Hızlı cevap: Windows Server sıkılaştırma, sunucunun varsayılan yapılandırmasını güvenli bir taban çizgisine getirmektir. Microsoft Güvenlik Taban Çizgileri (Security Baselines) ve CIS Benchmark bu işin ortak referanslarıdır. Grup İlkesi (Group Policy) ile uygulanan bu ayarlar; gereksiz rolleri kaldırmayı, yerel yönetici erişimini sınırlamayı, SMB ve NTLM gibi eski protokolleri güvenli yapılandırmayı, denetim günlüğünü açmayı ve uzak masaüstünü korumayı kapsar. Amaç, sunucuyu Active Directory ortamındaki en zayıf halka olmaktan çıkarmaktır.

Windows Server neden ayrı bir sıkılaştırma gerektirir?

Windows sunucular çoğu zaman bir Active Directory ortamının parçasıdır ve bu, saldırı yüzeyini genişletir. Bir sunucu ele geçirilirse, saldırgan kimlik bilgisi toplayıp yanal hareketle tüm ortama yayılabilir. Bu yüzden Windows sıkılaştırma, yalnızca tek sunucuyu değil, kimlik ve ağ bağlamını da düşünmelidir.

Ayrıca Windows, geriye dönük uyumluluk için SMBv1, NTLM ve eski şifreleme gibi riskli bileşenleri varsayılan olarak taşıyabilir. Sıkılaştırmanın büyük kısmı, bu eski ve riskli bileşenleri kapatmak ya da güvenli yapılandırmaktır.

Sertleştirme alanları

Alan Örnek önlem
Roller ve özellikler Kullanılmayan sunucu rollerini kaldırma
Yerel yönetici Yönetici erişimini sınırlama, LAPS ile parola yönetimi
Eski protokoller SMBv1 kapatma, SMB imzalama, NTLM kısıtlama
Uzak masaüstü (RDP) NLA zorunlu, erişimi sınırlı, doğrudan internete kapalı
Denetim günlüğü Olay günlüğü ve ileri denetim ilkeleri
Güncelleme WSUS ya da yönetilen yama ile düzenli güncelleme
Grup İlkesi Güvenlik taban çizgisini merkezi uygulama

En sık atlanan noktalar

  • SMBv1'in hâlâ açık olması, eski ve ciddi bir risk.
  • Yerel yönetici parolasının tüm sunucularda aynı olması (LAPS kullanılmaması).
  • Uzak masaüstünün doğrudan internete açık ve NLA'sız olması.
  • NTLM'in kısıtlanmaması, kimlik bilgisi relay saldırılarına açık bırakması.
  • Güvenlik taban çizgisinin Grup İlkesiyle uygulanmaması.

KAOS ve DSET yaklaşımı

DSET, Windows sunucu ve Active Directory ortamlarının güvenlik denetimini Microsoft Güvenlik Taban Çizgileri ve CIS Benchmark referansıyla yürütür. Geliştirdiğimiz KAOS güvenlik motoru, iç ağ testlerinde zayıf SMB ve NTLM yapılandırmalarını, açıkta kalan uzak masaüstünü ve kimlik bilgisi toplama yollarını kanıta dayalı değerlendirir. Amacımız bir sunucunun ortamdaki en zayıf halka olup olmadığını ve saldırganın yanal hareket yolunu göstermektir.

Bağlantılı okumalar: Active Directory saldırı teknikleri, LLMNR NBT-NS zehirlenmesi ve NTLM relay, Linux sunucu sıkılaştırma CIS, bastion host ve güvenli uzaktan erişim, yama yönetimi, ağ segmentasyonu ve mikrosegmentasyon.

Sık sorulan sorular

Microsoft Güvenlik Taban Çizgisi nedir? Microsoft Security Baselines, Microsoft'un önerdiği güvenli Grup İlkesi ayarlarının hazır paketleridir. Bir Windows Server'ı güvenli bir taban çizgisine getirmek için yüzlerce ayarı tek tek yapmak yerine, bu hazır baz çizgileri uygulanabilir ve kurumun ihtiyacına göre uyarlanabilir. CIS Benchmark ile birlikte en yaygın referanslardır.

SMBv1 neden kapatılmalı? SMBv1 eski ve ciddi açıkları olan bir protokoldür; geçmişte büyük çaplı fidye yazılımı salgınları bu protokol üzerinden yayıldı. Modern Windows ortamlarında işlevsel bir gereksinimi kalmamıştır ve kapatılması güçlü bir güvenlik kazancıdır. Kapatmadan önce eski cihaz bağımlılığı test ortamında kontrol edilmelidir.

LAPS nedir ve neden önemli? LAPS (Local Administrator Password Solution), her Windows makinenin yerel yönetici parolasını otomatik olarak benzersiz ve rastgele yapar. Böylece bir makinenin yerel yönetici parolası ele geçirilse bile, aynı parola diğer makinelerde çalışmaz. Bu, yanal hareketi ciddi biçimde zorlaştıran temel bir önlemdir.

Kaynaklar

Windows sunucu ve Active Directory ortamınızın güvenlik denetimi için Ankara Hacettepe Teknokent'teki ekibimizle görüşebilirsiniz. DSET ile iletişime geçin.