Active Directory’de Acil Durum Hesapları: Break Glass Account Nedir ve Nasıl Kullanılır?

Break Glass Account, genellikle kritik durumlar veya acil erişim senaryoları için kullanılan, özel olarak yapılandırılmış yüksek yetkili bir hesaptır. Bu hesaplar, özellikle sistem yöneticileri veya güvenlik ekipleri tarafından kullanılır ve yalnızca bir acil durum meydana geldiğinde devreye girer. Amaç, sistemlere erişimin kaybedilmesi durumunda hızlıca müdahale etmeyi sağlamaktır.

Break Glass Account’ın Özellikleri

1. Yüksek Yetkili Hesap: Hesap, genellikle “global administrator” veya “domain admin” gibi en üst düzey erişim yetkilerine sahiptir.
   
2. Kısıtlı Kullanım: Günlük operasyonlarda kullanılmaz. Sadece acil durumlar için tasarlanmıştır.
   
3. Güçlü Parola: Hesabın parolası, genellikle çok karmaşık ve uzun olur. Bazı durumlarda parola, güvenli bir kasada veya yazılı olarak fiziksel bir yerde saklanır.
   
4. MFA (Çok Faktörlü Kimlik Doğrulama):
   • Bazı durumlarda bu hesaplarda MFA (Multi-Factor Authentication) devre dışı bırakılabilir, çünkü acil durumlarda erişim sorunlarını önlemek amaçlanır.
   • Ancak güvenlik açısından, MFA’nın uygun bir şekilde yapılandırılması önerilir.
     
5. Acil Durum Prosedürleri: Bu hesaba erişim ve kullanım prosedürleri önceden belirlenir ve yalnızca belirli kişiler tarafından kullanılabilir.

Break Glass Account’ın Kullanım Senaryoları

1. MFA veya Erişim Sorunları: Birden fazla yönetici MFA cihazına erişimini kaybettiğinde.
   
2. Active Directory Arızaları: Domain Controller’lara erişim mümkün olmadığında.
   
3. Hesap Kilitlenmeleri: Tüm yönetici hesapları kilitlendiğinde veya devre dışı bırakıldığında.
   
4. Kritik Sistem Arızaları: Bulut tabanlı hizmetlerde erişim sorunları yaşandığında (ör. Microsoft 365, Azure).

Senaryo 1: Domain Admin Hesapları Kilitleniyor

Bir kuruluşun tüm Domain Admin hesapları bir güvenlik politikası güncellemesi sırasında yanlışlıkla kilitleniyor. Hiçbir yönetici hesabı oturum açamıyor ve kritik sistemlere erişim kesiliyor.

Break Glass Account Kullanımı:

• Yedek olarak tanımlanan Break Glass hesabı devreye alınır.
• Bu hesap, Domain Controller’da oturum açarak kilitlenen hesapların parolalarını sıfırlamak veya yeniden etkinleştirmek için kullanılır.
• Sistem hızla eski durumuna döndürülür.

Senaryo 2: MFA Altyapısı Çöktü

Durum:
Şirketin MFA hizmet sağlayıcısı (ör. Azure AD MFA) erişilemez hale gelir. Yönetici hesaplarının tümü MFA etkin olduğu için oturum açamıyor.

Break Glass Account Kullanımı:

• MFA gereksinimi olmayan Break Glass hesabı kullanılarak oturum açılır.
• Sistem yöneticileri, MFA hizmetini tekrar çevrimiçi duruma getirmek veya geçici olarak devre dışı bırakmak için bu hesaptan işlem yapar.
• Normal erişim geri sağlanır.

Senaryo 3: Ransomware Saldırısı

Durum:
Bir kuruluş, geniş çaplı bir ransomware saldırısına maruz kalır. Saldırganlar, Active Directory’ye erişimi engelleyerek tüm yönetici hesaplarını kilitler. Etki alanı denetleyicilerine erişim tamamen kaybedilir.

Break Glass Account Kullanımı:

• Fiziksel olarak erişilebilen bir Domain Controller’da Break Glass hesabı ile oturum açılır.
• Hesap, saldırı sonrası etkilenen sistemlerin kontrolünü yeniden sağlamak ve kurtarma işlemlerini başlatmak için kullanılır.
• Kritik sistemlerin kurtarılmasını hızlandırır.

Senaryo 4: Yanlış Grup İlkesi (GPO) Uygulaması

Durum:
Bir yönetici yanlışlıkla tüm Domain Admins hesaplarının etki alanı denetleyicilerine oturum açmasını engelleyen bir GPO uygular. Bunun sonucunda, kimse yönetici haklarına sahip cihazlara erişemez.

Break Glass Account Kullanımı:

• Break Glass hesabı, bu GPO’nun etkilenmediği bir güvenlik ilkesiyle önceden yapılandırılmıştır.
• Bu hesap kullanılarak oturum açılır ve yanlış yapılandırılmış GPO düzeltilir.
• Sistem yöneticileri normal erişimlerine kavuşur.

Senaryo 5: Test ve Geliştirme Ortamında Hesap Sorunları

Durum:
Birden fazla sistem yöneticisinin aynı anda test ve geliştirme ortamında çalıştığı bir projede, tüm yönetici hesapları yanlışlıkla devre dışı bırakılır. Hata fark edildiğinde kimse erişim sağlayamaz.

Break Glass Account Kullanımı:

• Test ortamındaki AD üzerinde yedek olarak tutulan Break Glass hesabı kullanılarak oturum açılır.
• Devre dışı bırakılan hesaplar yeniden etkinleştirilir ve test ortamındaki çalışmalar devam eder.

Break Glass Account Kullanımı ile İlgili En İyi Uygulamalar

1. Minimum Sayıda Hesap: Sadece bir veya iki adet Break Glass hesabı tanımlayın.
   
2. Erişim Kısıtlamaları: Bu hesapları yalnızca gerektiğinde erişilebilecek şekilde yapılandırın.
   
3. Düzenli Test: Hesapların çalıştığından ve erişilebilir olduğundan emin olmak için düzenli olarak test edin.
   
4. Kayıt Altına Alma: Hesap kullanımı kayıt altına alınmalı ve düzenli olarak izlenmelidir.
   
5. Denetim ve Güvenlik: Hesapların kimler tarafından kullanılabileceği ve ne zaman erişilebileceği net şekilde belirlenmeli.

Break Glass Account’lar, sistemlerin güvenliğini sağlarken acil durumlarda operasyonel kesintilerin önüne geçmek için kritik öneme sahiptir. Ancak bu hesapların kötüye kullanılmasını önlemek için dikkatli bir şekilde yönetilmeleri gerekir.