Etki Alanı Denetleyicilerinin Güvenliğini Sağlama: En İyi Uygulamalar ve İpuçları
Güvenliği ihlal edilmiş bir etki alanı denetleyicisi, tüm Active Directory'yi (AD) riske sokar. Bunun arkasındaki mantık basittir; bir saldırgan Etki Alanı Denetleyicisine erişim sağladığında, Active Directory etki alanıyla ilgili her şeye erişebilecek ve bunları değiştirebilecektir.
Etki Alanı Denetleyicisi nedir?
Etki Alanı Denetleyicisi (DC), Active Directory Etki Alanı Hizmetlerini (AD DS) barındıran Windows Sunucu rolüdür. Active Directory aslında ortamda kimlik ve erişim izinleri sağlayan kullanıcıları, bilgisayarları ve diğer kaynakları içeren bir veritabanıdır.
Etki Alanı Denetleyicileri, kullanıcılar, kimlik doğrulama bilgileri ve kurumsal güvenlik politikaları dahil olmak üzere etki alanları için dizin hizmeti bilgilerini kopyalar.
Etki Alanı Denetleyicisine Yönelik Olası Tehditler
Etki Alanı Denetleyicilerine erişimi olan bir bilgisayar korsanı şunları yapabilir:
- AD DS veritabanına zarar vermek
- güvenlik veritabanına ve içindeki bilgilere erişim
- güvenlik yapılandırması bilgilerini sızdırmak
- etki alanı kaynaklarına erişmek için güvenlik yapılandırmalarını değiştirin
- bilgisayar/kullanıcı hesabı bilgilerini ve şifrelerini çalmak
- bilgisayarlar, kullanıcılar ve kuruluş birimleri üzerinde kontrol sahibi olun
Etki Alanı Denetleyicilerinin Güvenliğini Sağlama İçin En İyi Uygulamalar
İş açısından kritik bir ağı tehlikeye atmak isteyen saldırganlar genellikle kurumsal ağdaki etki alanı denetleyicilerini bulur ve saldırır, çünkü Active Directory, içerdiği kimlik bilgilerinde 'krallığın anahtarlarını' içerir. Bu, tüm Active Directory'yi güvenilmez ve öngörülemez hale getirir; bu nedenle AD yöneticileri Etki Alanı Denetleyicilerine karşı çok korumacıdır. Etki Alanı Denetleyicilerini korumaya yönelik bazı ipuçları:
Etki Alanı Denetleyicilerini Fiziksel Olarak Güvenli Hale Getirin
Etki Alanı Denetleyicileri, fiziksel ana bilgisayarlarda mı yoksa sanal makinelerde mi çalıştıklarına bakılmaksızın ortamdaki diğer ana bilgisayarlardan ve sanal makinelerden (VM'ler) yalıtılmalıdır. Bu ayırma katmanı, bir saldırganın ortamdaki güvenliği ihlal edilmiş başka bir ana bilgisayardan veya VM'den Etki Alanı Denetleyicilerine geçiş yapmasına karşı korunmaya yardımcı olur.
DC'ler fiziksel güvenliği zayıf olan uzak veya şube ofislerinde bulunuyorsa, bir seçenek Active Directory'nin salt okunur bir kopyasını sağlayan salt okunur bir Etki Alanı Denetleyicisi kullanmaktır. Ayrıca ortamdaki DC'lerin sürücülerinin şifrelenmesi, bir saldırıya karşı hareketsiz durumdayken şifreleme koruması sağlar.
Etki Alanı Denetleyicilerini Yönetmek için Bir Mekanizma Uygulama
Etki Alanı Denetleyicileri için özel bir yönetim politikası olmalıdır. Domain Administrators grubu ve Enterprise Administrators grubuna üyelik, minimum kullanıcı sayısıyla sınırlı olacak şekilde çok sınırlı olmalıdır. Ayrıca Domain Controller üzerinde yapılan tüm faaliyetlerin düzenli olarak takip edilmesi ve denetlenmesi gerekmektedir.
