?”

Red Teaming ve Active Directory Pentest tam olarak bu yolları saldırgandan önce ortaya çıkarmaya çalışır.

Fakat yüksek yetkiye ulaşmak saldırının sonu değildir.

Bir tehdit aktörünün kritik hedefe erişebilmesi için çoğu zaman kurum ağı içerisinde farklı sistemler arasında hareket etmesi gerekir.

Bu aşama siber saldırı zincirinin en kritik bölümlerinden biridir:

Lateral Movement – Yanal Hareket.