Herkese merhaba, bu makale serisi ile uzun bir yolculuğa çıkıyoruz “Microsoft Privileged Access Security” başlığı ile Microsoft’un modern kimlik yaklaşımlarına derin bir giriş yapıp Microsoft evreninde kimlik güvenliğini yeniden tasarlayacak, bildiğimiz tüm doğruları ve yanlışları bir kenara bırakıp her şeyi yeniden inşa edeceğiz.

Active Directory, 1999 yılında Windows 2000 Server ile hayatımıza girdiğinden bu yana kurumsal bilgi teknolojileri altyapılarının temel taşlarından biri olmuştur. Yaklaşık çeyrek asır boyunca milyonlarca kullanıcı, yüz binlerce kurum ve sayısız kritik sistem kimlik doğrulama, yetkilendirme ve kaynak yönetimi için Active Directory’ye güvenmiştir.

Bu süreçte teknoloji büyük ölçüde değişti. Fiziksel sunucuların yerini sanallaştırma platformları aldı. Ardından bulut bilişim, hibrit altyapılar ve hizmet olarak yazılım (SaaS) çözümleri günlük BT operasyonlarının ayrılmaz bir parçası hâline geldi. Güvenlik yaklaşımları da bu dönüşümden payını aldı; çevre güvenliğine dayalı modeller yerini kimlik odaklı güvenlik anlayışına bırakmaya başladı.

Ancak değişmeyen önemli bir gerçek vardır: Kurumsal altyapılarda en değerli hedef çoğu zaman sunucular değil, ayrıcalıklı kimliklerdir.

Bir saldırgan için tek bir Domain Admin hesabını ele geçirmek, onlarca sunucuyu ele geçirmekten daha değerlidir. Çünkü bu hesap, yalnızca bir sistemi değil, tüm etki alanını yönetme gücünü temsil eder. Kullanıcı hesaplarının oluşturulması, güvenlik politikalarının değiştirilmesi, sunucuların yönetilmesi ve hatta güven ilişkilerinin kontrolü gibi birçok kritik işlem bu ayrıcalıklı hesaplar aracılığıyla gerçekleştirilir.

İşte bu nedenle Microsoft, yıllar içerisinde ayrıcalıklı erişimi korumaya yönelik farklı mimariler geliştirmiştir. Enhanced Security Administrative Environment (ESAE), Administrative Forest, Red Forest, Bastion Forest ve günümüzde Modern Privileged Access Strategy ile Security Rapid Modernization Plan (RaMP), bu evrimin önemli kilometre taşlarıdır.

Bu makake seri, yalnızca Bastion Forest kurulumunu anlatmak amacıyla hazırlanmadı. Amaç; Microsoft’un ayrıcalıklı erişim güvenliği yaklaşımını tarihsel gelişimiyle birlikte anlamak, bu mimarilerin hangi ihtiyaçlardan doğduğunu incelemek ve tamamen on-premises çalışan bir kurum için güvenli bir yönetim mimarisini sıfırdan tasarlamaktır.

Bu nedenle makale boyunca yalnızca “Nasıl yapılır?” sorusuna değil, aynı zamanda “Neden bu şekilde tasarlanmalıdır?” sorusuna da cevap arayacağız.

Kimlik Güvenliği Neden Önemlidir?

Bilgi teknolojileri güvenliği uzun yıllar boyunca ağ çevresini (network perimeter) korumaya odaklanmıştır. Güvenlik duvarları, ağ segmentasyonu, IDS/IPS sistemleri ve VPN çözümleri, kurumların ilk savunma hattını oluşturuyordu. Temel yaklaşım; saldırganın kurumsal ağa erişmesini engellemek ve ağ sınırını korumaktı.

Ancak teknoloji dünyasının gelişmesiyle birlikte bu yaklaşım önemli ölçüde değişmiştir. Sanallaştırma teknolojileri, hibrit altyapılar, bulut servisleri, uzaktan çalışma modelleri ve mobil cihazların yaygınlaşması, kurumsal ağ sınırlarını büyük ölçüde belirsiz hâle getirmiştir. Artık kullanıcılar yalnızca şirket ofislerinden değil; evlerinden, mobil cihazlarından ve internet üzerinden kurumsal kaynaklara erişebilmektedir. Bu nedenle yalnızca ağ çevresini korumak, modern saldırı yöntemlerine karşı yeterli değildir.

