دور خوردن Suricata
در دنیای امنیت شبکه، بررسی دقیق ترافیک رمزگذاری‌شده و تکنیک‌های گمراه‌سازی مهاجمان اهمیت بالایی دارد. یکی از ابزارهای رایج برای تحلیل و شناسایی تهدیدها در سطح شبکه، Suricata است. این ابزار بازرسی عمیق بسته‌ها (IDS/IPS) انجام می‌دهد، اما اگر به‌درستی تنظیم نشود، می‌تواند قربانی تکنیک‌های ساده دور زدن شود؛ یکی از این روش‌ها، سواستفاده از URL Encoding است.
در استاندارد RFC 3986، کاراکترهای خاص در URLها به‌صورت رمزگذاری‌شده نمایش داده می‌شوند، به‌عنوان مثال فاصله با %20 جایگزین می‌شود. با این حال، در فرم‌های HTML طبق استاندارد قدیمی‌تر RFC 1866، کاراکتر + نیز می‌تواند معادل فاصله باشد. این اختلاف باعث می‌شود که برخی ابزارها یا مرورگرها ترافیک را متفاوت پردازش کنند.
این سوریکاتا به‌طور پیش‌فرض دو نوع بافر برای آدرس‌های URL ارائه می‌دهد:
مقدار http.uri.raw که حاوی رشته اصلی بدون تغییر است.
مقدار http.uri که یک مرحله decode انجام می‌دهد، اما معمولاً کاراکتر + را به فاصله تبدیل نمی‌کند مگر اینکه صراحتاً در قانون ذکر شود.
اینجاست که ضعف امنیتی ایجاد می‌شود؛ مهاجمان می‌توانند با درج کاراکتر + در مقادیر حساس URL، قوانین ساده Suricata را دور بزنند. برای مثال، فیلترهایی که به‌دنبال پارامترهای مخرب مانند fileid= هستند، اگر به‌درستی تنظیم نشوند، ممکن است نتوانند این تهدید را شناسایی کنند.
برای جلوگیری از این نوع دور زدن، باید در نوشتن قوانین Suricata گزینه url_decode را فعال نمود. همچنین بررسی ترکیبی بافرهای http.uri.raw و http.uri به شناسایی دقیق‌تر کمک می‌کند. این مقاله تأکید می‌کند که بدون توجه به جزییات فنی مربوط به رمزگشایی URL، حتی بهترین ابزارهای امنیتی هم می‌توانند فریب بخورند و تهدیدها از دید پنهان بمانند.
#آکادمی_روزبه
مرکز تخصصی CISSP
همیشه بخوان
https://www.labs.greynoise.io/grimoire/2025-06-05-suricata-url-decoding/
در دنیای امنیت شبکه، بررسی دقیق ترافیک رمزگذاری‌شده و تکنیک‌های گمراه‌سازی مهاجمان اهمیت بالایی دارد. یکی از ابزارهای رایج برای تحلیل و شناسایی تهدیدها در سطح شبکه، Suricata است. این ابزار بازرسی عمیق بسته‌ها (IDS/IPS) انجام می‌دهد، اما اگر به‌درستی تنظیم نشود، می‌تواند قربانی تکنیک‌های ساده دور زدن شود؛ یکی از این روش‌ها، سواستفاده از URL Encoding است.
در استاندارد RFC 3986، کاراکترهای خاص در URLها به‌صورت رمزگذاری‌شده نمایش داده می‌شوند، به‌عنوان مثال فاصله با %20 جایگزین می‌شود. با این حال، در فرم‌های HTML طبق استاندارد قدیمی‌تر RFC 1866، کاراکتر + نیز می‌تواند معادل فاصله باشد. این اختلاف باعث می‌شود که برخی ابزارها یا مرورگرها ترافیک را متفاوت پردازش کنند.
این سوریکاتا به‌طور پیش‌فرض دو نوع بافر برای آدرس‌های URL ارائه می‌دهد:
مقدار http.uri.raw که حاوی رشته اصلی بدون تغییر است.
