DCSync saldırısı, dizin hizmetinin çoğaltma mekanizmasının kötüye kullanılmasıdır. Saldırgan kendini bir etki alanı denetleyicisi gibi tanıtarak parola özetlerini talep eder.

Saldırının en tehlikeli yanı, sunucuya hiç kod çalıştırmadan gerçekleştirilebilmesidir. Yeterli yetkiye sahip bir hesapla, ağ üzerinden doğrudan talep gönderilir.

Bu nedenle uç nokta koruması bu saldırıyı göremeyebilir. Tespit, ağ ve dizin hizmeti kayıtlarına dayanır.

DCSync Saldırısı Nedir?

DCSync, dizin çoğaltma yetkisine sahip bir hesabın bu yetkiyi kullanarak etki alanı denetleyicisinden parola özetlerini talep etmesi ve böylece kimlik materyalini toplamasıdır.

Çoğaltma, dizin hizmetinin normal işleyişinin bir parçasıdır. Denetleyiciler arasında veri eşitlemesi bu mekanizmayla sağlanır ve protokol tasarımı gereği parola materyalini de içerir.

Sorun mekanizmanın kendisinde değil, bu yetkinin kimlere verildiğindedir. Yetki yanlışlıkla geniş bir gruba tanımlandığında saldırıya kapı açılır.

Hangi Yetkiler Gereklidir?

Saldırı için dizin nesneleri üzerinde çoğaltma ile ilgili belirli izinlerin bulunması gerekir. Bu izinler normalde yalnızca etki alanı denetleyicilerine ve en yüksek yetkili gruplara aittir.

Ancak uygulamalar ve entegrasyonlar için oluşturulan bazı hesaplara bu izinler farkında olmadan verilebilir. Yedekleme, senkronizasyon ve dizin yönetimi araçları bu tür talepler oluşturur.

Verilen izinlerin dönemsel olarak denetlenmesi bu nedenle kritik önemdedir. Denetim yapılmadığında yıllar önce verilmiş bir izin fark edilmeden kalır.

• Çoğaltma izinlerinin kimlere verildiğinin listelenmesi
• Uygulama ve entegrasyon hesaplarının izinlerinin gözden geçirilmesi
• Gereksiz izinlerin kaldırılması ve gerekçelerin yazılması
• İzin değişikliklerinin anlık uyarı üretmesi
• Ayrıcalıklı grup üyeliklerinin düzenli denetimi

Nasıl Tespit Edilir?

Tespitin en güvenilir yolu, çoğaltma taleplerinin kaynağının izlenmesidir. Talep, bilinen etki alanı denetleyicileri dışında bir adresten geliyorsa bu güçlü bir işarettir.

Bu kural ağ katmanında da uygulanabilir. Çoğaltma trafiğinin yalnızca denetleyiciler arasında gerçekleşmesi beklenir; başka kaynaklardan gelen bağlantılar incelenmelidir.

Dizin hizmeti kayıtlarında da ilgili erişim denetimi olayları izlenir. Bu olayların üretilmesi için gelişmiş denetim ayarlarının açık olması gerekir.

Nasıl Önlenir?

İlk önlem, çoğaltma izinlerinin yalnızca gerçekten ihtiyaç duyan hesaplarda bulunmasıdır. En az yetki ilkesi burada doğrudan uygulanır.

İkinci önlem, ayrıcalıklı hesapların korunmasıdır. Saldırı için gereken yetkiye sahip bir hesabın ele geçirilmesi ön koşuldur.

Üçüncü önlem, ağ segmentasyonuyla çoğaltma trafiğinin kısıtlanmasıdır. Ağ segmentasyonu bu tür protokollerin erişim alanını daraltır.

