جمع بندی در انتهای همخوانی نوروز فصل ۸ کتاب بدافزارهای پیشرفته :
⛳⛳نکته مهم
همانطور که میدانیم سازمانها لازم است سندباکس داشته باشند
اما فراتر از آن با خواندن این فصل و درک تکنیک های بدافزارها، فهمیدیم بدافزارها هم بی کار ننشسته اند و سند باکس را شناسایی و دور می‌زنند
پس لازم است نیروی متخصص تحلیل بدافزار در سازمان داشته باشیم یا شرکتی پشتیبان در این زمینه از سازمان ما حمایت کند
لذا فقط سندباکس نخرید
ضمنا به نظر میرسد با توجه به سرعت پیشرفت بدافزارها در شناسایی سند باکس ها؛ محیط های سند باکس اپن سورس و رایگان خیلی نتوانند موثر باشند یعنی برای سازمان‌های حساس توصیه نمیشوند لذا از سند باکس های تجاری استفاده شود که با فناوری‌های روز سریعتر پیشرفت میکنند
#آکادمی_روزبه
⛳⛳نکته مهم
همانطور که میدانیم سازمانها لازم است سندباکس داشته باشند
اما فراتر از آن با خواندن این فصل و درک تکنیک های بدافزارها، فهمیدیم بدافزارها هم بی کار ننشسته اند و سند باکس را شناسایی و دور می‌زنند
پس لازم است نیروی متخصص تحلیل بدافزار در سازمان داشته باشیم یا شرکتی پشتیبان در این زمینه از سازمان ما حمایت کند
لذا فقط سندباکس نخرید
ضمنا به نظر میرسد با توجه به سرعت پیشرفت بدافزارها در شناسایی سند باکس ها؛ محیط های سند باکس اپن سورس و رایگان خیلی نتوانند موثر باشند یعنی برای سازمان‌های حساس توصیه نمیشوند لذا از سند باکس های تجاری استفاده شود که با فناوری‌های روز سریعتر پیشرفت میکنند
#آکادمی_روزبه
👍1
یک حرکت حرفه ای از سوی مرکز افتا که جای تقدیر داره
لینک دانلود ابزار شناساگر:
https://afta.gov.ir/fa-IR/Portal/1/news/view/14594/2203/Staging/
رمز فایل: afta@123
مرکزمدیریت راهبردی افتا
APT15
لینک دانلود ابزار شناساگر:
https://afta.gov.ir/fa-IR/Portal/1/news/view/14594/2203/Staging/
رمز فایل: afta@123
مرکزمدیریت راهبردی افتا
APT15
👌7👍1
سایتی که قبلا هم معرفی کردم و الان فیچر های جدید گذاشته
لازم برای متخصصان EDR
#آکادمی_روزبه
**هرچیزی EDR نیست و برندهای EDR ها هم خیلی با هم متفاوت هستند
https://edr-telemetry.com/statistics
لازم برای متخصصان EDR
#آکادمی_روزبه
**هرچیزی EDR نیست و برندهای EDR ها هم خیلی با هم متفاوت هستند
https://edr-telemetry.com/statistics
Edr-Telemetry
EDR Telemetry Statistics: Telemetry Visibility Change Trends
Historical statistics of EDR telemetry visibility changes across the vendor matrix — vendor improvement leaderboard, score trends, category deltas, and contribution breakdown. Data is loaded from the EDR-Telemetry repository.
