LSASS bellek dökümü, Windows’ta oturum güvenliğini yöneten Local Security Authority Subsystem Service sürecinin bellek içeriğini bir dosyaya aktararak içindeki kimlik bilgilerini çalma tekniğidir. LSASS, kullanıcılar sisteme giriş yaptığında kimliklerini doğrular ve bu sırada parola özetleri, Kerberos biletleri ve bazı durumlarda düz metin kimlik bilgileri gibi hassas değerleri bellekte tutar. Bu belleğe erişebilen bir saldırgan, oturum açmış kullanıcıların kimliklerine doğrudan ulaşır.

LSASS bellek dökümü, kimlik doğrulama sürecinin belleğinde geçici olarak duran sırları toplayıp, oturum açmış kullanıcıların kimliğine sahip olma girişimidir.

Saldırı Nasıl Gerçekleşir?

Tekniğin ön koşulu, hedef makinede yönetici veya SYSTEM düzeyinde yetkidir; çünkü başka bir sürecin belleğini okumak bu ayrıcalığı gerektirir. Saldırgan bu yetkiye ulaştıktan sonra LSASS sürecinin bellek görüntüsünü alır. Bunun için özel bir araç gerekmesi de şart değildir; işletim sistemiyle gelen görev yöneticisi ya da yönetim araçları, bir sürecin bellek dökümünü meşru amaçlarla dahi üretebilir. Alınan döküm dosyası daha sonra saldırganın kendi makinesinde çevrimdışı olarak incelenebilir.

Döküm elde edildikten sonra içindeki kimlik yapılarını ayrıştırmak için genellikle Mimikatz gibi araçlar kullanılır; bu araçlar bellekteki NTLM özetlerini, Kerberos biletlerini ve varsa açık parolaları çıkarır. Dökümün çevrimdışı işlenebilmesi, saldırının hedef makinede uzun süre kalmadan tamamlanmasını sağlar: hızla bellek görüntüsü alınır, sonra ayrıştırma başka yerde yapılır. Bu, hedef üzerinde bırakılan izi en aza indirir.

Çalınan Kimlik Neye Yarar?

Elde edilen değerler, ağ içinde yanal harekete kapı açar. Bir parola özeti ele geçirildiğinde, saldırgan onu kırmaya bile gerek kalmadan doğrudan kimlik doğrulamada kullanabilir; bu Hash geçirme tekniğinin temelidir. Özellikle bir sunucuda yönetici olarak oturum açmış ayrıcalıklı bir hesabın kimliği çalındığında, saldırgan bu kimlikle başka sistemlere bağlanarak erişimini genişletir. LSASS dökümü çoğunlukla tek başına bir hedef değil, daha geniş bir kampanyanın kimlik toplama adımıdır.

Bu adım tipik olarak bir Yetki yükseltme zincirini besler: yerel bir sistemde elde edilen yönetici yetkisi LSASS dökümüne, döküm yüksek ayrıcalıklı bir etki alanı hesabının kimliğine, o kimlik de nihayet etki alanının tamamına giden yola dönüşebilir. Böylece tek bir makinedeki tutunma, adım adım kurumsal ağın büyük bölümünün ele geçirilmesine ilerler.

Tespit ve Önleme

Savunmanın ilk katmanı, LSASS belleğine erişimi kısıtlamaktır. Windows’un Credential Guard özelliği, kimlik bilgilerini sanallaştırma tabanlı yalıtılmış bir ortamda tutarak sıradan bir bellek dökümünden erişilmesini engeller; LSASS’ı korumalı süreç (PPL) olarak çalıştırmak da yetkisiz okuma girişimlerini zorlaştırır. Bunun yanında, bir sürecin LSASS belleğine erişmeye çalışmasını gerçek zamanlı yakalayan bir Uç nokta güvenliği çözümü, döküm alma girişimini gerçekleştiği anda tespit edebilir.

• Credential Guard: kimlik bilgilerini sanallaştırılmış yalıtık alanda tutmak
• Korumalı süreç (PPL): LSASS belleğinin yetkisiz okunmasını engellemek
• Erişim izleme: LSASS’a bellek okuma isteği yapan süreçleri yakalamak
• En az yetki: yerel yönetici haklarını sınırlayıp ön koşulu zorlaştırmak

Bu önlemlerin bir kurumda tutarlı biçimde uygulanıp uygulanmadığını ve tespit mekanizmalarının gerçekten devreye girip girmediğini anlamanın en güvenilir yolu, kontrollü bir denemedir. Kimlik toplama ve yanal hareket adımlarının canlı bir ortamda güvenli biçimde denenmesi, bir red team hizmeti kapsamında yürütüldüğünde savunma katmanlarındaki gerçek boşlukları ve tepki süresini somut olarak ortaya koyar.