با عرض تسلیت به هموطنان

واتس اپ 09902857290

بررسی راهکارهای BAS:
ابزار SafeBreach به عنوان پلتفرم شبیه‌سازی تهدیدات سایبری

✍️روزبه نوروزی


امروزه که تهدیدات سایبری روزبه‌روز پیچیده‌تر می‌شوند، صرفاً داشتن یک سیستم دفاعی کافی نیست. سازمان‌ها نیاز دارند نه‌تنها بدانند که آیا دفاع‌های فعلی‌شان کار می‌کند؟ بلکه دقیقاً کجا و چرا شکست می‌خورد؟

اینجاست که راهکارهایی مانند SafeBreach وارد می‌شوند: یک پلتفرم شبیه‌سازی نفوذ و حمله (Breach and Attack Simulation - BAS) با رویکردی عملیاتی و هوشمندانه.

🟢ابزار SafeBreach چیست؟
ابزار SafeBreach یک پلتفرم BAS است که به سازمان‌ها اجازه می‌دهد:
صدها تکنیک حمله واقعی (مثل APTها، باج‌افزار، credential dumping، lateral movement) را درون محیط واقعی شبکه اجرا کنند،
و سپس اثربخشی کنترل‌های امنیتی (EDR، NGFW، SIEM، XDR، WAF، Email Gateway و ...) را ارزیابی کنند.

این پلتفرم از طریق یک Agent به نام SafeBreach Hacker روی نقاط پایانی و شبکه مستقر می‌شود و تکنیک‌ها را اجرا می‌کند، نه با هدف خرابکاری بلکه برای شبیه‌سازی.


🔵مؤلفه ها

بخشSafeBreach Hacker :
🌱ماژول Agent/Simulator که روی endpoint یا VM نصب شده و حملات را اجرا می‌کند.
🌱 بخش SafeBreach Control Center :رابط مدیریتی مبتنی بر وب برای تعریف حملات، مشاهده گزارش‌ها، و ادغام با ابزارهای امنیتی.
🌱بخش Playbooks :مجموعه‌ای از حملات سناریو-محور که می‌توانند براساس گروه‌های APT یا MITRE تعریف شوند.
🌱بخش Remediation Guidance: تحلیل خودکار و پیشنهاد راهکارها برای بهبود امنیت.

✅️چرا SafeBreach برای تیم‌های دفاعی مهم است؟
🔰بررسی اثربخشی امنیت نه به‌صورت تئوریک بلکه عملی

آیا EDR مثل Symantec یا TrendMicro واقعاً lateral movement را detect می‌کند؟
آیا SIEM مثل Splunk یا QRadar هشدار می‌دهد؟
آیا فایروال Fortinet جلوی C2 traffic را می‌گیرد؟

🔰شناسایی Blind Spots
تکنیک‌هایی مانند:
Credential Dumping با Mimikatz
DNS Tunneling با iodine
Abuse PowerShell (Invoke-Obfuscation)
به صورت خودکار تست می‌شوند و نقاط کور آشکار می‌شوند.

🔰هم‌راستایی با MITRE ATT&CK
این SafeBreach Playbookها به ساختار ATT&CK map شده‌اند. این یعنی می‌توان فهمید که سازمان در مقابل TTPهای خاص چه میزان آمادگی دارد.


🔴مثال عملی: تست شناسایی باج‌افزار توسط EDR
فرض کنید یک مشتری از Symantec EDR استفاده می‌کند.
با SafeBreach می‌توان یک سناریوی حمله باج‌افزاری تعریف کرد که شامل:
Initial Access
با استفاده از Dropper
Execution
از طریق rundll32
File Encryption
با mimicked behavior
C2 traffic over HTTP/HTTPS
حالا اگر Symantec هیچ هشداری تولید نکند یا فقط یک بخش را detect کند، ضعف به‌صورت کامل قابل مشاهده و اصلاح است.

💐قابلیت‌های پیشرفته (برای Detection Engineer و Threat Hunterها)

قابلیت:
✔️بحثCustom Attack Creation: می‌توان TTP جدید تعریف کرد یا shellcode خاص تست کرد.
✔️موضوع Integration with SIEM/XDR: می‌تواند alert تولید کند و بررسی کند آیا SIEM آن را گرفته؟
✔️بحثDelta Analysis: می‌گوید چه چیزی در دفاع‌ها تغییر کرده که باعث شده حمله detect شود یا نشود.
✔️موضوع Attack Replay: حملات شناسایی‌نشده را مجدد اجرا می‌کند برای validation

✳️میتواند به راحتی با XDR و SIEM تلفیق شود



🟣برای پیاده سازی این محصول میتوانید با من در تماس باشید.

کاری که برای ایران شروع شد

سالها است که من دوره CISSP را در ایران برگزار میکنم و نه فقط دوره بلکه تمرکز بر آمادگی آزمون و منتورینگ تا روز آزمون .
خداروشکر که تا کنون این تلاش؛ خروجی های مثبتی از لحاظ تعداد قبولی در آزمون رسمی داشته است .

با تورم موجود در کشور؛ هزینه دوره افزایش یافت البته نه دقیقا به تناسب با تورم . در این میان دیده شد پرداخت ۱۹ م تومان برای اقشاری از جامعه سنگین است. چه اینکه برگزاری دوره CISSP که هرفصل برگزار می‌شد یک فصل به تعویق افتاد.

بنده در دوراهی مانده بودم که آیا دوره را برگزار کنم یا به کارهای خود بپردازم و مانند خیلی از دوستان؛ بدلیل سود بالای پروژه ها در مسیر پروژه محوری قدم بردارم و تدریس را رها کنم.

تا اینکه مساله در جلسه ای با مدیرعامل محترم شرکت پیشگامان فناوری اطلاعات هامون مطرح شد.
ایشان که خود در از دارندگان مدارک سیسکو بوده اند اعتقاد وافری به توسعه فردی و تقویت اعتماد به نفس و توانمند سازی افراد دارند چه اینکه برنامه های توسعه منابع انسانی از ابتدای امسال در هامون کلید خورده است.


ادامه در پست بعدی....

