Active Directory güvenliği: denetim ve sıkılaştırma
Bir Windows etki alanını savunmacı gözüyle denetlersin: yetkili grupları, unutulmuş ve servis hesaplarını, parola ilkesini, paylaşımları ve saldırı izlerini bulur, sıkılaştırma önerileriyle raporlarsın.
Seviye 201 · 22 ders · 24 pratik lab
Dersler
Active Directory'yi tanımak
- İlk denetim: etki alanını tanı, yetkili hesapları bul
- Active Directory nedir: etki alanı, orman, OU
- Etki alanı denetleyicisi ve DNS: SRV kayıtları
- Kimlik doğrulama: Kerberos ve NTLM
- LDAP ile dizinde sorgu: süzgeçler ve öznitelikler
Hesaplar ve gruplar
- Yetkili gruplar: Domain Admins, Enterprise Admins, Backup Operators
- Kullanılmayan ve devre dışı hesapları bulmak
- Servis hesapları ve parolası hiç dolmayan hesaplar
- Parola ilkesi ve ayrıntılı parola ilkeleri (FGPP)
- Yerel yönetici parolaları: LAPS
Yetkiler, paylaşımlar ve Grup İlkesi
- SMB paylaşımlarını ve izinlerini denetlemek
- Grup İlkesi (GPO) temelleri
- Yetki devri (delegation) riskleri
- Nesne izinleri (ACL) ve tehlikeli haklar
Saldırı izlerini tespit etmek
- AD için önemli Windows olay kimlikleri
- Parola püskürtmeyi (password spraying) tespit etmek
- Kerberoasting'i tespit etmek ve önlemek
- DCSync ve çoğaltma haklarının kötüye kullanımı
Sıkılaştırma ve rapor
- Katmanlı yönetim modeli (tier 0/1/2)
- SMB ve LDAP imzalama, LDAPS
- krbtgt parolası, yedekleme ve kurtarma
- Bitirme: CORP.LAB denetim raporu
Pratik lablar
- Etki alanındaki ayrıcalıklı hesapları listele: Domain Admins ve Enterprise Admins üyelerini iç içe gruplarla birlikte çıkar.
- LDAP süzgeciyle parolası hiç dolmayan hesapları bul: userAccountControl bayrağını kullanan süzgeci yaz ve sonuçları listele.
- Etki alanı denetleyicilerini SRV kayıtlarından bul: DNS’te LDAP ve Kerberos SRV kayıtlarını sorgula ve denetleyicileri rolleriyle yaz.
- 90 gündür kullanılmayan etkin hesapları çıkar: lastLogonTimestamp değerine göre süz, servis hesaplarını ayır ve kapatılacakları listele.
- Açıklama alanına parola yazılmış hesabı bul: Tüm kullanıcıların açıklama alanlarını tara ve parola içeren kaydı raporla.
- SPN’i olan ve parolası eski servis hesaplarını bul: SPN tanımlı hesapları parola yaşıyla birlikte listele ve en riskli üçünü seç.
- Yöneticilere daha sıkı parola politikası uygula: Ayrıcalıklı grup için ince ayarlı parola politikası oluştur ve hangi hesaplara uygulandığını göster.
- LAPS kapsamı dışında kalan bilgisayarları bul: Yerel yönetici parolası özniteliği boş olan bilgisayarları listele ve nedenini GPO kapsamıyla açıkla.
- Herkese açık paylaşımdaki hassas dosyayı bul: Paylaşımları ve izinlerini listele, herkese açık olanda parola içeren dosyayı bul.
- Kısıtlanmamış delegasyonu olan bilgisayarı bul: Delegasyon bayraklarını sorgula, denetleyiciler dışındaki kısıtlanmamış delegasyonu raporla.
- Kullanıcı nesnesindeki tehlikeli ACL kaydını bul: Bir yönetici hesabı üzerinde GenericAll hakkı olan sıradan grubu bul ve kaldır.
- SYSVOL’de bırakılmış parolayı bul ve temizle: Betik ve politika dosyalarını tara, gömülü parolayı bul, kaldır ve hesabın parolasını değiştir.
- Kayıtlarda parola püskürtmeyi tanı: 4625 ve 4771 kayıtlarında tek kaynaktan çok hesaba yapılan denemeyi bul ve saat aralığını yaz.
- Kerberoasting izini 4769 kayıtlarından çıkar: RC4 şifrelemeli ve kısa sürede çok servise yapılan bilet isteklerini bul ve isteyen hesabı yaz.
- Ayrıcalıklı gruba yapılan gizli eklemeyi bul: 4728 ve 4756 kayıtlarını süz, mesai dışında eklenen hesabı ve ekleyeni belirle.
- DCSync izini çoğaltma olaylarından kanıtla: 4662 kayıtlarında denetleyici olmayan bir hesabın çoğaltma haklarını kullandığını göster.
- Hesapları katmanlı yönetim modeline yerleştir: Yönetici hesaplarının oturum açtığı makineleri incele ve katman ihlali yapan oturumu bul.
