Windows Active Directory Güvenlik Baseline

↳ Account Policies > Password Policy > Minimum password length (varsayilan ust sinir 14) + gerekiyorsa Relax minimum password length limits = Enabled ve Minimum password length audit ile once denetim + ayricalikli gruplar icin PSO (New-ADFineGrainedPasswordPolicy)

Kisa parolalar kaba kuvvet ve parola puskurtme ile kirilir. 14 uzerine cikmak yalniz uzun parola belirlemek degil, once uyumluluk denetimi (Minimum password length audit) gerektiren bir gecistir.

↳ Account Policies > Account Lockout Policy > Account lockout threshold / Account lockout duration / Reset account lockout counter after

Otomatik kilit, online kaba kuvvet ve parola puskurtmeyi yavaslatir.

↳ Security Options > Network security: Do not store LAN Manager hash value on next password change

LM hash zayiftir ve dakikalar icinde kirilir; saklanmamasi pass-the-hash yuzeyini kucultur.

↳ Account Policies > Password Policy > Store passwords using reversible encryption

Bu ayar parolalari neredeyse duz metin gibi saklar; daima kapali olmali.

↳ Security Options > Accounts: Rename administrator account

RID 500 hesabi kilitleme ve bircok kisitlamadan muaf oldugu icin oncelikli hedeftir. Etkili kontrol yeniden adlandirma degil, kullanim disi birakma, kasaya alma ve her kullanimini tespit etmektir.

↳ Entra Password Protection (DC agent + proxy) veya esdeger

Karmasiklik kurallari tahmin edilebilir parolalari (Sirket2026!) engellemez. Yasakli terim filtresi parola puskurtmede fiilen denenen kaliplari daha belirlenirken reddeder.

↳ Operasyonel / OU tasarimi + GPO

Tiering, bir is istasyonu ele gecirildiginde domain admin kimliginin aciga cikmasini engeller.

↳ AD > Groups > Domain Admins / Enterprise Admins / Schema Admins

Az sayida ayricalikli hesap, saldirganin hedef yuzeyini ve sizinti etkisini kucultur.

↳ AD > Groups > Protected Users

Protected Users; NTLM, DES, RC4 ve delegasyonu devre disi birakir, kimlik bilgisini onbelleklemez. Eski uygulama/servis erisimi olan hesaplarda once test edilmeli, aksi halde oturum kesintisi olur.

↳ GPO > Windows LAPS

Ortak yerel admin parolasi tek bir hash ile tum makinelere yanal harekete izin verir; LAPS bunu kirar.

↳ Operasyonel + GPO kisitlama

Yonetim islemleri internet erisimi olmayan sertlestirilmis cihazda yapilirsa kimlik hirsizligi onlenir.

↳ Local Policies > User Rights Assignment > Deny log on ...

Ayricalikli hesabin dusuk guvenli cihaza oturum acmasi, kimlik bilgisinin orada onbelleklenip calinmasina yol acar.

↳ Operasyonel: resmi New-KrbtgtKeys.ps1 + repadmin /showrepl ile replikasyon dogrulamasi + Kerberos Policy deki maksimum bilet omru kadar bekleme

KRBTGT hash ele gecirilirse Golden Ticket uretilir; periyodik cift rotasyon bu bileti gecersiz kilar.

↳ AdminSDHolder container (ADUC) + SDProp

AdminSDHolder uzerinden gizli kalicilik kurulabilir; korumali grup disinda kalan adminCount artiklari yetki sizintisidir.

↳ HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System

Ortak yerel admin parolasi/hash ile uzaktan tam yetkili oturumu engeller; RID 500 dahil token filtrelemesi yanal hareketi keser.

↳ HKLM\SYSTEM\CurrentControlSet\Control\Lsa\DsrmAdminLogonBehavior

DSRM yerel yonetici hesabi DC uzerinde gizli kalicilik ve pass-the-hash yoluna donusebilir.

↳ Group Policy Management > Delegation

Genis GPO yetkisi tek bir politika ile tum domaine kod dagitarak kitlesel ele gecirmeye izin verir.

↳ AD > Builtin > Backup Operators / Account Operators / Server Operators / Print Operators + DnsAdmins

Bu gruplar Domain Admins olmasa da DC de yetki yukseltir: Backup Operators SeBackupPrivilege ile NTDS.dit i kopyalar, DnsAdmins DNS servisine DLL yukleterek SYSTEM elde eder.

↳ dsa.msc > RODC bilgisayar hesabi ozellikleri > Password Replication Policy

Yalnizca ortamda RODC varsa gecerli. RODC ele gecirilirse onbellekledigi parolalar ifsa olur; ayricalikli hesaplar RODC de asla onbelleklenmemeli.

