T1528Credential AccessİleriSavunma planı →

Microsoft Graph API ve İzin Suistimali: Illicit Consent, Uygulama Rolleri ve OAuth Saldırıları

HARDEC · Savunma Güvenliği Ekibi·Yayın: 13 Haziran 2026·Güncelleme: 15 Temmuz 2026·15 dk okuma

Microsoft Graph API'nin OAuth izin modeli üzerindeki saldırı yüzeyinin bütüncül haritası: illicit consent grant (T1528), servis principal kimlik bilgisi ekleme (T1098.001), uygulama rol yükseltme zincirleri (T1098.003) ve yüksek-risk izin suistimali. Her teknik için Entra ID denetim sinyalleri, KQL/Sigma ve sertleştirme kontrolleri verilir.

Exploit

Prevention

Detection

Savunma profili:7 detection kuralı 6 önlem 10 baseline kontrolü 3 müdahale playbook'u

Kaydırarak veya oklarla bölümler arasında geçin

Bölüm 1 / 3

Zafiyet (Vulnerability)

Tehdit bağlamı, zafiyet ve istismar senaryosu

Beta

Bu bölüm henüz açık değil

Başlıklar ve özetler ücretsiz. Bu bölümün detayı henüz yayında değil. Açık ortamlar için offline kıyaslama aracını şirket e-postasıyla isteyebilirsiniz.

Offline aracı iste →

Bölüm 2 / 3

Prevention & Hardening

Savunma teknolojileri, policy ve sertleştirme

Beta

Bu bölüm henüz açık değil

Başlıklar ve özetler ücretsiz. Bu bölümün detayı henüz yayında değil. Açık ortamlar için offline kıyaslama aracını şirket e-postasıyla isteyebilirsiniz.

Offline aracı iste →

Bölüm 3 / 3

Detection

Davranış, loglama ve detection kuralları

Beta

Bu bölüm henüz açık değil

Başlıklar ve özetler ücretsiz. Bu bölümün detayı henüz yayında değil. Açık ortamlar için offline kıyaslama aracını şirket e-postasıyla isteyebilirsiniz.

Offline aracı iste →

Bilgilendirme notu

Önleme notu: Microsoft Graph API izin suistimalinde en yaygın giriş noktası, kullanıcıların doğrulanmamış yayıncıların uygulamalarına izin vermesidir. Entra ID'de Kullanıcı onay ayarları kısıtlanmalı, yayıncısı doğrulanmamış uygulamalar için yönetici onayı zorunlu kılınmalıdır. Mevcut OAuth izinleri düzenli denetlenmeli; özellikle Mail.Read, Files.ReadWrite.All gibi yüksek ayrıcalıklı ve onaysız uygulama rolleri geri alınmalıdır. Sık yapılan hata: onay verilmiş uygulamaların çalışan izinlerini sonradan izlememek (MITRE ATT&CK T1528).

Detection kuralları

Bu tekniği tespit eden, doğrudan kopyalanabilir kurallar (Sigma/KQL/…). Her kuralın gereken telemetrisi, olgunluğu ve kaynağı belirtilir.

HackTool - Koh Default Named Pipe

Detects creation of default named pipes used by the Koh tool

critical

sigmaTest

Kuralı gösterKuralı gizle

title: HackTool - Koh Default Named Pipe
id: 0adc67e0-a68f-4ffd-9c43-28905aad5d6a
status: test
description: Detects creation of default named pipes used by the Koh tool
references:
    - https://github.com/GhostPack/Koh/blob/0283d9f3f91cf74732ad377821986cfcb088e20a/Clients/BOF/KohClient.c#L12
author: Nasreddine Bencherchali (Nextron Systems)
date: 2022-07-08
modified: 2023-08-07
tags:
    - attack.privilege-escalation
    - attack.credential-access
    - attack.stealth
    - attack.t1528
    - attack.t1134.001
logsource:
    product: windows
    category: pipe_created
    definition: 'Note that you have to configure logging for Named Pipe Events in Sysmon config (Event ID 17 and Event ID 18). The basic configuration is in popular sysmon configuration (https://github.com/SwiftOnSecurity/sysmon-config), but it is worth verifying. You can also use other repo, e.g. https://github.com/Neo23x0/sysmon-config, https://github.com/olafhartong/sysmon-modular. How to test detection? You can check powershell script from this site https://svch0st.medium.com/guide-to-named-pipes-and-hunting-for-cobalt-strike-pipes-dc46b2c5f575'
detection:
    selection:
        PipeName|contains:
            - '\imposecost'
            - '\imposingcost'
    condition: selection
falsepositives:
    - Unlikely
level: critical

Doğrulanmadı

Çalışması için gereken telemetri: windows; Named Pipe Eventswindows / pipe_createdwindows

Yanlış pozitif: Unlikely

Kaynak: SIGMA · Detection Rule License (DRL) 1.1 · orijinal kural

Önlemler

Bu tekniği azaltan/engelleyen prevention ve hardening önlemleri.

Audit

Prevention

Gelismis denetim politikasi + komut satiri + Sysmon + dizin erisim denetimi: tespitin gerektirdigi telemetri.

