Kurumsal ağların omurgası hâline gelen Active Directory (AD), kimlik doğrulama, yetkilendirme ve kaynak erişimi süreçlerinin merkezinde yer alır. Ancak birçok işletmede AD, kurulduğu günden bugüne kapsamlı bir denetimden geçmeden yıllarca çalışır. Bu durum, farkında olmadan büyüyen bir güvenlik açığı riskine dönüşür. AFN Teknoloji olarak 2008'den beri İstanbul merkezli olarak verdiğimiz kurumsal BT desteği kapsamında, 500'ü aşan müşterimizin AD ortamlarında gördüğümüz ortak sorunları ve çözüm yaklaşımlarımızı bu yazıda paylaşıyoruz.
Active Directory'de Sık Görülen Riskler
Denetim çalışmalarımızda karşılaştığımız en yaygın bulgu, kullanılmayan veya "hayalet" hesaplardır. Ortalama 200 kullanıcılı bir kurumsal ortamda yaptığımız taramalarda, son 90 gün içinde giriş yapmamış hesap sayısının toplam hesapların %15-20'sine ulaştığını görüyoruz. Bu hesapların bir kısmı işten ayrılan personele ait olup devre dışı bırakılmamıştır, bir kısmı ise test amaçlı açılıp unutulmuş servis hesaplarıdır.
İkinci büyük sorun alanı, aşırı yetkilendirmedir (over-privileged accounts). Domain Admins grubunda 10-15 kişi bulunan orta ölçekli kurumlarla sık karşılaşıyoruz; oysa bu grubun 3-5 kişiyi geçmemesi güvenlik standardı olarak önerilir. Ayrıca Kerberoasting ve Pass-the-Hash gibi saldırı tekniklerine açık, eski SPN (Service Principal Name) yapılandırmaları da denetimlerimizde düzenli olarak tespit ettiğimiz bulgular arasında yer alır.
Parola politikaları konusunda da tablo iç açıcı değil. Varsayılan Group Policy ayarlarıyla çalışan, minimum parola uzunluğu 7-8 karakterde bırakılmış, parola geçmişi kontrolü olmayan ortamlar hâlâ oldukça yaygın. Fine-Grained Password Policy (FGPP) kullanmayan kurumların oranı denetimlerimizde %60'ın üzerinde çıkıyor.
AFN Teknoloji'nin AD Denetim Metodolojisi
AFN Teknoloji olarak AD denetimlerini üç aşamalı bir yaklaşımla yürütüyoruz. İlk aşamada, Microsoft'un resmi araçları (dcdiag, repadmin, AD Recycle Bin durumu) ile domain controller sağlık kontrolü yapıyoruz. Replikasyon hatalarını, DNS zone tutarsızlıklarını ve FSMO rol dağılımını bu aşamada tespit ediyoruz. Tipik bir müşteride 2 veya 3 domain controller olsa da, ikincil DC'nin yıllarca senkronize edilmediği vakalarla karşılaşmak nadir değil.
İkinci aşamada, AFN RiskScan ürünümüzle otomatikleştirilmiş bir güvenlik taraması gerçekleştiriyoruz. RiskScan, AD ortamındaki zayıf yapılandırmaları, açık portları, güncel olmayan yama seviyelerini ve saldırı yüzeyi genişleten ayarları tek bir raporda birleştirir. Bu tarama genellikle 500 kullanıcılı bir ortamda 4-6 saat içinde tamamlanır ve öncelik sırasına göre (kritik, yüksek, orta, düşük) sıralanmış 40-80 arası bulgu üretir.
Üçüncü aşamada ise ShamashAI IT izleme ve SIEM platformumuzla sürekli izleme devreye girer. AD üzerindeki anormal oturum açma girişimleri, brute-force saldırı denemeleri ve yetki yükseltme (privilege escalation) hareketleri gerçek zamanlı olarak izlenir ve belirlenen eşik değerlerin aşılması durumunda IT ekibine anlık bildirim gönderilir.
