Active Directory Neden Hâlâ Kurumsal BT'nin Kalbi?
Bulut geçişleri, Azure AD entegrasyonları ve SaaS uygulamaların yaygınlaşmasıyla birlikte "Active Directory eski teknoloji, önemi azaldı" algısı yerleşti. Oysa gerçek tablo bunun tam tersi. 2008'den beri İstanbul'da kurumsal BT desteği verdiğimiz süreçte gördüğümüz 500+ müşteri profilinin neredeyse tamamında kimlik doğrulama, yetkilendirme ve grup politikaları hâlâ on-premise Active Directory üzerinden yönetiliyor. Hibrit ortamlarda bile Azure AD Connect ile senkronize edilen bir on-prem AD, tüm kimlik altyapısının çekirdeğini oluşturuyor.
Bir domain controller'a erişim sağlayan saldırgan, teorik olarak tüm organizasyonun kimlik altyapısını ele geçirebilir. Bu yüzden AD, güvenlik mimarisinde "Tier 0" olarak sınıflandırılır — yani en kritik, en az dokunulması gereken, en sıkı izlenmesi gereken katman. Ancak pratikte çoğu şirkette AD, kurulduğu günden bu yana ciddi bir denetimden geçmemiş, organik olarak büyümüş ve karmaşıklaşmış bir yapı hâline gelmiş durumda.
Denetimlerde Sık Karşılaştığımız Tablo
AFN Teknoloji ekiplerinin gerçekleştirdiği AD sağlık taramalarında karşılaştığımız bulgular genellikle şu başlıklarda toplanıyor:
**Hareketsiz ve gereksiz hesaplar:** Denetlediğimiz ortamların ortalamasında, 90 günden uzun süredir oturum açmamış hesapların toplam kullanıcı hesaplarının %15-20'sine denk geldiğini görüyoruz. Bu hesapların önemli bir kısmı işten ayrılmış personele, stajyerlere veya artık kullanılmayan servis hesaplarına ait. Her aktif ama izlenmeyen hesap, saldırı yüzeyi anlamına gelir.
**Aşırı yetkilendirilmiş gruplar:** Domain Admins ve Enterprise Admins gruplarında, gerçekte o yetkiye ihtiyaç duyan kişi sayısının 3-4 katı üye bulunması yaygın bir bulgu. Bir müşterimizde 6 kişilik BT ekibine karşılık Domain Admins grubunda 19 hesap kayıtlıydı; bunların 11'i eski proje ekipleri ve entegratör firmalara aitti ve hiçbiri devre dışı bırakılmamıştı.
**Zayıf parola politikaları ve LAPS eksikliği:** Yerel yönetici parolalarının domain genelinde aynı olduğu, LAPS (Local Administrator Password Solution) uygulanmadığı ortamlarda tek bir endpoint'in ele geçirilmesi, lateral movement ile tüm ağa yayılabiliyor.
**GPO şişkinliği:** Yıllar içinde biriken, kimin oluşturduğu bilinmeyen, birbiriyle çakışan yüzlerce Group Policy Object. Denetlediğimiz bir kurumsal müşteride 340'tan fazla GPO'nun sadece 60 kadarı gerçekten aktif olarak etki ediyordu; kalanı gereksiz karmaşıklık ve olası çakışma riski taşıyordu.
**Kerberoasting ve DCSync riskleri:** SPN (Service Principal Name) atanmış servis hesaplarının zayıf parolalarla korunması, Mimikatz benzeri araçlarla ticket çalma saldırılarına (Kerberoasting) açık kapı bırakıyor. Benzer şekilde, Replicating Directory Changes izinlerinin fazladan verilmesi DCSync saldırılarına zemin hazırlıyor.
AFN Teknoloji'nin AD Denetim ve Yönetim Yaklaşımı
AFN Teknoloji olarak Active Directory hizmetimizi tek seferlik bir "temizlik" değil, sürekli bir yönetişim döngüsü olarak kurguluyoruz. Süreç üç aşamadan oluşuyor: keşif, sıkılaştırma (hardening) ve sürekli izleme.
Keşif aşamasında domain controller'lardan güvenlik olay günlükleri, yetkilendirme ağacı, GPO envanteri ve trust ilişkileri çıkarılıyor. Bu aşamada Microsoft'un kendi araçları (Active Directory Users and Computers, ADSI Edit, PowerShell modülleri) ile birlikte, bulguları görsel risk skorlarına dönüştüren kendi metodolojimizi kullanıyoruz. Hardening aşamasında ise gereksiz hesaplar devre dışı bırakılıyor, ayrıcalıklı gruplar sadeleştiriliyor, Fine-Grained Password Policy uygulanarak servis hesaplarına farklı ve daha güçlü parola kuralları getiriliyor, LAPS devreye alınıyor ve Tier modeli (Tier 0/1/2) çalışan admin hesaplarına uygulanıyor.
