🔴🔵 Red vs Blue #4: Credential Dumping (Mimikatz) vs LSASS Protection & Credential Guard Zırhı Kurumsal Windows sistemlerine sızan bir saldırganın öncelikli hedefi, ağda daha yüksek yetkilere ulaşmak için oturum açmış kullanıcıların parolalarını veya NTLM hash'lerini RAM'den çalmaktır (Credential Dumping). 🔴 Kırmızı Takım (Red Team): LSASS Bellek Dökümü ve Mimikatz Saldırısı Saldırgan bir bilgisayarda yerel yönetici (Local Admin) yetkisi elde ettikten sonra, Windows kimlik doğrulama süreçlerini yöneten lsass.exe (Local Security Authority Subsystem Service) sürecini hedef alır. Mimikatz ve RAM Taraması: Saldırgan, Mimikatz gibi araçlar veya yerleşik Windows bileşenleri (comsvcs.dll) üzerinden lsass.exe sürecinin bellek dökümünü (.dmp) alır. Hash ve Kimlik Bilgilerinin Ele Geçirilmesi: Sistemin yapılandırmasına ve aktif güvenlik özelliklerine bağlı olarak bellekten NTLM hash'leri, Kerberos materyalleri veya bazı kimlik doğrulama sırları elde edilmeye çalışılabilir. Modern Windows sürümlerinde açık metin parola elde edilmesi her durumda mümkün değildir. Yatay Sıçrama (Lateral Movement): Ele geçirilen bu hash veya biletlerle ağdaki diğer sunuculara yetkisiz erişim sağlanır (Pass-the-Hash / Pass-the-Ticket). 🔵 Mavi Takım (Blue Team): RunAsPPL ve Credential Guard Zırhı Mavi Takım, saldırgan yerel yönetici yetkisi elde etmiş olsa dahi LSASS ve kimlik bilgisi sırlarına erişimi zorlaştırmak ve credential dumping girişimlerini tespit etmek için birden fazla savunma katmanı kullanır. LSASS RunAsPPL (Protected Process Light): lsass.exe sürecini Protected Process Light olarak çalıştırarak yeterli güven seviyesine sahip olmayan süreçlerin LSASS'e erişmesini ve belleğini okumasını kısıtlar. Bu, credential dumping saldırılarını önemli ölçüde zorlaştırır. Windows Credential Guard (VBS): Sanallaştırma tabanlı güvenlik (Virtualization-based Security) kullanarak kimlik bilgilerini ana işletim sisteminden tamamen izole edilmiş sanal bir alanda (VSM) saklar. Credential Guard, NTLM hash’leri ve Kerberos TGT’leri gibi belirli kimlik bilgisi sırlarını VBS ile izole edilmiş VSM ortamında korur. Böylece saldırgan yönetici yetkisi elde etse bile bu sırların LSASS üzerinden doğrudan ele geçirilmesini önemli ölçüde zorlaştırır. ASR Kuralları & EDR Tespiti: Attack Surface Reduction (ASR) kuralları, LSASS üzerinden kimlik bilgisi çalma girişimlerini engellemeye yardımcı olur. EDR çözümleri ise LSASS'e yönelik şüpheli süreç erişimlerini ve credential dumping davranışlarını tespit ederek alarm üretebilir. Saldırganın Klasik Komut Zinciri (Red Team Execution): // SALDIRGANIN LSASS MEMORY DUMP DENEMESİ (RED TEAM) mimikatz.exe "privilege::debug" "sekurlsa::logonpasswords" exit // VEYA YERLEŞİK WINDOWS BİLEŞENİ İLE: rundll32.exe C:\windows\system32\comsvcs.dll, MiniDump <LSASS_PID> lsass.dmp full Özet Karşılaştırma Red Team Amacı: lsass.exe belleğini okuyarak Domain Admin veya yetkili hesapların kimlik bilgilerini çalmak. Zayıflık: LSASS'e olağandışı süreç erişimi ve bellek dökümü oluşturma gibi credential dumping davranışlarının EDR/Sysmon telemetrisinde güçlü tespit sinyalleri bırakabilmesi. Blue Team Çözümü: LSASS RunAsPPL + Credential Guard (VBS) + ASR Kuralı (Block credential stealing from the Windows local security authority subsystem). O zaman Mustafa soruyor: Şirketinizdeki Windows istemci ve sunucularda Credential Guard veya LSASS RunAsPPL korumalarını aktif ettiniz mi? Mimikatz denemelerine karşı ASR kurallarınız yayında mı? Düşüncelerinizi yorumlarda paylaşın! 👇 Okuduğunuz için teşekkürler! Kendinize, verilerinize ve dijital zırhınıza çok iyi bakın! 🌼