En İyi 25 Active Directory Güvenliği En İyi Uygulaması

Bu, çevrimiçi Active Directory Güvenliği En İyi Uygulamalarının en kapsamlı listesidir.

Bu kılavuzda Active Directory Güvenliğine yönelik önerilerimi ve Windows etki alanı ortamınızın güvenliğini nasıl artırabileceğinizi paylaşacağım.

Güvenliği artırmak için bir servet harcamanıza gerek yok, bu kılavuzda size göstereceğim pek çok ücretsiz ve düşük maliyetli çözüm var.

Bu kılavuzda ele alınan AD Güvenliği konuları:

1. Etki Alanı Yöneticilerinin ve diğer Ayrıcalıklı Grupların kullanımını sınırlayın
2. En az iki hesap kullanın
3. Etki alanı yöneticisi hesabının güvenliğini sağlayın
4. Yerel yönetici hesabını devre dışı bırakın (tüm bilgisayarlarda)
5. Turları Kullan
6. Güvenli bir yönetici iş istasyonu (SAW) kullanın
7. Grup ilkesiyle denetim ilkesi ayarlarını etkinleştirin
8. Uzlaşma belirtilerini izleyin
9. Şifre karmaşıklığı berbattır (parola cümleleri kullanın)
10. Açıklayıcı güvenlik grubu adlarını kullanın
11. Kullanılmayan kullanıcı ve bilgisayar hesaplarını bulun ve kaldırın
12. Kullanıcıları Yerel Yönetici Grubundan Kaldırma
13. DC'lere ek yazılım veya sunucu rolleri yüklemeyin
14. Yama yönetimi ve güvenlik açığı taraması
15. Kötü amaçlı etki alanlarını engellemek için güvenli DNS hizmetlerini kullanın
16. Desteklenen işletim sistemlerini çalıştırın
17. Office 365 ve uzaktan erişim için iki faktör kullanın
18. Bağlı cihazlar için DHCP günlüklerini izleyin
19. Kötü amaçlı ağ etkinliklerine karşı DNS günlüklerini izleyin
20. En son ADFS'yi ve Azure güvenlik özelliklerini kullanın
21. Office 365 güvenli puanını kullanın
22. Bir kurtarma planınız olsun
23. Active Directory'ye belge delegasyonu
24. Hizmet hesaplarını kilitleme
25. Güvenlik temellerini ve kıyaslamalarını kullanın
26. Active Directory Güvenlik Kontrol Listesi

Active Directory'nin Güvenliğinin Sağlanması Neden Önemlidir?

Birçok kuruluşta Active Directory, ağa erişimi doğrulayan ve yetkilendiren merkezi sistemdir. Bulut veya hibrit ortamlarda bile kaynaklara erişim sağlayan merkezi sistem olabilir. Ağdaki bir belgeye (OneDrive) erişirken, ağ yazıcısında yazdırırken, internete erişirken, e-postanızı kontrol ederken vb. bu kaynakların tümü size erişim izni vermek için genellikle Active Directory'den geçer.

Active Directory uzun süredir ortalıkta dolaşıyor ve yıllar geçtikçe kötü niyetli aktörler sistemdeki güvenlik açıklarını ve bunları kullanmanın yollarını keşfetti. Güvenlik açıklarına ek olarak, bilgisayar korsanlarının kullanıcı kimlik bilgilerini çalması veya elde etmesi çok kolay hale gelir ve bu da onların verilerinize erişmesini sağlar. Bilgisayarınıza veya oturum açma bilgilerinize erişebilirlerse, muhtemelen Active Directory'ye Tam erişim elde edebilir ve ağınıza sahip olabilirler.

Şimdi Active Directory Güvenliği En İyi Uygulamaları listesine dalalım.

1. Etki Alanı Yöneticilerinin ve diğer Ayrıcalıklı Grupların kullanımını sınırlayın

Etki Alanı Yöneticilerinin ve diğer ayrıcalıklı grupların üyeleri çok güçlüdür. Etki alanının tamamına, tüm sistemlere, tüm verilere, bilgisayarlara, dizüstü bilgisayarlara vb. erişebilirler.

Domain Admins grubunda günlük kullanıcı hesaplarının olmaması önerilir; tek istisna, varsayılan Etki Alanı Yöneticisi hesabıdır.

Etki Alanı Yöneticileri, kötü adamların bulmaya çalıştığı şeydir.

Microsoft, DA erişimi gerektiğinde hesabı geçici olarak DA grubuna yerleştirmenizi önerir. İş bittiğinde hesabı DA grubundan kaldırmalısınız.

Bu işlem ayrıca Kurumsal Yöneticiler, Yedekleme Yöneticileri ve Şema Yöneticisi grupları için de önerilir.

Problem ne?

Saldırganların kullanıcı kimlik bilgilerini ele geçirmesi veya ele geçirmesi artık çok kolay hale geldi.

Saldırganlar bir sisteme erişim sağladıktan sonra, daha yüksek izinler (etki alanı yöneticileri) aramak için ağ içinde yanal olarak hareket edebilirler.

Bunu yapmanın bir yöntemine karmanın iletilmesi denir.

Karmayı iletmek, saldırganın uzaktaki sistemlerde kimlik doğrulaması yapmak için normal parola yerine parola karmasını kullanmasına olanak tanır. Bu karmalar son kullanıcı bilgisayarlarından elde edilebilir.

Korkunç değil mi?

Bir saldırganın ağın güvenliğini aşması için tek gereken, güvenliği ihlal edilmiş bir bilgisayar veya bir kullanıcı hesabıdır.

Domain Admins grubunu temizlemek, ağ güvenliğinizi artırmanın harika bir ilk adımıdır. Bu, saldırganı meydan okurcasına yavaşlatabilir.

Hesapları DA grubundan kaldırma işlemi kolay değildir. Yakın zamanda bu süreçten geçtiğim için ilk elden biliyorum. DA grubunda çok fazla hesaba sahip olmak çok yaygındır.

İşler bozulacak, bu yüzden hazırlıklı olun.

2. İki veya daha fazla Hesap kullanın (Normal ve Yönetici Hesabı)

Yerel yönetici olan veya ayrıcalıklı erişime (Alan Yöneticisi) sahip bir hesapla her gün oturum açmamalısınız.

Bunun yerine, yönetici haklarına sahip olmayan normal bir hesap ve yalnızca yönetim görevleri için kullanılan ayrıcalıklı bir hesap olmak üzere iki hesap oluşturun.

ANCAK

İkincil hesabınızı en azından kalıcı olarak Domain Admins grubuna koymayın.

Bunun yerine en az ayrıcalıklı yönetim modelini izleyin. Temel olarak bu, tüm kullanıcıların işlerini tamamlamak için minimum izinlere sahip bir hesapla oturum açması gerektiği anlamına gelir.

