Zayıf Parola Testi (WPT) Ürün Kılavuzu

Zayıf Parola Testi (WPT) hakkında bilgi almak için aşağıdaki bölümleri okuyun veya kısa Zayıf Parola Testi (WPT) videosunu izleyin.

WPT'ye Giriş

WPT, parola ile ilgili saldırılara açık olan kullanıcı parolaları bakımından Aktif Dizininizi (AD) inceleyen ücretsiz bir araçtır.

WPT, karma parolalar ve şifreleme algoritmaları kullanarak parola tablonuzu almak için AD'nize bağlanır. Bundan sonra araç, parolaları on potansiyel parola güvenlik açığına karşı analiz eder.

Hangi kullanıcı hesaplarının testi geçemediğini ve bunun nedenini sonuçlarınızda görebilirsiniz. Bu bilgiler; kuruluşunuzun parolaların karmaşıklığına yönelik gereksinimlerini artırmanızı, kullanıcılarınızı güvenli parola uygulamaları konusunda eğitmenizi veya kuruluşunuzun güvenliğini artırmaya yardımcı diğer eylemleri gerçekleştirmenizi sağlayabilir.

Sistem Gereksinimleri ve Ön Koşullar

WPT'yi çalıştırmak için sisteminizin aşağıdaki gereksinimleri karşılaması gerekir:

• Windows 10 veya üzeri (32 veya 64 bit), Windows Server 2016 veya üzeri
• Windows Server 2008 R2 veya üzerinde çalışan Aktif Dizin (AD)
• Etki alanı denetleyicisine (DC) erişim
• İnternet erişimi
• .NET Framework 4.7.2 (gerekirse yüklenecektir)
• En az iki işlemci
• En az 2 GB RAM
• Sistem sürücünüzde en az 1 GB sabit disk sürücüsü (HDD) alanı
• Etkinleştirilmiş Kullanıcı Hesabı Kontrolü (UAC)

Tarama işlemi geçici olarak ciddi bir ağ trafiği ve merkezi işlem birimi (CPU) kullanımı oluşturabileceğinden, bu testi DC'niz dışındaki bir sistemde çalıştırmanızı öneririz.

Kurulum için aşağıdaki bilgiler gerekli olacaktır:

1. Teste kaydolurken e-posta yoluyla aldığınız lisans anahtarı.
2. AD'nizin etki alanı adı. Örneğin EtkiAlanim.com veya EtkiAlanim.yerel.
3. DC'nizin adı.
4. AD'nize bağlanmak için kimlik bilgileri.

Kurulum ve Ayarlama

Sistem gereksinimlerini ve ön koşulları karşıladığınızda WPT'yi kurup ayarlayabilirsiniz. Başlamak için aşağıdaki adımları uygulayın:

1. WPT aracını indirmek için WPT sayfamızdan kaydolun ve WPT kurulum dosyasını indirin.
2. Kurulum işlemi sırasında kullanmanız gereken benzersiz WPT lisans anahtarınızı almak için e-postanızı kontrol edin.
3. WPT kurulum dosyasını çalıştırın.
4. Lisans sözleşmesini inceleyin ve kabul edin. Ardından kurulumu tamamlamak için Install (Kur) seçeneğine tıklayın.
5. WPT'yi başlatmak için Finish (Bitir) seçeneğine tıklayın.
6. 1. Adımda aldığınız lisans anahtarınızı girin ve OK (Tamam) seçeneğine tıklayın.
7. Active Directory Details (Aktif Dizin Bilgileri) kısmına, Aktif Dizininize (AD) ait gerekli bilgileri girin:
   • AD'nizin etki alanı adı
   • Etki alanı denetleyicinizin (DC) adı
8. Credentials (Kimlik Bilgileri) kısmına, Replicating Directory Changes (Dizin Değişikliklerini Kopyalama) ve Replicating Directory Changes All (Tüm Dizin Değişikliklerini Kopyalama) izinleri etkinleştirilmiş olan, oluşturduğunuz hesabın kullanıcı adını ve parolasını girin.
9. Testinizi başlatmak için Start Test (Testi Başlat) seçeneğine tıklayın.
10. Test, AD hesaplarınızı zayıf parolalar bakımından analiz eder. AD'nizin boyutuna ve iş istasyonunuzun performansına bağlı olarak, bu işlem bir dakika veya daha uzun sürebilir.
11. Test tamamlanır tamamlanmaz sonuçlarınız ekranda görüntülenir. Tüm güvenlik açıklarını anlamak için sonraki bölümü okuyun.

