Active Directory'deki Bir Güvenlik Açığı: Alex'in Anlatımı

 Active Directory'deki Bir Güvenlik Açığı: Alex'in Anlatımı

    Bir siber güvenlik uzmanı olarak, sistemler hakkında derin bir anlayış ve etkili bir şekilde istismar etmek için stratejik bir yaklaşım gerektiren karmaşık güvenlik açıklarıyla sıklıkla karşılaşıyorum. Bu deneyimlerden biri, bir kuruluşun Active Directory (AD) ortamındaki karmaşık bir güvenlik açığı zincirini istismar etmeyi içeriyordu. Bu vaka yalnızca teknik becerilerimi test etmekle kalmadı, aynı zamanda kurumsal ortamlarda güvenlik hijyeninin kritik önemini de vurguladı.

Arka plan

    Hedef, standart güvenlik önlemlerini uygulayan ancak Active Directory kurulumuyla ilişkili riskleri yeterince ele almayan orta ölçekli bir finansal hizmetler firmasıydı. Kuruluş, kimlik yönetimi ve erişim kontrolü için büyük ölçüde AD'ye güveniyordu ve bu da onu saldırganlar için birincil hedef haline getiriyordu. Katılımım, AD ortamının olası iç ve dış tehditlere karşı dayanıklılığını değerlendirmeyi amaçlıyordu.

Keşif Aşaması

Herhangi bir penetrasyon testindeki ilk adım keşiftir. Hedef ortam hakkında bilgi toplayarak başladım:

• Ağ Eşlemesi : Nmap gibi araçları kullanarak, canlı ana bilgisayarları, açık portları ve bu portlarda çalışan hizmetleri belirlemek için ağı taradım. Bu ilk tarama, Windows Server'ın güncel olmayan sürümlerini çalıştıran ve bilinen güvenlik açıklarını barındırabilecek birkaç sunucuyu ortaya çıkardı.
• Kullanıcı Sayımı : AD içindeki kullanıcılar ve gruplar arasındaki ilişkileri ve izinleri haritalamak için BloodHound gibi araçlar kullandım. Bu araç, daha sonra istismar edilebilecek aşırı ayrıcalıklı hesaplara ilişkin içgörüler sağladı.

Güvenlik Açıklarını Belirleme

Keşfim sırasında birkaç önemli güvenlik açığı tespit ettim:

1. Aşırı Ayrıcalıklı Hesaplar : Birden fazla hizmet hesabına aşırı izinler verildiğini ve bu izinlerin, yürütmeleri mümkün olmaması gereken idari görevleri gerçekleştirmelerine olanak sağladığını keşfettim. Örneğin, bir hizmet hesabının Grup İlkesi Nesnelerini (GPO'lar) değiştirme hakları vardı ve bu, daha fazla istismar için kullanılabilirdi.
2. LLMNR ve NetBIOS İsim Çözümlemesi : Kuruluş, uygun güvenlik kontrolleri olmadan LLMNR ve NetBIOS İsim Hizmetini etkinleştirdi. Bu protokoller, kimlik bilgilerinin sahtecilik teknikleri aracılığıyla yakalanması için kullanılabilir.
3. Zayıf Parola Politikaları : Kullanıcı hesaplarının incelenmesi, birkaç hesabın zayıf parolalar veya varsayılan kimlik bilgileri kullandığını ve bu nedenle kaba kuvvet saldırılarına karşı savunmasız olduğunu gösterdi.