Tipik Müşteri Senaryosu: Bir Denetim Vakası
AFN Teknoloji'ye gelen müşterilerin büyük çoğunluğu, "birleşme-satın alma sürecinde AD'yi birleştirmemiz gerekiyor" veya "geçen ay bir siber sigorta şirketi bize AD denetim raporu istedi" gibi somut tetikleyicilerle bize ulaşıyor. Örneğin, 350 çalışanlı bir üretim firması, Fortinet güvenlik duvarı geçişi sırasında AD entegrasyonunu talep etmiş ve süreçte 47 kullanıcının Domain Admins yetkisine sahip olduğunu, bunların 30'unun aslında sadece dosya sunucusuna erişmesi gereken personel olduğunu tespit etmiştik. Yetki yapısını Role-Based Access Control (RBAC) mantığıyla yeniden düzenledik ve Domain Admins grubunu 4 kişiye indirdik.
Bir başka örnekte, 120 kullanıcılı bir finans şirketinde, Group Policy Object (GPO) sayısının 85'e ulaştığını ve bunların %40'ının artık geçersiz veya çakışan politikalar olduğunu belirledik. GPO temizliği sonrası domain controller'lardaki boot-time ve group policy processing süresi ortalama %35 kısaldı, kullanıcı şikayetleri belirgin şekilde azaldı.
AD Denetimi ve Uyumluluk Gereksinimleri
KVKK, ISO 27001 ve sektörel düzenlemeler kapsamında denetime tabi kurumlar için AD, en sık incelenen bileşenlerden biridir. Denetçiler tipik olarak şu üç noktaya odaklanır: yetki ayrımı (segregation of duties), erişim gözden geçirme sıklığı (access review) ve olay kayıtlarının (audit logs) ne kadar süre saklandığı. Varsayılan olarak Windows Server'da güvenlik olay günlükleri genellikle 20 MB ile sınırlıdır ve bu, yoğun bir ortamda birkaç gün içinde dolup üzerine yazılabilir. AFN Teknoloji olarak bu tür ortamlarda log boyutunu artırıp merkezi log toplama yapısına (ShamashAI SIEM entegrasyonu ile) geçiş öneriyoruz; bu sayede minimum 12 ay geriye dönük olay analizi yapılabilir hâle geliyor.
Microsoft, Veeam ve VMware iş ortaklıklarımız sayesinde AD ile entegre çalışan yedekleme ve sanallaştırma katmanlarını da bu denetimlere dahil ediyoruz. Domain controller'ların sistem durumu yedeklemesi (System State Backup) genellikle ihmal edilen bir konu; denetimlerimizde her 4 müşteriden 1'inde sistem durumu yedeğinin hiç alınmadığını veya son yedeğin 6 aydan eski olduğunu görüyoruz. Bu, felaket kurtarma senaryolarında domain'in tamamen kaybedilmesi riski taşır.
Sonuç: Proaktif Denetim, Reaktif Krizden Daha Ucuzdur
Active Directory denetimi, tek seferlik bir kontrol listesi değil, sürekli bir yönetim disiplinidir. Kullanılmayan hesapların temizlenmesi, yetki matrisinin gözden geçirilmesi, parola politikalarının güçlendirilmesi ve olay kayıtlarının merkezi olarak izlenmesi, saldırı yüzeyini önemli ölçüde küçültür. AFN Teknoloji olarak, kurumların AD ortamlarını yalnızca "çalışıyor mu" sorusuyla değil, "güvenli mi ve denetlenebilir mi" sorusuyla değerlendirmesini öneriyoruz.
Active Directory ortamınızda kaç hayalet hesap, kaç fazla yetkili kullanıcı ve kaç güncellenmemiş politika olduğunu bilmiyorsanız, bunu öğrenmenin zamanı geldi. AFN Teknoloji olarak sunduğumuz ücretsiz AFN RiskScan taramasıyla, AD ortamınızdaki kritik güvenlik açıklarını, yetki fazlalıklarını ve uyumluluk boşluklarını detaylı bir raporla önünüze koyuyoruz. Talebinizi https://afnteknoloji.com/iletisim adresinden iletebilir, ekibimizden 24 saat içinde geri dönüş alabilirsiniz.