Kimlik güvenliği terimleri, anlaşılır açıklamalarla

Microsoft’un dizin hizmetidir. Kurumların kullanıcı, grup ve bilgisayar bilgilerini tutar; birçok sistem kimlik doğrulamasını bu dizin üzerinden yapar. Windows oturumlarında Kerberos veya NTLM, uygulamalarda ise çoğunlukla LDAP kullanılır.

Microsoft’un kurum içi federasyon hizmetidir. Active Directory üzerinden SAML tabanlı Tek Oturum Açma (SSO) sağlar. Microsoft bulut tabanlı kimlik sağlayıcısına yönelse de ADFS birçok kurumda kullanılmaya devam ediyor.

Gerçek kullanım amacı olmayan sahte hesaplar ve kimlik bilgileri oluşturulur. Normalde kimsenin bunlarla etkileşime girmemesi gerekir. Bu nedenle bir erişim girişimi, hesap keşfine veya yanal harekete ilişkin güçlü bir saldırı işaretidir.

Yüksek yetkili hesapların nasıl kullanılacağını kontrol eder. Kimlik bilgilerini kasada saklar, oturumlara aracılık eder ve kayıt alır; oturum sırasında yapılabilecek işlemlere sınır koyar.

Ağa genel erişim vermek yerine belirli sistemlere yönetim erişimi sağlar. Her oturum ayrı ayrı yetkilendirilir ve kaydedilir. VPN ise çoğunlukla cihazı ağa bağlar; oturum içindeki yönetici işlemlerini tek başına denetlemez.

Oturum açarken birbirinden bağımsız en az iki doğrulama faktörü ister: bildiğiniz bir şey (parola), sahip olduğunuz bir şey (telefon veya güvenlik anahtarı) ya da size özgü bir özellik (parmak izi). Böylece çalınan parola tek başına yeterli olmaz.

Açık anahtar tabanlı kimlik doğrulama standartlarıdır. Kimlik bilgisi ilgili web sitesinin adresine bağlıdır; sahte bir site bu bilgiyi kullanamaz. Kimlik avına dayanıklı oturum açmanın temelini oluşturur. Doğrulayıcı, Windows Hello veya Touch ID gibi bir cihaz özelliği ya da fiziksel güvenlik anahtarı olabilir. Passkey ise cihazlar arasında eşitlenebilen bir FIDO kimlik bilgisidir.

Parolasını Active Directory’nin otomatik olarak değiştirdiği Windows hizmet hesabı türüdür. Destekleyen hizmetlerde sabit parola riskini azaltır. Ancak birçok cihaz, üçüncü taraf ürün ve eski uygulama gMSA kullanamaz.

Saldırgan, çalınmış kimlik bilgileriyle, ele geçirilmiş bir oturumla veya ikinci doğrulama adımını aşarak gerçek bir hesabın kontrolünü alır. Ardından hesap sahibi gibi hareket eder. İşlemler geçerli bir hesap üzerinden yapıldığı için saldırıyı fark etmek zordur.

Bir kişi yerine uygulama veya hizmetin kullandığı hesaptır. Dizine bağlanmak, veritabanına erişmek ya da zamanlanmış görev çalıştırmak için kullanılır. Parolası çoğunlukla kurulumda belirlenir ve uzun süre değiştirilmez.

Federasyon yapısında, kullanıcıları kendi parolalarıyla doğrulamak yerine kimlik sağlayıcıya güvenen uygulamadır. Relying party olarak da adlandırılır.

Active Directory etki alanlarında varsayılan kimlik doğrulama protokolüdür. Bilet temelli çalışır; parola ağ üzerinden doğrudan gönderilmez. Bu yönüyle parolayı ileten LDAP simple bind yönteminden ayrılır.

Bir veri ihlalinde açığa çıkan kullanıcı adı ve parola çiftlerinin başka hizmetlerde denenmesidir. Kullanıcıların aynı parolayı farklı yerlerde tekrar kullanmasından yararlanır.

