Microsoft AZ-801: Active Directory Domain Services Güvenliği — Çalışma kılavuzu

By Laurynas Brazys · 7 August 2026 · #microsoft #az-801 #certification #exam-prep #study-guide

Şunun bir parçası: Microsoft Windows Server Hybrid Administrator Associate AZ-801 — Çalışma kılavuzu. Doğrulanmış cevaplarla şurada pratik yapın: Microsoft sınav merkezi, veya şurada süreli deneme sınavları çözün: ExamRoll.io.

Genel Bakış

Active Directory Domain Services (AD DS), Windows ağlarında kimlik ve erişimin temelini oluşturur. AD DS’i güvence altına almak; kimlik bilgilerinin nasıl oluşturulduğunu, saklandığını ve kullanıldığını kontrol etmek; ayrıcalıklı kimliklerin nerelerde kimlik doğrulaması yapabileceğini kısıtlamak; kimlik doğrulama protokollerini güçlendirmek; yüksek değerli eylemleri denetlemek; ve güvenilir kurtarma sağlamak anlamına gelir. Bu bölüm; ayrıntılı parola ve hesap ilkelerini, ayrıcalıklı kimlik korumalarını, kimlik doğrulama güçlendirme ve yetki devrini, denetim ve SACL’leri, Geri Dönüşüm Kutusu’nu (Recycle Bin), LDAP imzalama ve kanal bağlamayı (channel binding), AdminSDHolder davranışını, SYSVOL kurtarmayı da içeren yedekleme ve yetkili geri yüklemeleri (authoritative restores) ve AD katmanlama modelini (tiering model) kapsar.

Kimlik Bilgisi İlkeleri ve Ayrıcalıklı Kimlik Kontrolleri

Ayrıntılı parola ilkeleri (Fine-grained password policies - PSO’lar), ek domain’lere ihtiyaç duymadan tek bir domain içinde birden fazla parola/kilitleme ilkesine izin verir. PSO’lar, CN=Password Settings Container,CN=System,<domain DN> (msDS-PasswordSettingsContainer) içinde depolanan msDS-PasswordSettings nesneleridir. Bir PSO, msDS-PSOAppliesTo aracılığıyla kullanıcılara ve global güvenlik gruplarına uygulanır. Bir kullanıcıya (doğrudan veya gruplar aracılığıyla) birden fazla PSO uygulandığında, sonuçta geçerli olan PSO, en düşük msDS-PasswordSettingsPrecedence değerine sahip olandır; eşitlik durumunda, en düşük GUID‘e sahip PSO kazanır. Kullanıcının etkin PSO’su, msDS-ResultantPSO üzerine damgalanır. PSO’ları, daha düşük öncelik numaraları kazanmasını istediğiniz en kısıtlayıcı ilkelere karşılık gelecek şekilde tasarlayın ve etkin ilkeleri msDS-ResultantPSO‘yu okuyarak doğrulayın.

Protected Users güvenlik grubu, eski ve riskli kimlik doğrulama davranışlarını ortadan kaldırarak yüksek değerli hesapları güçlendirir. Üyeler:

NTLM, Digest veya CredSSP kullanamazlar
Kerberos için RC4 ve DES kullanmaları engellenir
Kerberos aracılığıyla (kısıtlamasız veya kısıtlanmış) yetki devrine tabi tutulamazlar
Sabit kısa bir yaşam süresine (varsayılan 4 saat) sahip, yenilenemeyen TGT‘ler alırlar
İş istasyonunda düz metin kimlik bilgilerini veya uzun vadeli sırları önbelleğe almazlar (bu, WDigest geri dönüşünü ve kimlik bilgisi materyalinin LSASS‘te kalmasını önler) Uygulama uyumluluğunu doğruladıktan sonra bu grubu, insanlar tarafından yönetilen ayrıcalıklı kimlikler ve yüksek riskli hizmet sahipleri için kullanın. Bu korumaları uygulamak için domain controller’ların Windows Server 2012 R2 veya daha yeni bir sürümde çalışması gerekir.