Microsoft da bu dönüşüm doğrultusunda güvenlik yaklaşımını yeniden şekillendirmiş ve “Identity is the new security perimeter” (Kimlik, yeni güvenlik sınırıdır.) anlayışını benimsemiştir. Günümüzde bir kullanıcının kimliği, erişim yetkileri ve kimlik doğrulama mekanizmaları; güvenliğin merkezinde yer almaktadır.

Bir saldırgan açısından değerlendirildiğinde, çoğu zaman fiziksel bir sunucuyu ele geçirmek yerine ayrıcalıklı bir kullanıcı hesabını ele geçirmek çok daha değerlidir. Çünkü bu hesaplar, kurumun kritik altyapı bileşenlerini yönetme yetkisine sahiptir. Özellikle Domain Admin, Enterprise Admin veya benzeri ayrıcalıklı hesapların ele geçirilmesi; Active Directory’nin, sunucuların, güvenlik politikalarının ve birçok kritik servisin tamamen saldırganın kontrolüne geçmesine neden olabilir.

Microsoft’un yayımladığı güvenlik raporları da başarılı siber saldırıların önemli bir bölümünde saldırganların ilk hedeflerinden birinin ayrıcalıklı kimlikler olduğunu göstermektedir. Kimlik bilgilerinin ele geçirilmesi (Credential Theft), Pass-the-Hash (PtH), Pass-the-Ticket (PtT), Kerberoasting ve Golden Ticket gibi saldırı teknikleri doğrudan kimlik altyapısını hedef almaktadır.

Bu nedenle günümüzde güvenliğin temel amacı yalnızca sistemleri korumak değil, bu sistemleri yönetebilen kimlikleri korumaktır. Microsoft’un yıllar içerisinde geliştirdiği Enhanced Security Administrative Environment (ESAE), Administrative Forest, Red Forest, Bastion Forest ve günümüzde Modern Privileged Access Strategy gibi yaklaşımların ortak hedefi de tam olarak budur: ayrıcalıklı kimliklerin güvenliğini en üst seviyeye çıkarmak ve bir saldırganın kurumsal yönetim altyapısını ele geçirmesini mümkün olduğunca zorlaştırmak.

Bu noktadan itibaren Microsoft’un ayrıcalıklı erişim güvenliği yaklaşımının tarihsel gelişimini inceleyerek, bu mimarilerin hangi ihtiyaçlardan doğduğunu ve günümüzde neden farklı güvenlik modellerinin önerildiğini ele alacağız.

Ayrıcalıklı Erişim (Privileged Access) Nedir?

Kurumsal bilgi teknolojileri altyapılarında her kullanıcı aynı yetkilere sahip değildir. Çoğu kullanıcı yalnızca günlük işlerini gerçekleştirebilecek seviyede izinlere sahipken, bazı hesaplar sistemleri yönetme, güvenlik ayarlarını değiştirme veya tüm altyapıyı etkileyebilecek işlemleri gerçekleştirme yetkisine sahiptir. Bu tür yüksek yetkili hesaplar ayrıcalıklı hesaplar (Privileged Accounts), bu hesaplarla gerçekleştirilen işlemler ise ayrıcalıklı erişim (Privileged Access) olarak adlandırılır.

Ayrıcalıklı erişim, yalnızca bir sunucuya oturum açabilme yetkisini ifade etmez. Bir kullanıcının veya uygulamanın kritik sistemler üzerinde yönetimsel işlemler gerçekleştirebilmesini sağlayan tüm izinler bu kapsamda değerlendirilir. Örneğin yeni kullanıcı oluşturmak, güvenlik gruplarını yönetmek, Grup İlkelerini (Group Policy) değiştirmek, sunucu yapılandırmalarını güncellemek veya bir etki alanını (Domain) yönetmek ayrıcalıklı erişim gerektiren işlemlerdir.

Microsoft ekosisteminde en yaygın ayrıcalıklı hesaplara aşağıdaki örnekler verilebilir:

Bu hesapların ele geçirilmesi, sıradan bir kullanıcı hesabının ele geçirilmesine kıyasla çok daha büyük risk oluşturur. Örneğin bir saldırganın standart bir kullanıcı hesabını ele geçirmesi belirli verilere erişmesini sağlayabilir; ancak Domain Admin yetkisine sahip bir hesabın ele geçirilmesi durumunda saldırgan, Active Directory altyapısını tamamen kontrol altına alabilir, yeni yönetici hesapları oluşturabilir, güvenlik politikalarını değiştirebilir ve ağdaki diğer sistemlere kolaylıkla yayılabilir.

