Sürekli kilitlenen bir Active Directory hesabının arkasındaki makineyi ve bileşeni bulmak için olay günlükleri ve ADAudit Plus Account Lockout Analyzer ile uygulanabilir bir yöntem.
Parolasını yeni değiştiren bir kullanıcı sabah hesabının kilitlendiğini bildirir, yardım masası kilidi açar, yarım saat sonra aynı çağrı yeniden gelir. Hesap kilitlenme kaynağı bulunmadan yapılan her kilit açma işlemi sorunu yalnız erteler; eski parolayı hâlâ deneyen bir sürücü eşlemesi, servis ya da telefon arka planda hesabı kilitlemeye devam eder. Bu yazıda ADAudit Plus nedir ve hangi denetimleri yapar sorusunun ötesine geçip ürünün tek bir yeteneğine odaklanıyoruz: ManageEngine ADAudit Plus Account Lockout Analyzer ile kilitlenmenin hangi makineden ve hangi bileşenden geldiğinin bulunması.
Kısaca: Hesap kilitlenme kaynağı, hatalı parolayı etki alanı denetleyicisine gönderen makine ve o makinedeki bileşendir. Event ID 4740 kaynak makineyi gösterir ama süreci göstermez. ADAudit Plus Account Lockout Analyzer, kilitlenmeyi kaynak makine ve IP ile eşler; servis, zamanlanmış görev, eşlenmiş sürücü, RDP oturumu ve mobil cihaz gibi olası nedenleri tek ekranda listeler.
Active Directory Hesap Kilitlenmesi Neden Tekrar Eder?
Hesap kilitlenme ilkesi, belirli sayıda hatalı parola denemesinden sonra hesabı kilitleyerek parola tahmin saldırılarını yavaşlatır. Sorun, bu denemelerin çoğunun kullanıcıdan değil, kullanıcının eski parolasını saklayan bir bileşenden gelmesidir. Parola değiştiğinde kullanıcı yeni parolayla oturum açar, ama arka planda eski parolayla kimlik doğrulamaya çalışan her bileşen sayacı artırmaya devam eder.
Sahada tekrarlayan Active Directory hesap kilitlenmesinin en sık nedenleri şunlardır:
- Eski parolayla kaydedilmiş eşlenmiş ağ sürücüleri ve yazıcılar
- Kullanıcı hesabıyla çalışan Windows servisleri
- Kullanıcı hesabıyla tanımlanmış zamanlanmış görevler
- Bağlantısı kesilmiş ama kapatılmamış RDP oturumları
- Kurumsal e-postaya ActiveSync ile bağlanan telefon ve tabletler
- Windows Kimlik Bilgisi Yöneticisi'nde (Credential Manager) saklanan eski parolalar, VPN ve e-posta istemcileri
Her kilitlenme masum değildir. Çok sayıda hesapta aynı anda görülen kilitlenmeler parola püskürtme (password spraying) girişiminin işareti olabilir; MITRE ATT&CK bu tekniği T1110.003 olarak tanımlar. Bu yüzden kaynağı bulmak hem yardım masası hem güvenlik ekibi için aynı sorudur.
Event ID 4740, 4625 ve 4771: Hesap Kilitlenme Kaynağı Loglarda Nasıl İzlenir?
Yerel araçlarla iz sürmek mümkündür, ama birden fazla günlüğü birleştirmeyi gerektirir. Önce Group Policy ile Advanced Audit Policy altında "User Account Management" denetimi açılmalıdır; aksi halde kilitlenme olayı kaydedilmez. Ardından şu olaylar incelenir:
| Olay | Nerede kaydedilir | Ne söyler |
|---|---|---|
| 4740 (hesap kilitlendi) | Etki alanı denetleyicisi, PDC Emulator | Kilitlenen hesap ve "Caller Computer Name" alanında kaynak makine |
| 4771 (Kerberos ön kimlik doğrulama başarısız) | Etki alanı denetleyicisi | Hatalı parolanın geldiği istemci adresi |
| 4625 (oturum açma başarısız) | Denemenin yapıldığı istemci veya sunucu | Hatalı denemeyi yapan süreç adı ve oturum türü |
Yerel yöntemin sınırı burada belirginleşir. 4740 hangi makineden geldiğini söyler, hangi bileşenden geldiğini söylemez. Kaynak makinede 4625 olaylarını bulmak için o makinenin günlüğüne ayrıca bakmak gerekir; makine bir dosya sunucusu ya da Exchange sunucusuysa kaynak bir adım daha geriye kayar. Birden fazla etki alanı denetleyicisi olan ortamlarda bu eşleştirme her kilitlenmede yeniden yapılır.
