Active Directory'yi Saldırgan Gözünden Görmek

Kurumsal ağların büyük çoğunluğunda kimlik ve erişim, Active Directory (AD) üzerinden yönetilir. Tam da bu yüzden AD, iç ağa sızan bir saldırganın birincil hedefidir: burayı ele geçiren, çoğu zaman tüm kuruma hükmeder.

Saldırgan zinciri nasıl işler?

Bir iç ağ sızma testi genellikle şu adımları izler:

1. Keşif (enumeration): Kullanıcılar, gruplar, servis hesapları ve güven ilişkileri haritalanır. Saldırı yolları görünür hale gelir.
2. Kimlik bilgisi saldırıları: Kerberoasting, AS-REP Roasting ve parola püskürtme ile hesaplara erişim denenir.
3. Yanal hareket: Ele geçirilen bir hesapla makineler arası geçiş yapılır (ör. Pass-the-Hash, Pass-the-Ticket).
4. Yetki yükseltme: Yanlış yapılandırılmış ACL'ler, GPO'lar ve servis hesapları basamak olarak kullanılır.
5. Domain hâkimiyeti: DCSync veya benzeri tekniklerle dizin veritabanı ele geçirilir.

Neden otomatik araç yetmez?

AD saldırıları çoğunlukla yapılandırma hatalarını zincirlemekle ilgilidir; tek bir "açık" değil, birbirine bağlanan küçük yanlışların toplamıdır. Bu zinciri görmek, saldırgan bakış açısıyla düşünen bir uzman gerektirir.

Savunma öncelikleri

İyi haber: aynı zincir, doğru önlemlerle kırılabilir.

• Katmanlı yönetim (tiering): Yönetici hesaplarını iş istasyonlarından ayırın.
• En az ayrıcalık: Servis hesaplarına gereğinden fazla yetki vermeyin; güçlü ve uzun parolalar kullanın.
• İzleme: Olağandışı kimlik doğrulama ve bilet talebi desenlerini tespit edin.
• LAPS: Yerel yönetici parolalarını benzersiz ve yönetilen hale getirin.

Test, tahmini gerçeğe çevirir

"Bize bir şey olmaz" bir strateji değildir. Kontrollü bir AD sızma testi, saldırganın gerçekte nereye kadar ilerleyebileceğini kanıtlarla gösterir ve iyileştirmeyi önceliklendirmenizi sağlar.

Amaç korkutmak değil; kırılma noktasını gerçek saldırgandan önce sizin görmenizdir.