{"id":403,"title":" NTLM'den Kerberos'a G\u00fcvenli Ge\u00e7i\u015f ","content":"
\n
\n

Bu geçi\u015f, özellikle sistem yönetimi ve güvenlik mimarisi aç\u0131s\u0131ndan Windows ortam\u0131n\u0131zda köklü bir de\u011fi\u015fim yaratacakt\u0131r. NTLM'nin devre d\u0131\u015f\u0131 b\u0131rak\u0131lmas\u0131, sisteminizin art\u0131k sadece \"güvenli oldu\u011funu varsayd\u0131\u011f\u0131n\u0131z\" de\u011fil, protokol seviyesinde korundu\u011fu bir yap\u0131ya dönü\u015fmesi demektir.<\/p>\n

\u0130\u015fte bu de\u011fi\u015fimin ortam\u0131n\u0131za yans\u0131yacak temel etkileri:<\/p>\n

1. Sald\u0131r\u0131 Yüzeyinin Daralmas\u0131 (En Büyük Kazan\u0131m)<\/h2>\n

NTLM'nin ortadan kalkmas\u0131yla birlikte, a\u011f\u0131n\u0131zda y\u0131llard\u0131r süregelen en yayg\u0131n sald\u0131r\u0131 vektörleri etkisiz hale gelecektir:<\/p>\n

    \n
  • \n

    Relay Sald\u0131r\u0131lar\u0131:<\/strong> Sald\u0131rganlar\u0131n a\u011f trafi\u011fini yakalay\u0131p ba\u015fka bir sunucuya \"yans\u0131tarak\" oturum çalma devri kapanacakt\u0131r.<\/p>\n<\/li>\n

  • \n

    Pass-the-Hash:<\/strong> NTLM hash'lerinin çal\u0131narak yanal ilerleme (lateral movement) yap\u0131lmas\u0131 Kerberos'un biletleme (ticket) sistemi sayesinde imkans\u0131zla\u015facakt\u0131r.<\/p>\n<\/li>\n<\/ul>\n

    2. \"Double-Hop\" Sorunlar\u0131 ve Çözüm Gereksinimi<\/h2>\n

    NTLM bazen delegasyon gerektirmeyen durumlarda bir \"kurtar\u0131c\u0131\" gibi çal\u0131\u015f\u0131yordu. Kerberos'a geçi\u015fle birlikte:<\/p>\n

      \n
    • \n

      Bir sunucudan di\u011ferine kullan\u0131c\u0131 kimli\u011fi aktar\u0131lmas\u0131 gereken senaryolarda (örne\u011fin IIS -> SQL), Kerberos Constrained Delegation<\/strong> yap\u0131land\u0131rmas\u0131 zorunlu hale gelecektir.<\/p>\n<\/li>\n

    • \n

      SPN (Service Principal Name) kay\u0131tlar\u0131ndaki en ufak bir hata, uygulaman\u0131n eri\u015filemez olmas\u0131na neden olacakt\u0131r.<\/p>\n<\/li>\n<\/ul>\n

      3. Eski Donan\u0131m ve Yaz\u0131l\u0131mlarda Kopmalar<\/h2>\n

      Ortam\u0131n\u0131zdaki \"legacy\" (eski nesil) sistemler en büyük risk grubudur:<\/p>\n

        \n
      • \n

        Eski A\u011f Yaz\u0131c\u0131lar\u0131\/Taray\u0131c\u0131lar\u0131:<\/strong> SMB üzerinden tarama yapan eski cihazlar Kerberos desteklemiyorsa çal\u0131\u015fmay\u0131 durduracakt\u0131r.<\/p>\n<\/li>\n

      • \n

        Eski NAS Cihazlar\u0131:<\/strong> Sadece NTLM destekleyen eski depolama birimlerine eri\u015fim kesilecektir.<\/p>\n<\/li>\n

      • \n

        Hard-coded Scriptler:<\/strong> \u0130çinde IP adresi bar\u0131nd\u0131ran ve NTLM kullanan eski PowerShell veya VBScript'ler hata verecektir (Kerberos IP yerine isim\/FQDN odakl\u0131 çal\u0131\u015f\u0131r).<\/p>\n<\/li>\n<\/ul>\n