#آکادمی_روزبه

👆👆 کاری که برای ایران شروع شد
چه شد که هامون به کمک آمد

ادامه از پست قبل


با این صحبت ایشان تصمیم گرفت بخشی از هزینه هر شخص را برای ثبت نام در دوره مدرک CISSP تقبل کند. لذا شرکت هامون به نوعی اسپانسر آکادمی روزبه قرار گرفت .

با تخفیف ۱۰ درصدی ثبت نام اولیه ، مجموع تخفیف به ۳۰ درصد رسید لذا عدد ثبت نام از ۱۹ م تومان به ۱۳ م تومان کاهش یافت.
به نظرم عددی است که برای دوستان شرایط بهتری را برای پرداخت فراهم می‌کند.

این شرایط را برای ایران و توسعه علم و دانش روز جهان فراهم کرده ایم چون ارزش زمانی که برای تدریس و منتورینگ و حل مسائل گذاشته خواهد شد خیلی بیشتر از هزینه دریافتی از کلاس است.


انشالله ۲۵ اردیبهشت کلاس رو شروع میکنیم و به توفیق الهی قدمی دیگر برای بهتر شدن و افزایش اعتماد به نفس ایرانیان برمی‌داریم. بر آن باورم که دانش؛ اعتماد به نفس و خودباوری میاورد که می‌تواند عزت را به ایرانی عطا کند.

هنوز تعداد محدودی می‌توانند به ما بپیوندند. این واتس اپ را میگذارم 09902857290


#آکادمی_روزبه

بررسی حملات رله در پروتکل‌های NTLM و Kerberos و تفاوت‌ها، محدودیت‌ها و ابزارهای مرتبط

مقدمه‌ای بر Kerberos

پروتکل Kerberos یک پروتکل احراز هویت شبکه‌ای است که با استفاده از رمزنگاری کلید متقارن و مرکز توزیع کلید (KDC) امکان احراز هویت امن را فراهم می‌کند. این پروتکل شامل اجزای زیر است:

- خدمت احراز هویت (AS):اعتبارسنجی اولیه کاربر و صدور بلیت TGT.
- خدمت صدور بلیت (TGS): صدور بلیت‌های سرویس خاص بر اساس TGT معتبر.
- مدل کلاینت-سرور: استفاده از پیام AP-REQ برای احراز هویت به سرویس‌ها.


حملات رله در Kerberos چگونه کار می‌کنند؟

برخلاف NTLM، حملات رله در Kerberos کمتر مستندسازی شده‌اند. اما تحقیقات اخیر نشان داده‌اند که این حملات نیز امکان‌پذیرند. در این حملات، مهاجم پیام AP-REQ را که حاوی بلیت سرویس است، رهگیری کرده و به سرویس هدف ارسال می‌کند تا به جای قربانی احراز هویت شود.

نکته کلیدی در اینجا استفاده از نام اصلی سرویس (SPN) است. اگر دو سرویس (مثلاً HTTP و SMB) از یک حساب کاربری در Active Directory استفاده کنند، بلیت صادرشده برای یکی می‌تواند برای دیگری نیز معتبر باشد، مگر اینکه سرویس‌ها به‌طور خاص SPN را بررسی کنند.

⚠️ محدودیت‌ها و چالش‌های حملات رله در Kerberos

حملات رله در Kerberos با محدودیت‌هایی مواجه‌اند:

- بررسی SPN: اگر سرویس‌ها SPN را بررسی کنند، بلیت‌های نادرست رد می‌شوند.
- محافظت‌های رمزنگاری: استفاده از امضای SMB یا LDAP و Extended Protection for Authentication (EPA) می‌تواند از این حملات جلوگیری کند.
- عدم امکان رله به میزبان‌های دیگر: برخلاف NTLM، در Kerberos نمی‌توان بلیت را به میزبان دیگری رله کرد، زیرا کلید رمزنگاری بر اساس رمز عبور حساب کاربری خاص است.

ابزارها و تکنیک‌های مرتبط

م ابزارهایی مانند KrbRelayEx برای اجرای حملات رله در Kerberos طراحی شده‌اند. این ابزارها به مهاجمان امکان می‌دهند تا پیام‌های AP-REQ را رهگیری و به سرویس‌های هدف ارسال کنند


✅ توصیه‌های امنیتی

برای کاهش خطر حملات رله در Kerberos:

- فعال‌سازی EPA:
Extended Protection for Authentication
را در سرویس‌های حساس فعال کنید.
- استفاده از امضای SMB و LDAP: این اقدامات می‌توانند از رهگیری و تغییر پیام‌ها جلوگیری کنند.
- بررسی SPN در سرویس‌ها:اطمینان حاصل کنید که سرویس‌ها SPN را به‌درستی بررسی می‌کنند.
- غیرفعال‌سازی پروتکل‌های نام‌گذاری قدیمی: پروتکل‌هایی مانند LLMNR و NetBIOS را در شبکه غیرفعال کنید.


#آکادمی_روزبه


https://decoder.cloud/2025/04/24/from-ntlm-relay-to-kerberos-relay-everything-you-need-to-know/

چرا تحلیل‌های جرم‌شناسی دیجیتال (DFIR) در سیستم‌عامل macOS می‌تواند در برخی موارد ساده‌تر از Windows باشد.


1. ساختار فایل یکپارچه و بدون رجیستری پیچیده
در macOS، ساختار فایل‌ها به سبک یونیکس و به‌صورت سلسله‌مراتبی است. اطلاعات کاربر در مسیرهای مشخصی مانند /Users/<username>/ قرار دارد. برخلاف Windows که از رجیستری پیچیده‌ای برای ذخیره تنظیمات استفاده می‌کند، macOS از فایل‌های plist (Property List) برای ذخیره تنظیمات بهره می‌برد. این فایل‌ها معمولاً به‌صورت XML یا باینری هستند و به‌راحتی قابل خواندن و تحلیل می‌باشند.

2. مکان‌های کمتر برای ثبوت(Persistence)

در Windows، مکان‌های متعددی برای اجرای خودکار برنامه‌ها وجود دارد، مانند Task Scheduler، رجیستری، WMI و غیره. اما در macOS، مکان‌های اصلی برای پایداری شامل Launch Agents و Launch Daemons هستند. این سادگی باعث می‌شود تحلیل‌گر بتواند سریع‌تر مکان‌های احتمالی برای پایداری بدافزار را بررسی کند.