👍2
How To Remember (Nearly) Everything You Learn.pdf
84.6 MB
اگر حجم مطالبی که با من در نوروز می‌خوانید زیاد است ؛ بدانید فراموشی پس از اولین دور خواندن طبیعی است لذا از این روش‌ها استفاده کنید تا مطالب در ذهنتان عمیق شوند
#آکادمی_روزبه
#آکادمی_روزبه
👌9
درس آموخته امشب از گروه نوروز درس سنز 599
۱- با استفاده از نسخه های جدید ویندوز ، فیچرهای امنیتی بیشتری در اختیار ما قرار می‌گیرد (Anti Exploit Features)
۲-فیچرها در نسخه های جدید ویندوز کمک موثری در کاهش احتمال اکسپلویت دارند اما نیاز به دقت در تنظیم آنها ، کار را زمان بر میکند
#آکادمی_روزبه
۱- با استفاده از نسخه های جدید ویندوز ، فیچرهای امنیتی بیشتری در اختیار ما قرار می‌گیرد (Anti Exploit Features)
۲-فیچرها در نسخه های جدید ویندوز کمک موثری در کاهش احتمال اکسپلویت دارند اما نیاز به دقت در تنظیم آنها ، کار را زمان بر میکند
#آکادمی_روزبه
👌6
پیرو درخواست عزیزان در خصوص بررسی روشهای ارتقای بهره وری مطالعه
#آکادمی_روزبه
https://blog.faradars.org/n-%D8%B1%D9%88%D8%B4-%D8%B5%D8%AD%DB%8C%D8%AD-%D9%85%D8%B7%D8%A7%D9%84%D8%B9%D9%87-%D8%A8%D8%AF%D9%88%D9%86-%D9%81%D8%B1%D8%A7%D9%85%D9%88%D8%B4%DB%8C/
#آکادمی_روزبه
https://blog.faradars.org/n-%D8%B1%D9%88%D8%B4-%D8%B5%D8%AD%DB%8C%D8%AD-%D9%85%D8%B7%D8%A7%D9%84%D8%B9%D9%87-%D8%A8%D8%AF%D9%88%D9%86-%D9%81%D8%B1%D8%A7%D9%85%D9%88%D8%B4%DB%8C/
فرادرس - مجله
۳۵ روش صحیح مطالعه بدون فراموشی – جامع + بهترین تکنیک ها
در این مطلب ۱۵ روش صحیح مطالعه بدون فراموشی، ۷ روش تندخوانی و ۱۳ روش در مورد مطالعه بدون خستگی را بررسی کرده‌ایم.
👍1
وصله نشده !!
آسیب‌پذیری ZDI-CAN-25373 یک نقص امنیتی در سیستم‌عامل ویندوز است که به مهاجمان اجازه میدهد با استفاده از فایل‌های میانبر (.lnk) دستورات مخرب را به‌صورت پنهان اجرا کنند. این آسیب‌پذیری از سال ۲۰۱۷ توسط حداقل ۱۱ گروه تهدید پیشرفته (APT) تحت حمایت دولت‌های مختلف از جمله کره شمالی، ایران، روسیه و چین برای جاسوسی سایبری و سرقت داده‌ها مورد سوءاستفاده قرار گرفته است.
نحوه حمله:
مهاجمان فایل‌های میانبر ویندوز (.lnk) را به‌گونه‌ای طراحی میکنند که شامل آرگومان‌های خط فرمان پنهان باشند. هنگامی که کاربر این فایل میانبر مخرب را باز میکند، دستورات مخرب اجرا شده و ممکن است منجر به اجرای کد دلخواه، نصب بدافزار یا سرقت اطلاعات شود. Trend Micro
کشف و مقابله با حمله:
شناسایی فایل‌های میانبر مشکوک: سیستم‌های خود را برای یافتن فایل‌های .lnk غیرمعمول یا ناشناخته بررسی کنید، به‌ویژه آن‌هایی که از منابع نامعتبر دریافت شده‌اند.
نظارت بر رفتار سیستم: به دنبال اجرای فرآیندهای غیرمنتظره یا رفتارهای غیرعادی در سیستم باشید که ممکن است نشان‌دهنده اجرای کد مخرب باشد.
استفاده از نرم‌افزارهای امنیتی به‌روز: اطمینان حاصل کنید که نرم‌افزارهای آنتی‌ویروس و امنیتی شما به‌روز هستند و قابلیت شناسایی و مسدود کردن تهدیدات مرتبط با این آسیب‌پذیری را دارند.
آموزش کاربران: کاربران را در مورد خطرات باز کردن فایل‌های میانبر ناشناخته یا دریافت شده از منابع نامعتبر آگاه کنید و آنها را تشویق کنید که در مواجهه با این‌گونه فایل‌ها احتیاط کنند.
به‌روزرسانی سیستم‌عامل و نرم‌افزارها: هرچند مایکروسافت هنوز برای این آسیب‌پذیری وصله‌ای ارائه نکرده است، اما به‌روزرسانی منظم سیستم‌عامل و نرم‌افزارها می‌تواند به کاهش سطح حمله کمک کند.
