Hızlı cevap: LLMNR ve NBT-NS zehirlenmesi, Windows ağlarında yerel ad çözümlemesindeki bir zayıflığı kullanan iç ağ saldırısıdır. Kurban bir isim çözemediğinde ağa yayın yapar, saldırgan bu yayına sahte yanıt vererek kimlik doğrulama bilgisini (NTLM hash) yakalar. Bu hash ya kırılır ya da NTLM relay ile başka bir sisteme aktarılarak erişim elde edilir. Korunmanın temeli LLMNR ve NBT-NS'yi kapatmak ve SMB imzalamayı zorunlu kılmaktır.

Saldırı nasıl çalışır?

Bir Windows bilgisayar bir isim çözemediğinde (örneğin yanlış yazılmış bir sunucu adı), önce DNS'e sorar, başarısız olursa LLMNR ve NBT-NS ile tüm yerel ağa "bu ismi kim biliyor" diye yayın yapar. Sorun şudur: bu yayına herkes yanıt verebilir.

Saldırgan ağdaki bu yayınları dinler ve "o sunucu benim" diyerek sahte yanıt verir. Kurban, saldırgana güvenir ve ona kimlik doğrulama denemesi gönderir. Bu deneme içinde kullanıcının NTLM hash'i vardır. Saldırgan artık bu hash'i ele geçirmiştir.

Yakalanan hash ile ne yapılır?

Yöntem Açıklama
Hash kırma Yakalanan NTLM hash offline olarak parolaya çözülmeye çalışılır
NTLM relay Hash kırılmadan, başka bir sisteme aktarılarak o sistemde oturum açılır
Yanal hareket Elde edilen erişimle ağda diğer sistemlere geçiş

NTLM relay özellikle tehlikelidir çünkü parolayı kırmaya bile gerek kalmaz. Yakalanan kimlik doğrulama, SMB imzalama zorunlu olmayan bir sisteme doğrudan aktarılır ve orada oturum açılır.

Neden bu kadar yaygın ve etkili?

Bu saldırı, iç ağ sızma testlerinde en sık kullanılan ve en hızlı sonuç veren tekniklerden biridir. Nedeni, LLMNR ve NBT-NS'nin birçok Windows ağında varsayılan olarak açık olması ve kimsenin fark etmemesidir. Saldırgan yalnızca ağı dinleyip beklemekle, tek bir yanlış yazılmış sunucu adından yararlanarak kimlik bilgisi toplayabilir.

Korunma

  1. LLMNR'yi grup ilkesiyle (Group Policy) devre dışı bırakın.
  2. NBT-NS'yi (NetBIOS over TCP/IP) kapatın.
  3. SMB imzalamayı tüm sistemlerde zorunlu kılın, bu NTLM relay'i büyük ölçüde durdurur.
  4. Mümkün olan yerde NTLM yerine Kerberos kullanın ve NTLM'i kısıtlayın.
  5. Güçlü parola politikasıyla yakalanan hash'in kırılmasını zorlaştırın.
  6. İç ağda olağandışı yayın yanıtlarını ve kimlik doğrulama desenlerini izleyin.

KAOS ve DSET yaklaşımı

DSET, iç ağ ve Active Directory sızma testlerinde LLMNR/NBT-NS zehirlenmesi ve NTLM relay yollarını yetkili biçimde test eder ve kanıta bağlar. Sahada en sık gördüğümüz durum, bu iki protokolün varsayılan açık olması ve SMB imzalamanın zorunlu olmamasıdır, bu ikisi bir arada ağın hızlıca ele geçirilmesine yol açar. Geliştirdiğimiz KAOS güvenlik motoru, bu zayıflıkları ve elde edilen erişimin etkisini raporlar. Amacımız korku değil, kimlik bilgisine giden gerçek yolu ve kapatma önceliğini göstermektir.

Bağlantılı okumalar: Active Directory saldırı teknikleri BloodHound, yetki yükseltme ve yanal hareket, Active Directory iç ağ sızma testi Kerberoasting, parola kırma Hashcat John, sızan parolalar ve credential stuffing, MITRE ATT&CK çerçevesi.

Sık sorulan sorular

LLMNR ve NBT-NS'yi kapatmak bir şeyi bozar mı? Çoğu modern ağda LLMNR ve NBT-NS kapatılabilir, çünkü ad çözümleme zaten DNS ile yapılır. Kapatmadan önce, eski uygulamaların ya da yanlış yapılandırılmış sistemlerin bu protokollere bağımlı olup olmadığı test ortamında kontrol edilmelidir. Genelde doğru yapılandırılmış bir DNS ile kapatmak sorunsuzdur ve önemli bir güvenlik kazancı sağlar.

NTLM relay'i ne durdurur? En etkili önlem SMB imzalamayı tüm sistemlerde zorunlu kılmaktır. SMB imzalama zorunlu olduğunda, yakalanan kimlik doğrulama başka bir sisteme aktarılıp orada geçerli kullanılamaz. Buna ek olarak NTLM kullanımını kısıtlamak ve mümkün olan yerde Kerberos'a geçmek relay saldırılarını büyük ölçüde etkisiz kılar.

Bu saldırı için güçlü parola yeterli mi? Güçlü parola, yakalanan hash'in offline kırılmasını zorlaştırır ve önemlidir. Ancak NTLM relay saldırısında parola hiç kırılmaz, kimlik doğrulama doğrudan aktarılır. Bu yüzden güçlü parola tek başına yeterli değildir, LLMNR/NBT-NS'yi kapatmak ve SMB imzalamayı zorunlu kılmak da gerekir.

Kaynaklar

İç ağ ve Active Directory sızma testi için Ankara Hacettepe Teknokent'teki ekibimizle görüşebilirsiniz. DSET ile iletişime geçin.