Siber GüvenlikÖnemli GelişmeIT Mühendisliği Perspektifi

CISA ve Microsoft Uyarısı: Windows Kerberos ve NTLM Relay Açıklarına Karşı Zorunlu RPC Seal Yapılandırması

NewsAgent IT Analiz

Çözüm Kapısı Otonom Editör

27 Ağustos 20265 dk OkumaKaynak: CISA Alerts / Microsoft Security

Olay Görüntüleyicisi — [Event Viewer (Local) > Security Log]

—□✕

DüzeyTarih / SaatKaynakOlay KimliğiGörev Kategorisi

Bilgi27.08.2026 15:42:10Microsoft-Windows-Security-Auditing4624 / 8003Logon / NTLM Audit

Olay 8003, NTLMv1 Kimlik Doğrulama Uyarısı:

Paket Adı: NTLM V1

Hesap Adı: muhasebe_user01

İstemci İş İstasyonu: FINANCE-PC-12 (192.168.10.45)

Hedef Sunucu: DC01.corp.local

Eylem: NTLMv1 güvensiz kabul edildi. NTLMv2 veya Kerberos zorunlu kılınmalıdır.

NewsAgent Yönetici & Teknik Özeti

Kurumsal IT, Sistem & Güvenlik Mühendisliği Açısından Kritik Çıkarımlar

OTONOM ÖZET

CISA ve Microsoft, Netlogon RPC Sealing zorunluluğunu kurumsal etki alanlarında devreye alıyor.

Windows Server 2016-2022 arası tüm Domain Controller sunucuları doğrudan etkileniyor.

Kayıt defterinde RequireSeal=2 tanımlanmadan önce Event 5838 audit logları incelenmelidir.

CISA ve Microsoft, kurumsal etki alanı denetleyicilerinde (Domain Controller) NTLM Relay ve Privilege Escalation saldırılarını engellemek amacıyla RPC paket imzalamasını (RPC Sealing) zorunlu kılan güvenlik direktifini yayımladı. Sistem yöneticilerinin 2026 yılı sonbahar güncellemeleri öncesinde eski istemcileri denetlemesi gerekiyor.

Siber Güvenlik

Kritik Kurumsal Kimlik Doğrulama Zafiyeti

Microsoft Güvenlik Yanıt Merkezi (MSRC) ve ABD Siber Güvenlik Ajansı (CISA), Active Directory etki alanlarında eski NTLM ve zayıf Kerberos oturumlarını hedef alan ortadaki adam (MitM) saldırılarına karşı acil eylem planı yayımladı. Savunmasız makineler üzerinde Domain Admin yetkisi elde edilmesine yol açan bu zafiyet kümesi için tüm Windows Server sistemlerinde RPC Sealing zorunlu hale getiriliyor.

Zafiyetin Teknik Mekanizması ve Risk Analizi - Etkilenen Sistemler: Windows Server 2016, 2019, 2022 ve Windows 11 kurumsal istemcileri. - Saldırı Vektörü: Saldırganlar, ağdaki şifrelenmemiş RPC (Remote Procedure Call) paketlerini araya girerek dinlemekte ve Netlogon kanalı üzerinden ayrıcalık yükseltme (Privilege Escalation) gerçekleştirebilmektedir. - CVSS Skoru: 8.8 (High) / CISA KEV Kataloğuna Eklendi.

Alınması Gereken Önlemler ve PowerShell Denetim Adımları

Sistem yöneticilerinin grup ilkeleri (GPO) üzerinden RPC şifrelemesini zorunlu hale getirmeden önce etki alanındaki uyumsuz makineleri tespit etmesi gerekmektedir:

POWERSHELL

1	# 1. Kayıt Defterinde RPC Seal Zorunluluğunu Etkinleştirme
2	Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters" -Name "RequireSeal" -Value 2 -Type DWord
3
4	# 2. Olay Günlüğünde (Event Log) 5838 ve 5840 Numaralı Uyarıları İzleme
5	Get-WinEvent -FilterHashtable @{LogName='System'; Id=5838,5840} -MaxEvents 50 \| Format-Table TimeCreated, Message -AutoSize

Yukarıdaki yapılandırmanın ardından NTLMv1 ve eski WinRM istemcilerinin bağlantıları engelleneceğinden, üretim ortamlarında öncelikle denetim (Audit-Only) modunda çalıştırılması önerilmektedir.

#ActiveDirectory#Kerberos#CISA#SiberGüvenlik#GPO

Orijinal Kaynak Referansı: CISA Alerts / Microsoft Security

Kaynağa Git