Active Directory temizliği: pasif hesaplar ve riskli yetkiler

On yıldır kullanılan bir Active Directory’yi açtığınızda tanıdık bir tabloyla karşılaşırsınız: üç yıl önce ayrılan muhasebe uzmanının hesabı hâlâ etkin, “Domain Admins” grubunda kimsenin hatırlamadığı bir “test” kullanıcısı var, sistem odasından çoktan kaldırılmış sunucuların bilgisayar hesapları duruyor. Bu kirlilik yalnızca bir düzen sorunu değildir. Saldırganlar ağa girdiklerinde ilk olarak kimsenin takip etmediği hesapları ve gereğinden geniş yetkileri arar. Bu yazıda Active Directory’de neyi, hangi sırayla ve bir şeyi bozmadan nasıl temizleyeceğinizi anlatıyoruz. Etki alanı denetleyicisinin ne olduğunu merak ediyorsanız önce domain controller yazımıza bakabilirsiniz.

Neden temizlik gerekir?

Active Directory’de her etkin hesap, bir giriş kapısıdır. Kimsenin kullanmadığı bir hesabın şifresi ele geçirildiğinde bunu fark edecek kimse yoktur; çünkü hesabın sahibi şirkette değildir. Gereğinden geniş yetkiler de aynı şekilde çalışır: saldırganın hedefi, yönetici gruplarından birine üye bir hesaba ulaşmaktır. Grup ne kadar kalabalıksa hedef o kadar kolaydır.

Temizlik ayrıca uyum açısından da gereklidir. KVKK’nın Kişisel Veri Güvenliği Rehberi, işten ayrılan çalışanların hesaplarının kapatılmasını ve yetkilerin düzenli gözden geçirilmesini açıkça ister. ISO 27001 denetimlerinde de erişim haklarının periyodik gözden geçirildiğine dair kanıt beklenir.

Pasif kullanıcı ve bilgisayar hesapları

Pasif hesabı nasıl tanımlarsınız?

Önce bir eşik belirleyin: örneğin 90 gündür oturum açmamış hesaplar. Eşiği kurum politikanız belirler; önemli olan yazılı olması ve her seferinde aynı ölçütün kullanılmasıdır.

Burada bir teknik ayrıntı önemlidir. Active Directory’de lastLogonTimestamp özniteliği, pasif hesapları bulmak için tasarlanmıştır ama gerçek zamanlı değildir. Microsoft’un açıklamasına göre bu değer, varsayılan ayarlarla güncel tarihin 9 ila 14 gün gerisinde olabilir. lastLogon özniteliği ise her etki alanı denetleyicisinde ayrı tutulur ve çoğaltılmaz. Bu yüzden 30 günün altındaki eşikler yanıltıcı sonuç verir; 90 gün gibi bir eşik bu gecikmeyi rahatça tolere eder.

Dikkat edilmesi gereken istisnalar

• Servis hesapları: Etkileşimli oturum açmadıkları için pasif görünebilirler ama bir uygulamayı çalıştırıyor olabilirler.
• Uzun izindeki çalışanlar: Doğum izni, askerlik ya da uzun süreli rapor. İnsan kaynaklarıyla doğrulayın.
• Yalnızca e-posta ya da bulut kullanan hesaplar: Şirket içi etki alanında oturum açmayıp Microsoft 365 kullanan hesaplar yanlışlıkla pasif görünebilir.
• Bilgisayar hesapları: Uzun süre kapalı kalan bir dizüstü bilgisayar, depodaki yedek cihaz ya da yalnızca felaket kurtarma testinde açılan bir sunucu.

Riskli yetkiler: gruplar, servis hesapları, yerel yöneticiler

Ayrıcalıklı gruplar

Domain Admins, Enterprise Admins, Schema Admins ve yerleşik Administrators grupları en kritik gruplardır. Account Operators, Backup Operators ve Server Operators gibi gruplar da göründüğünden daha fazla yetki verir. Her üyelik için şu soruyu sorun: bu kişi bu yetkiye her gün mü ihtiyaç duyuyor? Yönetici yetkisi, günlük e-posta ve internet için kullanılan hesaptan ayrı bir hesapta olmalıdır. Enterprise Admins ve Schema Admins grupları çoğu zaman günlük işlerde hiç gerekmez; boş tutulması yaygın bir uygulamadır.

İç içe gruplar

Bir kullanıcı doğrudan Domain Admins üyesi olmayabilir ama üyesi olduğu “BT_Destek” grubu, yıllar önce yönetici grubuna eklenmiş olabilir. Raporlarda doğrudan üyeliklerin yanında dolaylı üyelikleri de mutlaka görün.