Kimlik doğrulama ilkeleri (Authentication policies) ve kimlik doğrulama ilkesi siloları (authentication policy silos), hesapların nerede ve nasıl kimlik doğrulaması yapabileceğini kısıtlar. Bir kimlik doğrulama ilkesi, TGT ömrü ve izin verilen cihazlar (SPN/ana bilgisayar FQDN‘i ile) gibi hesaba özgü Kerberos kısıtlamaları belirleyebilir. Bir kimlik doğrulama ilkesi silosu, kullanıcıları, bilgisayarları ve hizmet hesaplarını gruplandırır; böylece yalnızca izin verilen kombinasyonlar o ilke tarafından kısıtlanmış Kerberos kullanarak kimlik doğrulaması yapabilir. Bu, “istasyondan yöneticiye” (station-to-admin) denetimlerini zorunlu kılar: örneğin, Tier 0 yöneticileri yalnızca domain controller’lara ve belirlenmiş ayrıcalıklı erişim iş istasyonlarına (PAW’lar) oturum açabilir, üye sunuculara veya iş istasyonlarına değil. Maksimum etki için Protected Users ile birleştirin. Bu özellikler, Windows Server 2012 R2 DC’leri ve KDC armoring (zırhlama) gerektirir.

AdminSDHolder ve SDProp, ayrıcalıklı kimliklerin ACL‘lerini korur. Yerleşik yönetici gruplarının (örneğin, Domain Admins, Enterprise Admins, Schema Admins, Administrators, Account Operators, Server Operators, Backup Operators, Print Operators ve diğerleri) üyeleri “korumalıdır”. SDProp, PDC Emulator üzerinde saatlik olarak çalışır, CN=AdminSDHolder,CN=System‘deki ACL‘yi korunan nesnelere kopyalar ve bu nesneler üzerinde ACL kalıtımını devre dışı bırakır (AdminCount=1). Korunan nesneler üzerinde yardım masası hakları vermek için, AdminSDHolder üzerindeki ACL‘yi değiştirin — asla doğrudan tek tek korunan nesneler üzerinde değişiklik yapmayın — aksi takdirde değişiklik geri alınır. Bir hesap tüm korunan gruplardan çıkarıldığında, OU düzeyindeki ACL‘lerin ve GPO‘ların tekrar uygulanabilmesi için ACL kalıtımını yeniden etkinleştirin ve AdminCount‘u temizleyin.

Kimlik bilgisi sızıntısını en aza indirmek için bir AD katmanlama modeli (tiering model) benimseyin. Tier 0, domain controller’ları, kimlik sistemlerini (PKI, federasyon, PAM) ve bunları yöneten yönetici hesaplarını içerir. Tier 1, sunucu iş yüklerini ve bunların yöneticilerini içerir. Tier 2, iş istasyonlarını ve bunların yöneticilerini içerir. Katmanlar arasında oturum açmayı önleyin, Tier 0/1 yönetimi için PAW’ları kullanın ve Protected Users, kimlik doğrulama siloları, Remote Credential Guard, Just-Enough Administration (JEA) ve yerel yönetici parolası rotasyonu için Windows LAPS/Windows LAPS gibi özellikleri kullanarak kimlik bilgilerini yalıtın.

Kimlik Doğrulama Sıkılaştırması ve Yetki Devri

LDAP imzalama ve kanal bağlama (channel binding), aktarma (relay) ve araya girme (man-in-the-middle) saldırılarına karşı koruma sağlar. Grup İlkesi (Group Policy) aracılığıyla etki alanı denetleyicilerini (domain controller) imzalamayı zorunlu kılacak şekilde yapılandırın: Computer Configuration\Windows Settings\Security Settings\Local Policies\Security Options\“Domain controller: LDAP server signing requirements” = Require signing. Mümkün olan yerlerde istemci imzalamasını zorunlu kılın: “Network security: LDAP client signing requirements” = Require signing. LDAPS için, DC’lerde HKLM\SYSTEM\CurrentControlSet\Services\NTDS\Parameters altındaki LDAPEnforceChannelBinding değerini 1 (Etkin, önerilir) veya 2 (Her zaman) olarak ayarlayarak kanal bağlamayı etkinleştirin. Eski cihazların ve uygulamaların envanterini çıkarın; imzalama veya kanal bağlamayı etkinleştirmek, anonim/basit bağlamaları (anonymous/simple binds) veya eski LDAP yığınlarını bozabilir. Directory Service olay günlüğünü izleyin: 2886 (imzalama gerekli değil), 2887 (imzasız basit bağlamaların özeti), 2888 (imzalama hala devre dışı), 2889 (tanılama günlüğü etkinleştirildiğinde imzasız basit bağlamalar gerçekleştiren istemci IP’leri). Değişiklikleri “Her zaman” (2) modunda zorunlu kılmadan önce “Uyar” (kanal bağlama=1) modunda aşamalı olarak uygulayın.

