Yetki devri (delegation) riskleri
Kerberos yetki devrinin üç biçimini (kısıtsız, kısıtlı, kaynak tabanlı) tanır; kısıtsız devri olan sunucuları, kısıtlı devrin hangi hizmetlere açıldığını, protokol geçişini (herhangi bir kullanıcı adına bilet) ve devredilemez işaretini taşımayan yöneticileri bulur, userAccountControl bitlerini kendin çözer ve devir envanteriyle bulgu raporunu hazırlarsın. Her labda devir ayarları farklıdır.
Seviye 201 · 50 dk
Kullanıcı intranete girer; intranet de kullanıcı adına veritabanından veri çekmelidir. Bunun için Kerberos’ta yetki devri (delegation) vardır: bir hizmet, kullanıcının yerine başka bir hizmete bağlanabilir. Kullanışlıdır ama yanlış ayarlanırsa bir sunucuyu ele geçiren saldırgan, oraya bağlanan herkesin, yöneticiler dahil, kimliğine bürünebilir.
Benzetme: vekâletname. Kısıtsız devir, sunucuya "benim adıma her yerde her şeyi yap" diyen genel vekâlettir: sunucu, kendisine bağlanan herkesin biletini saklar. Kısıtlı devir, "yalnızca şu bankada, şu işlem için" diyen özel vekâlettir. Kaynak tabanlı devir (RBCD) ise vekâleti verenin değil, işlem yapılan bankanın "şu kişiden gelen vekâleti kabul ederim" demesidir.
Bu derste devir ayarlarını yalnızca bulup raporlayacaksın; kötüye kullanma yöntemlerine girmiyoruz. Lab açıldıktan sonra arka planda bu labın kendine özgü ayarları yapılıyor; 30 saniye kadar sonra her şey yerinde olur.
Bu derste ne yapacaksın
- Kısıtsız devir: TRUSTED_FOR_DELEGATION
- Kısıtlı devir: msDS-AllowedToDelegateTo
- Protokol geçişi: kimlik doğrulamadan bilet
- userAccountControl’ü kendin çöz
- Devredilemeyen yöneticiler
- Kaynak tabanlı devir (RBCD)
- Devir nereye açılıyor?
- Devir envanteri
- Devir raporu
- Kısa sınav
Kazanacağın beceriler
- Kısıtsız yetki devrini bulmak (TRUSTED_FOR_DELEGATION)
- Kısıtlı yetki devrini ve hedeflerini okumak (msDS-AllowedToDelegateTo)
- Protokol geçişli devri bulmak (TRUSTED_TO_AUTH_FOR_DELEGATION)
- userAccountControl bitlerini 803/804 kurallarıyla süzmek
- Devredilemez olmayan yönetici hesaplarını bulmak
- Kaynak tabanlı devri (RBCD) denetlemek
- Etki alanındaki bütün yetki devirlerinin envanterini çıkarmak
- Denetim bulgularını yazılı rapora dökmek
← Grup İlkesi (GPO) temelleri · Active Directory güvenliği: denetim ve sıkılaştırma · Nesne izinleri (ACL) ve tehlikeli haklar →
Ücretsiz başla