İkincil hesabınızı Domain Admins grubuna eklemek için diğer makaleleri ve forumları okuyabilirsiniz.

Bu Microsoft'un en iyi uygulaması değildir ve buna karşı tavsiyede bulunacağım. Yine geçicidir ama iş biter bitmez kaldırılması gerekir.

Bununla birlikte Microsoft, Etki Alanı yönetici haklarından kurtulmayı kolaylaştırmıyor. DNS, DHCP, grup ilkesi vb. gibi tüm sistemlere hakları devretmenin kolay bir süreci yoktur. Çoğu kişinin Etki Alanı Yönetici haklarına sahip olmasının nedeni genellikle budur.

E-postayı kontrol etmek, internette gezinmek, bilet sistemi vb. gibi günlük görevler için yönetici olmayan normal bir hesap kullanmalısınız. Ayrıcalıklı hesabı yalnızca Active Directory'de kullanıcı oluşturma, sunucuda oturum açma, DNS kaydı ekleme vb. yönetici görevlerini gerçekleştirmeniz gerektiğinde kullanırsınız.

Şu iki senaryoya bakın.

Senaryo 1 - Etki Alanı Haklarına Sahip BT Personeli

Steve ayrıcalıklı bir hesapla bilgisayarına giriş yapar, e-postasını kontrol eder ve yanlışlıkla bir virüs indirir. Steve DA grubunun bir üyesi olduğundan virüs, bilgisayarının, tüm sunucularının, tüm dosyalarının ve tüm etki alanının tüm haklarına sahiptir. Bu ciddi hasara neden olabilir ve kritik sistemlerin çökmesine neden olabilir.

Şimdi aynı senaryoyu ele alalım ancak bu kez Steve normal yönetici olmayan hesabıyla oturum açmıştır.

Senaryo 2 - Normal Haklara Sahip BT Personeli

Steve e-postasını kontrol eder ve yanlışlıkla bir virüs indirir. Virüsün bilgisayara sınırlı erişimi vardır ve etki alanına veya diğer sunuculara erişimi yoktur. Bu, minimum hasara neden olacak ve virüsün ağ üzerinden yayılmasını önleyecektir.

Sadece normal bir hesap kullanarak güvenliği artırabilir ve ciddi hasara yol açmaktan kaçınabilirsiniz.

İkincil bir yönetici hesabına devredilebilecek bazı genel görevleri burada bulabilirsiniz.

• Active Directory Kullanıcıları ve Bilgisayarlarına İlişkin Haklar
• DNS
• DHCP
• Sunucularda yerel yönetici hakları
• Grup ilkesi
• Değişme
• İş istasyonlarında yerel yönetici hakları
• Vsphere veya Hyper-v Yönetimi

Bazı kuruluşlar ikiden fazla hesap kullanır ve katmanlı bir yaklaşım kullanır. Bu kesinlikle daha güvenlidir ancak bazıları için rahatsızlık yaratabilir.

• Normal hesap
• Sunucu Yönetimi Hesabı
• Ağ Yönetimi Hesabı
• İş İstasyonu Yönetimi Hesabı

3. Etki Alanı Yöneticisi Hesabını Güvenceye Alın

Her etki alanı bir Yönetici hesabı içerir; bu hesap varsayılan olarak Etki Alanı Yöneticileri grubunun bir üyesidir.

Yerleşik Yönetici hesabı yalnızca etki alanı kurulumu ve olağanüstü durum kurtarma (Active Directory'nin geri yüklenmesi) için kullanılmalıdır.

Sunuculara veya Active Directory'ye yönetici düzeyinde erişime ihtiyaç duyan herkes kendi bireysel hesabını kullanmalıdır.

Hiç kimse Etki Alanı Yöneticisi hesabının şifresini bilmemelidir. 20'den fazla karakterden oluşan gerçekten uzun bir şifre belirleyin ve bunu bir kasaya kilitleyin. Tekrar ediyorum, buna ihtiyaç duyulan tek zaman kurtarma amaçlıdır.

Ayrıca Microsoft'un yerleşik Yönetici Hesabının güvenliğini sağlamaya yönelik çeşitli önerileri vardır. Bu ayarlar grup ilkesine uygulanabilir ve tüm bilgisayarlara uygulanabilir.

• Hesabın etkinleştirilmesi hassastır ve devredilemez.
• Etkileşimli oturum açma için akıllı kartın etkinleştirilmesi gerekir
• Ağ üzerinden bu bilgisayara erişimi reddet
• Toplu iş olarak oturum açmayı reddet
• Hizmet olarak oturum açmayı reddet
• RDP aracılığıyla oturum açmayı reddet

Etki Alanı Yöneticisi hesabının güvenliğini sağlamaya ilişkin daha fazla ayrıntı için Active Directory'de Yerleşik Yönetici Hesaplarının Güvenliğini Sağlama başlıklı bu Microsoft makalesine bakın.

4. Yerel Yönetici Hesabını devre dışı bırakın (tüm bilgisayarlarda)

Yerel yönetici hesabı, Etki Alanı ortamlarında iyi bilinen bir hesaptır ve gerekli değildir.

Gerekli değil, bu doğru mu?

Evet

Görevleri tamamlamak için gerekli haklara sahip bireysel bir hesap kullanıyor olmalısınız.

Yerel yönetici hesabındaki sorun nedir?

İki Sorun.

1. Tanınmış bir hesaptır, adını değiştirseniz bile SID aynıdır ve saldırganlar tarafından iyi bilinmektedir.
2. Genellikle etki alanındaki her bilgisayarda aynı parolayla yapılandırılır.

Saldırganların yalnızca bir sistemi tehlikeye atması gerekiyor ve artık etki alanına katılan her bilgisayarda yerel yönetici haklarına sahipler. Daha sonra bu hesabı, alan adı yöneticisi erişimi bulmak amacıyla başka bir sisteme geçmek için kullanabilirler.

Bilgisayarda yönetici görevlerini (yazılım yükleme, dosyaları silme vb.) gerçekleştirmeniz gerekiyorsa bunu yerel yönetici hesabıyla değil, bireysel hesabınızla yapmalısınız.

Hesap devre dışı bırakılsa bile güvenli modda önyükleme yapabilir ve yerel yönetici hesabını kullanabilirsiniz.

Bir yönetici olarak bu en iyi uygulamaların her zaman pratik olmadığını veya büyük sıkıntılara yol açtığını biliyorum.

Ağ kapalıysa veya NIC kartı öldüyse, kartı alan adından çıkarıp yeniden eklemeniz gerekirse ne olur? Bunu aşmanın yolları var ama sizi gerçekten yavaşlatabilir.

