Aktif Dizin Güvenliği: 2026 Kapsamlı Kurumsal AD Koruma Rehberi

Aktif Dizin Güvenliği Nedir ve Neden Bu Kadar Kritik?

Active Directory, Windows ortamlarında tek oturum açma (SSO), grup ilkeleri (GPO), DNS, Kerberos ve LDAP hizmetlerini yöneten omurgadır. Bir saldırgan domain admin yetkisi ele geçirdiğinde, ağdaki her bilgisayar, her kullanıcı ve her veri deposu anında risk altına girer. Deneyimlerimizde, ihlallerin büyük çoğunluğu AD katmanında başlar veya genişler; bu nedenle güvenlik stratejileri AD'yi merkezine almalıdır.

2026 itibariyle modern ransomware aileleri (LockBit, BlackCat vb.) hedef seçiminde öncelikle domain controller'lara ve GPO saklama alanlarına odaklanır. Kritik altyapı sektörlerinde (enerji, sağlık, finans) denetleyiciler SCADA ve HIS sistemlerine bağlı olduğu için tek bir yanlış yapılandırma, operasyonel kesinti ve yasal yaptırım demektir.

Yaygın Active Directory Saldırı Yöntemleri

Saldırganlar genellikle kimlik avı veya yazılım açığı üzerinden ilk erişim sağladıktan sonra AD ortamında ayrıcalık yükseltme ve yanal hareket yapar. Sahada en sık karşılaştığımız senaryolar:

• Pass-the-Hash (PtH) – Şifre kırmadan hash'i yeniden kullanarak kimlik doğrulaması
• Kerberoasting – Servis hesaplarına ait TGS biletlerini çevrimdışı kırma
• Golden/Silver Ticket – Krbtgt veya servis anahtarları çalınarak sahte bilet üretimi
• DCSync – Mimikatz ile domain controller gibi davranıp tüm parola hash'lerini çekme
• GPO hijacking – Yetkisiz GPO değişikliğiyle kötü amaçlı betik dağıtma

Domain Controller Sıkılaştırma ve Fiziksel/Sanal Güvenlik

Domain controller'lar yalnızca kimlik doğrulama ve GPO dağıtımı yapmalı; asla dosya sunucusu, e-posta relay'i veya uygulama barındırma rolü taşımamalıdır. Müşterilerimizde sık gördüğümüz hata, DC'lere ek yazılım yükleyerek saldırı yüzeyini genişletmektir.

1. Fiziksel/sanal izolasyon – DC'ler ayrı VLAN, ayrı yedekleme, offline yetkili yönetici konsolunda tutulmalı.
2. Server Core kurulum – Grafik arayüz olmadan, minimum bileşenle (DNS, AD DS) çalıştırın.
3. Uzaktan yönetim kısıtlama – RDP yerine PowerShell remoting; yalnızca jump host'tan, MFA zorunlu.
4. Yama yönetimi – Microsoft güvenlik güncellemeleri 48 saat içinde (test sonrası) uygulanmalı; sahada kritik CVE'lerin exploit'undan önce yama yapan kuruluşlar ihlali önlemiştir.

Ayrıcalıklı Hesap Yönetimi (PAM) ve Tier Modeli

Microsoft'un önerdiği Tier (Katman) Modeli, ayrıcalıklı hesapların sadece kendi katmanında oturum açmasını zorunlu kılar:

Deneyimlerimizde Tier 0 hesaplarının e-posta kutusuna sahip olması (phishing riski) veya kişisel cihazda saklanması ciddi zafiyetlere yol açmıştır. Güvenlik denetimi sırasında bunu kontrol ediyoruz.

Grup İlkeleri (GPO) Sıkılaştırma ve Monitoring

GPO'lar ağdaki her bilgisayara yazılım, betik, kayıt defteri ayarı dağıttığı için kritik saldırı vektörüdür. Güvenli GPO mimarisi şunları içerir:

• LAPS (Local Administrator Password Solution) – Her iş istasyonunun yerel admin parolasını rastgele döndürür ve AD'de saklar (sadece yetkililer okur).
• AppLocker / WDAC – Beyaz liste ile sadece imzalı, onaylı uygulamaların çalışmasını sağlar; PowerShell kısıtlaması da dahil.
• Credential Guard & Remote Credential Guard – NTLM hash'lerini donanım tabanlı izole eder.
• Audit policy – Başarılı/başarısız oturum açma, ayrıcalık kullanımı, GPO değişiklikleri merkezi log'lanmalı.