Bilgilendirme notu

Bilgilendirme notu: Varsayılan Windows denetim politikaları yetersizdir; başarısız oturum açma, hassas ayrıcalık kullanımı ve nesne erişimi gibi kritik olaylar ek yapılandırma gerektirmektedir. Sysmon ile süreç oluşturma komut satırı kayıtları ve ağ bağlantı logları zorunlu olarak toplanmalıdır. Linux'ta auditd varsayılan ayarları son derece minimal olup güvenlik kullanım senaryolarına göre özelleştirilmelidir. Log üretilmeden toplama mümkün olmadığından denetim politikası yapılandırması, SIEM entegrasyonundan önce tamamlanmalıdır.

Cloud Access Security Broker (CASB)

Prevention

SaaS/bulut uygulama kullanimina gorunurluk ve kontrol; OAuth uygulama ve veri akisi izleme (Defender for Cloud Apps).

OAuth ve Uygulama Onay Yonetisimi

Hardening

Illicit consent grant ve OAuth uygulama suistimaline karsi onay kisitlama, uygulama kaydi kontrolu ve workload identity hijyeni.

Bu tekniğe karşı baseline kontrolleri

Aşağıdaki güvenlik baseline kontrolleri bu tekniği azaltır. Kurumunuzun yapılandırmasını ilgili baseline ile .

Müdahale playbook'ları

Bu teknik tespit edildiğinde izlenecek NIST/SANS fazlı müdahale akışları.

Credential Access tactic'indeki teknikler

T1003.001Credential Accessİleri

Windows kimlik doğrulama omurgası LSASS'ın (lsass.exe) bellek dökümüyle NT hash, Kerberos bileti ve düz metin parola çalınmasının bütüncül haritası: Mimikatz/sekurlsa, comsvcs LOLBin, ProcDump ve nanodump saldırı yöntemleri; Sysmon EID 10 GrantedAccess maskeleri + Sigma tabanlı teknik tespit; Credential Guard, RunAsPPL, WDigest kapatma ve ASR kural sertleştirme önlemleri.

13 Haziran 202631 dk okuma

Exploit

Prevention

Detection

Referanslar

MITRE ATT&CK — T1528: Microsoft Graph API ve İzin Suistimali: Illicit Consent, Uygulama Rolleri ve OAuth Saldırıları ↗

Bu makale MITRE ATT&CK çerçevesine dayanır; tespit, savunma ve müdahale içeriği bağımsız olarak hazırlanmıştır.

Application URI Configuration Changes

Detects when a configuration change is made to an applications URI. URIs for domain names that no longer exist (dangling URIs), not using HTTPS, wildcards at the end of the domain, URIs that are no unique to that app, or URIs that point to domains you do not control should be investigated.

high

sigmaTest

Kuralı gösterKuralı gizle

title: Application URI Configuration Changes
id: 0055ad1f-be85-4798-83cf-a6da17c993b3
status: test
description: |
    Detects when a configuration change is made to an applications URI.
    URIs for domain names that no longer exist (dangling URIs), not using HTTPS, wildcards at the end of the domain, URIs that are no unique to that app, or URIs that point to domains you do not control should be investigated.
references:
    - https://learn.microsoft.com/en-us/entra/architecture/security-operations-applications#application-configuration-changes
author: Mark Morowczynski '@markmorow', Bailey Bercik '@baileybercik'
date: 2022-06-02
tags:
    - attack.initial-access
    - attack.stealth
    - attack.t1528
    - attack.t1078.004
    - attack.persistence
    - attack.credential-access
    - attack.privilege-escalation
logsource:
    product: azure
    service: auditlogs
detection:
    selection:
        properties.message: Update Application Sucess- Property Name AppAddress
    condition: selection
falsepositives:
    - When and administrator is making legitimate URI configuration changes to an application. This should be a planned event.
level: high

Doğrulanmadı

Çalışması için gereken telemetri: azure; auditlogsazure / auditlogsazure

Yanlış pozitif: When and administrator is making legitimate URI configuration changes to an application. This should be a planned event.

