📸از CCTV تا IDS صنعتی!
◀️در بسیاری از زیرساخت‌های حیاتی کشور، برای دوربین‌های CCTV بودجه‌های قابل توجهی اختصاص داده می‌شود، ده‌ها و گاهی صدها دوربین نصب می‌شود، اتاق مانیتورینگ ایجاد می‌شود و نیروهای انسانی برای پایش تصاویر به‌کار گرفته می‌شوند. دلیل این موضوع هم روشن است؛ برای کشف نفوذ فیزیکی، خرابکاری، سرقت یا فعالیت‌های مشکوک باید «چشم» داشته باشیم.
◀️اما اگر یک مهاجم سایبری وارد شبکه صنعتی شود، ترافیک PLCها را دستکاری کند، فرمان‌های غیرمجاز ارسال کند، ارتباط HMI و Controller را تغییر دهد یا برای ماه‌ها در شبکه پنهان بماند، چگونه تشخیص داده می‌شود؟
◀️در دنیای فیزیکی، CCTV نقش چشم‌های امنیتی را ایفا می‌کند. در دنیای OT و ICS، این نقش را Industrial IDS بر عهده دارد.
یک IDS صنعتی دقیقا همان کاری را برای شبکه صنعتی انجام می‌دهد که CCTV برای محیط فیزیکی انجام می‌دهد:
✅ مشاهده مداوم
✅ ثبت رویدادها
✅ کشف رفتارهای مشکوک
✅ هشداردهی سریع
✅ کمک به تحلیل حوادث
متأسفانه هنوز در برخی سازمان‌ها و زیرساخت‌های حیاتی، مدیرانی که اهمیت CCTV را به‌خوبی درک کرده‌اند اعتقادی به نصب IDS صنعتی ندارند.
◀️همانطور که حفاظت فیزیکی بدون دوربین منطقی نیست، حفاظت سایبری شبکه‌های صنعتی نیز بدون قابلیت مشاهده (Visibility) و پایش مداوم ترافیک منطقی نخواهد بود.
⚡️شما نمی‌توانید از چیزی که نمی‌بینید محافظت کنید.
◀️امروزه Industrial IDS یکی از مهم‌ترین ابزارهای افزایش Visibility در شبکه‌های OT است و در استانداردها و چارچوب‌های امنیت صنعتی مانند IEC 62443، NIST SP 800-82 و توصیه‌های CISA به عنوان یک کنترل کلیدی شناخته می‌شود.

#CyberSecurity #ICS #SCADA #OTSecurity #IndustrialIDS #IEC62443 #CriticalInfrastructure #IndustrialCyberSecurity #SOC #ThreatDetection

✈️@PingChannel
خبر، تحلیل، انتقاد - فناوری اطلاعات
🅰️🅰️🅰️🅰️

🔽استفاده از Driver امضاشده Microsoft Defender برای نابودکردن خود Defender!
📉پژوهشگران Check Point نشان داده‌اند یکی از اجزای کاملاً قانونی و امضاشده Microsoft Defender را می‌توان به ابزاری برای حذف خود Defender و حتی سایر محصولات EDR/AV تبدیل کرد.
📉 ماجرا از BTR.sys شروع می‌شود؛ درایور Boot-Time Removal Tool که Defender برای پاک‌کردن فایل‌ها و کلیدهای رجیستری‌ای استفاده می‌کند که هنگام اجرای ویندوز قابل حذف نیستند. این درایور Microsoft-signed است و در سطح Ring 0 اجرا می‌شود.
📉 نکته عجیب اینجاست که پژوهشگران عملاً آسیب‌پذیری کلاسیکی پیدا نکرده‌اند. خبری از Buffer Overflow، Memory Corruption یا حتی BYOVD متداول نیست. آن‌ها پروتکل داخلی BTR.sys را Reverse Engineer کرده‌اند و نشان داده‌اند می‌توان همان قابلیت‌های قانونی درایور را با ورودی‌های دلخواه کنترل کرد.
📉 سناریوی خطرناک هنگام Boot اتفاق می‌افتد. BTR.sys در بازه‌ای اجرا می‌شود که فایل‌سیستم آماده است اما سرویس‌های اصلی Defender، از جمله MsMpEng.exe، هنوز بالا نیامده‌اند. پژوهشگران این فاصله را Golden Window نامیده‌اند.
📉در آزمایش عملی روی Windows 11 25H2، همین مکانیزم برای حذف فایل‌هایی مانند WdFilter.sys و MsMpEng.exe استفاده شد؛ یعنی مؤلفه‌ای که برای پاک‌کردن Malware ساخته شده، می‌تواند قبل از بالا آمدن کامل Defender، خود Defender را پاک کند!
📉 حتی Tamper Protection هم پایان داستان نیست. پژوهش نشان داده BTR.sys می‌تواند از سطح Kernel روی برخی کلیدهای محافظت‌شده رجیستری عملیات انجام دهد؛ جایی که محدودیت‌های معمول User Mode دیگر تعیین‌کننده نیستند.