Hesabı devre dışı bırakamazsanız burada hesabın güvenliğini sağlamaya yönelik öneriler yer almaktadır. Daha iyi bir alternatif Microsoft LAPS aracını kullanmaktır (Aşağıda 5. ipucunda ele alınmıştır)

• Ağ üzerinden bu bilgisayara erişimi reddet
• Toplu iş olarak oturum açmayı reddet
• Hizmet olarak oturum açmayı reddet
• RDP aracılığıyla oturum açmayı reddet

Daha fazla ayrıntı için aşağıdaki makaleye bakın: Yerel yönetici hesaplarının ve gruplarının güvenliğini sağlama

5. Yerel Yönetici Şifre Çözümünü (LDAPS) Kullanın

Yerel Yönetici Parolası Çözümü (LAPS), tüm bilgisayarlarda yerel yönetici parolasını yönetmek için popüler bir araç haline geliyor.

LAPS, etki alanına katılan bilgisayarların yerel hesap parolalarının yönetimini sağlayan bir Microsoft aracıdır. Her yerel yönetici hesabı için benzersiz bir şifre belirleyecek ve kolay erişim için bunu Active Directory'de saklayacaktır.

Bu, karma saldırıların geçişine ve bilgisayardan bilgisayara yanal harekete karşı hafifletme için en iyi ücretsiz seçeneklerden biridir.

Kuruluşların Windows'u görüntü tabanlı bir sistem kullanarak dağıtması çok yaygındır. Bu, standart bir yapılandırmanın tüm cihazlara dağıtılmasını hızlandırır.

Ancak..

Bu genellikle yerel yönetici hesabının her bilgisayarda aynı olacağı anlamına gelir. Yerel Yönetici hesabı bilgisayardaki her şeyin tam haklarına sahip olduğundan, bunlardan birinin ele geçirilmesi yeterlidir, ardından bilgisayar korsanı tüm sistemlere erişebilir.

LAPS, Active Directory altyapısı üzerine kurulu olduğundan ek sunucu kurulumuna gerek yoktur.

Çözüm, iş istasyonlarındaki tüm yönetim görevlerini gerçekleştirmek için grup ilkesi istemci tarafı uzantısını kullanır. Active Directory 2003 SP1 ve üzeri ile istemci Vista Service Pack 2 ve üzeri sürümlerde desteklenir.

Bir bilgisayarda yerel yönetici hesabını kullanmanız gerekiyorsa, parolayı Active Directory'den alırsınız ve parola o bilgisayara özgü olur.

LAPS kurulumuna ilişkin adım adım talimatlar için Yerel Yönetici Parolası Çözümü (LAPS) Nasıl Kurulur başlıklı bu makaleye bakın.

6. Güvenli Yönetici İş İstasyonu (SAW) kullanın

Güvenli yönetici iş istasyonu, yalnızca ayrıcalıklı hesabınızla yönetim görevlerini gerçekleştirmek için kullanılması gereken özel bir sistemdir.

E-postayı kontrol etmek veya internette gezinmek için kullanılmamalıdır. Aslında… internet erişiminin bile olmaması gerekir.

SAW'da hangi görevleri yapardınız?

• Aktif Dizin yönetimi
• Grup ilkesi
• DNS ve DHCP Sunucularını Yönetme
• Sunucularda yönetici hakları gerektiren herhangi bir görev
• VMware, Hyper-v, Citrix gibi Yönetim Sistemlerine yönetici hakları
• Office 365 Yönetimi

Kaptın bu işi.

Temel olarak, yönetici görevlerini gerçekleştirmek için ayrıcalıklı hesabınızı kullanmanız gerektiğinde, bunu bir SAW'dan yapmalısınız. Günlük kullanımdaki iş istasyonları, karma geçiş, kimlik avı saldırıları, sahte web siteleri, tuş kaydediciler ve daha fazlasından kaynaklanan risklere karşı daha savunmasızdır.

Yükseltilmiş hesabınız için güvenli bir iş istasyonu kullanmak, bu saldırı vektörlerine karşı çok daha fazla koruma sağlar. Saldırılar içeriden ve dışarıdan gelebileceğinden, varsayılan güvenlik duruşunun ihlalini benimsemek en iyisidir.

Sürekli tehditler ve teknolojideki değişiklikler nedeniyle, SAW'ın nasıl konuşlandırılacağına ilişkin metodoloji değişmeye devam ediyor. Durumu daha da kafa karıştırıcı hale getirmek için PAW ve atlama sunucuları da var.

Başlamanıza yardımcı olacak bazı ipuçları:

• Temiz bir işletim sistemi kurulumu kullanın (en son Windows işletim sistemini kullanın)
• Sağlamlaştırıcı güvenlik temel çizgisini uygulayın (Bkz. ipucu#25)
• Tam disk şifrelemesini etkinleştir
• USB bağlantı noktalarını kısıtla
• Windows Güvenlik Duvarını etkinleştirin
• İnterneti engelle
• VM kullanın - Terminal Sunucusu iyi çalışıyor
• Minimum yazılım yüklü
• Erişim için iki faktörlü veya akıllı kart kullanın
• Sistemleri yalnızca SAW'dan gelen bağlantıları kabul edecek şekilde kısıtlayın

İşte bir SAW kullanan tipik iş akışım:

1. E-postaları kontrol etmek ve yeni destek isteklerini görüntülemek için bilgisayarımda normal hesabımla oturum açın.
2. Bazı idari görevlerim varsa, AD grup üyeliğini değiştirme ve kullanıcıyı gerekli AD güvenlik grubuna ekleme haklarına sahip ayrıcalıklı hesabımla SAW'ımda oturum açacağım.

Oldukça basit değil mi?

Zahmetli gibi görünebilir ama aslında bu şekilde daha kullanışlı buluyorum. Ağ kapalıyken uzaktan bağlanabiliyorum ve ihtiyacım olan tüm araçlara sahip bir sunucuya sahibim. Ayrıca bilgisayarımın görüntüsünü yeniden oluşturmam gerekirse tüm destek yazılımlarımı yeniden yükleme konusunda endişelenmeme gerek yok.

Bu konu hakkında daha fazla bilgi için Microsoft'un Ayrıcalıklı erişim cihazları belgelerine bakın.

7. Grup İlkesi ile Denetim Politikası Ayarlarını Etkinleştirin

Aşağıdaki Denetim İlkesi ayarlarının grup ilkesinde yapılandırıldığından ve tüm bilgisayarlara ve sunuculara uygulandığından emin olun.

