AD Temelleri

Active Directory (AD), Windows ağındaki kullanıcıları, bilgisayarları ve kaynakları yönetmek için Microsoft'un sunduğu dizin hizmetidir. Merkezi kimlik doğrulama ve yetkilendirme sağlar.

Kurumsal yapıların neredeyse tamamı AD kullanır; bu da onu başlıca bir hedef hâline getirir. AD'nin ele geçirilmesi çoğu zaman kuruluşun tamamının ele geçirilmesi anlamına gelir.

Bir etki alanı, AD'deki temel yönetim sınırıdır. Nesneleri (kullanıcılar, gruplar, bilgisayarlar) ortak bir veritabanı ve güvenlik ilkesi altında gruplandırır.

Her etki alanının corp.example.com gibi bir adı vardır. Etki alanı içindeki tüm kimlik doğrulama işlemleri etki alanı denetleyicileri tarafından gerçekleştirilir.

Bir Etki Alanı Denetleyicisi (DC), AD Etki Alanı Hizmetlerini çalıştıran bir sunucudur. Dizin veritabanını depolar, oturum açma işlemlerini doğrular ve ilkeleri uygular.

Dizin veritabanı NTDS.dit dosyasında bulunur. Bu dosyanın (önyükleme anahtarıyla birlikte) çalınması, saldırganın etki alanındaki tüm parola özetlerini çıkarmasını sağlar.

Bir ağaç, bitişik bir ad alanını paylaşan bir veya daha fazla etki alanıdır. Bir orman, bir veya daha fazla ağacı barındıran en üst düzey kapsayıcıdır.

AD'de gerçek güvenlik sınırı ormandır. Bir orman içindeki etki alanlarına güven ilişkileri üzerinden ulaşılabilir.

Bir güven ilişkisi, bir etki alanındaki kullanıcıların başka bir etki alanındaki kaynaklara erişmesini sağlayan ilişkidir. Güven ilişkileri şu şekilde olabilir:

• Tek yönlü veya çift yönlü: erişimin yönünü belirler.
• Geçişli veya geçişsiz: güvenin diğer etki alanlarına aktarılıp aktarılmayacağını belirler.

Yanlış yapılandırılmış güven ilişkileri, saldırganların etki alanları ve ormanlar arasında sıçramasına olanak tanır.

Kuruluş Birimleri (OU'lar), nesneleri düzenlemek ve yönetimi devretmek için kullanılan kapsayıcılardır.

Grup İlkesi Nesneleri (GPO'lar), OU'lara, etki alanlarına veya sitelere yapılandırma ve güvenlik ayarları uygular. Bir GPO'yu düzenleyebilen saldırganlar, kötü amaçlı ayarları veya betikleri aynı anda çok sayıda makineye gönderebilir.

AD, birincil kimlik doğrulama protokolü olarak Kerberos kullanır. İstemciler parola göndermek yerine, DC üzerinde çalışan Anahtar Dağıtım Merkezi (KDC) tarafından verilen biletleri değiş tokuş eder.

Kullanıcı önce bir Bilet Verme Bileti (TGT) alır, ardından bunu hizmet biletleri istemek için kullanır. AD'ye yönelik birçok saldırı bu bilet sistemini kötüye kullanır.

AD, dizinini LDAP (Hafif Dizin Erişim Protokolü) üzerinden sunar. Kimliği doğrulanmış kullanıcılar; kullanıcılar, gruplar, bilgisayarlar ve bunların öznitelikleri hakkında çok büyük miktarda bilgi sorgulayabilir.

Düşük ayrıcalıklı bir etki alanı hesabının bile değerli olmasının nedeni budur. Bu hesap, daha yüksek ayrıcalıklara giden yolları bulmak için tüm dizini sayabilir.

Bazı gruplar her etki alanının en değerli varlıklarıdır:

• Domain Admins: etki alanının tam denetimi.
• Enterprise Admins: tüm orman genelinde denetim.
• Schema Admins: AD şemasını değiştirebilir.

AD'de ayrıcalık yükseltme genellikle bu gruplardan birine giden yolu bulmak anlamına gelir.

Bir Hizmet Asıl Adı (SPN), bir hesaba bağlı hizmet örneğini benzersiz biçimde tanımlar. Kerberos, hizmet biletleri vermek için SPN'leri kullanır.

SPN'lere sahip hesaplar ilgi çekici hedeflerdir; çünkü bu hesapların hizmet biletleri istenip çevrimdışı olarak kırılabilir. Kerberoasting adı verilen bu tekniği sıradaki derste inceleyeceksiniz.

AD, tüm kuruluşun kimliğini merkezileştirir; bu nedenle tek bir başlangıç erişimi, zincirleme biçimde tam denetime dönüşebilir. Saldırganlar Domain Admin'e ulaşmak için düşük ayrıcalıklı erişimi, sayımı ve kimlik bilgisi hırsızlığını birleştirir.

Yapıyı (etki alanları, güven ilişkileri, Kerberos, LDAP ve ayrıcalıklı gruplar) anlamanız, bir saldırgan fark etmeden önce bu yolları görmenizi sağlar.

Artık Active Directory'nin temel yapı taşlarını biliyorsunuz:

• Etki alanları nesneleri gruplandırır; etki alanı denetleyicileri kimlik doğrular ve NTDS.dit veritabanını depolar.
• Ormanlar güvenlik sınırıdır; güven ilişkileri etki alanları arası erişimi sağlar.
• Kerberos ve LDAP, kimlik doğrulama ve sayım işlemlerini yürütür.
• Domain Admins ve SPN'ler yüksek değerli hedeflerdir.

Sırada Kerberos'a doğrudan Kerberoasting ile saldıracaksınız.