با توجه به اینکه این آسیب‌پذیری هنوز وصله نشده است، اتخاذ تدابیر پیشگیرانه و نظارت مداوم بر سیستم‌ها برای شناسایی و مقابله با تهدیدات احتمالی ضروری است.
#آکادمی_روزبه
آسیب‌پذیری ZDI-CAN-25373 یک نقص امنیتی در سیستم‌عامل ویندوز است که به مهاجمان اجازه میدهد با استفاده از فایل‌های میانبر (.lnk) دستورات مخرب را به‌صورت پنهان اجرا کنند. این آسیب‌پذیری از سال ۲۰۱۷ توسط حداقل ۱۱ گروه تهدید پیشرفته (APT) تحت حمایت دولت‌های مختلف از جمله کره شمالی، ایران، روسیه و چین برای جاسوسی سایبری و سرقت داده‌ها مورد سوءاستفاده قرار گرفته است.
نحوه حمله:
مهاجمان فایل‌های میانبر ویندوز (.lnk) را به‌گونه‌ای طراحی میکنند که شامل آرگومان‌های خط فرمان پنهان باشند. هنگامی که کاربر این فایل میانبر مخرب را باز میکند، دستورات مخرب اجرا شده و ممکن است منجر به اجرای کد دلخواه، نصب بدافزار یا سرقت اطلاعات شود. Trend Micro
کشف و مقابله با حمله:
شناسایی فایل‌های میانبر مشکوک: سیستم‌های خود را برای یافتن فایل‌های .lnk غیرمعمول یا ناشناخته بررسی کنید، به‌ویژه آن‌هایی که از منابع نامعتبر دریافت شده‌اند.
نظارت بر رفتار سیستم: به دنبال اجرای فرآیندهای غیرمنتظره یا رفتارهای غیرعادی در سیستم باشید که ممکن است نشان‌دهنده اجرای کد مخرب باشد.
استفاده از نرم‌افزارهای امنیتی به‌روز: اطمینان حاصل کنید که نرم‌افزارهای آنتی‌ویروس و امنیتی شما به‌روز هستند و قابلیت شناسایی و مسدود کردن تهدیدات مرتبط با این آسیب‌پذیری را دارند.
آموزش کاربران: کاربران را در مورد خطرات باز کردن فایل‌های میانبر ناشناخته یا دریافت شده از منابع نامعتبر آگاه کنید و آنها را تشویق کنید که در مواجهه با این‌گونه فایل‌ها احتیاط کنند.
به‌روزرسانی سیستم‌عامل و نرم‌افزارها: هرچند مایکروسافت هنوز برای این آسیب‌پذیری وصله‌ای ارائه نکرده است، اما به‌روزرسانی منظم سیستم‌عامل و نرم‌افزارها می‌تواند به کاهش سطح حمله کمک کند.
با توجه به اینکه این آسیب‌پذیری هنوز وصله نشده است، اتخاذ تدابیر پیشگیرانه و نظارت مداوم بر سیستم‌ها برای شناسایی و مقابله با تهدیدات احتمالی ضروری است.
#آکادمی_روزبه
TrendAI
ZDI-CAN-25373 Windows Shortcut Exploit Abused as Zero-Day in Widespread APT Campaigns | TrendAI (US)
Trend Zero Day Initiative™ (ZDI) uncovered both state-sponsored and cybercriminal groups extensively exploiting ZDI-CAN-25373 (aka ZDI-25-148), a Windows .lnk file vulnerability that enables hidden command execution.
🔥3
از مجموعه کتاب‌های درسی سنز ۵۹۹ در گروه نوروز؛ امروز به صفحه ۱۷۷ کتاب سوم رسیدیم
https://t.me/+SLUdi310VsM5Yzg0
https://t.me/+SLUdi310VsM5Yzg0
Telegram
آکادمی آموزش روزبه ـ تیم بنفش سایبری
R invites you to join this group on Telegram.
❤3👍1
زمان تغییر ساختار و استخوان بندی مشاوران امنیت حوزه بانکی در ایران فرا رسیده است.
