Kısıtlanmamış delegasyon (unconstrained delegation), bir sunucunun kendisine bağlanan kullanıcının kimliğini arka plandaki başka servislere aktarabilmesi için tasarlanmış eski bir Windows özelliğidir. Bir hesaba bu bayrak atandığında, o hesaba kimlik doğrulaması yapan her kullanıcının TGT bileti (Ticket Granting Ticket) doğrudan sunucunun belleğine gönderilir. Saldırgan bu belleğe erişebildiğinde, kurbanın kimliğine bürünmek için gereken en değerli anahtarı eline geçirmiş olur.

Kısıtlanmamış delegasyon, kimliği doğrulayan kullanıcının TGT biletini sunucuya emanet eder; bu bileti çalan saldırgan o kullanıcının tüm ağdaki yetkilerini üstlenir.

Saldırı Nasıl Gerçekleşir?

Saldırgan öncelikle etki alanında hangi hesapların bu bayrağa sahip olduğunu numaralandırır; PowerView veya BloodHound gibi araçlar TrustedForDelegation özelliğini tarayarak bu makineleri listeler. Ele geçirilmiş bir delegasyon sunucusunda Rubeus veya Mimikatz çalıştırılarak bellekte biriken TGT biletleri toplanır. Kritik nokta, kurbanın o sunucuya kimlik doğrulaması yapmasını sağlamaktır.

Bir yönetici hesabının ya da Domain Controller’ın makine hesabının bu sunucuya bağlanması tetiklenirse, saldırgan doğrudan bu ayrıcalıklı biletleri toplar. Printer Bug (MS-RPRN) veya PetitPotam gibi zorlama teknikleriyle Domain Controller’ın kimlik doğrulaması yapmaya ikna edilmesi klasik bir yoldur. Elde edilen DC makine hesabı bileti, DCSync ile tüm parola özetlerinin çekilmesine kadar giden bir zincirin başlangıcıdır. Bu noktada saldırı, Bilet geçirme tekniğiyle biletin başka oturumlara enjekte edilmesine dönüşür.

Neden Bu Kadar Tehlikeli?

Kısıtlanmamış delegasyon, adı üzerinde herhangi bir hedef servisle sınırlandırılmadığı için toplanan bilet ağdaki her kaynağa karşı kullanılabilir. Saldırgan tek bir orta seviye sunucuyu ele geçirse bile, oraya bağlanan ayrıcalıklı bir kimliği yakaladığında etki alanının tamamına yayılabilir. Bu yüzden teknik, sıradan bir sunucu erişimini tam bir etki alanı ele geçirmeye çeviren en kısa yollardan biri olarak Yetki yükseltme senaryolarında sık görülür.

Tespit ve Önleme

Savunmanın ilk adımı envanteri temizlemektir: kısıtlanmamış delegasyonun kaldırılıp yerine kaynak tabanlı kısıtlı delegasyonun (RBCD) veya belirli servislerle sınırlı kısıtlı delegasyonun getirilmesi saldırı yüzeyini büyük ölçüde kapatır. Ayrıcalıklı hesaplar Protected Users grubuna alınarak veya hesap özelliğinde ‘delege edilemez’ işaretlenerek biletlerinin savunmasız sunuculara gönderilmesi engellenir.

• Delegasyon bayrağı taşıyan hesapları düzenli olarak numaralandırın ve gerekçesiz olanları kaldırın
• Domain Controller ve yönetici hesaplarını ‘delege edilemez’ olarak işaretleyin
• Anormal TGT talep hacimlerini ve zorlama (coercion) trafiğini SIEM üzerinde izleyin
• Kısıtlanmamış delegasyon yerine kaynak tabanlı kısıtlı delegasyonu tercih edin

Bu tür yanlış yapılandırmaların gerçek ortamda ne kadar zincirlenebildiğini görmenin en sağlıklı yolu, Active Directory güvenliği odaklı saldırgan bakışıyla test etmektir; Privia Security’nin red team hizmeti kapsamında delegasyon zafiyetleri gerçek saldırı senaryolarıyla değerlendirilir. Teknik temel için ayrıca Kerberos kimlik doğrulama mimarisini incelemek yararlı olur.