Yükleniyor…
MITRE ATT&CK tabanlı saldırı teknikleri — Exploit · Prevention · Detection
38 teknik
Kimlik bilgisi hırsızlığını ve lateral hareketi yapısal olarak kıran Active Directory katmanlı yönetim mimarisi. Clean source ilkesi, Tier 0/1/2 sınırları ve oturum açma kısıtları, Privileged Access Workstations (PAW), Protected Users grubu, Authentication Policy Silos, Credential Guard (VBS) ve LSA Protection tek yerde. Bir kimliğin ele geçirilmesini tüm ortamın ele geçirilmesine dönüştüren saldırı yollarını önemli ölçüde daraltır.
Microsoft Defender'ın Saldırı Yüzeyi Azaltma (ASR) kuralları, Exploit Protection (EMET ardılı), Controlled Folder Access ve Network Protection ile yürütme ve bellek-bozma istismar yüzeyini daraltma rehberi. Kural kategorileri ve modları, denetim→engelleme geçişi, sistem/uygulama bazlı istismar azaltmaları, dağıtım ve olay loglarının SIEM'e aktarımı. Office/script/kimlik-hırsızlığı tabanlı saldırıları önemli ölçüde zorlaştırır.
Active Directory Kerberos protokolüne yönelik bilet tabanlı saldırıların bütüncül haritası: Kerberoasting (T1558.003), AS-REP Roasting (T1558.004), Golden/Silver Ticket (T1558.001/002), Pass-the-Ticket (T1550.003) ve delegasyon istismarı için nasıl çalışır → nasıl tespit edilir → nasıl önlenir üçlüsü; RC4 etype 0x17 / CVE-2026-20833 geçiş bağlamı ve AES Kerberoasting kör noktası dahil.
Microsoft Graph API'nin OAuth izin modeli üzerindeki saldırı yüzeyinin bütüncül haritası: illicit consent grant (T1528), servis principal kimlik bilgisi ekleme (T1098.001), uygulama rol yükseltme zincirleri (T1098.003) ve yüksek-risk izin suistimali. Her teknik için Entra ID denetim sinyalleri, KQL/Sigma ve sertleştirme kontrolleri verilir.
Windows süreç enjeksiyonu tekniklerinin bütüncül haritası: klasik DLL enjeksiyonundan process hollowing, Doppelgänging, APC/Early Bird ve .NET reflektif assembly yüklemeye kadar her teknik için API zinciri → Sysmon/ETW tespiti → savunma üçlüsü. Kırmızı/mor takım ve SOC/DFIR ekipleri için teknik başvuru kaynağı.
Windows Görev Zamanlayıcısı (schtasks.exe / Schedule.Service COM), saldırganlar tarafından hem kalıcılık hem uzaktan yürütme (lateral hareket) için yaygın biçimde kullanılır. Yazı; schtasks sözdizimi, XML görev yapısı, TaskCache kayıt defteri, EID 4698/4699/4700/4701/4702 + TaskScheduler/Operational 106/140/141/200/201 telemetrisi, Sigma kuralı ve sertleştirme kontrollerini kapsar.
PowerShell'in Windows loglama mimarisini (EID 4104 Script Block, EID 4103 Module, Transcription, EID 400 downgrade tespiti) ve AMSI altyapısını saldırı perspektifinden ele alır. AMSI bypass aileleri (AmsiScanBuffer yaması, amsiContext manipülasyonu, VEH patchless, obfuscation), PSv2 downgrade ve download cradle'lar Exploit & POC bölümünde; davranışsal Sigma kuralları ve korelasyon şeması Detection'da; zorunlu GPO yapılandırması, CLM/WDAC, PSv2 kaldırma ve WEF merkezi toplama Prevention'da işlenir.
OWASP Top 10 2021 kapsamındaki web uygulama saldırı sınıflarının bütüncül teknik analizi; XSS, SSRF, IDOR/Broken Access Control, insecure deserialization, CSRF, XXE, komut enjeksiyonu, path traversal ve web shell tekniklerini exploit/POC, tespit ve önleme üçlüsüyle ele alır.
SQL enjeksiyonu (CWE-89), kullanıcı girdisinin doğrudan SQL sorgusuna gömülmesinden kaynaklanır; saldırgan sorgu yapısını değiştirerek veri sızdırabilir, kimlik doğrulamayı atlayabilir ve belirli koşullarda işletim sistemi komutu çalıştırabilir. Bu yazı UNION-tabanlı, hata-tabanlı, boolean/zaman-blind ve OOB sınıflarını DBMS-spesifik sözdizimi ve sqlmap kullanımıyla kapsar; tespit için WAF log kalıpları ve Sigma kuralı; önlem için parametreli sorgu, en az ayrıcalık ve allowlist verir.