Sonuçlarınızı Anlama

WPT sonuçlarınız, kaç hesabın saldırıya açık olduğunu ve her hesabın hangi güvenlik açığından etkilendiğini gösterir. Aşağıdaki bölümler, sonuçlarınızda gezinmenize ve bulunan parola güvenlik açığı türlerini anlamanıza yardımcı olur.

Sonuçlarınızda Gezinme

Aktif Dizin (AD) hesaplarınız ayrı satırlar hâlinde listelenir. Her satırda yer alan bir veya daha fazla onay işareti, söz konusu hesap için bulunan belirli güvenlik açıklarını belirtir. Ayrıca arama kutusuna karakterler girerek belirli bir hesabı da arayabilirsiniz.

Daire grafiği, bulunan güvenlik açıklarının sayısı ile türünü karşılaştırır ve kuruluşunuzda en yaygın olarak karşılaşılan parola güvenlik açıklarını belirlemek için kullanılabilir.

Belirli bir güvenlik açığını analiz etmek isterseniz sonuçları hata türüne göre filtreleyebilirsiniz. Bunu yapmak için pencerenin sol tarafındaki belirli hata türüne tıklayın; yalnızca o türdeki hesaplar listede kalır.

Aşağıda WPT kullanıcı arayüzü hakkında ek bilgiler bulunmaktadır:

1. Sonuçlarınızı, sayfanın sol tarafındaki kenar çubuğuna tıklayarak hata türüne göre filtreleyebilirsiniz.
2. Arama çubuğunu kullanarak belirli AD hesaplarını arayabilirsiniz.
3. Her satırda yer alan onay işaretleri, her hesap için bulunan parola güvenlik açığının türünü belirtir.
4. Sonuçlarınızı Excel Elektronik Tablosu veya PDF dosyası olarak dışa aktarabilirsiniz.
5. WPT'yi tekrar çalıştırmak için Rerun Test (Testi Tekrar Çalıştır) seçeneğine tıklayın. Bu düğmeye tıklamadan önce mevcut sonuçlarınızı kaydetmenizi öneririz.

Hata Türleri

WPT, verilerinizi analiz ederek kuruluşunuzu saldırılara açık hâle getirebilecek on farklı hata türünü arar; bunlar aşağıda ayrıntılarıyla açıklanmıştır.

1. Weak Password (Zayıf Parola): Bu hata, etkilenen hesabın parolasının, zayıf parola sözlüğümüzde listelenen bir parolayla eşleştiğini belirtir. Bu parolalar ya çok yaygındır ya kolayca tahmin edilebilir veya geçmişteki veri ihlalleri nedeniyle saldırganlar tarafından ele geçirilmiştir.
2. Shared Password (Paylaşılan Parola): Bu hata, etkilenen hesabın en az bir diğer hesapla aynı parolaya sahip olduğunu belirtir.
3. Empty Password (Boş Parola): Bu hata, parolası ayarlanmayan hesapları içerir.
4. Clear Text Password (Açık Metin Parolası): Bu hata, Aktif Dizinde (AD) açık metin olarak saklanan parolaları içerir. Bu, kullanıcıların AD parolalarının geri dönüştürülebilir şifreleme kullanılarak saklandığı anlamına gelir.
5. Password Not Required (Parola Gerekmiyor): Bu hata, parola gerektirmeyen hesapları içerir.
6. Password Never Expires (Süresi Dolmayan Parola): Bu hata, hesabın parola zaman aşımının sıfıra ayarlandığını belirtir. Bu ayar nedeniyle, kullanıcının özelliklerinde Password never expires (Süresi dolmayan parola) onay kutusu işaretlenmiş olmasa dahi parolanın süresi hiçbir zaman dolmaz. WPT, kuruluşunuzun etki alanı politikalarındaki parola süresi dolma ayarlarını, ayrıntılı parola politikalarını ve kullanıcı özelliklerini kontrol eder.
7. LM Hash Password (LM Karma Parola): Bu hata, etkilenen hesabın eski bir yöntem olan Yerel Alan Ağı (LAN) yöneticisi karmasını kullandığını belirtir. Bu parolalar deneme yanılma saldırılarına açıktır ve kolayca kırılabilir.
8. AES Encryption Not Set (AES Şifrelemesi Ayarlanmadı): Bu hata, hesabın, kullanıcının parolasını şifrelemek için Gelişmiş Şifreleme Standardını (AES) kullanmadığını belirtir. AES, parolaları 128 bit veya 256 bit bir anahtarla şifreler. AES şifrelemesi kullanılan parolalar, saldırılara daha az açık hâle gelir.
9. DES-Only Encryption (Yalnızca DES Şifrelemesi): Bu hata, etkilenen hesapların kullanımdan kaldırılan Veri Şifreleme Standardı (DES) mekanizması kullanılarak ayarlandığını belirtir. Bu durum, AES'e nasıl tepki vereceğini bilmeyen eski bir yazılımdan kaynaklanabilir.

