Çarşamba , 25 Kasım 2020
Aktif Dizin Güvenlik Denetimleri için Araçlar 1 – FeaturedImage 04551

Aktif Dizin Güvenlik Denetimleri için Araçlar

Etki alanı kurumlar için oldukça kritiktir, bu sebeple güvenliğinin korunması için bazı önlemlerin alınması gereklidir. Bu yazıda, Aktif Dizin üzerindeki güvenlik denetimleri için kullanılabilecek hazır araçlar incelenecektir.

Not: Microsoft tarafından PAW, Red Zone gibi yapısal / yönetimsel kontroller veya Etki Alanı Denetleyicileri için sıkılaştırma kontrolleri bulunmaktadır. Bu yazıda ise sadece nesneler üzerindeki güvenlik denetimleri için kullanılabilecek ücretsiz araçlar incelenecektir.

Aktif Dizin üzerindeki denetimler için kullanılabilecek bir çok araç bulunmaktadır. Bu yazıda en önemli görülen ücretsiz araçlar (bir kısmı için de deneme sürümleri) alfabetik olarak listelenecektir. Ekran görüntüleri içerisinde belirtilmemiş olsa da Powershell betikleri için çalıştırma politikasının güncellenmesi gereklidir.

Set-ExecutionPolicy bypass

Uyarı: Betiklerin tamamına yakını Domain Controller üzerinde yetkili kullanıcılar ile çalıştırılması gereklidir. Bu sebeple betiklerinin içerisinin okunması önerilmekte, hatta bu betiklerin (veya çalıştırılabilir dosyaların) izole bir ortama konumlandırılan bir Etki Alanı Denetleyicisi üzerinde çalıştırılması ve raporlar alındıktan sonra da bu sunucunun silinmesi tavsiye edilmektedir. Ayrıca, elde edilen sonuçlar, kurumun Aktif Dizin yöneticileri tarafından incelendikten sonra, ilgili denetçilere verilmesi gerekmektedir. Bu sonuçlar arasında çok kritik veriler (NTDS.dit dosyası gibi) de bulunabilmektedir.

ADACLScanner

Aktif Dizin üzerinde verilen yetkilerin / delegasyonların raporlanması için kullanılabilecek bir Powershell betiğidir.

İndirme bağlantısı;

https://github.com/canix1/ADACLScanner

Betiğin temel özellikleri aşağıdaki gibi sıralanabilir.

  • Çıktılar CSV veya HTML formatında dışarıya aktarılabilir.
  • SACL ve DACL denetimi için kullanılabilir.
  • Varsayılan izinlerin (defaultSecurityDescriptor) raporlanmaması ve sadece özelleştirilmiş izinlerin raporlanması sağlanabilir.
  • Üst seviyelerden gelen yetkilendirmelerin (kalıtımların) raporlanmaması sağlanabilir.
  • OU veya kullanıcı gibi daha düşük seviyedeki bir nesne bazında denetimler gerçekleştirilebilir.
  • Farklı zamanlarda alınan raporlar karşılaştırılarak değişiklikler / farklar listelenebilir.

Betiğin çalışması için temel gereksinimler aşağıdaki gibi sıralanabilir.

  • Powershell 2.0 +
  • Microsoft .NET Framework 4.0 +

Örnek denetim sonucu;

.\ADACLScanner.ps1

Aktif Dizin Güvenlik Denetimleri için Araçlar 2 – aktif dizin guvenlik denetimlerinin ucretsiz araclar ile gerceklestirilmesi adaclscanner1

AdAudit

Aktif Dizin üzerindeki kullanıcı, OU, GPO gibi nesnelerin güvenlik denetimleri için kullanılabilecek bir Powershell betiğidir.

İndirme bağlantısı;

https://github.com/phillips321/adaudit

Betiğin temel özellikleri aşağıdaki gibi sıralanabilir.