3. اطلاعات متادیتای مفید در فایل‌های دانلود شده
در macOS به‌صورت خودکار به فایل‌های دانلود شده متادیتایی مانند com.apple.quarantine اضافه می‌کند که شامل اطلاعاتی مانند منبع دانلود و تاریخ آن است. این اطلاعات می‌تواند در تحلیل‌های جرم‌شناسی بسیار مفید باشد. در مقابل، Windows از Zone.Identifier استفاده می‌کند که اطلاعات کمتری ارائه می‌دهد.

4. محیط کنترل‌شده و یکنواخت
سیستم عامل Apple کنترل کاملی بر سخت‌افزار و نرم‌افزار دستگاه‌های خود دارد. این باعث می‌شود تنوع نسخه‌های سیستم‌عامل و درایورها کمتر باشد و تحلیل‌گر با محیطی یکنواخت‌تر مواجه شود. در حالی که در Windows، تنوع سخت‌افزارها و نرم‌افزارهای شخص ثالث می‌تواند تحلیل را پیچیده‌تر کند.


⚠️ چالش‌های موجود در جرم‌شناسی macOS

1. رمزگذاری پیش‌فرض و امنیت سخت‌افزاری

ویژگی‌هایی مانند FileVault و تراشه‌های امنیتی T2 و Apple Silicon باعث می‌شوند داده‌ها به‌صورت پیش‌فرض رمزگذاری شوند. بدون دسترسی به رمز عبور کاربر، دسترسی به داده‌ها بسیار دشوار است. این موضوع در منابع مختلف تأیید شده است.

2. عدم امکان تصویربرداری فیزیکی در برخی موارد
در دستگاه‌های جدید Apple، به‌ویژه با تراشه‌های Apple Silicon، امکان تصویربرداری فیزیکی از دیسک وجود ندارد و فقط می‌توان تصویربرداری منطقی انجام داد. این محدودیت‌ها باعث می‌شود برخی اطلاعات قابل بازیابی نباشند.

3. تغییرات مداوم در ساختار سیستم‌عامل
سیستم عامل Apple به‌طور مداوم ساختار سیستم‌عامل خود را به‌روزرسانی می‌کند. این تغییرات می‌توانند باعث شوند ابزارهای جرم‌شناسی نیاز به به‌روزرسانی مداوم داشته باشند تا با ساختار جدید سازگار شوند.

#آکادمی_روزبه

https://medium.com/@mathias.fuchs/apples-to-apples-why-macos-forensics-can-be-easier-than-windows-19c9f234c1a1

بررسی حمله روز

حمله‌های سایبری اخیر نشان‌دهندهٔ همکاری بدافزار SocGholish (معروف به FakeUpdates) با گروه باج‌افزار RansomHub هستند.
این همکاری به مهاجمان امکان می‌دهد تا از طریق وب‌سایت‌های آلوده، به شبکه‌های سازمانی نفوذ کرده و حملات باج‌افزاری پیچیده‌ای را اجرا کنند. ​

نحوهٔ آلودگی: زنجیرهٔ حملهٔ SocGholish و RansomHub

آلودگی اولیه از طریق وب‌سایت‌های آلوده:

مهاجمان وب‌سایت‌های قانونی را با اسکریپت‌های مخرب جاوا اسکریپت آلوده می‌کنند. هنگامی که کاربران از این وب‌سایت‌ها بازدید می‌کنند، با پیام‌های جعلی به‌روزرسانی مرورگر مواجه می‌شوند. اگر کاربر این به‌روزرسانی جعلی را دانلود و اجرا کند، بدافزار SocGholish بر روی سیستم نصب می‌شود.​

دسترسی اولیه و شناسایی سیستم:
پس از نصب، SocGholish اطلاعات سیستم را جمع‌آوری کرده و به مهاجمان ارسال می‌کند. این اطلاعات شامل جزئیات سخت‌افزاری، نرم‌افزاری و شبکه‌ای سیستم است.​

استقرار درب پشتی و اجرای دستورات:
بدافزار با استفاده از ابزارهایی مانند PowerShell و WMI، درب پشتی را بر روی سیستم نصب می‌کند و به مهاجمان امکان اجرای دستورات از راه دور را می‌دهد.​

سرقت اطلاعات و گسترش در شبکه:
مهاجمان با استفاده از دستورات مختلف، اطلاعات حساس مانند نام‌های کاربری، رمزهای عبور و تنظیمات شبکه را جمع‌آوری می‌کنند. همچنین، با استفاده از ابزارهایی مانند certutil.exe، فایل‌های رجیستری مهم را استخراج می‌کنند.​

استقرار باج‌افزار RansomHub:
در نهایت، باج‌افزار RansomHub بر روی سیستم قربانی نصب می‌شود. این باج‌افزار فایل‌های سیستم را رمزگذاری کرده و از قربانی درخواست پرداخت باج می‌کند.​

روش‌های پیشگیری و کنترل

آموزش کاربران: کاربران را نسبت به خطرات کلیک بر روی لینک‌ها و به‌روزرسانی‌های مشکوک آگاه کنید.​

استفاده از نرم‌افزارهای امنیتی به‌روز: نرم‌افزارهای ضدویروس و ضدبدافزار را به‌روز نگه دارید تا بتوانند تهدیدات جدید را شناسایی و مسدود کنند.​

نظارت بر ترافیک شبکه: ترافیک شبکه را برای شناسایی رفتارهای غیرمعمول و ارتباط با سرورهای فرمان و کنترل (C2) مانیتور کنید.​

به‌روزرسانی منظم سیستم‌ها: سیستم‌عامل و نرم‌افزارهای نصب‌شده را به‌طور منظم به‌روزرسانی کنید تا آسیب‌پذیری‌ها برطرف شوند.​

محدود کردن دسترسی‌ها: دسترسی کاربران به منابع سیستم را بر اساس نیاز محدود کنید و از اصل کمترین امتیاز (Least Privilege) پیروی کنید.​

پشتیبان‌گیری منظم: از داده‌های مهم به‌طور منظم پشتیبان‌گیری کنید و اطمینان حاصل کنید که نسخه‌های پشتیبان در مکان‌های امن ذخیره می‌شوند.​

#آکادمی_روزبه

https://rewterz.com/threat-advisory/the-socgholish-ransomhub-connection-active-iocs

حمله‌ی جدیدی به نام «Inception» ضعف‌های امنیتی گسترده‌ای را در مدل‌های زبانی هوش مصنوعی مانند ChatGPT، Gemini، Copilot، Claude و دیگران آشکار کرده است.

