Dizin Hizmetleri: LDAP ve Active Directory

Directory hizmeti, ağ kaynakları — kullanıcılar, gruplar, bilgisayarlar, yazıcılar ve ilkeler — hakkındaki Information değerlerini depolayan ve düzenleyen merkezi bir depodur. Kuruluşlar her sistemde ayrı kullanıcı veritabanları tutmak yerine, kimlik Information değerleri için tek doğru kaynağı olarak bir Directory hizmeti kullanır. Tüm Authentication istekleri Directory'ye karşı doğrulanır ve erişim ilkeleri kuruluş genelinde tutarlı şekilde uygulanır.

LDAP (Hafif Directory Erişim Protokolü), Directory hizmetlerini sorgulamak ve değiştirmek için kullanılan sektör standardı protokoldür. LDAP, girdileri Directory Information Tree (DIT) adı verilen hiyerarşik bir ağaçta düzenler ve girdiler Distinguished Name (DN) ile tanımlanır. LDAP, 389 numaralı portta (açık metin) ve 636 numaralı portta (LDAPS — TLS üzerinden LDAP) çalışır. LDAP protokoldür; Directory'nin kendisi ayrı bir üründür.

Active Directory (AD), LDAP ve Kerberos üzerine kurulmuş Microsoft kurumsal Directory hizmetidir. Kaynakları Domain değerleri içinde düzenler; Domain değerleri Tree değerleri, Tree değerleri de Forest değerleri içinde gruplanır. Bir domain controller (DC), AD veritabanını (NTDS.dit) barındırır ve Authentication işlemlerini yürütür. AD, çoğu Windows kurumsal ortamında kimlik yönetiminin temelini oluşturur.

Active Directory, varsayılan Authentication protokolü olarak Kerberos kullanır. Süreç, Ticket verme mekanizmasıyla işler: Client, Key Distribution Center (KDC) üzerinde kimlik doğrulamasından geçer ve bir Ticket-Granting Ticket (TGT) alır. Kullanıcının bir kaynağa erişmesi gerektiğinde, belirli kaynak için Service Ticket almak üzere TGT'yi sunar. Password değerleri ağ üzerinden hiçbir zaman gönderilmez; yalnızca şifrelenmiş Ticket değerleri gönderilir. Bu tasarım, Kerberoasting gibi saldırıları anlamanın temelidir.

Group Policy Objects (GPOs), binlerce makinede Security ayarlarını aynı anda zorunlu kılmak için AD'nin kullandığı mekanizmadır. GPO'lar Password karmaşıklığı gereksinimlerini, ekran kilidi zaman aşımını, yazılım kurulumunu, güvenlik duvarı kurallarını ve kayıt defteri ayarlarını yapılandırabilir. GPO'lar AD Container değerlerine (siteler, Domain değerleri, OU'lar) bağlanır ve bu Container içinde bulunan tüm kullanıcı ve bilgisayarlara uygulanır. GPO ayarları varsayılan olarak her 90 dakikada bir yenilenir; böylece ilkeden sapan makinelerde bile uyumluluğun sürdürülmesi sağlanır.

Active Directory, erişim izinlerini toplu olarak yönetmek için Security Grupları kullanır. Yöneticiler izinleri tek tek kullanıcılara atamak yerine gruplara verir ve kullanıcıları uygun gruplara ekler. Security+ için anlaşılması gereken yerleşik gruplar: Domain Admins (tam Domain denetimi), Enterprise Admins (Forest genelinde denetim), Schema Admins (AD şemasını değiştirme) ve Administrators (yerel makine yöneticisi). Bu yüksek ayrıcalıklı gruplara üyelik sıkı biçimde denetlenmelidir.

LDAP enjeksiyonu, Directory hizmetleri açısından SQL enjeksiyonunun karşılığıdır. Bir saldırgan, doğrudan LDAP filtresine birleştirilen kullanıcı input değerlerine özel karakterler (*, (, ), \, NUL) ekleyerek bir LDAP sorgusunu değiştirir. Başarılı bir saldırı Authentication işlemini atlatabilir, tüm Directory girdilerini çıkarabilir veya Directory Object değerlerini değiştirebilir. Korunma; input doğrulaması yapılmasını ve string birleştirme yerine parametreli LDAP API'lerinin kullanılmasını gerektirir.

Kurumsal yapılar yedeklilik ve coğrafi dağıtım için birden fazla domain controller kullanır. AD replication, Directory Replication Service (DRS) kullanarak tüm DC'leri eşitlenmiş halde tutar. Saldırganlar, bir DC'de gerçekten oturum açmadan tüm Password özetlerini istemek için replication izinlerini kullanarak DCSync attack gerçekleştirir. Replication izinlerinin korunması, kritik bir AD güçlendirme adımıdır.

389 numaralı bağlantı noktasındaki düz LDAP, bağlama kimlik bilgileri de dahil olmak üzere verileri açık metin olarak iletir ve bu nedenle verilerin ele geçirilmesine karşı savunmasızdır. Kuruluşlar, tüm dizin trafiğini şifrelemek için 636 numaralı bağlantı noktasında LDAPS (TLS üzerinden LDAP) kullanımını zorunlu kılmalıdır. Ayrıca, bir saldırganın yetkisiz erişim elde etmek amacıyla LDAP kimlik doğrulama iletilerini ele geçirip yeniden oynattığı aktarma saldırılarını önlemek için LDAP imzalama ve kanal bağlama zorunlu tutulmalıdır.

Active Directory ortamlarında yıllar süren işletim boyunca yanlış yapılandırmalar birikir. Yaygın AD güvenlik zayıflıkları arasında şunlar bulunur: sınırsız yetki devri (herhangi bir kullanıcının kimliğine bürünmeye olanak tanır), zayıf parolalara sahip Kerberoast edilebilir hizmet hesapları, AS-REP roasting hedefleri (ön kimlik doğrulaması devre dışı bırakılmış hesaplar), aşırı sayıdaki Domain Admin üyeliği ve gizli yükseltilmiş izinler veren AdminSDHolder yanlış yapılandırmaları. BloodHound gibi araçlarla gerçekleştirilen düzenli AD güvenlik değerlendirmeleri bu yolların belirlenmesine yardımcı olur.

İlişkiyi açıklığa kavuşturmak gerekirse: LDAP, dizinlerle iletişim kurmak için kullanılan protokoldür (HTTP'nin web sunucularıyla iletişim kurmak için kullanılması gibi). Active Directory, erişim protokolü olarak LDAP kullanan Microsoft'un dizin hizmeti ürünüdür. LDAP ile uyumlu diğer dizinler arasında OpenLDAP (açık kaynaklı), Oracle Directory Server ve Red Hat Directory Server bulunur. Tümü LDAP sorgularını kullanır, ancak yönetim arayüzleri ve ek tescilli özellikleri farklıdır.

Bu dersteki CompTIA Security+ (SY0-701) kavramlarını anlayıp anlamadığınızı sınayın.

Bu derste şunları öğrendiniz: LDAP, hiyerarşik bir ağaçta Ayırt Edici Adlar kullanarak dizin hizmetlerini sorgulamak için kullanılan protokoldür, Active Directory kimlik doğrulama için Kerberos'u, etki alanları genelinde güvenlik ayarlarını uygulamak için GPO'ları kullanır ve ele geçirme ile aktarma saldırılarını önlemek için 636 numaralı bağlantı noktasında LDAPS ve LDAP imzalama zorunlu tutulmalıdır. Sırada Ayrıcalıklı Erişim Yönetimi'ni (PAM) inceleyeceğiz.