  • Sonuçlar sunucu adıyla oluşturulan bir klasör içerisinde txt uzantı olarak dışarıya aktarılır.
  • Etki alanı ve orman fonksiyonellik seviyeleri, mevcut güven ilişkileri gibi bilgileri raporlar.
  • SMB sürümü, Null Session gibi güvenlik kontrollerini raporlar.
  • Aktif olmayan, devre dışı olan, parolası sonlanmayan, parolasını değiştiremeyecek olan, parolasını değiştirmemiş olan… kullanıcılar listelenir.
  • NTDS.dit, SECURITY ve SYSTEM dosyalarını verir.
  • Grup ilkelerini HTML ve XML formatında dışarıya aktarır.
  • OU izinlerini, LAPS kullanımını, GPO kalıtımlarını, AdminSDHolder nesnesindeki değerleri listeler.

Örnek denetim sonucu;

.\AdAudit.ps1 –all

Aktif Dizin Güvenlik Denetimleri için Araçlar 3 – aktif dizin guvenlik denetimlerinin ucretsiz araclar ile gerceklestirilmesi adaudit1

Adaxes (Deneme Sürümü)

Kullanıcı, bilgisayar, grup, OU gibi nesnelerin güvenlik denetimleri için kullanılabilecek ücretli (30 günlük deneme sürümü kullanılabilen) çalıştırılabilir bir dosyadır.

İndirme bağlantısı;

https://www.adaxes.com/download.htm

Not: Bu aracın asıl işlevi Aktif Dizin, Microsoft Exchange ve Office 365 yönetimini kolaylaştırmaktır. Bunun yanında oluşturulan raporlar Aktif Dizin güvenlik denetimleri için de kullanılabilir.

Aktif Dizin Güvenlik Denetimleri için Araçlar 4 – aktif dizin guvenlik denetimlerinin ucretsiz araclar ile gerceklestirilmesi adaxes 011

Uygulamanın temel özellikleri aşağıdaki gibi sıralanabilir.

  • Devre dışı olan, yönetilmeyen, mail atabilen, mail kutusu olmayan… kullanıcılar listelenebilir.
  • Aktif olmayan, devre dışı olan, yeni oluşturulan,… bilgisayarlar listelenebilir.
  • Boş, silmeye karşı korunmayan,… gruplar listelenebilir.
  • OU izinleri, OU yönetim bilgileri,… listelenebilir.
  • Örnek denetim sonucu aşağıdaki gibidir.
Aktif Dizin Güvenlik Denetimleri için Araçlar 5 – aktif dizin guvenlik denetimlerinin ucretsiz araclar ile gerceklestirilmesi adaxes 021

ADPasswordHealth

NTDS.dit dosyasını alarak etki alanındaki kullanıcıların parola özetlerini bir sözlük yardımı ile kırmak ve parolaların güçlülüğü hakkında yorum yapmak amacı ile kullanılabilecek Python betiğidir. İndirme bağlantısı aşağıdadır.

https://github.com/Ne0nd0g/ADPasswordHealth

Örnek denetim sonucu aşağıdaki gibidir.

Aktif Dizin Güvenlik Denetimleri için Araçlar 6 – aktif dizin guvenlik denetimlerinin ucretsiz araclar ile gerceklestirilmesi adpasswordhealth1

AD-Reporting

Aktif Dizin üzerindeki kullanıcı, grup, OU, GPO gibi nesnelerin güvenlik denetimleri için kullanılabilecek bir Powershell betiğidir.

İndirme bağlantısı aşağıdadır.

https://gallery.technet.microsoft.com/scriptcenter/Get-Active-Directory-6a1e5468

Uygulamanın temel özellikleri aşağıdaki gibi sıralanabilir.

  • Sonuçlar “AD_Reports_TARIH” adıyla oluşturulan bir klasör içerisinde CSV uzantı olarak dışarıya aktarılır.
  • Devre dışı olan, parolası sonlanmayan… kullanıcılar listelenebilir.
  • Boş, yetkili,… gruplar listelenebilir.
  • Boş OU’lar listelenebilir.
  • GPO detayları listelenebilir.

