MITRE ATT&CK for Enterprise — Azaltmalar (Mitigations)

Kimlik doğrulaması için en az iki bağımsız faktör (bildiğin + sahip olduğun/olduğun) ister. Çalınan parolanın tek başına yeterli olmasını engeller; mümkün olan her yerde kimlik avına dayanıklı (FIDO2/WebAuthn) yöntem tercih edilmelidir.

Ayrıcalıklı hesapların (SYSTEM, root, admin) sayısını, kapsamını ve kullanım süresini sınırlar; just-in-time yükseltme, oturum kaydı ve denetimle kalıcı yetkiyi azaltarak yatay hareket ve ayrıcalık yükseltmeyi zorlaştırır.

Uzunluk öncelikli modern parola politikaları uygular; sızıntı/ortak parola listesi kontrolü, tekrar kullanımı engelleme ve gereksiz periyodik rotasyonu kaldırma ile yetkisiz erişim olasılığını düşürür.

Hesap kilitleme eşiği, oturum açma saati/konumu ve atıl zaman aşımı gibi kurallarla hesapların nasıl ve ne zaman kullanılacağını sınırlar; kaba kuvvet ve ele geçirilmiş hesap kötüye kullanımını azaltır.

Hesap yaşam döngüsünü (oluşturma, değiştirme, devre dışı bırakma) ve yetkilerini politikayla yönetir; atıl ve aşırı yetkili hesapların yarattığı saldırı yüzeyini azaltır.

Windows UAC, yükseltilmiş ayrıcalık gerektiren işlemlerde onay/kimlik ister. Doğru yapılandırıldığında sessiz ayrıcalık yükseltme ve yetkisiz sistem değişikliklerini sınırlar.

Grup ilkeleri ve AD sıkılaştırmasıyla (tiering, delegation temizliği, krbtgt rotasyonu, LAPS) yetkileri merkezî denetler; Kerberoasting, DCSync ve ACL kötüye kullanımı gibi saldırı yüzeyini azaltır.

Bellek ve diskteki kimlik bilgilerinin (LSASS, SAM, DPAPI) çalınmasını engelleyen platform korumaları (Credential Guard, RunAsPPL, WDigest kapatma) uygular.

Uygulama kontrolü/allowlisting ve script engellemeyle yalnız güvenilir ve onaylı kodun çalışmasına izin verir; bilinmeyen kod yürütmeyi varsayılan olarak reddeder.

Süreç, dosya ve API davranışlarını gerçek zamanlı analiz ederek (EDR, ASR kuralları, Controlled Folder Access) imzası bilinmeyen ve dosyasız saldırıları çalışma anında engeller.

İmza, sezgisel ve davranışsal analizle zararlı yazılımı tespit edip engeller ve temizler; tüm uç noktalarda merkezî yönetim, otomatik güncelleme ve tamper protection ile çalışmalıdır.

Kod yürütmeyi izole bir ortama (sandbox, konteyner, sanal makine) kısıtlayarak potansiyel zararlı kodun sisteme veya ağa yayılmasını sınırlar.

Yazılım sömürüsüne işaret eden koşulları tespit edip engelleyen yetenekler (DEP, ASLR, CFG, exploit-mitigation) devreye alır.

Yürütülebilir dosya ve script'lerin dijital imzasını güvenilir kaynaklara karşı doğrulayarak kurcalanmış veya güvenilmeyen kodun çalışmasını engeller.

Yalnız güvenilir ve doğrulanmış kütüphanelerin (DLL, paylaşılan nesne) yüklenmesini sağlar; DLL injection, arama sırası ele geçirme ve LD_PRELOAD kötüye kullanımını önler.

Gereksiz ve potansiyel zafiyetli yazılım, özellik veya servisleri (SMBv1, LLMNR, eski PowerShell, makrolar) kaldırarak saldırı yüzeyini daraltır.

Kullanıcıların yetkisiz/onaysız yazılım kurmasını allowlist, yazılım kısıtlama politikaları ve en az ayrıcalıkla engeller.

Yetkisiz donanım (harici disk, USB, çevre birimi) kullanımını politika ve teknik kontrollerle (port kapatma, sürücü kısıtı) engeller.

Yüksek ayrıcalıklı süreçleri (kimlik doğrulama, güvenlik servisleri) enjeksiyon ve kurcalamaya karşı korur (ör. Protected Process Light).

İşletim sistemi ayarlarını ve varsayılan yapılandırmaları sıkılaştırarak sömürü ve sistem işlevlerinin kötüye kullanımını azaltır.

