🔴 Red vs Blue #1: Pass-the-Hash (PtH) Saldırısı ve LSASS Zırhı Saldırganlar açık parolayı kırmadan da ağda admin yetkisiyle gezinebilir mi? Evet, çünkü Windows sistemlerde oturum açmak için açık parolayı bilmek zorunda değilsiniz; parolanın özeti (NTLM Hash) yeterlidir! 🔴 Kırmızı Takım (Red Team): Pass-the-Hash (PtH) Saldırgan ele geçirdiği bir bilgisayarda Mimikatz veya benzeri araçlarla LSASS (Local Security Authority Subsystem Service) belleğini okur. Adım 1: Bellekten lokal yönetici hesabının NTLM hash'i çekilir. Adım 2: Hash, kırılmaya çalışılmadan doğrudan yetkilendirme paketine yerleştirilir (sekurlsa::pth). Adım 3: Saldırgan, aynı parolayı kullanan ağdaki diğer sunuculara (Lateral Movement) açık parola girmeden admin olarak sızar. 🔵 Mavi Takım (Blue Team): Bellek Koruması ve Tespit Saldırganın bellekten hash çalmasını ve bu hash ile ağda gezinmesini engellemek için üç temel savunma hattı kurulur: LSASS Koruması (RunAsPPL) & Credential Guard: LSASS sürecini sanallaştırarak donanım seviyesinde izole eder; yetkisiz süreçlerin bellek okumasını engeller. Lokal Yönetici Parolası Yönetimi (LAPS): Her cihazda otomatik olarak benzersiz lokal admin parolası oluşturarak yatay geçişi (Lateral Movement) imkansız kılar. Wazuh / Event Log Tespiti: NTLM kullanılarak yapılan uzaktan oturum açma istekleri (Event ID 4624, Logon Type 3) izlenir. --- Wazuh SIEM NTLM PtH Şüphesi Tespiti: XML <rule id="100280" level="11">   <if_sid>60106</if_sid> <!-- Windows Event ID 4624: Successful Logon -->   <field name="win.eventdata.logonType">3</field>   <field name="win.eventdata.authenticationPackageName">NTLM</field>   <description>Uyarı: Ağ Üzerinde NTLM İle Şüpheli Yetkili Oturum Açma (PtH Riski)!</description>   <mitre>     <id>T1550.002</id> <!-- Pass the Hash -->   </mitre>   <options>no_full_log</options> </rule> --- Özet Karşılaştırma Red Team Amacı: Parolayı kırmadan NTLM hash ile ağda yatay sıçrama. Zayıflık: LSASS belleğinin korumasız olması ve cihazlarda ortak admin parolası kullanımı. Blue Team Çözümü: LAPS kullanımı + Windows Credential Guard + NTLM kısıtlaması. O zaman Mustafa soruyor: Kurumunuzdaki istemcilerde LAPS aktif mi, yoksa tüm bilgisayarlarda aynı lokal admin parolası mı dönüyor? Düşüncelerinizi yorumlarda paylaşın! 👇 Okuduğunuz için teşekkürler. Sonraki yazıma dek kendinize iyi bakın :)