Veri sızdırma ve C2 kanallarının savunma perspektifinden bütüncül analizi: DNS tünelleme (iodine/dnscat2), HTTPS C2, beaconing ve jitter, domain fronting (büyük CDN'lerce büyük ölçüde engellendi), malleable C2 (Cobalt Strike), hazırlama/sıkıştırma/şifreleme, ICMP ve bulut depolama exfil ile DoH. Tespit için NetFlow/Zeek, JA3/JARM/JA4+, RITA beacon analizi, DNS entropi; önlem için egress filtreleme, DNS RPZ ve TLS inspection.
BloodHound/SharpHound ile Active Directory keşfinin bütüncül haritası: koleksiyon yöntemleri (Default, All, DCOnly, Session, LoggedOn, ACL, Trusts, Container), düğüm/kenar tipleri ve Cypher saldırı yolu sorguları, OpSec/gürültü değerlendirmesi, LDAP 1644 + 5145 tabanlı tespit, oturum sayımı sertleştirmesi ve ACL hijyeni. SOC/DFIR ve kırmızı/mor takım için teknik başvuru kaynağı.
Şirket-içi Active Directory ortamlarında NTLM kimlik doğrulamasına yönelik saldırıların bütüncül haritası: LLMNR/NBT-NS zehirleme ve NetNTLM hash hasadı (Responder), zorlamalı kimlik doğrulama (PetitPotam MS-EFSRPC/CVE-2021-36942, PrinterBug MS-RPRN, DFSCoerce MS-DFSNM, ShadowCoerce), NTLM relay (SMB→LDAP/LDAPS/ADCS ntlmrelayx zinciri), Pass-the-Hash, NTLMv1 downgrade ve karşı önlemler (SMB imzalama, EPA, LDAP channel binding, Protected Users, mitm6). SOC, DFIR ve kırmızı/mor takım için tespit-önlem üçlüsü.
Kerberos delegasyonu istismarının üç katmanı: unconstrained (TrustedForDelegation + coercion ile DC TGT hasadı), constrained (S4U2Self/S4U2Proxy + altservice hilesi) ve kaynak-tabanlı constrained delegation (RBCD + MachineAccountQuota suistimali). Printer Bug, PetitPotam, DFSCoerce coercion zincirleri; Bronze Bit (CVE-2020-17049); Protected Users ve Sensitive muafiyeti. Rubeus ve impacket getST.py ile kavramsal saldırı akışları; 4624/4741/5136 tabanlı tespit kuralları; MAQ=0, tiering ve ACL denetimi ile sertleştirme.
Microsoft Entra ID (eski adı Azure Active Directory) kimlik modeline yönelik saldırıların bütüncül haritası: token hırsızlığı, device code phishing, Golden SAML ve managed identity suistimalinden tespit ve sertleştirmeye kadar mor/kırmızı takım ile SOC ekipleri için teknik başvuru kaynağı.
Active Directory Sertifika Servisleri (AD CS), yanlış yapılandırıldığında düşük yetkili bir kullanıcının Domain Admin sertifikası alarak PKINIT ile domain'i tamamen ele geçirmesine imkân tanır. Bu yazı ESC1'den ESC16'ya tüm yükseltme tekniklerini, PKINIT zincirini, KB5014754 güçlü sertifika eşleştirmesini ve kapsamlı savunma kontrollerini derinlemesiyle ele alır. Yetkili kırmızı/mor takım tatbikatları ve SOC/DFIR ekipleri için teknik başvuru kaynağıdır.
Modern EDR'lerin userland API kancaları, kernel callback'leri ve ETW telemetrisini nasıl kullandığını; saldırganların direct/indirect syscall, NTDLL unhooking, ETW/AMSI patching ve call stack spoofing ile bu katmanları nasıl hedeflediğini ve savunmacıların ETW-TI, kernel call stack analizi, telemetri bütünlüğü izleme ile bunları nasıl tespit ettiğini açıklar. ATT&CK: T1562.001, T1106, T1027.007, T1620, T1574.013.
AD güven mimarisi saldırılarının bütüncül haritası: parent-child orman-içi ExtraSids yükseltmesi, güven anahtarı (trust key) çalma ve sahte inter-realm TGT üretimi, SID history enjeksiyonu, çapraz-orman Kerberoasting, TGT delegasyonu (KB4490425) ve yabancı güvenlik sorumluları. SOC/DFIR için olay bazlı ve davranışsal tespit, SID filtering doğrulama ve tier-0 sertleştirme.
Windows Servis Kontrol Yöneticisi (SCM) saldırı yüzeyinin bütüncül haritası: yeni servis oluşturma (T1543.003), ServiceDll hijack, unquoted path / zayıf binary ve registry ACL sömürüsü (T1574.009-011), PsExec tarzı geçici servis ile lateral hareket (T1569.002). SOC ve red/purple takım için EID 7045/4697, Sysmon EID 13 tespiti ve Sigma korelasyonları.
