Active Directory Güvenlik Kontrolleri

Active Directory (AD), çoğu kurumda tüm sunucuların, kullanıcıların ve uygulamaların kimlik merkezidir. Bu nedenle fidye yazılımı operatörlerinin ana hedefi, etki alanı yöneticisi yetkisine ulaşmaktır. Bu rehber, AD ortamında önce kontrol edilmesi gereken güvenlik başlıklarını özetler.

1. Yetkili grupları küçültün

Domain Admins, Enterprise Admins, Schema Admins, Administrators ve Account/Backup/Server Operators gruplarının üyeliklerini çıkarın. İç içe gruplar üzerinden gelen dolaylı üyelikleri de hesaba katın. Günlük kullanılan hesaplar bu gruplarda olmamalı; yöneticiler için ayrı, kişisel yönetici hesapları kullanılmalıdır.

2. Kademeli (tier) yönetim modeli

Etki alanı denetleyicileri ve kimlik sistemleri (tier 0), sunucular (tier 1) ve iş istasyonları (tier 2) farklı hesaplarla yönetilmelidir. Tier 0 hesapları yalnızca tier 0 sistemlerinde ve ayrılmış yönetim iş istasyonlarında oturum açmalıdır. Böylece bir iş istasyonunda çalınan kimlik bilgisi etki alanı yöneticisine ait olmaz.

3. Yerel yönetici parolaları: Windows LAPS

Tüm bilgisayarlarda aynı yerel yönetici parolasının kullanılması, tek bir makinedeki sızıntının tümüne yayılmasını sağlar. Windows LAPS, her cihaz için benzersiz ve düzenli değişen parola üretir ve parolayı AD veya Entra ID’de saklar.

4. Kerberos ve servis hesapları

• SPN atanmış ve yetkili gruplarda bulunan servis hesapları Kerberoasting saldırılarına açıktır; bu hesapların parolası uzun ve rastgele olmalı, mümkünse grup tarafından yönetilen hizmet hesapları (gMSA) kullanılmalıdır.
• Kısıtsız delegasyon (unconstrained delegation) yapılandırmalarını tespit edip kaldırın veya kısıtlı delegasyona çevirin.
• RC4 gibi zayıf Kerberos şifreleme türlerinin kullanımını inceleyin.
• KRBTGT hesabının parolasını planlı biçimde, iki aşamada yenileyin.

5. NTLM ve LDAP ayarları

NTLMv1 ve LM kimlik doğrulamasını devre dışı bırakın, NTLM kullanımını denetleyerek azaltın. LDAP imzalama ve channel binding ayarlarını etkinleştirerek kimlik aktarma (relay) saldırılarını zorlaştırın.

6. GPO ve AD CS

Kritik Grup İlkesi nesnelerini düzenleme yetkisi kimde? GPO betiklerinde parola var mı? Active Directory Sertifika Hizmetleri (AD CS) kullanılıyorsa sertifika şablonu izinleri, sıradan bir kullanıcının yönetici adına sertifika almasına izin veriyor mu? Bu sorular denetimin önemli bir parçasıdır.

7. İzleme

İlk 30 gün için öneri

1. Yetkili grupları temizleyin ve yönetici hesaplarını ayırın.
2. Windows LAPS’ı devreye alın.
3. SPN’li yetkili hesapları tespit edip parolalarını güçlendirin.
4. Kritik olayları merkezi log sistemine gönderin.

Kapsamlı bir inceleme için Active Directory Güvenlik Denetimi, yönetici erişimi için Ayrıcalıklı Erişim Yönetimi, sunucu tarafı için Sistem ve Sunucu Hardening sayfalarımızı inceleyebilirsiniz.