Kimlik ve Ayrıcalıklı Erişim Güvenliği
Sertifika Altyapısı ve AD CS
Active Directory Sertifika Hizmetleri (AD CS) altyapınızı inceliyoruz. Sıradan bir kullanıcının yönetici adına sertifika almasına izin veren ayarları tespit ediyoruz.
Nedir?
AD CS, kurum içinde kullanıcılara, bilgisayarlara ve servislere sertifika verir. Bu sertifikalar parola yerine oturum açmak için de kullanılabilir. Hatalı yapılandırılmış bir şablon, bir kullanıcının başkası adına sertifika almasına izin verebilir. Böyle bir sertifika, hedef hesabın parolası değişse bile geçerlilik süresi boyunca kullanılabilir.
Kapsam
- Sertifika şablonları ve kayıt (enrollment) izinleri
- Sertifika yetkilisi (CA) sunucularının ayarları ve yöneticileri
- Web tabanlı kayıt arayüzleri ve kimlik doğrulama ayarları
- Etki alanı denetleyicilerindeki sertifika eşleme ayarları
- CA özel anahtarlarının korunması ve HSM kullanımı
- Sertifika iptali ve süresi dolan sertifikaların takibi
İhtiyaç
Hangi durumlarda ihtiyaç duyulur?
- AD CS yıllar önce kurulduğunda ve şablonları kimin neden açtığı bilinmediğinde.
- Bir sızma testi AD CS üzerinden yetki yükseltme bulgusu raporladığında.
- Kablosuz ağ, VPN veya akıllı kartla oturum açma için sertifika kullanımını genişletmeden önce.
Yöntem
Nasıl çalışıyoruz?
-
Envanter
Sertifika yetkililerini, şablonları ve kayıt izinlerini standart bir kullanıcı hesabıyla listeleriz.
-
Yapılandırma analizi
Şablonları ve CA ayarlarını, kamuya açık araştırmalarda bilinen hatalı yapılandırma sınıflarına göre inceleriz.
-
Kontrollü doğrulama
Kritik bulguları onayınızla, bir test hesabıyla ve kayıt altında doğrularız.
-
Düzeltme sırası
Sertifika kullanan sistemleri bozmadan şablon izinleri ve CA ayarlarının düzeltme sırasını belirleriz.
Sonuç
Çalışmanın sonunda elinizde olan
Sertifika altyapınızda kimin kimin adına sertifika alabildiğini bilirsiniz. Riskli şablonlar, onları kullanan sistemlerle birlikte listelenir ve düzeltme sırasına konur.
Sık sorulan sorular
AD CS kullanmadığımızı düşünüyoruz. Yine de kontrol edilmeli mi?
Evet. AD CS bazen bir uygulama kurulumu sırasında eklenir ve unutulur. Envanter adımı, ortamda bir sertifika yetkilisi olup olmadığını da gösterir.
Sorunlu bir şablonu kapatmak neyi etkiler?
O şablonla sertifika alan sistemler yenileme yapamaz. Bu nedenle önce şablonu kullanan sistemler belirlenir, ardından izinler daraltılır.
Kimlik ve Ayrıcalıklı Erişim Güvenliği
Bu alandaki diğer hizmetler
Bu hizmet için görüşelim.
İhtiyacınızı kısaca anlatın. Kapsamı ve takvimi ilk görüşmede birlikte netleştirelim.
Görüşme Planlayın