İç Ağda Pass-the-Hash Saldırıları

Pass-the-Hash (PtH)

Öncelikle, Windows sistemlerinin kimlik doğrulama sürecini anlamamız gerekir. Bir kullanıcı bilgisayara giriş yaptığında, işletim sistemi parolayı düz metin olarak saklamaz. Bunun yerine, parolayı şifreleme algoritmalarından geçirerek NTLM (NT LAN Manager) hash adı verilen matematiksel bir özete dönüştürür. Sistemler arası kimlik doğrulama işlemlerinde, orijinal parola değil, işte bu hash değeri ağ üzerinden iletilir.

Pass-the-Hash saldırısı tam olarak bu mekanizmayı istismar eder. Saldırganlar, kurbanın bilgisayarına sızdıklarında parolayı bulmaya çalışmazlar. Sadece sistem belleğinde (RAM) tutulan NTLM hash değerini kopyalarlar. Sonrasında, kopyaladıkları bu hash değerini kimlik doğrulama sunucusuna (Domain Controller) gönderirler. Sunucu, gelen hash değerini geçerli kabul eder ve saldırgana yetki verir. Başka bir deyişle, hash değeri parolanın kendisi gibi davranır.

Kimlik Bilgileri ve Hashlerin Çalınması

Saldırganlar, hash değerlerine ulaşmak için genellikle Windows’un Yerel Güvenlik Yetkilisi Alt Sistemi Hizmeti’ni (LSASS) hedeflerler. LSASS, kullanıcılar sisteme giriş yaptığında kimlik bilgilerini bellekte saklamakla görevlidir. İkinci olarak, saldırganlar ele geçirdikleri makinede yönetici haklarına sahip olduklarında, bellek dökümünü (memory dump) alarak bu bilgilere erişirler.

Bu işlemi gerçekleştirmek için sektörde bilinen Mimikatz, Procdump veya özel PowerShell betiklerini kullanırlar. Ayrıca, Yerel Güvenlik Yöneticisi (SAM) veritabanı da yerel hesapların hashlerini barındırır ve saldırganların sıkça başvurduğu bir diğer kaynaktır. Nihayetinde, saldırgan sadece bir cihazda yerel yönetici (local admin) yetkisi kazandığında, o cihazda oturum açmış tüm kullanıcıların kimlik özetlerini ele geçirmiş olur.

Yanal Hareketin (Lateral Movement) Rolü

Pass-the-Hash tekniği, izole bir eylemden ziyade yanal hareketin en önemli aracıdır. Yanal hareket, bir saldırganın ağdaki başlangıç noktasından diğer sistemlere doğru sıçraması anlamına gelir. Çoğu zaman, saldırganın ilk sızdığı makine sıradan bir çalışanın bilgisayarıdır ve hedeflenen kritik verilere sahip değildir. Dolayısıyla, saldırganın ağ içinde ilerlemesi şarttır.

Saldırganlar, ele geçirdikleri hashleri kullanarak diğer sunuculara ve iş istasyonlarına oturum açarlar. Üstelik bu süreç, yetkili bir hesaba (örneğin Domain Admin) ulaşana kadar zincirleme bir şekilde devam eder. Her yeni sisteme sıçradıklarında bellekteki yeni hashleri toplarlar. Kısacası yanal hareket, küçük bir sızıntıyı tüm Active Directory ormanının (forest) ele geçirilmesine dönüştüren tehlikeli bir yolculuktur.

Kaba Kuvvet (Brute Force) Saldırılarından Farkı

Bununla birlikte, birçok BT uzmanı Pass-the-Hash saldırılarını klasik kaba kuvvet yöntemleriyle karıştırır. Oysa iki tekniğin çalışma prensibi tamamen zıttır. Brute force saldırılarında, saldırgan doğru parolayı bulana kadar sistemi binlerce kez dener. PtH saldırısında ise deneme yanılma yoktur; saldırgan doğrudan “doğru cevabı” sisteme sunar.

