Active Directory (AD), Fortune 1000 şirketlerinin %90’ından fazlasında temel kimlik ve erişim yönetimi altyapısı olarak görev yapıyor. Hibrit ve bulut ortamlarının yaygınlaşmasıyla AD’nin karmaşıklığı ve saldırı yüzeyi önemli ölçüde genişledi. AD, kullanıcı, cihaz ve uygulama kimlik doğrulama süreçlerinin merkezinde yer alır; bu nedenle saldırganlar için öncelikli hedef haline gelmiştir. AD’nin ele geçirilmesi, tüm ağ üzerinde tam kontrol sağlamak anlamına gelir.

Active Directory’nin Saldırı Hedefi Olmasının Sebepleri

AD, işletmelerin dijital kapı bekçisi olarak işlev görür. Saldırganlar AD’yi ele geçirdiğinde, hesap oluşturma, izin değişikliği, güvenlik politikalarını devre dışı bırakma ve yatay hareket gibi kritik ayrıcalıklara erişim kazanır. Bu yetenekler, saldırganların çoğu güvenlik uyarısını tetiklemeden hareket etmesine olanak tanır. 2024 yılında yaşanan Change Healthcare ihlali, AD’nin ele geçirilmesinin sonuçlarını gözler önüne serdi; çok faktörlü kimlik doğrulaması olmayan bir sunucu üzerinden AD’ye geçiş yapıldı, ayrıcalıklar yükseltildi ve milyonlarca dolarlık fidye talep edilen bir saldırı gerçekleştirildi.

Yaygın Active Directory Saldırı Teknikleri

• Golden Ticket Saldırıları: Sahte Kerberos biletleri üreterek aylarca tam alan erişimi sağlar.
• DCSync Saldırıları: Alan denetleyicilerinden parola karmalarını doğrudan çekmek için replikasyon izinlerini kullanır.
• Kerberoasting: Zayıf parolalı hizmet hesaplarını hedef alarak ayrıcalık yükseltir.

Bu saldırılar, MCP istemcisi gibi araçlarla otomatikleştirilebilmekte ve saldırganların AD ortamında hızlıca hareket etmesine olanak tanımaktadır. Ayrıca, Pydantic AI tabanlı analiz araçları, anormal AD aktivitelerini tespit etmekte kullanılabilir.

Hibrit Ortamların Getirdiği Güvenlik Zorlukları

Hibrit AD yapıları, yerel alan denetleyicileri, Azure AD Connect senkronizasyonu, bulut kimlik servisleri ve çoklu kimlik doğrulama protokollerini içerir. Bu karmaşıklık, saldırganların OAuth token ihlalleri ve NTLM gibi eski protokolleri kullanarak ortamlar arasında geçiş yapmasını kolaylaştırır. Örneğin, konteyner tabanlı uygulamalarda rastgele açılan SSH portları, saldırı yüzeyini artırmakta ve kötü niyetli aktörlerin lateral hareket kabiliyetini güçlendirmektedir.

Active Directory’deki Kritik Zafiyetler ve Saldırganların Kullandığı Yöntemler

• Zayıf Parolalar: Kullanıcıların aynı parolaları birden fazla hesapta kullanması, saldırganların bir ihlalle çok sayıda sistemi açığa çıkarmasına neden olur. Standart sekiz karakterlik karmaşıklık kuralları, modern GPU tabanlı kırma teknikleri karşısında yetersiz kalmaktadır.
• Hizmet Hesabı Problemleri: Süresi dolmayan veya nadiren değiştirilen parolalar ve aşırı izinler, yatay hareketi kolaylaştırır.
• Önbelleğe Alınmış Kimlik Bilgileri: İş istasyonlarında RAM’de saklanan yönetici kimlik bilgileri, mimikatz gibi araçlarla kolayca çıkarılabilir.
• Zayıf Görünürlük: Ayrıcalıklı hesapların kullanım detaylarının izlenememesi, saldırıların tespitini zorlaştırır.
• Eski Erişim Hakları: Ayrılan çalışanların erişimlerinin kaldırılmaması, eski hesapların saldırganlar tarafından kullanılmasına zemin hazırlar.

2025 Nisan ayında keşfedilen ve kritik olarak sınıflandırılan bir AD açığı (CVE-2025-XXXX) düşük seviyeli erişimden sistem seviyesine yükseltme sağlıyor. Microsoft tarafından yayımlanan yama, birçok kurum tarafından hızlıca uygulanamadığı için risk devam ediyor. Bu tür zafiyetler için NIST Ulusal Güvenlik Açığı Veritabanı takip edilmelidir.

Modern Yaklaşımlarla Active Directory Güvenliğinin Artırılması

AD güvenliği, kimlik bilgisi hırsızlığı, ayrıcalık yönetimi ve sürekli izleme katmanlarını içeren çok katmanlı bir strateji gerektirir. Güçlü parola politikaları, Specops Password Policy gibi çözümlerle desteklenmeli; bu tür araçlar 4 milyardan fazla ele geçirilmiş parolayı engelleyerek gerçek zamanlı koruma sağlar. Dinamik geri bildirim mekanizmaları, kullanıcıların hatırlanabilir ve güçlü parolalar oluşturmasına yardımcı olur.

Ayrıcalıklı erişim yönetimi (PAM) sistemleri, yönetici haklarının ne zaman ve nasıl kullanıldığını sınırlandırarak riski azaltır. Zamanında erişim ve ayrıcalıklı erişim iş istasyonları kullanımı, kimlik bilgisi hırsızlığını önlemede kritik öneme sahiptir.

Sıfır güven (Zero Trust) prensipleri, AD ortamlarında koşullu erişim politikalarıyla uygulanmalıdır. Kullanıcı konumu, cihaz durumu ve davranış analizi temel alınarak çok faktörlü kimlik doğrulama zorunlu kılınmalıdır.

Sürekli izleme araçları, grup üyeliği değişiklikleri, olağandışı replikasyon faaliyetleri ve şüpheli oturum açma denemeleri gibi olayları gerçek zamanlı olarak takip eder. Bu sayede saldırılar büyümeden tespit edilip engellenebilir.

Yama yönetimi, alan denetleyiciler için kritik bir süreçtir. Güvenlik güncellemeleri mümkün olan en kısa sürede uygulanmalı, yamalanmamış sistemler saldırganlar tarafından aktif olarak taranıp hedef alınmaktadır.

Sonuç ve Öneriler

Active Directory güvenliği, tamamlanmış bir proje değil, sürekli gelişim ve dikkat gerektiren bir süreçtir. Saldırganlar tekniklerini sürekli geliştirirken, kurumların da güvenlik önlemlerini güncel tutması zorunludur. Parola güvenliği, ayrıcalıklı erişim yönetimi, sıfır güven prensipleri ve sürekli izleme, AD’nin korunmasında temel taşlardır. Ayrıca, MCP istemcisi ve AsyncRAT gibi araçların kötüye kullanımına karşı da önlemler alınmalıdır.

Specops Password Policy gibi entegre çözümler, ele geçirilmiş kimlik bilgilerini önceden engelleyerek proaktif koruma sağlar. Canlı demo talepleriyle bu tür çözümler kurumlara tanıtılabilir.

Detaylı teknik analiz ve güncel zafiyet bilgileri için NIST Ulusal Güvenlik Açığı Veritabanı ve MITRE ATT&CK – Kerberoasting kaynakları takip edilmelidir.