Kurumsal ağların temel bileşenlerinden Active Directory, güvenlik standartlarına uyum sağlanan ortamlarda bile saldırganların hedefi olmayı sürdürüyor. Parola hırsızlığı, Kerberoasting DCSync gibi yöntemler, kimlik doğrulama açıklarından ayrıcalıklı erişim hatalarına kadar uzanan farklı zafiyetlerden yararlanıyor. Kurumların güvenlik açıklarını azaltması için yalnızca uyumluluk gerekliliklerini karşılaması değil, hesapları, erişim izinlerini eski uygulamaları düzenli olarak denetlemesi gerekiyor.
1. Ele Geçirilmiş Parolalar Kurumsal Hesapları Tehlikeye AtıyorSaldırganlar, güvenlik politikalarına uygun parolaları bile bilgi hırsızı zararlı yazılımlar aracılığıyla ele geçirebiliyor. Specops Software tarafından aktarılan araştırmaya göre, incelenen 1,7 milyar ele geçirilmiş parolanın yüzde 19’u katı kurumsal parola politikalarının koşullarını karşılıyor. bulgu, uzun karmaşık parolaların tek başına hesap güvenliğini garanti etmediğini gösteriyor.
Kurumların parola güvenliğini güçlendirmek için yalnızca karakter uzunluğunu karmaşıklığı denetlemesi yeterli kalmıyor. Güvenlik ekiplerinin bilinen sızdırılmış parola listelerini düzenli olarak kontrol etmesi, ele geçirilmiş kimlik bilgilerini kullanan hesapların parolalarını yenilemesi gerekiyor. Specops Password Policy gibi çözümler, Active Directory hesaplarını altı milyardan fazla ele geçirilmiş parolayı içeren veri tabanıyla karşılaştırarak riskli parolaların belirlenmesine yardımcı oluyor.
2. Pass-the-Hash Saldırıları Parola Bilinmeden Kimlik Doğrulaması SağlıyorPass-the-Hash saldırılarında saldırganlar, sistem belleğinde bulunan parola özetlerini (hash) kullanarak başka sistemlerde kimlik doğrulaması yapmaya çalışıyor. yöntemde saldırganın gerçek parolayı bilmesi gerekmiyor; ele geçirilen parola özeti, uygun koşullarda yetkisiz erişim için yeterli olabiliyor.
En az 15 karakter uzunluğundaki parolalar, eski LAN Manager (LM) parola özetlerinin oluşturulmasını önlemeye yardımcı oluyor. Modern Active Directory kurulumlarında LM özetleri varsayılan olarak devre dışı olsa eski sistemler önbelleğe alınmış kimlik bilgileri risk oluşturabiliyor. Sanallaştırma tabanlı güvenlik (VBS), hassas verileri işletim sisteminin bölümlerinden izole ederek korumayı güçlendirirken çok faktörlü kimlik doğrulama ek güvenlik katmanı sağlıyor.
3. Kerberoasting Hizmet Hesaplarının Parolalarını HedefliyorKerberoasting yöntemi, Kerberos kimlik doğrulama sisteminin hizmet biletlerinden yararlanıyor. Düşük ayrıcalıklı kullanıcı hesabı bile belirli hizmet hesapları için bilet talep edebiliyor. Hizmet hesabının parolasıyla şifrelenen bilet, saldırgan tarafından çevrimdışı ortamda analiz edilerek parola tahminlerine karşı kullanılabiliyor.
Kurumların riski azaltmak için hizmet hesaplarında güçlü, benzersiz parolalar kullanması eski kimlik bilgilerini düzenli aralıklarla yenilemesi gerekiyor. Güvenlik ekiplerinin olağan dışı hizmet bileti taleplerini izlemesi, saldırı girişimlerinin erken aşamada belirlenmesine katkı sağlıyor. Parola politikalarının yalnızca yönetici hesaplarını değil, kullanılmayan veya seyrek kullanılan hizmet hesaplarını kapsaması önem taşıyor.
4. DCSync Saldırıları Etki Alanı Kimlik Bilgilerini HedefliyorEtki alanı denetleyicileri, Active Directory değişikliklerini çoğaltmak için belirli replikasyon mekanizmalarından yararlanıyor. DCSync saldırısında saldırganlar, gerekli izinleri elde ettiklerinde mekanizmayı taklit ederek parola özetlerini kimlik bilgilerini talep edebiliyor. Mimikatz gibi araçlar, saldırganların gerekli ayrıcalıklara sahip olması durumunda yöntemi uygulamasını kolaylaştırabiliyor.