Gerçekte, PtH saldırısı parolaların karmaşıklık kurallarını tamamen anlamsız kılar. İster 8 karakterli basit bir parola, ister 30 karakterli rastgele bir dizi kullanın; NTLM hash’i elde edildikten sonra ikisi de eşit derecede kırılgandır. Aşağıdaki tabloda bu iki saldırı türünün temel farklarını görebilirsiniz:

Adım Adım Saldırı Süreci

Saldırganlar kurumsal ağlarda ilerlerken belirli bir metodolojiyi takip ederler. Bu süreç genellikle zararsız görünen bir oltalama (phishing) e-postasıyla başlar. Sonrasında, kurbanın cihazında zararlı yazılım çalıştırılarak ilk erişim sağlanır. İlk erişim noktası genellikle düşük yetkili bir hesaptır.

1. Yerel Yetki Yükseltme: Saldırgan, işletim sistemindeki bir zafiyeti kullanarak kurban makinede yerel yönetici (SYSTEM) haklarını elde eder.
2. Hash Çıkarımı: LSASS belleğine erişim sağlanır ve cihazda daha önce oturum açmış kullanıcıların NTLM hashleri toplanır.
3. Yanal Hareket Başlangıcı: Elde edilen hash değerleri SMB, WMI veya WinRM protokolleri üzerinden ağdaki diğer cihazlara gönderilir.
4. Yetki Katlanması (Privilege Escalation): Yeni ele geçirilen makinelerden daha yetkili kullanıcıların (BT destek uzmanları vb.) hashleri toplanarak Domain Controller’a doğru ilerlenir.

Risk Altındaki Sistemler

Açıkçası, NTLM kimlik doğrulamasını hala destekleyen tüm Windows ortamları bu riskin altındadır. Özellikle eski (legacy) sistemlerin barındırıldığı ve protokol güncellemelerinin yapılmadığı ağlar, saldırganlar için açık hedeftir. Buna rağmen birçok kurum, uyumluluk sorunları nedeniyle NTLM’i tamamen devre dışı bırakmaktan çekinir.

Aynı şekilde, yerel yönetici parolalarının tüm bilgisayarlarda aynı olduğu (ortak yerel admin parolası) ortamlar en tehlikeli senaryoyu oluşturur. Saldırgan, tek bir makineden aldığı yerel yönetici hash’i ile ağdaki tüm iş istasyonlarına anında erişim sağlar. Ayrıca, BT ekiplerinin sorun çözmek için Domain Admin hesaplarıyla standart kullanıcı bilgisayarlarına giriş yapmaları, en kritik hashlerin korumasız belleklere düşmesine neden olur.

Tespit Etmenin Zorlukları

PtH saldırılarının tespitini zorlaştıran ana faktör, kullanılan yöntemin sistemin doğal mimarisini istismar etmesidir. Sisteme göre, ortada bir güvenlik ihlali yoktur; sadece geçerli bir kimlik bilgisiyle başarılı bir oturum açma işlemi gerçekleşmiştir. Hatta logları inceleyen bir güvenlik analisti, kullanıcının normal mesai saatleri içindeki rutin erişimlerini gördüğünü düşünebilir.

Öte yandan, standart güvenlik duvarları ve antivirüs yazılımları bu saldırıyı algılamakta yetersiz kalır. Çünkü kimlik doğrulama trafiği, şifrelenmiş SMB veya Kerberos paketleri içinde standart bir Windows işleyişi gibi görünür. Nitekim, ağ trafiğini anomali tabanlı inceleyen gelişmiş sistemler (NDR – Network Detection and Response) olmadan, bu hayalet hareketleri çıplak gözle veya basit alarmlarla yakalamak imkansıza yakındır.

Ağ Loglarında Pass-the-Hash İzleri

Yine de, sistem olay günlükleri (Event Logs) derinlemesine incelendiğinde PtH saldırılarının bazı ince izleri bulunabilir. Savunma ekipleri, özellikle Windows Güvenlik Günlüklerindeki belirli olay kimliklerine (Event ID) odaklanmalıdır. En önemli göstergelerden biri, “Event ID 4624” (Başarılı Oturum Açma) loglarıdır.

PtH saldırılarında genellikle oturum açma türü (Logon Type) “9” (NewCredentials) olarak görünür. Logon Type 9, kullanıcının mevcut oturumunun üzerine farklı bir kimlik bilgisi enjekte edildiğini gösterir. Benzer şekilde, standart bir kullanıcının aniden çok sayıda sunucuya SMB (Logon Type 3) üzerinden bağlanmaya çalışması veya yetkili bir hesabın daha önce hiç girmediği bir iş istasyonunda işlem yapması, yanal hareketin en net belirtileridir.