Saldırının Sonuçları

Bu saldırıyla elde edilen veri, etki alanındaki tüm kullanıcıların parola materyalidir. Bu materyal hem çevrimdışı deneme için hem de doğrudan kimlik geçirme saldırılarında kullanılabilir. Etki alanının kök anahtarı da bu şekilde elde edilebilir. Kök anahtar ele geçirildiğinde saldırgan istediği kimlikte bilet üretebilir. Bu nedenle saldırı, etki alanı ele geçirmesinin son adımı olarak değerlendirilir.

Elde edilen materyalin bir bölümü, parolalar değiştirilse bile kullanılabilir kalır. Özellikle geçmiş parola geçmişi saklanıyorsa, saldırgan kullanıcı davranış kalıplarını öğrenir. Bu bilgi, gelecekteki parolaların tahmin edilmesini kolaylaştırır. Ayrıca hizmet hesaplarının parolaları nadiren değiştiği için uzun süre geçerli kalır. Bu nedenle olay sonrası toparlanma planı kapsamlı olmalıdır.

Saldırının bir diğer sonucu, kurumun kimlik altyapısına duyduğu güvenin sarsılmasıdır. Tüm parolaların ele geçirildiği varsayımıyla hareket edilmesi gerekir. Bu da toplu parola yenileme ve ayrıcalıklı hesapların yeniden yapılandırılması anlamına gelir. İşlem, iş sürekliliğini doğrudan etkileyen bir operasyondur. Bu nedenle önleme yatırımı, müdahale maliyetinin çok altında kalır.

Kanarya Hesapları ile Erken Uyarı

Bu saldırıya karşı etkili bir tespit yöntemi, hiç kullanılmayan tuzak hesaplar tanımlamaktır. Bu hesaplar gerçekmiş gibi görünür ama hiçbir meşru süreçte yer almaz. Herhangi bir erişim ya da sorgulama girişimi kesin bir uyarı üretir. Yanlış pozitif riski neredeyse yoktur çünkü hesabın hiçbir normal kullanımı bulunmaz. Kanarya hesapları bu amaçla kurgulanır.

Hesapların inandırıcı olması için isimlendirme ve öznitelikleri gerçekçi seçilmelidir. Yönetici gibi görünen ama gerçekte hiçbir yetkisi olmayan hesaplar tercih edilir. Hesapların parolaları güçlü tutulur ve hiçbir yerde saklanmaz. Ayrıca hesapların ayrıcalıklı gruplarda görünmesi, saldırganın ilgisini çeker. Bu düzen, saldırganı erken aşamada görünür kılar.

Uyarıların doğru kişilere ulaşması da planlanmalıdır. Kanarya uyarıları düşük hacimli ama yüksek öncelikli olarak sınıflandırılır. Bu uyarıların gece ve hafta sonu da değerlendirilmesi gerekir. Aksi hâlde erken uyarı avantajı kaybedilir. Süreç, olay müdahale planında açıkça tanımlanır.

İzin Denetiminin Otomatikleştirilmesi

Dizin hizmetindeki izin yapısı zaman içinde karmaşıklaşır ve elle takip edilemez hâle gelir. Bu nedenle izin denetiminin otomatik araçlarla yapılması gerekir. Araçlar, kritik izinlere sahip tüm nesneleri listeleyerek beklenmeyenleri ortaya çıkarır. Çıktı, bir önceki dönemle karşılaştırılarak değişiklikler görünür kılınır. Bu karşılaştırma, denetimin gerçek değerini üretir.

Denetim yalnızca doğrudan verilen izinleri değil, grup üyelikleri üzerinden gelen dolaylı izinleri de kapsamalıdır. İç içe geçmiş grup yapıları, bir kullanıcının farkında olmadan yüksek yetki kazanmasına yol açabilir. Bu tür yollar elle takip edilemez. Grafik tabanlı analiz araçları bu ilişkileri görünür kılar. İlişki haritalama araçları bu amaçla kullanılır.

Privia Security olarak dizin hizmeti izin yapısınıaltyapı ve mimari gözden geçirme kapsamında inceliyor, kötüye kullanılabilir yetki yollarını raporluyoruz.