Herkesin herkesten öğreneceği bir şey vardır.
Merhaba Beşinci bölümün sonunda duvar kağıdı paylaşımındaki bir izin hatasının GPO’yu (Group Policy Object) nasıl uygulanmış ama çalışmıyor durumuna getirdiğini gördük. Bu bölümde aynı düzeneğe tersten bakıyoruz: izin yanlış yöne kaydığında, yani ihtiyaç duyulandan fazla yetki verildiğinde ne olur? Group Policy, bir etki alanındaki yüzlerce makineye aynı anda, çoğu zaman SYSTEM yetkisiyle ayar ve kod ulaştırabilen […]
Merhaba Dördüncü bölümün sonunda bir GPO’nun (Group Policy Object) kime ve hangi makineye uygulanacağını belirlemeyi öğrendik. Gerçek hayatta en sık karşılaşılan soru ise başka bir yerden gelir: GPO’yu oluşturdum, link ettim, ama istemcide ayar görünmüyor. Bu sorunun cevabı çoğu zaman GPO’nun kendisinde değil, GPO’nun istemciye ne zaman ulaştığında ya da ulaştıktan sonra neyin eksik kaldığındadır. Bu […]
Merhaba Bölüm 3‘te bir GPO’nun (Group Policy Object) hangi sırayla işlendiğini ve çakışmada hangisinin kazandığını gördük. Ancak tüm bu kuralların temelinde tek bir varsayım vardı: GPO’yu bir OU’ya (Organizational Unit) link ettiğimizde, o OU’daki her kullanıcıya ve bilgisayara uygulanır. Gerçek hayatta bu çoğu zaman yeterli değildir. Satış OU’sundaki kullanıcıların yalnızca bir kısmına kısıtlama uygulamak, bir […]
Merhaba İlk iki bölümde tek tek GPO’lar (Group Policy Object) oluşturduk: Bölüm 1‘de Satış kullanıcılarının ekranını 15 dakikada kilitleyen bir Policy, Bölüm 2‘de de drive, registry ve kısayol dağıtan Preference öğeleri. Bu GPO’ların hiçbiri birbiriyle çakışmıyordu. Gerçek bir domain’de ise durum farklıdır: domain’e link edilmiş güvenlik GPO’ları, departman OU’larına (Organizational Unit) link edilmiş özel GPO’lar, […]
Merhaba Serinin ilk bölümünde bir GPO’nun (Group Policy Object) AD (Active Directory) ve SYSVOL (System Volume) içinde nasıl tutulduğunu inceledik ve ilk GPO’muzla Satış kullanıcılarının ekranını 15 dakika sonra kilitledik. O GPO’da kullandığımız ayarların hepsi Policies dalındaki Administrative Templates ayarlarıydı. Ancak her GPO’nun içinde ikinci bir büyük dal daha var: Preferences. Policy ve Preference aynı […]
Merhaba Active Directory (AD) ortamlarında en sık kullanılan ama en çok yanlış anlaşılan araçlardan biri Group Policy. Bir ayarın neden uygulanmadığı sorusu çoğu zaman GPO’nun (Group Policy Object) içeriğinden değil, nereye bağlandığından, hangi yarısında tanımlandığından ya da hangi sırayla işlendiğinden kaynaklanıyor. Üstelik Group Policy yalnızca bir yönetim aracı değil, doğru korunmadığında saldırganların domain içinde yayılmak için […]
Merhaba Microsoft Exchange ürün ekibi, Eylül 2026’da yayımladığı Exchange Server güvenlik güncellemelerinin V2 sürümünü 2 Ekim 2026 tarihinde yayımladı. V2 paketleri Exchange Server SE (Subscription Edition), Exchange Server 2019 ve Exchange Server 2016 için hazırlandı. Exchange Server SE için yayımlanan SU (Security Update) herkese açık olarak Microsoft Download Center üzerinden indirilebiliyor. Exchange 2019 ve Exchange […]
Merhaba Microsoft, 29 Eylül 2026 itibarıyla Windows 11’in yıllık özellik güncellemesi olan version 26H2’yi (2026 Update) genel kullanıma açtı. İlk bakışta Yeni ne var ki? dedirten bir sürüm gibi görünse de, 26H2 aslında son bir yılda aylık güncellemelerle parça parça gelen yeniliklerin tek bir noktada toplandığı ve destek süresinin sıfırlandığı önemli bir kilometre taşı. Bu yazıda […]