Account Lockout Analyzer ile Hesap Kilitlenme Kaynağını Bulma
ADAudit Plus, etki alanı denetleyicilerindeki kilitlenme olaylarını merkezi olarak toplar ve Account Lockout Analyzer raporunda her kilitlenmeyi kaynak makine, IP adresi ve kilitlenme öncesindeki oturum açma geçmişiyle birlikte gösterir. Rapor konsolda Active Directory > User Management > Account Lockout Analyzer yolundadır; kilitlenmeler zamana göre sıralanır ve "Details" bağlantısı olası nedenleri açar.
Analiz, kaynak makinede eski kimlik bilgisi kullanan bileşenleri tarar. Üreticinin dokümantasyonunda geçen başlıca kaynaklar servisler, zamanlanmış görevler, eşlenmiş sürücüler, RDP oturumları, uygulamalar ve mobil cihaz oturum açmalarıdır. Böylece hesap kilitlenme kaynağı için "Muhasebe-PC14 makinesi" bilgisinin yanında "eski parolayla çalışan yedekleme görevi" gibi uygulanabilir bir cevap elde edilir.
Mobil cihaz ve web posta kaynaklı kilitlenmeler için ek bir yapılandırma gerekir. ActiveSync ve Outlook Web App (OWA) kaynaklarının raporlanması için Client Access rolündeki Exchange sunucusunda IIS günlüğünün açılması ve ADAudit Plus sunucusunda IIS bileşeninin etkinleştirilmesi gerekir; ADAudit Plus bu yapılandırmayı otomatik olarak da yapabilir. Bu adım atlanırsa telefon kaynaklı kilitlenmeler yalnız Exchange sunucusunu kaynak olarak gösterir.
Gerçek Zamanlı Kilitlenme Uyarısı ve Hesap Kilitlenme Raporları
Kaynağı bulmak kadar önemli olan, kilitlenmeyi kullanıcı aramadan önce görmektir. ADAudit Plus, kutudan çıktığı haliyle çalışan varsayılan bir Account Lockout uyarı profiliyle gelir. Uyarı e-posta veya SMS ile gönderilir; belirli bir süre içinde belirli sayıda olay görüldüğünde tetiklenecek eşik tanımlanabilir. Uyarı, ServiceDesk Plus, ServiceNow ve Jira gibi yardım masası araçlarında otomatik talep de açabilir.
Kilitlenme tarafında kullanılan başlıca raporlar şunlardır:
- Recently Locked Out Users: Tüm etki alanı denetleyicilerindeki kilitlenmeler, kaynak makine ve çağıran IP ile
- Recently Unlocked Users: Hangi hesabın kilidini kimin, ne zaman açtığı
- Logon Attempts by Locked Out Users: Kilitli hesapla yapılmaya devam eden denemeler
- Account Lockout Policy Changes: Eşik, süre ve sıfırlama aralığındaki değişiklikler
- Unusual Volume of Lockout: Analytics sekmesinde, olağan dışı kilitlenme hacmi
Son rapor güvenlik tarafı için önemlidir. Tek hesapta tekrarlayan kilitlenme çoğunlukla eski kimlik bilgisidir; kısa sürede çok sayıda hesapta görülen kilitlenme ise parola püskürtme şüphesidir. Hibrit ortamlarda Entra ID tarafındaki kilitlenmeler de Account Locked Out Users raporuyla izlenir.
Senaryo: Bir lojistik şirketinde operasyon müdürü parolasını değiştirdikten sonra hesabı gün içinde defalarca kilitlenir. Yardım masası her seferinde kilidi açar. ADAudit Plus uyarısı açılan talebe hesap kilitlenme kaynağı olarak bir dosya sunucusunu ekler; Account Lockout Analyzer o sunucuda müdürün hesabıyla tanımlanmış bir zamanlanmış görev bulur. Görev bir servis hesabına taşınır, aynı kullanıcının telefonundaki e-posta hesabında parola güncellenir ve kilitlenme durur. Talep, kök nedenle birlikte kapatılır.
Yardım Masası Yükü: Kilit Açma Self-Servise, Kök Neden ADAudit Plus'a
Kilit açma ve parola sıfırlama, yardım masasına gelen çağrıların önemli bir bölümünü oluşturur. Bu yükü azaltmanın iki ayağı vardır. Birincisi kullanıcının kilidini kendisinin açabilmesidir: ManageEngine ADSelfService Plus, çok faktörlü doğrulamayla self-servis hesap kilidi açma ve parola sıfırlama sunar; parola süresi dolmadan kullanıcıya hatırlatma göndererek kilitlenmelerin bir kısmını baştan önler. Bu akışın ayrıntılarını self-servis parola sıfırlama yazısında ele almıştık.