Etki Alanı Denetleyicilerine Ağ Erişimini Sınırlama
Etki Alanı Denetleyicilerine ağ erişimi son derece sınırlı olmalıdır. Saldırı yüzeyini azaltmak için yalnızca güvenilir IP aralıkları ve cihazların etki alanı denetleyicilerine erişimi olmalıdır. Ayrıca, yalnızca Etki Alanı veya Özel güvenlik duvarı profillerini içerecek şekilde sınırlandırılmalı ve misafir veya genel trafiğe izin verilmemelidir.
İnternet Erişimini Engelle
Etki Alanı Denetleyicisinde herhangi bir web tarayıcısının kullanılmaması önemle tavsiye edilir. Genellikle Etki Alanı Denetleyicilerine kolaylık sağlamak amacıyla İnternet erişimi verilir, ancak bu önemli bir güvenlik açığıdır.
Bir saldırgan, bir etki alanı denetleyicisinden İnternet'te gezinirken, kimlik bilgilerini çalarak ve ayrıcalık yükseltme saldırıları gerçekleştirerek tüm ortamı tehlikeye atmak için kolay bir yola sahiptir.
Windows Server'ın En Güncel Sürümünü Kullanın
Tüm Etki Alanı Denetleyicileri, kuruluşunuzda desteklenen en yeni Windows Server sürümünde çalıştırılmalıdır. Etki Alanı Denetleyicisini yükseltmek yerine sıfırdan yükleyin (işletim sistemi veya Sunucu rolü değişikliğinden sonra).
Etkili Güvenlik Önlemlerini Uygulayın
Dikkatsiz güvenlik yapılandırmaları genellikle siber suçlular tarafından bilgisayar sistemlerine erişim sağlamak için kullanılır; bu nedenle Etki Alanı Denetleyicilerini korumak için bir güvenlik politikası uygulamak ve yeterli güvenlik önlemlerini yapılandırmak çok önemlidir. Güvenlik politikaları GPO'lar aracılığıyla uygulanabilir. Varsayılan Etki Alanı Denetleyicisi ilkesi değiştirilebilir veya Etki Alanı Denetleyicisinin Organizasyon Biriminde yeni bir politika oluşturulup uygulanabilir. Bu amaçla çeşitli Microsoft araçları ve Lepide Veri Güvenliği Platformu gibi güvenilir üçüncü taraf araçlar kullanılabilir.
Etki Alanı Denetleyicilerinde çalıştırılanları sınırlayın
Etki Alanı Denetleyicileri yalnızca işlevleri ve güvenlikleri için gerekli olan uygulamaları ve hizmetleri çalıştırmalıdır. Gereksiz yazılım uygulamalarını engellemek için güvenilir üçüncü taraf uygulamalar kullanılabilir.
Etki Alanı Denetleyicilerini Yedekleme
Etki Alanı Denetleyicileri Windows Server kullanılarak yedeklenmelidir. Windows Server Yedekleme, bir GUI (grafik kullanıcı arayüzü) içerir ve Birim Gölge Kopyası Hizmeti'ni (VSS) kullanarak artımlı yedeklemeler oluşturmanıza olanak tanır. Yedeklenen veriler, Microsoft Hyper-V için kullanılan dosya biçiminin aynısı olan bir Sanal Sabit Disk (VHD) dosyasına kaydedilir.
Active Directory yedeklemesi için Windows Server yedeklemesini kullanmanın avantajları, uygun fiyat, VSS yeteneği ve tüm sistemi veya yalnızca Active Directory bileşenlerini yedekleme yeteneğidir.
Serpintiden Sonra Ne Yapılmalıdır?
Etki Alanı Denetleyicisinin güvenliği ihlal edilirse yapabileceğiniz birkaç şey vardır:
İyi bir yedeklemeden kurtarma: İyi bir yedekleme, Etki Alanı Denetleyicilerine yapılan en kötü saldırılardan sonra bile yöneticinin yüzünde her zaman bir gülümsemeye neden olur. Yedeklemedeki her şeyi (sistem durumu verileri, dosyalar ve uygulamalar) geri yükleyin.
Gelecekte tehlikeye girme olasılığını ortadan kaldırın: DC'nin çökmesine neden olan güvenlik açıklarını bulun ve gelecekte benzer olayların yaşanmaması için bunları düzeltin.