این حمله با استفاده از سناریوهای داستانی تو در تو، مدل‌ها را به تولید محتوای ممنوعه مانند بدافزار، ایمیل‌های فیشینگ و دستورالعمل‌های ساخت سلاح وادار می‌کند. روش دوم با پرسیدن اینکه مدل چگونه نباید پاسخ دهد، اطلاعاتی درباره‌ی محدودیت‌های آن استخراج کرده و سپس با استفاده از حافظه‌ی متنی مدل، این محدودیت‌ها را دور می‌زند. این آسیب‌پذیری‌ها نشان می‌دهند که اقدامات فعلی برای ایمن‌سازی هوش مصنوعی در برابر سوءاستفاده‌ها ناکافی هستند و نیاز به بازنگری جدی دارند.

#آکادمی_روزبه

https://cybersecuritynews-com.cdn.ampproject.org/c/s/cybersecuritynews.com/inception-jailbreak-attack-bypasses/amp/

چرا همه چیز تقصیر هکرها نیست!
یعنی: چرا برخی از تهدیدهای سایبری شبه عمد شناسایی نمی‌شوند؟

✍️روزبه نوروزی

در بسیاری از SOCها، ما فقط تهدیدهایی را می‌بینیم که تصمیم گرفته‌ایم ببینیم. عجیب است؟ بیایید دقیق‌تر نگاه کنیم:

1. فیلترهای عملیاتی:
ما به‌صورت ناخواسته فقط به هشدارهایی توجه می‌کنیم که «بر اساس SLA» یا KPIهای از پیش تعریف‌شده باشند. تهدیدهایی که به‌نظر زمان‌بر، پیچیده یا خارج از محدوده‌ی Playbookها هستند، نادیده گرفته می‌شوند.

2. ملاحظات سیاسی:
بله، گاهی شناسایی یک حمله ممکن است پیامدهایی برای تیم داخلی یا کسب‌وکار داشته باشد. تهدیدهایی که ممکن است مدیر پروژه خاصی را زیر سؤال ببرند، تمایل چندانی برای escalate شدن ندارند.

3. خستگی از هشدارها (Alert Fatigue):
وقتی تیم شما روزانه با ۵۰۰۰ هشدار روبروست، مغز شما یاد می‌گیرد که فقط به آنچه "آشنا و قابل حل" است توجه کند. حملات پیشرفته‌تر که نویز کمی دارند؟ احتمالاً گم می‌شوند.

4. تعارض هدف با فناوری:
برخی راهکارهای دفاعی به‌گونه‌ای طراحی شده‌اند که هر تهدید را به یک signature یا rule تقلیل دهند. اما مهاجمان واقعی در چارچوب signature فکر نمی‌کنند.

واقعیت تلخ:
تهدیدهای زیادی اصلاً دیده نمی‌شوند، نه به‌خاطر مهارت عجیب هکر، بلکه به‌خاطر مدل عملیاتی ما، چارچوب‌های محدود تصمیم‌گیری، و سیاست‌های داخلی.

با خود فکر کنید:
در حوزه عملکرد شما، چه عواملی باعث شده که یک تهدید سایبری «عمداً» یا «ناخواسته» نادیده گرفته شود؟


#آکادمی_روزبه

آسیب پذیری جدید

آسیب‌پذیری جدیدی در سرویس‌های دامنه Active Directory با شناسه CVE-2025-21293 را در لینک زیر خواهید دید . این آسیب‌پذیری به مهاجمان اجازه می‌دهد تا با سوءاستفاده از گروه "Network Configuration Operators"، سطح دسترسی خود را به سطح SYSTEM ارتقاء دهند.

خلاصه‌ای از مقاله:

کشف آسیب‌پذیری: در سپتامبر ۲۰۲۴، نویسنده هنگام انجام مأموریتی برای مشتری، متوجه گروه "Network Configuration Operators" شد که به‌طور پیش‌فرض در Active Directory وجود دارد. این گروه دارای مجوز "CreateSubKey" برای کلیدهای رجیستری حساس مانند DnsCache و NetBT بود.

سوءاستفاده از Performance Counters: با استفاده از مجوزهای این گروه، مهاجم می‌تواند زیرکلیدهایی در رجیستری ایجاد کند که به وی امکان ثبت یک DLL مخرب را می‌دهد. این DLL هنگام فراخوانی Performance Counters توسط ابزارهایی مانند WMI یا PerfMon.exe با سطح دسترسی SYSTEM اجرا می‌شود.

کد نمونه: مقاله شامل نمونه‌ای از کد DLL است که توابع Open، Collect و Close را پیاده‌سازی می‌کند. این کد به‌عنوان اثبات مفهوم برای بهره‌برداری از آسیب‌پذیری ارائه شده است.

پچ امنیتی: مایکروسافت در ژانویه ۲۰۲۵ این آسیب‌پذیری را با انتشار به‌روزرسانی امنیتی اصلاح کرد.

توصیه‌ها:

اگر از نسخه‌های آسیب‌پذیر ویندوز یا Windows Server استفاده می‌کنید، توصیه می‌شود به‌روزرسانی‌های امنیتی ژانویه ۲۰۲۵ را هرچه سریع‌تر نصب کنید تا از بهره‌برداری احتمالی جلوگیری شود.

#آکادمی_روزبه


https://birkep.github.io/posts/Windows-LPE/

فایروالی برای LLM


یک فایروال متن‌باز برای مدل‌های زبان بزرگ (LLMs) مثل LLaMA طراحی شده و هدفش ایجاد چارچوب محافظتی یا "guardrail" برای ساخت عامل‌های هوش مصنوعی ایمن است.