Sömürü Aşaması

Elimdeki bu bilgilerle, tespit edilen güvenlik açıklarını kullanmaya başladım:

1. Sahtecilik Yoluyla Kimlik Bilgisi Hasadı :
   • LLMNR ve NetBIOS'taki zayıflıkları kullanarak, ad çözümleme sorgularına sahte yanıtlarla yanıt veren bir sahte sunucu kurdum. Bunu yaparak, birkaç kullanıcıyı meşru sunucular yerine makinemde kimlik doğrulaması yapmaya kandırdım.
   • Bu yöntem, yöneticilere ve servis hesaplarına ait olanlar da dahil olmak üzere çeşitli kullanıcı hesaplarına ait NTLM karma değerlerini yakalamama olanak sağladı.
2. Kimlik Bilgisi Aktarım Saldırısı :
   • Yakalanan NTLM karma değerleri elimdeyken, NTLM kimlik doğrulama isteklerini ağdaki diğer sistemlere iletmek için güçlü bir araç olan 'ı kullandım.NTLMRelayX
   • SMB imzalama özelliği olmayan savunmasız bir sunucuyu hedef alarak, ele geçirilen kimlik bilgilerini başarıyla ileterek hassas sistemlere yetkisiz erişim sağladım.
3. Ayrıcalık Yükseltmesi :
   • Servis hesabı kimlik bilgileriyle erişim sağladıktan sonra, ağ üzerinde yatay olarak hareket etmek için komutları çalıştırdım .PsExec
   • Kritik uygulamaları ve veritabanlarını barındıran sunucuları hedef aldım ve hassas verilere erişmek için hizmet hesabının yükseltilmiş ayrıcalıklarından yararlandım.
4. Etki Alanı Denetleyicisi Tehlikesi :
   • Nihai hedefim etki alanı denetleyicisini (DC) tehlikeye atmaktı. gibi araçları kullanarak , yönetici haklarına sahip bir sunucuya eriştikten sonra bellekten düz metin parolaları çıkardım.Mimikatz
   • Bu bilgilerle DC'ye eriştim ve etki alanındaki tüm kullanıcı hesaplarını ve parola karmalarını içeren NTDS.DIT ​​dosyasının yedeğini oluşturma işlemini gerçekleştirdim.ntdsutil

Sonuç

Başarılı istismar tam alan ihlaline yol açtı. Her adımı titizlikle belgeledim, her bir güvenlik açığının nasıl kullanıldığını ayrıntılı olarak anlattım ve bulgularımın kanıtlarını sağladım.

Öğrenilen Dersler

Bu etkileşim hem benim hem de kuruluş için birçok önemli dersi ortaya koydu:

• En Az Ayrıcalığın Önemi : Hiçbir hesabın gereğinden fazla ayrıcalığa sahip olmamasını sağlamak için kullanıcı izinlerinin düzenli olarak denetlenmesi önemlidir.
• Protokol Güvenliği : LLMNR ve NBNS gibi gereksiz protokolleri devre dışı bırakmak, kimlik bilgisi hırsızlığına bağlı saldırı yüzeylerini önemli ölçüde azaltabilir.
• Parola Hijyeni : Güçlü parola politikalarının uygulanması ve parolanın düzenli olarak değiştirilmesi, zayıf veya varsayılan kimlik bilgileriyle ilişkili riskleri azaltabilir.
• Sürekli İzleme : Kuruluşlar, kimlik bilgisi hırsızlığı veya ayrıcalık yükseltme girişimlerini gösteren olağandışı davranışları tespit edebilen sürekli izleme çözümlerine yatırım yapmalıdır.

Çözüm

    Bu karmaşık güvenlik açığı zincirini bir Active Directory ortamında kullanmak yalnızca teknik olarak zorlayıcı olmakla kalmayıp aynı zamanda kurumsal risk faktörlerini anlamak açısından da aydınlatıcıydı. Bu tür deneyimler, proaktif güvenlik önlemlerinin gelişen siber tehditlere karşı savunmada hayati önem taşıdığına olan inancımı güçlendiriyor. Siber güvenlik uzmanları olarak rolümüz yalnızca güvenlik açıklarını bulmak değil, aynı zamanda kuruluşları karmaşık saldırılara dayanabilecek sağlam güvenlik uygulamalarını sürdürme konusunda eğitmektir.