Sürekli Domain Admin Yetkisiyle Gezmeye Son: PAM ve Just-in-Time (JIT) Geçici Yetkilendirme Prensipleri

Siber saldırılarda şirketlerin başına gelen en büyük felaketlerin kökeninde genellikle şu hata yatar: Bir sistem yöneticisi kendi bilgisayarında günlük internette gezinirken, e-postalarını okurken ve hatta oyun oynarken aynı zamanda Domain Admins grubuna üye olan şahsi hesabını kullanır. O bilgisayara tıklanan tek bir zararlı link veya tarayıcı açığı, saldırgana doğrudan etki alanının mutlak anahtarını (Domain Admin) teslim eder. Siber güvenliğin temel ilkesi şudur: "Hiç kimse sürekli en yüksek yetkiyle dolaşamaz."

1. Katmanlı Yönetim Mimarisi (Tiered Administration Model)

Microsoft'un önerdiği ve kurumsal altyapımızda uyguladığımız 3 katmanlı hesap modeli:

• Tier 0 (Kutsal Katman): Yalnızca Domain Controller'lar, Active Directory ve PKI sunucuları. (Yalnızca admin_t0_ahmet hesabı erişebilir).
• Tier 1 (Sunucu Katmanı): ERP, SQL, Web ve Dosya Sunucuları. (Yalnızca admin_t1_ahmet hesabı erişebilir; bu hesap asla DC'ye giremez!).
• Tier 2 (İstemci Katmanı): Personel masaüstü ve dizüstü bilgisayarları. (Yalnızca yardım masası teknisyen hesapları erişebilir).
• Günlük Kullanıcı: Ahmet Ertekin'in e-posta okuduğu ahmet.ertekin hesabı sıradan bir kullanıcıdır; kendi bilgisayarında dahi yerel admin değildir!

2. Just-in-Time (JIT) ve Süreli Yetki Devri

Bir sistem yöneticisinin Domain Controller üzerinde bir bakım yapması gerektiğinde:

• Sürekli Domain Admin grubunda durmaz.
• İlgili talep için sisteme başvurur (JIT Yetkilendirmesi).
• PowerShell veya PAM aracı ile kullanıcı hesabı Domain Admins grubuna yalnızca 2 saatliğine eklenir (TTL - Time to Live).
• 2 saat sonra Windows Kerberos bileti otomatik düşer ve kullanıcı gruptan otonom olarak çıkarılır!

# Windows Server 2016+ Privileged Access Management (PAM) ile Süreli Grup Üyeliği
# Ahmet kullanıcısını yalnızca 120 dakikalığına Domain Admins grubuna üye yapma:
Add-ADGroupMember -Identity "Domain Admins" `
    -Members "admin_t0_ahmet" `
    -MemberTimeToLive (New-TimeSpan -Minutes 120)

3. Bastion Host (Atlama Sunucusu) ve PAW (Privileged Access Workstation)

Sistem yöneticileri sunuculara kendi standart laptoplarından bağlanamaz:

• Tüm yönetim oturumları, internete kapalı, yalnızca yönetim VLAN'ına bakan ve sıkılaştırılmış özel bir atlama sunucusu (Bastion Jump Host) üzerinden çift faktörlü kimlik doğrulama (MFA) ile açılır.

Karşılaşılan Kritik Hatalar ve Çözüm İpuçları

• Pass-the-Hash Saldırısında Tier İhlali: Bir Domain Admin hesabı Tier 2 seviyesindeki sıradan bir kullanıcı bilgisayarında RDP oturumu açarsa, admin hash'i o istemcinin LSASS belleğinde asılı kalır. İstemciye sızan saldırgan Mimikatz ile hash'i çeker ve Domain Admin olur. Kural katıdır: Yüksek seviye admin hesapları asla daha alt seviyedeki makinelere RDP açamaz!

Mühendis Notu

En Az Yetki İlkesi (Least Privilege), sistem yöneticisinin egosunu bir kenara bırakıp profesyonel bir mühendislik disiplini uygulamasıdır. Günlük maillerinize baktığınız hesapla Domain Controller yönetmeyi bıraktığınız gün gerçek bir kıdemli güvenlik vizyonuna ulaşırsınız.