Kaynak: SIGMA · Detection Rule License (DRL) 1.1 · orijinal kural

title: Entra ID - Kullanici Tarafindan OAuth Uygulamasina Izin Verildi id: e7c1f6a4-28b9-4e3d-a5c8-1b4e7f9d2c36 status: experimental description: | Microsoft Entra ID denetim gunluklerinde bir kullanicinin OAuth uygulamasina onay verdigi olaylari tespit eder. Illicit consent grant saldirilarinda (T1528) saldirganlar kullanicilari zararli OAuth uygulamalarini yetkilendirmeye yonlendirir; bu sayede kullanicinin token'i olmadan kalici e-posta/dosya erisimi kazanirlar. Yuksek riskli izinler (Mail.Read, Files.ReadWrite.All vb.) iceren onaylar ozellikle suphelidir. Kural AI tarafindan uretilmis / dogrulanmamistir. references: - https://attack.mitre.org/techniques/T1528/ - https://learn.microsoft.com/en-us/azure/active-directory/manage-apps/protect-against-consent-phishing - https://github.com/SigmaHQ/sigma/blob/master/rules/cloud/azure/azure_illicit_oauth_grant.yml - https://www.microsoft.com/en-us/security/blog/2022/09/22/malicious-oauth-applications-used-to-compromise-email-servers-and-spread-spam/ author: CyberSecLab (AI) date: 2026-06-13 modified: 2026-06-13 tags: - attack.t1528 - attack.credential_access logsource: product: azure service: auditlogs detection: selection_consent: OperationName: 'Consent to application' ResultType: 'success' selection_high_risk_permissions: TargetResources|contains: - 'Mail.Read' - 'Mail.ReadWrite' - 'Mail.Send' - 'Files.ReadWrite.All' - 'Directory.ReadWrite.All' - 'RoleManagement.ReadWrite.Directory' - 'AppRoleAssignment.ReadWrite.All' - 'Application.ReadWrite.All' - 'User.ReadWrite.All' - 'offline_access' filter_admin_consent: InitiatedBy|contains: 'Global Administrator' OperationName: 'Consent to application' AdditionalDetails|contains: 'adminConsent=True' condition: selection_consent and selection_high_risk_permissions and not filter_admin_consent falsepositives: - Btimsec veya IT yoneticileri tarafindan yetkilendirilen kurumsal uygulamalar - Microsoft 365 entegrasyonlari (Teams, SharePoint vb.) - Mesgru is uygulamalari ilk kurulum sirasinda genis izin isteyebilir level: high

title: Entra ID - Uygulama veya Servis Sorumlusuna Yeni Kimlik Bilgisi Eklendi id: f4a2d8c5-19e7-4f1b-b6d3-8c2e5a1f4b97 status: experimental description: | Microsoft Entra ID'de mevcut bir uygulamaya veya servis sorumlusuna (service principal) yeni sertifika veya client secret eklenmesini tespit eder. Bu eylem (T1528) saldirganin ele gecirdigi uygulamaya kalici erisim saglamak veya calinan OAuth token'i yenilemek icin kullanilir. Mesgru olmayan kimlik bilgisi ekleme islemleri, ozellikle is saatleri disinda veya yabanci IP'den yapilanlari, ciddi tehdit gostergesidir. Kural AI tarafindan uretilmis / dogrulanmamistir. references: - https://attack.mitre.org/techniques/T1528/ - https://learn.microsoft.com/en-us/azure/active-directory/fundamentals/security-operations-applications - https://github.com/SigmaHQ/sigma/blob/master/rules/cloud/azure/azure_app_credential_added.yml - https://www.mandiant.com/resources/blog/detecting-microsoft-365-azure-active-directory-backdoors author: CyberSecLab (AI) date: 2026-06-13 modified: 2026-06-13 tags: - attack.t1528 - attack.credential_access - attack.persistence logsource: product: azure service: auditlogs detection: selection_credential_added: OperationName|contains: - 'Add service principal credentials' - 'Update application – Certificates and secrets management' - 'Add application' ResultType: 'success' filter_known_devops: InitiatedBy|contains: - 'Azure DevOps' - 'GitHub Actions' - 'Terraform' - 'Managed Identity' condition: selection_credential_added and not filter_known_devops falsepositives: - Mesgru DevOps/CI-CD surecleri (GitHub Actions, Azure DevOps pipeline) uygulama sirri olusturabilir - Uygulama sertifika yenileme (yillik rutin) - BT yoneticileri tarafindan yapilan yetkilendirilmis degisiklikler level: medium

Microsoft Graph API ve İzin Suistimali: Illicit Consent, Uygulama Rolleri ve OAuth Saldırıları

Zafiyet (Vulnerability)

Bu bölüm henüz açık değil

Prevention & Hardening

Bu bölüm henüz açık değil

Detection

Bu bölüm henüz açık değil

Detection kuralları

HackTool - Koh Default Named Pipe

Önlemler

Audit

Cloud Access Security Broker (CASB)

OAuth ve Uygulama Onay Yonetisimi

Bu tekniğe karşı baseline kontrolleri

Müdahale playbook'ları

Credential Access tactic'indeki teknikler

Referanslar

Anomalous Token

Anonymous IP Address

App Granted Microsoft Permissions

Application URI Configuration Changes

Entra ID Kotu Amacli OAuth Uygulama Onay Verme

Entra ID Servis Sorumlusu Kimlik Bilgisi Eklenmesi

Restrict Web-Based Content

User Account Management

User Training

Kerberos Bilet Saldırıları: Kerberoasting'ten Bilet Sahteciliğine

NTLM Kimlik Doğrulama Saldırıları: Pass-the-Hash, NTLM Relay ve Zorlamalı Kimlik Doğrulamadan LLMNR/NBT-NS Zehirlemesine

Azure / Entra ID Yönetim Düzlemi Compromise — Uygulama Kalıcılığı, Rol Ele Geçirme ve Golden SAML

Microsoft Graph API İzinsiz Onay ve OAuth Consent Suistimali Müdahalesi

Azure / Entra ID Token ve Kimlik Bilgisi Hasadı Müdahalesi