Active Directory Nedir? Saldırganlar Neden Onu Hedefler?

Bir şirkette sabah bilgisayarını açıp tek parolayla e-postana, dosya sunucusuna ve muhasebe programına giriyorsan, arkada büyük ihtimalle Active Directory çalışıyor. Bu kolaylık, saldırgan için de aynı kolaylık demek. Active Directory'yi ele geçiren, şirketin anahtar dolabını ele geçirir.

Bu yazıda Active Directory'nin parçalarını, Kerberos ve GPO'nun ne işe yaradığını, saldırganların onu neden ilk hedef seçtiğini ve savunmanın nereden başladığını anlatıyoruz. Saldırı komutu ya da adım adım istismar yok; kavram, iz ve önlem var.

Active Directory nedir?

Active Directory, Microsoft'un Windows ağlarında kullanıcı, bilgisayar ve yetkileri merkezden yöneten dizin hizmetidir. Kısaltması AD'dir. Asıl rolün adı Active Directory Domain Services (AD DS) olarak geçer. AD; kullanıcı hesaplarını, grupları, bilgisayar hesaplarını ve bunlara ait kimlik bilgilerini tek bir veritabanında tutar.

AD iki temel soruyu cevaplar: "Sen kimsin?" ve "Neye erişebilirsin?" Birincisi kimlik doğrulamadır, ikincisi yetkilendirme. Bir çalışan işten ayrıldığında tek bir hesabı kapatırsın, erişimi her sistemden aynı anda düşer. Bu merkezîlik AD'nin hem gücü hem de riskidir.

Active Directory'nin temel parçaları nelerdir?

Active Directory'nin temel parçaları domain, domain controller, organizasyon birimi, grup ve GPO'dur. Aşağıdaki tablo her birini ve güvenlik açısından neden önemli olduğunu özetliyor.

Domain controller'lar AD verisini birbirine çoğaltır. Bir DC'de yapılan değişiklik kısa sürede diğerlerine yayılır. Bu yüzden bir DC'nin ele geçirilmesi, hepsinin ele geçirilmesi gibi düşünülmelidir.

Kerberos nedir, AD'de giriş nasıl çalışır?

Kerberos, Active Directory'nin varsayılan kimlik doğrulama protokolüdür ve parolayı ağda dolaştırmadan bilet kullanır. Akış sade haliyle şöyle:

1. Kullanıcı oturum açar. Bilgisayar, DC üzerindeki anahtar dağıtım merkezinden (KDC) bir bilet verme bileti (TGT) ister.
2. KDC kimliği doğrular ve süreli bir TGT verir.
3. Kullanıcı bir dosya sunucusuna erişmek istediğinde, TGT'yi göstererek o sunucuya özel bir servis bileti alır.
4. Dosya sunucusu bileti doğrular ve erişim verir.

Biletlerin süresi sınırlıdır ve makinelerin saatleri birbirine yakın olmalıdır. Kerberos'tan önce kullanılan NTLM protokolü hâlâ birçok ağda geriye dönük uyumluluk için açıktır ve daha zayıf kabul edilir.

Kerberos'ta güncel bir değişiklik de var. Microsoft, KB5073381 duyurusuyla Kerberos'ta eski RC4 şifrelemesini varsayılan olarak kapatma sürecini başlattı. Ocak 2026'da denetim aşaması, Nisan 2026'da varsayılan olarak yalnız AES kullanımı geldi. Temmuz 2026 güncellemeleriyle geri dönüş ayarı da kaldırıldı. RC4'e bağımlı eski uygulaması olan kurumlar bu takvimi kontrol etmeli.

GPO nedir, ne işe yarar?

GPO (Group Policy Object), AD'deki bilgisayar ve kullanıcılara güvenlik ve yapılandırma ayarlarını merkezden dağıtan ilke nesnesidir. Parola uzunluğu, ekran kilidi süresi, USB kısıtı ya da güvenlik duvarı kuralları GPO ile tüm şirkete tek seferde uygulanır.

GPO'lar OU'lara bağlanır ve DC'deki SYSVOL paylaşımı üzerinden dağıtılır. Savunma için güçlü bir araçtır: denetim ilkelerini açmak, eski protokolleri kapatmak ve yerel yönetici parolalarını yönetmek GPO ile yapılır. Ama aynı güç saldırganın da işine yarar. GPO düzenleme yetkisine sahip bir hesap, bağlı olduğu tüm makinelere ayar itebilir. Bu yüzden GPO düzenleme yetkisi, yönetici yetkisi kadar sıkı korunmalıdır.

Saldırganlar Active Directory'yi neden hedefler?

Saldırganlar Active Directory'yi hedefler, çünkü AD'yi ele geçiren kişi ağdaki neredeyse her sisteme meşru bir kullanıcı gibi girebilir. Fidye yazılımı grupları için de AD, şifreleyiciyi tek hamlede binlerce makineye dağıtmanın en kısa yoludur.

Tipik bir saldırı bir kullanıcı bilgisayarında başlar: oltalama e-postası ya da zayıf bir parola. Saldırgan oradan AD'yi sorgular, yetkili hesapları ve zayıf yapılandırmaları arar, sonra adım adım daha yetkili hesaplara geçer. Bu yanal hareketin hedefi Domain Admins grubu ve domain controller'dır.

