Kısıtsız Delegasyon

Kısıtlanmamış delegasyon ciddi bir siber güvenlik riskini temsil eder. Bir saldırgan, AD ortamındaki kullanıcı ve bilgisayar nesnelerine uygulanan Active Directory yetkilendirme denetimlerini kötüye kullanmaya yönelik adımlar atarak yanlara doğru hareket edebilir ve hatta etki alanının kontrolünü ele geçirebilir.

Bu blog yazısı, bu saldırı alanını (kısıtlanmamış delegasyon) araştırıyor ve güvenlik ekiplerine ve yöneticilere bu güvenlik riskini azaltmaya yönelik etkili stratejiler sunuyor.

Kısıtsız delegasyon nedir?

Yetki verme, bir kullanıcının veya bilgisayarın kaynaklara (arka uç veritabanı sunucuları gibi) erişmek için başka bir hesabın kimliğine bürünmesine olanak tanır. Yetkilendirmenin, Microsoft'un bu blog yayınında ele aldığı çeşitli pratik uygulamaları vardır.

Bir kullanıcı veya bilgisayar hesabındaki Yetki sekmesini kullanarak, sınırlandırılmamış veya sınırlandırılmış yetkilendirmeyi yapılandırabilirsiniz:

• "Herhangi bir hizmete yetki vermek için bu bilgisayara güven (yalnızca Kerberos yetkisi)" seçeneğini belirleyerek kısıtlamasız'ı etkinleştirmiş olursunuz.
• Alternatif olarak, kısıtlı yetkilendirme olan belirli Hizmet Asıl Adlarını (SPN'ler) belirterek kullanıcının veya bilgisayarın hangi hizmetlerin kimliğine bürünebileceğini kısıtlayabilirsiniz.

Başka bir seçeneğin, yetki vermenin kaynağa erişen hesaplar yerine kaynak üzerinde yapılandırıldığı kaynak tabanlı kısıtlı yetkilendirme (RBCD) olduğunu unutmayın. RBCD, Windows PowerShell kullanılarak ayarlanabilir.

Kısıtlanmamış delegasyonun riskleri nelerdir?

Kısıtlanmamış yetkilendirmeye karşı çeşitli saldırılar gerçekleştirilebilir: bunlardan bazıları bu blog yayınında harmj0y tarafından ele alınırken, diğerlerini Sean Metcalf açıklamaktadır. Bir çifti inceleyelim.

Örnek 1: Kısıtlanmamış yetkilendirmeyi kötüye kullanarak tüm AD ormanını tehlikeye atma

Güvenlik araştırmacıları, bir ormandaki sınırlandırılmamış delegasyona sahip bir makineyi tehlikeye atan bir saldırganın, başka bir ormanı ve içindeki her etki alanını nasıl tehlikeye atabileceğini gösterdi. İki yönlü bir güveniniz varsa, saldırgan MS-RPRN yazıcı hatasını kullanarak bir DC'nin kimlik doğrulama bilgilerini saldırgana geri göndermesine neden olabilir ve böylece güvenilen etki alanını tehlikeye atmak için DCSync'i kullanabilir. Örneğin, şirketiniz küçük bir şirket satın alıp etki alanını sizinkine kattıysa, küçük ortamdaki bir sistemi tehlikeye atan bir saldırgan, şirketinizin tüm ormanını ele geçirebilir ki bu kesinlikle iyi bir durum değildir.

Bu hataya bir düzeltme sağlamak üzere bir KB makalesi yayımlandı ve Windows Server 2012 ve sonraki sürümlerde bunu önleyecek bir güvenlik ayarı vardır, ancak bu varsayılan olarak açılmayabilir.

Örnek 2: Yanal hareketi mümkün kılmak için kısıtlanmamış yetkilendirmeden yararlanma

İşte başka bir senaryo. Bir bilgisayar için kısıtlanmamış yetkilendirme açıksa, bir hesap bu bilgisayara her bağlandığında, Anahtar Dağıtım Merkezi'nden (KDC) gelen bilet verme biletleri (TGT), bilgisayar tarafından daha sonra kullanılmak üzere bellekte saklanır. Makinenin güvenliği ihlal edilirse, düşman bu TGT'yi alabilir ve onu kötüye kullanarak büyük zarar verebilir; özellikle de TGT son derece ayrıcalıklı bir kullanıcı içinse.

Örneğin, bir Etki Alanı Yöneticisinin, paylaşılan bir klasöre erişerek Ortak İnternet Dosya Sistemi (CIFS) üzerinden belirli bir bilgisayara eriştiğini varsayalım. Kısıtlamasız delegasyon açık olmadığında, bellekte yalnızca bilet veren sunucu (TGS) depolanır; bu bilet yalnızca yerel makinedeki CIFS hizmetine erişim sağlar, dolayısıyla rakip onu yatay hareket etmek için kullanamaz. Bunu, yalnızca kullanıcının hizmet biletini (TGS) döndüren Mimikatz komutunu sekurlsa::tickets /export kullanarak görebiliriz:

Bununla birlikte, kısıtlanmamış yetkilendirme etkinleştirilirse komut, yönetici hesabı için TGT'yi döndürür; bu, bir saldırganın Bilet Geçişi saldırısında tüm etki alanını tehlikeye atmak için kullanabileceği bir TGT'dir.

