Active Directory'de en sessiz risk, kimsenin kullanmadığı ama hâlâ oturum açabilen hesaplardır.
Her kurumda aynı tablo tekrarlanır: projesi biten danışmanın hesabı, bölüm değiştiren çalışanın eski test kullanıcısı, iki yıl önce hurdaya çıkan dizüstünün bilgisayar nesnesi. İşten ayrılış süreci ne kadar iyi kurgulanmış olursa olsun bu kayıtların bir kısmı gözden kaçar ve dizinde birikir.
Pasif AD hesapları temizleme, bu birikimi düzenli ve kontrollü bir işe dönüştürmektir. Doğru son oturum verisi, aşamalı bir silme akışı ve gerektiğinde onay adımı ister. ManageEngine ADManager Plus nedir ve hangi modüllerle gelir sorusunun pratik cevaplarından biri de burada yatar: ürün, pasif hesap raporunu bir otomasyon politikasına bağlayıp temizliği takvime oturtur.
Kısaca: Pasif AD hesapları temizleme, belirli bir süredir oturum açmamış kullanıcı ve bilgisayar hesaplarını tespit edip önce devre dışı bırakmak, ayrı bir OU'ya taşımak, bekleme süresinden sonra silmektir. ManageEngine ADManager Plus bu adımları Inactive Users ve Inactive Computers raporlarından beslenen zamanlanmış bir otomasyon politikasıyla, istenirse onay iş akışıyla yürütür.
Kullanılmayan Active Directory hesapları neden hem risk hem maliyettir?
Kullanılmayan Active Directory hesapları saldırgan için hazır kapıdır. Sahibi artık bakmadığı için parolası değişmez, olağan dışı bir oturum açma kimsenin dikkatini çekmez ve hesap çoğu zaman eski grup üyeliklerini korur. MITRE ATT&CK bu davranışı T1078.002 Valid Accounts: Domain Accounts alt tekniği olarak tanımlar: geçerli bir etki alanı hesabıyla yapılan hareket, imza tabanlı kontrollerin çoğunu aşar.
Bilgisayar hesapları da aynı ölçüde önemlidir. Aylardır ağa bağlanmamış bir makinenin nesnesi grup ilkesi, yama ve envanter raporlarında yer kaplar; uyumluluk denetiminde "bu cihaz nerede?" sorusuna cevap verilemez.
Maliyet tarafı daha görünürdür. Kullanıcı başına lisanslanan e-posta, ofis paketi, VPN ve güvenlik ajanı gibi hizmetlerde pasif hesaplara ayrılmış koltuklar boşa ödenir. AD ile eşitlenen bulut hizmetlerinde pasif AD hesapları temizleme, bu koltukların geri kazanılmasının da ilk adımıdır.
Son oturum tarihi doğru mu? lastLogon ve lastLogonTimestamp farkı
Pasif hesap tespitinin tamamı tek bir veriye dayanır: hesabın en son ne zaman oturum açtığı. Active Directory bu bilgiyi iki farklı öznitelikte tutar ve ikisinin davranışı farklıdır.
- lastLogon: Oturumu doğrulayan etki alanı denetleyicisinde (DC) anlık güncellenir ama diğer DC'lere çoğaltılmaz. Tek bir DC'ye bakan sorgu, kullanıcı başka bir DC üzerinden oturum açtıysa yanlış bir tarih görür.
- lastLogonTimestamp: Tüm DC'lere çoğaltılır, ancak yalnız mevcut değer yaklaşık 9 ila 14 gün eskiyse güncellenir. Microsoft bu özniteliği "hesap bu süreden beri kullanılmıyor mu?" sorusu için tasarlamıştır; anlık oturum takibi için değil.
Pratik sonuç şudur: eşik 30 günün altına indirilmemeli ve veri tek bir DC'den okunmamalıdır. ADManager Plus'ın Real Last Logon raporu, üretici dokümantasyonuna göre kullanıcıların son oturum verisini ağdaki tüm DC'lerden toplayarak en güncel değeri bulur. Inactive Users raporu ise seçilen etki alanı ve OU'larda 30, 60 ya da özel bir gün sayısı boyunca oturum açmamış hesapları listeler.
Raporun iki filtresi temizlik kalitesini doğrudan etkiler: "Exclude Never Logged On Users" ve "Exclude Disabled Users". Hiç oturum açmamış hesaplar çoğu zaman henüz işe başlamamış çalışanlardır ve ayrı ele alınmalıdır. Bilgisayarlar için Inactive Computers raporu, ölçütü son oturum zamanına ya da makine parolasının son değiştirilme tarihine (Password Last Set) göre kurmaya izin verir.