Servis hesapları ve şifresi süresiz hesaplar

Yedekleme yazılımının, ERP’nin ya da tarama cihazının kullandığı servis hesapları çoğu zaman yönetici grubundadır ve şifresi yıllardır değişmemiştir. Hangi uygulamanın hangi hesabı kullandığını belgeleyin, yetkiyi uygulamanın gerçekten ihtiyaç duyduğu seviyeye indirin. “Şifre asla sona ermez” işaretli kullanıcı hesaplarını ayrıca listeleyin; bunların servis hesabı mı yoksa unutulmuş bir istisna mı olduğunu belirleyin.

Yerel yönetici hakları

Tüm bilgisayarlarda aynı yerel yönetici şifresinin kullanılması, bir cihazın ele geçirilmesini tüm ağa yayar. Microsoft’un Windows LAPS özelliği, 11 Nisan 2023 güncellemeleriyle desteklenen Windows sürümlerine yerleşik olarak geldi ve her cihaz için benzersiz, düzenli değişen bir yerel yönetici şifresi üretir. Kullanıcı bilgisayarlarındaki gereksiz yönetici haklarını kaldırmak ise ayrı bir iştir; bunu PAM360’ın uç nokta yetki yönetimi gibi araçlarla ele alırız.

Temizlik adım adım

Temizlikte en büyük risk, bir servisi durduracak bir hesabı silmektir. Bu yüzden “sil” en son adımdır.

1. Yedek alın. Etki alanı denetleyicilerinin sistem durumu yedeğinin güncel olduğundan emin olun. Active Directory Geri Dönüşüm Kutusu açık değilse açmayı değerlendirin; silinen nesneleri geri almayı kolaylaştırır.
2. Raporlayın. Pasif kullanıcılar, pasif bilgisayarlar, şifresi süresiz hesaplar, ayrıcalıklı grup üyelikleri ve boş gruplar için listeler çıkarın.
3. Sahiplerle doğrulayın. Listeyi insan kaynakları ve departman yöneticileriyle paylaşın. Servis hesaplarını uygulama sahipleriyle eşleştirin.
4. Devre dışı bırakın ve taşıyın. Silmek yerine hesabı devre dışı bırakın, açıklama alanına tarih ve gerekçeyi yazın, ayrı bir “Devre Dışı” organizasyon birimine taşıyın.
5. Bekleyin. Belirlediğiniz bir süre, örneğin 30 ila 60 gün, gelen şikâyetleri izleyin. Bir servis durursa hesabı tek tıkla geri açarsınız.
6. Silin ve kaydedin. Süre dolduğunda silin. Hangi hesabın kimin onayıyla silindiğini kayıt altına alın; bu kayıt denetimde işinize yarar.

Ayrılan çalışanın posta kutusu, OneDrive dosyaları ve kişisel klasörleri de bu süreçte ele alınmalıdır. Hesabı kapatmadan önce verinin kime devredileceğine karar verin. Bu konuyu işten ayrılan çalışan ve veri güvenliği yazımızda ayrıca işledik.

Temizliği kalıcı hâle getirmek

Tek seferlik temizlik birkaç ay içinde eski hâline döner. Kalıcılık için süreç ve araç gerekir:

• İşe giriş ve çıkış şablonları: Yeni çalışanın hesabı departman şablonuyla açılsın, ayrılan çalışanın hesabı aynı gün kapansın.
• Periyodik raporlar: Pasif hesap ve ayrıcalıklı grup raporları her ay otomatik olarak ilgili kişiye gitsin.
• Yetki devri: Şifre sıfırlama gibi basit işler için yardım masasına alan yöneticisi yetkisi değil, sınırlı bir yetki verin.
• Yönetici şifrelerini kasaya alın: En kritik hesapların şifreleri bir kasada dursun, düzenli değişsin, her kullanımı kayıt altına alınsın.

ADManager Plus bu sürecin büyük kısmını otomatikleştirir: şablonlarla hesap açma ve kapama, CSV ile toplu işlemler, yardım masasına sınırlı yetki devri ve uzun süredir oturum açmamış hesaplar, şifresi hiç değişmeyen kullanıcılar, boş gruplar ve ayrıcalıklı grup üyelikleri için hazır raporlar. Yönetici hesaplarının kasaya alınması için Password Manager Pro ya da PAM360’ı kullanırız.

Unna ile Active Directory düzeni

Önce dinleriz: mevcut yapınızı inceler, pasif hesapları ve riskli yetkileri raporlarız; bu rapor çoğu zaman sürpriz sonuçlar içerir. Birlikte planlarız: eşikleri, istisnaları ve işe giriş ve çıkış süreçlerinizi tanımlarız. Onayınızla temizleriz: hesapları önce devre dışı bırakır, bekleme süresinden sonra sileriz. Yanınızda kalırız: periyodik raporlarla yapının temiz kaldığını birlikte takip ederiz ve sunucu yönetimi kapsamında etki alanı denetleyicilerinizin sağlığını izleriz. Etki alanı denetleyicilerinin yedeği için yedekleme çözümlerimize, tüm seçenekler için kimlik ve erişim yönetimi sayfamıza göz atabilirsiniz.