Sisteme bağlanan herhangi bir kullanıcıdan TGT toplamak için saldırgan aşağıdaki PowerSpoit komutunu kullanabilir:

Kısıtsız Yetkiyi Etkinleştirmek için Gerekli Haklar

Bir nesnenin yetkilendirme kontrollerini yönetebilmek için kullanıcının aşağıdaki haklara ihtiyacı vardır:

• SeEnableDelegationPrivilege, bir kullanıcı hakkı, bir etki alanı denetleyicisinin yerel güvenlik politikası tarafından kontrol edilir ve aşağıda gösterildiği gibi "Bilgisayar ve kullanıcı hesaplarına yetki verme için güvenilmesini etkinleştir" Grup Politikası ayarı aracılığıyla yönetilir.
• Bu Grup İlkesi ayarının depolandığı bilgisayar için msDS-AllowedToDelegateTo ve userAccountControl özelliklerini güncelleme yeteneği

Kısıtlanmamış Yetkiyi Bulma

Kısıtlanmamış yetkilendirmenin nerede etkinleştirildiğini öğrenmek için aşağıdaki PowerShell betiğini kullanabilirsiniz. Yetkilendirmenin kısıtlama olmaksızın nerede açıldığını görmek için tüm bilgisayarların Kullanıcı Hesabı Denetimi (UAC) değerini kontrol edecektir.

Ayrıca SeEnableDelegationPrivilege hakkının kime verildiğine de bakmak isteyebilirsiniz. Bunu yapmak için PowerSploit ve Get-DomainPolicy komutunu kullanabilirsiniz.

Kısıtsız Yetkilendirmeden Kaynaklanan Riski Azaltmaya Yönelik En İyi Uygulamalar

Kısıtlanmamış delegasyondan kaynaklanan riski azaltmak için aşağıdakilerin yapılması önerilir:

• Kısıtlanmamış delegasyonun gerçekten gerekli olup olmadığını araştırın. Çoğu durumda, kısıtlanmamış yetkilendirme yanlışlıkla etkinleştirilmiştir ve ya tamamen devre dışı bırakılabilir ya da kısıtlı yetkilendirmeye ya da kaynak tabanlı kısıtlı yetkilendirmeye dönüştürülebilir. Bir etki alanı denetleyicisine (DC) kısıtlı temsilci ataması yapılandırmanın önerilmediğini unutmayın; çünkü kısıtlı bir temsilci hesabının güvenliğini ihlal eden bir saldırgan, DC'deki herhangi bir hizmette herhangi bir kullanıcının kimliğine bürünebilir.
• Hassas hesapların yetkilendirmede kullanılmasını engellemek için “Bu hesap hassastır ve yetki verilemez” seçeneğini kullanın.
• Ayrıcalıklı kullanıcıları Korunan Kullanıcılar grubuna yerleştirin. Bu, bunların yetkilendirmede kullanılmasının önlenmesine yardımcı olur ve kimlik doğrulaması yapıldıktan sonra TGT'lerinin bilgisayardan uzak tutulmasına yardımcı olur.
• Yetki verilen hesapların etkinliğini yakından izleyin. Her türlü yetkilendirmenin yapılandırıldığı ve kullanıldığı tüm sistemler şüpheli etkinlik açısından izlenmelidir.

Netwrix nasıl yardımcı olabilir?

Kısıtlanmamış delegasyon, kötü niyetli kişilerin Active Directory ortamınıza erişim sağlamak ve kalıcılık sağlamak için kullanabileceği çok sayıda saldırı vektöründen biridir. Netwrix Active Directory Güvenlik Çözümü ile şunları yapabileceksiniz:

• Gereksiz yetki verme, aşırı izinler, geçerli ayrıcalıklar ve yanlış GPO yapılandırmaları dahil olmak üzere güvenlik risklerini keşfedin ve azaltma çabalarınızı önceliklendirin.
• Tüm BT altyapınızda güvenli yapılandırmalar oluşturun ve güçlendirilmiş temelinizdeki uygunsuz değişiklikleri belirleyip düzelterek bunları koruyun.
• Kerberoasting, DCSync, dit çıkarma ve Altın Bilet saldırıları gibi gelişmiş tehditleri anında tespit edin ve bunlara yanıt verin.
• Hasarı en aza indirmek için bilinen saldırılara tepkiyi otomatikleştirin.
• Bir güvenlik ihlali veya başka bir olay durumunda Active Directory'nin hızlı bir şekilde kurtarılmasını sağlayın.

SSS

Active Directory'de ne tür yetkilendirmeler mevcuttur?

Kuruluşunuzun kullanabileceği 3 tür yetkilendirme vardır:

• Kısıtlanmamış delegasyon
• Kısıtlı delegasyon
• Kaynak tabanlı kısıtlı yetkilendirme (RBCD)

Kaynak tabanlı kısıtlı yetkilendirme (RBCD) nedir?

RBCD ile, bir kaynağa sahip olan bir yönetici, o kaynağa erişim yetkisi verebilir.

RBCD'yi nasıl yapılandırabilirim?

Kullanıcılar adına erişime izin verecek şekilde bir kaynak hizmeti yapılandırmak için Windows PowerShell cmdlet'lerini kullanabilirsiniz (New-ADComputer, New-ADServiceAccount, New-ADUser, Set-ADComputer, Set-ADServiceAccount ve Set-ADUser) PrincipsAllowedToDelegateToAccount parametresiyle.