Yüksek önemHARDEC9 adım · 6 faz
Compromised Credentials & Account Takeover
Ele geçirilmiş kullanıcı, servis veya ayrıcalıklı hesap olayında erişimi iptal etme, saldırgan kalıcılığını temizleme ve kimlik kontrollerini sıkılaştırma akışı.
Bilgilendirme notu
Bilgilendirme notu: Ele geçirilmiş kimlik bilgisi müdahalesinde yalnızca parola sıfırlama yetmez; LSASS bellekten elde edilen NTLM hash'leri, Kerberos biletleri ve delegasyon token'ları bağımsız olarak kötüye kullanılabilir. MITRE T1003 kapsamında tüm kimlik bilgisi sızıntısı vektörlerini kapatın: Credential Guard etkinleştirin, Protected Users grubunu uygulayın ve servis hesaplarında düzenli parola rotasyonu ile MSA/gMSA'ya geçiş planlayın.
1
Hazırlık
1 adım- Kimlik telemetrisini merkezileştir
IdP/AD oturum açma logları, imkânsız seyahat/risk sinyalleri ve ayrıcalıklı hesap envanteri hazır olsun.
2
Tespit ve Analiz
2 adım- Ele geçmeyi doğrula
Anormal oturum açma, MFA yorgunluğu (fatigue), yeni cihaz/konum, token tekrar kullanımı ve yeni OAuth izinlerini incele.
- Hesabın erişim kapsamını çıkar
Hesabın eriştiği sistem, grup üyeliği ve ayrıcalıkları listele; ayrıcalıklıysa etki alanı çapında etkiyi değerlendir.
3
Sınırlama
2 adım- Erişimi hemen iptal et
Parolayı sıfırla; tüm oturum ve refresh token'larını iptal et; hesabı geçici olarak askıya al.