Etkili Savunma ve Önleme Stratejileri

Bu tehdide karşı savunma, tek bir araçla değil, mimari yapılandırmalarla sağlanır. Öncelikle, kurum ağında mümkünse NTLM protokolü tamamen devre dışı bırakılmalı ve yalnızca Kerberos doğrulaması zorunlu kılınmalıdır. Buna ek olarak, Windows Defender Credential Guard özelliğinin aktifleştirilmesi hayati önem taşır. Credential Guard, LSASS sürecini sanallaştırma tabanlı güvenlikle izole ederek saldırganların hashleri bellekten okumasını engeller.

Dahası, ağ bölümleme (network segmentation) yanal hareketleri kısıtlamak için kritik bir adımdır. İstemci bilgisayarların kendi aralarında doğrudan haberleşmesini (SMB trafiğini) engelleyen istemci izolasyonu politikaları uygulanmalıdır. Bir saldırgan bir bilgisayara sızsa bile, diğer kullanıcının bilgisayarına ağ üzerinden erişemediği için PtH zinciri kırılmış olur.

Ayrıcalıklı Hesap Yönetimi (LAPS ve Tier Modeli)

Yerel yönetici şifrelerinin ağ genelinde aynı olması sorununu çözmek için Microsoft LAPS (Local Administrator Password Solution) kullanılmalıdır. LAPS, her bilgisayarın yerel yönetici parolasını rastgele belirler ve düzenli olarak otomatik değiştirir. Böylece, saldırgan bir cihazın yerel hash’ini ele geçirse bile, bu hash başka hiçbir cihazda işe yaramaz.

Ayrıca, Active Directory ortamlarında “Tiered Administration” (Katmanlı Yönetim) modeli uygulanmalıdır. Bu model, Domain Admin (Tier 0) hesaplarının kesinlikle son kullanıcı bilgisayarlarında (Tier 2) oturum açmasını yasaklar. Yetkili personelin günlük işleri için standart hesap, sunucu yönetimi için ayrı bir yetkili hesap kullanması zorunlu hale getirilir. Sonuç olarak, yüksek yetkili hesapların hashleri asla düşük güvenlikli cihazların belleğinde yer almaz.

PtH Saldırısı Anında Yapılması Gerekenler

Bir Pass-the-Hash saldırısı tespit edildiğinde ekiplerin hızlı ve koordineli hareket etmesi gerekir. Saldırgan zaten geçerli bir kimlik kullanıyor olduğu için, sadece parolayı sıfırlamak yeterli olmayabilir. Öncelikle, ihlal edildiği düşünülen hesaplar anında kilitlenmeli ve sistem dışına atılmalıdır. Eş zamanlı olarak, ilgili kullanıcının aktif tüm Kerberos biletleri (ticket) ve oturumları sonlandırılmalıdır.

Zamanla yarışılan bu anlarda, saldırganın yanal hareketlerini haritalandırmak için SIEM logları incelenmelidir. Hangi cihazlara sıçradığı tespit edilmeli ve o cihazlar ağdan izole edilmelidir. Öncesinde LAPS gibi çözümler kurulmadıysa, kriz anında tüm yerel yönetici parolalarının acilen sıfırlanması gerekir. Olay müdahale süreci tamamlandıktan sonra, kök neden analizi yapılarak ağdaki yapılandırma eksiklikleri giderilmelidir.

Sibertim Sızma Testi ile Active Directory Güvenliğinizi Test Edin

Kurumunuzun Pass-the-Hash ve yanal hareket saldırılarına karşı ne kadar dayanıklı olduğunu varsayımlara bırakmayın. Sibertim’in uzman sızma testi ekipleri, iç ağınızdaki zayıf noktaları tespit etmek için gerçek dünya senaryolarını uygular. Güvenlik politikalarınızın ve LSASS korumalarınızın pratikte çalışıp çalışmadığını test ediyoruz.

Active Directory mimarinizdeki yapılandırma hatalarını, gereksiz yetkilendirmeleri ve ağ bölümleme eksikliklerini ortaya çıkarıyoruz. Size sunduğumuz kapsamlı raporlar sayesinde, saldırganlar bu açıkları bulmadan önce sistemlerinizi sıkılaştırabilirsiniz. Kapsamlı iç ağ güvenliği için bizimle iletişime geçin.

Sık Sorulan Sorular