Kerberos yetki devri (delegation), servislerin kullanıcılar adına nasıl hareket edeceğini kontrol eder:

Kısıtlanmamış yetki devri (“Trust this computer for delegation to any service (Kerberos only)”), bir servisin iletilebilir bir TGT almasına ve herhangi bir serviste kullanıcıların kimliğine bürünmesine olanak tanır. Bu yüksek risklidir; bunun yerine kısıtlanmış modelleri tercih edin.
Kısıtlanmış yetki devri (KCD) (“Trust this computer for delegation to specified services only”), bir servisin nereye yetki devri yapabileceğini sınırlar (hedef SPN’lerin listesi). “Use any authentication protocol” seçeneği ile servis, belirtilen arka uçlara (backend) ulaşmak için protokol geçişini (S4U2Self) ve ardından S4U2Proxy’yi kullanabilir.
Kaynak tabanlı kısıtlanmış yetki devri (RBCD), hedef hizmet hesabında msDS-AllowedToActOnBehalfOfOtherIdentity özniteliğini ayarlayarak kontrolü kaynağa devreder. Kaynak sahibi, hangi ön uç (front-end) sorumlularının kendisine yetki devri yapabileceğini belirler, bu da etki alanları arası (cross-domain) senaryoları basitleştirir ve saldırı yüzeyini en aza indirir. Modern tasarımlar için RBCD’yi tercih edin; SPN’leri ve yetki devri ayarlarını denetleyin ve periyodik olarak doğrulayın.

Denetim ve Dayanıklılık

AD DS denetimi bilinçli ve spesifik olmalıdır. Eski kategoriler yerine alt kategorileri etkinleştirmek için Gelişmiş Denetim İlkesi Yapılandırmasını (Advanced Audit Policy Configuration) kullanın ve tutarlılığı sağlamak için “Audit: Force audit policy subcategory settings to override audit policy category settings” ayarını yapın. Önerilen alt kategoriler arasında Hesap Yönetimi (Account Management), Oturum Açma/Kapatma (Logon/Logoff - Logon, Logoff, Special Logon), Hesap Oturum Açma (Account Logon - Kerberos Authentication Service/Service Ticket Operations) ve Dizin Hizmeti Değişiklikleri/Erişimi (Directory Service Changes/Access) bulunur. Önemli olay kimlikleri (event ID):

4720 (Bir kullanıcı hesabı oluşturuldu) - Hesap Yönetimi
4740 (Bir kullanıcı hesabı kilitlendi) - Hesap Yönetimi
4625 (Bir hesap oturum açamadı) - Oturum Açma/Kapatma
4648 (Açık kimlik bilgileri kullanılarak bir oturum açma denemesi yapıldı) - Oturum Açma/Kapatma Kritik öznitelikler için kim/ne/eski/yeni değerlerini yakalamak üzere Dizin Hizmeti Değişiklikleri (Directory Service Changes) ile destekleyin (olaylar 5136/5137/5139). Belirli değişiklikleri (ör. grup üyelikleri, SPN’ler, ACL’ler) denetlemek için hedeflenen nesneler veya OU’lar üzerinde SACL’leri yapılandırın (ADUC’de Gelişmiş Özellikleri (Advanced Features) etkinleştirin, nesnenin Security > Advanced > Auditing yolunu açın). Gerektiğinde “Write all properties” veya belirli özellikleri (member, servicePrincipalName) ve “Modify permissions/owner” denetlemek için girdiler ekleyin. Günlüklerin merkezi bir SIEM’e ulaştığını ve DC Güvenlik günlüklerinin (Security logs) yeterli saklama süresine sahip olduğunu doğrulayın.

AD DS Geri Dönüşüm Kutusu (Recycle Bin), silinen nesnelerin tüm özniteliklerini ve geri bağlantılarını (backlinks) koruyarak kazara silmelere karşı koruma sağlar. ADAC veya PowerShell (Enable-ADOptionalFeature -Identity ‘Recycle Bin Feature’ -Scope ForestOrConfigurationSet -Target <forest>) aracılığıyla forest başına bir kez etkinleştirin (geri alınamaz). Etkinleştirdikten sonra, silinen bir nesne msDS-DeletedObjectLifetime süresi boyunca (eğer ayarlanmamışsa, tombstoneLifetime varsayılan olarak kullanılır) “silinmiş nesne” durumunda kalır ve bu süre içinde öznitelikleri bozulmadan tamamen geri yüklenebilir. Bu süreden sonra, geri dönüştürülmüş bir nesne haline gelir ve artık öznitelikleriyle geri yüklenemez, daha sonra ise çöp toplama (garbage collection) ile temizlenir. Modern forest’larda tombstoneLifetime varsayılan olarak 180 gündür; daha eski forest’larda bu süre 60 gün olabilir. ADAC, LDP veya PowerShell (Restore-ADObject) ile geri yükleyin ve ayrıcalık kaymasını (privilege drift) önlemek için manuel olarak yeniden eklemek yerine Geri Dönüşüm Kutusu aracılığıyla yetkili (authoritative) grup üyeliği kurtarmayı tercih edin.

