Windows Server 2025 & Entra ID Hibrit Mimaride NTLMv1/v2 Bloklama: GPO ile Kerberos Armoring (FAST) ve PowerShell Event ID Denetimi
NewsAgent Yönetici & Teknik Özeti
Kurumsal IT, Sistem & Güvenlik Mühendisliği Açısından Kritik Çıkarımlar
Active Directory NTLM Kapatma ve Kerberos FAST (Armoring) Geçişi
Kurumsal kimlik altyapılarında meydana gelen yetki yükseltme ve kimlik bilgisi hırsızlığı vakalarının %80'inden fazlası, 1990'lı yıllardan kalma NTLM (NT LAN Manager) protokolünün şifre özetlerinin (Hash) ağ üzerinden ele geçirilmesine (NTLM Relay / Pass-the-Hash) dayanmaktadır. Microsoft, Windows Server 2025 ve Windows 11 24H2 ile NTLM'i aşamalı olarak sonlandırmakta ve yerine Kerberos FAST (Flexible Authentication Secure Tunneling) standardını getirmektedir.
GPMC (Group Policy) ile NTLM Trafiğini Aşamalı Kapatma
Doğrudan engelleme yapmadan önce kurumsal iş uygulamalarında kesinti yaşanmaması için GPO ilkelerinin önce Audit (Denetim) modunda işletilmesi zorunludur:
| 1 | [Group Policy Management Console (GPMC) Konumu] |
| 2 | Computer Configuration |
| 3 | └── Policies |
| 4 | └── Windows Settings |
| 5 | └── Security Settings |
| 6 | └── Local Policies |
| 7 | └── Security Options |
| GPO İlke Adı | Geçiş Aşaması (Önerilen) | Nihai Güvenlik Standardı |
| :--- | :--- | :--- |
| Network security: Restrict NTLM: Audit NTLM authentication in this domain | Enable all | N/A (Tüm NTLM trafiği loglanır) |
| Network security: Restrict NTLM: Incoming NTLM traffic | Allow all | Deny all domain accounts |
| Network security: Restrict NTLM: Outgoing NTLM traffic to remote servers | Audit all | Deny all |
| KDC support for claims, compound authentication and Kerberos armoring | Supported | Always provide claims / Armored |
PowerShell ile NTLM Trafiği Üreten Uygulamaları Tespit Etme (Event ID 8001/8002)
Domain Controller sunucularınızdaki Microsoft-Windows-NTLM/Operational loglarını süzerek hangi uygulama ve servislerin hala NTLM kullandığını raporlayan PowerShell otomasyonu:
| 1 | # Domain Controller Üzerinde NTLM Operational Loglarını Denetleme |
| 2 | $NtlmEvents = Get-WinEvent -LogName "Microsoft-Windows-NTLM/Operational" -FilterXPath "*[System[(EventID=8001 or EventID=8002)]]" -MaxEvents 1000 -ErrorAction SilentlyContinue |
| 3 | |
| 4 | $NtlmReport = $NtlmEvents | ForEach-Object { |
| 5 | $xml = [xml]$_.ToXml() |
| 6 | [PSCustomObject]@{ |
| 7 | TimeCreated = $_.TimeCreated |
| 8 | EventID = $_.Id |
| 9 | UserName = $xml.Event.UserData.SecurityInfo.TargetUserName |
| 10 | Domain = $xml.Event.UserData.SecurityInfo.DomainName |
| 11 | Workstation = $xml.Event.UserData.SecurityInfo.WorkstationName |
| 12 | CallingProcess = $xml.Event.UserData.SecurityInfo.CallingProcessName |
| 13 | } |
| 14 | } |
| 15 | |
| 16 | # En Çok NTLM Kullanan Süreç ve Uygulamaları Grupla |
| 17 | $NtlmReport | Group-Object CallingProcess | Select-Object Count, Name | Sort-Object Count -Descending | Format-Table -AutoSize |
Kerberos Armoring (FAST) İstemci Sıkılaştırma İlkesi
Kerberos istemcilerinin KDC ile olan iletişimini şifreleyen ve oturum bileti kurcalamalarını engelleyen Kerberos FAST istemci ayarı:
| 1 | # PowerShell ile Yerel / GPO İstemci Kerberos Armoring Kayıt Defteri Anahtarı |
| 2 | New-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\Kerberos\Parameters" ` |
| 3 | -Name "EnableDynamicClientPublisher" -Value 1 -PropertyType DWord -Force |
| 4 | |
| 5 | New-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\Kerberos\Parameters" ` |
| 6 | -Name "SupportedEncryptionTypes" -Value 0x7ffffff8 -PropertyType DWord -Force |
İlgili Diğer Güncel IT & Teknoloji Haberleri
Tümünü Gör
Altyapı YönetimiApple iOS 18 & macOS Sequoia Kurumsal Dağıtım Kılavuzu: Intune Declarative Device Management (DDM), 802.1X EAP-TLS ve SCEP Sertifika Yapılandırması
Siber GüvenlikFortinet FortiOS 7.6.2 & 7.4.6 Güvenlik Güncellemesi: SSL-VPN yerine FIDO2 Passkey ile ZTNA ve FortiOS CLI Karantina Rehberi
Altyapı Yönetimi