Yükleniyor…
MITRE ATT&CK tabanlı saldırı teknikleri — Exploit · Prevention · Detection
7 teknik · Credential Access
Windows kimlik doğrulama omurgası LSASS'ın (lsass.exe) bellek dökümüyle NT hash, Kerberos bileti ve düz metin parola çalınmasının bütüncül haritası: Mimikatz/sekurlsa, comsvcs LOLBin, ProcDump ve nanodump saldırı yöntemleri; Sysmon EID 10 GrantedAccess maskeleri + Sigma tabanlı teknik tespit; Credential Guard, RunAsPPL, WDigest kapatma ve ASR kural sertleştirme önlemleri.
Active Directory Kerberos protokolüne yönelik bilet tabanlı saldırıların bütüncül haritası: Kerberoasting (T1558.003), AS-REP Roasting (T1558.004), Golden/Silver Ticket (T1558.001/002), Pass-the-Ticket (T1550.003) ve delegasyon istismarı için nasıl çalışır → nasıl tespit edilir → nasıl önlenir üçlüsü; RC4 etype 0x17 / CVE-2026-20833 geçiş bağlamı ve AES Kerberoasting kör noktası dahil.
Microsoft Graph API'nin OAuth izin modeli üzerindeki saldırı yüzeyinin bütüncül haritası: illicit consent grant (T1528), servis principal kimlik bilgisi ekleme (T1098.001), uygulama rol yükseltme zincirleri (T1098.003) ve yüksek-risk izin suistimali. Her teknik için Entra ID denetim sinyalleri, KQL/Sigma ve sertleştirme kontrolleri verilir.
Şirket-içi Active Directory ortamlarında NTLM kimlik doğrulamasına yönelik saldırıların bütüncül haritası: LLMNR/NBT-NS zehirleme ve NetNTLM hash hasadı (Responder), zorlamalı kimlik doğrulama (PetitPotam MS-EFSRPC/CVE-2021-36942, PrinterBug MS-RPRN, DFSCoerce MS-DFSNM, ShadowCoerce), NTLM relay (SMB→LDAP/LDAPS/ADCS ntlmrelayx zinciri), Pass-the-Hash, NTLMv1 downgrade ve karşı önlemler (SMB imzalama, EPA, LDAP channel binding, Protected Users, mitm6). SOC, DFIR ve kırmızı/mor takım için tespit-önlem üçlüsü.
Kerberos delegasyonu istismarının üç katmanı: unconstrained (TrustedForDelegation + coercion ile DC TGT hasadı), constrained (S4U2Self/S4U2Proxy + altservice hilesi) ve kaynak-tabanlı constrained delegation (RBCD + MachineAccountQuota suistimali). Printer Bug, PetitPotam, DFSCoerce coercion zincirleri; Bronze Bit (CVE-2020-17049); Protected Users ve Sensitive muafiyeti. Rubeus ve impacket getST.py ile kavramsal saldırı akışları; 4624/4741/5136 tabanlı tespit kuralları; MAQ=0, tiering ve ACL denetimi ile sertleştirme.
Microsoft Entra ID (eski adı Azure Active Directory) kimlik modeline yönelik saldırıların bütüncül haritası: token hırsızlığı, device code phishing, Golden SAML ve managed identity suistimalinden tespit ve sertleştirmeye kadar mor/kırmızı takım ile SOC ekipleri için teknik başvuru kaynağı.
Active Directory Sertifika Servisleri (AD CS), yanlış yapılandırıldığında düşük yetkili bir kullanıcının Domain Admin sertifikası alarak PKINIT ile domain'i tamamen ele geçirmesine imkân tanır. Bu yazı ESC1'den ESC16'ya tüm yükseltme tekniklerini, PKINIT zincirini, KB5014754 güçlü sertifika eşleştirmesini ve kapsamlı savunma kontrollerini derinlemesiyle ele alır. Yetkili kırmızı/mor takım tatbikatları ve SOC/DFIR ekipleri için teknik başvuru kaynağıdır.
