LSA Korumasını Anlamak

Özellikle günümüzün karmaşık tehdit ortamı göz önüne alındığında, Windows sunucularınızın ve Windows 10'un çalışmasının güvenliğini sağlamak hayati önem taşımaktadır. Bunlar genellikle zincirin en zayıf halkası olan kullanıcıdan yararlanılarak yapılan bir saldırıda tehlikeye atılan ilk makinelerdir. Tehdit aktörleri, hile ve sosyal mühendislik yoluyla bu makinelere erişim sağlar ve daha sonra yanlara doğru hareket ederek ayrıcalıklarını yükseltmeye çalışır. Bu nedenle uç nokta ve sunucu güvenliğini artırmak, güvenlik ihlali riskinizi önemli ölçüde azaltabilir.

Bir sunucuyu güçlendirmek için yapabileceğiniz şeylerden biri Yerel Güvenlik Yetkilisini (LSA) korumaktır. LSA, kullanıcı hakları bilgilerini, parola karmalarını ve bellekteki diğer önemli bilgi parçalarını kontrol eder ve yönetir. Mimikatz gibi saldırgan araçları, parola karmalarını veya açık metin parolalarını kazımak için bu içeriğe erişmeye güvenir. LSA Korumasını etkinleştirmek, Windows'u bellekte depolanan bilgileri daha güvenli bir şekilde kontrol edecek, özellikle de korunmayan işlemlerin bu verilere erişmesini önleyecek şekilde yapılandırır.

Korunan Süreç Nedir?

Bir işlem, bu Microsoft belgelerinde açıklanan kriterleri karşıladığında korumalı olarak kabul edilir. Özetlemek gerekirse, bir işlem Microsoft'tan doğrulanmış bir imzaya sahipse ve Microsoft Güvenlik Geliştirme Yaşam Döngüsü'ne (SDL) uyuyorsa korumalı kabul edilir. Bu iki kriter karşılanmazsa süreç, LSA tarafından bellekte kullanılan içeriğe erişemez.

LSA Korumasını Etkinleştirme

LSA Koruması kayıt defteri aracılığıyla kontrol edildiğinden, Grup İlkesi'ni kullanarak bunu tüm cihazlarınızda kolayca etkinleştirebilirsiniz: RunAsPPL değerini 1 olarak ayarlamanız yeterlidir. Bu ayar bulunabilir. SYSTEMCurrentControlSetControlLsa adresindeki kayıt defterinde.

Bu değeri 1'e ayarlamak için aşağıdaki koddan .reg dosyası olarak yararlanılabilir:

*Code Block*

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlLsa]

"RunAsPPL"=dword:00000001

*Code Block*

Ayarlarınızı İnceleme

Her sunucunun korunduğunu doğrulamak için kayıt defterinin yukarıda belirtilen bölümüne gidebilir ve değerin 1 olarak ayarlandığını doğrulayabilirsiniz.

Ancak işi biraz kolaylaştırmak için aşağıda belirli bir makinenin değerini uzaktan sorgulamanıza olanak tanıyan bir PowerShell betiği sağladım (doğru erişimin mevcut olduğu varsayılarak). [SAMPLEHOST] yerine makinenin ana bilgisayar adını yazmanız yeterli. Bu kod 0, 1 veya RunAsPPL özelliğinin mevcut olmadığını gösteren bir istisna döndürecektir. 1 döndürülmediği sürece ayar, hedeflenen bilgisayarda etkinleştirilmez.

*Code Block*

invoke-command -Computer [SAMPLEHOST] {Get-itempropertyvalue -Path "HKLM:SYSTEMCurrentControlSetControlLsa" -Name RunAsPPL}

*Code Block*