↳ Local Policies > User Rights Assignment (DC ve uye sunucu baseline GPO lari)

Bu haklar fiilen Tier 0 yetkisidir: SeDebugPrivilege LSASS bellegine, SeBackupPrivilege ise ACL leri asarak ntds.dit dahil her dosyaya erisim verir. Grup uyeligi sertlestirilse bile bu haklar dogrudan verilmisse yetki yukseltme yolu acik kalir.

↳ Windows Hello for Business / sertifika tabanli kimlik dogrulama + hesap ozellikleri (SmartcardRequired) + hibrit ortamda Conditional Access kimlik dogrulama gucu

Parola tabanli yonetici kimligi phishing, AiTM ve kimlik bilgisi hirsizligiyla calinabilir; MFA nin push/SMS bicimleri de atlatilabilir. Tier 0 icin tek gercekci savunma, kimlik dogrulamayi kaynak siteye baglayan phishing-resistant faktordur.

↳ BloodHound / dsacls / Get-Acl ile periyodik ACL denetimi + duzeltme is akisi

AD de yetki yukseltmenin buyuk kismi bir zafiyet degil, gecmiste devredilmis ve unutulmus ACL lerdir. Bu haklar hedef nesneyi dogrudan ele gecirmeye izin verir (parola sifirlama, gruba uye ekleme, sahiplik alma) ve yama ile kapanmaz.

↳ Domain NC ACL envanteri (dsacls "DC=..." veya Get-Acl) + 4662 denetimi + degisiklik alarmi

Get-Changes ve Get-Changes-All haklarinin bir arada bulunmasi DCSync ile krbtgt dahil tum parola hash lerini cekmeye yeter. AD-LOG-07 bu kullanimi tespit eder; onleyici taraf, hakka sahip principal listesinin bilinmesi ve kucuk tutulmasidir.

↳ GPO > Device Guard > Turn On Virtualization Based Security > Credential Guard: Enabled with UEFI lock

VBS ile izole edilen LSA, Mimikatz benzeri araclarin bellekten hash/ticket cekmesini engeller. DC lerde onerilmemesinin nedeni yalnizca uyumluluk degildir: Credential Guard LSASS ten turetilmis sirlari korur, DC de kimlik bilgilerinin asil kaynagi ise AD veritabaninin kendisidir (ntds.dit) ve bu korunmaz. Yani DC de ek guvenlik saglamaz, buna karsilik kimlik dogrulama bilesenleriyle uyumsuzluk riski getirir. DC koruma yolu ntds.dit/yedek erisimi ve Tier 0 izolasyonudur.

↳ HKLM\SYSTEM\CurrentControlSet\Control\Lsa\RunAsPPL (+ RunAsPPLBoot) | WS2025/Win11 GPO: System > Local Security Authority > Configures LSASS to run as a protected process | Denetim: Applications and Services Logs > Microsoft > Windows > CodeIntegrity > Operational (3065/3066)

PPL, korumasiz araclarin lsass.exe bellegine erismesini zorlastirir (credential dumping).

↳ HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\WDigest\UseLogonCredential

WDigest etkinse parolalar bellekte duz metin tutulur; kapatilmasi sarttir.

↳ Security Options > Interactive logon: Number of previous logons to cache

Az sayida onbellekli kimlik bilgisi, cevrimdisi DC durumunda calinabilecek hash sayisini azaltir.

↳ GPO > System > Credentials Delegation > Restrict delegation of credentials to remote servers (Require Remote Credential Guard veya Restricted Admin) + istemci: mstsc /restrictedAdmin

Duz RDP oturumu kimlik bilgisini hedef sunucuda ifsa eder; ele gecirilen sunucuda yonetici kimligi calinabilir (pass-the-hash yuzeyi).

↳ GPO > System > Local Security Authority > Allow Custom SSPs and APs to be loaded into LSASS = Disabled (WS2025/Win11) + HKLM\SYSTEM\CurrentControlSet\Control\Lsa\AllowCustomSSPsAPs

Skeleton Key ve benzeri kimlik dogrulama arka kapilari LSASS a ozel bir Security Support Provider enjekte ederek her hesap icin ikinci bir parolayi gecerli kilar; mesru kimlik dogrulamalari bozulmadigi icin fark edilmesi zordur. Ozel SSP/AP yuklenmesini engellemek teknigin ilk adimini kirar.

↳ GPO > Security Options > Network security: Configure encryption types allowed for Kerberos (AES128 + AES256 + Future) | DC: HKLM\SYSTEM\CurrentControlSet\services\KDC\DefaultDomainSupportedEncTypes = 0x18 | Hesap bazinda: msDS-SupportedEncryptionTypes | Gecis denetimi: DC System/Security logunda Kerberos 201-209 ve 4768/4769 etype alanlari

RC4 ile sifrelenen hizmet biletleri Kerberoasting ile cevrimdisi kirilir; AES bunu zorlastirir. Temmuz 2026 dan itibaren AES-only varsayilan ve geri donulemez oldugundan, AES anahtari olmayan hesaplar (parolasi hic degismemis servis hesaplari, keytab lar, eski cihazlar) kimlik dogrulayamaz. Zorlamadan once 201-209 olaylariyla envanter cikarmak ve ilgili hesaplarin parolasini sifirlamak zorunludur.

