LLMNR ve NBT-NS, ad çözümleme başarısız olduğunda devreye giren yedek protokollerdir. Bir istemci aradığı adı bulamadığında, yerel ağa yayın yaparak “bu adı bilen var mı?” diye sorar.

Bu soruya ağdaki herhangi bir cihaz yanıt verebilir; doğrulama mekanizması yoktur. Saldırgan bu boşluğu kullanarak kendini hedef makine olarak tanıtır.

İstemci sahte yanıta güvenerek saldırgana bağlanır ve kimlik doğrulaması yapar. Böylece kimlik materyali saldırganın eline geçer.

LLMNR/NBT-NS Zehirlenmesi Nedir?

LLMNR/NBT-NS zehirlenmesi, yerel ağdaki ad çözümleme yayın sorgularına sahte yanıt verilerek istemcilerin saldırgana yönlendirilmesi ve kimlik materyalinin toplanmasıdır.

Saldırı çoğu zaman yazım hatalarından ya da var olmayan paylaşım adlarından beslenir. Kullanıcının yanlış yazdığı bir sunucu adı, sorgunun yayına düşmesine yol açar.

Yanlış yapılandırılmış betikler ve kısayollar da aynı etkiyi yaratır. Bu nedenle saldırgan çoğu ağda beklemeye geçerek kimlik toplayabilir.

Toplanan Bilgiyle Ne Yapılır?

Yakalanan kimlik doğrulama yanıtları iki şekilde kullanılır. Birincisi çevrimdışı deneme ile parolanın çözülmeye çalışılmasıdır.

İkincisi doğrudan aktarımdır; yakalanan kimlik doğrulama başka bir sunucuya iletilerek oturum açılır. NTLM relay saldırısı bu yöntemi kullanır.

İkinci yöntem parolayı hiç çözmeyi gerektirmediği için çok daha hızlı sonuç verir. Bu nedenle güçlü parola politikası tek başına yeterli koruma sağlamaz.

• Yazım hatalarından doğan ad sorgularının yayına düşmesi
• Saldırganın sahte yanıtla kendini hedef olarak tanıtması
• İstemcinin kimlik doğrulama yanıtını saldırgana göndermesi
• Yanıtın çevrimdışı denemeyle çözülmeye çalışılması
• Ya da doğrudan başka bir sunucuya aktarılması

Nasıl Önlenir?

En etkili önlem, bu protokollerin tamamen kapatılmasıdır. Doğru yapılandırılmış bir ad çözümleme altyapısında yedek protokollere ihtiyaç duyulmaz.

Kapatma öncesinde bağımlılıkların değerlendirilmesi gerekir. Bazı eski uygulamalar bu protokollere dayanabilir ve önce alternatif çözüm sağlanmalıdır.

İkinci önlem, ad çözümleme altyapısının düzgün çalışmasıdır. Eksik kayıtlar ve yanlış yapılandırmalar, sorguların yayına düşmesine neden olur.

Üçüncü önlem, protokol imzalamanın zorunlu kılınmasıdır. Böylece toplanan kimlik materyali aktarım için kullanılamaz.

Tespit Yöntemleri

Ağ trafiğinde bu protokollere verilen yanıtların izlenmesi temel tespit yöntemidir. Beklenmedik bir cihazın sistematik olarak yanıt vermesi güçlü bir işarettir.

Kanarya hesapları da etkili bir tespit aracıdır. Hiç kullanılmayan bir hesap adına yapılan kimlik doğrulama girişimi, kesin bir uyarı üretir.

Ayrıca var olmayan paylaşım adlarına yapılan erişim denemeleri izlenebilir. Bu denemeler, saldırganın kimlik toplama girişimini gösterir.

Protokoller Neden Hâlâ Açık?

Bu protokoller, ad çözümleme altyapısının bulunmadığı küçük ağlar için tasarlanmıştır ve varsayılan olarak etkin gelir. Kurumsal ortamlarda gerekli olmamalarına rağmen, hiç kimse kapatmayı düşünmediği için yıllarca açık kalırlar. Kapatma işlemi teknik olarak basittir ancak bir grup politikası değişikliği gerektirir. Değişikliğin etkilerinin önceden değerlendirilmesi gerekir. Bu değerlendirme yapılmadığı için karar sürekli ertelenir.

Bazı eski uygulamalar bu protokollere gerçekten bağımlı olabilir. Bu bağımlılık, kapatma öncesinde denetim modunda izleme yapılarak tespit edilir. Tespit edilen uygulamalar için ad çözümleme kayıtları eklenerek bağımlılık ortadan kaldırılır. Alternatif çözüm sağlanmadan yapılan kapatmalar, kullanıcı şikâyetlerine ve geri alınmaya yol açar. Bu nedenle planlı bir geçiş süreci gereklidir.

Kapatma kararı verildiğinde uygulama merkezî politikalarla yapılır. Tek tek makinelerde yapılan değişiklikler zamanla geri döner. Politikanın yeni kurulan makinelere de uygulanması sağlanmalıdır. Aksi hâlde ortam zamanla eski hâline döner. Yapılandırma sapmasının izlenmesi bu nedenle önemlidir.

Toplanan Kimlik Materyalinin Değeri

Yakalanan kimlik doğrulama yanıtları, kullanıcının parolasından türetilmiş değerlerdir. Parola zayıfsa bu değerler kısa sürede çözülebilir ve düz metin parola elde edilir. Elde edilen parola, kullanıcının diğer sistemlerdeki hesaplarında da denenir. Bu nedenle tek bir zayıf parola, ortamda geniş bir erişim zincirine dönüşebilir. Sözlük saldırısı bu aşamada devreye girer.

Parola güçlü olduğunda çözme denemesi sonuçsuz kalır. Ancak bu durumda saldırgan aktarım yöntemine geçer ve parolayı hiç çözmeden oturum açar. Bu nedenle güçlü parola politikası tek başına yeterli koruma sağlamaz. İmzalama ve protokol kapatma önlemleri bu boşluğu doldurur. İki önlem birlikte uygulandığında saldırı zinciri kırılır.

Toplanan materyalin bir kısmı makine hesaplarına aittir. Makine hesapları rastgele ve uzun parolalar kullandığı için çözülmeleri pratik değildir. Ancak aktarım yöntemiyle kullanılabilirler ve bazı senaryolarda yüksek yetki taşırlar. Bu nedenle makine hesaplarının kimlik doğrulama davranışı da izlenmelidir. Beklenmedik bir hedefe yapılan kimlik doğrulama dikkat çekicidir.

Kurumsal Kontrol Listesi

İlk madde, protokollerin merkezî politikayla kapatılmasıdır. İkinci madde, ad çözümleme altyapısındaki eksik kayıtların tamamlanmasıdır. Üçüncü madde, protokol imzalamanın zorunlu kılınmasıdır. Dördüncü madde, kanarya hesaplarıyla erken uyarı kurulmasıdır. Beşinci madde, ağ segmentasyonuyla saldırganın erişim alanının daraltılmasıdır.

Bu maddelerin uygulanma durumu dönemsel olarak denetlenmelidir. Yeni kurulan sistemler ve yeni açılan ağ segmentleri kontrol dışında kalabilir. Ağ segmentasyonu değişiklikleri de bu denetime dahil edilir. Denetim çıktısı bir önceki dönemle karşılaştırılır. Böylece sapmalar erken fark edilir.

Privia Security olarak yerel ağ protokol yapılandırmalarınıaltyapı ve mimari gözden geçirme kapsamında inceliyor, kimlik toplama yollarını kapatan adımları raporluyoruz.