Ayrıcalıklı erişim platformu, hedef sistemin kimlik bilgilerini doğrudan oturuma aktarır. Yönetici parolayı görmeden, yazmadan veya kendi cihazında tutmadan bağlanır. Kimlik bilgileri yönetici bilgisayarına ulaşmaz.

Kullanıcının kimliğini doğrulayan ve uygulamalara imzalı doğrulama bildirimi veya token veren sistemdir. Uygulamalar parolayı kendileri kontrol etmek yerine bu sisteme güvenir. SAML terminolojisinde bu uygulamalara hizmet sağlayıcı denir.

Uç nokta veya ağ yerine hesapları, kimlik bilgilerini, oturumları ve dizinleri hedef alan saldırıları tespit edip bunlara müdahale eder. Kimlik doğrulama davranışlarını analiz eder; ek doğrulama isteme, parola sıfırlamaya zorlama veya hesabı izole etme gibi adımlar atabilir.

Her hesap ve varlığın normal davranışlarını öğrenip bu davranışlardan sapmaları işaretler. Herkese aynı kurum ortalamasını uygulamak yerine, ilgili hesabın kendi alışılmış davranışlarını temel alır.

Uygulamaların dizinde sorgu yapmak ve kimlik doğrulamak için kullandığı protokoldür. Şifrelenmemiş LDAP üzerinden yapılan simple bind işleminde kullanıcı adı ve parola açık metin olarak iletilir. LDAPS iletişimi TLS ile şifreler; LDAP signing ise veri bütünlüğünü korur.

Uygulamalarla dizin arasına yerleşen bileşendir. Kimlik doğrulama istekleri buradan geçtiği için uygulamayı değiştirmeden ek doğrulama ekleyebilir, uygulamanın tuttuğu parolayı yalnızca proxy üzerinde geçerli sanal bir kimlik bilgisiyle değiştirebilir ve şifresiz bağlantı bölümünü TLS ile koruyabilir.

Bir kişi yerine yazılımın kullandığı kimliktir: hizmet hesabı, API anahtarı veya sertifika gibi. İkinci faktör için telefonu yoktur; kimlik bilgileri seyrek değiştirilir ve çoğu zaman geniş yetkilere sahiptir. Bu nedenle ayrı bir güvenlik riski oluşturur.

Saldırgan, geçerli bir parolayı kullanarak art arda push onay bildirimleri gönderir. Amaç, kullanıcının bildirimlerden kurtulmak için birini onaylamasını sağlamaktır. Burada protokol değil, insan davranışı hedef alınır.

Yetki devri için kullanılan bir çerçevedir. Uygulama, kullanıcının parolasını almadan onun adına işlem yapabilmek için token edinir. OpenID Connect bu yapının üzerine kimlik doğrulama katmanı ekler.

OAuth 2.0 üzerine kurulu kimlik katmanıdır. Kimlik sağlayıcı, uygulamaya kullanıcının kim olduğunu bildiren bir ID token verir. Modern uygulamaların ve API’lerin kullandığı JSON tabanlı biçimi destekler.

Ayrıcalıklı bir oturumun video ve aranabilir komut dökümü olarak kaydedilmesidir. Denetimde yalnızca bağlantının kurulduğunu değil, oturumda hangi işlemlerin yapıldığını da görmeyi sağlar.

Yaygın kullanılan birkaç parolanın çok sayıda hesapta, hesap kilitlenmesini tetiklemeyecek aralıklarla denenmesidir. İnternete açık oturum açma ekranlarında zayıf parolalı hesapları hedefler.

Oturum açmanın hiçbir aşamasında parola kullanılmayan yöntemdir. Kullanıcı, parola yerine başka bir doğrulama yöntemiyle giriş yapar. Böylece kimlik avıyla çalınabilecek, farklı hesaplarda denenebilecek veya yeniden kullanılabilecek bir parola girilmez.

