Fidye Saldırısı Sonrası Active Directory Forest Kurtarma

İnsan eliyle yürütülen fidye saldırılarında saldırgan şifrelemeden önce çoğu zaman etki alanı yöneticisi olmuştur. O noktada Active Directory güvenilir bir kimlik kaynağı değildir: KRBTGT anahtarı, yönetici parolaları ve güven ilişkilerinin sırları saldırganın elinde olabilir. Bu rehber, etki alanı denetleyicilerinin ele geçirildiği senaryoda AD forest kurtarmasının sırasını ve teknik adımlarını, Microsoft’un forest kurtarma yaklaşımını temel alarak anlatır.

AD neden kurtarmanın ilk sırasındadır

Dosya sunucuları, ERP, e-posta, VPN ve sanallaştırma yönetimi büyük ölçüde AD kimlik doğrulamasına bağlıdır. AD ayağa kalkmadan geri yüklenen bir uygulama sunucusuna ya yerel hesapla girilir ya da hiç girilemez; hizmet hesapları başlamaz, grup ilkeleri uygulanmaz. Daha kötüsü: güvenilmeyen bir AD ile kurtarılan sistemler, saldırganın elindeki kimlik bilgileriyle anında yeniden ele geçirilir. Kirli AD, kirli kurtarma.

Bu yüzden kurtarma planında AD, ağ çekirdek hizmetlerinden (DNS dahil) sonra, ilk iş hizmetinden önce gelir. Hangi kurtarma noktasının kullanılacağı, kurtarma ortamının nasıl yalıtılacağı gibi kararlar ayrı yazılarda ele alınır: temiz kurtarma noktası seçimi ve izole kurtarma ortamı tasarımı. Rutin, saldırı içermeyen AD yedekleme ve geri yükleme işlemleri ise Active Directory yedekleme ve geri yükleme yazısının konusudur.

Kurtarma kararı: temizleme mi yeniden kurma mı

İlk karar: mevcut forest kurtarılıp temizlenecek mi, yoksa sıfırdan yeni bir forest mı kurulacak? İkinci yol temiz bir başlangıç verir, ama bedeli ağırdır; her dosya izni, her uygulama bağlantısı yeniden kurulur.

Ölçüt	Forest kurtarma ve temizleme	Yeni forest kurulumu
Kurtarma süresi	Görece kısa	Uzun; tüm nesneler yeniden oluşturulur
Etki	SID’ler, gruplar ve izinler korunur	Dosya izinleri, uygulama bağlantıları yeniden kurulur
İstemci ve sunucular	Etki alanından çıkıp girmeleri gerekmez (makine parolası sorunları hariç)	Tümü yeni etki alanına alınır
Kalıcılık riski	AD nesnelerinde bırakılmış izler taşınabilir	Temiz başlangıç; ancak taşınan veri yine kontrol edilmelidir
Uygun olduğu durum	Saldırı öncesine ait güvenilir yedek var	Güvenilir yedek yok veya forest uzun süredir ele geçirilmiş

Güvenilir bir yedek varsa pratikte önce forest kurtarma uygulanır, ardından AD kapsamlı bir sıkılaştırma ve temizlikten geçirilir. Yeni forest kararı çoğunlukla saldırganın ilk erişim tarihi belirlenemediğinde veya tüm yedekler bu tarihten sonraya ait olduğunda masaya gelir.

DC yedeğinin seçimi ve izole ortamda geri yükleme

Forest kurtarmanın temel ilkesi şudur: her etki alanında yalnız bir yazılabilir DC yedekten geri yüklenir, diğer tüm DC’ler sonradan sıfırdan kurulur. Geri yüklenecek DC seçilirken şunlara bakılır:

• Yedeğin tarihi saldırganın ilk erişim tarihinden önce mi, sonra mı?
• Yedek tombstone ömründen eski mi? (Varsayılan 180 gün; forest’ınızdaki değeri tombstoneLifetime özniteliğinden kontrol edin.)
• DC, forest kök etki alanında mı ve FSMO rollerinden hangilerini taşıyordu?
• DC aynı zamanda DNS sunucusu ve global katalog muydu?

Geri yükleme, üretim ağıyla hiçbir bağlantısı olmayan izole bir ağda yapılır. Ele geçirilmiş DC’lerle tek bir replikasyon turu, temizlenen veriyi yeniden kirletir. Ağ ayrımı pazarlık konusu değildir. Fiziksel veya sanal sunucuya Windows Server Backup ile system state geri yüklemesi DSRM’de yapılır; ilk DC’de SYSVOL yetkili olarak işaretlenmelidir:

REM DSRM'de açılan sunucuda, yönetici komut isteminde
wbadmin get versions -backupTarget:E:
wbadmin start systemstaterecovery -version:03/14/2026-21:00 -backupTarget:E: -authsysvol

Sürüm kimliği wbadmin get versions çıktısından alınır. Sanal makine imajından geri yüklenen DC’lerde de SYSVOL’un DFSR üzerinde yetkili olarak işaretlenmesi gerekir; Microsoft rehberindeki DFSR adımlarını izleyin. Geri yüklemeden sonra DSRM parolasını bilmek zorundasınız; bu yüzden DSRM parolalarını bant dışı ortamda saklayın. Sahada en sık takılınan yer burasıdır: DSRM parolası kurulumdan beri kimsenin bilmediği bir değerdir.