Bilgisayar Yapılandırması -> İlkeler -Windows Ayarları -> Güvenlik Ayarları -> Gelişmiş Denetim İlkesi Yapılandırması

Hesap Oturum Açma

'Kimlik Bilgisi Doğrulamasını Denetle' seçeneğinin 'Başarı ve Başarısızlık' olarak ayarlandığından emin olun

Hesap Yönetimi

'Uygulama Grubu Yönetimi' denetimi 'Başarı ve Başarısızlık' olarak ayarlandı
'Bilgisayar Hesabı Yönetimi' denetimi 'Başarı ve Başarısızlık' olarak ayarlandı
'Diğer Hesap Yönetimi Olayları' denetimi 'Başarı ve Başarısızlık' olarak ayarlandı< br>'Güvenlik Grubu Yönetimi' denetimi 'Başarı ve Başarısızlık' olarak ayarlandı
'Kullanıcı Hesabı Yönetimi' denetimi 'Başarı ve Başarısızlık' olarak ayarlandı

Detaylı Takip

'PNP Etkinliği' denetimi 'Başarı' olarak ayarlandı
'Süreç Oluşturma' denetimi 'Başarı' olarak ayarlandı

Oturum Açma/Oturumu Kapatma

'Hesap Kilitleme' denetimi 'Başarılı ve Başarısız' olarak ayarlandı
'Grup Üyeliği' denetimi 'Başarılı' olarak ayarlandı
'Oturum Kapatma' denetimi 'Başarılı' olarak ayarlandı
'Oturum Açma' denetimi şu şekilde ayarlandı 'Başarılı ve Başarısız'
Denetim 'Diğer Oturum Açma/Oturum Kapatma Olayları', 'Başarılı ve Başarısız' olarak ayarlandı
'Özel Oturum Açma' Denetimi, 'Başarılı' olarak ayarlandı

Nesne Erişimi

Denetim 'Çıkarılabilir Depolama', 'Başarı ve Başarısızlık' olarak ayarlandı

Politika Değişikliği

Denetim "Denetim Politikası Değişikliği", "Başarılı ve Başarısız" olarak ayarlandı
Denetim "Kimlik Doğrulama Politikası Değişikliği", "Başarılı" olarak ayarlandı
Denetim "Yetkilendirme Politikası Değişikliği", "Başarılı" olarak ayarlandı

Ayrıcalık Kullanımı

Denetim 'Hassas Ayrıcalık Kullanımı', 'Başarı ve Başarısızlık' olarak ayarlandı

Sistem

'IPsec Sürücüsü' Denetimi 'Başarılı ve Başarısız' olarak ayarlandı
Diğer Sistem Olaylarını Denetle' 'Başarılı ve Başarısız' olarak ayarlandı
'Güvenlik Durumu Değişikliği' Denetimi 'Başarılı' olarak ayarlandı
Denetim ' Güvenlik Sistemi Uzantısı', 'Başarılı ve Başarısız' olarak ayarlandı
Denetim 'Sistem Bütünlüğü', 'Başarılı ve Başarısız' olarak ayarlandı

Kötü amaçlı faaliyetler genellikle iş istasyonlarında başlar; tüm sistemleri izlemiyorsanız, bir saldırının erken belirtilerini kaçırıyor olabilirsiniz.

Bir sonraki bölümde hangi olayları izlemeniz gerektiğini ele alacağım.

8. Active Directory'yi Tehlike İşaretlerine Karşı İzleyin

Ağdaki uzlaşmanın ve anormal davranışların tespit edilmesine yardımcı olmak için aşağıdaki Active Directory olaylarını izliyor olmanız gerekir.

Haftalık olarak izlemeniz ve gözden geçirmeniz gereken bazı olayları burada bulabilirsiniz.

• Etki Alanı Yöneticileri, Kurumsal Yöneticiler ve Şema Yöneticileri gibi ayrıcalıklı gruplarda yapılan değişiklikler
• Kötü şifre denemelerinde ani artış
• Kilitlenen hesaplarda ani artış
• Hesap kilitlenmeleri
• Antivirüs yazılımının devre dışı bırakılması veya kaldırılması
• Ayrıcalıklı hesaplar tarafından gerçekleştirilen tüm etkinlikler
• Oturum açma/Oturumu kapatma etkinlikleri
• Yerel yönetici hesaplarının kullanımı

Active Directory'deki olayları nasıl izlersiniz?

En iyi yol, tüm günlükleri merkezi bir sunucuda toplamak ve ardından raporlar oluşturmak için günlük analiz yazılımını kullanmaktır.

Bazı günlük analizörleri Active Directory güvenlik raporlarıyla önceden oluşturulmuş olarak gelir, diğerleri ise kendinizin oluşturması gerekir.

İşte en popüler log analizörlerinden bazıları.

• Kanada Geyiği Yığını
• Lepid
• Splunk
• ManageEngine ADAudit Plus
• Windows Olay İletme

İyi bir günlük analizörüyle Active Directory ortamınızdaki şüpheli etkinliği hızlı bir şekilde tespit edebileceksiniz.

İşte kullandığım bir analizörün bazı ekran görüntüleri. İlk ekran görüntüsü hesap kilitlenmelerinde ani bir artış gösteriyor.

Bu kesinlikle normal değil.

Bu ekran görüntüsünde oturum açma hatalarında büyük bir artış görebilirsiniz. Bir günlük analizörü olmadan bu olayların tespit edilmesi zor olurdu.

9. Şifre Karmaşıklığı Berbattır (şifre cümleleri kullanın)

8 karakterlik karmaşıklık artık güvenli bir şifre değil. Bunun yerine en az 12 karakter kullanın ve kullanıcıları parolalar konusunda eğitin.

Şifre ne kadar uzun olursa o kadar iyidir.

Parolalar iki veya daha fazla rastgele kelimenin bir araya getirilmesinden oluşur. İsterseniz sayı ve karakter ekleyebilirsiniz ancak bunu bir zorunluluk haline getirmem.

Araştırmalar, karmaşıklığa ihtiyaç duyduğunuzda bunun benzer bir düzende kullanıldığını ve daha sonra tekrarlandığını göstermiştir. Bilgisayar korsanları bunu fark etti ve artık tahmin edilmesi kolay milyonlarca şifre içeren devasa şifre listeleri (ücretsiz olarak mevcut) var.

Bunun gibi şifreler kullanan birini tanıyor musunuz?

S@mmer2018 veya Kış2018! Haziran2018$

Bunlar berbat şifrelerdir ve kolaylıkla tahmin edilebilirler.

Uzun parolalar ve parola tekniğinin kullanılması, parola kırma yazılımlarının ve bilgisayar korsanlarının tahmin etmesini zorlaştırır.

Daha İyi Şifre Politikası

• 12 karakterli şifreler belirleyin
• 10 şifre geçmişini hatırla
• parolaları kullan
• Kilitleme politikası 5 deneme

Parola kullanmanın anahtarı, her kelimeyi tamamen rastgele kullanmaktır; bir sonraki kelimenin tahmin edilebileceği bir cümle yazmak istemezsiniz.