✍️روزبه نوروزی
بعنوان نظر خودم که ۲۳ سال تو حوزه امنیت این کشور کار کرده اینو میتونم بگم :
برقراری امنیت مثل یک ارکستر سمفونیک هست. اگر همه درست بزنند ؛ آهنگ درست و خوب پخش میشه . وگرنه یک نفر اشتباه بزنه کل آهنگ خراب میشه حالا دیگه مهم نیست از بهترین پیانیست داریم استفاده می‌کنیم یا رهبر ارکستر عالی داریم.
وجود SOC یا بسیاری از راهکارهای امنیت ، ضامن امنیت نیست مگر اینکه به خوبی در کنار هم تنظیم شده باشند.
شما بهترین SIEM و بهترین تیم SOC رو داشته باشی ولی IPS رو روی دوتا ویلن تنظیم نکرده باشی ممکنه دور بخوری .
یا وندور شما امنیت درونی اش درحد شما نباشد.
بخاطر تنظیمات ضعیف امنیتی ؛ بسیاری از سازمان‌های ایران الان هک شده اند ولی ظاهرش معلوم نیست چون هکر ایمپلنت خودش رو گذاشته تا روز مبادا بیدارش کنه
لذا باید منتظر هک های بیشتر بود
ضمنا هنر مذاکره و اطلاع رسانی در حوزه امنیت هنوز در ایران جا نیفتاده.
راهکار : حکمرانی امنیت ( خط مشی ؛ ساختار ، پلن ) ابزار ، نیروی انسانی آموزش دیده فرآیند در یک قالب سمفونیک وار
نه راهکارهایی برای رفع مسوولیت کردن و جزیره ای.
ولی مشکل بزرگ دیگه هم ثابت ماندن ساختار اصلی مشاوران حوزه امنیت بانکی ایران در این سالها علی رغم تمام مسائل است . کلونی ایجاد شده متاسفانه اجازه تغییر و بهسازی شرایط موجود را نداده است.
✍️روزبه نوروزی
بعنوان نظر خودم که ۲۳ سال تو حوزه امنیت این کشور کار کرده اینو میتونم بگم :
برقراری امنیت مثل یک ارکستر سمفونیک هست. اگر همه درست بزنند ؛ آهنگ درست و خوب پخش میشه . وگرنه یک نفر اشتباه بزنه کل آهنگ خراب میشه حالا دیگه مهم نیست از بهترین پیانیست داریم استفاده می‌کنیم یا رهبر ارکستر عالی داریم.
وجود SOC یا بسیاری از راهکارهای امنیت ، ضامن امنیت نیست مگر اینکه به خوبی در کنار هم تنظیم شده باشند.
شما بهترین SIEM و بهترین تیم SOC رو داشته باشی ولی IPS رو روی دوتا ویلن تنظیم نکرده باشی ممکنه دور بخوری .
یا وندور شما امنیت درونی اش درحد شما نباشد.
بخاطر تنظیمات ضعیف امنیتی ؛ بسیاری از سازمان‌های ایران الان هک شده اند ولی ظاهرش معلوم نیست چون هکر ایمپلنت خودش رو گذاشته تا روز مبادا بیدارش کنه
لذا باید منتظر هک های بیشتر بود
ضمنا هنر مذاکره و اطلاع رسانی در حوزه امنیت هنوز در ایران جا نیفتاده.
راهکار : حکمرانی امنیت ( خط مشی ؛ ساختار ، پلن ) ابزار ، نیروی انسانی آموزش دیده فرآیند در یک قالب سمفونیک وار
نه راهکارهایی برای رفع مسوولیت کردن و جزیره ای.
ولی مشکل بزرگ دیگه هم ثابت ماندن ساختار اصلی مشاوران حوزه امنیت بانکی ایران در این سالها علی رغم تمام مسائل است . کلونی ایجاد شده متاسفانه اجازه تغییر و بهسازی شرایط موجود را نداده است.
👍8💯4👌2👏1
درسی از روز نهم مطالعه کتاب نوروز Evasive malware
چطور رولها و ابزار های کشف APT که توسط افتا منتشر میشوند ممکن است باعث خطر شوند؟
همانطور که میدانیم افتا در زمانهایی ابزارها یا رول‌هایی که حاصل از کشف حملات بوده است را برای جستجو در سایر سازمانها ارسال میکند
این امر عملی بسیار پسندیده و قابل تقدیر است همانطور که سازمان CISA در آمریکا همین کار را انجام میدهد.