Kurtarma adımları: metadata temizliği, RID, KRBTGT

Geri yüklenen DC izole ortamda ayağa kalktıktan sonra adımlar aşağıdaki sırayla yürütülür; atlanan bir adım, DC üretime bağlandıktan sonra çok daha pahalı bir sorun olarak geri döner:

Sıra	Adım	Amaç
1	FSMO rollerine el koyma	Kalan DC tüm rolleri üstlenir
2	Diğer DC’lerin metadata temizliği	Replikasyon ortaklarını AD’den kaldırma
3	DNS kayıtlarının temizlenmesi	Kaldırılan DC’lere ait SRV ve A kayıtlarını silme
4	RID havuzunu 100.000 artırma, mevcut havuzu geçersiz kılma	Yinelenen SID oluşmasını önleme
5	KRBTGT parolasını iki kez sıfırlama	Sahte Kerberos biletlerini geçersiz kılma
6	DC bilgisayar hesabı ve yerleşik yönetici parolalarını sıfırlama	Saldırganın bildiği sırları değiştirme
7	Global katalog yapılandırması	Oturum açma için GC erişilebilirliği

FSMO ve metadata temizliği

Rollere el koyma PowerShell ile yapılabilir (Schema Master ve Domain Naming Master yalnız forest kök etki alanındaki DC’de alınır; alt etki alanlarında yalnız RID, PDC ve Infrastructure rolleri): Move-ADDirectoryServerOperationMasterRole -Identity DC01 -OperationMasterRole SchemaMaster,DomainNamingMaster,PDCEmulator,RIDMaster,InfrastructureMaster -Force. Diğer DC’lerin nesneleri Active Directory Sites and Services veya Active Directory Users and Computers üzerinden silindiğinde metadata temizliği otomatik yapılır; komut satırında ntdsutil içindeki metadata cleanup kullanılabilir.

RID havuzu

Kullanılabilir RID havuzu, CN=RID Manager$,CN=System nesnesinin rIDAvailablePool özniteliğinde tutulur. Değeri okuyup 100.000 artırmak için örnek:

$dn = 'CN=RID Manager$,CN=System,DC=corp,DC=example'
$v  = (Get-ADObject $dn -Properties rIDAvailablePool).rIDAvailablePool
"Mevcut deger: $v"
Set-ADObject $dn -Replace @{rIDAvailablePool = ($v + 100000)}

Ardından DC’nin elindeki mevcut RID havuzu geçersiz kılınır. Microsoft rehberi bunu Ldp ile RootDSE üzerinde invalidateRidPool işlemini etki alanı SID’i ile çalıştırarak anlatır. Doğrulama basit: bu iki adımdan sonra bir test nesnesi oluşturun ve RID değerine bakın. Değer atlamadıysa işlem tutmamıştır.

KRBTGT

KRBTGT hesabının parolası, etki alanındaki tüm Kerberos biletlerini imzalayan anahtarın kaynağıdır. Bu anahtar saldırgandaysa istediği kullanıcı için bilet üretir; buna golden ticket denir. DC’ler mevcut ve bir önceki parolayı birlikte kabul ettiği için sıfırlama iki kez yapılır. Normal işletimde iki sıfırlama arasında replikasyonun tamamlanması ve en uzun bilet ömrünün (varsayılan 10 saat) geçmesi beklenir; forest kurtarmada etki alanında tek DC bulunduğu için ikinci sıfırlama replikasyon beklemeden yapılabilir. Microsoft’un yayımladığı KRBTGT sıfırlama betiği bu işlemi kontrollü yapmak için kullanılabilir. RODC’lere ait ayrı KRBTGT hesapları da kapsama alınmalıdır; RODC’ler zaten yeniden kurulacaktır.

Ayrıcalıklı hesapların ve güven ilişkilerinin sıfırlanması

KRBTGT tek başına yetmez. Saldırganın bildiğini varsaymanız gereken diğer sırlar:

• Yerleşik Administrator ve tüm ayrıcalıklı grup üyeleri: Domain Admins, Enterprise Admins, Schema Admins, Administrators, Account Operators, Backup Operators ve ayrıcalıklı yetki devredilmiş hesapların parolaları sıfırlanır; gereksiz üyelikler kaldırılır.
• Hizmet hesapları: Özellikle SPN taşıyan ve yüksek yetkili hizmet hesapları; parolası değişecek hesaplar ilgili uygulama sahipleriyle birlikte planlanır.
• Güven ilişkileri: Forest içi ve dış güvenlerin parolaları iki kez sıfırlanır. Microsoft rehberi bunu netdom trust komutunun /resetOneSide parametresiyle, güvenin her iki tarafında anlatır.
• DSRM parolaları: Kurtarma tamamlandıktan sonra tüm DC’lerde yenilenir ve yeniden bant dışı kayda alınır.
• Entra Connect ve benzeri senkronizasyon hesapları: Hibrit ortamda bulut tarafındaki yetkiler de gözden geçirilir.