Merhaba Serinin son bölümüne geldik. Şu ana kadar bakicubuk.tech alan adını tenant’ımızda doğruladık, Microsoft Entra Connect Sync ile kullanıcılarımızı Entra ID’ye senkronize ettik ve Conditional Access politikalarıyla tüm kullanıcılardan MFA istemeye başladık. Bölüm 2’de Entra Connect kurulumunda Seamless SSO’yu etkinleştirmiştik, ancak özelliğin istemci tarafında çalışması için bir grup ilkesi daha gerekiyor. Bu bölümde grup ilkesini […]
Merhaba İlk iki bölümde on-premises Active Directory ortamımızı kurduk ve Microsoft Entra Connect Sync ile kullanıcılarımızı Entra ID’ye senkronize ettik. Kullanıcılarımız artık on-premises parolalarıyla buluta oturum açabiliyor. Bu bölümde tenant’ın güvenlik tarafına geçiyoruz: yeni tenant’larda varsayılan olarak açık gelen Security Defaults’u kapatıp yerine break-glass hesapları ve Conditional Access politikalarıyla daha esnek, denetlenebilir ve istisnaları belgelenmiş […]
Merhaba Serinin ilk bölümünde bakicubuk.tech alan adını tenant’ımıza ekleyip doğruladık, Active Directory tarafındaki ön koşulları kontrol ettik ve Entra Connect’i kuracağımız W25ENTRA sunucusunu sanal TPM ile hazırladık. Bu bölümde W25ENTRA üzerinde Microsoft Entra Connect Sync’i kuruyoruz. Sihirbazın her ekranında karşımıza çıkan seçenekleri tek tek açıklayacak, hangisiyle neden devam ettiğimizi gerekçeleriyle anlatacağız. Eski sürümlerden bilinen TLS […]
Merhaba Kurumların büyük bölümü kimlik altyapısını hala on-premises Active Directory üzerinde tutuyor, ancak kullanıcıların oturum açtığı uygulamaların neredeyse tamamı artık bulutta. Microsoft 365, Azure portalı ve SaaS uygulamaları için aynı kullanıcı adı ve parolayla, aynı güvenlik politikalarıyla oturum açabilmek hibrit kimlik (hybrid identity) mimarisinin temel amacı. Bu seride on-premises Active Directory ortamımızı Microsoft Entra Connect […]
Merhaba Bu seride 18 bölüm boyunca, CISA/NSA/ASD/Five Eyes ortaklığının yayınladığı Detecting and Mitigating Active Directory Compromises raporundaki teknikleri tek tek ele aldık: Kerberoasting’den başlayıp AS-REP Roasting, Password Spraying, MachineAccountQuota istismarı, Unconstrained Delegation, GPP şifreleri, AD CS (ESC1), Golden Certificate, DCSync, ntds.dit dökümü, Golden Ticket, Silver Ticket, Golden SAML, Microsoft Entra Connect ele geçirmesi, tek yönlü […]
Merhaba Önceki bölümde Domain Controller’ın kimlik doğrulama sürecinin kendisini ele geçiren Skeleton Key’i inceledik. Bu bölümde, modern, şifresiz (passwordless) kimlik doğrulama altyapısının Windows Hello for Business’ın kendine özgü bir zayıflığını istismar eden Shadow Credentials tekniğini ele alıyoruz. İroni şu ki, kuruluşları şifre tabanlı saldırılara karşı daha güvenli hale getirmesi beklenen bir özellik, doğru yapılandırılmadığında yeni […]
Merhaba Önceki iki bölümde trust bypass ve SID History enjeksiyonuyla domain ve forest sınırlarını nasıl aşabileceğimizi gördük. Bu bölümde çok daha doğrudan bir teknik var: bir Domain Controller’ın kimlik doğrulama sürecinin kendisini ele geçirmek. Skeleton Key, saldırganların domain’deki her kullanıcı nesnesi için geçerli olan tek bir evrensel şifre enjekte etmesini sağlıyor gerçek şifreler etkilenmeden. Skeleton […]