Uygulama, middleware ve veritabanı ayarlarını güvenlik odaklı yapılandırarak saldırı yüzeyini azaltır ve en iyi uygulamaları zorlar.

URL filtreleme, indirme/eklenti kısıtı ve script engellemeyle zararlı site, phishing ve malware dağıtımına karşı korur.

Hassas registry anahtar/hive'larına erişimi kısıtlayarak kalıcılık, ayrıcalık yükseltme ve savunma atlatma amaçlı yetkisiz değişiklikleri önler.

Dosya sistemi düzeyinde erişim denetimleriyle hassas veri, sistem dosyaları ve dizinlere okuma/yazma/çalıştırma yetkisini sınırlar.

Ortam değişkenlerinin değiştirilmesini yalnız yetkili kullanıcı ve süreçlere kısıtlar; değişkenlerin bütünlüğünü koruyarak kötüye kullanımı önler.

Güvenli önyükleme ve donanım köklü güvenle (Secure Boot, TPM) önyükleme zinciri ve OS bileşenlerinin bütünlüğünü doğrular; firmware/bootloader kurcalamasını engeller.

Ağı küçük, izole segmentlere bölerek cihaz/sistem/uygulama arası trafiği denetler; saldırı yüzeyini ve yatay hareketi azaltır, kritik varlıkları korur.

Ağ cihazları ve uç yazılımıyla giriş, çıkış ve yatay trafiği protokol bazlı filtreler; saldırgan hareketini ve veri sızmasını sınırlar.

İzinsiz giriş tespit imzalarıyla ağ sınırında zararlı trafiği engeller.

Dosya paylaşımı, uzak sistem ve servislere erişimi yalnız meşru iş gereksinimi olanlara kısıtlar (ZTNA, RDP gateway, servis sıkılaştırma).

Şifreli ağ trafiğini çözüp inceleyerek şifrelemeyle gizlenen tehditleri (phishing, malware, sızdırma) tespit eder ve trafiği yeniden şifreleyerek iletir.

Olay veya bütünlük saldırısı sırasında birincil ağdan bağımsız güvenli yedek iletişim kanalları (şifreli mesajlaşma, ayrı hat) sağlayarak müdahale koordinasyonunu korur.

Hassas veriyi durağan, aktarımda ve işleme sırasında güçlü şifreleme algoritmalarıyla korur; gizlilik ve bütünlüğü sağlar.

Hassas verinin (PII, fikrî mülkiyet, finansal) yetkisiz erişim, iletim veya sızdırılmasını ağ, uç ve bulut politikalarıyla izler ve engeller.

Uç sistem ve kritik sunuculardan güvenli, izole ve sertleştirilmiş yedekler alır; fidye/imha durumunda hızlı kurtarma için gold-copy görüntüleri korur.

Kritik veri ve güvenlik loglarını host dışı güvenli konuma taşıyarak yetkisiz erişim, kurcalama ve imhayı zorlaştırır ve adli kanıtı korur.

Etkinlik ve sistem yapılandırmalarını sistematik olarak kaydeder ve analiz eder; anomali ve zafiyetleri proaktif tespit eder, uyum gereksinimlerini karşılar.

Sistem, uygulama ve ağı otomatik/manuel tarayarak yanlış yapılandırma ve yamasız zafiyetleri ortaya çıkarır; risk ve etkiye göre önceliklendirir.

Geliştiricilere güvenli kod, güvenli tasarım ilkeleri ve SDLC boyunca güvenlik konusunda rehberlik sağlayarak sömürülebilir zafiyetlerin oluşmasını önler.

Çalışan ve tedarikçileri phishing, sosyal mühendislik ve insan-etkileşimli tehditleri tanıma/raporlama konusunda eğiterek insan güvenlik duvarı oluşturur.

İç ve dış kaynaklardan tehdit istihbaratı üretip trendleri izleyerek savunma önceliklerini ve olay müdahalesini kurumun risk profiline göre yönlendirir.

Satıcı yama ve güncellemelerini düzenli uygulayarak bilinen zafiyetleri kapatır (OS, uygulama, sürücü, firmware) ve saldırı yüzeyini azaltır.

Keşif ve kaynak geliştirme aşamalarında saldırganın zafiyet bulup sömürmesini zorlaştıran proaktif önlemler; saldırı yüzeyini azaltır ve hazırlık faaliyetlerini tespit eder.

Önlem almanın riski veya operasyonel kararsızlığı artırabileceği senaryoları vurgular; doğrudan önlem yerine tespit, izleme ve müdahale stratejilerinin değerlendirilmesi gerektiğini belirtir.