Parola cümleleri kullanan iyi şifreler

Bucketguitartire22
Ekran hokkabazlığı
RoadbluesaltCloud

Yukarıdaki örnekler tamamen rastgeledir. Bunların çözülmesi çok uzun zaman alır ve büyük olasılıkla kimse onları tahmin edemez.

Kötü parola örnekleri

Gerçekten beğendimpizza22
Theskyisblue44

NIST, şifre politikalarına ilişkin yeni gereksinimleri karşılamak üzere Özel Yayın 800-63'teki şifre politikası yönergelerini yakın zamanda güncelledi.

Kuruluşunuzun belirli standartları karşılaması gerekiyorsa bu standartların bu şifre önerilerini desteklediğinden emin olun.

Ayrıca şirketinizin yazılı politikasını güncellediğinizden emin olun.

10. Açıklayıcı Güvenlik Grubu Adlarını Kullanın

Öncelikle izinleri bireysel hesaplara değil, güvenlik gruplarına sahip kaynaklara uyguladığınızdan emin olun, bu, kaynakların yönetimini çok daha kolay hale getirir.

Daha sonra güvenlik gruplarınıza yardım masası veya İK Eğitimi gibi genel bir ad vermeyin.

Bunun gibi genel adlara sahip olduğunuzda, bunlar her türlü kaynakta kullanılacak ve tüm güvenlik kontrolünü kaybetmiş olacaksınız.

Güvenlik gruplarının nerede kullanıldığını görmenin kolay bir yolu yok. Evet, çalıştırabileceğiniz araçlar var ancak orta veya büyük boyutlu bir ortamınız varsa bu çok büyük bir görev olacaktır.

İşte bir örnek

IT_Local çok geneldir. Sadece ismine baktığımda bunun ne için kullanıldığını bilmiyorum. Evet, muhtemelen BT departmanı tarafından kullanılıyor ama nerede?

İzinler bu şekilde kontrolden çıkabilir ve insanlara, erişmemeleri gereken şeylere erişim izni verebilirsiniz. Bazı sistem yöneticileri BT departmanı ağ paylaşımına erişim isteği alabilir ve kullanıcıları bu gruba ekleyebilir. Ancak bilmediği şey grubun başka sistemlerde de kullanılabileceğidir. Artık bazı kullanıcılara diğer bazı sistemlere tam izin verdi.

"N Drive HR_Training" grubu gibi açıklayıcı bir ad kullandığınızda, isme bakabilir ve ne işe yaradığına dair fikir sahibi olabilirsiniz. Bu örnekte, N sürücüsü içindir, İK içindir ve Eğitimle bir ilgisi vardır. BT personelinizin bunun ne olduğu konusunda sadece adından da anlaşılacağı üzere iyi bir fikri olmalıdır.

Burada, kötü grup adlarının sorunlara nasıl yol açabileceğine dair gerçek dünyadan bir örnek verilmiştir.

Active Directory izinlerini temizleme konusunda bir müşteriyle çalışıyordum. Active Directory'ye izinleri devretmiş birden fazla güvenlik grubu vardı.

Yardım masası adında bir grup, IS Desteği adında bir grup ve AD Modify adında bir grup daha vardı.

Yalnızca Yardım Masası personelinin Active Directory'de parolaları sıfırlama ve hesapların kilidini açma haklarına sahip olduğu izlenimine kapılmıştım.

Bu grupların yardım masası yazılımı, ağ paylaşımı ve yazıcılar gibi diğer kaynaklar için kullanıldığını öğrenin. Yani çeşitli BT personelini içeriyordu.

Bu grupları kaldırdığımda programcılardan ve iş analistlerinden, neden kullanıcıların şifrelerini artık sıfırlayamadıklarını soran telefon çağrıları aldım. Programcılar neden kullanıcı şifrelerini sıfırlıyor?

Kesin Güvenlik grubu adının bunun olmasını engelleyeceğini açıkça anlıyorum.

Güvenlik grubuna özel bir ad vermezseniz, bu, diğer pek çok şeye ilişkin izinlerin tamamını kapsayabilir.

Grupların nasıl adlandırılacağına dair bazı güzel örnekleri burada bulabilirsiniz.

Örnek 1: Yardım masasının şifreleri sıfırlamasına izin ver

Güvenlik grubu adı: IT-Yardım Masası-PW-Reset

Grup adı kesin olduğundan bu, grubun yazıcı veya ağ paylaşımı gibi diğer kaynaklarda kullanılmasının önlenmesine yardımcı olur.

Örnek 2: Paylaşılan bir klasörde İK haklarına izin verin

Güvenlik grubu adı: N Drive HR-Training-Folder-RW

Yine, bunun çok özel bir adı vardır ve ne için kullanılması gerektiğini belirlemeye yardımcı olur.

Kendi adlandırma kuralınızı oluşturabilirsiniz, yalnızca adı spesifikleştirin ve genel tek kelimeli grup adlarından kaçının.

11. Etkin Olmayan Kullanıcı ve Bilgisayar Hesaplarını Bulun ve Kaldırın

Active Directory'de etkin olmayan kullanıcıları ve bilgisayar hesaplarını tespit etmek için bir prosedüre sahip olmanız gerekir.

Active Directory'de bir sürü kullanılmamış hesabın bir saldırganın keşfetmesini ve kullanmasını beklemesini istemezsiniz. Bu aynı zamanda raporlama, düzeltme eki uygulama ve grup ilkesinin yavaşlatılmasıyla ilgili sorunlara da neden olabilir.

CIS Kritik Güvenlik Kontrolleri şöyle diyor: "Zayıf şifreler, kullanıcı kuruluştan ayrıldıktan sonra hala geçerli olan hesaplar, hareketsiz veya kalıcı test hesapları dahil olmak üzere, kullanıcı hesaplarına gizlice erişim sağlamanın birçok yolu vardır"

CIS, 45 gün boyunca işlem yapılmaması halinde, hareketsiz hesapların silinmesini veya devre dışı bırakılmasını önerir

Etkin olmayan kullanıcıları ve bilgisayar hesaplarını hızlı bir şekilde bulmanızı sağlayan AD Temizleme Aracı adında bir araç oluşturdum.

Etkin olmayan kullanıcıları bulma veya bunun PowerShell ile nasıl yapılacağı hakkında daha fazla ayrıntı istiyorsanız Active Directory'de Etkin Olmayan Kullanıcıları Bulma başlıklı bu makaleye göz atın.

12. Kullanıcıları Yerel Yönetici Grubundan Kaldırma

Normal bir kullanıcı, bilgisayarlarda yerel yönetici grubunda olmamalıdır.

