Active Directory Güven İlişkileri: Güvenlik Konuları ve Risk Azaltma

Active Directory güven ilişkisi, iki etki alanı arasında oluşturulan bağlantıyı ifade eder; burada biri güvenen etki alanı, diğeri ise güvenilen etki alanı olarak kabul edilir. Bu düzenlemeyle güvenen etki alanı, güvenilen etki alanının oturum açma kimlik doğrulamasına saygı gösterir.

Genellikle güvenilen etki alanı kullanıcı hesaplarını barındırırken, güvenilen etki alanı da kaynakları barındırır. Bu, güvenilir etki alanına ait bireylerin, güvenilir statüleri nedeniyle güvenen etki alanındaki kaynaklara erişme yetkisine sahip olduğu anlamına gelir.

Active Directory Güveni Oluşturmanın Önkoşulları

İki Active Directory etki alanı arasında AD güveni oluşturmak için belirli koşulların karşılanması gerekir. Bunlar şunları içerir:

Ağ Bağlantısı: AD güvenini oluşturmak için her etki alanının etki alanı denetleyicileri arasında uygun iletişim olmalıdır. Ayrıca Kaynak etki alanındaki kaynaklar, Hesaplar etki alanındaki etki alanı denetleyicileriyle iletişim kurabilmelidir.

DNS Ad Çözümlemesi: Her etki alanının etki alanı denetleyicileri, diğer etki alanının AD ortamı için DNS kayıtlarını çözümleyebilmelidir.

Hesaplar Etki Alanı Hizmet Hesabı: Hesaplar etki alanındaki bir AD kullanıcı hesabı, etki alanındaki kullanıcı ve grup nesnelerinin okunması için gereklidir. Bu gereklilik tek yönlü tröstler için geçerlidir. İki yönlü güvenlerde, örtülü salt okunur erişim varsayılan olarak verilir ve bir hizmet hesabına gerek yoktur. Hizmet hesabı için özel izinler gerekli değildir ve Hesaplar etki alanındaki Etki Alanı Kullanıcıları grubunun üyesi olması yeterlidir.

Active Directory Güvenleri Nasıl Kurulur?

Güvenler otomatik veya manuel yollarla kurulabilir ve geçişli veya geçişsiz olarak kategorize edilebilir.

Geçişli güvenler: Geçişli güven, Etki Alanı A'nın Etki Alanı B'ye güvenmesi ve Etki Alanı B'nin Etki Alanı C'ye güvenmesi durumunda Etki Alanı A'nın C Etki Alanına güvenmesiyle karakterize edilir.

Geçişsiz güvenler: Geçişli olmayan güvenlerde, Etki Alanı A, Etki Alanı B'ye güvendiğinde ve Etki Alanı B, Etki Alanı C'ye güvendiğinde, Etki Alanı A, güveni Etki Alanı C'ye kadar genişletmez. Güvenler iki şekilde olabilir: yollu veya iki yönlüdür ve aşağıda ayrıntıları verilen çeşitli tröst türleri doğası gereği tek veya iki yönlüdür.

AD güveni oluşturmak için önkoşulların karşılandığından ve önemli güvenlik kararlarının önceden alındığından emin olun. Güven, bir kaynak etki alanı ile hesap etki alanı arasında oluşturulur ve tek yönlü, geçişsiz veya iki yönlü olarak yapılandırılabilir.

Güven oluşturmayı kaynak etki alanından başlatmak için, Active Directory Etki Alanları ve Güvenleri yardımcı programına erişin, etki alanını temsil eden nesneye sağ tıklayın, Güvenler sekmesine gidin ve Yeni Güven Sihirbazı ile ilerleyin.

Daha sonra yapmanız gerekenler…

Güven Adını, Güven Türünü, Güvenin Yönünü ve Güvenin Taraflarını sağlayın. Hesap etki alanında Domain Admins üyeliğine sahip hesap için Kullanıcı Adı ve Parolayı girin ve Giden Güven Kimlik Doğrulama Düzeyini yapılandırın.

Nihayet…

Giden ve gelen güvenleri onaylayın, güven oluşturma durumunu gözden geçirin ve Son'a tıklayın.

Farklı AD Güven Türleri Nelerdir?

Ağaç kökü güveni

Bir ormana yeni bir ağaç kökü etki alanı eklendiğinde, açık bir yetkilendirme olmaksızın ağaç kökleri arasında bir güven kurulur. Bu güven yalnızca her ağacın tepesinde bulunan etki alanlarını kapsar. Bu iki yönlü geçişli güvenler otomatik olarak oluşturulur.

Ebeveyn-çocuk güveni

Ağaçta yeni bir alt etki alanı oluşturarak, açık bir eyleme gerek kalmadan ebeveyn-çocuk güven ilişkisi kurulur. Bu sürecin bir parçası olarak DCPromo, yeni etki alanı ile DNS hiyerarşisinde doğrudan onun üzerindeki etki alanı arasında iki yönlü geçişli bir güven ilişkisi oluşturur.

