Active Directory güvenliği: ayrıcalıklı erişimi daraltmak

Active Directory güvenliğinde ayrıcalıklı hesapların nerede ve nasıl kullanıldığı temel bir sorudur. Bir hesabın güçlü parolası olması, günlük işlerde gereksiz yüksek yetkiyle kullanılması durumundaki riski ortadan kaldırmaz. Ayrıcalığı daraltmak hem kimliği hem yönetim yapılan cihazı ele almayı gerektirir.

Önce yetki haritasını çıkarın

Yüksek yetkili gruplar, bunlara dolaylı üyelikler ve servis hesapları birlikte incelenir. Sadece doğrudan grup üyelerinin listesi yeterli değildir; iç içe gruplar ve devredilmiş yetkiler farklı erişim yolları oluşturabilir. Her ayrıcalıklı hesabın bir sahibi ve tanımlı kullanım amacı bulunmalıdır.

Microsoft’un AD güvenlik rehberi, en az ayrıcalıklı yönetim modelini ve güvenli yönetim cihazlarını önerir. Bu yaklaşım, günlük kullanıcı hesabı ile yönetim görevlerinde kullanılan hesabı ayırmayı destekler. Ayrımın etkili olması için oturum açılabilen sistemlerin de sınırlandırılması gerekir.

Yönetim yolunu koruyun

Temsili yonetim.batuhanyazici.com adı burada yalnızca örnek bir yönetim erişimini anlatır; gerçek AD etki alanı veya topoloji değildir. Yönetim işleri, e-posta ve günlük gezinme için kullanılan cihazlardan ayrılmış, güvenliği sağlanmış yönetim ortamında yürütülmelidir.

Çok faktörlü doğrulama, erişim aracısı ve ayrıcalıklı oturum yönetimi; kullanılan protokol ve mimariyle birlikte değerlendirilir. “MFA var” ifadesi bütün eski protokollerin ve yönetim yollarının kapsandığını göstermez. Desteklenmeyen veya atlanabilen yollar ayrıca belgelenmelidir.

GPO değişikliklerini aşamalı uygulayın

Güvenlik sıkılaştırma ayarları doğrudan bütün ortama dağıtılmamalıdır. Önce temsilî bir pilot kapsam, etkilenecek servisler ve geri dönüş yöntemi belirlenir. Kimlik doğrulama kısıtları veya eski protokol değişiklikleri, bağımlı uygulamalar üzerinde beklenmeyen etki oluşturabilir.

Politikanın hedefe uygulanması, yalnızca yönetim konsolunda bağlı görünmesiyle doğrulanmaz. Sonuç ilkeleri, ilgili günlükler ve uygulama davranışı kontrol edilir. Etki alanı denetleyicileri gibi kritik sistemler için ayrı değişiklik değerlendirmesi yapılır.

Denetim ve düzenli gözden geçirme

Ayrıcalıklı grup değişikliği, sıra dışı yönetim oturumu ve beklenmeyen ilke değişimi gibi olaylar izlenebilir bir inceleme akışına bağlanır. Alarm üretmek yeterli değildir; yetkili değişiklik kaydıyla karşılaştırılabilecek bağlam sağlanmalıdır.

Ayrılan personel, süresi dolan ihtiyaçlar ve kullanılmayan servis hesapları düzenli kontrol edilir. Eski bir yetkiyi kaldırmadan önce bağımlılık araştırılır; sonrasında beklenen işlev ve günlükler izlenir. Başarılı sonuç, en az yetkiyle yürüyen ve gerektiğinde açıklanabilen bir yönetim modelidir.

Uygulama kontrol listesi

• Doğrudan ve dolaylı ayrıcalıklar incelendi mi?
• Günlük hesap ve yönetim hesabı kullanım yolları ayrıldı mı?
• GPO değişikliği pilotta ve geri dönüşle sınandı mı?

Bu yazı kişisel bir teknik yöntem notudur. Senaryolar temsili ve anonimdir; herhangi bir kurumda yaşanmış belirli bir olayın kaydı değildir. Ürün adımları, kurulu sürüm ve yetkili değişiklik süreciyle birlikte değerlendirilmelidir.