        4. DNS ve Zaman Senkronizasyonu Kritikli\u011fi<\/h2>\n

        Kerberos, NTLM'den farkl\u0131 olarak iki \u015feye a\u015f\u0131r\u0131 duyarl\u0131d\u0131r:<\/p>\n

          \n
        • \n

          DNS:<\/strong> E\u011fer DNS kay\u0131tlar\u0131n\u0131z güncel de\u011filse veya ters DNS (PTR) kay\u0131tlar\u0131 eksikse Kerberos biletleri olu\u015fturulamaz.<\/p>\n<\/li>\n

        • \n

          Zaman (Time Sync):<\/strong> \u0130stemci ve Domain Controller aras\u0131ndaki zaman fark\u0131 5 dakikadan fazlaysa kimlik do\u011frulama tamamen çöker.<\/p>\n<\/li>\n<\/ul>\n

          5. Yeni Özelliklerin Getirdi\u011fi Kolayl\u0131k (IAKerb & Local KDC)<\/h2>\n

          Microsoft'un 2026 sonunda sunaca\u011f\u0131 özellikler, geçi\u015fi daha az sanc\u0131l\u0131 hale getirecek:<\/p>\n

            \n
          • \n

            Local KDC<\/strong> sayesinde, yerel kullan\u0131c\u0131 hesaplar\u0131 (local accounts) bile art\u0131k NTLM yerine Kerberos benzeri bir güvenlikle do\u011frulanacak.<\/p>\n<\/li>\n

          • \n

            IAKerb<\/strong> sayesinde, Domain Controller'\u0131 do\u011frudan görmeyen uzak ofis bilgisayarlar\u0131, sunucu üzerinden güvenli bir \u015fekilde do\u011frulanabilecek.<\/p>\n<\/li>\n<\/ul>\n

            Ne Yapmal\u0131s\u0131n\u0131z?<\/h2>\n

            Bu geçi\u015fin ortam\u0131n\u0131z\u0131 olumsuz etkilememesi için \u015fimdiden Denetim (Auditing)<\/strong> modunu açarak hangi cihazlar\u0131n NTLM \"f\u0131s\u0131ldad\u0131\u011f\u0131n\u0131\" bulmal\u0131s\u0131n\u0131z. Özellikle ondernet.local<\/strong> gibi yerel alan adlar\u0131n\u0131zdaki servis hesaplar\u0131n\u0131 gMSA (Group Managed Service Accounts) yap\u0131s\u0131na geçirmeniz, bu modernizasyon sürecinde i\u015finizi çok kolayla\u015ft\u0131racakt\u0131r.<\/p>\n<\/div>\n

            Bu süreci daha net anlamak ad\u0131na, Kerberos'un neden daha güvenli oldu\u011funu ve Microsoft'un bu yeni çözümlerle neyi hedefledi\u011fini biraz daha yak\u0131ndan inceleyelim:<\/p>\n

            Kerberos vs. NTLM: Neden De\u011fi\u015fiyor?<\/h2>\n

            NTLM, \"Challenge-Response\" (Meydan Okuma-Yan\u0131t) mekanizmas\u0131na dayan\u0131r. Bu süreçte hash de\u011ferleri a\u011f üzerinden iletildi\u011fi için sald\u0131rganlar bu trafi\u011fi yakalay\u0131p ba\u015fka bir sunucuya \"yans\u0131tabilir\" (Relay Attack). Kerberos ise çok daha sofistike bir biletleme sistemi kullan\u0131r.<\/p>\n

            \n

            Microsoft'un Yeni Silahlar\u0131: IAKerb ve Local KDC<\/h2>\n

            BT yöneticilerinin en büyük korkusu, NTLM'yi kapatt\u0131klar\u0131 gün \"Local Admin\" hesaplar\u0131n\u0131n kilitlenmesi veya uzak ofislerdeki ba\u011flant\u0131lar\u0131n kopmas\u0131d\u0131r. Microsoft bunu a\u015fmak için iki kritik köprü kuruyor:<\/p>\n

