NTLM relay saldırısı, bir istemcinin kimlik doğrulama girişiminin saldırgan tarafından yakalanıp başka bir sunucuya aktarılmasıdır. Saldırgan kimlik bilgisini çözmez; yalnızca aracılık eder.

Sonuçta hedef sunucu, saldırganın açtığı oturumu gerçek kullanıcıya ait sanır. Kullanıcının yetkileri ne ise saldırgan da o yetkilerle işlem yapabilir.

Saldırının başarılı olması için istemcinin saldırgana kimlik doğrulaması yapması gerekir. Bu yönlendirme genellikle ad çözümleme zehirlenmesiyle sağlanır.

NTLM Relay Saldırısı Nedir?

NTLM relay, saldırganın bir istemciden gelen kimlik doğrulama akışını gerçek bir hedef sunucuya aktararak, kimlik bilgisini hiç çözmeden o sunucuda oturum açmasıdır.

Protokolün tasarımı, kimlik doğrulama mesajlarının hangi hedef için üretildiğini bağlayıcı biçimde belirtmez. Bu boşluk, aktarımı mümkün kılan temel nedendir.

Bu nedenle saldırı bir yazılım hatası değil, protokol tasarımının doğal sonucudur. Çözüm de yama uygulamak değil, ek doğrulama katmanları eklemektir.

Nasıl Gerçekleştirilir?

İlk adım, istemcinin saldırgana bağlanmasını sağlamaktır. Yerel ağda ad çözümleme protokollerine sahte yanıt verilmesi bu adımı sağlar.

İkinci adım, gelen kimlik doğrulama mesajlarının hedef sunucuya aktarılmasıdır. Saldırgan iki bağlantı arasında mesajları ileri geri taşır.

Üçüncü adım, açılan oturumla hedef sistemde işlem yapılmasıdır. Kullanıcı yönetici yetkisine sahipse etki doğrudan büyür.

Bazı tekniklerde istemcinin bağlanması zorlanabilir. Zorlama teknikleri sunucuların saldırgana kimlik doğrulaması yapmasını tetikler.

• Ad çözümleme zehirlenmesiyle istemcinin yönlendirilmesi
• Kimlik doğrulama mesajlarının hedef sunucuya aktarılması
• Açılan oturumla dosya paylaşımı ya da dizin hizmetine erişim
• Zorlama teknikleriyle sunucuların kimlik doğrulamaya itilmesi
• Yönetici yetkili hesapların yakalanmasıyla etkinin büyümesi

Nasıl Önlenir?

İlk önlem, protokol imzalamanın zorunlu kılınmasıdır. İmzalama etkinken aktarılan mesajlar hedef sunucu tarafından reddedilir.

İmzalama özellikle dosya paylaşımı ve dizin hizmeti bağlantılarında zorunlu hâle getirilmelidir. SMB protokolü güvenliği ayarları bu kapsamdadır.

İkinci önlem, kanal bağlama denetimidir. Kimlik doğrulamanın hangi şifreli kanal üzerinde yapıldığının doğrulanması, aktarımı engeller.

Üçüncü önlem, eski protokolün mümkün olduğunca devre dışı bırakılmasıdır. Kerberos kullanımına geçilen ortamlarda bu saldırı yüzeyi büyük ölçüde kapanır.

Tespit Yöntemleri

Ad çözümleme zehirlenmesinin tespiti, sahte yanıtların izlenmesiyle yapılır. Ağda beklenmedik bir cihazın ad sorgularına yanıt vermesi güçlü bir işarettir.

Kimlik doğrulama kayıtlarında da anormallikler aranır. Bir kullanıcının hiç kullanmadığı bir sunucuda ağ oturumu açması dikkat çekicidir.

Ayrıca bal küpü hesapları kullanılabilir. Kanarya hesapları hiçbir meşru kullanımı olmadığı için, kullanıldıklarında kesin bir uyarı üretirler.

