SharpHound - AD veri toplama

Giriş

SharpHound, Active Directory (AD) ortamlarında veri toplama amacıyla geliştirilmiş bir araçtır. Siber güvenlik alanında, özellikle ağ güvenliği ve sızma testi süreçlerinde büyük bir öneme sahiptir. AD, birçok organizasyonun bilgi sistemlerinin bel kemiğini oluşturur; bu nedenle, merkezi bir kullanıcı kimlik yönetimi sağlayarak güvenliği ve operasyonel verimliliği artırır. Ancak, bu yapı aynı zamanda saldırganlar için bir hedef teşkil eder. SharpHound, bu hedeflerin nasıl korunabileceğini anlamak için gerekli verileri toplayarak savunma stratejilerini güçlendirmeye yardımcı olur.

Neden Önemli?

Aktif Directory ortamları genellikle büyük ve karmaşık yapılara sahiptir. Bu ortamlar içindeki kullanıcılar, gruplar ve izinlerin doğru şekilde yönetilmesi, güvenlik zafiyetlerini minimize etmek adına kritik öneme sahiptir. SharpHound, var olan erişim yollarını ve ilişkileri analiz ederek olası güvenlik açıklarını ortaya çıkarır. Bu, kurumların siber saldırılara karşı savunma mekanizmalarını artırmalarını sağlar.

Bir izleme veya saldırı yaklaşımı ile AD ortamındaki verilerin toplanması, kötü niyetli kullanıcıların sistemleri nasıl istismar edebileceğini belirlemeye yönelik önemli bir adımdır. SharpHound’un topladığı veriler, potansiyel saldırı vektörlerini, izinlerin yanlış yapılandırılmasını ve gereksiz kullanıcı hesaplarını gün yüzüne çıkarır.

Kullanım Alanları

SharpHound, başlıca şu alanlarda kullanılmaktadır:

Sızma Testleri: Güvenlik uzmanları, sistemlerin zayıf noktalarını tespit etmek için SharpHound’u kullanarak AD’leri analiz eder. Toplanan veriler, sızma testinde hangi yolların kullanılarak sisteme erişilebileceğini belirlemeye yardımcı olur.
Güvenlik Denetimleri: Kurumlar, AD yapılandırmalarını düzenli olarak gözden geçirmek zorundadır. SharpHound, bu süreçte hangi kullanıcıların hangi kaynaklara erişim sağladığını ve bu erişimlerin uygunluğunu kontrol etmeye yarar.
İkili Hedefler: SharpHound, saldırganların AD ortamlarını nasıl kurguladığını anlamak için kullanılabilir. Böylelikle güvenlik uzmanları, potansiyel tehlikeleri ve tehditleri daha etkili bir şekilde tespit edebilirler.

Siber Güvenlik Açısından Konumu

Siber güvenlik açısından SharpHound, sadece bir veri toplama aracı olmanın ötesine geçer; aynı zamanda bir analiz ve raporlama aracıdır. Toplanan verilerin işlenmesi ve yorumlanması, AD ortamlarında görülen zayıflıkların belirlenmesine olanak tanır. Böylece, sürekli değişen siber tehditlere karşı proaktif önlemler alınabilmesi mümkün hale gelir. Kullanıcı tabanlı saldırılara karşı koymak için gerekli olan bilgiler, SharpHound tarafından sağlanan verilerle desteklenir.

SharpHound’un kullanımı, sistem yöneticileri ve güvenlik uzmanları için vazgeçilmez bir araç olmuştur. Ancak, aracı kullanmadan önce sahip olduğu verilerin nasıl işleneceği ve değerlendirileceği konusunda bilgi sahibi olunması gerekmektedir. Böylece, hem organizasyon içindeki güvenlik durumu iyileştirilir hem de siber saldırganlara karşı daha dirençli bir yapının oluşturulması sağlanır.

Sonuç olarak, SharpHound, yalnızca bir veri toplama aracı olmanın ötesine geçerek, güvenlik profesyonellerine anahtar bir kaynak sunan ve AD ortamlarının güvenliğini sağlamak için gereken içgörüleri sunan çok yönlü bir çözümdür.

Teknik Detay

SharpHound'un Çalışma Mantığı

SharpHound, Active Directory (AD) ortamlarından veri toplamak için kullanılan bir araçtır. Bu veri toplama süreci, AD ortamının yapısını ve ilişkilerini analiz ederek güvenlik zafiyetlerini ortaya çıkarmayı amaçlar. SharpHound, AD nesneleri arasında var olan ilişkiyi anlamak ve potansiyel güvenlik tehditlerini tespit etmek için çeşitli teknikler kullanır.