Merhaba Önceki bölümde tek yönlü bir domain trust’ın nasıl bypass edilebileceğini, TDO (Trusted Domain Object)’nun trust anahtarı çıkarılarak yönü tersine çevirebileceğimizi gördük. Bu bölümde, aynı iki forest lab ortamımızı kullanarak, kalıcılık (persistence) ve gizlenme amaçlı çok daha sinsi bir teknik olan SID History istismarını inceliyoruz hem tek bir domain içinde hem de domain’ler arası hopping senaryosunda. […]
Merhaba Önceki bölümde Microsoft Entra Connect’in ele geçirilmesini, yani hibrit kimlik mimarisindeki kurum içi/bulut köprüsünün nasıl istismar edildiğini inceledik. Bu bölümde saf kurum içi tarafa dönüyoruz ve domain’ler arasındaki güven (trust) ilişkilerinin özellikle tek yönlü (one-way) trust’ların nasıl aşılabileceğini ele alıyoruz. Bu teknik önemlidir çünkü sık karşılaşılan bir yanlış varsayımı çürütür: domain sınırları bir güvenlik […]
Merhaba Önceki bölümde federasyon senaryosunda (AD FS) token imzalama sertifikasının ele geçirilmesini inceledik. Bu bölümde hibrit kimlik mimarisinin bir başka kritik bileşenine Microsoft Entra Connect’e (eski adıyla Azure AD Connect) odaklanıyoruz. Birçok organizasyon federasyon yerine, ya da federasyonla birlikte, kurum içi Active Directory kimliklerini buluta senkronize etmek için bu aracı kullanır. Bu araç, doğası gereği […]
Merhaba Bu bölüme kadar incelediğimiz tüm teknikler Golden Ticket, Silver Ticket, DCSync Kerberos protokolü etrafında dönüyordu ve sonuçta hepsi klasik bir Active Directory ortamının sınırları içinde kalıyordu. Ancak günümüzün kurumsal ortamlarında kimlik doğrulama artık tek başına Kerberos’a dayanmıyor; birçok organizasyon, bulut hizmetlerine (Microsoft 365, Azure, üçüncü parti SaaS uygulamaları) erişimi federasyon protokolleri üzerinden sağlıyor. Bu […]
Merhaba Önceki bölümde Golden Ticket’ı yani krbtgt hesabının hash’i ele geçirildiğinde domain genelinde sınırsız bir kimlik sahteciliğinin nasıl mümkün olduğunu inceledik. Bu bölümde, aynı mantığın daha dar kapsamlı ama çok daha sessiz bir kuzenini ele alıyoruz: Silver Ticket. Bu teknik, saldırganın yalnızca tek bir hizmet hesabının hash’ini ele geçirmesi durumunda, o hizmete özgü sahte servis […]
Merhaba Son iki bölümde, saldırganın domaindeki hesapların parola hash’lerine iki farklı yoldan (DCSync ve ntds.dit‘in dökülmesi) nasıl ulaşabildiğini gördük. Bu bölümde, bu hash’lerden en kritik olanının krbtgt hesabının hash’inin ele geçirilmesi durumunda ne olduğunu inceliyoruz: Golden Ticket. Bu teknik, Kerberos kimlik doğrulamasının temelini oluşturan güven zincirini doğrudan hedef alır ve saldırgana domain üzerinde, neredeyse hiçbir […]
Merhaba Önceki bölümde DCSync tekniğini, yani domain controller’ın replikasyon protokolünü ağ üzerinden istismar etmeyi ele almıştık. Bu bölümde ise aynı hedefe domaindeki tüm hesapların parola hash’lerine ulaşmaya tamamen farklı bir yoldan varan bir teknik inceliyoruz: doğrudan domain controller’ın disk üzerindeki veritabanı dosyasını, ntds.dit‘i çalmak. DCSync “sessiz ve ağ tabanlı” bir yaklaşımken, bu teknik “gürültülü ama […]
Merhaba Önceki iki bölümde AD CS’e yönelik teknikleri ele aldık. Bu bölümde ise, domain controller’ların birbirleriyle konuşurken kullandığı meşru bir replikasyon protokolünün, bir saldırgan tarafından nasıl silah haline getirilebildiğini inceliyoruz: DCSync. Bu teknik, hiçbir dosyaya dokunmadan, hiçbir exploit kullanmadan, sadece Active Directory’nin kendi replikasyon mekanizmasını normal şekilde kullanarak domain’deki her hesabın parola hash’ini çekebilmeyi sağlıyor. […]