Bu nedenle modern siber saldırılar çoğunlukla doğrudan sunucuları hedef almak yerine, bu sunucuları yönetebilen kimlikleri hedef almaktadır. Kimlik bilgilerinin çalınması (Credential Theft), Pass-the-Hash (PtH), Pass-the-Ticket (PtT), Kerberoasting, Golden Ticket ve Silver Ticket gibi saldırı tekniklerinin temel amacı da ayrıcalıklı erişim elde etmektir.

Microsoft’un geliştirdiği ESAE, Administrative Forest, Red Forest, Bastion Forest ve günümüzde Modern Privileged Access Strategy gibi güvenlik yaklaşımlarının ortak hedefi, ayrıcalıklı erişimi mümkün olan en güvenli şekilde yönetmek ve bu hesapların ele geçirilmesi durumunda oluşabilecek etkiyi en aza indirmektir.

Ayrıcalıklı Hesap Örnekleri

Günümüzde bir saldırganın hedefi yalnızca Domain Admin hesabı değildir. Hyper-V, VMware vCenter, Microsoft Entra ID, PKI (Certificate Authority), Microsoft Intune, SCCM, yedekleme sistemleri ve benzeri kritik yönetim platformlarını kontrol edebilen tüm kimlikler ayrıcalıklı erişim kapsamında değerlendirilmektedir. Bu nedenle Microsoft’un modern güvenlik yaklaşımı, yalnızca Active Directory yöneticilerini değil, kurumsal altyapıyı yönetebilen tüm ayrıcalıklı kimlikleri korumayı amaçlamaktadır.

Active Directory’nin 2000 yılında kullanılmaya başlanmasının ardından uzun yıllar boyunca kurumsal altyapılarda güvenlik yaklaşımı büyük ölçüde ağ güvenliği ve yüksek yetkili hesapların korunması üzerine kuruluydu. O dönemde kurumların büyük çoğunluğu yalnızca şirket içi (on-premises) sistemlerden oluşuyor, kullanıcılar ise kurumsal ağ içerisinden kaynaklara erişiyordu.

Ancak zaman içerisinde hem teknoloji hem de saldırı yöntemleri önemli ölçüde değişti. Sanallaştırma teknolojileri, hibrit yapılar, bulut servisleri ve uzaktan çalışma modelleri kurumsal BT altyapılarının ayrılmaz bir parçası hâline gelirken, saldırganlar da doğrudan sunucuları hedef almak yerine bu sistemleri yönetebilen kimlikleri hedef almaya başladı.

Microsoft da değişen tehdit ortamına uyum sağlayabilmek amacıyla yıllar içerisinde ayrıcalıklı erişim güvenliği konusunda farklı mimariler geliştirdi. Her yeni yaklaşım, önceki mimarinin eksikliklerini gidermeyi ve gelişen saldırı tekniklerine karşı daha güçlü koruma sağlamayı hedefledi.

Bu gelişim süreci özetle aşağıdaki şekilde ilerlemiştir.

Bu zaman çizelgesine bakıldığında ilk bakışta her yeni yaklaşımın bir öncekini tamamen değiştirdiği düşünülebilir. Ancak gerçekte durum bundan farklıdır. Microsoft’un güvenlik mimarileri birbirlerinin doğrudan alternatifi olarak geliştirilmemiş, aksine değişen teknoloji ve güvenlik ihtiyaçlarına göre sürekli geliştirilmiş ve genişletilmiştir.

Örneğin ESAE, ayrıcalıklı hesapların korunmasına yönelik genel bir güvenlik yaklaşımını tanımlarken, Administrative Forest bu yaklaşımın uygulanmasında kullanılan izole yönetim altyapısını ifade eder. Red Forest ise topluluk tarafından bu mimariyi tanımlamak için kullanılan yaygın bir isimdir. Daha sonra Microsoft Identity Manager (MIM) Privileged Access Management çözümü ile Just-In-Time (JIT) erişim, Shadow Principals ve Time-To-Live (TTL) grup üyelikleri gibi gelişmiş yetenekler eklenmiş, bu gelişmiş yapı Microsoft dokümantasyonunda Bastion Forest mimarisi olarak tanımlanmıştır.

