⚔️ Red vs. Blue #6 — Active Directory'nin Yumuşak Karnı: Kerberoasting Saldırısı ve Savunma Herkese Selamlar, Bugün sizlerle birlikte kurumsal ağların kalbi olan Active Directory (AD) yapılarında saldırganların en çok sevdiği, savunmacıların ise tespit etmekte zorlandığı efsanevi bir teknikle başlıyoruz: Kerberoasting. Bir kurumsal ağa sızan saldırganın ilk hedefi yetki yükseltmektir (Privilege Escalation). Kerberoasting, saldırgana domain içindeki servis hesaplarına ait TGS biletlerini elde edip bu biletler üzerinden çevrimdışı parola tahmini yapma fırsatı verir. Eğer hedef servis hesabı yüksek ayrıcalıklara sahipse, saldırının etkisi çok daha ciddi hale gelebilir. Peki bu mekanizma hem saldırı (Red) hem savunma (Blue) tarafında nasıl çalışıyor? Adım adım inceleyelim: 🔴 Red Team (Saldırı Perspektifi): TGS Bileti Talep Etme: Active Directory ortamında bir servis (MS SQL, IIS, SharePoint vb.) çalışıyorsa, bu servisin bir SPN (Service Principal Name) kaydı olur. Ağdaki herhangi bir standart kullanıcı, Domain Controller'dan (DC) bu servis için bir TGS (Ticket Granting Service) bileti isteyebilir. Şifreli Veriyi Çekme: DC'nin istemciye gönderdiği TGS bileti, ilgili servis hesabının uzun dönemli anahtarıyla korunur. Saldırgan bu bileti elde ettikten sonra parola tahminlerini çevrimdışı gerçekleştirebilir. Saldırgan bu şifreli bileti hafızadan çeker. Çevrim Dışı Kırma (Offline Cracking): Saldırgan bileti aldıktan sonra ağda hiçbir iz bırakmaz. Bileti kendi bilgisayarına götürür ve Hashcat / John the Ripper gibi araçlarla çevrim dışı brute-force atar. Hesap kilitlenme (Account Lockout) riski sıfırdır çünkü denemeler Active Directory üzerinde değil, saldırganın kendi makinesinde yapılır. Parola zayıfsa, servis hesabının şifresi dakikalar içinde kırılır. 🔵 Blue Team (Savunma Perspektifi): gMSA (Group Managed Service Accounts) Kullanımı: Servis hesaplarına elle parola vermek yerine, parolaları Active Directory tarafından otomatik yönetilen ve düzenli olarak değiştirilen gMSA hesaplarına geçilmelidir. Zayıf Algoritmaları Kapatmak: Kerberos ortamında eski RC4-HMAC kullanımını mümkün olduğunca azaltmak/kapatmak ve uygun durumlarda AES tabanlı şifrelemeyi tercih etmek, Kerberoasting'in çevrimdışı kırma aşamasını zorlaştırır. Honeypot SPN (Honey-Token) Kurmak: Ağda gerçekte var olmayan ama cazip görünen sahte bir SPN hesabı tanımlanır. Bu hesaba birisi TGS isteğinde bulunduğu an SIEM/SOC paneline devasa bir alarm düşer. Çünkü gerçek bir uygulama o hesabı asla çağırmayacaktır! 📌 Siber Güvenlik Dersi: Kerberoasting bir yazılım hatası değil, Kerberos'un çalışma mantığından yararlanan bir saldırı tekniğidir. Bu yüzden sistemleri sadece güncellemek yetmez; servis hesaplarının parolalarını insan tahminine bırakmayan mimariler (gMSA) kurmak ve eski şifreleme yöntemlerini azaltmak gerekir. "Saldırgan kapıyı kırmadan anahtarı ele geçirmek ister; Kerberoasting ise servis biletlerini bu amaçla kullanır." 💬 Mustafa soruyor: Siz şirketinizde veya yönettiğiniz Active Directory yapılarında servis hesaplarını oluştururken hala manuel parolalı standart hesaplar mı kullanıyorsunuz, yoksa gMSA yapısına geçenlerden misiniz? Yorumlarda buluşalım! 👇