اما لازم است در خصوص اجرای ابزار و رولها توجه به نکته ای را یادآور شوم
جستجوی رد پا یا هر عملی که منجر به تلاش برای شناسایی نفوذ بشود ممکن است هکر یا بدافزار را ترغیب کند که عملی دیگه انجام بدهد که فعلا قصد نداشته است مثلا شروع به وایپ سرور کند . لذا پیش از هرگونه عملی درخصوص رهگیری هکر و بدافزار باید اقدامات پیشگیرانه نظیر بک آپ یا جداسازی از اینترنت انجام شود.
درنتیجه اجرای ابزارهای دیتکتور نیاز به توجه و مشاوره دارد.
#آکادمی_روزبه
چطور رولها و ابزار های کشف APT که توسط افتا منتشر میشوند ممکن است باعث خطر شوند؟
همانطور که میدانیم افتا در زمانهایی ابزارها یا رول‌هایی که حاصل از کشف حملات بوده است را برای جستجو در سایر سازمانها ارسال میکند
این امر عملی بسیار پسندیده و قابل تقدیر است همانطور که سازمان CISA در آمریکا همین کار را انجام میدهد.
اما لازم است در خصوص اجرای ابزار و رولها توجه به نکته ای را یادآور شوم
جستجوی رد پا یا هر عملی که منجر به تلاش برای شناسایی نفوذ بشود ممکن است هکر یا بدافزار را ترغیب کند که عملی دیگه انجام بدهد که فعلا قصد نداشته است مثلا شروع به وایپ سرور کند . لذا پیش از هرگونه عملی درخصوص رهگیری هکر و بدافزار باید اقدامات پیشگیرانه نظیر بک آپ یا جداسازی از اینترنت انجام شود.
درنتیجه اجرای ابزارهای دیتکتور نیاز به توجه و مشاوره دارد.
#آکادمی_روزبه
👍6
به همگان توصیه میکنم
و برای آنان که می‌خواهند جا نمانند توجهشان را به این نمودار جلب میکنم
✅️اگر بتوانید ترکیبی از باکس مهارت‌های بالا سمت راست رو در امنیت سایبری ( فلش سمت چپ) برای خود فراهم کنید موفق خواهید بود
گزارش کامل در https://lnkd.in/djNH_-Nf
#آکادمی_روزبه
و برای آنان که می‌خواهند جا نمانند توجهشان را به این نمودار جلب میکنم
✅️اگر بتوانید ترکیبی از باکس مهارت‌های بالا سمت راست رو در امنیت سایبری ( فلش سمت چپ) برای خود فراهم کنید موفق خواهید بود
گزارش کامل در https://lnkd.in/djNH_-Nf
#آکادمی_روزبه
❤🔥2🙏1
مقاله ای که امروز عصر میخوانم
#آکادمی_روزبه
https://www.wietzebeukema.nl/blog/bypassing-detections-with-command-line-obfuscation
#آکادمی_روزبه
https://www.wietzebeukema.nl/blog/bypassing-detections-with-command-line-obfuscation
www.wietzebeukema.nl
Bypassing Detections with Command-Line Obfuscation
Defensive tools like AVs and EDRs rely on command-line arguments for detecting malicious activity. This post demonstrates how command-line obfuscation, a shell-independent technique that exploits executables’ parsing “flaws”, can bypass such detections. It…
به بوت توجه ویژه داشته باشیم .
مکانیسم ELAM (Early Launch Anti-Malware) چیست و چگونه کار میکند؟
✍️روزبه نوروزی
1. معرفی ELAM
فناوری ELAM (Early Launch Anti-Malware) یک ویژگی امنیتی در ویندوز است که قبل از بارگذاری سایر درایورها در فرآیند بوت، درایورهای امنیتی را اجرا میکند. این ویژگی برای محافظت از سیستم در برابر بدافزارهایی که قصد دارند هنگام راه‌اندازی سیستم (boot-time) اجرا شوند، طراحی شده است.