Kısayol güveni

Ormandaki başka bir etki alanındaki bilgisayarlara erişenlerin kullanıcı oturum açma süresini iyileştirmek için, sistem yöneticisinin aynı ormandaki iki etki alanı arasında el ile bir kısayol güveni oluşturması gerekir. Bu genellikle büyük ormanlarda gereklidir ve güven geçişlidir ve bir veya iki yönlü konfigürasyon olarak kurulabilir.

Dış güven

Bir sistem yöneticisinin, farklı ormanlarda bulunan etki alanları arasında veya Active Directory ormanındaki bir etki alanı ile Windows NT 4.0 veya önceki bir etki alanı arasında harici bir güven oluşturması gerekir. Dış güven, kaynakları Windows NT 4.0 etki alanından Active Directory etki alanına aktarırken yararlı olur. Geçişli değildir ve tek yönlü ya da çift yönlü olarak kurulabilir.

Orman güveni

İki orman kök etki alanı (Windows 2003 ve sonrası) arasında orman güveni oluşturmak için sistem yöneticisinin bunu bilinçli olarak oluşturması gerekir. Bu güven, bir ormandaki tüm etki alanlarının, başka bir ormandaki tüm etki alanlarına geçişli olarak güvenmesini sağlar. Ancak bu güven geçişliliği üç veya daha fazla ormana yaymıyor. Orman güvenleri bir veya iki yönlü olabilir ve yalnızca orman işlev düzeyi Windows Server 2003 veya daha yüksek bir sürüme yapılandırıldığında erişilebilir.

Bölge güveni

Windows Kerberos olmayan bir alanı Windows 2003 veya daha yeni bir etki alanına bağlamak için sistem yöneticisinin bir bölge güveni oluşturması gerekir. Geçişli veya geçişsiz olabilir ve bir veya her iki yönde de çalışabilir.

Active Directory Güvenleri için Güvenlik Konuları

Windows Server 2003 ormanlar arası güvenler, güvenleri ve kaynaklarını tehlikeye atabilecek iki tür saldırıya karşı savunmasızdır. İlk saldırı, güvenilen bir ormandaki yönetici kimlik bilgilerine sahip kötü niyetli bir kullanıcının, güvenilen ormandaki bir kullanıcının güvenlik kimliği bilgilerini elde etmek için kimlik doğrulama isteklerini izlemesini içerir. İkinci saldırı, başka bir kuruluşun ormanındaki kötü niyetli bir kullanıcının, harici bir güven veya orman güveni tarafından oluşturulan yolu kullanarak güven duyulan bir ormandaki paylaşılan kaynaklara erişim elde etmesini içerir. Bu saldırıları önlemek için ormanlar arası güvenlerde SID filtreleme ve seçici kimlik doğrulama ayarlanabilir.

Interforest Trusts için Güvenlik Ayarları

Windows Server 2003'ün ormanlar arası güvenler için iki güvenlik seçeneği vardır: SID filtreleme ve seçici kimlik doğrulama. SID filtreleme, SID geçmişi özniteliğinin kötüye kullanılmasını önleyerek kötü niyetli kullanıcıların güvenen bir ormanın kontrolünü ele geçirmesini engeller. Kullanıcıları ve grup hesaplarını yeni alanlara taşımak için kullanılan bu özellik, saldırganlar tarafından ayrıcalıklarını yükseltmek için de kullanılabilir. Seçici kimlik doğrulama, ormanlar arası güvenden geçebilecek kimlik doğrulama isteklerinin sayısını kısıtlayarak saldırı yüzeyini azaltır. Windows, hesap geçişini kolaylaştırmak için API'ler içerse de, her iki etki alanı için de yönetici kimlik bilgileri gerektirir ve bunların kötüye kullanılması pek olası değildir.

Active Directory'de Güvenleri Korumaya Yönelik İpuçları

Active Directory'de güvenlerin güvence altına alınması, ağınızın ve verilerinizin güvenliğini korumak için çok önemlidir. Aşağıda izlenecek temel adımlardan bazıları verilmiştir:

1. Tüm güven ilişkileri için güçlü parolalar kullanın.
2. Active Directory'nizi düzenli olarak güncelleyin ve yama yapın.
3. Yetkisiz erişim girişimlerini tespit etmek için denetim ve izlemeyi etkinleştirin.
4. Tüm güven ilişkileri için iki faktörlü kimlik doğrulamayı uygulayın.
5. Güven ilişkilerinin sayısını gereken minimum düzeye sınırlayın.
6. Etki alanı çapında kimlik doğrulama yerine seçici kimlik doğrulamayı kullanacak şekilde güven kimlik doğrulamasını yapılandırın.
7. Hassas verileri ve kritik kaynakları izole etmek için ağ bölümlendirmesini uygulayın.
8. Etki alanları arasında aktarılan verileri korumak için şifrelemeyi kullanın.
9. Yetkisiz veya gereksiz güvenleri tespit etmek için tüm güven ilişkilerini düzenli olarak gözden geçirin ve denetleyin.
10. Kullanıcılarınızı güven ilişkilerini korumanın önemi ve yetkisiz erişime izin vermenin getirdiği riskler konusunda eğitin ve eğitin.