Active Directory ve Domain Controller Güvenlik Sıkılaştırma

Hızlı Özet (TL;DR)

Microsoft Active Directory (AD), kurumsal ağlarda kullanıcı kimliklerini, bilgisayarları, sunucuları, grup ilkelerini (GPO) ve erişim yetkilerini merkezi olarak yöneten ana omurgadır. Bu merkeziyetçilik, siber saldırganların ve fidye yazılımı gruplarının da bir numaralı hedefi olmasına yol açar. Bir saldırgan oltalama (Phishing) yoluyla ağdaki tek bir sıradan istemci bilgisayarı ele geçirdiğinde; bellekten (LSASS) parola karmalarını çalarak (Pass-the-Hash), servis hesaplarına Kerberoasting uygulayarak veya DCSync zafiyetlerini kullanarak dakikalar içinde Domain Admin yetkisine ulaşmaya çalışır. Domain Controller (DC) sunucularının ele geçirilmesi tüm şirketin tek bir GPO komutuyla şifrelenmesi anlamına geldiğinden, Active Directory güvenlik sıkılaştırma (Hardening) çalışmaları kurumsal siber güvenliğin en kritik adımıdır.

Saldırganlar Active Directory’yi Nasıl Ele Geçirir?

Sızma testlerinde ve gerçek siber saldırı vakalarında, saldırganların sıradan bir kullanıcı hesabından başlayıp tüm Domain Controller sunucusunu ele geçirmesi (Privilege Escalation & Lateral Movement) genellikle yanlış yapılandırılmış varsayılan AD ayarlarından kaynaklanır:

• LLMNR ve NBT-NS Zehirlemesi: Ağda bulunamayan bir dosya paylaşımı arandığında Windows varsayılan olarak yerel ağa yayın (Broadcast) yapar. Saldırgan Responder gibi araçlarla “o sunucu benim” diyerek kullanıcının NTLMv2 parola özetini (Hash) yakalar.
• Pass-the-Hash (PtH) ve Pass-the-Ticket (PtT): Bir sistem yöneticisi (Domain Admin), arıza çözmek için sıradan bir kullanıcının bilgisayarına Uzak Masaüstü (RDP) ile bağlandığında, yöneticinin kimlik bilgileri o bilgisayarın RAM belleğindeki lsass.exe sürecine yazılır. Bilgisayarda yerel yönetici olan saldırgan, Mimikatz benzeri araçlarla şifreyi kırmaya gerek bile duymadan doğrudan parola özetini kullanarak Domain Controller’a bağlanır.
• Kerberoasting Saldırısı: Active Directory’de herhangi bir standart kullanıcı, SPN (Service Principal Name) tanımlı servis hesapları (Örn: SQL Server, IIS, yedekleme servisleri) için Kerberos TGS bileti talep edebilir. Bilet, ilgili servis hesabının parola özetiyle şifrelendiği için saldırgan bu bileti çevrimdışı ortamda yüksek hızlı GPU’larla kırarak servis hesabının şifresini ele geçirir.
• ACL Suistimali ve DCSync: Yanlış verilmiş GenericAll, WriteDacl veya Replicating Directory Changes yetkileri sayesinde saldırgan kendisini sahte bir Domain Controller gibi tanıtarak tüm şirket kullanıcılarının parola veritabanını (NTDS.dit) uzaktan çekebilir.

Active Directory Saldırı Vektörleri ve Sıkılaştırma Karşılaştırma Tablosu

Kurumsal Active Directory mimarisinde en sık karşılaşılan saldırı teknikleri, hedefledikleri zafiyetler ve uygulanması gereken mühendislik önlemleri aşağıdaki tabloda özetlenmiştir:

Saldırı Tekniği / Zafiyet	Hedeflenen Protokol veya Bileşen	Risk Seviyesi	Sıkılaştırma (Hardening) ve Savunma Çözümü
Pass-the-Hash / Credential Dumping	lsass.exe bellek alanı ve NTLM doğrulaması	Kritik	Credential Guard (VBS), RunAsPPL (LSA Protection) ve Tier 0/1/2 izolasyonu
Kerberoasting & AS-REP Roasting	SPN tanımlı servis hesapları, RC4 şifreleme	Yüksek	gMSA (240 karakterlik otomatik değişen şifre), RC4 iptali ve AES-256 Kerberos zorunluluğu
LLMNR / NetBIOS Zehirlemesi	UDP 5355 ve UDP 137/138 yerel yayınları	Yüksek	GPO üzerinden LLMNR ve NetBIOS over TCP/IP protokollerinin tamamen kapatılması
NTLM Relay & PetitPotam	SMB, LDAP ve AD CS (Sertifika Servisleri)	Kritik	SMB Signing ve LDAP Signing / Channel Binding zorunluluğu, Web Enrollment (HTTP) kapatılması
Yerel Yönetici (Local Admin) Yayılımı	Tüm PC’lerde aynı olan yerel Administrator şifresi	Kritik	Windows LAPS ile her bilgisayara benzersiz, AD üzerinde şifreli saklanan yerel yönetici parolası
PrintNightmare / Spooler Sömürüsü	Domain Controller üzerindeki Print Spooler servisi	Yüksek	Tüm Domain Controller sunucularında Spooler servisinin kalıcı olarak devre dışı bırakılması

Active Directory Güvenliğini Artıran 5 Temel Mimari Önlem

1. Katmanlı Yönetim Modeli (Tiered Administration & PAW)

Active Directory güvenliğinin altın kuralı, yetkili hesapların kendilerinden daha düşük güvenlik seviyesindeki makinelerde asla oturum açmamasıdır:

• Tier 0 (Kimlik ve Omurga Katmanı): Yalnızca Domain Controller sunucuları, AD CS (PKI Sertifika Sunucusu) ve Entra ID Connect sunucularını kapsar. Tier 0 yöneticileri yalnızca sertleştirilmiş özel yönetici iş istasyonlarından (PAW - Privileged Access Workstation) bu sunuculara erişebilir; bu hesaplarla kesinlikle internete çıkılmaz, e-posta okunmaz ve alt katman sunuculara bağlanılmaz.
• Tier 1 (Kurumsal Sunucu Katmanı): ERP, veritabanları (MSSQL), ortak dosya sunucusu ve yedekleme sistemleri ve uygulama sunucularıdır. Bu sunucuları yöneten “Server Admin” hesapları Domain Controller’a erişemez ve kullanıcı bilgisayarlarında oturum açamaz.
• Tier 2 (Kullanıcı ve İstemci Katmanı): Son kullanıcı masaüstü ve dizüstü bilgisayarlarıdır. Yardım masası (Helpdesk) personeli yalnızca Tier 2 yetkisine sahip hesaplarla kullanıcılara destek verir.

2. Windows LAPS ve gMSA (Grup Yönetimli Servis Hesapları)

Ağdaki 200 bilgisayarın yerel Administrator şifresinin aynı olması, tek bir bilgisayarı ele geçiren saldırganın diğer 199 bilgisayara anında yayılmasına (Lateral Movement) olanak tanır. Windows LAPS (Local Administrator Password Solution) kullanılarak her bilgisayarın yerel yönetici parolası 16+ karakterli, tamamen rastgele ve her 30 günde bir otomatik değişecek şekilde yapılandırılmalıdır.

Benzer şekilde SQL, IIS veya zamanlanmış görevler için oluşturulan ve şifresi “servis bozulmasın” diye 10 yıldır değiştirilmeyen standart kullanıcı hesapları yerine gMSA (Group Managed Service Accounts) kullanılmalıdır. gMSA hesaplarının 240 karakterlik karmaşık şifreleri Active Directory tarafından arka planda otomatik değiştirilir ve hiçbir sistem yöneticisi bile bu şifreyi bilmez.

3. Eski Protokollerin Kapatılması ve İmzalama Zorunluluğu

Grup İlkeleri (GPO) aracılığıyla tüm etki alanında şu protokol sıkılaştırmaları uygulanmalıdır:

• NTLMv1 ve LM Hash: Tamamen devre dışı bırakılmalı (LmCompatibilityLevel = 5), mümkünse NTLM kullanımı denetlenerek Kerberos’a geçiş tamamlanmalıdır.
• SMBv1: WannaCry ve NotPetya gibi solucanların kullandığı SMBv1 protokolü tüm sunucu ve istemcilerde kaldırılmalıdır.
• SMB Signing ve LDAP Channel Binding: Ortadaki adam (MitM) ve NTLM Relay saldırılarını engellemek için hem Domain Controller hem de istemci tarafında SMB paket imzalama ve LDAPS (Port 636) kanal bağlama zorunlu hale getirilmelidir.
• Makine Ekleme Kotası: Active Directory’de varsayılan olarak her standart kullanıcı etki alanına 10 adet bilgisayar ekleyebilir (ms-DS-MachineAccountQuota = 10). Saldırganlar bu özelliği sahte bilgisayar hesabı açıp RBCD (Resource-Based Constrained Delegation) saldırısı yapmak için kullanır. Bu değer mutlaka 0 yapılmalıdır.

