Resource-based constrained delegation (RBCD), Active Directory’de bir hizmetin hangi hesaplar adına başka bir hizmete kimlik doğrulayabileceğini, kaynağı işleten hesabın kendisinin belirlemesine olanak tanıyan bir delegasyon modelidir. Klasik kısıtlı delegasyondan farkı, iznin kaynak nesnesi üzerinde tutulmasıdır.

Delegasyon iznini kaynak sunucunun kendi üzerine yazan, bu yüzden o nesne üzerinde yazma yetkisi olan herkese ele geçirme kapısı aralayan Active Directory özelliğidir RBCD.

Nasıl Çalışır?

RBCD’de yetkilendirme kararı, hedef kaynağın msDS-AllowedToActOnBehalfOfOtherIdentity adlı özniteliğinde saklanır. Bu öznitelik, hangi hesapların bu kaynağa başka kullanıcıların kimliğiyle erişebileceğini listeler. Kerberos kimlik doğrulama akışında bu, S4U2Self ve S4U2Proxy uzantılarıyla işler; hizmet önce kullanıcı adına bir bilet elde eder, ardından bunu hedef hizmete sunar.

Bu modelin yönetimsel avantajı, delegasyon izninin merkezi bir yönetici yerine kaynak sahibi tarafından tanımlanabilmesidir. Ne var ki bu esneklik, aynı zamanda saldırı yüzeyini de kaynak nesnesinin izinlerine bağımlı hale getirir.

Saldırı Nasıl Gerçekleşir?

Sömürünün anahtarı şudur: Bir saldırgan, hedef bilgisayar nesnesinin msDS-AllowedToActOnBehalfOfOtherIdentity özniteliğine yazma hakkına sahipse, kendi kontrolündeki bir hesabı bu listeye ekleyebilir. Ardından S4U akışını kullanarak, o kaynağa istediği bir kullanıcının, örneğin bir yöneticinin kimliğiyle geçerli bir bilet üretir ve makineyi ele geçirir.

Saldırgan çoğu zaman önce kendi denetimindeki bir bilgisayar hesabı oluşturur; varsayılan ayarların çoğu ortamda sıradan kullanıcılara bu izni vermesi işi kolaylaştırır. Sonuç, nesne üzerindeki bir yazma yetkisinin doğrudan yetki yükseltme fırsatına dönüşmesidir. RBCD, kısıtlı delegasyon saldırıları ailesinin en pratik ve sık kullanılan varyantlarından biridir.

Sıkılaştırma Adımları

• Bilgisayar nesnelerinin msDS-AllowedToActOnBehalfOfOtherIdentity özniteliğine kimlerin yazabildiğini denetleyin
• Sıradan kullanıcıların yeni bilgisayar hesabı oluşturma kotasını (MachineAccountQuota) sıfırlayın
• Yüksek değerli hesapları hassas ve delege edilemez olarak işaretleyin
• Delegasyon yapılandırmalarını düzenli olarak gözden geçirip beklenmeyen kayıtları temizleyin

Kapsamlı savunma, delegasyon ilişkilerini nesne düzeyindeki erişim denetim listeleriyle birlikte ele almayı gerektirir; sağlıklı bir Active Directory güvenliği duruşu, hangi hesabın hangi nesne üzerinde yazma yetkisi taşıdığını sürekli görünür kılmalıdır.

Bu tür delegasyon zafiyetlerinin bir ortamda gerçekten sömürülebilir olup olmadığını, saldırganın yanal hareket zincirini takip ederek ortaya koymak gerekir. Privia Security red team hizmeti, RBCD gibi yanlış yapılandırmaları etki alanı ele geçirmeye giden gerçek bir saldırı yolu üzerinden gösterir.