Bu aşama, yönetici hesaplarını kurumsal siber güvenlik ilkelerine göre yeniden tasarlamak için de doğru zamandır. Kurtarılan forest’a eski düz yönetici modeliyle dönmek, aynı saldırı yolunu yeniden açar. Aynı model, aynı olay; katmanlı yönetim yaklaşımı Active Directory tier modeli yazısında ele alınır.

Diğer DC’lerin yeniden kurulması

Temizlenen DC doğrulandıktan sonra, izole ortamda sıfırdan kurulmuş yeni sunucular DC olarak yükseltilir. Eski DC’lerin diskleri geri yüklenmez, yeniden kullanılmaz; delil olarak saklanabilir. Yeni DC’ler yükseltildikten sonra şu kontroller çalıştırılır:

repadmin /replsummary
repadmin /showrepl * /csv > C:\Kurtarma\replikasyon.csv
dcdiag /e /v /f:C:\Kurtarma\dcdiag.txt
dfsrmig /getglobalstate

Replikasyon hatasızsa, SYSVOL paylaşımı tüm DC’lerde yayınlanmışsa ve DNS kayıtları doğruysa DC’ler kontrollü biçimde üretim ağına bağlanır. Biri eksikse bağlanmaz. Üye sunucular ve istemciler, üretim ağında ele geçirilmiş sistemler temizlenene kadar kademeli olarak bağlanır. Güvenli kanal sorunu yaşayan makinelerde Test-ComputerSecureChannel -Repair kullanılabilir.

Önceden yapılması gereken hazırlıklar

Forest kurtarması, olay anında ilk kez okunan bir dokümanla yapılamaz. Microsoft rehberi uzundur ve gergin bir gecede okunacak metin değildir. Hazırlık listesi:

• Her etki alanından en az bir DC’nin system state yedeği, değiştirilemez veya çevrimdışı kopyada ve tombstone ömrü içinde mi?
• DSRM parolaları etki alanı dışında, bant dışı erişilebilir biçimde kayıtlı mı?
• Kurtarma için izole ağ, donanım veya ayrı hipervizör kapasitesi tanımlı mı?
• Forest topolojisi, FSMO sahipleri, güven ilişkileri ve DNS bölgeleri güncel olarak belgelenmiş mi?
• Kurtarma adımları kurum ortamına özel bir runbook olarak yazılmış ve izole ortamda en az bir kez denenmiş mi?
• AD’deki ayrıcalıklı nesnelerin referans durumu (grup üyelikleri, AdminSDHolder izinleri, GPO listesi) karşılaştırma için dışa aktarılıyor mu?

Mevcut AD yapınızdaki riskleri olay yaşanmadan görmek için Active Directory güvenlik kontrolleri yazısı bir başlangıç noktasıdır. Forest kurtarma runbook’unuzu hazırlamak veya izole ortamda sınamak isterseniz Active Directory güvenlik denetimi ve siber olay müdahale hazırlığı ve tatbikat hizmetlerimizin kapsamını inceleyebilirsiniz.

Birincil kaynak: Microsoft Active Directory Forest Recovery Guide.

Sık sorulan sorular

Ele geçirilmiş DC’lerden birini temizleyip kullanmaya devam edemez miyiz?

Önerilmez. Saldırganın DC üzerinde kalıcılık bırakıp bırakmadığını eksiksiz doğrulamak çoğu zaman mümkün değildir. Forest kurtarma yaklaşımı, her etki alanında yalnız bir DC’yi saldırı öncesine ait yedekten geri yükleyip temizlemeye, diğer tüm DC’leri ise sıfırdan kurulup yükseltilmiş yeni sunucularla değiştirmeye dayanır.

KRBTGT parolası neden iki kez sıfırlanır?

Etki alanı denetleyicileri KRBTGT için mevcut ve bir önceki parolayı birlikte tutar. Tek sıfırlamada saldırganın bildiği eski parola hâlâ önceki parola olarak geçerli kalır ve bu anahtarla üretilmiş biletler doğrulanabilir. İkinci sıfırlama, saldırganın bildiği değeri geçmişten tamamen çıkarır.

Yedek ne kadar eski olabilir?

Geri yüklenen DC yedeği, forest’ın tombstone ömründen eski olamaz; bu ömür, Windows Server 2003 SP1 ve sonrasında oluşturulan forest’larda varsayılan olarak 180 gündür. Siber olay açısından asıl sınır ise saldırganın ilk erişim tarihidir: yedek bu tarihten önceye ait olmalı veya içindeki kalıcılık mekanizmaları tek tek kontrol edilmelidir.

RID havuzunu yükseltmek neden gerekli?

Geri yüklenen DC, yedekten sonra başka DC’lerin dağıttığı RID değerlerinden habersizdir. RID havuzu yükseltilmezse yeni oluşturulan kullanıcı veya grup, yedekten sonra oluşturulmuş bir nesneyle aynı SID’i alabilir. Microsoft, kullanılabilir RID havuzunun 100.000 artırılmasını ve mevcut havuzun geçersiz kılınmasını önerir.