↳ Security Options > Network security: LAN Manager authentication level

NTLMv1 ve LM zayif kimlik dogrulamadir; relay ve crackinge acik.

↳ Security Options > Network security: Restrict NTLM

NTLM relay ve pass-the-hash saldirilarinin temelidir; kademeli kisitlama yuzeyi kapatir.

↳ AD > Group Managed Service Accounts

gMSA 120+ karakterli, otomatik rotasyonlu parola kullanir; Kerberoastingi pratikte etkisiz birakir.

↳ Account Policies > Kerberos Policy

Uzun bilet omru calinan veya sahte (golden/silver) biletlerin gecerlilik penceresini buyutur; saat kaymasi siniri replay yuzeyini daraltir.

↳ Get-ADUser -Filter {DoesNotRequirePreAuth -eq $true} ile denetle

Preauth kapali hesabin AS-REP yaniti offline kirilabilir; DC uzerinde 4768 PreAuthType=0 ile tespit edilir.

↳ AD hesap ozellikleri > Delegation + Account options

Sinirsiz delegasyonlu host kendisine gelen TGT leri biriktirir; ayricalikli bilet calinarak domain ele gecirilir.

↳ Domain NC kok nesnesi (ADSI Edit) > ms-DS-MachineAccountQuota

Varsayilan deger 10; sifirlamak NoPac ve RBCD saldirilarinin on kosulu olan makine hesabi olusturmayi engeller.

↳ setspn -L ile denetle + gMSA gecisi

SPN tasiyan ayricalikli hesabin hizmet bileti (TGS) offline kirilarak parolasi ele gecirilir.

↳ Windows Update (Agustos 2025+ CU) + OU ACL denetimi (Get-BadSuccessorOUPermissions.ps1, Akamai) + SACL denetimi (5136/5137/2946)

Windows Server 2025 te dMSA olusturabilen dusuk yetkili hesap msDS-ManagedAccountPrecededByLink ile baska bir hesabin (Domain Admin dahil) yetkisini ve Kerberos anahtarlarini devralabiliyordu. Microsoft 12 Agustos 2025 te CVE-2025-53779 yamasini yayinladi: kdcsvc.dll artik bilet verirken bagin KARSILIKLI olmasini sart kosuyor, tek yonlu link ise yaramiyor. Yama zorunludur (WS2025 DC build 26100.4946+), ancak teknik olmeksizin devam eder: OU uzerinde CreateChild ve hedef nesnede yazma yetkisi olan saldirgan karsilikli bagi kurup hedefin anahtar materyalini alabilir. Asil kalici savunma ACL sertlestirmesidir.

↳ AD bilgisayar/hesap nesnesi msDS-AllowedToActOnBehalfOfOtherIdentity + 5136 denetimi

Hedef nesneye yazma yetkisi olan saldirgan RBCD kurup S4U ile ayricalikli kullanici olarak o kaynaga erisir (MachineAccountQuota=0 on kosulu keser, AD-KRB-07 tamamlayicisi).

↳ DC: GPO > System > KDC > KDC support for claims, compound authentication and Kerberos armoring. Istemci: System > Kerberos > Kerberos client support for claims... Zorlama secenegi: Fail unarmored authentication requests.

FAST, on-kimlik dogrulama trafigini zirhlar; Kerberoasting/AS-REP offline kirma ve bazi relay senaryolarini zorlastirir.

↳ Nesne ACL denetimi (dsacls / BloodHound AddKeyCredentialLink) + Get-ADUser -Properties msDS-KeyCredentialLink envanteri + 5136 nesne degisiklik denetimi

Hedef nesneye yazma yetkisi olan saldirgan kendi urettigi anahtar ciftini msDS-KeyCredentialLink e ekler, PKINIT ile o kimlige TGT alir ve NTLM hash ini cikarir. Parola degistirmedigi icin sessizdir ve ESC14 ten (altSecurityIdentities) farkli bir tekniktir.

↳ AD hesap ozellikleri > Delegation sekmesi + Get-ADObject -Filter {msDS-AllowedToDelegateTo -like "*"} -Properties msDS-AllowedToDelegateTo envanteri

Protokol gecisi, hizmetin kullanicinin Kerberos ile kimlik dogrulamasina gerek kalmadan onun adina bilet almasina izin verir (S4U2Self). Hesap ele gecirilirse listelenen her SPN de kimlik taklidine donusur; hedef Tier 0 bir hizmetse dogrudan domain ele gecirmedir.