İmzalamanın Etkisi ve Uygulanması

Protokol imzalama, mesajların bütünlüğünü kriptografik olarak garanti eder ve aktarılan bir kimlik doğrulamanın kabul edilmesini engeller. İmzalama etkinken saldırgan mesajı değiştiremediği için hedef sunucu oturumu reddeder. Bu tek ayar, saldırının en yaygın biçimini ortadan kaldırır. Buna rağmen birçok ortamda uyumluluk kaygısıyla kapalı bırakılır. Kapalı bırakma kararı, taşınan riskle birlikte değerlendirilmelidir.

İmzalamanın etkinleştirilmesi öncesinde uyumluluk testi yapılmalıdır. Eski istemciler ve bazı üçüncü taraf uygulamalar imzalamayı desteklemeyebilir. Bu sistemlerin listelenmesi ve alternatiflerinin planlanması gerekir. Geçiş, önce denetim modunda izlenerek yürütülür. Böylece kesinti riski en aza indirilir.

Dizin hizmeti bağlantılarında da benzer bir koruma bulunur. Bağlantı imzalama ve kanal bağlama denetimlerinin zorunlu kılınması, dizin hizmetine yapılan aktarımları engeller. Bu ayarlar, modern sürümlerde varsayılan olarak önerilir. Eski ortamlarda ise elle etkinleştirilmesi gerekir. Etkinleştirme sonrası ortamın izlenmesi önerilir.

Zorlama Teknikleri

Saldırganın kimlik doğrulama akışını yakalayabilmesi için bir istemcinin ona bağlanması gerekir. Bunu beklemek yerine, saldırgan bazı protokol özelliklerini kullanarak sunucuları kendisine bağlanmaya zorlayabilir. Bu teknikler, sunucunun bir dosya yolunu çözümlemeye çalışmasını tetikler. Sunucu, saldırganın adresine kimlik doğrulaması yapar. Böylece saldırgan pasif beklemek yerine aktif olarak materyal toplar.

Bu tekniklerin bir kısmı, kimlik doğrulamayı yapan tarafın makine hesabı olmasını sağlar. Makine hesapları bazı senaryolarda yüksek yetkiye sahip olduğu için etki büyür. Etki alanı denetleyicisinin zorlanması özellikle kritik bir senaryodur. Bu nedenle ilgili yamaların uygulanması ve gereksiz servislerin kapatılması gerekir. Envanterde bu servislerin nerede açık olduğu belirlenmelidir.

Zorlama tekniklerine karşı savunmanın bir parçası da ağ segmentasyonudur. Kimlik doğrulama trafiğinin yalnızca belirli segmentler arasında akmasına izin verilmesi, saldırganın konumunu sınırlar. Ağ segmentasyonu bu saldırı ailesinde tekrar tekrar öne çıkar. Segmentasyon olmadan diğer önlemlerin etkisi sınırlı kalır.

Kerberos’a Geçişin Rolü

Eski kimlik doğrulama protokolünün tamamen devre dışı bırakılması, bu saldırı yüzeyini kökten kapatır. Modern ortamlarda Kerberos varsayılan protokoldür ve aktarıma karşı yapısal olarak dirençlidir. Ancak uyumluluk nedeniyle eski protokol çoğu ortamda hâlâ etkindir. Geçiş, kullanım kayıtlarının incelenmesiyle planlanır. Hangi uygulamaların eski protokole bağımlı olduğu önce belirlenir.

Geçiş sürecinde denetim modunun kullanılması önemlidir. Bu modda kullanım engellenmez ama kaydedilir ve envanter oluşturulur. Envanter tamamlandığında kısıtlama kademeli olarak uygulanır. Önce sunucular, sonra istemciler kapsama alınır. Bu sıralama, kesinti riskini yönetilebilir kılar.

Privia Security olarak yerel ağdaki bu tür yapılandırma zayıflıklarınıaltyapı ve mimari gözden geçirme kapsamında tespit ediyor, uygulanabilir sıkılaştırma adımları öneriyoruz.