Active Directory sıkılaştırma uygulaması
Denetimde bulunan sorunları gerçekten kapatırsın: yetkili grupları küçültür, katmanlı yönetimi uygular, LAPS’ı ve korumalı kullanıcıları devreye alır, eski protokolleri ve tehlikeli izinleri temizlersin.
Seviye 301 · 17 ders · 15 pratik lab
Dersler
Yetkili hesaplar
- Yetkili grupları küçültmek ve izlemek
- Yönetici hesaplarını günlük hesaplardan ayırmak
- Korumalı Kullanıcılar grubu ve hassas hesap işareti
- Katman 0 varlıklarını belirlemek ve korumak
- Kısa görev: Domain Admins üye sayısını ikiye indir ve gerekçele
Kimlik doğrulama
- Windows LAPS’ı devreye almak
- NTLM’yi denetlemek ve kısıtlamak
- Kerberos sıkılaştırma: AES, ön kimlik doğrulama, SPN düzeni
- Grup yönetimli hizmet hesapları (gMSA)
- Kısa görev: Kerberoasting’e açık hesapları gMSA’ya taşı
İzinler ve ilkeler
- Tehlikeli ACL’leri temizlemek
- AdminSDHolder ve korunan nesneler
- GPO izinleri ve SYSVOL düzeni
- Sertifika hizmetleri şablonlarındaki tehlikeli ayarlar
- Kısa görev: bir kullanıcıya etki alanını ele geçirtebilecek üç izni bul ve kaldır
Bitirme
- Sıkılaştırma yol haritası: kesintisiz sıralama
- Bitirme görevi: denetim raporundaki on bulguyu kapat ve kanıtla
Pratik lablar
- Yetkili grupların üyelerini ve son oturumlarını listele: Domain Admins, Enterprise Admins ve Backup Operators üyelerini son oturum tarihleriyle tek tabloda topla ve 90 gündür kullanılmayanları işaretle.
- Günlük hesabıyla yöneticilik yapan kişiyi iki hesaba ayır: Mavikaya Lojistik’te e-posta okuyan hesabın Domain Admins üyesi olduğunu bul, ayrı bir yönetici hesabı aç, üyeliği taşı ve günlük hesabın yetkisiz kaldığını göster.
- Yetkili hesapları Korumalı Kullanıcılar grubuna kesintisiz taşı: Hangi hesabın NTLM ya da devredilen kimlik kullandığını olaylardan belirle, uygun olanları gruba ekle, hassas hesap bayrağını ayarla ve bozulan bir işi geri alma planıyla çöz.
- Bir makinenin LAPS parolasını yetkili hesapla oku: Windows LAPS etkin üye sunucunun yerel yönetici parolasını ve bitiş tarihini PowerShell ile oku ve yetkisiz hesabın okuyamadığını göster.
- Sunucular OU’su için LAPS ilkesini devreye al: Şema ve OU izinlerini hazırla, parola uzunluğu ve döndürme süresini veren GPO’yu bağla ve bir sunucuda parolanın değiştiğini doğrula.
- LAPS parolasını kimlerin okuyabildiğini denetle ve fazlasını kaldır: OU üzerindeki genişletilmiş hakları tarayıp parola özniteliğini okuyabilen beklenmedik grubu bul, izni kaldır ve okuma olaylarını denetime aç.
- Etki alanında NTLM kullanan oturumları say: NTLM denetimini aç ve bir saatlik olaylardan NTLM ile kimlik doğrulayan hesapları ve kaynak makineleri listele.
- Ön kimlik doğrulaması kapalı ve RC4 kullanan hesapları düzelt: Ön kimlik doğrulaması gerektirmeyen hesapları ve yalnızca RC4 destekleyen servis hesaplarını bul, AES’i etkinleştir ve bilet şifreleme türünü olaydan doğrula.
- NTLM’yi istisna listesiyle aşamalı olarak kısıtla: Denetim verisinden NTLM’ye gerçekten muhtaç iki sunucuyu belirle, istisna listesine al, geri kalan için kısıtlama ilkesini uygula ve reddedilen denemeleri izle.
- SPN’si olan kullanıcı hesaplarını parola yaşıyla listele: Servis asıl adı tanımlı kullanıcı hesaplarını bul ve parolası bir yıldan eski olanları işaretle.
- Bir Windows servisini grup yönetimli hizmet hesabına taşı: KDS kök anahtarını doğrula, gMSA oluştur, üye sunucuya kur ve servisin yeni hesapla başladığını göster.
- Eski servis hesabını bağımlılıklarını bozmadan emekliye ayır: Hesabın kullanıldığı zamanlanmış görevleri, servisleri ve SPN’leri envanterle, hepsini gMSA’ya geçir, eski hesabı devre dışı bırak ve bir hafta izleme planı yaz.
- Bir OU üzerindeki yetki devirlerini oku: Kullanıcılar OU’sunun erişim listesinden varsayılan dışı girişleri çıkar ve hangi grubun parola sıfırlayabildiğini yaz.
- Etki alanı kökündeki tehlikeli izni bul ve kaldır: Yardım masası grubuna yanlışlıkla verilmiş dizin çoğaltma hakkını bul, kaldır ve AdminSDHolder’ın korunan nesnelere etkisini doğrula.
- GPO izinlerini, SYSVOL’u ve sertifika şablonlarını tek denetimde temizle: Standart kullanıcının düzenleyebildiği GPO’yu, SYSVOL’daki parolalı betiği ve isteyenin konu adını belirleyebildiği şablonu bul, üçünü de düzelt ve kanıtla.
Kurs hakkında
Denetimde bulunan sorunları gerçekten kapatırsın: yetkili grupları küçültür, katmanlı yönetimi uygular, LAPS’ı ve korumalı kullanıcıları devreye alır, eski protokolleri ve tehlikeli izinleri temizlersin.
Ne öğreneceksin
- Yetkili hesaplar
- Kimlik doğrulama
- İzinler ve ilkeler
- Bitirme
Ön koşullar
Aynı yolun 101 ve 201 düzeyindeki konularına hâkim olmalısın.
Lab ortamı
Dersler, tarayıcında açılan bir Kali Linux terminalinde ve her lab için ayrı kurulan bir uygulama etki alanında (CORP.LAB) geçer. Kurulum gerekmez.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 301 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.