İşte tüm Active Directory, Group Policy ve Windows Security yöneticilerine yönelik hazırladığımız "Holiday Administrator Challenge"!

1. Parola Politikanız Gerçekten Sandığınız Gibi mi?

Çoğu yönetici, Default Domain Policy üzerindeki parola ayarlarına bakar ve "Tamam, herkes 12 karakter kullanıyor" der. Ancak büyük bir yanılgı var: Fine-Grained Password Policies (FGPP).

• Neden Önemli? Eğer birisi geçmişte belirli bir grup için (örneğin yöneticiler veya stajyerler) özel bir parola politikası oluşturduysa, bu politika Default Domain Policy'yi ezer.

• Ne Yapmalı? AD Administrative Center üzerinden "Password Settings Container"ı kontrol edin. Tüm kullanıcılarınızın gerçekten hedeflediğiniz karmaşıklık ve uzunluk standartlarına tabi olduğundan emin olun.

2. Auditing (Denetleme): Kör Noktalarınızı Kontrol Edin

Domain Controller (DC) günlükleriniz size her şeyi anlatıyor mu, yoksa sadece gürültü mü yapıyor?

• Büyük Hata: Geleneksel Auditing ile Advanced Audit Policy Configuration (Gelişmiş Denetim İlkesi Yapılandırması) bir arada kullanılamaz. Eğer ikisini de etkinleştirirseniz, gelişmiş politikalar öncelik kazanır ancak RSOP (Resultant Set of Policy) raporlarında yanlış sonuçlar görebilirsiniz.

• İpucu: Sisteminizde "Audit: Force audit policy subcategory settings" ayarının etkin olduğundan emin olun ve denetlemelerinizi alt kategoriler bazında (Logon/Logoff, Object Access vb.) optimize edin.

3. Güvenlik Araçlarınız "Mış Gibi" mi Yapıyor?

En pahalı SIEM veya AD izleme aracına sahip olmanız, güvende olduğunuz anlamına gelmez.

• Gerçeklik Kontrolü: Aracınız en son ne zaman veri topladı? Replikasyon akışında bir kopukluk var mı? Event log'lar düzgün bir şekilde merkeze akıyor mu?

• Kontrol Listesi: Araçlarınızın son başarılı tarama tarihini (Last Scan/Sync) kontrol edin. Eğer veriler 24 saatten eskiyse, kör uçuşu yapıyor olabilirsiniz.

4. "Administrator" Hesabını Bir Hedefe Dönüştürün (Honeypot)

Yerleşik (built-in) Administrator hesabı, saldırganların ilk hedefidir. Onu kullanmayı bırakın ve bir tuzağa dönüştürün.

• Strateji: Bu hesabın parolasını çok karmaşık bir değerle değiştirin ve asla kullanmayın. Ardından, bu hesaba bir Honeypot (Bal küpü) muamelesi yapın: Eğer bu hesapla bir giriş girişimi olursa, anında telefonunuza alarm düşecek bir sistem kurun.

• Unutmayın: Günlük işleriniz için "Named Account" (isimlendirilmiş hesap) kullanın ve bu hesapların yetkilerini kısıtlayın.

5. Kritik Grupları Boşaltın: Schema & Enterprise Admins

Bu gruplar "İsviçre Çakısı" gibidir, ancak sadece bir şeyler bozulduğunda veya yükseltme yapıldığında (Exchange Schema Update vb.) lazımdır.

• Altın Kural: Schema Admins ve Enterprise Admins grupları normal zamanlarda BOŞ olmalıdır.

• Aksiyon Planı: Bu gruplara birisi eklendiğinde size anlık e-posta veya SMS bildirimi gönderecek bir "Alert" mekanizması kurun. Yetki gerektiğinde kullanıcıyı ekleyin, işi bitince çıkartın.

# Mevcut tüm Fine-Grained Password politikalarını görüntüle
Get-ADFineGrainedPasswordPolicy -Filter * | Select-Object Name, Precedence, ComplexityEnabled, PasswordHistoryCount, MinPasswordLength

# DC üzerinde hangi audit alt kategorilerinin açık olduğunu kontrol et
auditpol /get /category:*

$Groups = @("Schema Admins", "Enterprise Admins")
foreach ($Group in $Groups) {
    $Members = Get-ADGroupMember -Identity $Group
    if ($Members) {
        Write-Host "[UYARI] $Group grubu boş değil!" -ForegroundColor Red
        $Members | Select-Object Name, SamAccountName
    } else {
        Write-Host "[TAMAM] $Group grubu temiz." -ForegroundColor Green
    }
}

# Belirli bir OU üzerinde 'Full Control' yetkisi olan kullanıcıları listele
(Get-Acl "AD:OU=Finance,DC=domain,DC=com").Access | Where-Object { $_.ActiveDirectoryRights -like "*GenericAll*" }

Bu 5 maddeyi tamamlamak sadece birkaç saatinizi alabilir, ancak sizi aylar sürecek bir siber saldırı felaketinden kurtarabilir. Unutmayın, en büyük güvenlik açığı genellikle karmaşık yazılımlarda değil, yanlış yapılandırılmış basit ayarlardadır.