Yönetici Özeti: Kurumsal Active Directory ve Domain Controller güvenlik sıkılaştırma (hardening): Kerberos, LAPS, Tier mimarisi ve saldırı engelleme rehberini inceleyin.
Hızlı Özet (TL;DR)
Microsoft Active Directory (AD), kurumsal ağlarda kullanıcı kimliklerini, bilgisayarları, sunucuları ve erişim yetkilerini merkezi olarak yöneten omurgadır. Bu merkeziyetçilik, siber saldırganların da bir numaralı hedefi olmasına yol açar. Bir saldırgan tek bir istemci bilgisayarı ele geçirdiğinde, bellekten (LSASS) parola karmalarını çalarak (Pass-the-Hash) veya Kerberoasting tekniklerini kullanarak hızla Domain Admin yetkisine ulaşmaya çalışır. Bu nedenle Domain Controller (DC) sunucularının sıkılaştırılması hayati önemdedir.
Active Directory Güvenliğini Artıran 5 Temel Önlem
- Katmanlı Yönetim Modeli (Tiered Administration):
- Tier 0: Yalnızca Domain Controller’lar ve kimlik yönetim sistemleri (Domain Admin’ler sadece burada oturum açabilir).
- Tier 1: Kurumsal uygulama sunucuları, veritabanları ve dosya sunucuları.
- Tier 2: Kullanıcı iş istasyonları ve dizüstü bilgisayarlar (Bir Domain Admin asla kullanıcı bilgisayarında oturum açmamalıdır!).
- Windows LAPS (Local Administrator Password Solution): Ağdaki tüm istemci ve sunucuların yerel “Administrator” parolası benzersiz, rastgele ve düzenli değişen bir yapıda tutulmalıdır.
- Eski Protokollerin Kapatılması: NTLMv1, SMBv1, LLMNR ve NetBIOS protokolleri kapatılmalı; yalnızca Kerberos ve SMBv3 kullanılmalıdır.
- Korumalı Kullanıcılar (Protected Users Grubu): Kritik yöneticiler bu gruba eklenerek kimlik bilgilerinin istemcilerin RAM belleğinde (LSASS) önbelleğe alınması engellenmelidir.
- Geri Dönüşü Olmayan Active Directory Yedeklemesi: Sistem Durumu (System State) ve Active Directory veritabanı (NTDS.dit) düzenli olarak izole ortama yedeklenmelidir.
Active Directory güvenlik zafiyetlerinizi test etmek ve açıklarınızı kapatmak için Sızma Testi (Pentest) sayfamızı ziyaret edin.