Gümüş bilet saldırısı, bir servis hesabının parola özetinin ele geçirilmesiyle o servise özel sahte bilet üretilmesidir. Üretilen bilet yalnızca ilgili servis için geçerlidir, ancak o servise tam erişim sağlar.

Saldırının en dikkat çekici yanı, etki alanı denetleyicisine hiç uğramamasıdır. Servis, bileti kendi anahtarıyla doğruladığı için merkezî kayıtlarda hiçbir iz oluşmaz.

Bu sessizlik, tespiti belirgin biçimde zorlaştırır. Kimlik doğrulama kayıtlarını izleyen bir ekip, saldırıyı fark edecek bir olay göremez.

Gümüş Bilet Saldırısı Nedir?

Gümüş bilet saldırısı, bir servis hesabının anahtarının ele geçirilmesiyle, saldırganın o servis için istediği kimlik ve yetkide geçerli Kerberos bileti üretebilmesidir.

Saldırgan bilet içindeki yetki bilgilerini kendisi belirler. Servis bu bilgileri sorgulamadan kabul ettiği için, gerçekte yetkisi olmayan bir kimlik yönetici gibi davranabilir.

Gereken tek şey, hedef servisin hesabına ait parola özetidir. Bu özet çoğunlukla ilgili sunucunun belleğinden ya da yerel depolarından elde edilir.

Altın Biletten Farkı

Altın bilet saldırısı etki alanının kök anahtarını kullanır ve tüm servislere geçerli bilet üretebilir. Gümüş bilet ise tek bir servisle sınırlıdır.

Buna karşılık gümüş bilet için gereken erişim seviyesi çok daha düşüktür. Etki alanının tamamının ele geçirilmesi gerekmez; tek bir sunucudaki yönetici hakkı yeterli olabilir.

Bu nedenle gümüş bilet, saldırı zincirinde daha erken aşamalarda görülür. Hedef servis kritikse etkisi de altın bilete yaklaşabilir.

• Yalnızca hedef servis için geçerlidir
• Etki alanı denetleyicisine uğramaz, merkezî kayıt bırakmaz
• Servis hesabının parola özeti yeterlidir
• Yetki bilgileri saldırgan tarafından belirlenir
• Servis hesabı parolası değişene kadar geçerli kalır

Nasıl Önlenir?

İlk önlem, servis hesaplarının parolalarının uzun, rastgele ve düzenli olarak değiştirilmesidir. Yönetilen servis hesapları bu değişimi otomatikleştirir.

İkinci önlem, servis sunucularının yönetici erişiminin sıkı korunmasıdır. Anahtar ancak sunucuda yönetici hakkı elde edilirse çıkarılabilir.

Üçüncü önlem, bilet içeriğinin daha sıkı doğrulanmasını sağlayan güncellemelerin uygulanmasıdır. Bu güncellemeler, sahte yetki bilgilerinin kabul edilmesini zorlaştırır.

Tespit Yöntemleri

Merkezî kayıt oluşmadığı için tespit, hedef servisin kendi kayıtlarına dayanır. Servise erişen kimliklerin dizin hizmeti kayıtlarıyla karşılaştırılması bir yöntemdir.

Bilet talebi olmadan gerçekleşen servis erişimleri güçlü bir işarettir. Bu karşılaştırma, kimlik ve uygulama kayıtlarının bir arada toplanmasını gerektirir.

Uç nokta tarafında ise anahtar çıkarma girişimlerinin izlenmesi gerekir. Active Directory güvenliği çalışmalarında bu kayıtlar öncelikli yapılandırılır.

Hangi Servisler Hedef Alınır?

Saldırganların tercih ettiği servisler, hem yaygın olarak bulunan hem de kritik veriye erişim sağlayan servislerdir. Dosya paylaşım servisleri, veri tabanı bağlantı noktaları, uzak yönetim arayüzleri ve yazdırma hizmetleri bu listenin başında gelir. Bu servislerin hesapları çoğu zaman yıllarca aynı parolayla çalışır ve hiçbir ikinci faktör kullanmaz. Ayrıca isimlendirmeleri tahmin edilebilir olduğu için saldırgan hedefini kolayca belirler. Bu üç özellik bir araya geldiğinde servis hesapları en zayıf halkaya dönüşür.

Veri tabanı servisleri özellikle değerlidir çünkü doğrudan iş verisine erişim sağlar. Sahte bir bilet üretilerek veri tabanına yönetici kimliğiyle bağlanılması, veri sızdırma için yeterli olur. Bu senaryoda uygulama katmanındaki tüm yetkilendirme kontrolleri devre dışı kalır. Çünkü erişim uygulamadan değil, doğrudan servis düzeyinden gerçekleşir. Bu nedenle veri tabanı servis hesaplarının ayrı bir koruma seviyesine alınması gerekir.

Yazdırma ve dosya servisleri ilk bakışta düşük riskli görünse de yanal harekette önemli rol oynar. Bu servisler üzerinden elde edilen erişim, ortamda keşif yapmak ve başka kimlik materyali toplamak için kullanılır. Ayrıca bu servisler genellikle geniş bir kullanıcı kitlesine açıktır. Erişim kayıtları da nadiren incelenir. Bu kombinasyon, saldırgana sessiz bir çalışma alanı sunar.

Servis Hesabı Yönetimi

Servis hesaplarının yönetimi, kurumsal güvenliğin en çok ihmal edilen alanlarından biridir. Hesaplar bir proje sırasında oluşturulur, parolası bir belgeye yazılır ve yıllarca dokunulmaz. Kimin sahibi olduğu zamanla unutulur ve değiştirilmesi risk olarak görülür. Bu durum, hesabın parolasının hiç yenilenmemesine yol açar. Sonuçta ele geçirilen bir özet süresiz olarak geçerli kalır.

Çözüm, yönetilen servis hesaplarının kullanılmasıdır. Bu hesap türlerinde parola sistem tarafından otomatik olarak üretilir ve düzenli aralıklarla yenilenir. Parola hiçbir yerde düz metin olarak bulunmaz ve kimse tarafından bilinmez. Uygulama uyumluluğu sağlandığında bu geçiş, tek başına önemli bir risk azaltımı sağlar. Geçiş planı, servis envanterinin çıkarılmasıyla başlar.

Envanter çıkarılırken her hesabın hangi servis tarafından, hangi sunucuda ve hangi yetkiyle kullanıldığı kaydedilir. Bu kayıt, gereksiz yetkilerin de görünür olmasını sağlar. Çoğu ortamda servis hesaplarının bir kısmının yönetici gruplarında olduğu görülür. En az yetki ilkesi bu hesaplar için de uygulanmalıdır. Yetki daraltma, çoğu zaman parola yenilemeden daha büyük kazanç sağlar.

Privia Security olarak servis hesabı yönetimi ve dizin hizmeti sıkılaştırmasınıaltyapı ve mimari gözden geçirme kapsamında değerlendiriyoruz.