Active Directory Güvenliği: Uyumluluğa Rağmen Başarılı Olan 6 Saldırı Yöntemi
Kurumsal ağların temel bileşenlerinden Active Directory, güvenlik standartlarına uyum sağlanan ortamlarda bile saldırganların hedefi olmayı sürdürüyor. Parola hırsızlığı, Kerberoasting ve DCSync gibi yöntemler, kimlik doğrulama açıklarından ayrıcalıklı erişim hatalarına kadar uzanan farklı zafiyetlerden yararlanıyor. Kurumların güvenlik açıklarını azaltması için yalnızca uyumluluk gerekliliklerini karşılaması değil, hesapları, erişim izinlerini ve eski uygulamaları düzenli olarak denetlemesi gerekiyor.
1. Ele Geçirilmiş Parolalar Kurumsal Hesapları Tehlikeye Atıyor
Saldırganlar, güvenlik politikalarına uygun parolaları bile bilgi hırsızı zararlı yazılımlar aracılığıyla ele geçirebiliyor. Specops Software tarafından aktarılan araştırmaya göre, incelenen 1,7 milyar ele geçirilmiş parolanın yüzde 19’u katı kurumsal parola politikalarının koşullarını karşılıyor. Bu bulgu, uzun ve karmaşık parolaların tek başına hesap güvenliğini garanti etmediğini gösteriyor.
Kurumların parola güvenliğini güçlendirmek için yalnızca karakter uzunluğunu ve karmaşıklığı denetlemesi yeterli kalmıyor. Güvenlik ekiplerinin bilinen sızdırılmış parola listelerini düzenli olarak kontrol etmesi, ele geçirilmiş kimlik bilgilerini kullanan hesapların parolalarını yenilemesi gerekiyor. Specops Password Policy gibi çözümler, Active Directory hesaplarını altı milyardan fazla ele geçirilmiş parolayı içeren bir veri tabanıyla karşılaştırarak riskli parolaların belirlenmesine yardımcı oluyor.
2. Pass-the-Hash Saldırıları Parola Bilinmeden Kimlik Doğrulaması Sağlıyor
Pass-the-Hash saldırılarında saldırganlar, sistem belleğinde bulunan parola özetlerini (hash) kullanarak başka sistemlerde kimlik doğrulaması yapmaya çalışıyor. Bu yöntemde saldırganın gerçek parolayı bilmesi gerekmiyor; ele geçirilen parola özeti, uygun koşullarda yetkisiz erişim için yeterli olabiliyor.
En az 15 karakter uzunluğundaki parolalar, eski LAN Manager (LM) parola özetlerinin oluşturulmasını önlemeye yardımcı oluyor. Modern Active Directory kurulumlarında LM özetleri varsayılan olarak devre dışı olsa da eski sistemler ile önbelleğe alınmış kimlik bilgileri risk oluşturabiliyor. Sanallaştırma tabanlı güvenlik (VBS), hassas verileri işletim sisteminin diğer bölümlerinden izole ederek korumayı güçlendirirken çok faktörlü kimlik doğrulama da ek bir güvenlik katmanı sağlıyor.
3. Kerberoasting Hizmet Hesaplarının Parolalarını Hedefliyor
Kerberoasting yöntemi, Kerberos kimlik doğrulama sisteminin hizmet biletlerinden yararlanıyor. Düşük ayrıcalıklı bir kullanıcı hesabı bile belirli hizmet hesapları için bilet talep edebiliyor. Hizmet hesabının parolasıyla şifrelenen bilet, saldırgan tarafından çevrimdışı ortamda analiz edilerek parola tahminlerine karşı kullanılabiliyor.
Kurumların bu riski azaltmak için hizmet hesaplarında güçlü, benzersiz parolalar kullanması ve eski kimlik bilgilerini düzenli aralıklarla yenilemesi gerekiyor. Güvenlik ekiplerinin olağan dışı hizmet bileti taleplerini izlemesi, saldırı girişimlerinin erken aşamada belirlenmesine katkı sağlıyor. Parola politikalarının yalnızca yönetici hesaplarını değil, kullanılmayan veya seyrek kullanılan hizmet hesaplarını da kapsaması önem taşıyor.
4. DCSync Saldırıları Etki Alanı Kimlik Bilgilerini Hedefliyor
Etki alanı denetleyicileri, Active Directory değişikliklerini çoğaltmak için belirli replikasyon mekanizmalarından yararlanıyor. DCSync saldırısında saldırganlar, gerekli izinleri elde ettiklerinde bu mekanizmayı taklit ederek parola özetlerini ve diğer kimlik bilgilerini talep edebiliyor. Mimikatz gibi araçlar, saldırganların gerekli ayrıcalıklara sahip olması durumunda bu yöntemi uygulamasını kolaylaştırabiliyor.
