Active Directory Ortamlarında Krbtgt Hesabı Parolası Neden ve Nasıl Değiştirilir? (Golden Ticket Koruması)

Active Directory Ağlarında Nihai Saldırı: Golden Ticket

Kurumsal şirketlerin Active Directory etki alanı (Domain) altyapılarında meydana gelen en yıkıcı güvenlik ihlali, saldırganların etki alanı denetleyicisini (Domain Controller) ele geçirerek Golden Ticket (Altın Bilet) üretmesidir. Golden Ticket saldırısında siber saldırgan, etki alanındaki tüm kullanıcıların şifresi değişse, sunucular formatlansa dahi sistemde süresiz ve sınırsız ‘Domain Admin’ yetkisiyle dolaşabilir. Bu saldırının temel dayanağı, Kerberos kimlik doğrulama biletlerini imzalayan ve şifreleyen gizli KRBTGT servis hesabının NTLM hash değerinin çalınmış olmasıdır. Bir siber olay müdahalesinde (DFIR) bu hesap şifresi sıfırlanmadıkça sistem saldırgandan asla temizlenemez.

KRBTGT Hesabı Nedir ve Neden Standart Şekilde Değiştirilemez?

KRBTgt, Active Directory kurulduğu anda sistem tarafından otomatik oluşturulan yerleşik bir hesaptır. Görevi, kullanıcılara verilen TGT (Ticket Granting Ticket) biletlerini mühürlemektir:

• Bu hesabın şifresi manuel olarak tek bir tıkla değiştirilirse, etki alanındaki binlerce bilgisayarın ve kullanıcının elindeki mevcut oturum biletleri anında geçersiz kalır ve şirketteki tüm ağ bağlantıları aynı anda kopar.
• Active Directory geriye dönük iki adet parola geçmişini (Current Password ve Previous Password) saklar. Saldırganın elindeki hash’i geçersiz kılmak için bu şifrenin iki kez ardışık değiştirilmesi şarttır.

1. Adım: Replikasyon Süresinin Beklenmesi Kuralı

Ağda birden fazla Domain Controller (DC) sunucusu varsa, şifre bir kez değiştirildikten sonra tüm şubelerdeki DC’lerin bu değişikliği eşitlemesi (Replication) beklenmelidir. İkinci değişim hemen yapılırsa, henüz eşitlenmemiş şubelerdeki kullanıcılar kilitlenir.

2. Adım: Microsoft Resmi PowerShell Scripti (Reset-KrbTgt-Password) ile Değişim

Parola değişimi elle yapılmamalı; Microsoft’un bu operasyon için özel geliştirdiği Reset-KrbTgt-Password.ps1 scripti kullanılmalıdır:

# PowerShell yönetici olarak açılır
Import-Module .Reset-KrbTgt-Password.ps1

# 1. Aşama: Simülasyon Testi (Sistemi bozmadan olası hataları raporlar)
Reset-KrbTgt-Password -Mode Mode_Simulate

# 2. Aşama: 1. Gerçek Parola Değişimi
Reset-KrbTgt-Password -Mode Mode_Single -Force

# En az 10 saat (veya tüm DC'lerin replike olduğu teyit edilene kadar) BEKLENİR!

# 3. Aşama: 2. Gerçek Parola Değişimi (Eski şifre geçmişten tamamen silinir)
Reset-KrbTgt-Password -Mode Mode_Single -Force

3. Adım: Golden Ticket Saldırısının Tamamen İptal Edilmesi

Şifre iki kez başarıyla değiştirildikten sonra, saldırganın elinde tuttuğu eski KRBTGT NTLM hash değeri matematiksel olarak geçersiz kalır. Saldırganın ürettiği tüm sahte biletler Kerberos KDC servisi tarafından doğrudan reddedilir ve etki alanı korsanların kontrolünden kalıcı olarak kurtarılır.

Kurumsal Active Directory güvenlik denetimi, siber olay müdahale süreçleri ve KRBTGT parola döngüsü operasyonları için profesyonel bilişim danışmanlığı alınmalıdır.