NTLM coercion, bir Windows sistemini kandırıp saldırganın belirlediği bir adrese kendiliğinden kimlik doğrulama yapmaya zorlama tekniklerinin genel adıdır. Saldırgan burada bir parola kırmaya ya da bir açık sömürmeye çalışmaz; bunun yerine sistemin kendi meşru uzak yordam çağrılarını kullanarak onu bir NTLM kimlik doğrulaması başlatmaya iter. Zorlanan sistem çoğu zaman bir alan denetleyicisi ya da başka bir sunucu olduğu için, ele geçen şey güçlü bir makine hesabının kimlik bilgisidir.

NTLM coercion, bir sunucuyu meşru uzak yordam çağrıları aracılığıyla saldırgan kontrolündeki bir hedefe kimlik doğrulamaya zorlayarak makine hesabının NTLM kimliğini ele geçiren tekniktir.

Zorlama Nasıl Gerçekleşir?

Windows’un çeşitli hizmetleri, tasarımları gereği bir başka sunucuya bağlanıp işlem yapabilir. Örneğin bir yazıcı biriktirme hizmeti ya da şifreleme dosya sistemi hizmeti, kendisine ‘şu adresteki dosyayı kontrol et’ türünden bir çağrı geldiğinde bu adrese bağlanmaya çalışır ve bağlanırken çalıştığı makine hesabıyla kimlik doğrular. Saldırgan bu adres olarak kendi denetimindeki bir makineyi verdiğinde, hedef sistem ona doğru bir NTLM kimlik doğrulaması başlatır. 2021’de yayımlanan PetitPotam tekniği, bu zorlamayı şifreleme dosya sistemi uzak yordamı üzerinden gerçekleştirerek yöntemi genişçe tanınır kıldı.

Bu tekniklerin gücü, hiçbir kimlik bilgisine ihtiyaç duymadan, yalnızca ağ üzerinden ulaşılabilen bir uç noktaya çağrı yaparak çalışabilmelerinde yatar. Zorlanan makine, saldırgana kendi kimliğini adeta gönüllü olarak sunar.

Yakalanan Kimlik Neye Yarar?

Elde edilen NTLM kimlik doğrulaması tek başına düz bir parola vermez, ama başka bir hizmete aktarılabilir. Saldırgan, yakaladığı bu kimlik doğrulamasını gerçek zamanlı olarak başka bir sunucuya ileterek orada kurbanın yetkisiyle işlem yapar; bu da klasik bir NTLM relay saldırısı senaryosudur. Zorlama tekniği relay saldırısının ilk yarısını, yani kurbanı harekete geçirme adımını sağlar. Bir alan denetleyicisinin kimliği bu yolla sertifika hizmetlerine aktarıldığında, saldırgan alanın tamamını ele geçirecek bir sertifika elde edebilir.

Savunma Önlemleri

En temel savunma, aktarılan kimlik doğrulamalarının değersizleşmesini sağlamaktır. NTLM relay’e karşı imzalama ve bağlama (channel binding) zorunluluğunun ağ genelinde etkinleştirilmesi, zorlama başarılı olsa bile yakalanan kimliğin başka bir hedefe aktarılamamasını sağlar. Zorlama uç noktalarının bir kısmı ise güvenlik güncellemeleriyle ya da hizmetleri kapatarak sınırlandırılabilir.

• Alan denetleyicilerinde ve kritik sunucularda SMB imzalamayı zorunlu kılın
• Sertifika hizmetleri web kayıt uçlarında kanal bağlama ve HTTPS zorunluluğu uygulayın
• Kullanılmayan yazıcı biriktirme ve uzak şifreleme dosya sistemi hizmetlerini devre dışı bırakın
• Ağ katmanında NTLM kullanımını mümkün olduğunca Kerberos lehine kısıtlayın

Bu tekniklerin doğrudan hedefi ağın kimlik doğrulama trafiği olduğu için, SMB protokolü güvenliği yapılandırması bu saldırı zincirinin kırılmasında belirleyici bir rol oynar. Bir kurumun bu zorlama ve aktarma zincirine ne kadar açık olduğu ancak kontrollü bir saldırı simülasyonuyla ölçülebilir; Privia’nın red team hizmeti bu tekniklerin alan ele geçirmeye kadar uzanan yollarını gerçek ortamda çıkararak zayıf yapılandırmaları görünür kılar.