↳ Windows Features veya GPO ile SMB1 protokolu kaldirilir

SMBv1 EternalBlue gibi solucanlara ve eski saldirilara acik eski bir protokoldur.

↳ Security Options > Microsoft network CLIENT: Digitally sign communications (always) = Enabled + Microsoft network SERVER: Digitally sign communications (always) = Enabled (iki ayri politika)

Zorunlu imzalama SMB relay saldirilarini engeller.

↳ GPO: Domain controller: LDAP server signing requirements = Require signing + Domain controller: LDAP server channel binding token requirements = Always. Registry: HKLM\SYSTEM\CurrentControlSet\Services\NTDS\Parameters (LDAPServerIntegrity=2, LdapEnforceChannelBinding=2). Once audit: 2887/2889 + 3039-3041.

Imzalama ve channel binding olmadan LDAP relay ile domain ele gecirilebilir (ADV190023).

↳ LLMNR: GPO > DNS Client > Turn off multicast name resolution = Enabled. NBT-NS: GPO Preferences Registry ile HKLM\SYSTEM\CurrentControlSet\Services\NetBT\Parameters\Interfaces\{arayuz-GUID}\NetbiosOptions=2 (veya DHCP). mDNS: HKLM\SYSTEM\CurrentControlSet\Services\Dnscache\Parameters\EnableMDNS=0. Tek GPO ucunu birden kapatmaz.

Bu yayin protokolleri Responder ile zehirlenerek NTLM kimlik bilgisi calinmasina yol acar.

↳ Security Options > Network access: Do not allow anonymous enumeration of SAM accounts (RestrictAnonymousSAM=1) + Network access: Do not allow anonymous enumeration of SAM accounts and shares (RestrictAnonymous=1) (iki ayri ayar)

Anonim sayim saldirgana kullanici ve paylasim listesi vererek kesfi kolaylastirir.

↳ Services / GPO > Print Spooler

PrintNightmare (CVE-2021-34527) spooler uzerinden uzaktan kod calistirma ve yetki yukseltmeye izin verir.

↳ RDS yapilandirmasi + perimeter firewall

Internete acik RDP, fidye yazilimi gruplarinin en yaygin ilk erisim ve yanal hareket yoludur.

↳ Services (WebClient) + RPC Filter / GPO

Kimlik dogrulama zorlama saldirilari (PetitPotam vb.) DC yi NTLM relay ve ESC8 ile birlestirerek domain ele gecirir.

↳ DC sertifikasi + 636/TCP

Sifresiz LDAP trafigi dinlenebilir; LDAPS hassas dizin sorgularini ve kimlik bilgisini korur.

↳ w32tm yapilandirmasi (PDCe > harici NTP; uyeler > NT5DS)

Kerberos 5 dk zaman toleransina baglidir; kontrolsuz zaman kaymasi kimlik dogrulamayi bozar ve log korelasyonunu/adli analizi zorlastirir.

↳ HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols + ...\Ciphers (protokol ve tekil sifre kapatma) | Computer Configuration > Administrative Templates > Network > SSL Configuration Settings > SSL Cipher Suite Order (paket siralamasi)

Eski protokol/sifreler MITM ve dusurme saldirilarina acik; LDAPS/RDP/web enrollment gibi DC servisleri guclu TLS ile korunmali.

↳ GPO > Computer Configuration > Administrative Templates > Network > Lanman Workstation > Enable insecure guest logons: Disabled

Etkinse SMB istemcisi kimlik dogrulanmamis/misafir SMB sunucularina baglanir; relay ve veri sizintisi riskini artirir.

↳ Windows Defender Firewall with Advanced Security (GPO ile merkezi kural dagitimi)

Host firewall yoksa DC-DC ve DC-istemci arasi yatay hareket kisitlanamaz; segmentasyon en az ayricalik ilkesini uygular.

↳ GPO > Domain controller: Allow vulnerable Netlogon secure channel connections (istisna listesi bos) + System log izleme: 5827/5828 (reddedilen baglanti), 5829 (izin verilen zayif baglanti - enforcement oncesi uyari), 5830/5831 (GPO istisnasiyla izin verilen)

Zerologon (CVE-2020-1472) yamasiz DC de kimlik dogrulamasiz domain ele gecirmeye izin verir. Bugun asil risk yamasizlik degil, GPO istisna listesine kalici olarak eklenmis eski cihazlardir: her istisna Zerologon yuzeyini o hesap icin yeniden acar.

↳ Security Options > Network access: Restrict clients allowed to make remote calls to SAM (kapsam: uye sunucu / istemci GPO su; DC OU suna baglanmamali)

Kisitlanmamis SAMR, saldirganin (or. BloodHound) yerel grup uyeliklerini sayarak yonetici yollarini haritalamasina izin verir. Ayni ayarin DC lere yayilmasi ise bilinen bir arizadir (bilgisayar yeniden adlandirmada 0x5 access denied): DC de bu ayarin guvenlik degeri yoktur.

