Genellikle kötü niyetli kişilerin saldırı düzenlerken farklı amaçları vardır. Bazı saldırganlar bir sisteme girdikten sonra verileri hızla şifrelemeye çalışırken bazıları daha uzun süre ortamda kalarak kullanıcıları, grupları ve yetkili hesapları araştırır. Bu keşif aşamasında Active Directory üzerinde yapılan LDAP sorguları önemli bir rol oynayabilir.
Bu konunun temeline daha önce Active Directory Saldırılarının Temeli – LDAP Keşfi (LDAP Reconnaissance) yazımda değinmiştim. Önceki makalenin bağlantısını da koruyorum:
Security Principal Reconnaissance (LDAP) nedir?
Security principal; kullanıcı, bilgisayar ve güvenlik grubu gibi güvenlik kimliğine (SID) sahip Active Directory nesnelerini ifade eder. LDAP reconnaissance ise bu nesnelerin ve ilişkili niteliklerin sorgulanarak ortamın yapısının keşfedilmesidir. Örneğin kullanıcı ve grup üyelikleri ya da ayrıcalıklı hesaplar hakkında yapılan alışılmadık sorgular saldırı hazırlığının göstergesi olabilir.
LDAP sorguları tek başına kötü amaçlı değildir. Yönetim araçları, envanter ürünleri, kimlik yönetimi çözümleri ve kurumsal uygulamalar da LDAP sorguları çalıştırabilir. Bu nedenle önemli olan yalnızca sorgunun varlığı değil, sorguyu hangi cihazın yaptığı, hangi nesneleri hedeflediği ve alışılmış davranıştan ne ölçüde saptığıdır.
Azure ATP ekran görüntüsü ve güncel ürün adı
Yazının ilk yayımlandığı dönemde bu algılama Azure Advanced Threat Protection (Azure ATP) içerisinde yer alıyordu. Aşağıdaki ekran görüntüsü, eski ürün arayüzünü ve tarihsel yapılandırmayı göstermektedir; güncel portal ekranı değildir.
Azure ATP teknolojisi günümüzde Microsoft Defender for Identity olarak sunuluyor. Uyarıların incelenmesi ve olay korelasyonu Microsoft Defender portalı üzerinden yapılır. Kurulum, algılama kaynağı ve kullanıcı arayüzü eski ekran görüntüsünden farklı olabilir.
LDAP keşfi uyarısı neyi tespit eder?
Microsoft Defender for Identity içerisindeki klasik Security principal reconnaissance (LDAP) algılaması, beklenmeyen LDAP enumeration sorgularına ve hassas grupları hedef alan alışılmadık keşif davranışlarına odaklanır. Bu klasik algılamanın External ID değeri 2038 olarak belgelenmiştir. Yeni Defender biçimindeki uyarıların adları ve algılama mantıkları farklı olabileceğinden alarm adını ve Detection source alanını birlikte kontrol etmek gerekir.
Bu bir tespit ve uyarı yeteneğidir. Tek başına LDAP trafiğini engelleyen bir ağ güvenlik duvarı olarak düşünülmemelidir. Microsoft Defender ekosistemindeki otomatik inceleme ve yanıt mekanizmaları devreye girebilse de bunlar mevcut yapılandırmaya ve uyarı türüne bağlıdır.
Öğrenme süresi neden önemli?
Eski yazıda ortalama 10 günlük bir öğrenme süresinden söz etmiştim. Microsoft’un güncel güvenlik testi rehberine göre Security principal reconnaissance (LDAP), External ID 2038 için belirtilen öğrenme süresi bilgisayar başına, ilgili cihazdan ilk olayın gözlemlendiği tarihten itibaren 15 gündür. Bu süreyi tüm Defender for Identity algılamalarının ortak ayarı gibi değerlendirmemek gerekir; uyarılar arasında farklı süreler vardır.
Ayrıca algılama eşiklerini değiştirmek hassasiyeti ve yanlış pozitif sayısını etkileyebilir. Örneğin ilgili LDAP algılamasında Medium eşiği, öğrenme süresi beklenmeden alarm üretimini ve sık görülen sorgulara yönelik filtrelemenin devre dışı kalmasını sağlayabilir. Bu nedenle üretim ortamlarında eşik değişikliği yaparken SOC ekibiyle birlikte pilot değerlendirme yapılmalıdır.
Bir uyarı geldiğinde neleri inceleriz?
- Kaynak cihaz: LDAP sorgularını hangi bilgisayar başlatmış? Bu cihazın kurumsal görevi nedir?
- Kullanıcı ve servis hesabı: Sorguları yapan güvenlik bağlamı beklenen bir kimlik mi?
- Hedeflenen nesneler: Hassas gruplar, ayrıcalıklı kullanıcılar veya olağandışı öznitelikler sorgulanmış mı?
- Zaman ve davranış: Sorgu normal bakım/denetim işi sırasında mı gerçekleşmiş, önceki davranıştan sapma var mı?
- Diğer güvenlik sinyalleri: Başarısız oturum açmalar, şüpheli süreçler, Kerberos olayları veya cihazdaki başka uyarılar var mı?
Uyarıyı incelerken Microsoft Defender portalındaki Alert details, ilgili varlıklar ve olay zaman çizelgesinden yararlanabilirsiniz. Tek bir LDAP sorgusundan hareketle doğrudan hesap ele geçirildiği sonucuna varmak doğru değildir.
LDAP keşfi riskini nasıl azaltabiliriz?
- Active Directory ayrıcalıklarını asgari yetki ilkesiyle yönetin ve kullanılmayan yetkili hesapları gözden geçirin.
- Yüksek yetkili hesaplarda güçlü kimlik doğrulama, ayrıcalıklı oturum yönetimi ve uygun koruma kontrollerini uygulayın.
- Defender for Identity sensörlerinin gerekli Domain Controller kapsamını sağladığını ve düzgün veri gönderdiğini doğrulayın.
- Rutin envanter ve kimlik yönetimi uygulamalarından gelen LDAP trafiğini belgeleyin; alarmları bütünüyle susturmak yerine kanıta dayalı ayarlama yapın.
- Şüpheli keşif etkinliğini diğer kimlik, uç nokta ve ağ olaylarıyla birlikte değerlendirin.
Microsoft belgeleri
Microsoft Defender for Identity klasik uyarıları, algılama öğrenme süreleri ve uyarı eşiklerinin yönetimi konularında güncel bilgiler içeriyor.
Özetlemek gerekirse LDAP üzerinden kullanıcı ve grup keşfi, saldırganların Active Directory ortamını tanımak için kullanabildiği bir tekniktir. Defender for Identity bu davranışları anlamlandırarak şüpheli keşifleri görünür kılmaya yardımcı olur. Önemli olan yalnızca alarm üretmek değil, normal iş yükünü saldırı hazırlığından doğru şekilde ayırabilmektir.