Yedeklemeler ve yetkili geri yükleme (authoritative restore) son savunma hattıdır. Windows Server Backup veya wbadmin (wbadmin start systemstatebackup) kullanarak her etki alanı denetleyicisinin sık sık Sistem Durumu (System State) yedeklerini alın. Geri Dönüşüm Kutusu’nun ötesinde nesne düzeyinde geri alma işlemleri için, Sistem Durumu’nun yetkili olmayan (non-authoritative) bir geri yüklemesini yapın, ardından belirli nesneleri veya OU’ları yetkili olarak işaretlemek için ntdsutil kullanın (sürümlerini yükselterek replikasyonun bunları yeniden uygulamasını sağlayın). Aradaki farkı anlayın: yetkili olmayan geri yükleme, DC’yi geri getirir ve ardından mevcut replikasyonu uygular; yetkili geri yükleme ise bir nesneyi işaretler, böylece geri yüklenen sürüm daha yeni kopyaların üzerine yazar. DFS Replication (DFSR) kullanan SYSVOL için, yetkili olmayan veya yetkili kurtarma gerçekleştirin:

Yetkili olmayan (Non-authoritative): DFSR hizmetini durdurun, etkilenen üyenin SYSVOL aboneliğini yetkili olmayan olarak ayarlayın (msDFSR-Options=0), ardından bir yukarı akış (upstream) ortaktan yeniden veri alması (re-hydrate) için DFSR’ı başlatın.
Yetkili (Authoritative): Seçilen sağlıklı DC’de, SYSVOL aboneliğini msDFSR-Options=1 (yetkili) olarak ayarlayın, DFSR’ı başlatın, ardından ortakları yeniden senkronize etmeye zorlayın (DFSRDIAG PollAD). dfsrdiag backlog ve olay günlükleri ile durumu doğrulayın. Eski FRS (desteklenmiyor) için DFSR’a geçiş yapın ve BurFlags prosedürlerinden kaçının.

Hepsini Bir Araya Getirme: Operasyonlar, Sıkılaştırma Öncelikleri ve Katmanlı Erişim

Öncelikle Tier 0’a öncelik verin: LDAP imzalama/kanal bağlamayı zorunlu kılın, kısıtlanmamış yetki devrini kaldırın, KCD/RBCD’ye geçin, ayrıcalıklı kimlikleri Protected Users grubuna yerleştirin ve oturum açma uç noktalarını kısıtlamak için kimlik doğrulama ilkeleri/siloları ekleyin ve Tier 0/1 yöneticileri için PAW’ları zorunlu kılın. Ayrıcalıklı hesaplar için sıkı kilitleme ve rotasyon içeren PSO’lar oluşturun. Tier 0 kapsayıcılarında SACL’ler ile gelişmiş denetimi açın. Günlük DC Sistem Durumu yedeklemelerini ve belgelenmiş yetkili geri yükleme ile SYSVOL kurtarma runbook’larını sağlayın. Tier 1/2’de, yönetici oturumlarının daha alt katmanlara açılmasını engelleyin, Windows LAPS ile yerel yönetici yeniden kullanımını kaldırın ve yanal hareket denemeleri için 4625/4740 ani artışlarını ve 4648 kötüye kullanımını izleyin.

Pratik Problem Senaryosu

Adobe, iş kolu uygulamaları eski protokollere dayanan bir yan kuruluşu satın aldıktan sonra şirket içi bir AD DS forest’ını hızla güvence altına almalıdır. Amaçlar, parola spreyi saldırılarının başarısını azaltmak, DC’lere yönelik kimlik bilgisi aktarımını durdurmak, ayrıcalıklı oturum açmaları PAW’larla kısıtlamak, bir web katmanı için yetki devrini modernize etmek ve yanlışlıkla silmelere karşı hızlı kurtarma sağlamaktır.

PSO’ları tanımlayın ve ayrıcalıklı gruplara atayın

msDS-PasswordSettingsContainer içinde kısa parola yaşı, yüksek karmaşıklık ve agresif kilitleme özelliklerine sahip sıkı bir PSO (düşük öncelik değeri) oluşturun.
msDS-PSOAppliesTo aracılığıyla “Domain Admins,” “Server Admins,” ve özel bir “Tier0‑Privs” grubuna uygulayın. Neden: Ayrıntılı PSO’lar, tüm etki alanını etkilemeden yalnızca yüksek riskli hesapları hedefler ve öncelik değeri, sıkı ilkenin kazanmasını garanti eder.

