M1036Account Use Policies
Hesap kilitleme, oturum açma saati/konumu kısıtları ve eşzamanlı oturum sınırlarıyla brute-force ve kötüye kullanımı azaltma.
Account Lockout / Logon PolicyWindowsLinuxIdentity
TA0006Savunma Planı
Credential Access
Kimlik bilgisi ele geçirme
Bu taktikteki teknikler (7)
T1528Azure / Entra ID Kimlik Saldırıları: Token Hırsızlığından Golden SAML'e Bulut Kimlik GüvenliğiT1649Active Directory Sertifika Servisleri (AD CS) Saldırıları: ESC1–ESC16 Domain YükseltmeT1558Gelişmiş Kerberos Delegasyon İstismarı: Unconstrained, Constrained, RBCD ve Zorlamalı Kimlik DoğrulamaT1557.001NTLM Kimlik Doğrulama Saldırıları: Pass-the-Hash, NTLM Relay ve Zorlamalı Kimlik Doğrulamadan LLMNR/NBT-NS ZehirlemesineT1528Microsoft Graph API ve İzin Suistimali: Illicit Consent, Uygulama Rolleri ve OAuth SaldırılarıT1558Kerberos Bilet Saldırıları: Kerberoasting'ten Bilet SahteciliğineT1003.001LSASS Bellek Kimlik Bilgisi Dökümü: Mimikatz, Alternatif Araçlar ve Koruma Teknolojileri
M1047Audit
Gelismis denetim politikasi + komut satiri + Sysmon + dizin erisim denetimi: tespitin gerektirdigi telemetri.
ZT: verify explicitlyLogging & Audit PolicyWindowsLinuxmacOSCloudIdentity
Kaynak:Active Directory Sertifika Servisleri (AD CS) Saldırıları: ESC1–ESC16 Domain YükseltmeGelişmiş Kerberos Delegasyon İstismarı: Unconstrained, Constrained, RBCD ve Zorlamalı Kimlik DoğrulamaKerberos Bilet Saldırıları: Kerberoasting'ten Bilet SahteciliğineAzure / Entra ID Kimlik Saldırıları: Token Hırsızlığından Golden SAML'e Bulut Kimlik GüvenliğiMicrosoft Graph API ve İzin Suistimali: Illicit Consent, Uygulama Rolleri ve OAuth Saldırıları
M1040Behavior Prevention on Endpoint
Defender ASR kurallari ve Office makro kisitlari ile yaygin saldiri davranislarini engelle.
ZT: assume breachEDR / Attack Surface ReductionWindowsLinuxmacOS
Cloud Access Security Broker (CASB)
SaaS/bulut uygulama kullanimina gorunurluk ve kontrol; OAuth uygulama ve veri akisi izleme (Defender for Cloud Apps).
ZT: verify explicitlyCASB / SaaS SecurityCloudWindowsmacOS
M1043Credential Access Protection
Bellekteki ve diskteki kimlik bilgilerinin (LSASS, Protected Users, WDigest, onbellek) calinmasini azaltan katmanli platform korumalari.
ZT: assume breachCredential Guard / LSASS ProtectionWindows
Kaynak:NTLM Kimlik Doğrulama Saldırıları: Pass-the-Hash, NTLM Relay ve Zorlamalı Kimlik Doğrulamadan LLMNR/NBT-NS ZehirlemesineGelişmiş Kerberos Delegasyon İstismarı: Unconstrained, Constrained, RBCD ve Zorlamalı Kimlik DoğrulamaKerberos Bilet Saldırıları: Kerberoasting'ten Bilet SahteciliğineLSASS Bellek Kimlik Bilgisi Dökümü: Mimikatz, Alternatif Araçlar ve Koruma Teknolojileri
Credential Exposure Monitoring (Dark Web)
Sizinti veritabani, paste site ve dark web forumlarinda kimlik bilgisi ifsasi izleme; ilk erisimlerin %30+ onceden calinmis kimlik bilgisi kullanir.
ZT: assume breachThreat Intel / Credential MonitoringCloudIdentity
M1041Encrypt Sensitive Information
Hassas verinin duragan (at-rest) ve aktarimda (in-transit) şifrelenmesiyle çalınsa bile kullanılamaz kılınması.
