Hash geçirme, parolanın kendisi bilinmeden yalnızca parola özetiyle kimlik doğrulamanın tamamlanmasıdır. Bazı kimlik doğrulama protokollerinde özet değeri, parolayla eşdeğer bir kimlik kanıtı işlevi görür. Bu durumda özeti ele geçiren saldırgan, parolayı çözmeye hiç ihtiyaç duymaz.

Teknik, kurumsal ağlarda yanal hareketin en sık kullanılan araçlarından biridir. Bir makinede elde edilen yönetici özeti, aynı kimlik bilgisinin geçerli olduğu diğer makinelerde de kullanılabilir. Bu nedenle ortak yerel yönetici parolaları ciddi bir risk oluşturur.

Hash Geçirme Nedir?

Hash geçirme, ele geçirilen parola özetinin doğrudan kimlik doğrulama sürecinde kullanılmasıyla, parolanın çözülmesine gerek kalmadan yetkisiz erişim sağlanmasıdır.

Özet değerleri genellikle bellekten ya da yerel kimlik bilgisi deposundan elde edilir. Yönetici hakkına sahip bir saldırgan, oturum açmış kullanıcıların kimlik izlerini toplayabilir. Mimikatz gibi araçlar bu işlemi otomatikleştirir.

Nasıl Önlenir?

İlk önlem, yerel yönetici parolalarının her makinede benzersiz olmasıdır. Ortak parola kullanıldığında tek bir makinenin ele geçirilmesi tüm ortama yayılmayı mümkün kılar. Otomatik parola yönetimi çözümleri bu benzersizliği sağlar.

İkinci önlem, ayrıcalıklı hesapların hangi makinelerde oturum açabileceğinin kısıtlanmasıdır. Alan yöneticisi hesaplarının sıradan iş istasyonlarında kullanılmaması, özetlerinin bu makinelerin belleğine düşmesini engeller. Katmanlı yönetim modeli bu ayrımı kurumsallaştırır.

• Her makinede benzersiz yerel yönetici parolası
• Ayrıcalıklı hesaplar için ayrılmış yönetim iş istasyonları
• Kimlik bilgisi önbelleğe alma davranışının sınırlanması
• Eski kimlik doğrulama protokollerinin kapatılması
• Yanal hareket girişimlerinin uç noktada izlenmesi

Tespit Yöntemleri

Tespit, olağandışı oturum açma türlerinin izlenmesiyle yapılır. Bir hesabın kısa süre içinde çok sayıda makinede ağ oturumu açması güçlü bir işarettir. Bu örüntü, yanal hareket tespitinin temel kuralıdır.

İkinci gösterge, kimlik bilgisi deposuna erişim girişimleridir. Bellek okuma ve ilgili sistem süreçlerine erişim, uç nokta çözümleri tarafından yakalanabilir. Bu kayıtların toplanıyor olması ön koşuldur.

Özet Neden Parola Kadar Değerli?

Bazı protokollerde istemci, parolayı değil parolanın özetini kullanarak bir doğrulama yanıtı üretir. Bu tasarımda özet, kimliğin kendisi hâline gelir.

Bu nedenle özetin ele geçirilmesi parolanın ele geçirilmesiyle aynı sonucu doğurur. Parolanın karmaşıklığı ya da uzunluğu bu senaryoda hiçbir koruma sağlamaz.

Aynı mantık, kimlik bilgisi türevi diğer materyaller için de geçerlidir. Uygulama belirteçleri ve oturum anahtarları da tek başına kimlik kanıtı işlevi görebilir.

Savunma bu nedenle parolayı güçlendirmeye değil, kimlik materyalinin bellekte ve diskte korunmasına odaklanır. Ayrıcalıklı erişim yönetimi bu korumanın merkezindedir.

Katmanlı Yönetim Modeli

Katmanlı model, yönetici hesaplarını yetki seviyelerine göre ayırır ve her seviyenin yalnızca kendi seviyesindeki sistemlerde oturum açmasına izin verir. Böylece yüksek yetkili kimlik izleri düşük güvenli makinelere düşmez.

Model üç katman üzerine kurulur: etki alanı yönetimi, sunucu yönetimi ve son kullanıcı cihazları. Her katman için ayrı hesaplar ve ayrı yönetim iş istasyonları tanımlanır.

Uygulamanın en zor kısmı, mevcut alışkanlıkların değiştirilmesidir. Yöneticiler tek hesapla her yere erişmeye alışkındır ve ayrım başlangıçta iş yükü olarak algılanır.

Bu nedenle geçiş kademeli yapılır ve en kritik katmandan başlanır. Etki alanı yönetici hesaplarının kullanım alanının daraltılması, tek başına büyük kazanç sağlar.

Uygulanabilir Kontrol Listesi

Yerel yönetici parolalarının otomatik ve benzersiz yönetimi ilk maddedir. Bu kontrol, tek bir makinenin ele geçirilmesinin ortama yayılmasını engeller.

İkinci madde, ayrıcalıklı hesaplar için ayrı yönetim iş istasyonlarının tanımlanmasıdır. Bu makinelerde internet erişimi ve e-posta bulunmaz.

Üçüncü madde, kimlik bilgisi önbelleğe alma davranışının sınırlanmasıdır. Gerekmeyen makinelerde önbelleğin kapatılması, bellekte bulunacak materyali azaltır.

Eski Protokollerin Kapatılması

Bu saldırının mümkün olmasının temel nedeni, eski kimlik doğrulama protokollerinin hâlâ etkin olmasıdır. Bu protokoller, özetin doğrudan kimlik kanıtı olarak kullanılmasına izin verir.

Ortamda hangi sistemlerin bu protokolleri kullandığının envanteri çıkarılmalıdır. Kapatma öncesinde uyumluluk etkileri değerlendirilir, aksi hâlde beklenmedik erişim sorunları yaşanır.

Geçiş kademeli yapılır: önce denetim modunda kullanım izlenir, ardından kısıtlama uygulanır. Bu yaklaşım, kesintiyi en aza indirir.

Privia Security olarak dizin hizmeti ve yönetim modeli kaynaklı bu tür risklerialtyapı ve mimari gözden geçirme kapsamında değerlendiriyor, yayılma yollarını raporluyoruz.