- LDAP ve SMB imzalamanın zorunlu olduğunu doğrula: Denetleyicide imzalama ayarlarını sorgula, imzasız bağlamayı dene ve reddedildiğini göster.
- krbtgt parola yaşını ve yedek durumunu denetle: krbtgt’nin son parola değişimini ve son sistem durumu yedeğini bul ve risk notunu yaz.
- İç içe gruplar üzerinden gizli kalan yetkili üyeleri çıkar: Özyinelemeli LDAP eşleme kuralıyla Domain Admins’e dolaylı üye olan hesapları bul ve her biri için üyelik zincirini yaz.
- Kullanılmayan hesapları güvenle emekliye ayıran süreci kur: lastLogonTimestamp’in gecikmesini hesaba katarak adayları belirle, servis hesaplarını ayıkla, kalanları devre dışı bırakıp karantina OU’suna taşı ve geri alma adımını yaz.
- Katman 0 varlıklarını ve hesaplarını listele: Etki alanı denetleyicilerini, yetkili grupları ve bu grupların üyelerini tek bir katman 0 listesinde topla.
- Etki alanının imzalama ve parola ilkesi ayarlarını oku: Varsayılan etki alanı ilkesinden parola uzunluğu, kilitleme eşiği ve SMB imzalama ayarlarını çıkar ve önerilen değerle karşılaştır.
- Bir kullanıcı nesnesinin son değişikliklerini oku: Nesnenin çoğaltma üst verisinden son değişen öznitelikleri ve değişiklik zamanlarını listele.
Kurs hakkında
Bu kurs Active Directory’yi savunan tarafın gözünden anlatır: bir etki alanını nasıl denetlersin, riskli ayarları nasıl bulursun, saldırıların bıraktığı izleri kayıtlarda nasıl tanırsın ve nasıl önlersin. Her derste, yalnızca okuma yetkisi olan bir denetçi hesabıyla CORP.LAB adlı uygulama etki alanında çalışırsın.
Etki alanı, Kerberos ve LDAP temellerinden başlar; yetkili gruplar, kullanılmayan hesaplar, servis hesapları, parola ilkeleri, LAPS, paylaşımlar, Grup İlkesi, yetki devri ve nesne izinleriyle devam eder. Sonra tespit tarafına geçersin: parola püskürtme, Kerberoasting ve DCSync’in olay kayıtlarındaki izlerini okur, önlemlerini öğrenirsin. Kurs, bulgularını önem sırasına koyduğun bir denetim raporuyla biter.
Ne öğreneceksin
- Etki alanı, orman, OU, etki alanı denetleyicisi ve DNS SRV kayıtlarını tanımak
- Kerberos ve NTLM kimlik doğrulamasının nasıl çalıştığını açıklamak
- LDAP süzgeçleriyle dizinde hesap, grup ve bilgisayar sorgulamak
- Yetkili grupları, kullanılmayan hesapları ve parolası dolmayan servis hesaplarını bulmak
- Parola ilkelerini, LAPS’ı, SMB paylaşımlarını ve Grup İlkesini denetlemek
- Yetki devri ve nesne izinlerindeki (ACL) tehlikeli hakları fark etmek
- Parola püskürtme, Kerberoasting ve DCSync izlerini Windows olay kayıtlarında tespit etmek
- Katmanlı yönetim, imzalama, LDAPS ve krbtgt parolası gibi sıkılaştırma önlemlerini planlamak
Kimler için
Sistem yöneticileri, SOC analistleri, denetçiler ve kurumsal ağ güvenliğine yönelen öğrenciler için. Kurs saldırı adımlarını öğretmez; her konu denetim, tespit ve önlem açısından işlenir.
Ön koşullar
Linux komut satırının temelleri (dosya okumak, grep, boru) ve temel ağ kavramları. Windows yöneticiliği deneyimi gerekmez.
Lab ortamı
Dersler, tarayıcında açılan bir Kali Linux terminalinde ve her lab için ayrı kurulan bir uygulama etki alanında (CORP.LAB) geçer. Kurulum gerekmez.
Sık sorulan sorular
- Windows bilgisayarım ya da sunucum olması gerekir mi?
- Hayır. Her lab kendi uygulama etki alanıyla açılır; sen tarayıcındaki Kali terminalinden bağlanırsın.
- Kurs saldırı tekniklerini mi öğretiyor?
- Hayır. Saldırıların ne olduğu ve hangi izi bıraktığı anlatılır; uygulamalar denetim, tespit ve düzeltme üzerinedir.
- Lab ortamındaki etki alanı gerçekçi mi?
- CORP.LAB’da onlarca kullanıcı, bilgisayar, servis hesabı, paylaşım ve bilerek bırakılmış yanlış ayar vardır. Bazı değerler her labda değişir.
- Kursun sonunda elimde ne olur?
- Bir etki alanını baştan sona denetleyip bulguları önem sırasıyla raporlayabilirsin; bitirme dersi tam olarak budur.