چی هست؟
این "LlamaFirewall" یک سیستم فایروال یا گاردریل برای مدل‌های زبانیه که:
متن ورودی کاربر (prompt)، خروجی مدل (response)، و تعامل با ابزارهای خارجی رو بررسی می‌کنه.
بر پایه مدل LlamaGuard ساخته شده، که خودش یک مدل LLM فاین‌تیون‌شده‌ برای بررسی سیاست‌های امنیتیه.

چه مشکلی رو حل می‌کنه؟
مدل‌های زبانی ممکنه:
خروجی خطرناک یا غیرمجاز تولید کنن (مثلاً اطلاعات غلط، محتوای خشونت‌آمیز، یا کمک به فعالیت‌های هکری).
با ابزارهای خارجی به‌شکلی ناامن تعامل کنن (مثل اجرای کد بدون کنترل).
قابلیت‌ها:
بررسی 3 بخش اصلی در تعامل عامل‌های AI:
User Input (Prompt Filtering)
Model Output (Response Filtering)
Tool Use (Action Validation)
تعریف و شخصی‌سازی policyها (مثلاً اینکه آیا دستورات مربوط به هک کردن مجازه یا نه).
متن‌بازه و قابل استفاده برای توسعه‌دهنده‌هایی که می‌خوان LLM خودشون رو در شرایط کنترل‌شده استفاده کنن.

کاربرد برای ما؟
اگر در حال ساخت یک سیستم مبتنی بر LLM هستید(مثلاً چت‌بات، یا AI agent که با API یا ابزار تعامل می‌کنه)، این فایروال کمک می‌کنه از لحاظ امنیتی کنترل بیشتری روی ورودی‌ها، خروجی‌ها، و تصمیمات عامل داشته باشید


#آکادمی_روزبه

https://ai.meta.com/research/publications/llamafirewall-an-open-source-guardrail-system-for-building-secure-ai-agents/

دوستان بسیاری رو نتونستم برای دوره CISSP همراه خودم داشته باشم چون پیش نیازها رو نگذرانده بودن یا نداشتن .


لذا پیش نیازها رو میگذارم که برای دوره های بعدی بتونین شرکت کنین

تسلط به :
سکوریتی پلاس یا SSCP
سنز ۵۰۴ یا CEH

سابقه ۳ ساله در فناوری یا امنیت
آشنایی خوب به یکی از این سه تا
LPIC1
MCSA
CCNA

البته اینها حداقل ها هستند
هرچه بیشتر بلد باشید و سابقتتون بالاتر باشه ؛ بیشتر میتونید بیشتر از دوره های من یاد بگیرید . ✅ CISSP ته نداره !!

واتس اپ واسه رزرو 09902857290

چطور بدافزار میتونه فایل خودش رو از آنتی ویروس مخفی کنه
یک راهکار

---هدف بدافزار:

جلوگیری از اینکه آنتی‌ویروس بتونه:

* فایل مخرب رو باز کنه (مثلاً برای اسکن)
* اطلاعات فایل رو بخونه یا حتی ببینه


1. آنتی‌ویروس سعی می‌کنه فایل رو باز کنه

برنامه آنتی‌ویروس (در User Mode) تابع CreateFile() رو صدا می‌زنه
این تابع در نهایت یک System Call مثل NtCreateFile یا NtOpenFile رو فعال می‌کنه.

2.و System Call به کرنل می‌ره و از طریق SSDT

ویندوز نگاه می‌کنه: آدرس تابع NtCreateFile کجاست؟
از جدول SSDT می‌ره و آدرس اصلی تابع رو اجرا می‌کنه.

3. بدافزار SSDT رو Hook می‌کنه

بدافزار (که خودش یک درایور یا روت‌کیت کرنلیه) قبل از این که آنتی‌ویروس فایل رو باز کنه، ریدایرکت رو انجام می‌ده


4. تابع تقلبی (Hooked) چیکار می‌کنه؟


وقتی آنتی‌ویروس سعی کنه فایل my_malware.exe رو باز کنه:

* به جای اجرای NtCreateFile اصلی،
* به MyMaliciousNtCreateFile هدایت می‌شه،
* اونجا بدافزار بررسی می‌کنه که آیا فایل مخرب خودش قراره باز شه؟
* اگه بله ؛تظاهر به خطا و آنتی‌ویروس فکر می‌کنه فایل وجود نداره یا مجوز دسترسی نداره.

ملاحظات مهم:

1. برای انجام این کار، بدافزار باید در کرنل اجرا بشه
یعنی یا از طریق درایور مخرب (.sys) یا با اکسپلویت کرنل.

2. مایکروسافت بعد از ویندوز XP/Vista محدودیت‌هایی گذاشت
و SSDT Hooking تو نسخه‌های جدید سخت‌تر شده (مثل استفاده از PatchGuard در ویندوز 10 و 11).

3. این تکنیک با EMET، HVCI و سایر تکنولوژی‌های محافظتی شناسایی می‌شه.


جمع‌بندی ساده:

* بدافزار درایور خودش رو لود می‌کنه.
* جدول SSDT رو دستکاری می‌کنه.
* به جای اجرای توابع کرنلی واقعی، تابع تقلبی خودش رو اجرا می‌کنه.
* بسته به شرایط، جلوی دسترسی آنتی‌ویروس به فایل، پروسس یا منابع رو می‌گیره.



#آکادمی_روزبه

راهنمای گام‌به‌گامی برای اجرای بومی ابزارهای EZ Tools در لینوکس .
نوشته ای از سنز

مجموعه ابزار EZ Tools مجموعه‌ای از ابزارهای متن‌باز تحلیل جرم‌یابی دیجیتال است که توسط «اریک زیمرمن» توسعه یافته‌اند و معمولاً در محیط ویندوز استفاده می‌شوند. با توجه به قابلیت کراس‌پلتفرم .NET، این ابزارها را می‌توان در لینوکس نیز اجرا کرد.

