Active Directory yapılandırmaları izinsiz girişleri azaltabilir

Active Directory'nin siber güvenlikte oynadığı rol nedeniyle şirketler, zararlı siber saldırı olasılığını azaltmak için Active Directory yapılandırmalarını inceliyorlar. Dünya çapındaki tehdit ortamı gelişmeye devam ediyor ve ani jeopolitik olaylar internetteki hemen hemen her kuruluşu potansiyel hedef haline getirebilir.

Active Directory (AD) dünya çapında o kadar yaygındır ki, kimlik doğrulama ve yetkilendirmeyi ele geçirmenin yollarını arayan kötü aktörlerin ana hedefidir. Büyük kuruluşlar, Active Directory uzmanlarından oluşan ekiplere başvurarak kendilerini savunabilir, ancak küçük ve orta ölçekli işletmeler, savunma için çok daha az kaynakla benzer izinsiz giriş riskiyle karşı karşıyadır.

Bu yazıda en iyi uygulamaları ele alacağım ve Active Directory yapılandırmalarının siber güvenlik savunmanızı güçlendirmeye nasıl yardımcı olabileceğine dair gerçek dünyadan bilgiler paylaşacağım.

Katman 0 güvenliğinin Active Directory yapılandırmalarıyla ilişkisi

Ayrıcalıklı erişim yönetiminin (PAM) katmanlı modeli, Active Directory gibi bir ortamda yasa dışı ayrıcalık artışını engellemeyi amaçlamaktadır. Yöneticileri yönettikleri kaynaklara göre ayırmak, kötü aktörlerin Active Directory içinde üst kademeye tırmanmaları için kolay bir yol bulunmasını engeller. Örneğin, etki alanı yöneticilerinizin (katman 0) kurumsal sunucularda (katman 1) ve standart kullanıcı iş istasyonlarında (katman 2) oturum açmasını önlemek için Grup İlkesi Nesnelerini kullanabilirsiniz.

Katman modeline göre, etki alanı yöneticilerine, yönettikleri kaynaklara bağlı olarak farklı davranılır. Microsoft, hepimizin katman 0'ın (etki alanı denetleyicilerimiz) önceliğini anlamamızı sağlamak için yıllarını harcadı. Bu kritere göre kademe 0 ayrıca aşağıdakileri de içerir:

Etki alanı denetleyicisini yöneten, kontrol eden ve yönetici haklarına sahip olan sistemler
Herhangi bir aracıyı etki alanı denetleyicisinde çalıştıran sistemler
Açık Anahtar Altyapısı (PKI)
Çoğu ortamda Active Directory'yi kontrol eden VMware yönetimi
Azure Active Directory yapılandırmanızın ve ortamınızın bulut yönetimi
Ana bilgisayar kontrolleri
Active Directory Federasyon Hizmetleri (ADFS)

Olayları daha geniş bir şekilde incelemek için bir adım geriye giderek, herhangi bir kuruluşun en hassas sistemlerini ve saldırganların gerçekte neyin peşinde olduğunu düşünün: kendi verileri. Çoğu saldırı, e-posta verilerini ve dosyaları paylaşımlardan çeker. Fidye yazılımı verileri şifrelediği için çok etkili çalışır ve bunun sonucunda şirket ya verileri kaybeder ya da verilere erişimi kaybeder.

Seviye 0 sistemler arasındaki bağlantılar sizi şaşırtabilir:

Active Directory etki alanı denetleyicileri genellikle VMware'de sanallaştırılır.
VMware yöneticileriniz genellikle Active Directory'de bir grupta bulunur.
Active Directory, Azure AD Connect aracılığıyla Azure AD'ye bağlanır.
Genel yöneticiler Azure'u denetlemek için Azure AD'den atlayabilir.
Azure'un kendisi, özellikle hizmet olarak altyapı (IaaS) için bulut veri merkezi olarak Azure veya Amazon Web Hizmetlerini (AWS) kullanan şirketlerde, genellikle sanal etki alanı denetleyicilerini barındırır.

Bu, asla birbirine bu kadar yakın bir şekilde bağlanması ve entegre edilmesi amaçlanmayan birden fazla ayrı bileşenin toplamı anlamına gelir. Kimlik ve kimlik doğrulamayı yöneten hemen hemen her şey sıfırın altına düşer ve birinden diğerine atlamaya tabidir.