Merhaba Bir önceki bölümde, bir sertifika şablonunun yanlış yapılandırılmasının (ESC1) nasıl domain admin ayrıcalığına sıçramaya yol açtığını gördük. Bu bölümde ise, AD CS’e yönelik tekniklerin en kritiği olan ve şablon yapılandırmasından tamamen bağımsız çalışan bir senaryoyu ele alıyoruz: saldırganın Certificate Authority’nin kendi özel anahtarını ele geçirdiği Golden Certificate tekniği. ESC1’de saldırgan CA’yı “kandırır”; Golden Certificate’te […]
Merhaba Serinin önceki bölümlerinde SYSVOL’de unutulmuş bir parola kalıntısını ele almıştık. Bu bölümde ise, çok daha modern ve giderek daha kritik hale gelen bir saldırı yüzeyine geçiyoruz: Active Directory Certificate Services (AD CS). Sertifikalar artık yalnızca web sunucularını güvenceye almak için değil, kullanıcıları ve bilgisayarları parola olmadan kimlik doğrulamasında (certificate-based authentication, PKINIT) kullanmak için de […]
Merhaba Serinin önceki bölümünde, tek bir sistemin ele geçirilmesinin nasıl domain çapında bir felakete dönüşebileceğini gördük. Bu bölümde ise, teknik olarak çok daha eski ama hala birçok kurumsal ortamda karşımıza çıkan, SYSVOL üzerinde unutulmuş bir yapılandırma kalıntısını istismar eden bir tekniği ele alıyoruz: Group Policy Preferences (GPP) içinde saklanan parolaların ele geçirilmesi. Password in Group […]
Merhaba Serinin önceki bölümünde, varsayılan bir Active Directory ayarının nasıl istismar edilebildiğini gördük. Bu bölümde ise, çoğu zaman geriye dönük uyumluluk ya da eski uygulama gereksinimleri yüzünden hala ortamlarda varlığını sürdüren, oldukça güçlü ve tehlikeli bir yapılandırma hatasını ele alıyoruz: Unconstrained Delegation. Unconstrained Delegation Kerberos delegation, bir servisin, kendisine kimlik doğrulaması yapan bir kullanıcı adına […]
Merhaba Serinin önceki üç bölümünde Kerberoasting, AS-REP Roasting ve Password Spraying’i ele aldık; bunların hepsi kullanıcı objelerini hedef alıyordu. Bu bölümde, Active Directory’nin varsayılan bir ayarını istismar ederek yetkisiz bir kullanıcının kendi bilgisayar objesini yaratmasına izin veren MachineAccountQuota tekniğine geçiyoruz. MachineAccountQuota Compromise MachineAccountQuota compromise, kullanıcı objelerinin ms-DS-MachineAccountQuota özniteliği aracılığıyla domain’de en fazla on bilgisayar objesi […]
Merhaba Serinin ilk iki bölümünde Kerberoasting ve AS-REP Roasting’i ele aldık; ikisi de Kerberos protokolünün meşru işlevselliğini istismar eden tekniklerdi. Bu bölümde biraz farklı bir yaklaşıma, doğrudan kimlik doğrulama denemesi yapan Password Spraying tekniğine geçiyoruz. Password Spraying Password Spraying, tek bir parola veya birden fazla parolayı, başarılı bir kimlik doğrulama gerçekleşene kadar birden fazla kullanıcı […]
Merhaba Serinin ilk bölümünde Kerberoasting’i ele almış, SPN (Service Principal Name) ile yapılandırılmış kullanıcı objelerinin nasıl hedef alındığını ve Event ID 4769 üzerinden nasıl tespit edilebileceğini kendi Windows Server 2025 lab ortamımdan örneklerle göstermiştim. Bu bölümde, rapordaki sıralamayı takip ederek benzer mantıkla çalışan ama farklı bir zafiyeti istismar eden AS-REP Roasting tekniğine geçiyorum. AS-REP Roasting […]