Yerel yönetici haklarına sahip bir kullanıcı, Windows İşletim sisteminin tamamına tam erişime sahiptir. Bu, yazılım yüklemek, antivirüsü devre dışı bırakmak, kötü amaçlı yazılım indirip yüklemek, verileri çalmak, kimlik bilgilerini hacklemek, diğer bilgisayarlara yönelmek vb. gibi her türlü güvenlik sorununa yol açabilir.

Microsoft'un güvenlik açıkları raporu şunları söylüyor:

“2018'de keşfedilen tüm Windows güvenlik açıklarından 169'u 'kritik' olarak değerlendirildi. Yönetici haklarının kaldırılması bu kritik güvenlik açıklarının %85'ini azaltabilirdi"

Kullanıcıları yerel yönetici grubundan çıkararak, saldırganların bilgisayarınıza ve ağınıza erişme fırsatlarını büyük ölçüde azaltırsınız.

Grup ilkesini kullanarak yerel yönetici grubunu kontrol etmenizi öneririm. Bunları merkezi bir kontrol olmadan bilgisayardan kaldırırsanız, birisi hakları geri ekleyecektir. Bu mücadeleyi yardım masasıyla birçok kez verdim. Hakları kaldırıyorum, ardından bir sorunu giderirken tekrar ekliyorlar.

Grup politikasını ve kısıtlı grupları kullanmak, personelinizin gruptaki hesaplardan ayrılmasını engelleyecektir.

Bu konuda eksiksiz bir kılavuz yazdım buraya göz atın -> Grup İlkesini kullanarak Kullanıcıları Yerel Yönetici Grubundan Kaldır.

13. DC'lere Ek Yazılım veya Sunucu Rolleri Yüklemeyin

Etki alanı denetleyicilerinde sınırlı yazılım ve roller yüklü olmalıdır.

DC'ler kuruluş için kritik öneme sahiptir; üzerlerinde ek yazılım çalıştırarak güvenlik risklerini artırmak istemezsiniz.

Windows Sunucu Çekirdeği, DC rolünü ve DHCP, DNS, yazdırma sunucuları ve dosya sunucuları gibi diğer rolleri çalıştırmak için mükemmel bir seçenektir. Sunucu Çekirdeği GUI olmadan çalışır ve daha küçük kaplama alanı nedeniyle daha az güvenlik yaması gerektirir.

Sunucu çekirdeği, bazı 3. parti yazılımların uyumlu olmaması nedeniyle zorluklarla karşılaşabilir.

14. Yama Yönetimi ve Güvenlik Açığı Taraması

Saldırganlar bilinen güvenlik açıklarından hızla yararlanır.

Düzenli olarak taramaz ve keşfedilen güvenlik açıklarını düzeltmezseniz, ele geçirilme riski çok daha yüksektir.

Çok sayıda güvenlik açığı ve tarama aracı mevcut, en iyi yama yönetimi yazılımı listeme bakın.

Sürekli Güvenlik Açığı Yönetimi için İpuçları

• Tüm potansiyel güvenlik açıklarını belirlemek için tüm sistemleri en az ayda bir kez tarayın. Daha sık tarama yapabiliyorsanız bu daha da iyidir.
• Güvenlik açığı taramalarının bulunmasına öncelik verin ve ilk olarak yaygın olarak bilinen güvenlik açıklarını düzeltin.
• Otomatik yazılım güncellemelerini işletim sistemlerine dağıtın
• Otomatik güncellemeleri 3. taraf yazılımlara dağıtın
• Artık desteklenmeyen güncel olmayan yazılımları belirleyin ve güncellenmesini sağlayın.

15. Kötü Amaçlı Alan Adlarını Engellemek için Güvenli DNS Hizmetlerini Kullanın

Kötü amaçlı DNS aramalarını engelleyerek çok sayıda kötü amaçlı trafiğin ağınıza girmesini önleyebilirsiniz.

Bir sistemin internete erişmesi gerektiğinde çoğu durumda bir alan adı kullanılır. Bilgisayarlar birbirleriyle IP adresiyle konuşur, böylece bilgisayarlar bir alan adını bir IP adresine eşlemek için DNS'yi kullanır.

Kötü amaçlı etki alanları için DNS sorgularını kontrol eden ve bunları engelleyen çeşitli hizmetler mevcuttur.

Bu nasıl çalışır?

Bu DNS hizmetleri, çeşitli genel ve özel kaynaklardan kötü amaçlı alan adları hakkında bilgi toplar. Kötü amaçlı olarak işaretlediği bir alan adı için sorgu aldığında, sisteminiz bu alanla iletişim kurmaya çalıştığında erişimi engeller.

İşte bir örnek:

1. Adım: İstemci example.net'e giden bir bağlantıyı tıklar

2. Adım: Yerel önbellek kontrol edilir

3. Adım: DNS Hizmeti, alan adının tehdit listesinde olup olmadığını kontrol eder ve böylece bir blok yanıtı döndürür.

Yukarıdaki örnekte, DNS sorgusu bir blok döndürdüğü için ağa hiçbir kötü amaçlı trafik girmemiştir.

İşte en popüler güvenli DNS hizmetlerinden bazıları.

• Dörtlü9
• OpenDNS
• Comodo Güvenli DNS

Şu anda Quad9 kullanıyorum, ücretsiz ve kurulumu kolay.

Ayrıca çoğu IPS (İzinsiz Giriş Önleme Sistemi) sistemi, DNS aramalarını kötü amaçlı etki alanları listesine göre kontrol etme özelliğini destekler.

16. Desteklenen İşletim Sistemlerini Çalıştırın

Microsoft, Windows işletim sisteminin her yeni sürümüyle birlikte yerleşik güvenlik özellikleri ve geliştirmeler içerir. Daha da önemlisi, güvenlik güncellemelerini alırsınız.

Sadece en son işletim sistemi üzerinde kalmak genel güvenliği artıracaktır.

Server 2022'deki Yeni Güvenlik Özellikleri:

• Güvenli çekirdekli Sunucu
• Güvenin donanım kökü
• Firmware koruması
• UEFI güvenli önyükleme
• Sanallaştırma tabanlı güvenlik

İşte Robert McMillen'in 2002 sunucusundaki Güvenlik özellikleriyle ilgili bir videosu.

17. Office 365 ve uzaktan erişim için iki faktörlü kimlik doğrulamayı kullanın

Ele geçirilen hesaplar çok yaygındır ve bu durum saldırganların sistemlerinize VPN, Citrix veya diğer uzaktan erişim sistemleri aracılığıyla uzaktan erişmesini sağlayabilir.

Office 365 veya ADFS günlüklerinizi kontrol edin; Çin ve Rusya'dan kaç tane oturum açma girişiminin geldiğine şaşıracaksınız.