Katman 0 ve bulut altyapılarının önemi

Güvenliği sağlamamız gereken yekpare bir şirket içi altyapı bloğuna sahip olduğumuz günler geride kaldı. Şirketler Azure, AWS ve Google Cloud Platform (GCP) gibi çoklu buluta geçiyor çünkü tüm yumurtalarının tek bir sepette olmasını istemiyorlar ki bu da mantıklı. Ancak her sağlayıcı güvenliği farklı şekilde ele aldığı için ara bağlantılar daha da karmaşık hale geliyor.

Azure'u bir LEGO blokları setine benzetebilirsiniz. Önceden hazırlanmış çözümleri oldukça hızlı bir şekilde bir araya getirmenizi sağlayan talimatlar sağlarlar. AWS daha çok BT'nin Tinkertoy'u gibidir; kimlik ve erişim yönetimi (IAM) rolleri de dahil olmak üzere istediğiniz her şeyi oluşturmanıza olanak tanır. Ancak AWS'de sorunlara neden olan IAM rolleri oluşturmak kolaydır. Google Cloud araçlarını kullanmak için bir Google kimliğiyle kimlik doğrulamanız gerekir; dolayısıyla Active Directory'yi GCP'de dağıtmak, mevcut Active Directory'nizi Google Cloud ile birleştirmenin yerini almaz.

Kendinizi yalnızca şirket içi bir Active Directory yapılandırmasıyla değil, aynı zamanda her biri kendi kurallarına sahip olan Azure tarafından yönetilen bir AD, AWS tarafından yönetilen bir AD ve GCP tarafından yönetilen bir AD ile bulabilirsiniz. Yönetime veya bir komutu çalıştırma becerisine sahip herhangi bir kullanıcı hesabının ele geçirilmesi sizi savunmasız hale getirir. Bir saldırgan, geleneksel anlamda buluttan tesislerinize atlamadan şirket içi ortamınızı tehlikeye atabilir.

Active Directory yapılandırmaları: Hangisi izinsiz giriş olasılığını azaltır?

Active Directory ortamınızın yapılandırmalarını kontrol etmeye gelince ilk adım, iş istasyonları, sunucular ve etki alanı denetleyicileri (DC'ler) için temel güvenlik politikası ayarlarını incelemektir. Bu ve Active Directory için uygun denetimin yapılandırılması, Microsoft'un rehberliğine göre birinci basamak güvenlik öğelerini yönettiğinizden emin olmanın iyi yollarıdır.

Daha sonra fidye yazılımı hakkında düşünmek çok önemlidir. Fidye yazılımlarını engellemenin en etkili yollarından biri ağınızdaki yanal hareketleri zorlaştırmaktır. Bu, özellikle sunucu mesaj bloğu (SMB) trafiğini filtrelemek için ana bilgisayar tabanlı güvenlik duvarlarının etkinleştirilmesi anlamına gelir. Temelde, tüm iş istasyonları birbirlerinden gelen trafiği kabul edebilir, ancak bunu yapmaları için iyi bir neden yoktur; örneğin küçük bir kuruluşta bir yazıcıyı barındırmak dışında. Ana bilgisayar tabanlı güvenlik duvarlarının başarılı bir şekilde nasıl dağıtılacağını bulmak için bazı çalışmalar yapılması gerekiyor, ancak bunu Microsoft Yerel Yönetici Parola Çözümü (LAPS) ile birleştirmek fidye yazılımlarını ve saldırganları hayal kırıklığına uğratacaktır.

Active Directory neden bir saldırının birincil hedefidir?

Active Directory genellikle birincil hedef olsa da her zaman ilk hedef değildir. Hileli saldırılar başka bir yerde başlar ve ardından Active Directory'ye atlar. Örneğin Log4j, Active Directory yapılandırmasını tek başına hedeflemez, ancak ağa bağlı herhangi bir şeyi etkileyerek Active Directory'ye dahil olur.

