DCSYNCMonitor, Active Directory (AD) ortam\u0131nda Domain Controller'lar (DC) aras\u0131ndaki replikasyon i\u015flemlerini izlemek ve potansiyel DCSYNC sald\u0131r\u0131lar\u0131n\u0131 tespit etmek için kullan\u0131lan bir güvenlik arac\u0131d\u0131r. DCSYNC sald\u0131r\u0131lar\u0131, özellikle sald\u0131rganlar\u0131n Domain Controller gibi davranarak kullan\u0131c\u0131 bilgilerini çalmas\u0131 veya hash de\u011ferlerini elde etmesi gibi kritik güvenlik tehditlerine yol açabilir. DCSYNCMonitor, bu tür sald\u0131r\u0131lar\u0131 tespit etmek ve önlemek için etkili bir çözüm sunar.<\/p>\r\n
DCSYNC sald\u0131r\u0131s\u0131, bir sald\u0131rgan\u0131n Domain Controller gibi davranarak AD ortam\u0131ndaki kullan\u0131c\u0131 hesaplar\u0131n\u0131n bilgilerini (örne\u011fin, parola hash'leri) senkronize etmeye çal\u0131\u015ft\u0131\u011f\u0131 bir sald\u0131r\u0131 türüdür. Bu sald\u0131r\u0131 özellikle \u015fu durumlarda kritiktir:<\/p>\r\n
Kullan\u0131c\u0131 Bilgilerinin Çal\u0131nmas\u0131: <\/p>\r\n
Sald\u0131rganlar, kullan\u0131c\u0131 hesaplar\u0131n\u0131n parola hash'lerini elde edebilir. <\/p>\r\n
Domain Admin Hesaplar\u0131n\u0131n Ele Geçirilmesi:<\/p>\r\n
Sald\u0131rganlar, Domain Admin hesaplar\u0131n\u0131n bilgilerini senkronize ederek tüm AD ortam\u0131n\u0131 ele geçirebilir.
Replikasyon \u0130stismar\u0131: Sald\u0131rganlar, DC'ler aras\u0131ndaki replikasyon i\u015flemlerini istismar edebilir. <\/p>\r\n
Sald\u0131rganlar bir Windows uç noktas\u0131n\u0131 tehlikeye att\u0131ktan sonra, karma veya düz metin parolas\u0131 biçiminde depolanan kimlik bilgilerini bulabilirler. Güvenli\u011fi ihlal edilmi\u015f bir Windows uç noktas\u0131ndan kimlik bilgilerini dökmek için çe\u015fitli teknikler mevcuttur. Örne\u011fin:<\/p>\r\n
LSASS Belle\u011fi'nden,
SAM veritaban\u0131ndan,
Önbelle\u011fe Al\u0131nm\u0131\u015f Etki Alan\u0131 Kimlik Bilgileri'nden,
Ço\u011faltma Dizini izinlerini kötüye kullanarak kimlik bilgilerini elde etme. <\/p>\r\n
Elde edilen bu kimlik bilgileri, yanal hareket gerçekle\u015ftirmek ve daha yüksek düzeyde eri\u015fim elde etmek için kullan\u0131labilir.<\/p>\r\n
\"Dizin De\u011fi\u015fikliklerini Ço\u011faltma\" izinlerine sahip Active Directory (AD) hesaplar\u0131, sald\u0131rganlar\u0131n DCSync sald\u0131r\u0131s\u0131n\u0131 kullanarak kimlik bilgilerini almas\u0131na olanak tan\u0131r. Aç\u0131kça verilen izinlere sahip bu hesaplar, kurulu\u015fun tüm AD etki alan\u0131 için ciddi bir risk olu\u015fturabilir. <\/p>\r\n
Sald\u0131rganlar, AD etki alan\u0131ndaki herhangi bir kayna\u011fa s\u0131n\u0131rs\u0131z eri\u015fim elde etmek için Alt\u0131n Bilet (Golden Ticket) ve Pass the Ticket (PTT) gibi ba\u015fka sald\u0131r\u0131lar ba\u015flatabilir. <\/p>\r\n
1. \"Dizin De\u011fi\u015fikliklerini Ço\u011faltma\" iznine sahip bir kullan\u0131c\u0131 hesab\u0131n\u0131n güvenli\u011fini ihlal edin.