ZT: assume breachEncryption PolicyWindowsLinuxmacOSCloudNetwork
Kaynak:Active Directory Sertifika Servisleri (AD CS) Saldırıları: ESC1–ESC16 Domain YükseltmeNTLM Kimlik Doğrulama Saldırıları: Pass-the-Hash, NTLM Relay ve Zorlamalı Kimlik Doğrulamadan LLMNR/NBT-NS ZehirlemesineGelişmiş Kerberos Delegasyon İstismarı: Unconstrained, Constrained, RBCD ve Zorlamalı Kimlik DoğrulamaKerberos Bilet Saldırıları: Kerberoasting'ten Bilet SahteciliğineLSASS Bellek Kimlik Bilgisi Dökümü: Mimikatz, Alternatif Araçlar ve Koruma Teknolojileri
M1037Filter Network Traffic
Varsayilan-reddet filtreleme, cikis (egress) kontrolu ve anti-spoofing (uRPF/BCP38) ile giris/cikisi kisitlar.
ZT: verify explicitlyFirewall / Egress FilteringNetworkCloud
Identity Governance and Access Certification
Erisim birikmesini (privilege creep) ve denetimsiz dis erisimi engelleyen kimlik yonetisimi (Access Reviews, entitlement, cross-tenant).
ZT: least privilegeIGA / Access ReviewWindowsCloudIdentity
Just-in-Time Privileged Access (PIM/JIT)
Ayricalikli rolleri kalici degil uygun (eligible) yapan, onayli ve sureli aktivasyonla kullanilan PIM.
ZT: least privilegePIM / JITWindowsLinuxCloudIdentity
M1032Multi-factor Authentication
Parola tabanli saldirilarin cogunu durduran cok-faktorlu kimlik dogrulama; Entra'da Conditional Access ile zorlanir.
ZT: verify explicitlyConditional Access / IAMWindowsIdentity
M1031Network Intrusion Prevention
Ag trafiginde bilinen kotu desenleri ve anomalileri tespit/engelleyen IDS/IPS, dogru sensor yerlesimiyle.
ZT: assume breachIDS/IPSNetwork
M1027Password Policies
Uzun parola + sizinti/sozluk kontrolu + MFA; reversible encryption kapali.
ZT: least privilegePassword PolicyWindowsLinuxmacOSIdentity
M1026Privileged Account Management
Ayricalikli hesap sayisini ve kullanimini minimumda tut: Domain Admins hijyeni, LAPS, JIT/PIM.
ZT: least privilegePAM / Tiered AdminWindowsLinuxIdentityCloud
M1021Restrict Web-Based Content
DNS sertlestirme (protective DNS/RPZ + sinkhole) ve web proxy/filtreleme ile cikis kanallarini daraltir.
ZT: verify explicitlyWeb/DNS FilteringWindowsLinuxmacOSNetwork
M1018User Account Management
Hesap yaşam döngüsü yönetimi: doğru oluşturma, en az ayrıcalıkla atama, zamanında devre dışı bırakma ve düzenli erişim gözden geçirme.
ZT: least privilegeIAM / Joiner-Mover-LeaverWindowsLinuxmacOSIdentityCloud
M1017User Training
Kullanıcıların phishing, sosyal mühendislik ve güvenli davranış konusunda eğitilmesiyle insan kaynaklı riski azaltma.
Security Awareness ProgramWindowsLinuxmacOSIdentityCloud
Kaynak:NTLM Kimlik Doğrulama Saldırıları: Pass-the-Hash, NTLM Relay ve Zorlamalı Kimlik Doğrulamadan LLMNR/NBT-NS ZehirlemesineAzure / Entra ID Kimlik Saldırıları: Token Hırsızlığından Golden SAML'e Bulut Kimlik GüvenliğiMicrosoft Graph API ve İzin Suistimali: Illicit Consent, Uygulama Rolleri ve OAuth SaldırılarıLSASS Bellek Kimlik Bilgisi Dökümü: Mimikatz, Alternatif Araçlar ve Koruma Teknolojileri
Zero Trust Architecture
Ic ag guvenilir varsayimini reddeden, her erisimi kimlik/cihaz/baglamla dogrulayan en-az-ayricalik mimarisi.
ZT: verify explicitlyZero Trust / ZTNAWindowsLinuxmacOSCloudIdentity