Müşterilerimizde sıklıkla varsayılan Domain Controllers ve Default Domain Policy GPO'larının doğrudan düzenlendiğini, bu nedenle geri dönüşün zorlaştığını görüyoruz. Bunun yerine ayrı, katmanlı GPO'lar (PAW GPO, Server GPO, Workstation GPO) oluşturun ve GPO delegation'ı sıkıca denetleyin.

Kerberos ve NTLM Güvenliği

Kerberos, Active Directory'nin temel kimlik doğrulama protokolüdür; ancak yanlış yapılandırma durumunda Golden/Silver Ticket saldırılarına açık hale gelir. Kritik noktalar:

• krbtgt hesabı parola rotasyonu – Yılda en az iki kez (veya şüpheli olay sonrası) krbtgt parolasını değiştirin; mevcut TGT'ler geçersiz olur.
• Service Principal Name (SPN) denetimi – Gereksiz SPN kayıtları kaldırılmalı; servis hesapları karmaşık, 25+ karakter parola kullanmalı (Kerberoasting'e karşı).
• NTLM devre dışı bırakma – Mümkün olduğunca ağda NTLM'i kapatın veya audit modunda izleyerek hangi uygulamaların kullandığını tespit edin.

Sahada, eski yazılımların NTLM'e bağımlılığı nedeniyle tamamen kapatmanın zor olduğunu biliyoruz; o nedenle kademeli geçiş: önce monitoring, sonra Kerberos-only GPO pilot, ardından tam bloke stratejisi öneriyoruz.

Sürekli İzleme, Tehdit Avcılığı ve Olay Müdahalesi

Aktif dizin güvenliği statik bir proje değil, sürekli izleme ve iyileştirme döngüsüdür. Temel bileşenler:

• Windows Event Forwarding (WEF) – Tüm DC ve kritik sunucu Event Log'ları merkezi SIEM'e gerçek zamanlı aktarılır.
• Microsoft Defender for Identity (eski AATP) – AD ortamındaki anormal davranışları (lateralMovement, DCSync, Kerberoasting) otomatik algılar.
• Honeypot / Decoy hesapları – Hiç kullanılmayan sahte domain admin hesapları oluşturun; bunlara erişim denemesi anında alarm.
• Düzenli penetrasyon testi – Yılda en az bir kez harici/dahili pentest; AD saldırı senaryoları (BloodHound analizi, privilege escalation path) test edilmeli.

Müşterilerimizin birinde honeypot hesabı sayesinde, saldırgan ilk Kerberoasting denemesinde yakalandı ve yanal hareket öncesi izole edildi. Sızma testi hizmetimiz benzer senaryoları simüle eder.

Sıkça Sorulan Sorular (SSS)

Sonuç: Aktif Dizin Güvenliği Yolculuğunuz

Aktif dizin güvenliği, kurumsal BT altyapınızın kalbidir—domain controller'ların, ayrıcalıklı hesapların ve GPO'ların korunması tek seferlik proje değil, sürekli disiplin ve izleme gerektirir. Deneyimlerimizde, Tier modelini doğru uygulayan, LAPS ve MFA zorunluluğu getiren, log'ları merkezi SIEM'de korelasyon yapan kuruluşlar, ransomware ve insider threat'lere karşı çok daha dirençli hale gelmiştir. 2026'da yapay zeka destekli tehdit avcılığı ve sıfır güven mimarisi (Zero Trust) ile birleştiğinde, AD güvenliği sizi hem siber saldırılara hem de uyumluluk denetimlerine hazır tutar. Kendi ortamınızı değerlendirmek veya kapsamlı güvenlik denetimi ile AD altyapınızı sıkılaştırmak isterseniz, saha deneyimimizi sizinle paylaşmaktan memnuniyet duyarız—ilk adımı bugün atın.