LSASS Bellek Koruması (RunAsPPL) ve Credential Dumping Önleme Yöntemleri

LSASS (Local Security Authority Subsystem Service), Windows’ta kullanıcı kimlik doğrulama ve güvenlik politikalarını yöneten kritik bir süreçtir. Saldırganlar sıklıkla LSASS belleğini okuyarak kimlik bilgisi (NTLM hash, Kerberos ticket, cleartext credential) çıkarır — buna “credential dumping” denir. Bu makalede LSASS koruması (RunAsPPL), Credential Guard ve pratik önlemler ile nasıl koruma sağlayacağınızı, tespit ve izleme yöntemlerini adım adım anlattık.

Credential Dumping Nedir? Neden Tehlikelidir?

Credential dumping, saldırganların hedef sistemdeki süreçlerden kimlik bilgilerini (örn. NTLM hash, Kerberos bileti) çıkarmasıdır. Elde edilen kimlik bilgileri ile saldırganlar lateral hareket, privilege escalation ve domain içinde genişleme yapabilirler. Mimikatz gibi araçlar bu amaçla sıkça kullanılır.

LSASS Koruması: RunAsPPL (Protected Process Light)

RunAsPPL ile LSASS, “protected process light” statüsüne alınır; bu durumda sıradan kullanıcı süreçleri veya imzasız süreçler LSASS belleğine doğrudan erişemez. Bu, geleneksel credential dumping tekniklerini büyük ölçüde zorlaştırır.

LSASS (RunAsPPL) Etkinleştirme (Örnek)

LSASS korumasını (RunAsPPL) açmak için kayıt defteri (registry) ayarı yapılır ve sistem yeniden başlatılır. Örnek PowerShell komutu:

Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Lsa" -Name "RunAsPPL" -Value 1 -Type DWord
# Güvenli açılış için yeniden başlatın:
Restart-Computer -Force

Not: Bazı üçüncü parti güvenlik yazılımları veya düşük seviyeli sürücüler RunAsPPL ile uyumsuz olabilir — üretim ortamında test edin.

Windows Defender Credential Guard

Credential Guard, Hyper-V tabanlı sanallaştırma ile kritik kimlik bilgilerini izole eder; LSASS içinden alınabilecek kimlik bilgilerini bellekte güvenli bir izolasyonda tutar. Büyük avantajı: bellek tabanlı kimlik bilgisi hırsızlığını engellemesidir.

Credential Guard Temel Gereksinimler

• UEFI modu, Secure Boot
• TPM 2.0 (tercih edilir)
• Windows 10/Server sürümlerinde Device Guard / VBS (Virtualization-based security) etkinleştirilmesi

Ek Koruyucu Önlemler ve Sert Politikalar

• En az ayrıcalık (Least privilege): Hizmet ve kullanıcı hesaplarını minimum yetkiyle çalıştırın.
• Local Administrator sayısını azaltın: Yerel admin ayrıcalıklarını sadece gerekli sistemlerle sınırlayın.
• Windows LAPS: Yerel yönetici parolalarını per-host ve otomatik döndüren LAPS kullanın.
• Multifaktörlü kimlik doğrulama (MFA): Yönetim arayüzleri ve uzak erişimler için zorunlu kılın.
• Credential Guard + RunAsPPL kombinasyonu: Her ikisi birlikte kullanıldığında bellek tabanlı sızıntılara karşı daha dayanıklı bir yapı oluşturur.
• Uygulama kontrolü: AppLocker veya Windows Defender Application Control (WDAC) ile sadece imzalanmış güvenilir uygulamaları çalıştırın.
• EDR / Anti-Malware: Davranış tabanlı tespit yapan EDR çözümleri ile Mimikatz benzeri süreçleri ve anormal bellek erişimlerini yakalayın.

Tespit — İzleme ve Alarm Kuralları

Credential dumping tespiti için hem yerel hem merkezi izleme gerekir.

Sysmon ile Örnek İzleme

Sysmon (Sysinternals) kullanarak LSASS’e erişim veya şüpheli proses davranışlarını izleyebilirsiniz. Özellikle Event ID 10 (ProcessAccess) ile hangi süreçin LSASS’e erişmeye çalıştığını tespit edin.

<RuleGroup name="LSASS Protection" cadence="1m">
  <ProcessAccess onmatch="include">
    <TargetImage condition="end with">lsass.exe</TargetImage>
  </ProcessAccess>
</RuleGroup>

Bu tip kural, LSASS’e erişim yapan süreçleri yakalayarak merkezi SIEM/EDR’e gönderilmesini sağlar.

Önemli Windows Event Log’ları

• Security: 4624 (successful logon), 4648 (explicit credentials usage), 4672 (special privileges assigned)
• System/Application: Sürüm uyumluluğu veya sürücü hataları
• Sysmon: EventID 1 (process create), 10 (process access), 11/7 (image loaded) — anormal DLL/driver yüklemeleri için

Hardening / Yapılandırma Kontrolleri

• Güncelleme ve yamalar: Windows ve güvenlik yazılımlarını güncel tutun.
• Özel servis hesapları: Managed Service Accounts (gMSA) veya Managed Identities kullanın.
• Şifreleme: At-rest ve in-transit verileri şifreleyin; RDP için Network Level Authentication (NLA) kullanın.
• Network segmentation: Yönetim trafiğini ayrı VLAN/VPN ile izole edin.

Olay Müdahalesi (IR) — Credential Dumping Görülürse Ne Yapılır?

1. İzole edin: Etkilenen hostu ağdan izole edin (sadece gerekli iletişim izinli şekilde).
2. Toplayın: Hafıza görüntüsü (memory dump) ve ilgili logları merkezi depoya gönderin.
3. Analiz: Hangi süreç/araç (ör. Mimikatz) çalıştırılmış, hangi hesaplar ele geçirilmiş inceleyin.
4. Şifre ve bileti iptal etme: Eğer riskli hesaplar tespit edildiyse parolaları değiştirin, Kerberos bileti önbelleklerini temizleyin (kullanıcı oturumları yeniden başlatılabilir).
5. İyileştirme: RunAsPPL/Credential Guard uygulayın, zafiyetleri yamalayın, eksik EDR kurallarını ekleyin.

Test ve Uygulama Rehberi

• Ön üretim ortamında RunAsPPL ve Credential Guard uyumluluk testleri yapın.
• EDR ve Sysmon kurallarını sahada doğrulamak için kontrollü simülasyonlar (red-team veya purple-team) gerçekleştirin.
• İş yükü kesintisi riskine karşı rollback planı ve snapshot/backup stratejisi hazırlayın.

Sonuç

LSASS belleği ve kimlik bilgilerinin korunması, modern Windows güvenlik mimarisinin temel taşlarındandır. RunAsPPL ile LSASS süreç koruması, Credential Guard ile kimlik izolasyonu ve güçlü izleme/EDR çözümleri birleştiğinde credential dumping riskini ciddi oranda azaltırsınız. Ancak her zaman katmanlı güvenlik (defense-in-depth), güncelleme disiplini ve düzenli testler şarttır.