Önemli olan, NIST Siber Güvenlik Çerçevesinin erdemlerinden biri olan evinizi farklı düzeylerde düzene koymaktır: tanımlama, koruma, tespit etme, yanıt verme ve kurtarma. Active Directory ortamınızı korumak veya güvenliğini sağlamak için elinizden geleni yapın. Ardından, bir şeyler olup bittiğini algılamak için tüm uygun mekanizmalara sahip olduğunuzdan emin olun. Ağınızda çalışan her şeye farklı düzeylerde farklı çözümlerle yanıt vermeye hazır olun.

Hangi saldırı vektörleri en endişe verici?

Sıfır gün istismarlarına karşı güvenlik açığı yönetimi önemlidir. Ancak bir yamayı kullanıma sunulduktan sonraki iki gün içinde dağıtsanız bile, bu sizi sıfır günden kurtarmaz. Her neyse, istismar edilenler her zaman sıfır günler değil, yıllardır gizlenen ve saldırganların ağınızdaki sistemler arasında geçiş yapmasına olanak tanıyan gelişmiş kalıcı tehditlerdir.

Active Directory yapılandırması açısından bakıldığında, herhangi bir denetimi açabilir ve istediğiniz çözümü dağıtabilirsiniz. Ancak tek gereken, yazılabilir ve tehlikeye atılabilecek, yanlış yapılandırılmış bir Grup İlkesi Nesnesidir.

Bulut tabanlı uygulamalar, özellikle yaygın olarak kullanılan üretkenlik ve işbirliği araçları için yeni özellikler biçiminde bir saldırı vektörü sunar. Bu, güvenlik profesyonellerinin, örneğin Microsoft'un varsayılan olarak etkinleştirmeyi sevdiği değişiklikleri ve yeni özellikleri takip etmelerini sağlar. Elbette yazılım satıcıları özellikleri etkinleştiriyor çünkü bunları varsayılan olarak devre dışı bırakırlarsa kullanıcıların bunları açması gerekecek ve benimsenme düşük kalacak.

Genel Teams kullanıcılarının profesyonel Teams kullanıcılarıyla veya kurumsal hesaplarla konuşmasına olanak tanıyan bir özelliğin güvenlik üzerindeki etkisini düşünün. Madalyonun bir tarafında sadece sohbet eden insanlar yer alırken diğer tarafında ise bir kimlik avı kanalı var.

Yedeklemelerinizi nasıl güvence altına alabilirsiniz?

NIST Siber Güvenlik Çerçevesine dönersek, kurtarma adımı, güvenli bir yedeklemenin devreye girdiği yerdir.

Güvenli bir yedeklemenin özü, kurtarmaya çalıştığınız risklerin tarihini önceden belirlemesidir; aksi halde dosyalarınızın zaten virüslü olan sürümlerini geri yüklüyorsunuz. Saldırganlar artık kuruluşlara saldırıyor ve yedek saklama süresi boyunca ortalıkta görünmüyor: iki hafta, bir ay, iki ay vb. Ağınıza yükledikleri arka kapının yedeklerinize dahil edildiğinden emin olmak istiyorlar. Daha sonra, artık arka kapılarından etkilenmeyen bir sürümü geri yükleyemeyeceğinizden emin olduklarında bir saldırı başlatırlar. Yedeklemeden geri yükleme yapmaya çalışırsanız arka kapıyı geri yükler ve onlara tekrar erişim izni verirsiniz.

Çözümlerden biri, sözde temizlemeler veya incelenen yedeklemelerdir. Sağlayıcı zaman içinde bir dizi yedekleme alır ve sürekli gelişen zekaya dayanarak bunları düzenli olarak yeni güvenlik açıkları ve arka kapılar açısından tarar. Temizlemeler ve değişmez yedeklemeler, bir ihlalden kurtulabilmenizi sağlamak için alabileceğiniz kritik önlemlerdir. Bununla birlikte, gelişmiş kontroller, ayrıntılı kurtarma seçenekleri, otomasyon ve şirket içi ve bulut ortamlarına yayılma yeteneği sağlayabileceğinden, üçüncü taraf bir kurtarma çözümünün mevcut olması, başarıya yardımcı olmak ve garantilemek için idealdir.