              \n
            1. \n

              IAKerb (Initial Authentication Kerberos):<\/strong> Kerberos'un çal\u0131\u015fmas\u0131 için normalde istemcinin Domain Controller (DC) ile do\u011frudan konu\u015fabilmesi gerekir. IAKerb, istemci ve sunucu aras\u0131ndaki mevcut ba\u011flant\u0131y\u0131 kullanarak Kerberos paketlerini DC'ye iletir (proxy görevi görür). Yani \"DC'yi göremiyorum\" bahanesi ortadan kalkar.<\/p>\n<\/li>\n

            2. \n

              Local KDC (Key Distribution Center):<\/strong> Yerel hesaplar için Kerberos biletlerini yerel olarak yöneten bir yap\u0131 sunar. Bu, NTLM'ye olan ba\u011f\u0131ml\u0131l\u0131\u011f\u0131 yerel oturum açma seviyesinde bile bitirmeyi hedefler.<\/p>\n<\/li>\n<\/ol>\n

              Geçi\u015f Takvimi ve Stratejik Önem<\/h2>\n\n\n\n\n\n\n\n
              A\u015fama<\/strong><\/td>\nZamanlama<\/strong><\/td>\nTemel Odak<\/strong><\/td>\n<\/tr>\n<\/thead>\n
              Denetim (Audit)<\/strong><\/span><\/td>\n\u015eu an (Win 11 \/ Server 2025)<\/span><\/td>\nNTLM trafi\u011finin haritalanmas\u0131 ve \"Sertle\u015fme\" (Hardening) haz\u0131rl\u0131\u011f\u0131.<\/span><\/td>\n<\/tr>\n
              Geni\u015fletme<\/strong><\/span><\/td>\n2026 Sonu<\/span><\/td>\nIAKerb ve Local KDC ile NTLM ba\u011f\u0131ml\u0131l\u0131\u011f\u0131n\u0131n teknik olarak bitirilmesi.<\/span><\/td>\n<\/tr>\n
              Varsay\u0131lan Engel<\/strong><\/span><\/td>\nGelecek Faz<\/span><\/td>\nNTLM'nin tamamen devre d\u0131\u015f\u0131 b\u0131rak\u0131lmas\u0131 (Sadece istisnalar için manuel izin).<\/span><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

              Bu de\u011fi\u015fim, a\u011f\u0131n\u0131zdaki \"görünmez kap\u0131lar\u0131\" kapatmak ad\u0131na devasa bir ad\u0131m. Özellikle Pass-the-Hash sald\u0131r\u0131lar\u0131n\u0131n önünü kesmek, fidye yaz\u0131l\u0131m\u0131 (ransomware) gruplar\u0131n\u0131n lateral movement (yanal ilerleme) kabiliyetini ciddi oranda k\u0131s\u0131tlayacakt\u0131r.<\/p>\n

              Kurulu\u015funuzdaki eski uygulamalar\u0131n NTLM ba\u011f\u0131ml\u0131l\u0131\u011f\u0131n\u0131 tespit etmek için özel bir denetim (audit) stratejisi veya PowerShell scripti ile kontrol yapal\u0131m<\/strong><\/p>\n

              NTLM'yi kapatmadan önce at\u0131lacak en kritik ad\u0131m, a\u011f\u0131n\u0131zda kimin, nereden ve hangi uygulamayla<\/strong> hala NTLM kulland\u0131\u011f\u0131n\u0131 sessizce izlemektir. E\u011fer bunu yapmadan protokolü devre d\u0131\u015f\u0131 b\u0131rak\u0131rsan\u0131z, eski bir veritaban\u0131 ba\u011flant\u0131s\u0131 veya bir a\u011f yaz\u0131c\u0131s\u0131 nedeniyle i\u015f ak\u0131\u015flar\u0131n\u0131z durabilir.<\/p>\n

              A\u015fa\u011f\u0131daki PowerShell scripti, Windows Olay Görüntüleyicisi (Event Viewer) üzerindeki NTLM Denetim (Auditing)<\/strong> kay\u0131tlar\u0131n\u0131 tarar ve size anlaml\u0131 bir özet sunar.<\/p>\n