Son yıllarda ise Microsoft’un güvenlik yaklaşımı yalnızca Active Directory ortamlarını korumakla sınırlı kalmamış; Microsoft Entra ID, Microsoft 365, hibrit kimlik altyapıları ve bulut servislerini de kapsayacak şekilde genişlemiştir. Bu dönüşüm sonucunda Enterprise Access Model, Modern Privileged Access Strategy ve Security Rapid Modernization Plan (RaMP) gibi yeni yaklaşımlar geliştirilmiş ve Zero Trust prensipleri Microsoft’un güvenlik mimarisinin temelini oluşturmuştur.

Bu makale serisinde, Microsoft’un ayrıcalıklı erişim güvenliği yaklaşımının bu tarihsel gelişimini adım adım inceleyecek ve her mimarinin hangi ihtiyacı karşılamak için ortaya çıktığını ayrıntılı olarak ele alacağız. Böylece yalnızca hangi teknolojilerin kullanıldığını değil, aynı zamanda neden geliştirildiklerini ve günümüzde hangi senaryolarda tercih edilmeleri gerektiğini de değerlendirmiş olacağız.

Microsoft’un güvenlik mimarileri birbirlerinin yerine geçen bağımsız çözümler değildir. Her biri, dönemin tehditleri, teknolojik gelişmeleri ve kurumsal ihtiyaçları doğrultusunda geliştirilmiş, önceki yaklaşımların üzerine yeni güvenlik katmanları ekleyen mimari adımlardır.

ESAE Nedir?

Enhanced Security Administrative Environment (ESAE), Microsoft’un ayrıcalıklı erişimi korumak amacıyla geliştirdiği güvenlik yaklaşımıdır.

hedefleyen bir güvenlik modelidir. Burada dikkat edilmesi gereken nokta şudur:

ESAE tek başına kurulacak bir sunucu veya Active Directory Forest değildir. ESAE, uygulanacak mimariyi tanımlayan güvenlik yaklaşımıdır.

Administrative Forest Nedir?

ESAE yaklaşımının temel bileşenlerinden biri, yönetim işlemleri için ayrı bir Active Directory Forest oluşturulmasıdır.

Bu yapı Microsoft tarafından Administrative Forest olarak adlandırılmıştır.

Temel amaç, üretim ortamında yaşanabilecek bir güvenlik ihlalinin yönetim altyapısını doğrudan etkilemesini zorlaştırmaktır.

Red Forest Nedir?

Red Forest, Microsoft’un resmi bir ürün adı değildir. Topluluk tarafından, ESAE kapsamında oluşturulan Administrative Forest mimarisini ifade etmek için kullanılan yaygın bir isimdir.

Dolayısıyla birçok kaynakta Administrative Forest ve Red Forest aynı mimariyi tanımlamak amacıyla kullanılmaktadır.

Bastion Forest Nedir?

Bastion Forest, Microsoft’un ayrıcalıklı erişim güvenliğini artırmak amacıyla geliştirdiği, üretim (Production) Active Directory ortamından mantıksal olarak ayrılmış ve yalnızca yönetim işlemleri için kullanılan izole bir Active Directory ormanıdır (Forest).

Bu mimarinin temel amacı, yüksek yetkili yönetici hesaplarını üretim ortamından ayırarak saldırı yüzeyini azaltmak ve ayrıcalıklı erişimlerin güvenli, denetlenebilir ve geçici (Just-In-Time) şekilde yönetilmesini sağlamaktır.

Geleneksel yapılarda Domain Admin, Enterprise Admin ve benzeri ayrıcalıklı hesaplar doğrudan üretim ortamında bulunur ve çoğu zaman sürekli yönetici yetkilerine sahiptir. Bu durum, kimlik bilgilerinin ele geçirilmesi halinde saldırganın tüm Active Directory altyapısını kısa sürede kontrol altına alabilmesine neden olabilir.

Bastion Forest yaklaşımı ise bu riski azaltmak amacıyla yönetici hesaplarını üretim ortamından ayırır ve yönetim işlemlerini yalnızca güvenli yönetim altyapısı üzerinden gerçekleştirilmesini hedefler.

