M1013Application Developer Guidance
Güvenli geliştirme uygulamalarıyla uygulama katmanı açıklarını kaynağında azaltma.
ZT: verify explicitlySecure SDLCCloudWebMobile
TA0003Savunma Planı
Persistence
Kalıcılık sağlama
Bu taktikteki teknikler (6)
T1098Active Directory ACL/DACL Suistimali: GenericAll'dan Gölge Kimlik Bilgilerine ve AdminSDHolder KalıcılığınaT1543.002Linux Saldırı Tespiti ve DFIR: Kalıcılık, Yetki Yükseltme ve Log AnaliziT1546.003WMI Event Subscription Kalıcılığı: __EventFilter / __EventConsumer / __FilterToConsumerBinding ile Gizli Arka KapılarT1574.001DLL Tabanlı Kalıcılık ve Yükleme Suistimali: Search Order Hijacking, Side-Loading, COM Hijacking, AppInit ve AppCertT1543.003Windows Servis ve SCM Suistimali: Kalıcılık, Yetki Yükseltme ve Lateral HareketT1053.005Zamanlanmış Görevler ile Kalıcılık ve Lateral Hareket: Teknik Analizi
M1047Audit
Gelismis denetim politikasi + komut satiri + Sysmon + dizin erisim denetimi: tespitin gerektirdigi telemetri.
ZT: verify explicitlyLogging & Audit PolicyWindowsLinuxmacOSCloudIdentity
Kaynak:Windows Servis ve SCM Suistimali: Kalıcılık, Yetki Yükseltme ve Lateral HareketDLL Tabanlı Kalıcılık ve Yükleme Suistimali: Search Order Hijacking, Side-Loading, COM Hijacking, AppInit ve AppCertZamanlanmış Görevler ile Kalıcılık ve Lateral Hareket: Teknik AnaliziLinux Saldırı Tespiti ve DFIR: Kalıcılık, Yetki Yükseltme ve Log Analizi
M1040Behavior Prevention on Endpoint
Defender ASR kurallari ve Office makro kisitlari ile yaygin saldiri davranislarini engelle.
ZT: assume breachEDR / Attack Surface ReductionWindowsLinuxmacOS
Kaynak:Windows Servis ve SCM Suistimali: Kalıcılık, Yetki Yükseltme ve Lateral HareketDLL Tabanlı Kalıcılık ve Yükleme Suistimali: Search Order Hijacking, Side-Loading, COM Hijacking, AppInit ve AppCertLinux Saldırı Tespiti ve DFIR: Kalıcılık, Yetki Yükseltme ve Log AnaliziWMI Event Subscription Kalıcılığı: __EventFilter / __EventConsumer / __FilterToConsumerBinding ile Gizli Arka Kapılar
M1038Execution Prevention
Yalnızca onaylı uygulama/script'lerin çalışmasına izin veren allowlisting; bilinmeyen kod yürütmeyi varsayılan olarak engeller.
ZT: least privilegeApplication Control / AllowlistingWindowsLinuxmacOS
M1032Multi-factor Authentication
Parola tabanli saldirilarin cogunu durduran cok-faktorlu kimlik dogrulama; Entra'da Conditional Access ile zorlanir.
ZT: verify explicitlyConditional Access / IAMWindowsIdentity
M1026Privileged Account Management
Ayricalikli hesap sayisini ve kullanimini minimumda tut: Domain Admins hijyeni, LAPS, JIT/PIM.
ZT: least privilegePAM / Tiered AdminWindowsLinuxIdentityCloud
Kaynak:Active Directory ACL/DACL Suistimali: GenericAll'dan Gölge Kimlik Bilgilerine ve AdminSDHolder KalıcılığınaWindows Servis ve SCM Suistimali: Kalıcılık, Yetki Yükseltme ve Lateral HareketZamanlanmış Görevler ile Kalıcılık ve Lateral Hareket: Teknik AnaliziLinux Saldırı Tespiti ve DFIR: Kalıcılık, Yetki Yükseltme ve Log AnaliziWMI Event Subscription Kalıcılığı: __EventFilter / __EventConsumer / __FilterToConsumerBinding ile Gizli Arka Kapılar
M1051Update Software
Bilinen açıkların zamanında yamalanmasıyla sömürü yüzeyini kapatma; ihlallerin en yaygın kökenlerinden birini ortadan kaldırır.
Vulnerability & Patch ManagementWindowsLinuxmacOSNetworkCloud
M1018User Account Management
Hesap yaşam döngüsü yönetimi: doğru oluşturma, en az ayrıcalıkla atama, zamanında devre dışı bırakma ve düzenli erişim gözden geçirme.
ZT: least privilegeIAM / Joiner-Mover-LeaverWindowsLinuxmacOSIdentityCloud
Kaynak:Active Directory ACL/DACL Suistimali: GenericAll'dan Gölge Kimlik Bilgilerine ve AdminSDHolder KalıcılığınaWindows Servis ve SCM Suistimali: Kalıcılık, Yetki Yükseltme ve Lateral HareketDLL Tabanlı Kalıcılık ve Yükleme Suistimali: Search Order Hijacking, Side-Loading, COM Hijacking, AppInit ve AppCertZamanlanmış Görevler ile Kalıcılık ve Lateral Hareket: Teknik AnaliziLinux Saldırı Tespiti ve DFIR: Kalıcılık, Yetki Yükseltme ve Log AnaliziWMI Event Subscription Kalıcılığı: __EventFilter / __EventConsumer / __FilterToConsumerBinding ile Gizli Arka Kapılar
Uygulama İzin Listesi
Yalnizca onaylanmis kod, kutuphane ve betigin calismasina izin vererek LOLBin/malware saldirilarini kirar.
ZT: least privilegeAppLocker / WDAC PolicyWindows