Veri kurtarma planınızın, kurtarma aracınız kadar önemli olduğunu unutmayın. Fidye yazılımı nedeniyle tüm sistemleriniz aniden kullanılamaz hale gelseydi, hangilerini mümkün olan en kısa sürede kurtarmanız gerekirdi? Bu öncelikleri belirlemeden, tek seferde uçtan uca iyileşmeye hazır olmayı planlıyorsanız, sürekli ve yaygın teyakkuz için çok para harcayacaksınız.

Yedekleme güvenliğinin gözden kaçırılan bir alanı, yedeklerinizin depolandığı yere erişimin kontrol edilmesidir. Etki alanı denetleyicilerinizi yedeklediğinizde, o yedekleme sistemindeki depolamaya kim erişebilir? Erişimi olan herkes (meşru olsun veya olmasın) sakladığınız tüm yedekleri görebilir ve düzenleyebilir. Daha yeni bir ana yedekleme sistemine taşınmış ve eskisini Active Directory yapılandırmalarının ve etki alanı denetleyicilerinin yedeklenmesine devretmiş olsanız bile, bunlar hâlâ açığa çıkar. Saldırganlar bu depolama alanını ihlal edebilir ve Active Directory yedeklemelerinize erişebilir veya bu yedeklemelere bulaşabilir.

Sistem durumu yedeklemesi veri kurtarma için neden faydalıdır?

Active Directory yapılandırmanızın güvenilir bir yedeği olmadan, diğer her şeyi kontrol eden sistemi kurtaramazsınız, dolayısıyla başınız belaya girer.

Birçok şirket, bir veri koruma ürününe sahip oldukları için her türlü sorundan kurtulmaya hazır olduklarını düşünüyor. Ancak fidye yazılımı gibi yıkıcı bir saldırının ardından kurtarma, AD'nizi içeren bir sistem durumu yedeğiniz yoksa çok daha yavaş gerçekleşir. Kurtarma imkansız değildir, ancak ağınızı yeniden başlatmak sizin tarafınızdan önemli ölçüde daha fazla zaman ve çaba gerektirebilir; ayrıca yedekleme sağlayıcınızın ve Microsoft'un müdahalesini de gerektirebilir.

Bunun nedeni, bazı yedekleme sistemlerinin SQL Server'a, SQL Server'ın ise Active Directory'ye bağımlı olmasıdır. Tam kurtarma işlemini gerçekleştirmek için Active Directory'nin geri yüklenmesi gerekiyor.

Active Directory yedeklemesini ve kurtarmasını test etmenin en iyi yolu nedir?

İyileşmenizi ne sıklıkla test ediyorsunuz? Yedekleme rutinlerinizi kurallara uygun olarak çalıştırabilir ve güvenli bir şekilde saklayabilirsiniz, ancak bunları test etmiyorsanız hiçbir şeyi kanıtlamıyorsunuz demektir. Aynı şey Active Directory yapılandırmalarınızın yedeklenmesi ve kurtarılması için de geçerlidir.

"Kurtarma planlarının uygulanmasının test edilmesi, çalışanların ve iş ortaklarının farkındalığını artıracak ve iyileştirilmesi gereken alanları vurgulayacaktır. Planları her zaman öğrenilen derslerle güncelleyin. ”
-NIST Fidye Yazılımı Hızlı Başlangıç Kılavuzu

Pek çok geleneksel yedekleme sağlayıcısı, Active Directory'yi yedeklediklerini belirten bir onay kutusunun reklamını yapar. Ancak AD'nin bir kısmını geri yükleyebilseler de tamamını geri yükleyebildikleri ortaya çıkabilir.

Fidye yazılımı kurtarma konusunda çıtayı oldukça yüksek tutuyor. Kurtarma işleminizin daha sonra daha fazla hasara ve geri alma sorunlarına yol açmamasını sağlamak için izlemeniz gereken bir dizi otomatik adım vardır. Bu nedenle fidye yazılımı senaryosunu test etmek çok önemlidir. Burada fidye yazılımı kurtarma hakkında daha fazla bilgi vereceğiz: Fidye yazılımı kurtarma hakkında bilmeniz gerekenler.

