Bilkomsis rehberleri
Yönetici hesaplarının korunması ve Windows LAPS
Saldırganların bir şirket ağında ilerlerken en çok aradığı şey yönetici yetkisidir. Tek bir bilgisayarda ele geçirilen yerel yönetici şifresi, aynı şifre diğer bilgisayarlarda da kullanılıyorsa bütün ağa açılan bir anahtara dönüşür. Yönetici hesaplarını düzenli bir yapıya kavuşturmak, bu tür yayılmayı durdurmanın en etkili yollarından biridir.
Günlük hesap ile yönetici hesabını ayırın
BT ekibindeki her kişinin e-posta okuduğu ve internette gezindiği günlük hesabı ile yönetim işleri için kullandığı hesabı ayrı olmalıdır. Yönetici hesabıyla e-posta açılmaz, web’de gezinilmez. Böylece bir oltalama e-postası günlük hesabı ele geçirse bile yönetici yetkisine doğrudan ulaşılamaz.
Yerel yönetici şifrelerini benzersiz yapın: Windows LAPS
Birçok şirkette bilgisayarlar aynı imajdan kurulduğu için yerel yönetici şifresi her cihazda aynıdır. Windows LAPS (Local Administrator Password Solution), her cihazın yerel yönetici şifresini otomatik olarak benzersiz ve rastgele üretir, belirli aralıklarla değiştirir ve Active Directory’de veya Microsoft Entra ID’de güvenli şekilde saklar. Yetkili BT personeli gerektiğinde şifreyi buradan görüntüler.
Windows LAPS, Windows 11, Windows 10 ve Windows Server’ın güncel sürümlerinde Nisan 2023 güncellemeleriyle birlikte işletim sistemine yerleşik olarak gelir; ayrı bir yazılım kurmak gerekmez. Eski, ayrı kurulan Microsoft LAPS ürünü kullanılıyorsa yeni sürüme geçiş planlanmalıdır. Ayrıntılar için Microsoft’un Windows LAPS genel bakış belgesine bakabilirsiniz.
Uygulama adımları
- Cihazların Active Directory’ye mi, Microsoft Entra ID’ye mi bağlı olduğunu belirleyin; şifrelerin nerede saklanacağı buna göre seçilir.
- Active Directory kullanılıyorsa şema güncellemesini yapın ve şifreleri okuyabilecek grubu belirleyin.
- Group Policy veya Intune ile LAPS ilkesini tanımlayın: şifre uzunluğu, karmaşıklığı ve değiştirme sıklığı.
- Birkaç pilot cihazda şifrenin üretildiğini ve merkezde göründüğünü doğrulayın, ardından tüm cihazlara yayın.
- Şifre görüntüleme yetkisini yalnızca gerekli kişilere verin ve bu yetkinin kimlerde olduğunu düzenli kontrol edin.
Etki alanı yöneticilerini sınırlayın
Domain Admins gibi en yetkili grupların üye sayısı mümkün olduğunca az tutulmalı, bu hesaplar yalnızca etki alanı denetleyicilerinde ve yönetim için ayrılmış bilgisayarlarda kullanılmalıdır. Yönetici hesaplarında çok faktörlü doğrulama ve güçlü şifre zorunlu olmalıdır.
Örneğin varsayımsal bir şirkette bir çalışanın bilgisayarına bulaşan zararlı yazılım, yerel yönetici şifresini ele geçirir. Şifre tüm bilgisayarlarda aynı olduğu için saldırgan dakikalar içinde muhasebe bilgisayarına da erişir. Windows LAPS kullanılıyor olsaydı ele geçirilen şifre yalnızca o tek cihazda geçerli olurdu.
Siber güvenlik hizmetimiz kapsamında yönetici hesaplarınızı gözden geçirip Windows LAPS’ı birlikte devreye alabiliriz. Kullanılmayan hesapların temizliği için Active Directory temizliği rehberimize de göz atabilirsiniz.