Bu mimaride üretim ortamındaki yönetici hesapları yerine Bastion Forest içerisinde oluşturulan yönetim hesapları kullanılır. Ayrıcalıklı erişim talepleri Microsoft Identity Manager Privileged Access Management (MIM PAM) aracılığıyla yönetilir ve gerekli durumlarda kullanıcılara yalnızca belirli bir süre için geçici yetki atanır. Böylece sürekli ayrıcalıklı hesap bulundurma ihtiyacı ortadan kaldırılarak güvenlik önemli ölçüde artırılır.

Bastion Forest’ın Temel Amaçları

Bastion Forest mimarisi aşağıdaki güvenlik hedeflerini gerçekleştirmeyi amaçlar:

Bastion Forest Mimarisinin Temel Bileşenleri

Bastion Forest yalnızca ikinci bir Active Directory Forest kurulmasından ibaret değildir. Güvenli yönetim altyapısı oluşturmak için birlikte çalışan birçok bileşenden oluşur.

Bu mimarinin temel bileşenleri şunlardır:

Bu bileşenlerin birlikte çalışması sayesinde yönetim işlemleri üretim ortamından ayrıştırılır ve yüksek yetkili hesapların güvenliği önemli ölçüde artırılır.

Bastion Forest Nasıl Çalışır?

Basitleştirilmiş bir senaryoda Bastion Forest mimarisi aşağıdaki şekilde çalışır:

Bu sayede yönetici hesapları yalnızca gerçekten ihtiyaç duydukları süre boyunca yüksek yetkilere sahip olur.

Bastion Forest’ın Avantajları

Bastion Forest mimarisi, klasik yönetim modeline kıyasla önemli güvenlik avantajları sunar.

Bastion Forest, yalnızca ikinci bir Active Directory Forest kurmak anlamına gelmez. Gerçek bir Bastion Forest mimarisi; Administrative Forest, Privileged Access Workstation (PAW), ayrı yönetici hesapları, Microsoft Identity Manager (MIM), MIM PAM, Shadow Principals ve geçici yetkilendirme mekanizmalarının birlikte çalıştığı bütüncül bir güvenlik çözümüdür. Bu nedenle yalnızca izole bir yönetim ormanı oluşturmak, tek başına Bastion Forest mimarisini hayata geçirmek için yeterli değildir.

Red Forest ve Bastion Forest Karşılaştırması

Bu tablo iki mimarinin rakip olmadığını, Bastion Forest’ın Red Forest yaklaşımını daha ileri taşıyan bir güvenlik modeli olduğunu göstermektedir.

Tier Model (Tier 0, Tier 1 ve Tier 2)

Microsoft, Active Directory tabanlı kurumsal ortamlarda ayrıcalıklı erişimlerin güvenliğini artırmak amacıyla uzun yıllar Tier Model (Katmanlı Yönetim Modeli) yaklaşımını önermiştir. Bu modelin temel amacı, farklı güven seviyelerine sahip sistemleri birbirinden ayırarak kimlik bilgilerinin daha düşük güven seviyesindeki sistemlerden daha kritik sistemlere taşınmasını engellemektir.

Tier Model, “tüm sistem yöneticileri her sistemi yönetebilir” anlayışının yerine, yönetim yetkilerini güven seviyelerine göre ayıran bir mimari sunar. Böylece bir istemci bilgisayarın ele geçirilmesi durumunda saldırganın doğrudan Domain Controller gibi kritik sistemlere ulaşması zorlaştırılır.

Bu model, özellikle Pass-the-Hash (PtH), Pass-the-Ticket (PtT) ve benzeri kimlik tabanlı saldırılara karşı geliştirilen en önemli mimari yaklaşımlardan biri olmuştur.

Tier Model Neden Geliştirildi?

Active Directory ortamlarında sistem yöneticilerinin aynı hesapla hem istemcilere hem üye sunuculara hem de Domain Controller’lara oturum açması uzun yıllar yaygın bir uygulamaydı. Ancak bu yaklaşım ciddi güvenlik riskleri oluşturuyordu.

Örneğin bir Domain Admin hesabıyla kullanıcı bilgisayarına oturum açıldığında, bu hesaba ait kimlik bilgileri istemci üzerinde önbelleğe alınabilir veya bellekte bulunabilir. İstemci bilgisayarın zararlı yazılım tarafından ele geçirilmesi durumunda saldırgan bu kimlik bilgilerini elde ederek doğrudan Domain Controller’lara erişim sağlayabilir.