Etki alanı denetleyicisinin çevrimdışı bir kopyasını alıp laboratuvar ortamınıza koymak, başlatmak ve ardından diğer uygulamalarınızı test etmek yeterli değildir. Sınırlamalarınızın nerede olduğunu gerçekten görmek için tüm DC'lerin aynı anda kapalı olması durumunu test edin. Gerçek dünya senaryosunda, saldırganlar katman 0 GPO'ya erişir, yüklerini dağıtır ve Active Directory ve tüm ilişkili sistemler de dahil olmak üzere tüm kurumsal ortamınızı aynı anda kapatır. Böylesine stresli bir durumda ihtiyaç duyacağınız konfor seviyesine ancak bu uç noktayı test ederek ve pratik yaparak ulaşabilirsiniz.

Bulut ortamını yedeklemeye ne dersiniz?

Active Directory yapılandırmalarınızı yedekliyorsanız ve kurtarmayı başarıyla test ediyorsanız Office 365 verilerinizi içeren bulut ortamını da yedekliyor musunuz? OneDrive İş'i barındırdığınız ve büyük olasılıkla tüm kullanıcılarınızın ev sürücülerini barındırdığınız SharePoint'i çevrimiçi olarak mı yedekliyorsunuz? Teams ve orada depoladığınız tüm veriler ne olacak?

Bulutta çalışmak, verilerinizin yedeklendiğinin garantisi değildir ve bulut bilişime güvenen kuruluşların çoğu, bulut ortamlarını yedeklememektedir. Fidye yazılımının odağı şirket içi verilerden bulut verilerine kaymaya başlarsa bu pek hoş olmayacaktır. API'ler gibi tüm programatik kaynaklar mevcut olduğundan, tehdit aktörlerinin bulut tabanlı verileri şifrelemeye ve onları rehin tutmaya başlaması düşünülemez bir durum değildir.

Bulut bilişimin sorunu elbette internet bağlantınız kesildiğinde verilerinizin kullanılamamasıdır. Bir saldırı veya ihlal o kadar yıkıcı olabilir ki kuruluşunuzun bağlantısını kesip yeniden başlamaktan başka seçeneğiniz kalmaz. Veya kontrolünüz dışındaki koşulların sonucu olabilir. Her iki durumda da, tüm yedeklemeleriniz buluttaysa veri kurtarma planınız da vardır. Bulut depolama alanınıza bağlanmak ve verilerinizi taşınabilir depolama ortamına indirmeye başlamak için birini eve veya başka bir şehre göndermeniz gerekecektir.

Bu nedenle, bulut bilişim ve bulut yedekleme konusunda hakim olan bilgeliği tamamlamak için, internet bağlantınız her zaman garanti edilmediğinden, yerel, fiziksel yedeklemeleri de sürdürmelisiniz. Bu, en azından iş açısından kritik uygulamalarınız ve verileriniz için geçerlidir. Şifrelenmiş, fiziksel yedeklemeler yapın, ardından bir arşiv hizmetinin bunları iş yeri dışında saklamasını sağlayın veya BT'den birinin bunları her gece eve götürmesini sağlayın.

Son düşünceler

ABD İç Güvenlik Bakanlığı'na bağlı Siber ve Altyapı Güvenliği Ajansı (CISA), Shield's Up girişiminde yedekleme ve kurtarmanın önemini açıkça ortaya koyuyor: "Kuruluşun fidye yazılımından etkilenmesi durumunda kritik verilerin hızla geri yüklenebilmesini sağlamak için yedekleme prosedürlerini test edin veya yıkıcı bir siber saldırı; yedeklemelerin ağ bağlantılarından izole edildiğinden emin olun. ”

Veri yedekleme önerilerimi özetlemek gerekirse:

Yedeklemelerinizi minimum üç yerde (yerel sunucu, çevrimdışı, uzak) saklayın.
Bu sistem durumu yedeklemesini en az haftada bir kez gerçekleştirin. Daha sık daha iyidir.
Etki alanı denetleyicilerinizin yedeklerine yalnızca katman 0 AD yöneticilerinin erişimi olmalıdır.

Daha fazla bilgi edinmek için şirket içi ve Azure AD ortamlarınızı siber saldırılara karşı korumanın ek yollarını kapsayan aşağıdaki web yayınına göz atabilirsiniz.