Active Directory Güvenlik Denetimi Nasıl Yapılır?

Kısa cevap

• Active Directory (AD), çoğu kurumda kimlik doğrulama ve yetkilendirmenin merkezidir; ele geçirilirse ağın tamamı ele geçmiş sayılır. Bu yüzden saldırganların sık hedeflediği bileşenlerden biridir.
• AD güvenlik denetimi, dizindeki hesap, grup, izin ve yapılandırmaların bilinen saldırı tekniklerine karşı sistematik olarak taranması ve bulguların önem sırasıyla raporlanmasıdır. Sızma testi değildir; saldırmadan, dizini okuyarak zayıf noktaları bulur.
• Denetim başlıkları, saldırganın yolunu izler: ayrıcalıklı gruplar ve gizli üyelikler → dizin üzerinde tehlikeli izinler (DCSync) → delegasyon → Kerberos ve parola hijyeni → sertifika hizmetleri (AD CS) → etki alanı denetleyicisi sertleştirme → atıl nesneler → güven ilişkileri.
• İki kaynağa dayanıyoruz. Birincisi Microsoft'un "Best practices for securing Active Directory" (Active Directory güvenliği için en iyi uygulamalar) rehberi. İkincisi "Detecting and Mitigating Active Directory Compromises" (Active Directory ihlallerini tespit etme ve azaltma) rehberi. Bu rehberi Eylül 2024'te Avustralya, ABD, Kanada, Yeni Zelanda ve Birleşik Krallık siber güvenlik kurumları (ASD ACSC, CISA, NSA, CCCS, NCSC-NZ, NCSC-UK) birlikte yayımladı. Rehber 17 yaygın saldırı tekniğini ve her biri için tespit/önleme adımlarını sıralar. Yazının devamında bu belgeye kısaca "ortak rehber" diyoruz.

Neden AD denetimi?

Microsoft'un rehberi kimlik hırsızlığı saldırılarının hedeflerini açıkça sayar: kalıcı ayrıcalıklı hesaplar, ayrıcalık taşıyan AD hesapları, etki alanı denetleyicileri ve kimlik/yapılandırma altyapısı (örneğin sertifika sunucuları). Aynı rehber, en yüksek yetkili üç yerleşik grubun (Enterprise Admins, Domain Admins, Administrators) korunmasını, en az ayrıcalık yönetim modelini, güvenli yönetim istasyonlarını, etki alanı denetleyicilerinin sertleştirilmesini ve AD'nin saldırı belirtileri için izlenmesini önerir.

Ortak rehber ise şu gözlemi paylaşır: saldırganlar ilk erişimden sonra dizini numaralandırır ve "bazen kurumun kendisinden daha iyi" tanır. Denetimin amacı da bu: dizininizi saldırgandan önce, onun gözüyle okumak.

Denetim kontrol başlıkları

Aşağıdaki başlıklar, bir AD denetiminin kapsaması gereken alanlardır; her başlıkta neye bakıldığı ve neden önemli olduğu özetlenmiştir.

1. Ayrıcalıklı hesap envanteri ve korumalı gruplar

• Domain Admins, Enterprise Admins, Administrators, Schema Admins gibi korumalı grupların, iç içe (nested) üyelikler çözüldükten sonraki gerçek üye listesi; üye sayısı makul mü?
• DnsAdmins gibi dolaylı yoldan yükseltme sağlayan grupların üyeleri.
• Başka etki alanı/ormandan gelen (foreign) hesapların ayrıcalıklı gruplarda bulunması.
• primaryGroupID ile gizlenmiş üyelik (grup üyeliği listesinde görünmeden ayrıcalıklı gruba bağlı hesaplar).
• AdminSDHolder ACL'inde beklenmedik izinler; adminCount işaretli kalmış ama artık ayrıcalıklı olmayan (yetim) hesaplar.
• gMSA (grup yönetimli servis hesabı) parolasını okuyabilen hesaplar/gruplar.

2. Dizin üzerinde tehlikeli izinler ve DCSync

• Etki alanı kökünde (domain head) DS-Replication-Get-Changes(-All) haklarına sahip olan ve DC/yerleşik gruplar dışında kalan hesap ve gruplar (security principal). Bu haklar tüm parola özetlerini çekmeye (DCSync) yeter.
• Etki alanı kökü ve kritik nesnelerde WriteDACL/WriteOwner/GenericAll gibi tehlikeli ACE'ler.