2. چرا ELAM مهم است؟
برخی از بدافزارهای پیشرفته، مانند بوت‌کیت‌ها (Bootkits) و روت‌کیت‌ها (Rootkits)، تلاش میکنند تا قبل از راه‌اندازی سیستم‌عامل، کنترل کامپیوتر را در اختیار بگیرند. این نوع بدافزارها می‌توانند خود را در درایورهای بوتی پنهان کنند و حتی آنتی‌ویروس‌ها را غیرفعال کنند. ELAM از این مسئله جلوگیری میکند.
3. نحوه عملکرد ELAM
هنگامی که کامپیوتر روشن می‌شود، سیستم‌عامل اولین درایوری که بارگذاری میکند یک درایور ELAM است.
این درایور که معمولاً توسط شرکت‌های امنیتی مانند Microsoft Defender، Symantec، یا Trend Micro توسعه داده شده، بررسی میکند که سایر درایورهای بوت خطری دارند یا نه.
اگر یک درایور مشکوک یا مخرب شناسایی شود، سیستم‌عامل می‌تواند از بارگذاری آن جلوگیری کند.
4. فرآیند کاری ELAM در سطح فنی
اولویت اجرای ELAM: ویندوز از مکانیزم ELAM استفاده میکند تا اطمینان حاصل کند که اولین درایوری که هنگام بوت اجرا می‌شود، درایور ضدبدافزار است.
ارزیابی درایورها: ELAM درایورهای دیگر را بررسی کرده و به هر یک امتیازی میدهد (مثلاً امن، مشکوک، مخرب).
تصمیم‌گیری توسط سیستم: بسته به امتیاز، سیستم‌عامل تصمیم می‌گیرد که آیا اجازه دهد درایور بارگذاری شود یا خیر.
5. مزایای ELAM برای EDR و XDR
محافظت در برابر بدافزارهای سطح پایین: چون ELAM در سطح کرنل قبل از بوت سیستم اجرا می‌شود، حتی پیچیده‌ترین بدافزارها هم شانس کمی برای فرار از شناسایی دارند.
جلوگیری از حملات پایدار (Persistent Threats): برخی از بدافزارها پس از ریستارت هم باقی می‌مانند، اما ELAM می‌تواند از این حملات جلوگیری کند.
افزایش امنیت EDR و XDR: چون EDRها نیاز دارند که از سطح پایین سیستم‌عامل نظارت داشته باشند، ELAM کمک میکند که قبل از بارگذاری سایر مؤلفه‌ها، امنیت اولیه برقرار شود.
6. محدودیت‌های ELAM
این ELAM فقط درایورهای بوتی را بررسی میکند، بنابراین نمی‌تواند از سایر روشهای حمله مانند اسکریپت‌های مخرب در لایه‌های بالاتر جلوگیری کند.
این مکانیزم فقط در صورتی کار میکند که ویندوز Secure Boot را فعال کرده باشد، وگرنه ممکن است بدافزارها راهی برای دور زدن آن پیدا کنند.
اما اینکه چطور بدافزار های پیشرفته همه ی ما را ناک اوت !! میکنند را در گروه نوروز کانال تلگرام آکادمی روزبه درحال خواندن هستیم
#آکادمی_روزبه
#من_آموزش_میدهم
مکانیسم ELAM (Early Launch Anti-Malware) چیست و چگونه کار میکند؟
✍️روزبه نوروزی
1. معرفی ELAM
فناوری ELAM (Early Launch Anti-Malware) یک ویژگی امنیتی در ویندوز است که قبل از بارگذاری سایر درایورها در فرآیند بوت، درایورهای امنیتی را اجرا میکند. این ویژگی برای محافظت از سیستم در برابر بدافزارهایی که قصد دارند هنگام راه‌اندازی سیستم (boot-time) اجرا شوند، طراحی شده است.
2. چرا ELAM مهم است؟
برخی از بدافزارهای پیشرفته، مانند بوت‌کیت‌ها (Bootkits) و روت‌کیت‌ها (Rootkits)، تلاش میکنند تا قبل از راه‌اندازی سیستم‌عامل، کنترل کامپیوتر را در اختیار بگیرند. این نوع بدافزارها می‌توانند خود را در درایورهای بوتی پنهان کنند و حتی آنتی‌ویروس‌ها را غیرفعال کنند. ELAM از این مسئله جلوگیری میکند.