Örnek denetim sonucu;

.\AD-Reporting.ps1

Aktif Dizin Güvenlik Denetimleri için Araçlar 7 – aktif dizin guvenlik denetimlerinin ucretsiz araclar ile gerceklestirilmesi ad reporting1

ADTidy

Aktif olmayan kullanıcı ve bilgisayar nesnelerinin tespiti ve yönetilmesi için kullanılabilecek EXE formatında ücretli bir araçtır. İndirme bağlantısı;

http://www.cjwdev.co.uk/Software/ADTidy/Info.html

Örnek denetim sonucu;

Aktif Dizin Güvenlik Denetimleri için Araçlar 8 – aktif dizin guvenlik denetimlerinin ucretsiz araclar ile gerceklestirilmesi adtidy1

Get-GroupReport

Aktif Dizin içerisindeki gruplar ile ilgili detaylı raporlama amacı ile kullanılabilecek Powershell betiğidir. İndirme bağlantısı;

http://www.jhouseconsulting.com/2015/01/02/script-to-create-an-overview-and-full-report-of-all-group-objects-in-a-domain-1455

Örnek denetim sonucu;

powershell -ExecutionPolicy bypass .\Get-GroupReport.ps1

Aktif Dizin Güvenlik Denetimleri için Araçlar 9 – aktif dizin guvenlik denetimlerinin ucretsiz araclar ile gerceklestirilmesi get groupreport1

Get-VulnerableGPO

NT AUTHORITY\Authenticated Users kullanıcısına geniş yetkilendirme (permGPOApply, permGPORead gibi) yapılmış Aktif Dizin grup ilkelerinin raporlanması için kullanılabilecek bir Powershell betiğidir. Kullanımı için GPMC & SDM PowerShell modülüne ihtiyaç duyar.

İndirme bağlantısı;

https://github.com/gpoguy/GetVulnerableGPO

Örnek denetim sonucu;

.\Get-VulnerableGPO.ps1

Aktif Dizin Güvenlik Denetimleri için Araçlar 10 – aktif dizin guvenlik denetimlerinin ucretsiz araclar ile gerceklestirilmesi get vulnerablegpo1

Goddi

Aktif Dizin üzerindeki kullanıcı, grup, OU, GPO gibi nesnelerin güvenlik denetimleri için kullanılabilecek bir Go paketidir.

İndirme bağlantısı;

https://github.com/NetSPI/goddi/releases

Aracın temel özellikleri aşağıdaki gibi sıralanabilir.

  • Sonuçlar sunucu adıyla oluşturulan bir klasör içerisinde txt uzantı olarak dışarıya aktarılır.
  • DC’ler, Etki alanı ve orman fonksiyonellik seviyeleri, mevcut güven ilişkileri, subnet ve site gibi bilgileri raporlar.
  • Aktif olmayan, devre dışı olan, kilitli olan, parolası sonlanmayan… kullanıcılar listelenir.
  • Parola politikası, LAPS kullanımını, grup ilkeleri, GPP bilgisi, SPN’ler listelenir.

Örnek denetim sonucu;

goddi-windows-amd64.exe -dc=”192.168.245.149″ -domain=”sirket.local” -username=”Yonetici” -password=”Yy123456″ -unsafe

Aktif Dizin Güvenlik Denetimleri için Araçlar 11 – aktif dizin guvenlik denetimlerinin ucretsiz araclar ile gerceklestirilmesi goddi1

Gold Finger

Aktif Dizin üzerindeki kullanıcı, grup, bilgisayar, OU, GPO, contact, yazıcı, konteynır gibi nesnelerin güvenlik denetimleri için kullanılabilecek ücretli (ücretsiz sürümü çok sınırlı özelliklere sahip olan) bir MSI paketidir.

İndirme bağlantısı;

https://www.paramountdefenses.com/goldfinger.html

Örnek denetim sonucu;

Aktif Dizin Güvenlik Denetimleri için Araçlar 12 – aktif dizin guvenlik denetimlerinin ucretsiz araclar ile gerceklestirilmesi gold finger1

Liza

Aktif Dizin üzerindeki nesnelerin yetkilendirmeleri için kullanılabilecek bir çalıştırılabilir dosyadır.

