Active Directory Keşfi: BloodHound ile Giriş

Konu: Metodoloji · Belirli bir platform/odaya değil, genel yaklaşıma odaklıdır. Kurumsal ağların büyük çoğunluğu Active Directory (AD) üzerine kuruludur. Bu nedenle AD enumeration (keşif), modern sızma testlerinin ve CTF'lerin en yaygın konularından biri haline geldi. Bu rehber, BloodHound ile temel bir AD keşif sürecini ele alır. ■ 1. Neden Active Directory Bu Kadar Önemli? Bir kurumsal ağda tek bir düşük yetkili kullanıcı hesabı ele geçirildiğinde bile, AD'nin karmaşık izin/güven yapısı sayesinde genellikle Domain Admin yetkisine ulaşan bir "saldırı yolu" (attack path) bulunabilir. BloodHound, bu yolları görselleştirmek için tasarlanmıştır. ■ 2. Veri Toplama: SharpHound BloodHound'un veri toplama bileşeni SharpHound'dur. Domain'e bağlı bir makineden (ya da geçerli domain kimlik bilgileriyle) çalıştırılır: SharpHound.exe -c All Bu komut, domain'deki kullanıcılar, gruplar, bilgisayarlar, oturum bilgileri ve izinler hakkında kapsamlı veri toplar; sonuç bir .zip dosyası olarak oluşur. ■ 3. Linux'tan Uzaktan Veri Toplama Domain'e bağlı bir Windows makinesine erişimin yoksa, bloodhound-python ile Linux üzerinden de veri toplanabilir: bloodhound-python -u <kullanici> -p <sifre> -d hedefdomain.local -c All -ns <dc-ip> ■ 4. BloodHound Arayüzünde Analiz Toplanan veri, BloodHound arayüzüne (Neo4j veritabanı üzerinde çalışır) yüklenir. En sık kullanılan hazır sorgular: - "Find Shortest Paths to Domain Admins" — mevcut kullanıcıdan Domain Admin'e giden en kısa yolu gösterir. - "Find Principals with DCSync Rights" — hangi hesapların domain controller ile senkronizasyon (ve dolayısıyla tüm parola hash'lerini çekme) yetkisine sahip olduğunu gösterir. - "Shortest Path from Kerberoastable Users" — Kerberoasting saldırısına açık hesapları ve onlardan devam eden yolları gösterir. ■ 5. Yaygın Saldırı Teknikleri (Genel Bakış) - Kerberoasting: Service Principal Name (SPN) içeren hesapların Kerberos servis biletlerini talep edip offline olarak kırmaya çalışmak. - AS-REP Roasting: Kerberos ön-kimlik-doğrulama gerektirmeyen hesapları hedef alarak benzer bir offline kırma saldırısı yapmak. - Yanlış Yapılandırılmış ACL'ler: BloodHound'un en değerli bulguları genellikle "bu kullanıcı, şu grubun şifresini sıfırlayabilir" gibi görünürde masum ama zincirleme olarak Domain Admin'e çıkan izin hatalarıdır. ■ 6. Öğrenilen Dersler - AD ortamlarında güvenlik, tekil bir zafiyetten çok, izin/güven ilişkilerinin birikimli etkisinden kaynaklanır. - BloodHound gibi araçlar, savunma tarafında da (kendi ortamınızı düzenli tarayarak) proaktif olarak kullanılmalıdır — "Purple Team" yaklaşımının önemli bir parçasıdır. - En az yetki prensibi ve düzenli ACL denetimi, AD ortamlarında saldırı yüzeyini daraltmanın en etkili yoludur.