2. Belirtilen etki alan\u0131 ad\u0131nda bir DC bulun.
3. DC'den Microsoft Dizin Ço\u011faltma Hizmeti Uzak (MSDRSR) protokolünü kullanarak parola karmalar\u0131 gibi hassas bilgileri ço\u011faltmas\u0131n\u0131 isteyin.
4. KRBTGT ve Yöneticiler gibi hesaplar\u0131n NTLM karmalar\u0131n\u0131 edinin.
5. Bir Alt\u0131n Bilet olu\u015fturun ve yanal hareket için Pass the Ticket (PTT) sald\u0131r\u0131lar\u0131n\u0131 çal\u0131\u015ft\u0131r\u0131n. <\/p>\r\n
Mimikatz ile DCSync Örne\u011fi:<\/p>\r\n
```powershell
lsadump::dcsync \/user:dc\\krbtgt
lsadump::dcsync \/user:dc01\\Administrator
```
Bu komutlar, geçerli NTLM karmalar\u0131n\u0131n yan\u0131 s\u0131ra parola geçmi\u015fini de gösterir. Sald\u0131rganlar, toplanan karmalar\u0131 kullanarak bir Alt\u0131n Bilet olu\u015fturup tüm AD etki alan\u0131na s\u0131n\u0131rs\u0131z eri\u015fim sa\u011flayabilir.<\/p>\r\n
Tespit Stratejileri:
AD için Kimlik De\u011ferlendirme Araçlar\u0131 kullanarak \"Dizin De\u011fi\u015fikliklerini Ço\u011falt\" izinleriyle ayarlanm\u0131\u015f ola\u011fand\u0131\u015f\u0131 hesaplar\u0131 alg\u0131lay\u0131n.
Singularity Identity gibi çözümlerle sahte AD nesneleri olu\u015fturarak sald\u0131rganlar\u0131 tuzaklara yönlendirin. <\/p>\r\n
Azaltma Stratejileri:
\"Dizin De\u011fi\u015fikliklerini Ço\u011faltma\" izinlerini yönetin.
Ço\u011faltma izni olan \u015füpheli hesaplar\u0131 kald\u0131r\u0131n veya eri\u015fimi reddedin.
Administrators ve Domain Controller gruplar\u0131n\u0131n üyelerini düzenli olarak kontrol edin. <\/p>\r\n
1. GitHub'dan \u0130ndirme
```powershell
git clone https:\/\/github.com\/shellster\/DCSYNCMonitor
```<\/p>\r\n
2. PowerShell ile Çal\u0131\u015ft\u0131rma
```powershell
ImportModule .\\DCSYNCMonitor.ps1
```<\/p>\r\n
```powershell
StartDCSYNCMonitor
```<\/p>\r\n
```powershell
StartDCSYNCMonitor LogPath \"C:\\Logs\\dcsync.log\" Verbose
```<\/p>\r\n
```powershell
StartDCSYNCMonitor EmailAlert SmtpServer \"smtp.domain.com\" FromAddress \"alert@domain.com\" ToAddress \"admin@domain.com\"
```<\/p>\r\n
DCSYNCMonitor \u015fu parametreleri izler:
SyncType: DCSYNC i\u015fleminin türü.
SourceComputer: \u0130ste\u011fi yapan bilgisayar.
TargetComputer: Hedef Domain Controller.
User: \u0130\u015flemi yapan kullan\u0131c\u0131.
Time: \u0130\u015flem zaman\u0131. <\/p>\r\n
1. Sadece DC'lerin DCSYNC yapmas\u0131na izin verin.
2. \u015eüpheli DCSYNC isteklerini hemen inceleyin.