↳ GPO > Computer Configuration > Administrative Templates > Network > Network Provider > Hardened UNC Paths

Sertlestirilmemis UNC yollarinda GPO dosyalari ve oturum acma betikleri araya girme (MITM) ile degistirilebilir. Tek bir zehirlenmis yanit, politika uygulayan tum makinelerde kod calistirmaya donusur; bu, GPO yu kitlesel dagitim kanalina cevirir.

↳ Win11 24H2 / WS2025 GPO: Lanman Workstation ve Lanman Server politikalari | Set-SmbClientConfiguration -RequireEncryption / -BlockNTLM | Set-SmbServerConfiguration -EnableAuthRateLimiter

Imzalama artik varsayilan zorunlu oldugu icin bir sonraki katman sifreleme ve NTLM blogudur: SMB istemcisinin NTLM e dusmesini engellemek, kimlik bilgisi hirsizligina yol acan relay ve zorlama (coercion) zincirlerinin cogunu kaynagi nda keser. Rate limiter ise SMB uzerinden parola puskurtmeyi yavaslatir.

↳ GPO > Windows Components > Windows Remote Management (WinRM) > Client ve Service (Allow Basic authentication = Disabled, Allow unencrypted traffic = Disabled) + JEA oturum yapilandirmasi (Register-PSSessionConfiguration)

Uzaktan yonetim kanali yatay hareketin ana yoludur. Basic/sifrelenmemis yapilandirma kimlik bilgisini aga acar; JEA ise ele gecirilen bir yonetim oturumunun yapabileceklerini rol yetenegiyle sinirlar ve tam yetkili kabuk vermez.

↳ DNS Manager > Zone > Properties > Dynamic updates: Secure only

Guvensiz guncellemede saldirgan mevcut A/SRV kaydinin ustune yazip trafik yonlendirir; kritik kayitlarin sahibi kisitlanmali.

↳ dnscmd /config /globalqueryblocklist wpad isatap + ADIDNS izleme

Kimligi dogrulanmis kullanici ADIDNS e wildcard veya WPAD kaydi ekleyerek agi zehirleyip NTLM kimlik dogrulamasini yakalar (LLMNR kapali olsa bile).

↳ DNS Manager > Server > Set Aging/Scavenging + periyodik denetim

Bayat kayitlar hem ad cozumleme karisikligina hem de sahipsiz (dangling) kayitlarin ele gecirilmesine yol acar. Buna karsilik yanlis hesaplanmis aralikla acilan scavenging, hala kullanimda olan kayitlari siler ve genis capli kesinti uretir; bu yuzden aralik tasarimi kontrolun parcasidir.

↳ certtmpl.msc > sablon > Subject Name + Issuance Requirements

Saldirgan SAN alanina Domain Admin UPN yazip o kimlige sertifika alip kimlik taklit eder; AD CS 2022 den beri en yaygin domain ele gecirme yoludur.

↳ IIS CertSrv > Authentication + Require SSL + EPA

CA web enrollment ucu NTLM relay ile DC kimligine sertifika urettirip domain ele gecirmeye yol acar (coercion ile zincirlenir).

↳ certutil -getreg policy\EditFlags (CA uzerinde)

Bu bayrak acikken CA genelinde her sertifika talebine keyfi SAN eklenebilir; ESC1 etkisini tum sablonlara yayar.

↳ DC System log: Kerberos-Key-Distribution-Center Event ID 39/40/41 izleme + KB5014754 + sertifikalarin SID ile guclu eslenmesi

Zayif sertifika eslemesi Certifried (CVE-2022-26923) ile kimlik taklidine acikti; KB5014754 ayrica CVE-2022-26931 ve CVE-2022-34691 i kapatir. 11 Subat 2025 ten itibaren Full Enforcement varsayilandir.

↳ certtmpl.msc > sablon > Security

Sablon uzerinde yazma yetkisi olan saldirgan sablonu ESC1 yapilandirmasina cevirip yetki yukseltir.

↳ CA > Properties > Auditing + tarama araci

Yanlis yapilandirmalar surekli tespit edilip onceliklendirilmeli; AD CS yuzeyi sessiz buyur.

↳ certtmpl.msc > sablon > Extensions > Application Policies + Issuance Requirements

Any Purpose/SubCA EKU (ESC2) her amac icin gecerli sertifika verir; Enrollment Agent EKU (ESC3) baskasi adina kayit yaparak ayricalikli kimlik taklidine yol acar.

