Windows Kimlik Doğrulaması

Windows, erişim izni vermeden önce kullanıcının kim olduğunu doğrular. Etki alanlarında bu işlem istemciler ile etki alanı denetleyicisi arasında sürekli gerçekleşir.

İki temel protokol NTLM (eski, sorgulama-yanıt) ve Kerberos'tur (modern, bilet tabanlı). Her ikisi de yoğun biçimde hedef alınır.

Windows, yerel hesapların düz metin parolalarını hiçbir zaman saklamaz; özetleri SAM veritabanında tutar. Temel biçim NT özetidir (parolanın MD4 özeti).

Saldırgan bu özetleri dökerse bunları çevrimdışı kırabilir veya doğrudan yeniden kullanabilir.

NTLM, parolayı göndermeden kimlik doğrular:

• Sunucu rastgele bir sorgulama gönderir.
• İstemci bunu NT özetiyle şifreleyip yanıtlar.
• Sunucu (veya DC) yanıtı doğrular.

Eski bir protokol olmasına rağmen uyumluluk amacıyla birçok ağda hâlâ etkindir.

NTLM, düz metin yerine özeti kullanarak kimlik doğruladığı için özeti çalan bir saldırgan, onu kırmaya hiç gerek kalmadan kimlik doğrulayabilir.

Bu, NTLM'e karşı güçlü bir yanal hareket tekniği olan Özetten Geçiş (PtH) yöntemidir.

Kerberos, Active Directory'de varsayılan protokoldür. Kimlik bilgilerini tekrar tekrar göndermek yerine etki alanı denetleyicisindeki güvenilir bir Anahtar Dağıtım Merkezi (KDC) ve süre sınırlı biletler kullanır.

Kerberos akışı:

• Kullanıcı kimlik doğrulamasından geçer ve bir Bilet Verme Bileti (TGT) alır.
• Bir hizmeti kullanmak için istemci TGT'yi sunar ve bir Hizmet Bileti (TGS) alır.
• Hizmet bileti doğrular; parola gönderilmez.

Kerberoasting, hizmet çalıştıran hesaplar (SPN'ler) için hizmet biletleri ister. Bilet, hizmet hesabının parola özetiyle şifrelenir.

Saldırgan bileti çıkarır ve hizmet hesabının parolasını elde etmek için çevrimdışı olarak kırar.

Kerberos biletleri de çalınıp yeniden kullanılabilir (Pass-the-Ticket). Daha kötüsü, saldırgan krbtgt hesabının özetini ele geçirirse Golden Ticket oluşturabilir; bu, etki alanı genelinde erişim sağlayan, kendi hazırladığı bir TGT'dir.

Birçok saldırı, ele geçirilmiş bir ana bilgisayardan kimlik bilgilerinin çıkarılmasıyla başlar. Araçlar, lsass.exe belleğinden veya SAM/SECURITY kovanlarından özetleri ve biletleri döker.

Mimikatz en çok bilinen araçtır; secretsdump ise yaygın kullanılan bir uzak alternatiftir.

Savunmacılar şu yöntemlerle bu riskleri azaltır:

• Mümkün olan yerlerde NTLM'yi devre dışı bırakmak.
• Hizmet hesapları için güçlü ve uzun parolaları zorunlu kılmak.
• lsass'ı korumak (Credential Guard, PPL).
• krbtgt anahtarını düzenli olarak yenilemek ve yönetici hesaplarının yeniden kullanılmasını sınırlamak.

Bir oturumdan geçerli kimlik doğrulama bağlamını ve önbelleğe alınmış Kerberos biletlerini inceleyebilirsiniz.

Windows'un nasıl kimlik doğruladığını ve nasıl saldırıya uğradığını öğrendiniz:

• SAM'deki NT özetleri, çevrimdışı kırmayı ve Pass-the-Hash saldırısını mümkün kılar.
• Kerberos bir KDC, TGT'ler ve hizmet biletleri kullanır.
• Kerberoasting, Pass-the-Ticket ve Golden Ticket saldırıları Kerberos'u kötüye kullanır.
• Güçlendirme: NTLM'yi devre dışı bırakmak, lsass'ı korumak ve güçlü hizmet parolaları kullanmak.

Sırada: saldırı amaçlı PowerShell.