Pasif AD hesapları temizleme akışı: devre dışı bırak, taşı, bekle, sil
Bulunan hesabı hemen silmek en sık yapılan hatadır. Silinen bir kullanıcı geri getirildiğinde bile bazı bağlamlar kaybolabilir; devre dışı bırakılan hesap ise tek tıkla yeniden açılır. Üreticinin de önerdiği yaklaşım "önce devre dışı bırak, sonra sil" ilkesidir.
| Aşama | Ne yapılır | Neden |
|---|---|---|
| 1. Tespit | Inactive Users / Inactive Computers raporu, kapsam OU'larla sınırlanır | Hizmet ve özel hesaplar baştan dışarıda kalır |
| 2. Devre dışı bırakma | Hesap kilitlenir, nesne yerinde kalır | Yeni oturum engellenir, geri dönüş kolaydır |
| 3. Karantina OU'ya taşıma | Hesap ayrı bir "pasif hesaplar" OU'suna alınır | Durum tek bakışta görünür, ilkeler ayrılır |
| 4. Bekleme süresi | Örneğin 30-90 gün | Unutulan bir bağımlılık bu sürede ortaya çıkar |
| 5. Silme | Süre dolunca hesap kaldırılır | Dizin temiz kalır, lisans koltuğu boşalır |
Bu akış kullanıcı hesaplarının yanında bilgisayar hesaplarında da geçerlidir. Bekleme süresi boyunca dışa aktarılan rapor bir kayıt olarak saklanmalıdır; bir hesabın neden ve ne zaman kapatıldığı sorusu denetimde mutlaka gelir.
AD hesap temizliği otomasyonu: otomasyon politikası ve zamanlanmış görev
Elle yapılan temizlik ilk sefer işe yarar, ikinci çeyrekte unutulur. ADManager Plus bu işi iki parçalı bir yapıyla kalıcı hale getirir: Automation Policy ne yapılacağını, Automation ise neye ve ne zaman uygulanacağını tanımlar.
- Otomasyon politikası: Automation sekmesinde bir kullanıcı otomasyonu politikası oluşturulur. "Instant tasks" bölümüne hemen çalışacak adımlar (devre dışı bırakma, karantina OU'ya taşıma), "Successive tasks" bölümüne gün cinsinden gecikmeyle çalışacak adım (silme) eklenir.
- Otomasyon: Politika bir rapora bağlanır. "From Reports" alanında Inactive Users raporu seçilir, "Run at" alanında çalışma takvimi belirlenir; örneğin her ayın ilk günü sabah.
- Bilgisayarlar: Computer Automation altında Inactive Computers raporu kaynak gösterilerek aynı mantık bilgisayar nesnelerine uygulanır.
Üretici dokümantasyonundaki otomatik pasif kullanıcı temizliği örneği bu kurguyu adım adım gösterir. Burada önemli bir ayrıntı vardır: ilk adımda taşınan hesaplar, sonradan yeniden aktif olsalar bile ardışık adımlarda işlenir. Bu yüzden bekleme süresinde geri alınan bir hesap karantina OU'sundan elle çıkarılmalı ya da kapsam bu OU'ya göre kurgulanmalıdır.
Onay iş akışı: silmeden önce insan kontrolü
Tam otomatik silme her kurumun risk iştahına uymaz. ADManager Plus'ta otomasyon, iş akışıyla birlikte çalışabilir: bilgisayar silme otomasyonunda "Implement Business Workflow" seçildiğinde işlem doğrudan uygulanmaz, bir talep olarak onaya düşer. İş akışı en fazla dört seviyeli kurulabilir: talep eden, gözden geçiren, onaylayan ve uygulayan.
Senaryo: Bir lojistik şirketinde otomasyon her ayın ilk günü 90 gündür oturum açmamış hesapları buluyor ve devre dışı bırakıp "Pasif Hesaplar" OU'suna taşıyor. Silme adımı ise bir talep olarak insan kaynakları yöneticisine gidiyor. Yönetici listede uzun süreli izindeki bir çalışanı görüyor ve o hesabı listeden çıkarıyor; geri kalanı onaylıyor. Talep sistem yöneticisine geçiyor, silme uygulanıyor ve tüm adımlar iş akışı geçmişinde kalıyor. Böylece hem temizlik takvimi aksamıyor hem de iş birimi, kimin hesabının kapandığından haberdar oluyor.
Bu yapı, olay tetiklemeli işten ayrılış sürecinin tamamlayıcısıdır. Ayrılış adımlarını İK kaydıyla otomatikleştirmek için işe girişten ayrılışa kullanıcı yaşam döngüsü otomasyonu yazısına bakabilirsiniz; periyodik pasif hesap taraması ise o sürecin gözden kaçırdığı hesapları yakalayan güvenlik ağıdır.