↳ ADSI Edit > CN=Public Key Services,CN=Services,CN=Configuration + CA sunucu nesnesi ACL

PKI kritik nesneleri (NTAuth, CA nesnesi) uzerinde yazma yetkisi olan saldirgan sahte CA/sertifika guvenini enjekte edip domaini ele gecirir.

↳ certsrv.msc > CA > Properties > Security

ManageCA yetkisi EDITF/SAN bayragini acabilir veya basarisiz talebi onaylayarak ESC1/ESC6 zincirini tetikler; ManageCertificates istekleri onaylar.

↳ certtmpl.msc > sablon msPKI-Enrollment-Flag + HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\CertificateMappingMethods

SID guvenlik uzantisi olmayan sertifika + zayif eslemede saldirgan kurbanin userPrincipalName degerini degistirip ayricalikli hesap kimligiyle oturum acar (AD-CS-04 guclu eslemenin tamamlayicisi).

↳ certutil -setreg CA\InterfaceFlags +IF_ENFORCEENCRYPTICERTREQUEST (ardindan CertSvc yeniden baslat)

RPC (ICertPassage) ucuna NTLM relay ile kurban kimligine sertifika urettirilir; paket gizliligi zorunlulugu relay yuzeyini kapatir (ESC8 in RPC muadili).

↳ ADSI Edit > CN=OID,CN=Public Key Services,CN=Services,CN=Configuration > OID nesnesi msDS-OIDToGroupLink

OID bir gruba linkliyse o issuance policy iceren sertifikayi alan herkes gruba uyeymis gibi yetki kazanir; ayricalikli gruba dolayli uyelik saglar.

↳ Windows Update KB (Kasim 2024) + certtmpl.msc > eski V1 sablonlar

Yamanmamis CA da saldirgan CSR icine keyfi uygulama politikasi (Client Auth) enjekte edip V1 sablonla ayricalikli kimlige sertifika alir.

↳ HKLM\SOFTWARE\Yubico\YubiHSM\AuthKeysetPassword erisim denetimi + CA sunucusu yerel yonetici grubu sertlestirme

CA private key HSM de saklaniyorsa HSM auth anahtari CA sunucusu registry sinde tutulur; shell erisimi olan biri anahtari okuyup CA private key ine ulasip sahte sertifika uretebilir.

↳ Get-ADUser / Get-ADComputer -Properties altSecurityIdentities ile envanter + nesne ACL de Write altSecurityIdentities yetkisini dusuk yetkiliden kaldir

altSecurityIdentities veya msDS-KeyCredentialLink yazma yetkisi olan biri kendi sertifikasini hedef hesaba eslestirip o hesap olarak kimlik dogrular.

↳ certutil -getreg policy\DisableExtensionList (CA uzerinde) - 1.3.6.1.4.1.311.25.2 listede olmamali

ESC9 un CA capindaki karsiligi; SID uzantisi CA genelinde kapatilirsa DC ler zayif UPN/SAN eslemeye doner ve ESC6/9/10 yeniden mumkun olur.

↳ CA rol yapilandirmasi + CSP/KSP veya HSM + CA sunucusu Tier 0 OU ve yerel yonetici grubu + anahtar yedegi saklama sureci

CA ozel anahtari calinirsa saldirgan istedigi kimlik icin gecerli kimlik dogrulama sertifikasi uretir (Golden Certificate). Bu kalicilik, sablon sertlestirmesinden ve DC yamalarindan bagimsizdir; yalniz CA nin yeniden anahtarlanmasi ile kapanir.

↳ AD FS sunucu rolu (Tier 0 OU + PAW ile yonetim) + Set-AdfsProperties -EnableExtranetLockout + sertifika deposu / HSM + AD FS denetim loglari

Token imzalama anahtarini ele geciren saldirgan, istedigi kullanici ve iddialarla gecerli SAML tokeni uretir (Golden SAML). Bu, MFA dahil tum federe kimlik dogrulamasini atlar, dizinde iz birakmaz ve parola sifirlamayla kapanmaz; yalniz anahtar rotasyonu ile kapanir.

↳ Entra Connect / Cloud Sync sunucusu (Tier 0 izolasyon) + senkronizasyon hesabi replikasyon izinleri denetimi (4662)

Hibrit ortamda senkronizasyon hesabi genelde DCSync esdegeri yetkiye sahiptir ve bir DC kadar kritik hedeftir; ele gecirilmesi tum on-prem AD nin ele gecirilmesi anlamina gelir.

↳ Entra Connect sunucusunda Update-AzureADSSOForest (Seamless SSO PowerShell modulu) + hesap parolasinin son degisim tarihinin izlenmesi

AZUREADSSOACC$ hesabinin parolasi hicbir zaman OTOMATIK donmez. Bu hesabin Kerberos anahtarini ele geciren saldirgan, Entra ID e karsi gecerli ve MFA yi atlayabilen kimlik dogrulama biletleri uretebilir; on-prem den bulut kimligine gecisin en sessiz yollarindan biridir.