Kurumların DCSync riskini azaltması için dizin çoğaltma izinlerini yalnızca yetkiye ihtiyaç duyan hesaplara sistemlere vermesi gerekiyor. Güvenlik ekiplerinin ayrıcalıklı hesapları düzenli olarak incelemesi, kullanılmayan hizmet hesaplarını kaldırması etki alanı gruplarındaki değişiklikleri izlemesi saldırı yüzeyini daraltıyor. Etki alanı denetleyicilerinin korunması, erişim haklarının denetlenmesiyle birlikte yürütülmesi gereken temel güvenlik adımları arasında yer alıyor.
5. Golden Ticket Saldırıları Etki Alanında Kalıcı Yetki SağlayabiliyorGolden Ticket saldırıları, Kerberos sisteminde bilet oluşturulmasından sorumlu KRBTGT hesabını hedef alıyor. Saldırganlar hesabın NTLM özetini ele geçirdiğinde kendi Kerberos Ticket Granting Ticket (TGT) biletlerini oluşturabiliyor etki alanında geniş erişim hakları elde edebiliyor. Üretilen biletler meşru kimlik doğrulama işlemlerine benzediği için saldırı uzun süre fark edilmeyebiliyor.
Kurumların KRBTGT hesabını yüksek öncelikli güvenlik varlığı olarak koruması parola değişikliklerini dikkatli biçimde planlaması gerekiyor. Kaynakta önerilen uygulamalardan biri, parolanın en az 180 günde değiştirilmesi; ancak işlem, kimlik doğrulama süreçlerinde kesinti oluşmaması için uygun prosedürlerle yürütülmeli. En az ayrıcalık ilkesi saldırganların gerekli yetkilere ulaşmasını zorlaştırarak Golden Ticket riskini azaltıyor.
6. Active Directory Entegrasyonlu Eski Uygulamalar Açık OluşturuyorActive Directory entegre çalışan eski uygulamalar, sabit kimlik bilgileri, güncelliğini yitirmiş şifreleme yöntemleri veya güvenli olmayan protokoller nedeniyle kurumsal ağlarda zafiyet oluşturabiliyor. Kritik iş süreçlerine bağlı uygulamaların yenilenmesi aylar sürebildiğinden kurumların riskleri belirlemesi iyileştirme çalışmalarını önceliklendirmesi gerekiyor.
BT ekiplerinin uygulama envanteri çıkarması, eski kimlik doğrulama yöntemlerini belirlemesi yüksek riskli sistemleri değerlendirmesi ilk adımı oluşturuyor. Uygulamanın hemen değiştirilmesi mümkün olmadığında erişim izinlerinin daraltılması, sistemin ağ içinde izole edilmesi izleme faaliyetlerinin artırılması riski sınırlayabiliyor. Uzun vadede güvenlik açısından sorunlu eski entegrasyonların yenilenmesi veya değiştirilmesi öncelik taşıyor.
Active Directory Güvenliğinde Uyumluluk Tek Başına Yeterli OlmuyorAltı saldırı yönteminin ortak noktası, saldırganların her zaman yeni yazılım açığından yararlanmak zorunda kalmaması olarak öne çıkıyor. Ele geçirilmiş parola, gereğinden geniş yetkilere sahip hesap veya zayıf korunan hizmet hesabı, daha kapsamlı saldırılar için başlangıç noktası oluşturabiliyor.
Kurumların Active Directory güvenliğini güçlendirmek için ayrıcalıklı hesapları, hizmet hesaplarını, parola politikalarını replikasyon izinlerini düzenli olarak denetlemesi gerekiyor. Bilinen sızdırılmış parolaların kontrol edilmesi, şüpheli kimlik doğrulama hareketlerinin izlenmesi eski uygulamaların risk analizine alınması savunmanın farklı katmanlarını destekliyor.
Uyumluluk standartları temel güvenlik gerekliliklerini belirlese güncel tehditlere karşı sürekli denetimin yerini tutmuyor. Active Directory ortamlarını korumak isteyen kurumların politika uyumunu gerçek erişim kontrolleri, izleme mekanizmaları düzenli güvenlik değerlendirmeleriyle tamamlaması gerekiyor.
