Microsoft LAPS (Local Administrator Password Solution) ile Tüm İstemcilerde Benzersiz Yerel Admin Şifresi

Birçok kurumda sistem yöneticileri pratiklik olsun diye imaj hazırlarken şirketteki 400 bilgisayarın tamamına aynı yerel yönetici (Local Administrator) şifresini koyar: SirketAdmin2020!. Bu uygulama kurumsal güvenliğe vurulmuş en büyük darbedir. Saldırgan ağdaki en kıdemsiz personelin bilgisayarına sızdığında (Pass-the-Hash veya Mimikatz ile) yerel admin hash'ini çeker; ardından bu şifreyle ağdaki diğer 399 bilgisayarın tamamına engelsizce sıçrar (Lateral Movement). Çözüm: Microsoft LAPS.

1. Windows LAPS Nasıl Çalışır?

LAPS (Local Administrator Password Solution), her bir istemci bilgisayarın yerel admin şifresini:

• Tamamen rastgele, karmaşık (örn: k9#mP$2vL&8q) olarak üretir.
• Şifreyi Active Directory içindeki ilgili bilgisayar nesnesinin gizli bir özniteliğine (ms-Mcs-AdmPwd) yazar.
• Belirlenen periyotlarla (örn: 30 günde bir) şifreyi otomatik olarak yeniler.
• Bu şifreyi Active Directory üzerinde yalnızca yetkilendirilmiş Sistem Yöneticileri okuyabilir; normal kullanıcılar göremez.

2. Active Directory Şema Genişletmesi ve GPO Dağıtımı

Modern Windows 10/11 ve Server 2022 sürümlerinde LAPS artık işletim sisteminin içine yerleşik (Native Windows LAPS) olarak gelmektedir.

# Active Directory Şemasını LAPS öznitelikleri için hazırlama
Update-LapsADSchema

# IT Destek grubuna ilgili OU'daki bilgisayarların LAPS şifrelerini okuma yetkisi verme
Set-LapsADReadPasswordPermission -Identity "OU=Workstations,DC=holding,DC=local" `
    -AllowedPrincipals "HOLDING\IT_Destek_Ekibi"

GPO Seviyesinde Politika Belirleme:

GPO Yolu: Computer Configuration -> Administrative Templates -> System -> LAPS
1. "Configure password backup directory" -> Active Directory
2. "Password Settings":
   - Password Complexity: Büyük harf, küçük harf, rakam ve özel karakter.
   - Password Length: 16 Karakter.
   - Password Age: 30 Gün.
3. "Name of administrator account to manage" -> Administrator

3. Acil Durumda Şifreyi Okuma ve Sıfırlama

Bir bilgisayar etki alanından düştüğünde veya ağ bağlantısı koptuğunda teknisyen LAPS GUI veya PowerShell ile o makinenin şifresini okur:

# Belirli bir bilgisayarın anlık yerel admin şifresini sorgulama
Get-LapsAADPassword -Identity "PC-MUHASEBE-05"

# İşi biten teknisyenin ardından şifreyi anında değiştirmeye zorlama
Reset-LapsPassword -Identity "PC-MUHASEBE-05"

Karşılaşılan Kritik Hatalar ve Çözüm İpuçları

• Yetkisiz Personelin Şifreleri Okuması: Active Directory üzerinde All Extended Rights yetkisine sahip kullanıcılar LAPS şifrelerini görebilir. Find-AdmPwdExtendedRights scripti çalıştırılarak domainde gereksiz kimlerin bu yetkiye sahip olduğu denetlenmeli ve yetkiler geri alınmalıdır.
• Yerel Administrator Hesabının Yeniden Adlandırılmış Olması: Kurumlarda genellikle built-in "Administrator" hesabı "YerelYonetici" olarak adlandırılır. GPO ayarlarında bu isim birebir doğru tanımlanmalıdır.

Mühendis Notu

LAPS kurmak yalnızca 2 saatinizi alır; ancak şirketinizi Pass-the-Hash tabanlı yüz binlerce liralık fidye yazılımı yayılımından korur. Bir sistem yöneticisinin ilk 1 ayında tamamlaması gereken zorunlu projelerden biridir.