#MicrosoftDefender #WindowsSecurity #EDR #KernelSecurity #CyberSecurity #SOC #DefenseEvasion

✈️@PingChannel
خبر، تحلیل، انتقاد - فناوری اطلاعات
🅰️🅰️🅰️🅰️

❇️معرفی یک جعبه‌ابزار OSINT کاربردی؛ بدون نصب و ثبت‌نام
📝اگر در SOC، Threat Hunting، Incident Response یا تحلیل بدافزار فعالیت می‌کنید، Max Intel – Threat Intelligence ارزش Bookmark کردن دارد.
📝این سرویس در واقع یک نقطه شروع متمرکز برای جست‌وجوی IOCها است؛ یعنی به‌جای اینکه برای بررسی یک IP، Domain، URL، Hash یا CVE سراغ چندین سرویس مختلف بروید، از یک صفحه به مجموعه‌ای از منابع Threat Intelligence دسترسی پیدا می‌کنید.
🔍 در این سایت موارد زیر را می‌توان بررسی کرد:
▪️ IP Address
▪️ Domain
▪️ URL
▪️ MD5 / SHA1 / SHA256
▪️ CVE
▪️ IOC Malware و Threat Actor
⬅نکته جذاب، گستردگی منابعی است که کنار هم قرار گرفته‌اند. Max Intel برای Threat Intelligence به بیش از ۲۵ پلتفرم امنیتی متصل یا لینک می‌دهد؛ از جمله VirusTotal، AlienVault OTX، ThreatFox، GreyNoise، Shodan، Censys، Hybrid Analysis، ANY.RUN، NIST NVD و Exploit-DB.
مثلاً اگر در Logهای Firewall یا SIEM به یک IP مشکوک برخورد کنید، می‌توانید از همین نقطه بررسی کنید که IP موردنظر سابقه فعالیت مخرب دارد یا خیر، در Threat Feedها دیده شده، بخشی از اسکن‌های عمومی اینترنت بوده یا با Malware Infrastructure ارتباط دارد.
⬅️ البته Max Intel را نباید با یک Threat Intelligence Platform سازمانی (TIP) مثل پلتفرم‌هایی که IOC ingestion، enrichment، scoring، correlation و workflowهای خودکار دارند اشتباه گرفت. بخش مهمی از کار Max Intel، تجمیع و هدایت Query به منابع عمومی و سرویس‌های ثالث است؛ بنابراین بیشتر یک OSINT/Threat Intel Hub بسیار کاربردی است تا جایگزین TIP سازمانی. خود Max Intel نیز تصریح می‌کند که عمدتاً داده‌ها را ذخیره و ایندکس نمی‌کند و نقش آن اتصال سریع‌تر پژوهشگر به منابع عمومی است.
❇️مزیت مهم دیگر اینکه سرویس رایگان است، ثبت‌نام نمی‌خواهد و API Key هم برای استفاده از مجموعه اصلی ابزارها لازم نیست.
❇️برای تحلیلگران SOC، Blue Team و Threat Hunterها، مخصوصاً زمانی که می‌خواهید یک IOC را سریع در چند منبع مختلف Pivot کنید، ابزار جالبی است.
🔗 Max Intel – Threat Intelligence
#OSINT #ThreatIntelligence #ThreatHunting #SOC #CyberSecurity #BlueTeam #IncidentResponse

✈️@PingChannel
خبر، تحلیل، انتقاد - فناوری اطلاعات
🅰️🅰️🅰️🅰️

🟥محصولات تجاری یا محصولات Open Source؟
◀️برای بسیاری از نیازهای Cybersecurity، در کنار محصولات تجاری گران‌قیمت، ابزارهای رایگان و Open Source قدرتمندی هم وجود دارند؛ از Wazuh و OpenVAS گرفته تا Wireshark، OWASP ZAP، ELK، John the Ripper و Metasploit Framework.
◀️ ابزارهای دو طرف این تصویر الزاماً جایگزین یک‌به‌یک یکدیگر نیستند و از نظر قابلیت، مقیاس‌پذیری، پشتیبانی و نوع کاربرد تفاوت دارند. در بسیاری از سازمان‌ها، ترکیب درست ابزارهای رایگان و تجاری می‌تواند هم هزینه را کاهش دهد و هم پوشش امنیتی مناسبی ایجاد کند.
#امنیت_سایبری #CyberSecurity #OpenSource #SIEM #Pentest #SOC #امنیت_شبکه