Kurumların DCSync riskini azaltması için dizin çoğaltma izinlerini yalnızca bu yetkiye ihtiyaç duyan hesaplara ve sistemlere vermesi gerekiyor. Güvenlik ekiplerinin ayrıcalıklı hesapları düzenli olarak incelemesi, kullanılmayan hizmet hesaplarını kaldırması ve etki alanı gruplarındaki değişiklikleri izlemesi de saldırı yüzeyini daraltıyor. Etki alanı denetleyicilerinin korunması, erişim haklarının denetlenmesiyle birlikte yürütülmesi gereken temel güvenlik adımları arasında yer alıyor.
5. Golden Ticket Saldırıları Etki Alanında Kalıcı Yetki Sağlayabiliyor
Golden Ticket saldırıları, Kerberos sisteminde bilet oluşturulmasından sorumlu KRBTGT hesabını hedef alıyor. Saldırganlar bu hesabın NTLM özetini ele geçirdiğinde kendi Kerberos Ticket Granting Ticket (TGT) biletlerini oluşturabiliyor ve etki alanında geniş erişim hakları elde edebiliyor. Üretilen biletler meşru kimlik doğrulama işlemlerine benzediği için saldırı uzun süre fark edilmeyebiliyor.
Kurumların KRBTGT hesabını yüksek öncelikli bir güvenlik varlığı olarak koruması ve parola değişikliklerini dikkatli biçimde planlaması gerekiyor. Kaynakta önerilen uygulamalardan biri, parolanın en az 180 günde bir değiştirilmesi; ancak işlem, kimlik doğrulama süreçlerinde kesinti oluşmaması için uygun prosedürlerle yürütülmeli. En az ayrıcalık ilkesi de saldırganların gerekli yetkilere ulaşmasını zorlaştırarak Golden Ticket riskini azaltıyor.
6. Active Directory Entegrasyonlu Eski Uygulamalar Açık Oluşturuyor
Active Directory ile entegre çalışan eski uygulamalar, sabit kimlik bilgileri, güncelliğini yitirmiş şifreleme yöntemleri veya güvenli olmayan protokoller nedeniyle kurumsal ağlarda zafiyet oluşturabiliyor. Kritik iş süreçlerine bağlı uygulamaların yenilenmesi aylar sürebildiğinden kurumların riskleri belirlemesi ve iyileştirme çalışmalarını önceliklendirmesi gerekiyor.
BT ekiplerinin uygulama envanteri çıkarması, eski kimlik doğrulama yöntemlerini belirlemesi ve yüksek riskli sistemleri değerlendirmesi ilk adımı oluşturuyor. Uygulamanın hemen değiştirilmesi mümkün olmadığında erişim izinlerinin daraltılması, sistemin ağ içinde izole edilmesi ve izleme faaliyetlerinin artırılması riski sınırlayabiliyor. Uzun vadede güvenlik açısından sorunlu eski entegrasyonların yenilenmesi veya değiştirilmesi öncelik taşıyor.
Active Directory Güvenliğinde Uyumluluk Tek Başına Yeterli Olmuyor
Altı saldırı yönteminin ortak noktası, saldırganların her zaman yeni bir yazılım açığından yararlanmak zorunda kalmaması olarak öne çıkıyor. Ele geçirilmiş bir parola, gereğinden geniş yetkilere sahip bir hesap veya zayıf korunan bir hizmet hesabı, daha kapsamlı saldırılar için başlangıç noktası oluşturabiliyor.
Kurumların Active Directory güvenliğini güçlendirmek için ayrıcalıklı hesapları, hizmet hesaplarını, parola politikalarını ve replikasyon izinlerini düzenli olarak denetlemesi gerekiyor. Bilinen sızdırılmış parolaların kontrol edilmesi, şüpheli kimlik doğrulama hareketlerinin izlenmesi ve eski uygulamaların risk analizine alınması da savunmanın farklı katmanlarını destekliyor.
Uyumluluk standartları temel güvenlik gerekliliklerini belirlese de güncel tehditlere karşı sürekli denetimin yerini tutmuyor. Active Directory ortamlarını korumak isteyen kurumların politika uyumunu gerçek erişim kontrolleri, izleme mekanizmaları ve düzenli güvenlik değerlendirmeleriyle tamamlaması gerekiyor.