4. Korumalı Kullanıcılar (Protected Users) ve Kimlik Koruması

Tüm Tier 0 ve Tier 1 yönetici hesapları Active Directory içindeki yerleşik Protected Users güvenlik grubuna eklenmelidir. Bu gruba üye olan hesaplar:

• NTLM kimlik doğrulamasını kullanamaz (yalnızca Kerberos AES kullanır).
• Kimlik bilgileri istemci makinelerin RAM belleğinde (LSASS) düz metin veya NT Hash olarak önbelleğe alınmaz.
• Kerberos TGT bilet ömürleri 10 saat yerine 4 saat ile sınırlandırılır.

5. Değiştirilemez Active Directory Yedeklemesi ve Denetim Logları

Domain Controller sunucuları üzerinde gelişmiş denetim ilkeleri (Advanced Audit Policy) aktif edilerek 4624 (Başarılı Oturum Açma), 4625 (Hatalı Oturum), 4720 (Kullanıcı Oluşturma), 4728/4732 (Kritik Gruba Üye Ekleme) ve 4662 (DCSync Tespiti) olay kodları merkezi SIEM ve KVKK 5651 yasal loglama sunucusuna anlık olarak aktarılmalıdır. Ayrıca Active Directory veritabanı (NTDS.dit) ve SYSVOL dizini, etki alanına (Domain) üye olmayan izole bir yedekleme sunucusuna düzenli olarak yedeklenmelidir.

Active Directory güvenlik zafiyetlerinizi gerçek saldırgan gözüyle (BloodHound ve PingCastle analizleriyle) test etmek ve açıklarınızı kapatmak için Sızma Testi (Pentest) sayfamızı ziyaret edin.

Sıkça Sorulan Sorular

Yedekleme sunucusu (Veeam vb.) neden Active Directory etki alanına (Domain) dahil edilmemelidir?

Eğer yedekleme sunucunuz Active Directory etki alanına (Domain) üyeyse, Domain Admin yetkisini ele geçiren bir fidye yazılımı saldırganı aynı hesapla doğrudan yedekleme sunucunuza da bağlanabilir ve tüm yedeklerinizi silebilir. Bu nedenle yedekleme sunucuları her zaman bağımsız bir Workgroup içinde çalışmalı, kimlik bilgileri farklı olmalı ve yönetim portları güvenlik duvarı ile izole edilmelidir.

Domain Controller sunucularının internete çıkışı açık olmalı mıdır?

Hayır, Domain Controller (DC) sunucularının doğrudan internete çıkması kesinlikle engellenmelidir. Bir siber saldırıda DC üzerine zararlı yazılım bulaştırıldığında, yazılımın dış dünyadaki Komuta Kontrol (C2) sunucusuyla haberleşememesi için güvenlik duvarında DC’nin WAN çıkışı tamamen kapatılmalı; Windows güncellemeleri yerel bir WSUS sunucusu üzerinden alınmalı, saat senkronizasyonu (NTP) ise yalnızca yerel güvenlik duvarı üzerinden yapılmalıdır.

Mevcut Active Directory yapımızın ne kadar güvenli olduğunu nasıl ölçebiliriz?

Active Directory sıkılaştırma seviyesi; yetki grafiklerini çıkaran BloodHound, yapılandırma zafiyetlerini puanlayan PingCastle ve Purple Knight gibi uzman denetim araçlarıyla yapılan İç Ağ Sızma Testi (Internal Pentest) ile ölçülür. Bu analizler sonucunda şifresi hiç değişmeyen hesaplar, unutulmuş Domain Admin yetkileri ve GPO zafiyetleri eksiksiz raporlanarak güvenli şekilde kapatılır.