Bilkomsis rehberleri
Active Directory temizliği: eski hesaplar, yetkiler ve gruplar
Active Directory yıllar içinde, işten ayrılmış çalışanların açık kalan hesapları, artık var olmayan bilgisayarlar, neden oluşturulduğu unutulmuş servis hesapları ve gereğinden fazla kişinin üye olduğu yönetici gruplarıyla dolar. Bu hesapların her biri saldırganlar için kullanılabilecek bir kapıdır. Düzenli bir temizlik hem güvenliği artırır hem de lisans ve yönetim yükünü azaltır.
Başlamadan önce
- Active Directory’nin güncel bir yedeğinin alındığından emin olun.
- Silinen nesnelerin kolayca geri getirilebilmesi için Active Directory Geri Dönüşüm Kutusu (Recycle Bin) özelliğinin açık olup olmadığını kontrol edin.
- Hesapları doğrudan silmeyin: önce devre dışı bırakın, ayrı bir organizasyon birimine (OU) taşıyın ve bir süre bekleyin.
1. Uzun süredir kullanılmayan kullanıcı hesapları
Active Directory PowerShell modülüyle son 90 günde oturum açmamış kullanıcıları listeleyebilirsiniz: Search-ADAccount -AccountInactive -TimeSpan 90.00:00:00 -UsersOnly. Son oturum açma bilgisi etki alanı denetleyicileri arasında birkaç gün gecikmeyle eşitlendiğinden kısa süreleri esas almayın. Listeyi insan kaynaklarıyla karşılaştırın; izinli veya uzun süreli raporlu çalışanları ayırın.
2. Eski bilgisayar hesapları
Aynı komutu -ComputersOnly parametresiyle çalıştırarak uzun süredir ağa bağlanmayan bilgisayarları bulun. Satılan, arızalanan veya yenilenen cihazların hesaplarını devre dışı bırakın.
3. Yönetici grupları
Domain Admins, Enterprise Admins, Schema Admins ve yerel Administrators gruplarının üyelerini tek tek gözden geçirin: Get-ADGroupMember "Domain Admins" -Recursive. Günlük işler için kullanılan hesapların bu gruplarda olmaması gerekir. Yöneticiler için günlük kullanıcı hesabından ayrı, yalnızca yönetim işlerinde kullanılan hesaplar oluşturun. Bilgisayarlardaki yerel yönetici şifreleri için Windows LAPS rehberimize bakabilirsiniz.
4. Servis hesapları
Şifresi hiç değişmeyecek şekilde ayarlanmış hesapları listeleyin: Get-ADUser -Filter 'PasswordNeverExpires -eq $true'. Hangi uygulamanın hangi hesabı kullandığını belgeleyin. Mümkün olan yerlerde şifresi otomatik yönetilen hesaplara (gMSA) geçin ve servis hesaplarının yönetici gruplarında olmamasına dikkat edin.
5. Gruplar ve grup ilkeleri
Üyesi olmayan grupları, hiçbir yere bağlı olmayan grup ilkesi nesnelerini (GPO) ve iç içe geçmiş, kimin neye eriştiğini belirsizleştiren grup yapılarını sadeleştirin.
| Adım | Önerilen süre |
|---|---|
| Devre dışı bırak ve ayrı OU’ya taşı | Hemen |
| Şikâyet veya sorun bildirimi bekle | 30–60 gün |
| Sil | Bekleme süresinden sonra |
| Temizliği tekrarla | Üç ayda bir |
Microsoft’un Active Directory güvenliği en iyi uygulamaları belgesi, yönetici hesaplarının korunması ve saldırı yüzeyinin azaltılması için ayrıntılı öneriler içerir.
Örneğin varsayımsal bir şirkette temizlik sırasında, iki yıl önce ayrılan bir çalışanın hesabının hâlâ açık olduğu ve VPN grubuna üye olduğu görülür. Bu hesap, şifresi sızdırılmış olsa bugün bile şirket ağına erişim için kullanılabilirdi. VPN erişiminde çok faktörlü doğrulama kullanmak bu tür risklerin etkisini de azaltır.
Sunucu hizmetlerimiz ve IT danışmanlığı kapsamında Active Directory ortamınızı birlikte gözden geçirip temizleyebiliriz.