Veri Toplama Yöntemleri

SharpHound, AD veri toplamak için birkaç temel yöntem kullanır. Bu yöntemler şunlardır:

LDAP Sorguları: Active Directory, LDAP (Lightweight Directory Access Protocol) üzerinden sorgulama yapılabilen bir yapıya sahiptir. SharpHound, LDAP sorgularını kullanarak kullanıcılar, gruplar, bilgisayarlar ve diğer AD nesneleri hakkında bilgi toplar.

Aşağıda, bir AD ortamından kullanıcı verilerini almak için kullanılabilecek basit bir LDAP sorgusu örneği bulunmaktadır:
```
ldapsearch -x -b "dc=example,dc=com" "(objectClass=user)"
```
SMB ve RPC Protokolleri: SharpHound, sistemler arasında yerel ağ üzerinde SMB (Server Message Block) ve RPC (Remote Procedure Call) protokollerini kullanarak bilgi toplar. Bu yöntem, belirli bir bilgisayara veya kullanıcıya özgü ek verileri toplamada etkilidir.
Kerberos Bileşenleri: Kerberos protokolü üzerinden oturum açma işlemleri sırasında, SharpHound çeşitli istemci ve sunucu etkileşimlerini yakalayarak daha derinlemesine analiz yapar. Kerberos kimlik doğrulama süreçlerini izleyerek, erişim izinleri ve güvenlik zafiyetleri hakkında bilgi toplar.

İşleyiş Mantığı

SharpHound, bir hedef sistemde çalışmaya başladığında, ilk olarak AD'nin temel yapısını anlamak için yukarıda belirtilen yöntemleri kullanarak veri toplamaya başlar. Toplanan veriler, daha sonra bir ağ haritası oluşturmak için analiz edilir. Bu harita, AD içindeki nesneler arasındaki ilişkileri gösterir ve güvenlik açığı analizi için kritik öneme sahiptir.

Veri Analizi

Toplanan verilerin analizi, SharpHound'un en kritik aşamalarından biridir. Bu aşamada, toplanan veriler bir dedektör veya analiz aracı olarak kullanılan BloodHound ile ilişkilendirilir. BloodHound, toplanan veri setini kullanarak, Active Directory ortamındaki fırsatları, zayıf noktaları ve kullanıcıların erişim yollarını görselleştirir.

Analiz sırasında dikkat edilecek noktalar şunlardır:

Erişim İzinleri: Kullanıcı ve grup hesaplarının erişim izinleri dikkatlice incelenmelidir. Gereksiz yere geniş erişim izinleri atanmışsa bu, potansiyel bir tehdit oluşturabilir.
Gölge Kullanıcılar: Gölge kullanıcılar, genellikle sistem üzerinde yetki kazanmış ama izlenmeyen kullanıcılardır. Bu kullanıcıların varlığı, güvenlik analizinde göz önünde bulundurulması gereken önemli bir faktördür.
Yetenek Eşliğinde Haritalama: Network üzerinde hangi hesapların hangi kaynaklara erişim sağladığı, yetenek eşliğinde haritalanmalıdır. Bu, potansiyel yükseltme yollarını gösterebilir.

Kullanım Örnekleri

Bölgedeki ilişkileri ve yapıları görselleştirmek için, SharpHound ile toplanan verileri kullanarak aşağıdaki gibi bir komut verilebilir:

SharpHound.exe -c All

Bu komut, AD'den tüm bilgileri toplar ve çıkış olarak "JSON" formatında bir dosya oluşturur. Toplanan bu verileri BloodHound ile analiz etmek üzere kullanmak oldukça yaygındır.

Sonuç

SharpHound, Active Directory ortamlarında güvenlik analizi yapmak için son derece etkili bir araçtır. LDAP, SMB, RPC ve Kerberos gibi protokolleri kullanarak kapsamlı veri toplama yeteneği, AD ilişkilerinin daha iyi anlaşılmasına olanak tanır. Ancak, kullanım sırasında dikkat edilmesi gereken birçok teknik detay ve güvenlik açığı bulunur. Bu nedenle, SharpHound ve BloodHound bileşenlerinin doğru bir şekilde anlaşılması ve uygulanması, etkin bir güvenlik stratejisinin temelini oluşturur.

