🐹 Mustafa ile Öğreniyorum #14: Papatya Çayından Bir Yudum Al ve…

🐹 Mustafa ile Öğreniyorum #14: Papatya Çayından Bir Yudum Al ve Dinle (Active Directory Ağında Sessiz Mayın: Kerberoisting Saldırısı ve TGS Bilet Hırsızlığı) Selamlar değerli topluluk üyeleri ve siber güvenlik meraklıları! Geçtiğimiz bölümlerde dışarıdan gelen kimlik avı (AiTM) ve FIDO2 zırhını incelemiştik. Peki ya saldırgan kurumsal iç ağa (Active Directory) sıradan bir yetkisiz kullanıcı hesabıyla sızmayı başardıysa? İşte bugün, iç ağ sızma testlerinin (Red Team) vazgeçilmezi ve kurumsal Domain Admin hesaplarının korkulu rüyası olan Kerberoisting tekniğini ve savunma anatomisini inceleyeceğiz. 🧠 1. Nedir Bu Kerberoisting? (Domain Yetkisi Olmadan Şifre Çalma Sanatı) Active Directory ortamlarında kimlik doğrulama Kerberos protokolü ile yürütülür. Sistemdeki her servis (MSSQL, IIS, Exchange vb.) bir SPN (Service Principal Name) ile bir servis hesabına bağlıdır. Saldırganın izlediği adım adım Kerberoisting rotası: Adım 1 (Meşru İstek): Ağdaki en düşük yetkili domain kullanıcısı bile, SPN tanımlı bir servis için Kerberos Sunucusundan (KDC) bir TGS (Ticket Granting Service) bileti talep edebilir. KDC bu isteği meşru sayar ve bileti teslim eder. Adım 2 (Şifreli Bilet): Teslim edilen TGS bileti, ilgili servis hesabının şifre özeti (NTLM hash) ile şifrelenmiştir. Adım 3 (Çevrimdışı Kırma - Offline Cracking): Saldırgan bu bileti kendi bilgisayarına kaydeder ve ağdan ayrılır. Artık Active Directory ile hiçbir bağı kalmaz; Hashcat veya John the Ripper gibi araçlarla bileti kendi cihazında çevrimdışı kırmaya çalışır. Adım 4 (Tam Yetki): Servis hesabının şifresi yeterince karmaşık değilse, saldırgan servis hesabının açık parolasını ele geçirir ve ağda yetki yükseltir! 💡 Sonuç: Saldırgan bilet kırma işlemini tamamen kendi cihazında (offline) yaptığı için Kerberos sunucusunda kırma anına ait hiçbir alarm tetiklenmez! 🛡️ 2. Mavi Takım (Blue Team) Ne Yapmalı? Wazuh SIEM ile Tespit Saldırgan kırma işlemini çevrimdışı yapsa da, TGS Bilet İstek Anı loglara yansır. Saldırganlar kırma işlemini kolaylaştırmak için genelde zayıf şifreleme tiplerini (RC4 - 0x17) talep ederler. --- Wazuh SIEM üzerinde Event ID 4769 ile RC4 Şüpheli TGS İsteği Tespiti: <rule id="100270" level="12"> <if_sid>60106</if_sid>  <field name="win.eventdata.ticketEncryptionType">0x17</field>  <description>Kritik: Zayıf Şifreleme (RC4) İle Kerberoisting / TGS Bilet İsteği Tespiti!</description> <mitre> <id>T1558.003</id>  </mitre> <options>no_full_log</options> </rule> --- 📊 Hızlı Karşılaştırma: Active Directory Bilet Saldırıları Kerberoisting -> SPN Tanımlı Servis Hesapları -> TGS Bileti -> Orta (Bilet isteğinde yakalanır) AS-REP Roasting -> Pre-Auth Kapatılmış Kullanıcılar -> AS-REP Bileti -> Kolay (Event ID 4768) Golden Ticket -> Kerberos Ana Hesabı (krbtgt) -> TGT Bileti -> Yüksek (Ağda sahte bilet basımı) O zaman Mustafa soruyor: Kurumsal Active Directory yapınızda servis hesaplarında kullanılan şifrelerin uzunluğunu ve karmaşıklığını (Group Managed Service Account / gMSA) takip ediyor musunuz? Yoksa senelerdir değişmeyen 8 haneli bir servis şifreniz var mı? Düşüncelerinizi yorumlarda paylaşın! 👇 Okuduğunuz için teşekkürler! Kendinize, verilerinize ve dijital zırhınıza çok iyi bakın! 🌼