Kurumsal GPO Sıkılaştırma: SMBv1 Kapatma, NTLMv1 Engelleme ve LDAP İmzalama Zorunluluğu

Birçok kurumda Active Directory kurulduktan sonra varsayılan ayarlarla yıllarca bırakılır. Ancak varsayılan Windows ayarları, 20 yıl öncesinin eski sistemleriyle geriye dönük uyumluluk sağlamak adına SMBv1 ve NTLMv1 gibi güvensiz protokolleri açık tutar. Bir saldırgan şirket ağına sızdığında ilk yaptığı şey NTLM Relay veya Pass-the-Hash teknikleriyle bu ilkel protokolleri istismar etmektir. Active Directory omurgasını zırhlayan 3 temel GPO sıkılaştırması.

1. SMBv1 Protokolünün Şirket Genelinde Kapatılması

2017 yılında dünyayı sarsan WannaCry ve NotPetya fidye yazılımları doğrudan SMBv1 protokolündeki (EternalBlue) güvenlik açığını kullanarak dakikalar içinde yüz binlerce bilgisayara yayıldı. 30 yıllık bu güvensiz protokol kurumsal ağda kesinlikle barınamaz!

# GPO Yolu: Computer Configuration -> Preferences -> Windows Settings -> Registry
# SMBv1 Server Kapatma:
Key: HKLM\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters
Value Name: SMB1
Type: REG_DWORD
Data: 0

İstemcilerde SMBv1 özelliğini PowerShell ile tamamen kaldırmak için:

Disable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol -NoRestart

2. NTLMv1'in Engellenmesi ve Yalnızca NTLMv2 / Kerberos Zorunluluğu

NTLMv1 şifreleme algoritması (DES tabanlı) dakikalar içinde kırılabilecek kadar zayıftır. Saldırganlar ağdaki NTLMv1 hash'lerini dinleyerek anında düz metin parolayı ele geçirir.

GPO Yolu:
Computer Configuration -> Policies -> Windows Settings -> Security Settings
-> Local Policies -> Security Options
-> Network security: LAN Manager authentication level

Ayar:
"Send NTLMv2 response only. Refuse LM & NTLM" (Seviye 5)

Bu ayar yapıldığı andan itibaren eski ve güvensiz LM/NTLMv1 oturum açma istekleri tüm etki alanında reddedilir.

3. LDAP İmzalama ve LDAPS (Channel Binding) Zorunluluğu

Domain Controller'lara yapılan LDAP sorguları şifresiz (TCP 389) gittiğinde, araya giren bir saldırgan (MitM) oturumu ele geçirebilir veya sahte sorgular enjekte edebilir.

GPO Ayarları (Default Domain Controllers Policy):
1. "Domain controller: LDAP server signing requirements" -> Require signing (İmzalama Zorunlu)
2. "Domain controller: LDAP server channel binding token requirements" -> When supported veya Always

Karşılaşılan Kritik Hatalar ve Çözüm İpuçları

Eski Tarayıcı ve Fotokopi Makinelerinin Bozulması (Scan-to-Folder Krizi): SMBv1'i kapattığınız gün ofisteki 10 yıllık çok fonksiyonlu fotokopi makineleri taranan belgeleri dosya sunucusuna gönderemez hale gelebilir! Çünkü eski yazıcılar yalnızca SMBv1 bilir. Çözüm: Bu cihazların firmware'ini güncelleyip SMBv2/v3 desteği kazandırmak veya taranan belgeleri SMB yerine e-posta (SMTP) üzerinden göndermelerini sağlamaktır. Asla tüm şirketin güvenliğini bir yazıcı için feda etmeyin!
NTLMv1 Bağımlı Eski Uygulamalar: NTLMv1'i kapatmadan önce Event Viewer'da Event ID 4624 loglarını filtreleyin ve LmPackageName alanında "NTLM V1" kullanan eski Linux/Unix veya muhasebe uygulaması olup olmadığını denetleyin.

Mühendis Notu

GPO sıkılaştırmalarını asla tek bir gecede tüm etki alanına basmayın. Önce "IT_Test_OU" adında bir test birimi oluşturup kendi bilgisayarlarınızı ve birkaç sunucuyu buraya alın. 1 hafta boyunca hiçbir kritik iş akışının bozulmadığını doğruladıktan sonra departman departman tüm şirkete yayın.