İkinci ayak, aynı hesabın yeniden kilitlenmesini önlemektir. Self-servis kilit açma kullanıcıyı hızla işine döndürür, ama eski parolayı saklayan hesap kilitlenme kaynağı yerinde kaldıkça kilitlenme tekrar eder. Account Lockout Analyzer bu döngüyü kırar: tekrar eden kilitlenmeler raporlanır, kaynak bileşen düzeltilir, Recently Unlocked Users raporu da kilit açma işlemlerinin denetim izini tutar.
Sıkça Sorulan Sorular
Active Directory hesabım neden sürekli kilitleniyor?
En yaygın neden, parola değiştikten sonra eski parolayı saklamaya devam eden bir bileşendir: eşlenmiş ağ sürücüsü, kullanıcı hesabıyla çalışan servis veya zamanlanmış görev, kapatılmamış RDP oturumu ya da e-postaya bağlı telefon. Bu bileşenler arka planda eski parolayla kimlik doğrulamaya çalışır ve kilitlenme eşiğine ulaşılır. Hesap kilitlenme kaynağı düzeltilmeden kilit açmak sorunu çözmez.
Hesabı kilitleyen bilgisayar nasıl bulunur?
PDC Emulator rolündeki etki alanı denetleyicisinin güvenlik günlüğünde Event ID 4740 olayı aranır; "Caller Computer Name" alanı kilitlenmeyi tetikleyen makineyi gösterir. Ardından o makinedeki 4625 olaylarından hatalı denemeyi yapan süreç bulunur. ADAudit Plus Account Lockout Analyzer bu adımları birleştirir ve kaynak makineyle olası bileşeni tek raporda gösterir.
Event ID 4740'ta kaynak bilgisayar görünmüyorsa ne yapılır?
Caller Computer Name alanı boş geliyorsa ya da bir sunucuyu gösteriyorsa iz bir adım geriye taşınmalıdır. Kerberos kimlik doğrulamasında 4771 olayındaki istemci adresi kaynağı verir. Kaynak Exchange sunucusu görünüyorsa deneme büyük olasılıkla ActiveSync ile bağlanan bir mobil cihazdan ya da OWA'dan gelir; bunun için Exchange IIS günlüklerinin incelenmesi gerekir.
Hesap kilitlenmesi bir saldırı işareti olabilir mi?
Olabilir. Tek bir hesapta tekrar eden kilitlenmeler çoğunlukla eski kimlik bilgisi kaynaklıdır. Kısa sürede çok sayıda hesabın kilitlenmesi ise parola püskürtme ya da kaba kuvvet girişimine işaret edebilir. Bu yüzden kilitlenme hacmindeki ani artışlar için ayrı bir uyarı tanımlamak ve kaynak IP adreslerini incelemek gerekir.
Sonuç: Ne Zaman Yerel Araç, Ne Zaman Merkezi Analiz?
Tek etki alanı denetleyicili, kilitlenmenin nadir görüldüğü küçük bir ortamda Event Viewer ve 4740 filtresi yeterli olabilir. Birden fazla etki alanı denetleyicisi, Exchange ve mobil cihaz kullanımı, servis hesabı yerine kullanıcı hesabıyla çalışan görevler ve hibrit Entra ID varsa, hesap kilitlenme kaynağı her seferinde elle aranmaz. Bu durumda merkezi toplama, kaynak bileşen analizi ve gerçek zamanlı uyarı birlikte gerekir.
Account Lockout Analyzer'ın yanı sıra oturum açma, değişiklik ve uyumluluk raporlarının ayrıntıları için ADAudit Plus özellikleri sayfasını inceleyebilirsiniz. Yerel yöntem adımları için üreticinin hesap kilitlenme kaynağı bulma rehberi de faydalı bir başvuru kaynağıdır.
Technodus olarak ManageEngine çözümlerinde denetim politikalarının açılmasından kilitlenme uyarılarının yardım masasına bağlanmasına kadar kurulum ve yapılandırmayı uçtan uca üstleniyoruz. Ortamınızda tekrar eden kilitlenmeleri birlikte incelemek ya da bir PoC planlamak için bizimle iletişime geçebilirsiniz.