Active Directory Kerberos Armoring (FAST) ve RPC Sealing Yapılandırma Kılavuzu (Adım Adım Resimli Rehber)
Windows Server 2022/2025 etki alanlarında Kerberos AS-REQ ve TGS-REQ kimlik doğrulama paketlerini şifreli tünel (FAST) içine alarak AS-REP Roasting ve Kerberoasting saldırılarını önleme, RPC Sealing zorunluluğu ve GPO ilke dağıtım rehberi.
AuditAgent™ Kod & Mimari Doğrulaması
Güven Skoru: %100AuditAgent Onaylı (Kerberos FAST RFC 6113 Validated)
Uygulama Önkoşulları & Gereksinimler
Giriş: Kerberos Armoring (FAST) Nedir?
Geleneksel Active Directory ortamlarında Kerberos ön kimlik doğrulaması (Pre-Authentication) sırasında istemci ile KDC (Key Distribution Center) arasındaki **AS-REQ (Authentication Service Request)** paketleri ağ üzerinden şifrelenmemiş düz metin meta verilerle taşınır. Saldırganlar ağ trafiğini dinleyerek (veya `DONT_REQ_PREAUTH` kullanıcılarını sorgulayarak) **AS-REP Roasting** ve **Kerberoasting** saldırılarıyla kullanıcı parolalarının NTLM/AES özetlerini çevrimdışı (offline) kırabilmektedir.
**Kerberos Flexible Authentication Secure Tunneling (FAST - RFC 6113 / Kerberos Armoring)**; istemci ile KDC arasındaki tüm Kerberos iletişimini istemci makinesinin kendi bilgisayar hesabının oturum anahtarı (Computer Account Session Key) ile oluşturulan zırhlı ve şifreli bir tünel içine alır. Bu sayede etki alanı dışındaki veya aradaki saldırganlar kullanıcı ön kimlik doğrulama verilerini ASLA göremez ve değiştiremez.
---
1. Adım: Domain Controller KDC Tarafında Kerberos Armoring Desteğinin Açılması
Group Policy Management Editor (GPMC) üzerinde Domain Controller'lar için geçerli ilke açılır: `Computer Configuration -> Policies -> Administrative Templates -> System -> KDC`
| GPO Ayarı | Değer | Açıklama |
|---|---|---|
| **KDC support for claims, compound authentication and Kerberos armoring** | **Supported** (veya geçiş tamamlandıktan sonra *Always provide claims*) | KDC'nin FAST zırhlı tünel isteklerini kabul etmesini sağlar. |
---
2. Adım: İstemci ve Sunucularda Kerberos İstemci Armoring Zorunluluğu
Domain genelindeki tüm Windows 10/11 ve Server 2022/2025 makinelerine uygulanacak GPO: `Computer Configuration -> Policies -> Administrative Templates -> System -> Kerberos`
- **Kerberos client support for claims, compound authentication and Kerberos armoring:** *Enabled*
- **Fail authentication requests when Kerberos armoring is not available:** *Disabled (Pilot geçiş aşamasında) -> Enabled (Tam sıkılaştırma)*
---
3. Adım: PowerShell ile FAST Tüneli ve Bilet Denetimi
İstemci makinede oturum açıldıktan sonra Kerberos biletlerinin zırhlı tünel kullanıp kullanmadığını denetleyin:
| 1 | # 1. Mevcut Kerberos Biletlerini ve Armoring Bayraklarını İnceleyin |
| 2 | klist.exe tickets |
| 3 | |
| 4 | # Çıktıda 'Ticket Flags: 0x40a10000 -> forwardable renewable name_canonicalize' |
| 5 | # ve 'FAST Armor: Yes' ibaresini doğrulayın. |
| 6 | |
| 7 | # 2. Domain Controller Üzerinde RPC Sealing ve KDC Ayarlarını PowerShell ile Denetleyin |
| 8 | Get-ItemProperty -Path "HKLM:\System\CurrentControlSet\Services\Kdc" -Name "KdcRpcSealingEnforcement" |
---
4. Adım: Olay Günlükleri (Event Viewer) ve Başarı Doğrulaması
Domain Controller üzerinde **Security** günlüğünde şu olay kimlikleri izlenir: - **Event ID 4768 (A Kerberos authentication ticket (TGT) was requested):** `Armored: Yes` değeri gözlemlenmelidir. - **Event ID 4771 (Kerberos pre-authentication failed):** FAST tünelini desteklemeyen eski Linux veya legacy cihazların tespiti için filtrelenir.
Bu Makaleyle İlgili Bir Sorunuz mu Var?
Uygulama esnasında aldığınız hata kodlarını veya logları forumda paylaşarak TriageAgent ve topluluktan anında destek alın.