Saldırı adlarını bilmek, savunmayı doğru yere koymayı kolaylaştırır. Aşağıdaki tablo, MITRE ATT&CK'te tanımlı yaygın AD tekniklerini savunma gözüyle özetliyor.

MITRE'nin Kerberoasting sayfası tespit için 4769 olayında RC4 (0x17) şifreli bilet isteklerini ve kısa sürede çok sayıda servis bileti isteyen hesapları izlemeyi öneriyor. Bu tür testleri yalnız yazılı izinle, kendi laboratuvarında ya da yetkili bir sızma testi kapsamında yapabilirsin; izinsiz erişim TCK 243 ve 244. maddelerde suçtur.

Active Directory nasıl korunur?

Active Directory'yi korumanın temeli, yönetici hesaplarını katmanlara ayırmak ve DC'ye giden yolu daraltmaktır. Önceliğe göre sırala:

1. Katmanlama (tiering). Microsoft'un klasik AD katman modelinde Tier 0, DC'leri ve onları yöneten hesapları kapsar. Tier 1 sunucuları, Tier 2 kullanıcı bilgisayarlarını. Bir Tier 0 hesabı asla Tier 2 bilgisayarda oturum açmaz. Microsoft bu modeli bugün "enterprise access model" adıyla kontrol, yönetim ve veri düzlemlerine genişletmiş durumda.
2. Windows LAPS. Her bilgisayarın yerel yönetici parolasını farklı ve dönen bir parola yapar. Microsoft'a göre Windows LAPS, 11 Nisan 2023 güncellemeleriyle Windows'a yerleşik geldi ve ücretsizdir. Eski Microsoft LAPS ise Windows 11 23H2 ve sonrasında kullanımdan kaldırıldı.
3. Ayrı yönetici hesabı. Yöneticiler e-posta ve web için normal hesap, yönetim için ayrı hesap kullanır. Yönetim işleri ayrı ve sertleştirilmiş bir iş istasyonundan yapılır.
4. Servis hesaplarını düzelt. Mümkünse gMSA (grup yönetimli servis hesabı) kullan. Değilse 25 karakterden uzun parola ver ve servis hesaplarını Domain Admins grubundan çıkar.
5. Eski protokolleri kapat. RC4'ü bırak, NTLM kullanımını ölç ve daralt.
6. Ayrıcalıklı grupları küçült. Domain Admins ve Enterprise Admins üyelerini düzenli gözden geçir; günlük işte bu gruplara ihtiyaç olmamalı.

Active Directory'de hangi olaylar izlenmeli?

Active Directory'de en değerli izler, yetkili gruplardaki değişiklikler ve Kerberos bilet istekleridir. Microsoft'un "Events to Monitor" listesinden seçilmiş şu olay kimlikleri iyi bir başlangıçtır:

Microsoft, birçok denetim ilkesinin varsayılan olarak yapılandırılmamış geldiğini hatırlatıyor. Yani bu olayların bir kısmını görmek için önce gelişmiş denetim ilkesini GPO ile açman gerekir. Olayları tek tek makinelerde değil, bir merkezde toplamak işini kolaylaştırır. Ücretsiz bir seçenek için Wazuh nedir yazısına, genel mantık için SIEM nedir yazısına bak.

Active Directory ile Entra ID arasındaki fark nedir?

Active Directory şirket içindeki Windows ağını yönetir, Microsoft Entra ID (eski adıyla Azure AD) ise bulut uygulamalarına kimlik hizmeti verir. Adları benzese de aynı ürün değildir. AD Kerberos, LDAP ve GPO ile çalışır; Entra ID ise OAuth, SAML ve OpenID Connect gibi web protokolleriyle. Birçok kurum ikisini birlikte, hibrit olarak kullanır. Bu durumda şirket içi AD'nin ele geçirilmesi, eşitleme yoluyla bulut tarafını da etkileyebilir.

Active Directory güvenliğini nerede öğrenirsin?

Active Directory güvenliğine en iyi, Windows temellerini ve olay kayıtlarını uygulamalı okuyarak başlarsın. AltaySec Akademi'de ücretsiz Olay günlükleri, servisler ve Active Directory'ye giriş dersi temeli kurar. Windows olay kimlikleri dersi yukarıdaki tabloyu kayıt üzerinde gösterir. Ardından saha görevlerindeki "Parola Püskürtme İzi" senaryosunda gerçek bir 4625 dalgasını kendin çözersin.

Savunma tarafında ilerlemek istersen Mavi Takım yolu, saldırganın bakışını yasal sınırlar içinde öğrenmek istersen Kırmızı Takım yolu seni bekliyor. İki rol arasındaki farkı mavi takım kırmızı takım farkı yazısında anlattık.

Kaynaklar

• Microsoft Learn, Appendix L: Events to Monitor
• Microsoft Learn, Windows LAPS overview
• Microsoft Learn, Enterprise access model
• Microsoft Support, KB5073381: Kerberos KDC RC4 değişiklikleri (CVE-2026-20833)
• MITRE ATT&CK, T1558.003 Kerberoasting