↳ Entra Connect / Cloud Sync sunucusu (Tier 0 OU) + surum ve staging durumu + Entra rol atamalari

Entra Connect sunucusu hem on-prem dizine hem bulut kiracisina yazabilen az sayidaki varliktan biridir; ele gecirilmesi iki yonlu kimlik ele gecirmesi demektir. Desteklenmeyen surumler yamalanmaz ve staging sunucusu yoksa kurtarma suresi uzar.

↳ Dis guven: netdom trust <guven> /domain:<domain> /quarantine:Yes. Orman guveni: netdom trust <guven> /domain:<domain> /EnableSIDHistory:No. Durum dogrulama: netdom trust ... /quarantine (parametresiz sorgu)

SID filtreleme, guvenilen taraftan gelen kimliklerin yerel ormana ait ayricalikli SID leri (or. Domain Admins) SIDHistory ile enjekte etmesini engeller. Yanlis tipte komut uygulamak ya hicbir sey yapmaz ya da mesru capraz-orman erisimini keser; guven tipi once dogrulanmalidir.

↳ AD Domains and Trusts > Trust > Properties > Authentication > Selective authentication

Forest-wide authentication tum guvenilen ormana genis erisim verir; selective auth en az ayricalik uygular ve yanal hareketi sinirlar.

↳ GPO / Intune > Attack Surface Reduction Rules

ASR kurallari yaygin saldiri davranislarini (LSASS erisimi, makro spawn) kaynaginda engeller.

↳ GPO > Microsoft Office > Block macros from running in Office files from the Internet

Internet kaynakli makrolar Emotet/QakBot gibi yuklerin baslica giris yoludur.

↳ WDAC veya AppLocker politikasi

Allowlisting, imzasiz/bilinmeyen ikili dosyalarin ve LOLBin kotuye kullaniminin onunu keser.

↳ Intune / GPO > Windows Components > Microsoft Defender Antivirus + Microsoft Defender for Endpoint yapilandirmasi

Bu baseline in geri kalani onlemeye odaklidir; onlemeyi asan saldirganin tespiti icin DC ve Tier 0 dahil her yerde calisan, kurcalanmaya dayanikli bir EDR gerekir. Tamper protection olmadan saldirganin ilk isi korumayi kapatmak veya dislik eklemektir.

↳ Advanced Audit Policy Configuration

Denetim olmadan kimlik dogrulama, yetki ve hesap degisiklikleri gorunmez kalir.

↳ GPO > Windows PowerShell > Turn on PowerShell Script Block Logging

Sifrelenmis/karartilmis PowerShell yukleri yalnizca script block logu ile gorunur.

↳ Audit Process Creation + Include command line in process creation events: Enabled

Komut satiri olmadan 4688 olaylari saldiri tespitinde zayif kalir.

↳ Sysmon + curated config (or. SwiftOnSecurity/Olaf)

Sysmon, yerlesik loglarin yakalamadigi process injection, image load ve ag baglantisi telemetrisini saglar.

↳ Windows Event Forwarding / SIEM

Merkezi ve uzun sureli log, olay mudahalesi ve adli analiz icin sarttir.

↳ Windows Features > Windows PowerShell 2.0 Engine: Off

PowerShell v2 loglama ve constrained language modu icermez; saldirganlar downgrade icin kullanir.

↳ Advanced Audit Policy > DS Access + replikasyon izni izleme

DCSync ve Golden Ticket olusturma yalniz dizin erisim denetimi ve replikasyon izni izlemeyle gorunur hale gelir.

↳ SYSVOL taramasi (Get-GPPPassword / findstr cpassword)

GPP cpassword AES anahtari kamuya acik oldugundan SYSVOL de kalan cpassword ile yerel/servis hesabi parolasi cozulur.

↳ Degerlendirme araci + periyodik surec

AD yanlis yapilandirmalari ve yetki yollari zamanla birikir; duzenli otomatik degerlendirme gizli ele gecirme zincirlerini ortaya cikarir.

↳ Security Options > Audit: Force audit policy subcategory settings... + HKLM\SYSTEM\CurrentControlSet\Control\Lsa\SCENoApplyLegacyAuditPolicy

Bu ayar etkin degilse eski (kategori duzeyi) denetim politikasi, gelismis denetim politikasinin alt-kategori ayarlarini ezebilir ve beklenen olaylar sessizce uretilmez. AD-LOG-01 in on kosuludur: denetim acilmis gorunur ama log gelmez.