3. Delegasyon

• Sınırsız (unconstrained) delegasyon — en kritik bulgulardan biri; bu makinelere bağlanan ayrıcalıklı hesapların biletleri çalınabilir. Ortak rehberin 17 tekniğinden biridir.
• Kısıtlı (constrained) delegasyon ve protokol geçişi (S4U2Self ile herhangi bir kullanıcıyı taklit); kaynak tabanlı kısıtlı delegasyon (RBCD).
• Shadow Credentials: kullanıcı hesaplarında msDS-KeyCredentialLink özniteliğinin doldurulmuş olması.

4. Kerberos ve parola hijyeni

• Kerberoasting: SPN tanımlı kullanıcı hesapları (servis hesapları). Ortak rehberin ifadesiyle, SPN'li bir kullanıcının TGS bileti herhangi bir kullanıcı tarafından istenebilir ve hesabın parola özetiyle şifreli olduğu için çevrimdışı kırılabilir.
• AS-REP Roasting: Kerberos ön kimlik doğrulaması kapalı (DONT_REQ_PREAUTH) hesaplar.
• Yalnızca DES ile şifreleme, geri döndürülebilir (reversible) parola şifrelemesi, PASSWD_NOTREQD işaretli hesaplar, açıklama/info alanında parola, userPassword özniteliği dolu nesneler.
• Etki alanı parola politikasının zayıflığı; süresi dolmayan parolalar; krbtgt hesabının parola yaşı ve şifreleme türü (Golden Ticket riskine karşı düzenli döndürme).
• Guest hesabının etkin olması; "Pre-Windows 2000 Compatible Access" üzerinden anonim/geniş erişim.
• LAPS (yerel yönetici parola çözümü) yokluğu; SYSVOL'de GPP cpassword kalıntısı (ortak rehber: "Password in Group Policy Preferences"); ms-DS-MachineAccountQuota değeri (rehberdeki "MachineAccountQuota compromise" tekniği); sIDHistory dolu hesaplar (rehberdeki "SID History compromise"); yinelenen SPN'ler.

5. Sertifika hizmetleri (AD CS)

• Şablon ve CA yapılandırmasındaki bilinen yükseltme yolları (ESC1, ESC2, ESC3, ESC4, ESC8 sınıfları): talep edenin başkası adına sertifika alabildiği şablonlar, şablon ACL'leri, web enrollment üzerinden aktarma (relay) riski. Ortak rehber "AD CS compromise" ve "Golden Certificate" tekniklerini ayrı başlıklarda ele alır.

6. Etki alanı denetleyicisi sertleştirme ve sağlık

• DC'lerde SMB imzalama zorunlu mu; anonim LDAP bağlanabiliyor mu; DC'de Print Spooler çalışıyor mu (zorlamalı kimlik doğrulama saldırılarında kullanılır).
• DC işletim sistemi destek dışı (EOL) mı; tek DC'ye bağımlılık (yedeklilik) var mı; etki alanı işlevsel düzeyi eski mi.

7. Atıl nesneler

• 90 günden uzun süredir oturum açmamış ama etkin kullanıcı hesapları; parolası hiç dolmayan hesaplar; destek dışı işletim sistemli bilgisayar nesneleri.
• Atıl hesaplar hem saldırı yüzeyidir hem de kimsenin fark etmeyeceği bir sızma noktasıdır.

8. Güven ilişkileri

• Ormanlar/etki alanları arası güvenler (trustedDomain) envanteri — yön (tek/çift yönlü) ve tür dahil (ortak rehberdeki "one-way domain trust bypass" tekniği tek yönlü güvenleri hedef alır); SID filtrelemenin kapalı olduğu güvenler (güvenler arası SID History kötüye kullanımının önkoşulu).

Yaygın saldırı teknikleri ile denetim kontrollerinin eşleşmesi

Rehberdeki diğer teknikler (ntds.dit dökümü, Silver Ticket, Entra Connect ele geçirme, Skeleton Key) yapılandırma denetiminden çok olay tespiti konusudur; rehberin Ek B'sinde listelenen etki alanı denetleyicisi olaylarının SIEM ile izlenmesini gerektirir. Denetim ve izleme birbirini tamamlar.

Denetim nasıl yürütülür?