3. نحوه عملکرد ELAM
هنگامی که کامپیوتر روشن می‌شود، سیستم‌عامل اولین درایوری که بارگذاری میکند یک درایور ELAM است.
این درایور که معمولاً توسط شرکت‌های امنیتی مانند Microsoft Defender، Symantec، یا Trend Micro توسعه داده شده، بررسی میکند که سایر درایورهای بوت خطری دارند یا نه.
اگر یک درایور مشکوک یا مخرب شناسایی شود، سیستم‌عامل می‌تواند از بارگذاری آن جلوگیری کند.
4. فرآیند کاری ELAM در سطح فنی
اولویت اجرای ELAM: ویندوز از مکانیزم ELAM استفاده میکند تا اطمینان حاصل کند که اولین درایوری که هنگام بوت اجرا می‌شود، درایور ضدبدافزار است.
ارزیابی درایورها: ELAM درایورهای دیگر را بررسی کرده و به هر یک امتیازی میدهد (مثلاً امن، مشکوک، مخرب).
تصمیم‌گیری توسط سیستم: بسته به امتیاز، سیستم‌عامل تصمیم می‌گیرد که آیا اجازه دهد درایور بارگذاری شود یا خیر.
5. مزایای ELAM برای EDR و XDR
محافظت در برابر بدافزارهای سطح پایین: چون ELAM در سطح کرنل قبل از بوت سیستم اجرا می‌شود، حتی پیچیده‌ترین بدافزارها هم شانس کمی برای فرار از شناسایی دارند.
جلوگیری از حملات پایدار (Persistent Threats): برخی از بدافزارها پس از ریستارت هم باقی می‌مانند، اما ELAM می‌تواند از این حملات جلوگیری کند.
افزایش امنیت EDR و XDR: چون EDRها نیاز دارند که از سطح پایین سیستم‌عامل نظارت داشته باشند، ELAM کمک میکند که قبل از بارگذاری سایر مؤلفه‌ها، امنیت اولیه برقرار شود.
6. محدودیت‌های ELAM
این ELAM فقط درایورهای بوتی را بررسی میکند، بنابراین نمی‌تواند از سایر روشهای حمله مانند اسکریپت‌های مخرب در لایه‌های بالاتر جلوگیری کند.
این مکانیزم فقط در صورتی کار میکند که ویندوز Secure Boot را فعال کرده باشد، وگرنه ممکن است بدافزارها راهی برای دور زدن آن پیدا کنند.
اما اینکه چطور بدافزار های پیشرفته همه ی ما را ناک اوت !! میکنند را در گروه نوروز کانال تلگرام آکادمی روزبه درحال خواندن هستیم
#آکادمی_روزبه
#من_آموزش_میدهم
👌5👍2
نظر مایکروسافت در مورد کردنشیال دامپینگ و مقابله
#آکادمی_روزبه
https://www.microsoft.com/en-us/security/blog/2022/10/05/detecting-and-preventing-lsass-credential-dumping-attacks/
#آکادمی_روزبه
https://www.microsoft.com/en-us/security/blog/2022/10/05/detecting-and-preventing-lsass-credential-dumping-attacks/
Microsoft News
Detecting and preventing LSASS credential dumping attacks
LSASS credential dumping is becoming prevalent, especially with the rise of human-operated ransomware. In May 2022, Microsoft participated in an evaluation conducted by AV-Comparatives specifically on detecting and blocking this attack technique and we’re…
👌1
از ویدئو های مرور دوره سنز ۵۹۹ در گروه نوروز
بررسی تغییرات در ابزار BloodHound
نفوذ در اکتیو دایرکتوری
#به_روز_باشیم
#آکادمی_روزبه
https://youtu.be/2pBzifWjfMY?si=Yue2udz5AKHlY4ov
بررسی تغییرات در ابزار BloodHound
نفوذ در اکتیو دایرکتوری
#به_روز_باشیم
#آکادمی_روزبه
https://youtu.be/2pBzifWjfMY?si=Yue2udz5AKHlY4ov
YouTube
BloodHound Live: Monthly Release Recap (Jan. 2025)
This monthly webinar delves into the features enabled in the latest BloodHound release. Each month, we’ll demo tech enhancements from BloodHound, highlight relevant news, innovations and inspirations from the open-source community, and trends in adversarial…
💯1