İndirme bağlantısı;

http://www.ldapexplorer.com/en/liza.htm

Örnek denetim sonucu;

Aktif Dizin Güvenlik Denetimleri için Araçlar 13 – aktif dizin guvenlik denetimlerinin ucretsiz araclar ile gerceklestirilmesi liza1

New-ADAssetReportGUI

Aktif Dizin üzerindeki kullanıcı, grup, bilgisayar, GPO gibi nesnelerin güvenlik denetimleri için kullanılabilecek bir PowerShell betiğidir.

İndirme bağlantısı;

https://gallery.technet.microsoft.com/office/Active-Directory-Audit-7754a877

Aracın temel özellikleri aşağıdaki gibi sıralanabilir.

  • Sonuçlar çeşitli formatlarda (CSV, HTML, txt) dışarıya aktarılır.
  • DC’ler, Etki alanı ve orman fonksiyonellik seviyeleri, mevcut güven ilişkileri, subnet ve site gibi bilgileri raporlar.
  • Aktif olmayan, devre dışı olan, kilitli olan, parolası sonlanmayan… kullanıcılar listelenir.
  • Kritik grupların üyeleri, Exchange ve Lync sunucuları listelenir.

Örnek denetim sonucu;

Aktif Dizin Güvenlik Denetimleri için Araçlar 14 – aktif dizin guvenlik denetimlerinin ucretsiz araclar ile gerceklestirilmesi new adassetreportgui 011
Aktif Dizin Güvenlik Denetimleri için Araçlar 15 – aktif dizin guvenlik denetimlerinin ucretsiz araclar ile gerceklestirilmesi new adassetreportgui 021

NTFSSecurity

Etki alanı denetleyicisi (Domain Controller) üzerindeki dizinlerin NTFS erişimlerini denetlemek için kullanılabilecek bir PowerShell modülüdür.

İndirme bağlantısı;

https://gallery.technet.microsoft.com/scriptcenter/1abd77a5-9c0b-4a2b-acef-90dbb2b84e85

Örnek denetim sonucu;

dir C:\Users\<KullaniciAdi>\Documents\WindowsPowerShell\Modules
Import-Module NTFSSecurity
Get-ChildItem -Path C:\,K:\ | Get-NTFSAccess -ExcludeInherited | Export-Csv Izinler.cxv

Aktif Dizin Güvenlik Denetimleri için Araçlar 16 – aktif dizin guvenlik denetimlerinin ucretsiz araclar ile gerceklestirilmesi ntfssecurity1

OU_permissions

Aktif Dizin üzerindeki OU’ların yetkilendirmeleri için kullanılabilecek bir PowerShell betiğidir.

İndirme bağlantısı;

https://gallery.technet.microsoft.com/Active-Directory-OU-1d09f989

Örnek denetim sonucu;

.\OU_permissions.ps1

Aktif Dizin Güvenlik Denetimleri için Araçlar 17 – aktif dizin guvenlik denetimlerinin ucretsiz araclar ile gerceklestirilmesi ou permissions1

Ping Castle

Aktif Dizin üzerindeki kullanıcılar, gruplar, bilgisayarlar gibi nesnelerin risk skorlaması için kullanılabilecek bir C# projesidir.

İndirme bağlantısı;

https://www.pingcastle.com/download/

Örnek denetim sonucu;

Aktif Dizin Güvenlik Denetimleri için Araçlar 18 – aktif dizin guvenlik denetimlerinin ucretsiz araclar ile gerceklestirilmesi ping castle reporting 011
Aktif Dizin Güvenlik Denetimleri için Araçlar 19 – aktif dizin guvenlik denetimlerinin ucretsiz araclar ile gerceklestirilmesi ping castle reporting 021
Aktif Dizin Güvenlik Denetimleri için Araçlar 20 – aktif dizin guvenlik denetimlerinin ucretsiz araclar ile gerceklestirilmesi ping castle reporting 031

Bir cevap yazın

E-posta hesabınız yayımlanmayacak. Gerekli alanlar * ile işaretlenmişlerdir