🛡️ Active Directory Güvenliği Rehberi

Hazırlayan: [kazakherif]
Tarih: 2025-07-13
Amaç: Windows Server ortamında Active Directory servisinin güvenliğini artırmak için uygulanabilir temel önlemleri sistematik biçimde sunmak.

1️⃣ Domain Admin Hesaplarını Sınırla

Açıklama:

Domain Admin grubundaki her kullanıcı tüm ağda tam yetkilidir. Bu grupta yalnızca zorunlu kişileri tut.

Kontrol Etmek İçin:

net group "Domain Admins" /domain

2️⃣ Hizmet Hesapları İçin Ayrı Kullanıcılar Oluştur

Açıklama:

Servislerin çalışması için Domain Admin gibi yüksek yetkili hesaplar kullanma. Her servis için ayrı, minimum yetkili kullanıcı oluştur.

3️⃣ Kerberos Ön-Yetki (Pre-authentication) Devre Dışı Olan Kullanıcıları Tespit Et

Açıklama:

Kerberos pre-auth kapalıysa, parola hash’i kolayca brute-force edilebilir.

Tespit Etmek İçin:

Get-ADUser -Filter {DoesNotRequirePreAuth -eq $true}

4️⃣ Eski ve İnaktif Hesapları Devre Dışı Bırak

Açıklama:

Aktif olmayan kullanıcılar saldırganların hedefidir. Son giriş tarihine göre filtreleme yap.

Örnek:

Search-ADAccount -AccountInactive -TimeSpan 90.00:00:00

5️⃣ Hesap Kilitleme Politikası Uygula

Açıklama:

Brute-force saldırılarını engellemek için kullanıcı parolaları yanlış girildiğinde hesapların geçici kilitlenmesini sağla.

GPO Ayarı:

Computer Configuration > Policies > Windows Settings > Security Settings > Account Lockout Policy

6️⃣ Tier Modeli Uygula (Tier 0, Tier 1, Tier 2)

Açıklama:

Domain Admin’ler yalnızca Tier-0 sistemlere bağlanmalı. Bu model, lateral movement riskini azaltır.

7️⃣ RDP Üzerinden Domain Admin Girişini Kısıtla

Açıklama:

Domain Admin hesaplarının istemci makinelerden RDP ile oturum açması güvenlik riski doğurur. Grup ilkesiyle kısıtla.

GPO Ayarı:

Deny log on through Remote Desktop Services

8️⃣ LAPS (Local Administrator Password Solution) Kullanın

Açıklama:

Tüm istemcilerde aynı local admin şifresi olması büyük risktir. LAPS ile her cihaz için şifre farklı ve merkezi olarak yönetilir.

9️⃣ Event Loglarla Gelişmiş İzleme Yapın

Açıklama:

AD üzerindeki başarısız oturumlar, yetki değişiklikleri gibi olayları denetimle ve loglarla takip et.

Örnek Event ID’ler:

• 4625: Başarısız oturum
• 4720: Yeni kullanıcı oluşturma
• 4728: Grup üyeliği ekleme

🔟 PowerShell Logging ve Script Engelleme Ayarlarını Aç

Açıklama:

Saldırganlar genellikle PowerShell ile işlem yapar. Script block logging, module logging gibi özellikler açık olmalı.

GPO Ayarları:

Computer Configuration > Administrative Templates > Windows Components > Windows PowerShell > Enable Logging