Güvenliği ihlal edilmiş hesaplara karşı korunmanın en iyi yollarından biri iki faktörlü kimlik doğrulamadır. Bu aynı zamanda parola püskürtme saldırılarına karşı da yardımcı olacaktır.

Bir kullanıcının, kullanıcı adını ve şifresini doğrulamasını isteyen bir kimlik avı girişimine düştüğünü varsayalım.

Artık saldırgan, o kullanıcının Active Directory kimlik bilgilerine sahiptir. Saldırgan artık herhangi bir yerden birçok sisteme erişim sağlayabilir.

Kullanıcının iki faktörlü özelliği etkinleştirilmişse bu, hesabın güvenliği ihlal edilmiş olsa bile erişimi engelleyebilir. Saldırganın oturum açabilmesi için ikinci kimlik bilgilerine ihtiyacı olacaktır.

Hesapların ele geçirilmesini gerçekten durduracak hiçbir şey yok, saldırganların kimlik bilgilerini ele geçirmesinin pek çok yolu var.

Office 365 kullanıyorsanız ve sahip olduğunuz pakete bağlı olarak MFA dahil olabilir. Bu özellikten yararlanın.

Popüler iki faktörlü kimlik doğrulama çözümleri

• İKİLİ
• RSA
• Office 365 MFA Kurulumu

18. Bağlı cihazlar için DHCP günlüklerini izleyin

Çok sayıda kullanıcı ve bilgisayarın bulunduğu birden fazla konumunuz varsa, ağınıza neyin bağlı olduğunu bilmelisiniz, bu zor olabilir.

Yalnızca yetkili cihazların bağlanmasını önlemenin yolları vardır ancak bu maliyetli olabilir ve kurulumu çok fazla iş gerektirebilir. Kaynaklarınız varsa, o zaman gidilecek yol budur.

Halihazırda kullanabileceğiniz diğer bir yöntem ise bağlı cihazların DHCP günlüklerini izlemektir.

DHCP'yi kullanmak için tüm son kullanıcı cihazlarının kurulumunu yapmış olmanız gerekir. Daha sonra neyin bağlandığını görmek için günlüklere bakabilirsiniz. Ekipmanınız için bir adlandırma kuralına sahip olmalısınız; bu, olası yetkisiz cihazların tespit edilmesini kolaylaştıracaktır.

Aşağıdaki ekran görüntüsünde bilgisayar adlandırma kuralıma uymayan bir cihazı kolayca görebiliyorum.

minint-1bdvd67 tanıdığım bir şey değil. Bunu inceleyip yetkili bir cihaz olup olmadığına bakmam gerekecek.

19. Kötü Amaçlı Ağ Etkinliğine Karşı DNS Günlüklerini İzleyin

Çoğu bağlantı bir DNS sorgusuyla başlar. Etki alanına katılan tüm sistemler, yerel Windows DNS sunucunuzu kullanacak şekilde ayarlanmalıdır.

Bu kurulumla her dahili ve harici DNS aramasını günlüğe kaydedebilirsiniz. Bir istemci cihazı kötü amaçlı bir siteyle bağlantı kurduğunda, bu site adını DNS günlüklerine kaydeder.

Bu kötü amaçlı alanlar genellikle normal görünmeyen tuhaf, rastgele karakterli alan adlarıdır.

Günlüklerimden şüpheli DNS aramalarının bazı ekran görüntülerini burada bulabilirsiniz. Bunlar bir avuç cihaz için günlüklerimde tekrar tekrar görünüyor.

Bir kullanıcının bu siteye kasıtlı olarak gitmeye çalıştığından ciddi olarak şüpheliyim. Kötü amaçlı olup olmadığını belirlemek için bu tür aramaların incelenmesi gerekir.

DNS aramalarını görüntülemek için öncelikle Windows Sunucularında DNS hata ayıklama günlüklerini etkinleştirmeniz gerekir.

Windows Server'da DNS hata ayıklama günlüklerini etkinleştirme adımları

1. Adım: DNS Yönetim Konsolunu açın

2. Adım: Sağ tıklayın ve özellikleri seçin

3. Adım: Hata Ayıklama Günlüğü Sekmesini tıklayın

4. Adım: "Hata ayıklama için paketleri günlüğe kaydet" kutusunu işaretleyin

Hata ayıklama günlükleri kurulumunu yaptıktan sonra, kötü amaçlı etkinlikleri hızlı bir şekilde tespit etmek için bu günlükleri bir analiz cihazına aktarabilirsiniz.

Okumayı ve filtrelemeyi kolaylaştırmak için günlük dosyasını CSV'ye de dönüştürebilirsiniz.

20. En Son ADFS ve Azure Güvenlik Özelliklerini Kullanın

ADFS ve Azure'un bazı harika güvenlik özellikleri vardır. Bu özellikler şifre püskürtme, hesabın ele geçirilmesi, kimlik avı vb. konularda yardımcı olacaktır.

Office 365'in hangi düzeyinde olursanız olun, göz önünde bulundurmanız gereken bazı özellikler vardır.

Elbette premium abonelikler en iyi güvenlik özelliklerine sahiptir.

Ancak

Microsoft her düzeyde iyileştirme yapıyor ve yeni özellikler ekliyor (En azından Office 365'e geçtiğimden beri bunu fark ettim).

İşte incelemeye değer bazı özellikler:

• Akıllı Kilitleme - Olağandışı oturum açma etkinliğini tespit etmek için algoritmalar kullanır.
• IP Kilitleme - Oturum açma işlemlerini engellemek için Microsoft'un bilinen kötü amaçlı IP adreslerinden oluşan veritabanını kullanır.
• Saldırı Simülasyonları - Son kullanıcıların eğitilmesine yardımcı olmak için düzenli olarak kimlik avı testleri yapmalısınız. Microsoft çok yakında kimlik avı simülatörü yazılımını yayınlayacak.
• MFA Kimlik Doğrulaması - Microsoft'un 2 faktörlü çözümü
• Yasaklı şifreler - Şifreleri bilinen bir listeye göre kontrol eder
• Azure AD Connect Health - Birkaç iyi rapor sunar
• Özel hatalı şifreler - Kontrol edilecek özel yasaklı şifreler ekleme yeteneği.

Şu anda hibrit bir Office 365 kurulumu çalıştırıyorum. Azure'da raporlarda birkaç riskli işaret görebiliyorum.

Azure, hesaplarımızdan birinden Çin'den gelen bir işaret konusunda beni uyardı.

Bu özelliklerden bazıları en son ADFS sürümünde mevcuttur ve bazıları da Office 365 aboneliğine dahildir.

ADFS, Office 365 ve Azure'daki mevcut tüm güvenlik özelliklerine kesinlikle göz atın.