AFN Teknoloji olarak bu çalışmalarda Microsoft iş ortaklığımızın verdiği erken erişim ve teknik destek kanallarından doğrudan faydalanıyoruz. Özellikle Windows Server üzerindeki güvenlik güncellemeleri, Defender for Identity entegrasyonu ve hibrit kimlik senaryolarında Microsoft'un resmi mühendislik desteğine ulaşabilmemiz, denetim sürecini hem hızlandırıyor hem de bulguların doğruluğunu artırıyor.
ShamashAI ile Sürekli İzleme, AFN RiskScan ile Periyodik Tarama
Bir AD denetiminin en büyük zayıflığı, "anlık fotoğraf" olmasıdır. Denetim yapıldığı gün her şey temiz görünse de, üç ay sonra yeni bir servis hesabı yanlış yetkiyle oluşturulabilir, GPO'lar yeniden şişebilir. Bu yüzden AFN Teknoloji olarak AD güvenliğini kendi geliştirdiğimiz iki ürünle sürekli hâle getiriyoruz.
ShamashAI, IT izleme ve SIEM platformumuz olarak domain controller olay günlüklerini (özellikle 4624, 4625, 4672, 4768, 4769 event ID'lerini) gerçek zamanlı topluyor; anormal oturum açma davranışlarını, olağan dışı saatlerde yapılan Domain Admin girişlerini ve ardışık başarısız kimlik doğrulama denemelerini otomatik olarak işaretliyor. Bir Kerberoasting girişiminde tipik olarak çok sayıda 4769 (Kerberos Service Ticket Request) olayının kısa sürede tek bir kaynaktan geldiğini görürsünüz; ShamashAI bu deseni tanıyıp SOC ekibimize anında bildirim gönderiyor.
AFN RiskScan tarafında ise durum daha periyodik ve daha geniş kapsamlı: siber risk tarama ürünümüz, AD yapısını da içine alan kurumsal ağ taramalarında zayıf parola politikalarını, açık SMB paylaşımlarını, güncel olmayan domain controller'ları ve fazladan yetki verilmiş hesapları tespit edip önceliklendirilmiş bir risk raporu üretiyor. Bu raporlar, teknik ekip için aksiyon listesi, yönetim için ise anlaşılır bir risk skoru sunuyor.
Hibrit Ortamlarda Azure AD ve Microsoft İş Ortaklığı
Bugün müşterilerimizin büyük bölümü hibrit kimlik yapısında çalışıyor: on-prem AD, Azure AD Connect ile Microsoft Entra ID'ye (eski adıyla Azure AD) senkronize ediliyor. Bu senaryoda risk sadece domain controller'da değil, senkronizasyon hesabının yetkilerinde de yaşanıyor. Azure AD Connect servis hesabının ele geçirilmesi, hem on-prem hem bulut kimliklerini aynı anda tehlikeye atabilir.
AFN Teknoloji olarak bu tür hibrit denetimlerde, Microsoft Entra ID taraflı koşullu erişim politikalarını, MFA kapsama oranını ve senkronizasyon hesabı izinlerini de değerlendirme kapsamına alıyoruz. Bir müşterimizde koşullu erişim politikaları sadece pilot bir grup için aktifti; genel kullanıcı tabanının %70'i MFA'sız bulut erişimine sahipti. Bu tür bulgular, tek başına on-prem AD denetiminin yetersiz kalacağını, kimlik yönetiminin uçtan uca ele alınması gerektiğini gösteriyor.
Sonuç: AD Güvenliği Sürekli Bir Sorumluluktur
Active Directory, kurulduktan sonra "bir kere yapılıp unutulacak" bir sistem değildir. Personel değişimi, yeni uygulama entegrasyonları ve büyüyen GPO havuzu, zamanla en iyi tasarlanmış AD yapısını dahi riskli bir hâle getirebilir. Düzenli denetim, sıkılaştırma ve sürekli izleme üçlüsü olmadan, bir organizasyonun kimlik altyapısı zamanla en zayıf halkaya dönüşür.
Kendi Active Directory yapınızda kaç hareketsiz hesap, kaç fazladan yetkilendirilmiş kullanıcı ve kaç risk taşıyan GPO olduğunu bilmek ister misiniz? AFN Teknoloji olarak sunduğumuz ücretsiz AFN RiskScan taramasıyla ortamınızın gerçek risk tablosunu somut verilerle görebilirsiniz. Detaylı bilgi ve ücretsiz tarama talebi için https://afnteknoloji.com/iletisim adresinden bizimle iletişime geçin.