              1. Ad\u0131m: Denetimi Etkinle\u015ftirme (GPO üzerinden)<\/h2>\n

              Scripti çal\u0131\u015ft\u0131rmadan önce, sisteminizin bu verileri kaydetmesi gerekir. Grup \u0130lkesi Düzenleyicisi'nde (gpedit.msc<\/code>) \u015fu yolu izleyin:<\/p>\n

                \n
              • \n

                Bilgisayar Yap\u0131land\u0131rmas\u0131<\/strong> > Windows Ayarlar\u0131<\/strong> > Güvenlik Ayarlar\u0131<\/strong> > Yerel \u0130lkeler<\/strong> > Güvenlik Seçenekleri<\/strong><\/p>\n<\/li>\n

              • \n

                A\u011f güvenli\u011fi: NTLM'yi k\u0131s\u0131tla: Bu etki alan\u0131ndaki NTLM denetimi<\/strong> -> Tümünü Etkinle\u015ftir<\/strong> olarak ayarlay\u0131n.<\/p>\n<\/li>\n<\/ul>\n

                \n

                2. Ad\u0131m: NTLM Analiz Scripti<\/h2>\n

                Bu script, NTLM Audit<\/code> loglar\u0131n\u0131 (Event ID 8001, 8002, 8003 ve 8004) tarayarak hangi kullan\u0131c\u0131lar\u0131n ve hangi sunucular\u0131n hala bu eski protokolü kulland\u0131\u011f\u0131n\u0131 listeler.<\/p>\n