↳ GPO > Windows Components > Event Log Service > Security > Specify the maximum log file size (KB) + HKLM\SOFTWARE\Policies\Microsoft\Windows\EventLog\Security\MaxSize

Varsayilan boyutlar yogun bir DC de olay gunlugunun saatler icinde donguye girmesine yol acar. WEF/SIEM hattinda bir kesinti oldugunda geriye donuk tek kanit yerel gunluktur; kucuk gunluk, olay mudahalesinde en kritik penceresini yok eder.

↳ Advanced Audit Policy > DS Access (Directory Service Changes) + Configuration NC uzerinde SACL + 4929/5137/5141 izleme

DCShadow, gecici olarak sahte bir DC kaydeder ve replikasyon yoluyla dizine dogrudan degisiklik enjekte eder (or. SIDHistory ekleme). Degisiklik normal denetim olaylarini uretmeden geldigi icin DCSync odakli tespitlerle gorunmez; ayri bir kontrol gerekir.

↳ Windows Server Backup / yedek cozumu + plan dokumani

DCSync, wiper veya fidye sonrasi guvenilir kurtarma yalniz offline ve test edilmis yedekle mumkundur.

↳ BitLocker Drive Encryption (GPO + TPM yapilandirmasi)

Fiziksel calinma, yanlis imha veya yetkisiz VM/snapshot kopyalama ile NTDS.dit diskten okunup tum domain hash leri disari cikarilabilir.

↳ Enable-ADOptionalFeature Recycle Bin Feature -Scope ForestOrConfigurationSet

Yanlislikla veya kotu niyetle silinen nesnelerin (kullanici/grup/OU) hizli ve guvenilir geri yuklenmesini saglar; forest recovery plani ile tamamlayici operasyonel kontroldur.

↳ Yedek deposu ve IFM medyasi ACL + hypervisor rol ayrimi (Hyper-V/vSphere yonetici rolleri) + sanal DC disk dosyalarinin erisim denetimi

DC yi ele gecirmenin en sessiz yolu isletim sistemine hic dokunmadan diskini, snapshot ini veya yedegini kopyalamaktir: ntds.dit ile SYSTEM hive birlikte tum domain parola hash lerini cevrimdisi verir. Bu yol EDR ve denetim politikalarinin tamamen disindadir ve hypervisor yoneticisini fiilen Domain Admin yapar.

↳ Security Options > Accounts: Guest account status + Builtin group uyeligi

Etkin Guest ve genis Pre-Windows 2000 uyeligi kimlik dogrulamasiz sayim ve erisime kapi acar.

↳ HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System > EnableLUA / ConsentPromptBehaviorAdmin

UAC devre disi (EnableLUA=0) tam token ile calismayi zorlar; yetki yukseltme ve token calmayi kolaylastirir (AD-PRIV-09 token filtresi ile birlikte).

↳ ADSI Edit > CN=Directory Service,... > dSHeuristics

Anonim LDAP bind, kimlik dogrulamasiz dizin sayimi (kullanici/grup/ACL kesfi) saglar ve saldiri hazirligini besler.

↳ WSUS / Intune / Configuration Manager + yama uyum raporlamasi

Bu baseline daki bircok kontrol ilgili yama kurulu varsayimina dayanir; yama gecikmesi sessizce diger kontrolleri gecersiz kilar.

↳ Security Options > User Account Control: Behavior of the elevation prompt for administrators in Admin Approval Mode + HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\ConsentPromptBehaviorAdmin

Guvenli masaustu disinda gosterilen yukseltme istemleri baska sureclerce taklit edilebilir veya otomatik onaylanabilir. Varsayilan deger (5) Windows imzali ikililerin sessizce yukselmesine izin verdigi icin UAC atlatma tekniklerinin cogunun on kosuludur.

↳ Get-ADDomain / Get-ADForest (DomainMode, ForestMode) + Get-ADDomainController envanteri + dfsrmig /getglobalstate

Destegi biten bir DC guvenlik guncellemesi almaz ve bu baseline daki yamaya bagli kontrollerin (Zerologon, RC4 gecisi, guclu sertifika eslemesi) tamamini sessizce gecersiz kilar. Dusuk islevsellik duzeyi ise Protected Users, Authentication Silos ve gMSA gibi kontrolleri imkansiz kilar; FRS ise Windows Server 2019 ve sonrasinda desteklenmez.

↳ Search-ADAccount -AccountInactive -TimeSpan 90 + Get-ADUser -Filter {PasswordNotRequired -eq $true} + Get-ADUser -Filter {PasswordNeverExpires -eq $true} + hesap yasam dongusu sureci

Bayat hesaplar parola puskurtmenin en verimli hedefidir; kimse oturum acmadigi icin kilitlenme ve basarisiz giris de fark edilmez. Ayrica parolasi hic degismemis hesaplarda AES anahtari uretilmemis olabilir; Temmuz 2026 RC4 tam zorlamasindan sonra bu hesaplar kimlik dogrulayamaz, yani hijyen ayni zamanda bir surekliligi kontroludur.