ابزارهای کلیدی در EZ Tools

برخی از ابزارهای مهم در این مجموعه عبارت‌اند از:

* MFTECmd:
تحلیل رکوردهای MFT در فایل‌سیستم NTFS.
* EvtxECmd:
تحلیل فایل‌های لاگ رویداد ویندوز (.evtx).
* RECmd:
استخراج و جستجوی داده‌ها از رجیستری ویندوز.
* PECmd:
تحلیل فایل‌های Prefetch برای شناسایی اجرای برنامه‌ها.
* JLECmd و LECmd:
تحلیل فایل‌های Jump List و Shortcut برای بررسی تعاملات کاربر با فایل‌ها.

مراحل نصب در لینوکس را در لینک زیر. ببینید .


این راهنما به متخصصان جرم‌یابی دیجیتال کمک می‌کند تا از ابزارهای قدرتمند EZ Tools در محیط لینوکس بهره‌مند شوند.

#آکادمی_روزبه
🔴توجه :
لینوکس خودش این artefactها (مثل Prefetch، رجیستری، فایل‌های EVTX و غیره) رو نداره. هدف از اجرای این ابزارها در لینوکس، بررسی آرتیفکت‌های ویندوزی خارج از سیستم ویندوزه — مثلاً در تحلیل دیسک، فارنزیک یا بررسی ایمیج هارد دیسک ویندوز در یک محیط امن.
اجرای ابزارهایی مثل MFTECmd, EvtxECmd, RECmd و غیره روی لینوکس به شما این امکان رو می‌ده که بدون بوت کردن اون سیستم ویندوز، Artefactهای اون رو تحلیل کنید، بدون اینکه چیزی رو تغییر بدید یا سیستم رو آلوده‌تر کنید.

https://www.sans.org/blog/running-ez-tools-natively-on-linux-a-step-by-step-guide/?utm_medium=Organic_Social&utm_source=LinkedIn&utm_rdetail=PMM&utm_goal=Community_Growth&utm_type=Curriculum&utm_campaign=DFIR_Blog

سناریوی تحلیل جرم‌یابی WannaCry سال ۲۰۱۷ با EZ Tools:

زمینه: در می ۲۰۱۷، باج‌افزار WannaCry هزاران سیستم در سراسر جهان را آلوده کرد. این بدافزار با سوءاستفاده از آسیب‌پذیری EternalBlue (در SMBv1) گسترش می‌یافت و پس از نفوذ، فایل‌ها را رمز می‌کرد.

چگونه می‌توان این رویداد را با EZ Tools بررسی کرد:

1. ابزار EvtxECmd (بررسی لاگ‌های سیستم):

* تحلیل فایل‌های .evtx در مسیرهایی مانند `C:\Windows\System32\winevt\Logs\System.evtx یا Security.evtx برای یافتن event IDهایی مانند:

* 4624 (ورود موفق)
* 4673 و 4674 (اجرای فرآیندهای حساس)
* 7045 (ایجاد سرویس جدید توسط WannaCry)
* جستجوی آثار اجرای tasksche.exe یا @WanaDecryptor@.exe.

2. ابزار PECmd (تحلیل Prefetch):

* بررسی اجرای فایل‌هایی مثل tasksche.exe یا @WanaDecryptor@.exeدر Prefetch که نشان‌دهنده اجرای بدافزار روی سیستم است.

3.ابزارMFTECmd (بررسی MFT):

* تحلیل تغییرات در فایل‌سیستم NTFS برای شناسایی زمان ایجاد فایل‌های WannaCry و رفتارهای مشکوک مثل حذف فایل‌ها.

4. ابزارRECmd (تحلیل رجیستری):

* تحلیل مسیرهایی مثل Run یا RunOnce برای یافتن بقایای ماندگاری (persistence).
* بررسی کلیدهایی که نشان‌دهنده تنظیمات رمزگذاری یا مسیر اجرای فایل‌های مخرب هستند.

#آکادمی_روزبه

دوره رایگان

#آکادمی_روزبه

https://redteamleaders.coursestack.com/courses/96e8cffc-ac6e-4605-b7e1-39c6c26bd2e8

بررسی حمله روز

مقاله‌ای زیر درباره‌ی یک حمله پیشرفته از گروه APT موسوم به TheWizards است که از تکنیکی به نام SLAAC spoofing برای اجرای حملات Adversary-in-the-Middle (AitM) استفاده می‌کند.


انجام SLAAC Spoofing و حمله Adversary-in-the-Middle:

1. موضوع SLAAC چیست
این SLAAC (Stateless Address Autoconfiguration) یکی از روش‌های خودکار برای گرفتن آدرس IPv6 توسط کلاینت‌هاست. در این روش، کلاینت‌ها با گوش دادن به پیام‌های Router Advertisement (RA) از روترها، آدرس خود را تنظیم می‌کنند.

2. این SLAAC Spoofing چگونه کار می‌کند؟
مهاجم یک پیام جعلی RA را روی شبکه لوکال ارسال می‌کند که وانمود می‌کند از طرف یک روتر قانونی است. این پیام چه می‌گوید:

* به کلاینت‌ها می‌گوید برای ارسال ترافیک از یک دروازه (Gateway) خاص استفاده کنند.
* باعث می‌شود ترافیک مقصدهای خارجی از طریق دستگاه مهاجم عبور کند.

3. نتیجه این حمله چیست؟

* مهاجم بین کلاینت و اینترنت قرار می‌گیرد (Adversary-in-the-Middle).
* می‌تواند ترافیک را شنود (sniff)، دستکاری (modify) یا تغییر مسیر دهد.
* در برخی موارد، حتی می‌تواند گواهی جعلی ارائه دهد و SSL/TLS را دور بزند (در صورت نبود حفاظت مناسب).

4. مزیت این حمله برای مهاجم:

* بی‌نیاز از اکسپلویت یا بدافزار است؛ کاملاً مبتنی بر ضعف پیکربندی یا اعتماد به IPv6 است.
* در بسیاری از شبکه‌ها، IPv6 به‌صورت پیش‌فرض فعال است اما مدیریت یا مانیتور نمی‌شود.


در این مقاله، ESETبه این موضوع اشاره دارد که گروه TheWizards از این تکنیک برای نفوذ به شبکه‌های سازمانی استفاده کرده‌اند و با قرار گرفتن در مسیر ترافیک، به ارتباطات داخلی دست یافته‌اند.