İleri Seviye

SharpHound ile AD Veri Toplama: İleri Seviye Yaklaşımlar

Active Directory (AD) ortamları, siber güvenlik testlerinin önemli bir hedefidir. SharpHound, AD ortamlarından veri toplamak için kullanılan güçlü bir araçtır. Bu bölümde, SharpHound'un ileri seviye kullanımından bahsedecek, sızma testi yaklaşımlarını, analiz mantığını ve uzmana yönelik ipuçlarını inceleyeceğiz.

Sızma Testi Yaklaşımı

SharpHound, AD'den bilgileri toplarken, dizin hiyerarşilerini, nesne ilişkilerini ve erişim izinlerini analiz etme yeteneğine sahiptir. Sızma testi süreçlerinde bu bilgiler kritik öneme sahiptir. Aşağıda, SharpHound kullanarak gerçekleştirilen bir sızma testi akışını örnek bir senaryo ile gösterelim.

Kurulum

SharpHound'u yüklemek için öncelikle gerekli bağımlılıkları yükleyin ve aşağıdaki komutu kullanarak SharpHound'u başlatın:
```
git clone https://github.com/BloodHoundAD/SharpHound.git
cd SharpHound
dotnet build
```
Veri Toplama

SharpHound, farklı toplama modları sunar; bu modlar, kullanıcının ihtiyaçlarına göre şekillenebilir. Örneğin, -c parametresi ile hangi veri türlerinin toplanacağını belirtebilirsiniz. Aşağıdaki komut, temel bilgileri toplamak için kullanılabilir:
```
SharpHound.exe -c All
```
Bu komut, tüm veri türlerini (grup üyelikleri, kullanıcı ilişkileri, ABD gibi) toplar ve sonuçları bir JSON dosyası olarak kaydeder.

Analiz Mantığı

Topladığınız verileri analiz etmek, saldırı yüzeyini anlamanın ve potansiyel zafiyetleri belirlemenin anahtarıdır. SharpHound ile elde edilen veriler, BloodHound aracıyla görselleştirilebilir.

Veri Görselleştirme

SharpHound, topladığı verileri *.json formatında saklar. Bu verileri BloodHound ile analiz etmek için yükleyebilirsiniz. BloodHound'u başlattıktan sonra, elde edilen JSON dosyasını içe aktararak kullanıcı ve grup yapılarını görselleştirebilirsiniz.
```
BloodHound - Import Data
```
Zafiyet Analizi

Analiz sırasında, özellikle "Admin" izinlerine sahip grupları ve kullanıcıları tespit etmek önemlidir. Örneğin, şu sorgu ile örneğin "Enterprise Admins" grubuna bağlı olan tüm kullanıcıları alabilirsiniz:
```
MATCH (u:User)-[:MemberOf]->(g:Group {name: "Enterprise Admins"}) RETURN u.name, g.name
```

Uzman İpuçları

Filtreleme ve Özelleştirme: SharpHound'u kullanırken, toplama işlemini belirli nesne türleri veya kullanıcı grupları ile sınırlandırmak, gereksiz verilerden kaçınmanıza yardımcı olur. -f parametresini kullanarak filtreleme yapabilirsiniz.
```
SharpHound.exe -c GroupMembership -f "SpecificGroupName"
```
Çoklu Geçici Yetki Kullanımı: SharpHound'u çalıştırmadan önce, geçici yetkiler elde etmek için PowerShell veya başka araçları kullanabilirsiniz. Prometheus gibi araçları kullanarak sızma işlemine yönelik daha fazla veri toplayabilirsiniz.

İleri Seviye Script Örneği

Aşağıdaki script, birden fazla veri toplama modunu içeren bir örneği göstermektedir:

Invoke-Expression "SharpHound.exe -c Group,Session,ACL -d example.com"

Bu script, belirli bir domaine ait grup, oturum ve ACL (Access Control List) bilgilerini toplamak için kullanılabilir.

Sonuç

SharpHound, Active Directory yapısını analiz etmek için son derece güçlü bir araçtır. Verilerinizi toplamak ve analiz etmek üzerine kurulu bir strateji, sızma testlerinizin etkinliğini artıracaktır. Yukarıda belirtilen teknik ipuçları ve örnekler, profesyonel siber güvenlik testlerinizde başarı şansınızı artırmanıza yardımcı olacaktır. Unutmayın ki, başarılı bir test süreci yalnızca verilerin toplanmasıyla değil, aynı zamanda bu verilerin etkili bir şekilde analiz edilmesiyle mümkün olacaktır.