1. Kapsam ve yetki. Denetim, dizini okuyan bir hesapla yapılır; yazma yetkisi gerekmez. Hangi orman/etki alanlarının kapsandığı yazılır.
2. Toplama. LDAP sorgularıyla hesap/grup/ACL/öznitelik verisi; SMB ile SYSVOL ve DC servis durumu; AD CS için şablon ve CA nesneleri.
3. Değerlendirme. Her bulguya önem derecesi (kritik/yüksek/orta/düşük/bilgi), etkilenen nesne örnekleri ve düzeltme önerisi eklenir; bulgular ayrıcalık, anomali, atıl nesne ve güven eksenlerinde puanlanır.
4. Önceliklendirme. Önce ayrıcalık yükseltmeye doğrudan yol açanlar (DCSync hakları, sınırsız delegasyon, AD CS ESC yolları, GPP parolası), sonra kimlik hijyeni, sonra temizlik.
5. Düzeltme ve doğrulama. Değişiklikler değişiklik yönetimiyle uygulanır; denetim tekrarlanarak bulgunun kapandığı doğrulanır.
6. Periyot. Dizin canlıdır: yeni hesaplar, yeni servisler, yeni izinler eklenir. Denetim tek seferlik değil, düzenli tekrarlanan bir kontroldür; büyük değişikliklerden (migrasyon, yeni orman güveni, AD CS kurulumu) sonra hedefli tekrar gerekir.

Sık yapılan hatalar

• Yalnızca Domain Admins listesine bakıp iç içe üyelikleri, primaryGroupID'yi ve AdminSDHolder'ı atlamak.
• Servis hesaplarını "dokunulmaz" sayıp SPN'li hesapların parola gücünü ve şifreleme türünü sorgulamamak.
• Delegasyonu bir kez ayarlayıp unutmak; sınırsız delegasyonun kritik olduğunu bilmemek.
• AD CS'yi denetim dışı bırakmak; sertifika şablonları ayrıcalık yükseltmenin sessiz yoludur.
• krbtgt parolasını yıllarca döndürmemek.
• Bulguları raporlayıp düzeltmeyi takip etmemek; ikinci denetimde aynı bulguları görmek.

voosec'te nasıl yapıyoruz?

• DomainGuard: Active Directory ve domain güvenlik denetimi; ayrıcalıklı hesaplar ve zayıf yapılandırmaların tespiti. Yukarıdaki sekiz başlık, DomainGuard'ın kontrol alanlarına karşılık gelir; her bulgu önem derecesi, etkilenen nesne örnekleri ve düzeltme önerisiyle raporlanır, ayrıcalık / anomali / atıl nesne / güven eksenlerinde puanlanır.
• Denetim, ağınızdaki voosec proxy üzerinden dizin okuma yetkili bir hesapla yürütülür; denetim için etki alanı denetleyicilerine ajan gerekmez (DC olay günlüklerinin SIEM'e alınması ayrı bir kapsamdır). Görünürlük paketinden itibaren tüm paketlerde yer alır ve aynı panelde SIEM olaylarıyla yan yana durur.
• Erişim yetki matrisi ve hesap yönetimi, KVKK Rehberi'nin de saydığı teknik tedbirlerdir; ayrıntısı KVKK teknik tedbirler yazısında.

Sık sorulanlar

AD denetimi ile sızma testi aynı şey mi?

Değil. Denetim dizini okuyarak zayıf yapılandırmaları bulur; sızma testi bunları fiilen istismar etmeye çalışır. Denetim daha sık ve daha az riskli yapılır; sızma testi denetimin bulgularını gerçek dünyada doğrular.

Küçük bir etki alanımız var; yine de gerekir mi?

Evet. Kerberoasting, AS-REP roasting veya GPP parolası gibi teknikler dizin boyutuna bakmaz; küçük ortamlarda "herkes Domain Admin" gibi yapılandırmalar daha sık görülür.

Denetim hesabı ne yetki ister?

Dizini okuma yetkisi; SYSVOL ve DC servis durumu için ilgili paylaşımlara okuma erişimi. Yazma yetkisi verilmez.

Kaynaklar

• Microsoft Learn — Best practices for securing Active Directory
• ASD ACSC, CISA, NSA, CCCS, NCSC-NZ, NCSC-UK — Detecting and Mitigating Active Directory Compromises (26 Eylül 2024; güncelleme 22 Ocak 2025)
• SIEM nedir? — voosec blog · KVKK teknik tedbirler: log kayıtları ve erişim güvenliği — voosec blog

Bu yazı genel bilgilendirme amaçlıdır. Kontrol başlıkları, sayılan kaynaklardaki tekniklere ve yaygın denetim pratiğine göre derlenmiştir; ortamınıza özgü öncelikler farklı olabilir.