#آکادمی_روزبه
https://www.welivesecurity.com/en/eset-research/thewizards-apt-group-slaac-spoofing-adversary-in-the-middle-attacks/?ref=t.me/onhex_ir

آزمون رسمی CISSP چگونه است؟
بخش اول : CAT

روش CAT (Computerized Adaptive Testing) که توسط سازمان ISC2 برای آزمون‌های CISSP و سایر گواهینامه‌ها استفاده می‌شود، یک شیوه نوین و هوشمندانه برای ارزیابی توانمندی‌های داوطلبان است. این روش با هدف افزایش دقت، کارایی و امنیت آزمون طراحی شده است.

نحوه عملکرد آزمون CAT

در آزمون CAT، هر داوطلب با سؤالاتی مواجه می‌شود که به‌صورت پویا و بر اساس عملکرد قبلی او انتخاب می‌شوند. فرآیند به این صورت است:

1. شروع با سؤالات ساده‌تر: آزمون با سؤالی آغاز می‌شود که سطح دشواری آن پایین‌تر از حد استاندارد قبولی است.

2. تنظیم سطح دشواری: پس از هر پاسخ، الگوریتم آزمون توانایی داوطلب را مجدداً ارزیابی می‌کند و بر اساس آن، سؤال بعدی را با سطح دشواری مناسب انتخاب می‌کند.

3. هدف‌گیری دقت ۵۰٪: سیستم سعی می‌کند سؤالاتی ارائه دهد که احتمال پاسخ صحیح داوطلب به آن‌ها حدود ۵۰٪ باشد، تا بتواند سطح واقعی توانایی او را به‌دقت تعیین کند.

4. تعیین پایان آزمون: آزمون زمانی پایان می‌یابد که سیستم با اطمینان ۹۵٪ بتواند تصمیم بگیرد که داوطلب موفق شده یا نه، یا زمانی که حداکثر تعداد سؤالات مجاز پاسخ داده شده باشد.

مشخصات آزمون CISSP در قالب CAT

* تعداد سؤالات: بین ۱۰۰ تا ۱۵۰ سؤال، که شامل ۲۵ سؤال آزمایشی (بدون نمره) نیز می‌شود.

* حداقل سؤالات نمره‌دار: داوطلب باید حداقل به ۷۵ سؤال نمره‌دار پاسخ دهد.

* مدت زمان آزمون: کاهش یافته از ۶ ساعت به حداکثر ۳ ساعت

نمره قبولی: کسب حداقل ۷۰۰ از ۱۰۰۰ نمره ممکن.

فرمت سؤالات: چندگزینه‌ای و سؤالات نوآورانه پیشرفته.

زبان‌های موجود: انگلیسی، چینی، آلمانی، ژاپنی و اسپانیایی.

مزایای استفاده از CAT

ارزیابی دقیق‌تر و کارآمدتر: با تنظیم سطح دشواری سؤالات بر اساس عملکرد داوطلب، ارزیابی دقیق‌تری از توانمندی‌های او به‌دست می‌آید.

کاهش مدت زمان آزمون: در مقایسه با آزمون‌های سنتی، CAT مدت زمان کمتری برای ارزیابی نیاز دارد. مثلا قبلا CISSP به مدت ۶ ساعت برگزار می‌شد.

افزایش امنیت آزمون: با تنوع سؤالات و ترتیب آن‌ها برای هر داوطلب، احتمال تقلب کاهش می‌یابد.

تجربه شخصی‌سازی‌شده برای داوطلبان: هر داوطلب با مسیر آزمونی منحصربه‌فرد مواجه می‌شود که متناسب با سطح توانایی اوست.

تغییرات آینده در آزمون‌های ISC2

از ۱ اکتبر ۲۰۲۵، آزمون‌های CC، CCSP و SSCP نیز به‌طور انحصاری در قالب CAT ارائه خواهند شد. تا آن زمان، این آزمون‌ها همچنان در قالب سنتی نیز در دسترس خواهند بود.


#آکادمی_روزبه
ارائه دهنده دوره آمادگی آزمون رسمی CISSP
واتس اپ 09902857290

❌️پایان تخفیف 30 درصد

✅️شروع تخفیف 20 درصد

فقط تا ۲۰ اردیبهشت ؛ مخصوص اشخاص ساکن در ایران


مرکز آموزش هامون
آکادمی روزبه

دو ردپای فارنزیک

🔍 معرفی کلی
این ShimCacheو AmCache بخشی از زیرساخت Application Compatibility ویندوز هستند که برای اجرای برنامه‌های قدیمی روی سیستم‌های جدید طراحی شده‌اند. این آرتیفکت‌ها یا همان ردپا ؛ متادیتای مرتبط با فایل‌های اجرایی و برنامه‌های نصب‌شده را ذخیره می‌کنند و از این رو، منابع مهمی برای تحلیل‌گران فارنزیک محسوب می‌شوند.


🧩مقوله ی AmCache چیست؟

محل ذخیره‌سازی:فایل رجیستری با فرمت REGF در مسیر C:\Windows\AppCompat\Programs\Amcache.hve (در نسخه‌های قدیمی‌تر: C:\AppCompat\Programs\RecentFileCache.bcf)
اطلاعات ذخیره‌شده: متادیتای مرتبط با برنامه‌های نصب‌شده، فایل‌های اجرایی، درایورها و موارد دیگر
محدودیت‌ها:

* هش SHA1 فقط برای فایل‌هایی تا ۳۰ مگابایت محاسبه می‌شود.
* اطلاعاتی مانند آرگومان‌های فرآیند، کاربر اجراکننده یا زمان اجرا را شامل نمی‌شود.
* به دلیل پیچیدگی ساختار، تغییرات متعدد در نسخه‌های مختلف و محدودیت‌های فوق، بهتر است از AmCache به‌عنوان مدرکی برای وجود فایل‌ها استفاده شود، نه اثبات اجرای آن‌ها.