Protected Users ve kimlik doğrulama silolarını zorunlu kılın

Tier 0 insan yöneticilerini Protected Users grubuna ekleyin.
Yalnızca PAW ana bilgisayar SPN’lerinden ve DC’lerden Kerberos ile oturum açmaya izin veren bir kimlik doğrulama ilkesi oluşturun; hesapları ve PAW’ları bir kimlik doğrulama ilkesi silosunda birbirine bağlayın. Neden: Protected Users, NTLM/RC4’ü ortadan kaldırır ve yetki devrini önler; silolar, “yalnızca PAW’lardan” kuralını zorunlu kılarak token’ların açığa çıkmasını ve kimlik bilgisi hırsızlığı yollarını azaltır.

LDAP’ı sıkılaştırın ve kesintileri izleyin

“Domain controller: LDAP server signing requirements” ayarını Require olarak belirleyin; başlangıçta LDAPEnforceChannelBinding=1 olarak yapılandırın.
Eski bağlamaları belirlemek için 2886–2889 numaralı Directory Service olaylarını inceleyin; uygulamaları düzeltin, ardından LDAPEnforceChannelBinding=2 olarak ayarlayın. Neden: İmzalama ve kanal bağlama, DC’lere yönelik yaygın aktarım yollarını ortadan kaldırırken, aşamalı uygulama kesintileri önler.

Web katmanı için yetki devrini RBCD’ye taşıyın

Ön uç web sunucularının bilgisayar hesaplarını, arka uç API hizmet hesabının msDS-AllowedToActOnBehalfOfOtherIdentity özelliğine ekleyerek, kısıtlanmamış yetki devrinden RBCD’ye dönüştürün.
Eski “Trust this computer for delegation to any service” bayraklarını kaldırın; hizmet SPN’lerini hassas bir şekilde tanımlayın. Neden: RBCD, kaynağın kendisine kimin yetki devri yapabileceğini belirlemesine olanak tanır ve kimliğe bürünmeyi amaçlanan hedeflerle sınırlar, bu da yanal hareketi daraltır.

Gelişmiş denetimi ve SACL’leri etkinleştirin

Account Management, Logon/Logoff, Account Logon ve Directory Service Changes için Gelişmiş Denetim İlkesi’ni yapılandırın.
Tier 0 OU’ları ve kilit gruplar üzerinde, member ve servicePrincipalName üzerindeki Yazma işlemlerini ve izin/sahip değişikliklerini denetleyen SACL’ler ekleyin.
Logları SIEM’e iletin; 4720, 4740, 4625 ve 4648 anomalileri için uyarılar oluşturun. Neden: Göremediğiniz şeyi savunamazsınız; bu olaylar hesap oluşturma, kilitlemeler, başarısız oturum açmalar ve açık kimlik bilgisi kullanım modellerini ortaya çıkarır.

AD DS Geri Dönüşüm Kutusu’nu açın ve kurtarma runbook’larını son haline getirin

Forest düzeyinde Geri Dönüşüm Kutusu’nu etkinleştirin ve Restore-ADObject iş akışlarını belgeleyin.
Windows Server Backup ile günlük DC Sistem Durumu yedeklemelerini standartlaştırın, bir laboratuvar ortamında ntdsutil aracılığıyla yetkili geri yüklemeyi test edin.
DFSR SYSVOL yetkili ve yetkili olmayan kurtarma işlemlerini belgeleyin ve prova edin. Neden: Hızlı ve doğru kurtarma, saldırganların yıkıcı eylemlerini caydırır ve ayrıcalık kayması olmadan yönetici hatalarını azaltır.

AD katmanlama modelini operasyonel olarak uygulayın

Tier 0/1/2 varlıklarını tanımlayın; Grup İlkesi ve kimlik doğrulama silolarını kullanarak yönetici oturum açmalarını katmana göre kısıtlayın.
Tier 0/1 için PAW’ları dağıtın, Remote Credential Guard’ı zorunlu kılın ve Windows LAPS ile yerel yönetici parolalarını döndürün. Neden: Katmanlama, kimlik bilgilerinin yalıtımını sağlar ve saldırganların katmanlar arasında yükselmesini durdurarak günlük operasyonları güvenlik sınırlarıyla uyumlu hale getirir.

← Microsoft Sentinel ve Güvenlik İzleme · Tüm alanlar · Azure Arc ve Hibrit Sunucu Yönetimi →

Bu soruları çözün → · ExamRoll.io’da süreli pratik →