10. Missing Pre-Authentication (Eksik Ön Kimlik Doğrulaması): Bu hata, etkilenen hesaplarda, bir güvenlik mekanizması olan ön kimlik doğrulamasının kapalı olduğunu belirtir. Ön kimlik doğrulaması etkinleştirildiğinde şifreli bir kimlik doğrulama talebi oluşturulur ve böylece hesaba yönelik kimlik doğrulama girişimleri günlüğe kaydedilir.

    Bu hesap, deneme yanılma saldırısı riski altında olabilir. Deneme yanılma saldırıları çevrimdışı olarak gerçekleşebilir ve bunların tespit edilmesi zordur.

Ayarlar

WPT'nizi özelleştirmenizi sağlayan farklı ayarlar vardır. Daha fazla bilgi için aşağıdaki alt bölümleri okuyun.

İsteğe Bağlı Güvenlik Açıkları

WPT taramanızdan iki parola güvenlik açığını etkinleştirebilir veya devre dışı bırakabilirsiniz: AES Encryption No Set (AES Şifrelemesi Yok) veya Password Never Expires (Süresi Dolmayan Parola). Bu ayarlara erişmek için pencerenin sağ üst köşesindeki dişli simgesine tıklayın.

Özel Parolalar

WPT, bir kullanıcının parolasının zayıf olup olmadığını belirlemek için büyük bir parola kitaplığı kullanır. WPT taramasına dâhil etmek istediğiniz belirli parolalar varsa bu parolaları içeren bir metin dosyasını içe aktarabilirsiniz. Bu ayara erişmek için pencerenin sağ üst köşesindeki dişli simgesine tıklayın.

Metin dosyanızı içe aktarmadan önce dosyanızın 10 MB'tan küçük olduğundan ve dosyanın her satırına yalnızca bir parola eklediğinizden emin olun.

Dil

Pencerenin sağ alt köşesindeki dil adına tıklayarak WPT dilinizi değiştirebilirsiniz.

Güvenlik

WPT kullanırken Aktif Dizininiz (AD) ve kullanıcı bilgileriniz güvende tutulur. Test sonuçları yalnızca testte başarısız olan kullanıcı hesaplarını ve bunun nedenlerini belirler, böylece gerekli işlemleri gerçekleştirebilirsiniz.

Aşağıda WPT sırasında verilerinizin nasıl işlendiğiyle ilgili ayrıntıları bulabilirsiniz:

• Test sırasında AD'nizdeki hiçbir bilgi hiçbir zaman KnowBe4'a iletilmez.
• AD'nizden çekilen veriler şifrelenir.
• WPT, hiçbir AD kullanıcı hesabınızın parolasını görüntülemez.
• AD'deki parolalar karma formattadır ve karma format, test sırasında görünmez.
• Test sırasında elde edilen bilgiler diske kaydedilmez, bunun yerine yerel belleğe kaydedilir.