Bu nedenle Microsoft, yönetim hesaplarının yalnızca ihtiyaç duydukları sistemlerde kullanılmasını sağlayan Tier Model’i geliştirmiştir.

Tier Model’in Temel Mantığı

Tier Model, yönetim altyapısını güven seviyelerine göre üç temel katmana ayırır:

Her katmandaki yönetici hesapları yalnızca kendi katmanındaki sistemlerde kullanılmalıdır. Böylece daha düşük güven seviyesindeki sistemlerde ele geçirilen kimlik bilgilerinin kritik altyapıya taşınması engellenmeye çalışılır.

Tier 0 – Kimlik ve Güven Altyapısı

Tier 0, kurumsal altyapının en kritik katmanıdır. Bu katmanda bulunan sistemlerin ele geçirilmesi, tüm Active Directory ortamının güvenliğini tehlikeye atabilir.

Tier 0 kapsamında değerlendirilen başlıca bileşenler şunlardır:

Tier 0 yöneticileri yalnızca Tier 0 sistemlerine erişmeli ve günlük kullanıcı bilgisayarlarında veya üye sunucularda oturum açmamalıdır.

Tier 1 – Sunucu ve Uygulama Yönetimi

Tier 1, üretim ortamındaki sunucuların ve kurumsal uygulamaların yönetildiği katmandır.

Bu katmanda yer alan sistemlere örnek olarak şunlar verilebilir:

Tier 1 yöneticileri yalnızca bu sistemleri yönetmeli, Domain Controller’larda veya Tier 0 bileşenlerinde oturum açmamalıdır.

Tier 2 – İstemci ve Son Kullanıcı Ortamı

Tier 2, son kullanıcıların kullandığı cihazları ve istemci ortamını kapsar.

Bu katmanda bulunan sistemler şunlardır:

Tier 2 yöneticileri yalnızca istemci cihazlarını yönetmeli ve daha yüksek güven seviyesindeki sunucularda veya Domain Controller’larda oturum açmamalıdır.

Tier Model’in Temel Kuralları

Tier Model’in başarısı, katmanlar arasındaki erişim sınırlarının korunmasına bağlıdır. Microsoft’un önerdiği temel prensipler şunlardır:

Bu kuralların amacı, kimlik bilgilerinin farklı güven seviyeleri arasında taşınmasını önlemek ve olası bir güvenlik ihlalinin etkisini sınırlandırmaktır.

Tier Model’in Sınırlamaları

Tier Model, uzun yıllar boyunca şirket içi (on-premises) Active Directory ortamları için etkili bir güvenlik yaklaşımı olmuştur. Ancak bulut teknolojilerinin, hibrit kimlik altyapılarının ve SaaS uygulamalarının yaygınlaşmasıyla birlikte yalnızca Domain Controller odaklı bir güvenlik modeli yeterli olmamaya başlamıştır.

Günümüzde Microsoft Entra ID, Microsoft 365, Intune, Configuration Manager, Hyper-V, VMware, Azure abonelikleri ve benzeri yönetim platformları da kritik ayrıcalıklı erişim noktaları haline gelmiştir. Bu nedenle klasik Tier Model, tüm modern yönetim düzlemlerini kapsayacak şekilde tasarlanmamıştır.

Microsoft da bu değişen ihtiyaçlar doğrultusunda güvenlik yaklaşımını genişleterek Enterprise Access Model‘i geliştirmiştir. Bu model, yalnızca Active Directory’yi değil, kurumun tüm kimlik ve yönetim altyapısını kapsayan daha bütüncül bir güvenlik yaklaşımı sunmaktadır.

Tier Model tamamen terk edilmiş bir mimari değildir. Günümüzde yalnızca şirket içi Active Directory ortamlarında hâlâ uygulanabilir ve güvenliğin önemli bir parçası olabilir. Ancak Microsoft, hibrit ve bulut odaklı yapılarda güvenliği yalnızca Tier 0, Tier 1 ve Tier 2 ayrımıyla sınırlı görmemekte; bunun yerine Enterprise Access Model ve Zero Trust prensiplerini temel alan daha kapsamlı bir yaklaşım önermektedir.

