Teknik Kütüphanesi

Windows Görev Zamanlayıcısı (schtasks.exe / Schedule.Service COM), saldırganlar tarafından hem kalıcılık hem uzaktan yürütme (lateral hareket) için yaygın biçimde kullanılır. Yazı; schtasks sözdizimi, XML görev yapısı, TaskCache kayıt defteri, EID 4698/4699/4700/4701/4702 + TaskScheduler/Operational 106/140/141/200/201 telemetrisi, Sigma kuralı ve sertleştirme kontrollerini kapsar.

Windows Servis Kontrol Yöneticisi (SCM) saldırı yüzeyinin bütüncül haritası: yeni servis oluşturma (T1543.003), ServiceDll hijack, unquoted path / zayıf binary ve registry ACL sömürüsü (T1574.009-011), PsExec tarzı geçici servis ile lateral hareket (T1569.002). SOC ve red/purple takım için EID 7045/4697, Sysmon EID 13 tespiti ve Sigma korelasyonları.

Linux ortamlarında SOC ve IR ekipleri için kalıcılık mekanizmaları (cron/systemd/kabuk başlatma dosyaları/SSH authorized_keys/LD_PRELOAD/kernel modülü), yetki yükseltme yolları (SUID/SGID, sudo yanlış yapılandırma, capabilities) ve bunları gün yüzüne çıkaran adli analiz metodolojisi: auditd kural seti, auth.log/journald sorgular, /proc canlı yanıt ve sertleştirme kontrolleri.

Windows DLL yükleme mekanizmalarının saldırganlar tarafından kötüye kullanılmasının bütüncül haritası: DLL arama sırası ele geçirme (T1574.001), side-loading (T1574.002), phantom DLL, COM hijacking (T1546.015, InprocServer32/HKCU), AppInit_DLLs (T1546.010), AppCert DLLs (T1546.009), Netsh helper DLL (T1546.007) ve Application Shimming (T1546.011). KnownDLLs ve WinSxS koruma mekanizmaları, Sysmon EID 7 (ImageLoad) tabanlı tespit ve SafeDllSearchMode sertleştirme kılavuzu.