Pasif AD hesapları temizlemede hariç tutulacak hesaplar ve sık hatalar
Pasif hesap otomasyonunun en büyük riski yanlış hesabı kapatmaktır. Aşağıdaki gruplar politikanın kapsamına girmeden önce ayrılmalıdır:
- Hizmet hesapları: Etkileşimli oturum açmadıkları için pasif görünürler ama uygulamalar onlara bağlıdır. Ayrı bir OU'da tutulup kapsam dışı bırakılmalıdır.
- Acil durum (break-glass) hesapları: Tasarım gereği nadiren kullanılırlar; kapatılırlarsa kriz anında erişim kaybolur.
- Yeni çalışanlar: Hesap açılmış ama ilk oturum henüz yapılmamıştır; "Exclude Never Logged On Users" filtresi bu yüzden vardır.
- Nadiren açılan makineler: Laboratuvar, üretim hattı ya da yedek dizüstüleri uzun süre kapalı kalabilir; bilgisayar politikasında eşik daha uzun tutulmalıdır.
Silme öncesinde hesabın gerçekten kullanılmadığını denetim kaydıyla doğrulamak da iyi bir pratiktir. ADAudit Plus özellikleri arasında yer alan oturum açma denetimi, bir hesabın hangi sistemlerde ve ne zaman kullanıldığını olay günlüklerinden gösterir ve son oturum özniteliğine ikinci bir kanıt ekler.
Sıkça Sorulan Sorular
lastLogon ile lastLogonTimestamp arasındaki fark nedir?
lastLogon, oturumu doğrulayan etki alanı denetleyicisinde anlık güncellenir ama diğer DC'lere çoğaltılmaz. lastLogonTimestamp tüm DC'lere çoğaltılır, ancak yalnız değer yaklaşık 9 ila 14 gün eskidiğinde güncellenir. Bu yüzden pasif hesap tespitinde verinin tüm DC'lerden toplanması ve eşiğin 30 günün altına inmemesi gerekir.
Bir AD hesabı kaç gün sonra pasif sayılmalı?
Pasif AD hesapları temizleme politikasında tek bir doğru sayı yoktur; eşiği kurum belirler. Kullanıcı hesaplarında 60-90 gün yaygın bir başlangıçtır. Bilgisayar hesaplarında uzun süre kapalı kalan makineler nedeniyle eşik daha uzun tutulabilir. ADManager Plus'ta Inactive Users raporu 30, 60 ya da özel gün sayısıyla çalışır.
Pasif hesap hemen silinmeli mi, devre dışı mı bırakılmalı?
Önce devre dışı bırakılmalıdır. Devre dışı hesap oturum açamaz ama nesne korunur ve gerekirse tek adımda geri açılır. Hesap ayrı bir OU'ya taşınıp bekleme süresi tanınır, süre dolunca silinir. ADManager Plus bu sıralamayı tek bir otomasyon politikasında anlık ve ardışık görevlerle kurgular.
Hizmet hesapları otomatik temizlikten nasıl korunur?
En güvenilir yöntem hizmet hesaplarını ayrı bir OU'da toplamak ve otomasyonun kapsamını yalnız kullanıcı OU'larıyla sınırlamaktır. Böylece etkileşimli oturum açmadığı için pasif görünen hesaplar listeye hiç girmez. Kapsam dışı bırakılan OU'lar dönemsel olarak ayrıca gözden geçirilmelidir.
Sonuç: Pasif AD hesapları temizleme ne zaman otomasyona taşınmalı?
Birkaç yüz hesaplık, yılda birkaç kez değişen bir dizinde dönemsel bir rapor ve elle temizlik yeterli olabilir. Hesap sayısı arttığında, birden fazla etki alanı yönetildiğinde ya da denetimlerde "pasif hesaplar ne zaman kapatıldı?" sorusuna kayıtla cevap vermek gerektiğinde ise pasif AD hesapları temizleme otomasyona taşınmalıdır. Risk iştahı düşük kurumlarda silme adımını onay iş akışına bağlamak, otomasyonun hızını korurken son kararı insanda bırakır.
Technodus, ManageEngine yetkili iş ortağı olarak ADManager Plus özellikleri üzerinde rapor kapsamının belirlenmesinden otomasyon politikası, karantina OU yapısı ve onay iş akışının kurulmasına kadar süreci uçtan uca sorumlulukla yürütür. Kendi dizininizdeki pasif hesap tablosunu görmek için Technodus ekibiyle iletişime geçebilirsiniz.