Privileged Access Workstation (PAW) Nedir?

Çünkü makalede PAW’ın adı birçok yerde geçiyor ancak aslında ne olduğu hiç anlatılmıyor. Okuyucu PAW’ı bilmeden Bastion Forest mimarisini tam olarak anlayamaz.

Privileged Access Workstation (PAW), Microsoft tarafından ayrıcalıklı yönetim işlemleri için geliştirilen güvenli yönetici iş istasyonu yaklaşımıdır. Temel amacı, yüksek yetkili hesapların günlük kullanıcı bilgisayarlarında kullanılmasını engelleyerek kimlik bilgilerinin ele geçirilme riskini azaltmaktır.

Geleneksel BT ortamlarında sistem yöneticileri çoğu zaman aynı bilgisayarı hem günlük işler hem de yönetim işlemleri için kullanmaktadır. İnternette gezinme, e-posta okuma, belge düzenleme veya üçüncü taraf uygulamaları çalıştırma gibi günlük işlemler sırasında kullanılan bu bilgisayarlar, zararlı yazılımlar veya kimlik bilgisi hırsızlığına yönelik saldırılar için önemli bir hedef hâline gelebilir.

Eğer aynı bilgisayarda Domain Admin veya Enterprise Admin gibi ayrıcalıklı hesaplarla da oturum açılıyorsa, saldırganın bu kimlik bilgilerini ele geçirme ihtimali önemli ölçüde artar.

Microsoft, bu riski azaltmak amacıyla yönetim işlemlerinin yalnızca güvenliği artırılmış özel iş istasyonları üzerinden gerçekleştirilmesini önermektedir. İşte bu özel bilgisayarlar Privileged Access Workstation (PAW) olarak adlandırılır.

PAW Neden Geliştirildi?

Modern saldırılar çoğu zaman doğrudan Domain Controller’ları hedef almak yerine, sistem yöneticilerinin kullandığı istemci bilgisayarları hedef alır.

zararlı yazılımlar kimlik bilgilerini ele geçirmeye çalışabilir.

Özellikle Pass-the-Hash (PtH), Credential Dumping, LSASS bellek dökümü ve Mimikatz gibi teknikler, yönetici hesaplarının istemci bilgisayarlarda kullanılmasını önemli bir güvenlik riski hâline getirmiştir.

PAW yaklaşımı, bu saldırı yüzeyini azaltmayı amaçlar.

PAW’ın Temel Özellikleri

Bir Privileged Access Workstation, standart kullanıcı bilgisayarından farklı olarak yalnızca yönetim işlemleri için hazırlanır.

Microsoft’un önerdiği temel özellikler şunlardır:

Amaç, saldırganın yönetici hesabına ulaşabileceği saldırı yüzeyini mümkün olduğunca küçültmektir.

PAW Bastion Forest İçerisinde Nasıl Kullanılır?

Bastion Forest mimarisinde yönetim işlemleri doğrudan kullanıcının günlük bilgisayarından gerçekleştirilmez.

Basitleştirilmiş bir senaryoda süreç aşağıdaki şekilde işler:

Bu yaklaşım sayesinde hem yönetici hesabı hem de yönetim işlemi güvenli bir ortam içerisinde gerçekleştirilmiş olur.

PAW’ın Sağladığı Güvenlik Kazanımları

PAW kullanımı aşağıdaki risklerin azaltılmasına yardımcı olur:

Bu nedenle Microsoft, Bastion Forest ve ESAE mimarilerinde ayrıcalıklı hesapların yalnızca PAW cihazlarında kullanılmasını temel güvenlik prensiplerinden biri olarak kabul etmektedir.

PAW yalnızca “güvenliği artırılmış bir bilgisayar” değildir. Microsoft’un güvenlik yaklaşımında PAW; ayrı yönetici hesapları, Tier Model, Bastion Forest, MIM PAM ve Just-In-Time (JIT) yetkilendirme ile birlikte çalışan bir güvenlik bileşenidir. Bu nedenle yalnızca yeni bir bilgisayar tahsis etmek, tek başına PAW yaklaşımını uygulamak anlamına gelmez. Güvenlik politikaları, erişim kısıtlamaları ve yönetim süreçleri de bu mimarinin ayrılmaz parçalarıdır.

Microsoft Identity Manager (MIM) Nedir?