Kaynaklar:

Parola spreyi saldırılarına karşı savunma

21. Office 365 Güvenli Puanını Kullanın

Güvenli puan, Office 365 kuruluş güvenliğinizi etkinlik ve güvenlik ayarlarına göre analiz eder.

Güvenli Puan, Office 365 hizmetlerinizi kontrol eder, ardından ayarlarınızı ve etkinliklerinizi kontrol ederek size bir güvenlik puanı sağlar.

Puanınızı analiz ettikten sonra, puanlananların ayrıntılı bir listesini ve sorunları düzeltmek için önerilen eylemleri sağlayacaktır.

Bu özelliğe erişmek için Premium veya Enterprise aboneliğine ihtiyacınız olacak, ayrıca size genel yönetici veya özel rolün atanması da gerekecek.

Microsoft, Secure Score'u genişletmeye ve ek özellikler eklemeye devam ediyor.

Bu özelliğe erişiminiz varsa, bundan yararlanın.

Daha fazla ayrıntı için Office 365 Güvenliği en iyi uygulamaları makaleme bakın.

22. Bir Kurtarma Planınız Olsun

Ağınızın güvenliği bugün tehlikeye girse veya RansomWare saldırısına uğrasa ne yapardınız?

• Bir yanıt politikanız var mı?
• Böyle bir olayın nasıl ele alınacağı konusunda personeli test ettiniz ve eğittiniz mi?
• Aktif dizinin sistem durumu yedeğiniz var mı? Bu, alanınızı bir yedekten geri yüklemeniz gerektiğinde mutlaka sahip olmanız gereken bir durumdur.

Siber saldırılar sistemleri kapatabilir ve iş operasyonlarını durma noktasına getirebilir.

Atlanta Şehri, sakinlerin çevrimiçi elektrik faturalarını ödemesini engelleyen bir siber saldırı nedeniyle kapatıldı. Ayrıca polis memurları raporları elle yazmak zorunda kaldı.

En son kontrol ettiğimde saldırıdan kurtulmanın maliyeti 5 milyon dolardan fazlaydı.

İyi bir olay müdahale planı, etkiyi sınırlandırabilir ve hizmetlerin çok daha hızlı bir şekilde tekrar çevrimiçi olmasını sağlayabilirdi.

İşte bir olay müdahale planına dahil edilmesi gereken birkaç şey:

• Bir olay müdahale politikası ve planı oluşturun
• Olay yönetimi ve raporlamayı gerçekleştirmek için prosedürler oluşturun
• Dış taraflarla iletişim için prosedürler oluşturun
• Müdahale ekipleri ve liderleri oluşturun
• Sunuculara öncelik verin
• İzlenecek yol ve eğitim

NIST'in, bakmanızı tavsiye ettiğim harika bir bilgisayar güvenliği olayı ele alma kılavuzu var.

23. AD'ye Belge Yetkisi

Active Directory'ye ve ilgili kaynaklara erişimi kontrol etmenin en iyi yolu Güvenlik Gruplarını kullanmaktır.

Hakları bireylere devrediyorsanız, kimin erişime sahip olduğunun kontrolünü kaybedersiniz.

Çok özel adlara sahip özel gruplar, kimin haklara sahip olduğunu belgeleyen ve yeni kullanıcılar ekleme sürecine sahip özel gruplar oluşturun. Kullanıcıların bu özel gruplara onay süreci olmaksızın eklenmesine izin vermeyin. Bu, izinlerin kontrolden çıkmasının başka bir yoludur.

Hangi grupların hangi kaynaklara devredildiğini öğrenin, bunu belgeleyin ve ekibinizin aynı fikirde olduğundan emin olun.

24. Hizmet Hesaplarını Kilitleyin

Hizmet hesapları, yürütülebilir bir dosyayı, görevi veya hizmeti, AD kimlik doğrulamasını vb. çalıştıran hesaplardır.

Bunlar çılgınca kullanılır ve genellikle hiçbir zaman sona ermeyecek şekilde ayarlanmış bir parolaya sahiptirler.

Bu hesaplar genellikle çok fazla izne sahip olur ve çoğu zaman alan yöneticileri grubunun bir üyesi olur.

Kötü...çok kötü

Bazen bu satıcı tarafından önerilir.

Bunun olmasına izin vermeyin, DA erişimi olmadan çalışmasını sağlamanın yolları var.

Hizmet hesaplarını kilitlemeye yönelik bazı ipuçlarını burada bulabilirsiniz.

• Bunun yerine Yönetilen Hizmet Hesaplarını kullanın
• Uzun Güçlü şifreler kullanın
• Yalnızca gerekli olana erişim izni verin
• Yerel yönetici haklarını vermekten kaçının
• Etki Alanı Yöneticilerini koymayın
• Yerel olarak oturum açmayı reddet
• Oturum açmayı toplu olarak reddet
• Satıcıların yazılımlarının etki alanı yönetici hakları olmadan çalışmasını zorunlu kılma

25. Güvenlik Temellerini ve Karşılaştırmalarını Kullanın

Windows İşletim sisteminin varsayılan kurulumunda güvenli olmayan pek çok özellik, hizmet, varsayılan ayar ve etkin bağlantı noktası bulunur.

Bu varsayılan ayarlar, bilinen güvenlik ölçütlerine göre gözden geçirilmelidir.

Tüm sistemlerde güvenli bir yapılandırma oluşturmak, işlevselliği korurken saldırı yüzeyini azaltabilir. Güvenlik kıyaslamaları sağlayan çeşitli kaynaklar vardır.

Microsoft, Microsoft'un önerilen güvenlik yapılandırma temellerini analiz etmenize ve test etmenize olanak tanıyan bir Güvenlik Uyumluluğu Araç Seti'ne sahiptir.

Bir başka harika kaynak da CIS SecureSuite'tir

Ayrıca güvenlik yapılandırma temellerini de sağlar. Ayrıca sistemi tarayabilen ve arızalar hakkında rapor sunabilen araçlar sağlar.

Önerilen ayarların çoğu Grup İlkesi kullanılarak ayarlanabilir ve tüm bilgisayarlara dağıtılabilir.

İşte CIS Securesuite aracının ekran görüntüsü. Bilgisayarımda bir tarama yaptı ve başarılı olan ve başarısız olan tüm ayarlar hakkında bir rapor oluşturdu.

CIS Securesuite ayrıca Cisco, VMware, Linux ve daha fazlası gibi diğer sistemlere karşı da tarama yapabilir.

Active Directory Güvenlik Kontrol Listesi

Bu kılavuzu basit bir kontrol listesi formatında indirin. 3 bonus güvenlik ipucu içerir.

PDF Kontrol Listesini İndirin

Umarım Active Directory güvenliği için en iyi uygulamalar listemi faydalı bulmuşsunuzdur.

Bir sorunuz veya yorumunuz varsa lütfen aşağıya gönderin.