📱 @PingChannel
خبر، تحلیل، انتقاد - فناوری اطلاعات
🅰️🅰️🅰️🅰️

⚠️ هشدار امنیتی بحرانی؛ اجرای دستورات از راه دور بدون احراز هویت در Splunk !
🔄شرکت Splunk از شناسایی مجموعه‌ای از آسیب‌پذیری‌های امنیتی در محصول Splunk Enterprise خبر داده است که خطرناک‌ترین آن‌ها با شناسه CVE-2026-76268 و امتیاز بحرانی CVSS 9.8 معرفی شده است.
🔄 این آسیب‌پذیری به مهاجم اجازه می‌دهد در صورت دسترسی شبکه‌ای به رابط Patroni REST API در اعضای Search Head Cluster، بدون نیاز به احراز هویت، دستورات دلخواه خود را در سطح سیستم‌عامل اجرا کند (Unauthenticated Command Execution).
🔄با توجه به اینکه Splunk در نقطه ای نصب می شود که قابلیت تجمیع لاگها از تمام Zoneها را داشته باشد، بهره‌برداری موفق از چنین ضعفی می‌تواند پیامدهای جدی برای محرمانگی اطلاعات و امنیت زیرساخت‌های مانیتورینگ و SOC به همراه داشته باشد.
🔥وضعیت نگران‌کننده در ایران
🔄بر اساس اسکن‌های انجام‌شده، تعداد ۳۰ سرور Splunk متصل به اینترنت در ایران شناسایی شده‌اند.
هرچند شناسایی این سرورها لزوماً به معنای آسیب‌پذیر بودن آن‌ها نیست، اما انتشار یک آسیب‌پذیری با شدت 9.8 ضرورت بررسی فوری نسخه نرم‌افزار، پیکربندی و سطح دسترسی شبکه‌ای این سامانه‌ها را دوچندان می‌کند.
📣 اقدامات ضروری:
🎤 به‌روزرسانی نسخه‌های آسیب‌پذیر 10.2 و 10.4 به‌ترتیب به 10.2.7 و 10.4.3 یا بالاتر
🎤 محدودسازی دسترسی به رابط‌های مدیریتی و APIهای حساس از اینترنت
🎤 بررسی لاگ‌ها و شواهد احتمالی دسترسی غیرمجاز
🎤 بررسی امکان غیرفعال‌سازی PostgreSQL Sidecar در صورت عدم وابستگی سرویس‌های عملیاتی به آن
✅ نکته مهم: سامانه SIEM که قرار است چشم بینای مرکز عملیات امنیت باشد، نباید خود به نقطه ورود مهاجمان به زیرساخت سازمان تبدیل شود!
🔗 مرجع رسمی:
https://advisory.splunk.com/advisories/SVD-2026-1001
#Splunk #CVE_2026_76268 #SIEM #SOC #CyberSecurity #RCE #Iran

📱 @PingChannel
خبر، تحلیل، انتقاد - فناوری اطلاعات
🅰️🅰️🅰️🅰️

🥷وقتی هکرها با کلید وارد می‌شوند و هیچ آژیری به صدا درنمی‌آید!
❗️تصور کنید سازمانی با پیشرفته‌ترین تجهیزات امنیتی، فایروال‌های نسل جدید، EDR، سامانه SIEM و یک مرکز عملیات امنیت (SOC) مجهز، ظاهراً همه‌چیز را تحت کنترل دارد.
❗️اما مهاجم بدون استفاده از اکسپلویت‌های پیچیده، صرفاً با خرید اطلاعات سرقت‌شده توسط اینفواستیلرها (Infostealers) از دارک‌وب، به سامانه‌های سازمان نفوذ می‌کند!

📈واقعیتی نگران‌کننده از حملات سایبری در ایران
❗️بر اساس تجربه و یافته‌های حاصل از بررسی‌های فارنزیک حوادث سایبری در پنج سال اخیر، برآورد ما این است که در حدود ۹۰ درصد حملات بررسی‌شده، دسترسی اولیه مهاجمان (Initial Access) با استفاده از اعتبارنامه‌های معتبر اما سرقت‌شده (Valid Credentials) صورت گرفته است.
❗️یعنی مهاجم در بسیاری از موارد نیازی به شکستن دیوارهای امنیتی نداشته؛ بلکه با هویت یک کاربر مجاز وارد سامانه ها شده است!

📈 و این دقیقاً همان نقطه کور بسیاری از SOCهاست:
❗️تمام داشبوردهای تهدیدات سبز هستند، هیچ بدافزاری شناسایی نشده، هیچ هشدار بحرانی وجود ندارد، اما مهاجم در شبکه حضور دارد و تمام سیستمهای امنیتی شما را به چالش کشیده است!
❗️اگر نمی‌دانید کدام حساب‌های کاربری سازمان شما در لاگ‌های اینفواستیلرها و بازارهای دارک‌وب افشا شده‌اند، ممکن است مهاجمان همین حالا کلید ورود به سازمانتان را در اختیار داشته باشند و نفوذ خود را با چراغ خاموش انجام داده باشند.
📊خطرناک‌ترین نفوذ، نفوذی است که از نگاه تجهیزات امنیتی، یک ورود کاملاً قانونی به نظر می‌رسد!
❓برای اینکه بدانید Infostealerها چه اطلاعاتی را از سامان و کاربران شما به سرقت برده اند چه راهکاری دارید؟

#CyberSecurity #Infostealer #DarkWeb #InitialAccess #SOC #ThreatIntelligence

📱 @PingChannel
خبر، تحلیل، انتقاد - فناوری اطلاعات
🅰️🅰️🅰️🅰️