Kurumsal BT altyapısının omurgası olan Active Directory (AD), çoğu şirkette kurulduğu günden itibaren hiç ciddi bir denetimden geçmeden büyümeye devam ediyor. 2008'den beri İstanbul'da verdiğimiz kurumsal BT desteği sürecinde gördüğümüz en çarpıcı gerçek şu: 500+ kurumsal müşterimizin yaklaşık %70'i bize ilk geldiğinde AD ortamında en az bir kritik yapılandırma hatası taşıyordu. Bu hatalar genelde yıllar içinde fark edilmeden birikiyor ve bir gün ciddi bir güvenlik ihlaline dönüşüyor.
Active Directory Neden Siber Saldırıların Ana Hedefi
Microsoft'un kendi tehdit istihbaratı raporlarına göre, kurumsal ağlara yönelik fidye yazılımı saldırılarının büyük bölümü AD üzerinden yanal hareket (lateral movement) yoluyla yayılıyor. Saldırganlar bir kere domain içine sızdığında, zayıf yapılandırılmış Group Policy Object'ler (GPO), aşırı yetkili servis hesapları ve eski Kerberos protokol ayarları üzerinden tüm ağa saniyeler içinde yayılabiliyor.
Bizim projelerimizde en sık rastladığımız üç kritik zafiyet şunlar: birincisi, "Domain Admins" grubunda olması gerekenden 5-10 kat fazla kullanıcı bulunması. İkincisi, SPN (Service Principal Name) tanımlı servis hesaplarında Kerberoasting saldırılarına açık, zayıf parola politikaları. Üçüncüsü ise, işten ayrılan personele ait hesapların aylarca, bazen yıllarca aktif kalması. Bir müşterimizde yaptığımız taramada, 4 yıl önce işten ayrılmış bir IT yöneticisinin hesabının hâlâ Domain Admin yetkisiyle aktif olduğunu tespit ettik.
AFN RiskScan ile AD Zafiyet Taraması Nasıl Çalışır
AFN RiskScan, siber risk tarama ürünümüzün Active Directory modülü, domain controller'lara agent'sız bağlanarak kapsamlı bir yapı analizi yapıyor. Tarama süreci tipik olarak 2-4 saat içinde tamamlanıyor ve şu başlıklarda detaylı rapor üretiyor: yetki devri (delegation) hataları, Kerberoasting ve AS-REP Roasting açıkları, zayıf GPO yapılandırmaları, LDAP sinyalleme (signing) eksiklikleri ve kritik grup üyelikleri.
Raporlama sonrasında her bulgu için CVSS skoruna benzer bir öncelik derecesi veriyoruz — kritik, yüksek, orta, düşük. Son 12 ayda yaptığımız AD taramalarında ortalama olarak her domain'de 12-18 adet orta-kritik seviye bulgu çıktığını söyleyebiliriz. En çarpıcı örneklerden biri, 1.200 kullanıcılı bir üretim firmasında, "Everyone" grubuna domain genelinde okuma yetkisi veren eski bir GPO ayarıydı — bu ayar yıllardır fark edilmeden duruyordu ve ciddi bir veri sızıntısı riski taşıyordu.
ShamashAI ile Sürekli AD İzleme ve Anomali Tespiti
Tek seferlik bir denetim yeterli değil çünkü AD ortamları günlük olarak değişiyor — yeni kullanıcılar, yeni gruplar, yeni politikalar. Bu yüzden AFN Teknoloji olarak, nokta denetimin yanında sürekli izleme hizmeti sunuyoruz. ShamashAI, SIEM altyapımız üzerinden Windows Event Log'ları gerçek zamanlı topluyor ve AD'ye özgü şüpheli davranışları tespit ediyor.
Örneğin, normal mesai saatleri dışında (22:00-06:00 arası) bir hesabın Domain Admin grubuna eklenmesi, kısa sürede çok sayıda başarısız oturum açma denemesi (brute force göstergesi) veya bir kullanıcının aniden çok sayıda SPN sorgusu yapması (Kerberoasting göstergesi) gibi davranışlar otomatik olarak alarm üretiyor ve ekibimize anlık bildirim gidiyor. ShamashAI'nin kural motoru, Microsoft'un MITRE ATT&CK eşleştirmelerine dayanıyor, bu sayede tespit edilen her olay bilinen bir saldırı taktiğine karşılık geliyor.
Hibrit AD Ortamlarında Azure AD Entegrasyonu
Günümüzde çoğu kurum, on-premise AD ile Azure AD'yi (Entra ID) birlikte kullanıyor ve bu hibrit yapı ek bir karmaşıklık katmanı getiriyor. Microsoft'un resmi iş ortağı olarak, AFN Teknoloji bu geçiş süreçlerinde conditional access politikaları, Azure AD Connect senkronizasyon ayarları ve hibrit kimlik doğrulama (pass-through authentication vs. password hash sync) konularında doğrudan destek veriyor.
Tipik bir proje sürecinde, önce mevcut on-premise AD'nin sağlık durumunu çıkarıyoruz, ardından Azure AD tarafındaki MFA kapsamını, Privileged Identity Management (PIM) kullanımını ve conditional access kurallarını değerlendiriyoruz. Birçok müşterimizde Azure AD'ye 500-1000 kullanıcı taşınmış olsa da, MFA kapsamının sadece %40-50 seviyesinde kaldığını görüyoruz — bu da hesap devralma (account takeover) saldırılarına karşı ciddi bir açık bırakıyor.
Denetim Sonrası İyileştirme ve Sürekli Yönetim Süreci
AFN Teknoloji olarak, sadece sorunu tespit etmekle kalmayıp iyileştirme sürecini de yürütüyoruz. Tespit edilen bulgular için önceliklendirilmiş bir aksiyon planı hazırlıyor, kritik olanları 48-72 saat içinde kapatıyor, orta ve düşük seviye bulguları ise 30 günlük bir yol haritasıyla çözüyoruz. VMware ve Veeam iş ortaklığımız sayesinde, AD değişikliklerini yaparken domain controller yedeklerinin de doğru şekilde alındığından ve geri dönüş senaryolarının test edildiğinden emin oluyoruz — çünkü AD üzerinde yapılan bir hatalı değişiklik bazen tüm kimlik doğrulama altyapısını kilitleyebiliyor.
Bu bütünsel yaklaşım sayesinde müşterilerimiz, tek seferlik bir denetimden ziyade sürekli bir güvenlik duruşu kazanıyor. Fortinet güvenlik duvarlarımızla entegre çalışan ShamashAI SIEM sistemi, AD olaylarını ağ trafiği verileriyle ilişkilendirerek saldırı zincirinin erken aşamalarında müdahale şansı veriyor.
Ücretsiz AD Risk Taraması İçin İletişime Geçin
Active Directory ortamınızda kaç kritik zafiyet olduğunu bilmeden kurumsal güvenliğinizden emin olmanız mümkün değil. AFN Teknoloji olarak, size ücretsiz bir AFN RiskScan taraması sunuyoruz — 2-4 saat içinde domain controller'larınızı analiz ediyor, kritik bulguları içeren detaylı bir rapor hazırlıyoruz, hiçbir maliyet veya taahhüt beklemiyoruz. https://afnteknoloji.com/iletisim adresinden bize ulaşın, AD ortamınızın gerçek risk seviyesini birlikte görelim.