Kerberos AES Encryption-Only Domain Yapılandırması

Kerberos kimlik doğrulamasında zayıf şifreleme türleri (DES/RC4) yıllardır istismar yüzeyi yaratır. Etki alanında yalnızca AES-128 ve AES-256 kullanmak; ticket ve pre-auth trafiğini modern kriptografiyle korur, password spraying/RC4 yan kanalı risklerini azaltır. Bu rehber; gereksinimler, kademeli geçiş (audit→enforce), GPO/policy ayarları, hesap anahtarları (SPN/gMSA) ve izleme adımlarını uçtan uca özetler.

Ön Koşullar

• Forest/Domain Functional Level: Windows Server 2008 veya üzeri.
• İstemci/DÇ işletim sistemleri: Windows 7/2008 R2 ve sonrası (AES destekli). Eski istemciler (XP/2003) ortamda kalmamalı.
• Zaman senkronu: NTP düzgün (±5 dk).
• Yedekleme ve bakım penceresi: DC’ler ve kritik servis hesapları için.

Geçiş Stratejisi (Önerilen)

1. ENVANTER > 2. AUDIT (AES+RC4 birlikte) > 3. KEK ROTASYONU >
4. GPO: AES-Only (Pilot) > 5. AŞAMALI ENFORCE > 6. TEMİZLİK/İZLEME

1) Envanter ve Mevcut Şifreleme Türleri

DC’lerde Kerberos olaylarını inceleyin; bilet şifreleme tipi (Ticket Encryption Type) alanı hangi türlerin kullanıldığını gösterir.

# 4769 (Service Ticket) ve 4768 (TGT) olaylarını kontrol edin
# Event Viewer → Security → Filter by Event ID: 4768, 4769, 4771

2) Hesaplarda AES’i Etkinleştirme

Hesapların msDS-SupportedEncryptionTypes niteliğini AES’leri içerecek şekilde ayarlayın (AES128=0x08, AES256=0x10, RC4=0x04). Yalnız AES için değer 24 (0x18).

# Kullanıcı hesaplarında AES128+AES256 etkinleştirme
Get-ADUser -Filter * -Properties msDS-SupportedEncryptionTypes |
  Where-Object { $_.Enabled -eq $true } |
  Set-ADUser -Add @{msDS-SupportedEncryptionTypes=24}

# Bilgisayar/Service hesaplarında (SPN sahibi) AES açma
Get-ADComputer -Filter * -Properties msDS-SupportedEncryptionTypes |
  Set-ADComputer -Add @{msDS-SupportedEncryptionTypes=24}

Not: Özellikle service account ve uygulama havuz kullanıcıları için bu adım şarttır. Mümkün olduğunda gMSA (grup yönetilen servis hesabı) kullanın.

3) Anahtarları (Key) Yenileme / Parola Rotasyonu

• Servis ve kullanıcı hesaplarının parolalarını reset edin ki AES anahtarları türetilsin.
• Makine hesapları için: Reset-ComputerMachinePassword (gerekirse) veya doğal 30 günde bir yapılan otomatik yenilemeyi bekleyin.
• krbtgt hesabını iki kez (en az bir replikasyon aralığı arayla) döndürün:

  Set-ADAccountPassword -Identity "krbtgt" -Reset -NewPassword (Read-Host -AsSecureString)
  # replikasyon tamamlandıktan sonra ikinci kez tekrarlayın
  

4) GPO ile Kerberos Şifreleme Türlerini Sınırlandırma

Önce pilot OU’da, sonra kademeli olarak bütün etki alanında uygulayın.

Computer Configuration →
 Policies → Windows Settings → Security Settings → Local Policies → Security Options →
  "Network security: Configure encryption types allowed for Kerberos"

• Enabled → AES128_HMAC_SHA1 ve AES256_HMAC_SHA1 seçili, diğerleri (DES/RC4) kapalı.
• Pilot grupta 7-14 gün “AES-only” çalıştırın; başarısız oturumlar (4771) için istisnaları düzeltin.

5) Domain Controller Tarafı Doğrulamalar

• DC’lerde aynı GPO ayarı aktif olmalı (AES-only).
• Kerberos parametresi (varsa) kayıt defterinde kontrol:

  HKLM\SYSTEM\CurrentControlSet\Control\Lsa\Kerberos\Parameters
  # SupportedEncryptionTypes = 0x18  (AES128+AES256)
  

• “This account supports Kerberos AES 128/256 bit encryption” bayraklarının hesaplarda işaretli olduğunu doğrulayın.

6) İzleme ve Hata Giderme

• 4771 Kerberos pre-auth failed → Genellikle RC4 bekleyen eski bir servis/istemci.
• 4769 Service Ticket → “Ticket Encryption Type” alanı RC4 görüyorsa ilgili SPN hesabının anahtarı/özellikleri yenilenmemiştir.
• WEC/WEF veya SIEM üzerinde uyarı kuralı oluşturun. Pilot sürede RC4/ DES görüldüğünde olay üretin.

7) Uygulama ve Servis Notları

• Eski JDBC/LDAP sürücüleri veya üçüncü taraf NAS/print sunucuları RC4 isteyebilir; firmware/sürücü güncelleyin.
• IIS AppPool kimlikleri (service account) parola reseti sonrası application pool recycle yapın.
• SQL Server, SSRS, SharePoint gibi SPN kullanan servislerde SPN ve hesap parolası senkronunu doğrulayın.

8) Enforce Aşaması

Pilot temiz çıktıktan sonra GPO’yu kök seviyeye taşıyın ve tüm OU’larda uygulayın. 1-2 hafta RC4/4771 oranları sıfırlandıktan sonra zayıf türleri kalıcı olarak kaldırın.

9) Güvenlik Ekleri

• Kerberos FAST/Armoring (mümkünse) etkinleştirilerek pre-auth koruması artırılır.
• Tiering, LAPS/PLAPS, Admin Workstation (PAW), SMB Signing ve LDAP Channel Binding ile birlikte değerlendirildiğinde saldırı yüzeyi ciddi azalır.

Örnek Operasyon Kontrol Listesi

[ ] DC ve istemci sürümleri uygun
[ ] Hesaplarda msDS-SupportedEncryptionTypes = 0x18
[ ] Servis/gMSA parolaları resetlendi
[ ] krbtgt 2x döndürüldü
[ ] Pilot OU’da AES-only GPO
[ ] 4768/4769/4771 olayları temiz
[ ] Domain genelinde enforce

Sonuç

AES-only Kerberos, AD kimlik doğrulama güvenliğini güncel kriptografiyle hizalar. Kademeli geçiş ve doğru izleme ile üretimde kesinti olmadan uygulanabilir. Kurumsal ölçekte danışmanlık, izleme ve altyapı optimizasyonu için Kurumsal Hosting, yüksek erişilebilir Premium VDS ve Optimizasyon Hizmeti ile güvenliğe dayalı bir mimari kurabilirsiniz.