                 <\/p>\n

                # NTLM Kullan\u0131m\u0131n\u0131 Raporlama Scripti\n# Bu script 'Microsoft-Windows-NTLM\/Operational' günlü\u011fünü analiz eder.\n\n$Events = Get-WinEvent -LogName \"Microsoft-Windows-NTLM\/Operational\" -ErrorAction SilentlyContinue\n\nif ($null -eq $Events) {\n    Write-Host \"[-] NTLM Log kayd\u0131 bulunamad\u0131. Denetim modunun aç\u0131k oldu\u011fundan emin olun.\" -ForegroundColor Red\n    return\n}\n\n$NTLMReport = foreach ($Event in $Events) {\n    [xml]$XmlEvent = $Event.ToXml()\n    \n    # XML verisinden detaylar\u0131 ay\u0131klama\n    $TargetName = $XmlEvent.Event.EventData.Data | Where-Object { $_.Name -eq \"TargetName\" } | Select-Object -ExpandProperty \"#text\"\n    $UserName   = $XmlEvent.Event.EventData.Data | Where-Object { $_.Name -eq \"UserName\" }   | Select-Object -ExpandProperty \"#text\"\n    $Process    = $XmlEvent.Event.EventData.Data | Where-Object { $_.Name -eq \"ProcessName\" }| Select-Object -ExpandProperty \"#text\"\n\n    [PSCustomObject]@{\n        TimeCreated = $Event.TimeCreated\n        EventID     = $Event.Id\n        User        = $UserName\n        Target      = $TargetName\n        Process     = $Process\n        Message     = $Event.Message\n    }\n}\n\n# Sonuçlar\u0131 Tablo Olarak Göster\n$NTLMReport | Out-GridView -Title \"NTLM Kullan\u0131m Analizi\"\n\n# \u0130ste\u011fe ba\u011fl\u0131: CSV olarak d\u0131\u015fa aktar\n# $NTLMReport | Export-Csv -Path \"C:\\Temp\\NTLM_Audit_Report.csv\" -NoTypeInformation<\/code><\/pre>\n
                 <\/p>\n
                  \n
                • \n
                  TargetName:<\/strong> Hangi sunucuya ba\u011flan\u0131lmaya çal\u0131\u015f\u0131ld\u0131\u011f\u0131n\u0131 gösterir.<\/p>\n<\/li>\n
                • \n
                  ProcessName:<\/strong> NTLM ça\u011fr\u0131s\u0131n\u0131 yapan uygulaman\u0131n ad\u0131n\u0131 verir (Örn: sqlservr.exe<\/code> veya bir eski muhasebe yaz\u0131l\u0131m\u0131).<\/p>\n<\/li>\n
                • \n
                  Event ID 8004:<\/strong> En kritik olan\u0131d\u0131r; \"E\u011fer NTLM'yi engelleseydik, bu ba\u011flant\u0131 kopacakt\u0131\" anlam\u0131na gelir.<\/p>\n<\/li>\n<\/ul>\n
                  Sonraki Ad\u0131mlar<\/h2>\n
                  Bu raporu ald\u0131ktan sonra, listedeki uygulamalar\u0131n konfigürasyonlar\u0131n\u0131 inceleyip \"Authentication Method\"<\/strong> k\u0131sm\u0131n\u0131 Kerberos<\/strong> veya Negotiate<\/strong> olarak güncellemeniz gerekecek.<\/p>\n
                  Kerberos SPN (Service Principal Name) yap\u0131land\u0131rmas\u0131<\/h2>\n
                  Kerberos dünyas\u0131nda SPN (Service Principal Name), bir servisin kimli\u011fini etki alan\u0131 (Active Directory) içerisinde benzersiz k\u0131lan bir \"etiket\" gibidir. Kerberos biletleme sisteminin çal\u0131\u015fmas\u0131 için istemcinin hangi servis ile konu\u015ftu\u011funu tam olarak bilmesi gerekir.<\/p>\n
                  SPN do\u011fru yap\u0131land\u0131r\u0131lmad\u0131\u011f\u0131nda Kerberos ba\u015far\u0131s\u0131z olur ve sistem otomatik olarak (ve güvensiz olan) NTLM<\/strong>'e geri döner. NTLM'i emekliye ay\u0131r\u0131rken SPN hatalar\u0131n\u0131 çözmek bu yüzden hayatidir.<\/p>\n
                  \n
                  1. SPN Sözdizimi (Syntax)<\/h2>\n
                  Bir SPN kayd\u0131 genellikle \u015fu formatta olur: ServisS\u0131n\u0131f\u0131 \/ AnaBilgisayarAd\u0131 : Port \/ ServisAd\u0131<\/code><\/p>\n
                    \n
                  • \n
                    ServisS\u0131n\u0131f\u0131:<\/strong> HTTP, MSSQLSvc, HOST, NFS gibi servis türü.<\/p>\n<\/li>\n
                  • \n
                    AnaBilgisayarAd\u0131:<\/strong> Servisin çal\u0131\u015ft\u0131\u011f\u0131 sunucunun FQDN (Tam Etki Alan\u0131 Ad\u0131) veya NetBIOS ad\u0131.<\/p>\n<\/li>\n
                  • \n
                    Port:<\/strong> Standart d\u0131\u015f\u0131 bir port kullan\u0131l\u0131yorsa belirtilir.<\/p>\n<\/li>\n<\/ul>\n
                    \n
                    2. Kritik Komutlar (Setspn Kullan\u0131m\u0131)<\/h2>\n