3. Domain Admin hesaplar\u0131na özel dikkat gösterin.
4. Alert'leri 7\/24 izleyin.
5. Periyodik raporlama yap\u0131n. <\/p>\r\n
1. Son 24 Saatteki DCSYNC Olaylar\u0131n\u0131 Getirme
```powershell
GetDCSYNCEvents LastHours 24
```<\/p>\r\n
2. Belirli Bir Kullan\u0131c\u0131n\u0131n DCSYNC Aktivitesini Kontrol Etme
```powershell
GetDCSYNCEvents Username \"suspicious.user\"
```<\/p>\r\n
Event ID'ler
DCSYNCMonitor \u015fu Event ID'leri izler:
4662: Directory Service Access.
4624: Account Logon.
4768: Kerberos Authentication.
4769: Kerberos Service Ticket. <\/p>\r\n
Alert Örne\u011fi
```powershell
$criticalAccounts = @(\"Administrator\", \"DomainAdmin\")
StartDCSYNCMonitor CriticalAccounts $criticalAccounts AlertThreshold 1
```<\/p>\r\n
\u0130yi Uygulamalar
1. Regular DC'lerinizi whitelist'e al\u0131n.
2. \u015eüpheli IP'leri hemen inceleyin.
3. Mesai saatleri d\u0131\u015f\u0131ndaki DCSYNC'lere ekstra dikkat edin.
4. Periyodik güvenlik gözden geçirmesi yap\u0131n.
5. DCSYNC yetkisi olan hesaplar\u0131 s\u0131k\u0131 kontrol edin. <\/p>\r\n
DCSYNCMonitor Kullan\u0131rken Dikkat Edilmesi Gerekenler
1. Sistem kaynaklar\u0131n\u0131 etkin kullan\u0131n.
2. Log rotasyonu yap\u0131n.
3. False positive'leri azalt\u0131n.
4. Backup DC'leri whitelist'e al\u0131n. <\/p>\r\n
DCSYNCMonitor, Active Directory ortam\u0131n\u0131zda DCSYNC sald\u0131r\u0131lar\u0131n\u0131 tespit etmek ve önlemek için güçlü bir araçt\u0131r. Bu arac\u0131 kullanarak AD güvenli\u011finizi art\u0131rabilir ve sald\u0131rganlar\u0131n kritik bilgilere eri\u015fmesini engelleyebilirsiniz. <\/p>\r\n
Ço\u011faltma, DC'ler aras\u0131ndaki bilgilerin güncel kalmas\u0131 için kritik bir i\u015flevdir, ancak bu izinlerin kötüye kullan\u0131lmas\u0131n\u0131 önlemek için sürekli izleme ve düzeltici eylemler gereklidir. <\/p>\r\n
Kurulu\u015flar, AD koruma çözümlerini da\u011f\u0131tarak ve yetkisiz hesaplar\u0131n güvenlik aç\u0131klar\u0131n\u0131 düzelterek bu riski en aza indirebilir. <\/p>\r\n
<\/p>\r\n
#ActiveDirectory #DCSync #CyberSecurity #SIEM #PenetrationTesting<\/p>","excerpt":"DCSYNCMonitor, Active Directory ortam\u0131nda DC'ler (Domain Controller) aras\u0131ndaki replikasyon i\u015flemlerini izlemek ve potansiyel tehlikeli DCSYNC sald\u0131r\u0131lar\u0131n\u0131 tespit etmek i\u00e7in kullan\u0131lan bir g\u00fcvenlik arac\u0131d\u0131r.","created_at":"2025-02-06 17:46:55","updated_at":"2026-09-06 15:35:39","category_id":7,"view_count":756,"reading_time":6,"status":"published","editor_choice":0,"is_editor_choice":0,"published_at":"2025-02-06 17:46:55","featured_image":"resimyok.jpg","slug":"dcsyncmonitor","category_name":"Cyber Security","category_slug":"cyber-security","category_color":"#10b981"}