Altın bilet saldırısı, Kerberos altyapısının kök güvenini sağlayan hesap anahtarının ele geçirilmesiyle, saldırganın istediği kimlik ve yetkide sahte bilet üretebilmesidir. Üretilen bilet meşru kabul edilir çünkü doğru anahtarla imzalanmıştır. Bu nedenle saldırı, tespit edilmesi en zor kalıcılık yöntemlerinden biridir.

Saldırının ön koşulu, etki alanının zaten ele geçirilmiş olmasıdır. Yani altın bilet bir giriş yöntemi değil, elde edilen erişimi kalıcı kılma yöntemidir. Bu ayrım, müdahale planlaması açısından belirleyicidir.

Altın Bilet Saldırısı Nedir?

Altın bilet saldırısı, etki alanının bilet imzalama anahtarının ele geçirilmesiyle, saldırganın dilediği kullanıcı ve yetki bilgisiyle geçerli Kerberos biletleri üretebilmesidir.

Üretilen biletin yetki bilgisi saldırgan tarafından belirlenir; hesap gerçekte bu yetkilere sahip olmasa bile bilet öyle söyler. Doğrulama sırasında bu bilgiler çoğu durumda sorgulanmaz. Sonuçta saldırgan, dizin hizmetinde hiç var olmayan bir yöneticinin kimliğiyle bile hareket edebilir.

Neden Bu Kadar Tehlikeli?

Saldırganın ürettiği biletler, hesap parolası değiştirilse bile geçerliliğini korur. Normal müdahale adımları olan parola sıfırlama ve hesap devre dışı bırakma bu senaryoda işe yaramaz. Erişimi kesmenin tek yolu ilgili anahtarın yenilenmesidir.

Anahtarın yenilenmesi de dikkat gerektirir; işlemin belirli bir aralıkla iki kez uygulanması gerekir. Tek seferlik yenileme, önceki anahtarın hâlâ geçerli kalması nedeniyle yeterli olmaz. Bu ayrıntı, müdahale planlarında açıkça yazılmalıdır.

• Üretilen biletler parola değişikliğinden etkilenmez
• Bilet ömrü saldırgan tarafından çok uzun belirlenebilir
• Yetki bilgisi bilet içinde taşındığı için dizinde iz bırakmaz
• Etki alanı anahtarı yenilenmeden erişim tamamen kesilemez
• Tespit, dizin kayıtlarından çok davranış analizine dayanır

Nasıl Önlenir?

Asıl önlem, etki alanının hiç ele geçirilmemesidir; çünkü anahtar elde edildikten sonra alınacak önlemler sınırlıdır. Bu nedenle ayrıcalıklı erişim yönetimi, katmanlı yönetim modeli ve etki alanı denetleyicilerinin sıkı korunması önceliklidir.

İkinci önlem, ilgili hesabın anahtarının düzenli aralıklarla yenilenmesidir. Düzenli yenileme, geçmişte fark edilmemiş bir ele geçirmenin etkisini sınırlar. Bu işlem planlı bakım penceresinde yürütülür.

Üçüncü önlem, dizin hizmeti yedeklerinin ve bellek dökümlerinin korunmasıdır. Bu dosyalar anahtar materyalini içerdiği için, korunmadıklarında saldırgan için doğrudan bir kaynak olurlar. Active Directory güvenliği çalışmalarının temel maddelerindendir.

Tespit ve Müdahale

Tespit için bilet özelliklerindeki anormallikler izlenir. Olağandışı uzun ömürlü biletler, dizinde bulunmayan hesap adları ve beklenmedik yetki bileşimleri güçlü işaretlerdir. Bu kontroller kimlik kayıtları üzerinde yazılabilir.

Müdahalede ise kapsamın etki alanı geneli olduğu kabul edilir. Anahtar yenileme, ayrıcalıklı hesapların parolalarının sıfırlanması ve dizin hizmetinin bütünlüğünün doğrulanması birlikte yürütülür. Adli analiz ve olay müdahalesi süreci bu adımları kapsar.

Gümüş Bilet ile Farkı

Altın bilet, etki alanının kök anahtarını kullanarak her servis için geçerli bilet üretebilir. Gümüş bilet ise yalnızca tek bir servisin anahtarını kullanır ve etkisi o servisle sınırlı kalır.

Bu fark, gerekli erişim seviyesini de değiştirir. Gümüş bilet için servis hesabının anahtarı yeterliyken, altın bilet için etki alanının tamamının ele geçirilmiş olması gerekir.

Tespit açısından da farklılaşırlar. Gümüş bilet kullanımı etki alanı denetleyicisine uğramadığı için ilgili kayıtlarda görünmez; altın bilet ise dizin kayıtlarında dolaylı izler bırakabilir.

İkisi de aynı temel zafiyete dayanır: bilet içeriğinin doğrulanmadan kabul edilmesi. Bu nedenle savunma önlemleri büyük ölçüde ortaktır.

Kalıcılığın Kırılması

Bu saldırıya karşı en kritik bilgi, anahtar yenilemenin iki kez yapılması gerektiğidir. Tek yenileme sonrasında önceki anahtar geçerliliğini koruduğu için saldırgan erişimini sürdürebilir.

İki yenileme arasında, ortamdaki tüm hizmetlerin yeni anahtarla senkronize olmasını sağlayacak kadar süre bırakılmalıdır. Aksi hâlde kimlik doğrulama kesintileri yaşanır.

Bu işlem, planlanmamış biçimde yapıldığında ciddi hizmet kesintisine yol açabilir. Bu nedenle adımlar müdahale planında önceden yazılı olmalıdır.

Yenileme sonrasında ortamın izlenmesi de sürdürülür. Saldırganın başka kalıcılık yöntemleri bırakmış olabileceği varsayılır.

Ele Geçirme Sonrası Toparlanma

Etki alanının ele geçirildiği doğrulandığında, toparlanma tek bir teknik işlemden ibaret değildir. Ayrıcalıklı hesapların tamamının parolaları yenilenir ve grup üyelikleri gözden geçirilir.

Dizin hizmetindeki nesnelerin bütünlüğü de doğrulanır. Saldırganın eklediği hesaplar, değiştirdiği yetkiler ve tanımladığı delegasyonlar aranır.

Bazı durumlarda ortamın yeniden kurulması en güvenli seçenek olabilir. Bu karar, ele geçirmenin süresine ve saldırganın bıraktığı izlerin kapsamına göre verilir.

Kararın teknik ekip tarafından tek başına verilmemesi gerekir. İş sürekliliği etkileri nedeniyle üst yönetimin sürece dahil olması gerekir.

Privia Security olarak etki alanı ele geçirme senaryolarınıred team hizmeti kapsamında kurguluyor, tespit ve müdahale kabiliyetini birlikte ölçüyoruz.