                    SPN yönetimi için en temel araç setspn.exe<\/code> komut sat\u0131r\u0131 arac\u0131d\u0131r. Bu komutlar\u0131 Domain Admin<\/strong> yetkisiyle çal\u0131\u015ft\u0131rmal\u0131s\u0131n\u0131z.<\/p>\n
                    A. Mevcut SPN'leri Listeleme<\/h4>\n
                    Bir kullan\u0131c\u0131 veya bilgisayar hesab\u0131na atanm\u0131\u015f SPN'leri kontrol etmek için:<\/p>\n
                    setspn -L <HesapAdi>\n# Örnek: setspn -L SQLServiceAccount<\/code><\/pre>\n
                     <\/p>\n
                    B. Yeni Bir SPN Kayd\u0131 Ekleme<\/h4>\n
                    Örne\u011fin, bir web sunucusu (IIS) için uygulama havuzu kullan\u0131c\u0131s\u0131na SPN atamak:<\/p>\n
                    setspn -S HTTP\/web01.sirket.local SQLServiceAccount\nsetspn -S HTTP\/web01 SQLServiceAccount<\/code><\/pre>\n
                     <\/p>\n
                    \n
                    Not:<\/strong> -S<\/code> parametresi (Add Unique), ayn\u0131 SPN'in ba\u015fka bir hesapta olup olmad\u0131\u011f\u0131n\u0131 kontrol eder. Bu, çak\u0131\u015fmalar\u0131 önlemek için -A<\/code> yerine tercih edilmelidir.<\/p>\n<\/blockquote>\n
                    C. Yinelenen (Duplicate) SPN'leri Bulma<\/h4>\n
                    Kerberos'un en büyük dü\u015fman\u0131 ayn\u0131 SPN'in iki farkl\u0131 hesapta tan\u0131ml\u0131 olmas\u0131d\u0131r. Bunu bulmak için:<\/p>\n
                    setspn -X<\/code><\/pre>\n
                     <\/p>\n
                    3. Yayg\u0131n Hata: \"Kay\u0131p SPN\" Senaryosu<\/h2>\n
                    Bir kullan\u0131c\u0131 http:\/\/app01<\/code> adresine gitmeye çal\u0131\u015ft\u0131\u011f\u0131nda, Windows önce bu isim için bir Kerberos bileti ister. E\u011fer AD içerisinde HTTP\/app01<\/code> \u015feklinde bir SPN kayd\u0131 yoksa, Kerberos \"Ben bu servisi tan\u0131m\u0131yorum\" der ve NTLM<\/strong> kullanmaya ba\u015flar.<\/p>\n
                    Çözüm Ak\u0131\u015f\u0131:<\/strong><\/p>\n
                      \n
                    1. \n
                      Servisin hangi hesap (LocalSystem, NetworkService veya bir Domain User) alt\u0131nda çal\u0131\u015ft\u0131\u011f\u0131n\u0131 bulun.<\/p>\n<\/li>\n
                    2. \n
                      \u0130stemcilerin servise hangi isimle (FQDN veya k\u0131sa isim) eri\u015fti\u011fini netle\u015ftirin.<\/p>\n<\/li>\n
                    3. \n
                      Eksik olan kombinasyonlar\u0131 setspn -S<\/code> ile ilgili hesaba tan\u0131mlay\u0131n.<\/p>\n<\/li>\n<\/ol>\n
                      \n
                      4. PowerShell ile Otomatik Kontrol<\/h2>\n
                      E\u011fer elinizde uzun bir sunucu listesi varsa, SPN kay\u0131tlar\u0131n\u0131n durumunu \u015fu script ile h\u0131zl\u0131ca görebilirsiniz:<\/p>\n
                      # Belirli bir servis için SPN kontrolü\n$SearchName = \"web01\" \nGet-ADObject -Filter \"ServicePrincipalName -like '*$SearchName*'\" -Properties ServicePrincipalName | \nSelect-Object Name, DistinguishedName, ServicePrincipalName | \nFormat-List<\/code><\/pre>\n
                       <\/p>\n
                      \n
                      MSSQL ve IIS, kurumsal ortamlarda NTLM'den Kerberos'a geçi\u015fte en çok \"SPN hatas\u0131\" veren iki servistir. Bu servisleri Kerberos ile modernize etmek, sadece güvenli\u011fi art\u0131rmakla kalmaz, ayn\u0131 zamanda \"double-hop\" (çift s\u0131çrama) sorunlar\u0131n\u0131 çözmek için de gereklidir.<\/p>\n
                      \u0130\u015fte bu iki servis için Best Practice<\/strong> (En \u0130yi Uygulama) ad\u0131mlar\u0131:<\/p>\n
                      \n
                      1. MSSQL Server \u0130çin Kerberos Yap\u0131land\u0131rmas\u0131<\/h2>\n
                      SQL Server genellikle MSSQLSvc<\/code> s\u0131n\u0131f\u0131n\u0131 kullan\u0131r. Kerberos'un çal\u0131\u015fmas\u0131 için SQL servisinin çal\u0131\u015ft\u0131\u011f\u0131 Service Account<\/strong> (Servis Hesab\u0131) üzerine kay\u0131t yap\u0131lmas\u0131 gerekir.<\/p>\n
                      Best Practice Ad\u0131mlar\u0131:<\/h2>\n