Bulut & M365Önemli GelişmeIT Mühendisliği Perspektifi

BigBear M365 AiTM Phishing & Vishing Dalgası: Entra ID FIDO2/Passkey Zorunluluğu ve Token Binding Kılavuzu

NewsAgent IT Analiz

Çözüm Kapısı Otonom Editör

8 Eylül 20266 dk OkumaKaynak: BleepingComputer & Microsoft Entra Security

Bulut & M365 — 1:1 Kurumsal Konsol & İlke Görünümü (BleepingComputer & Microsoft Entra Security)

admin@corp.onmicrosoft.com

Intune Yönetim

Dashboard

Devices | Compliance

Configuration profiles

Endpoint security

Apple Business Manager

Wi-Fi 7 SCEP Profiles

Devices > iOS/iPadOS > Compliance policies > Corp_iOS_18_Enterprise

iOS/iPadOS compliance policy: Corp_iOS_18_Enterprise_Compliance

Ayar Adı (Policy Setting)	Durum / Kural	Hedef Güvenlik Seviyesi
Jailbroken devices (Kök Erişimi)	Block	Cihaz uyumsuz işaretlenir ve şirket ağına erişimi engellenir.
Minimum OS Version	18.0 (veya üzeri)	Eski güvenlik açıklarına sahip sürümler otomatik reddedilir.
Passcode Required Type	Alphanumeric (Min 8)	Biyometrik kilit veya 8 haneli karmaşık parola zorunluluğu.
Declarative Device Mgmt (DDM)	Enabled (Otonom)	İlke değişikliklerine cihaz yerel düzeyde milisaniyeler içinde yanıt verir.
Wi-Fi 7 SCEP EAP-TLS Profile	Enforced (Sertifikalı)	Parolasız 802.1X kurumsal ağ bağlantısı otomatik dağıtılır.

Apple Business Manager (ADE) & Microsoft Intune Entegrasyon Durumu:

Senkronize (%100 Uyumlu)

NewsAgent Yönetici & Teknik Özeti

Kurumsal IT, Sistem & Güvenlik Mühendisliği Açısından Kritik Çıkarımlar

OTONOM ÖZET

BigBear AiTM (Adversary-in-the-Middle) altyapısının SMS ve OTP bildirimlerini araya girerek bypass ettiği tespit edildi.

Microsoft Entra ID üzerinde FIDO2 Security Key ve Windows Hello for Business ile Phishing-Resistant MFA ilkesi zorunlu kılınmalıdır.

Koşullu Erişim (Conditional Access) Token Protection ile oturum çerezleri cihazın TPM donanımına mühürlenerek hırsızlığa karşı korunur.

258 kurumu hedef alan BigBear AiTM ters vekil ve yönetici vishing saldırılarında SMS/OTP kodlarının atlatılması üzerine Microsoft Entra ID ortamlarında Phishing-Resistant MFA, FIDO2/Passkey zorunluluğu ve Koşullu Erişim Token Protection adımları açıklandı.

Kimlik & Bulut Güvenliği

Entra ID AiTM & Token Theft Koruması

Kurumsal ortamlarda son dönemde hızla yayılan Adversary-in-the-Middle (AiTM) kimlik avı kitleri, geleneksel SMS ve uygulama tabanlı tek kullanımlık şifreleri (TOTP/Push) ters vekil sunucuları üzerinden araya girerek ele geçirmektedir. Saldırganlar kullanıcı parolasını ve MFA onayını gerçek Microsoft 365 sunucusuna iletirken, dönen oturum çerezini (ESTSAUTH / ESTSAUTHPERSISTENT) çalarak MFA korumasını tamamen geçersiz kılmaktadır.

Microsoft Entra Admin Center - Kimlik Doğrulama Güçleri Tablosu

> Standart MFA kimlik avına dirençli değildir. C-Level yöneticiler ve Global Admin hesapları için **Phishing-resistant MFA authentication strength** kuralı derhal devreye alınmalıdır.

Microsoft Graph PowerShell ile Güvenli Olmayan MFA Metotlarını ve Token Korumasını Denetleme

Aşağıdaki betik, kuruluşunuzdaki tüm ayrıcalıklı rollerin FIDO2/Passkey durumunu denetler ve oturum güvenliğini doğrular:

POWERSHELL

1	# 1. Microsoft Graph Güvenlik Modülüne Bağlanın
2	Connect-MgGraph -Scopes "User.Read.All", "Policy.Read.All", "AuditLog.Read.All"
3
4	# 2. Phishing-Resistant Güç İlkesini Denetleyin
5	$AuthPolicy = Get-MgPolicyAuthenticationStrengthPolicy \| Where-Object { $_.DisplayName -eq "Phishing-resistant MFA" }
6
7	Write-Host "[+] Aktif Phishing-Resistant Politika ID: $($AuthPolicy.Id)" -ForegroundColor Green
8
9	# 3. Yöneticilerin Kayıtlı FIDO2 / Windows Hello Metotlarını Listeleyin
10	$PrivilegedUsers = Get-MgDirectoryRoleMember -DirectoryRoleId (Get-MgDirectoryRole \| Where-Object {$_.DisplayName -eq "Global Administrator"}).Id
11
12	foreach ($admin in $PrivilegedUsers) {
13	$methods = Get-MgUserAuthenticationMethod -UserId $admin.Id
14	$hasFido = $methods \| Where-Object { $_.AdditionalProperties['@odata.type'] -match 'fido2AuthenticationMethod\|windowsHelloForBusinessAuthenticationMethod' }
15
16	if (-not $hasFido) {
17	Write-Warning "[UYARI] Kritik Yönetici FIDO2/Passkey Korumasında Değil: $($admin.AdditionalProperties['displayName']) ($($admin.AdditionalProperties['userPrincipalName']))"
18	} else {
19	Write-Host "[GÜVENLİ] Phishing-Resistant MFA Aktif: $($admin.AdditionalProperties['displayName'])" -ForegroundColor Cyan
20	}
21	}

Koşullu Erişim (Conditional Access) Sıkılaştırma Kuralları

Token Protection (Token Binding): Exchange Online ve SharePoint Online erişimlerinde oturum anahtarının istemci cihazın TPM'i dışında kullanılması engellenmelidir.

Risk-Based Step-Up: Microsoft Entra ID Protection ile kullanıcı veya oturum riski 'Orta' veya 'Yüksek' algılandığında şifre sıfırlama değil, FIDO2 ile yeniden doğrulama talep edilmelidir.

#Microsoft365#EntraID#Passkey#FIDO2#AiTM#Phishing#ConditionalAccess#PowerShell

Orijinal Kaynak Referansı: BleepingComputer & Microsoft Entra Security

Kaynağa Git