Parolanın kendisi yerine ele geçirilmiş NTLM parola özetini kullanarak kimlik doğrulama saldırısıdır. Ayrıcalıklı parolaların sıradan iş istasyonlarına girilmemesi önemlidir; parola özetleri bu cihazların belleğinden ele geçirilebilir.

Güvenlik duvarları, VPN cihazları ve ağ ekipmanlarında yaygın olarak bulunan kimlik doğrulama protokolüdür. Cihaz, kimlik bilgilerini RADIUS sunucusuna gönderir ve gelen yanıta göre erişim kararı verir. Böylece cihaza ek yazılım kurmadan ikinci faktör eklenebilir.

Kurumsal uygulamaların Tek Oturum Açma (SSO) için sık kullandığı XML tabanlı federasyon standardıdır. Kimlik sağlayıcı imzalı bir bildirim üretir; hizmet sağlayıcı imzayı doğrulayıp kullanıcıyı oturum açtırır. Her iki taraftan başlatılan oturum açmayı ve tek noktadan oturum kapatmayı destekler.

Yalnızca proxy veya platform içinde geçerli olan, dizinde karşılığı bulunmayan kimlik bilgisidir. Uygulama gerçek parola yerine bunu saklar. Başka bir yerde ele geçirilse bile hiçbir hesapta kimlik doğrulamak için kullanılamaz.

Push doğrulamasında, oturum açma ekranında gösterilen sayının mobil uygulamaya girilmesini isteyen yöntemdir. Kullanıcı bildirimi düşünmeden onaylayamaz; başlatmadığı bir oturum için eşleştireceği sayı da yoktur.

Erişim isteğinin ağın içinden, bir tünelden veya daha önce bağlanmış bir cihazdan gelmesi ona otomatik güven kazandırmaz. Her oturum uygulama katmanında ayrı ayrı yetkilendirilir; yalnızca izin verilen hedeflere erişim sağlanır.

Ayrıcalıklı yetkilerin kalıcı olarak verilmesi yerine, talep üzerine ve genellikle onayla, sınırlı bir süre için tanımlanmasıdır. Süre dolduğunda yetki de kaldırılır.

Kullanıcının tek bir kimlik doğrulamayla birden fazla uygulamaya erişmesidir. Uygulamalar ortak bir kimlik sağlayıcıya bağlanır. Her uygulama için ayrı parola ihtiyacını azaltır ve güçlü kimlik doğrulamayı tek noktadan uygulamayı kolaylaştırır.

Zamana dayalı tek kullanımlık parola standardıdır (RFC 6238). Doğrulayıcı uygulama, paylaşılan gizli anahtar ve geçerli zamandan bir kod üretir. Ağ bağlantısı gerektirmediği için çevrimdışı oturum açmada da kullanılabilir.

Kimlik doğrulama gereksinimini bağlama ve riske göre değiştiren yaklaşımdır. İsteğin kaynağı, cihaz, saat ve hesabın alışılmış davranışları değerlendirilir. Düşük riskli girişe izin verilir; risk yükseldiğinde ek doğrulama istenir veya erişim engellenir.

RADIUS içinde belirli bir üreticinin tanımladığı bilgiyi taşıyan özniteliktir. Örneğin kullanıcının güvenlik duvarında hangi grup veya role atanacağını iletir; MFA eklendikten sonra cihazın mevcut erişim politikaları çalışmaya devam eder.

Saldırganın ilk erişim sağladığı sistemden başka sistemlere geçmesidir. Çalınan kimlik bilgilerini, ortak hesapları veya güven ilişkilerini kullanarak asıl hedefine ilerler. Her adım meşru erişim gibi görünebildiğinden tespiti zor olabilir.

Bir kullanıcının mevcut yetkilerinin ötesinde erişim elde etmesidir. UAC onayı, sudo komutu veya bir güvenlik açığının kullanılmasıyla normal oturum yönetici yetkisine çıkabilir. Oturum içindeki en kritik doğrulama noktalarından biridir.