🧩 مقوله ی ShimCache چیست؟

محل ذخیره‌سازی: در رجیستری ویندوز، مسیر HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\AppCompatCache
* اطلاعات ذخیره‌شده: مسیر فایل، تاریخ آخرین دسترسی، و در برخی نسخه‌ها، زمان اجرای فایل
محدودیت‌ها:

* عدم وجود هش فایل یا اطلاعات کاربر اجراکننده
* ممکن است شامل فایل‌هایی باشد که هرگز اجرا نشده‌اند (مثلاً فقط مشاهده‌شده‌اند).
* ساختار و فرمت داده‌ها در نسخه‌های مختلف ویندوز متفاوت است.



🛠 ابزارهای تحلیل

برای تحلیل این آرتیفکت‌ها، ابزارهای مختلفی وجود دارند:

* ابزار Cyber Triage: ابزاری تجاری برای جمع‌آوری و تحلیل داده‌های فارنزیک از سیستم‌های ویندوزی.
* ابزار AmCacheParser: ابزاری متن‌باز برای استخراج و تحلیل داده‌های AmCache.
* ابزارAppCompatCacheParser: ابزاری متن‌باز برای تحلیل داده‌های ShimCache.


✅ نکات کلیدی برای تحلیل‌گران

* هر دو آرتیفکت می‌توانند وجود فایل‌ها را حتی پس از حذف آن‌ها از دیسک اثبات کنند.
* هیچ‌کدام به‌تنهایی برای اثبات اجرای یک برنامه کافی نیستند؛ بهتر است با سایر آرتیفکت‌ها مانند Prefetch یا Event Logs ترکیب شوند.
* تغییرات در ساختار این آرتیفکت‌ها در نسخه‌های مختلف ویندوز می‌تواند تحلیل را پیچیده کند؛ بنابراین، آشنایی با نسخه‌های مختلف و ابزارهای مناسب ضروری است.

#آکادمی_روزبه
مبحث جرم شناسی و فارنزیک درس CISSP

چالش‌های خاص تحلیل جرم‌شناسی و فارنزیک در لینوکس

در حالی که لینوکس مزایایی مانند متن‌باز بودن و انعطاف‌پذیری بالا دارد، اما این ویژگی‌ها می‌توانند تحلیل جرم‌شناسی را پیچیده‌تر کنند. در مقابل، ویندوز با ساختارهای مرکزی‌تر و ابزارهای گرافیکی ممکن است فرآیند تحلیل را ساده‌تر کند. اما در نهایت، میزان دشواری تحلیل جرم‌شناسی به تجربه و دانش تحلیل‌گر در هر سیستم‌عامل بستگی دارد.

چرا ممکن است فارنزیک در لینوکس سخت باشد؟

✅ ۱. تنوع فایل‌سیستم‌ها در لینوکس

در لینوکس، فایل‌سیستم‌های متنوعی مانند Ext3، Ext4، XFS، Btrfs و ZFS مورد استفاده قرار می‌گیرند. این تنوع می‌تواند تحلیل جرم‌شناسی را پیچیده‌تر کند، زیرا هر فایل‌سیستم ویژگی‌ها و ساختارهای خاص خود را دارد. به‌عنوان مثال، فایل‌سیستم XFS به دلیل ویژگی‌هایی مانند تخصیص تأخیری و پشتیبانی محدود از ابزارهای تحلیل، می‌تواند بازیابی داده‌ها را دشوارتر کند.


✅ ۲. پیچیدگی در مدیریت حجم‌های منطقی (LVM)

بسیاری از سیستم‌های لینوکسی از LVM برای مدیریت دیسک‌ها استفاده می‌کنند. در حالی که این ابزار انعطاف‌پذیری بالایی در مدیریت ذخیره‌سازی فراهم می‌کند، اما در تحلیل جرم‌شناسی می‌تواند چالش‌برانگیز باشد، زیرا برخی از ابزارهای تحلیل قادر به تفسیر ساختارهای LVM نیستند.


✅ ۳. عدم وجود رجیستری مرکزی

برخلاف ویندوز که از رجیستری مرکزی برای ذخیره تنظیمات سیستم و برنامه‌ها استفاده می‌کند، لینوکس فاقد چنین ساختاری است. تنظیمات در لینوکس معمولاً در فایل‌های متنی پراکنده در مسیرهایی مانند /etc ذخیره می‌شوند. این پراکندگی می‌تواند فرآیند جمع‌آوری و تحلیل داده‌ها را پیچیده‌تر کند.


✅ ۴. نیاز به تسلط بر خط فرمان

بسیاری از ابزارهای تحلیل جرم‌شناسی در لینوکس مبتنی بر خط فرمان هستند، مانند dd، grep و Autopsy. این موضوع می‌تواند برای افرادی که به محیط‌های گرافیکی عادت دارند، چالش‌برانگیز باشد. در مقابل، ویندوز ابزارهای گرافیکی متعددی برای تحلیل جرم‌شناسی فراهم می‌کند.


✅ ۵. تنوع توزیع‌های لینوکس

وجود توزیع‌های مختلف لینوکس با ساختارها و پیکربندی‌های متفاوت می‌تواند تحلیل جرم‌شناسی را پیچیده‌تر کند. هر توزیع ممکن است از ابزارها و مسیرهای متفاوتی برای ذخیره لاگ‌ها و تنظیمات استفاده کند.


✅ ۶. ابزارهای تحلیل جرم‌شناسی

در حالی که ویندوز ابزارهای تجاری قدرتمندی مانند EnCase و FTK دارد، لینوکس بیشتر به ابزارهای متن‌باز مانند The Sleuth Kit و Autopsy متکی است. اگرچه این ابزارها قدرتمند هستند، اما ممکن است نیاز به دانش فنی بیشتری برای استفاده مؤثر از آن‌ها باشد.

✅ ۷. ساختار مجوزها و مالکیت فایل‌ها

لینوکس از مدل مجوزهای مبتنی بر مالک، گروه و دیگران استفاده می‌کند، که می‌تواند در تحلیل دسترسی‌ها و تغییرات فایل‌ها پیچیدگی‌هایی ایجاد کند. در مقابل، ویندوز از لیست‌های کنترل دسترسی (ACL) استفاده می‌کند که ساختار متفاوتی دارد.


#آکادمی_روزبه
مرکز تخصصی CISSP
Www.Roozbeh.academy