مقدار http.uri که یک مرحله decode انجام می‌دهد، اما معمولاً کاراکتر + را به فاصله تبدیل نمی‌کند مگر اینکه صراحتاً در قانون ذکر شود.
اینجاست که ضعف امنیتی ایجاد می‌شود؛ مهاجمان می‌توانند با درج کاراکتر + در مقادیر حساس URL، قوانین ساده Suricata را دور بزنند. برای مثال، فیلترهایی که به‌دنبال پارامترهای مخرب مانند fileid= هستند، اگر به‌درستی تنظیم نشوند، ممکن است نتوانند این تهدید را شناسایی کنند.
برای جلوگیری از این نوع دور زدن، باید در نوشتن قوانین Suricata گزینه url_decode را فعال نمود. همچنین بررسی ترکیبی بافرهای http.uri.raw و http.uri به شناسایی دقیق‌تر کمک می‌کند. این مقاله تأکید می‌کند که بدون توجه به جزییات فنی مربوط به رمزگشایی URL، حتی بهترین ابزارهای امنیتی هم می‌توانند فریب بخورند و تهدیدها از دید پنهان بمانند.
#آکادمی_روزبه
مرکز تخصصی CISSP
همیشه بخوان
https://www.labs.greynoise.io/grimoire/2025-06-05-suricata-url-decoding/
GreyNoise Labs
Suricata evasion, starring URL decoding – GreyNoise Labs
How does Suricata’s URL decoding work? It’s more complex than you think!
👍6⚡1
احمد صبحي علی با پروژه لینک زیر نشان داده ساخت یک pipeline کامل SIEM در پایتون امکان‌پذیر و قابل فهم است. از collection تا alert، همه کنترل در اختیار شماست. اگر قصد دارید تفاوت بین rule-based و AI-driven detection را به‌صورت عملی ببینید، یا می‌خواهید سیستم قابل ارتقا و self-hosted داشته باشید، این مقاله الهام‌بخش و کاربردی است.
#آکادمی_روزبه
مرکز تخصصی CISSP
https://medium.com/@ahmedsobhialii/demystifying-siem-how-i-built-a-real-time-ai-detection-pipeline-in-pure-python-24ee10974587
#آکادمی_روزبه
مرکز تخصصی CISSP
https://medium.com/@ahmedsobhialii/demystifying-siem-how-i-built-a-real-time-ai-detection-pipeline-in-pure-python-24ee10974587
Medium
Demystifying SIEM: How I Built a Real-Time AI Detection Pipeline in Pure Python
Forget the Black Box — This is how I built a modular, real-time, AI-powered SIEM system from kernel logs to actionable alerts.
❤5👏3🤓1
دوره های اسپلانک و هانت
رایگان
آقای میراسداللهی
https://www.udemy.com/course/soc-cybersecurity-threat-hunting-with-splunk/?couponCode=1871A1F1633C4220B96F
https://www.udemy.com/course/threat-hunting-with-data-science-and-splunk-for-beginners/?couponCode=7A8D11541D311F4CF03B
رایگان
آقای میراسداللهی
https://www.udemy.com/course/soc-cybersecurity-threat-hunting-with-splunk/?couponCode=1871A1F1633C4220B96F
https://www.udemy.com/course/threat-hunting-with-data-science-and-splunk-for-beginners/?couponCode=7A8D11541D311F4CF03B
Udemy
SOC Cybersecurity Threat Hunting with Splunk
<p>The <strong>SOC Cybersecurity Threat Hunting with Splunk</strong> training course has been developed and edited by <strong>Mohammad Mirasadollahi</strong> in an online format, consisting of 68 instructional videos on Splunk, along with practical course…
❤7⚡1
آیا چین الگوریتم RSA را شکسته است ؟
باید گفت بر خلاف عنوان مقاله لینک زیر نکاتی متصور است که باید توجه شود
الگوریتم RSA فعلاً در عمل امن است.
شکستن RSA توسط چین محدود به آزمایش بسیار کوچک و علمی است.
برای حفاظت بلندمدت، آماده‌سازی برای رمزنگاری مقاوم در برابر کوانتوم ضروری است.
سازمان‌ها باید به سمت رمزنگاری مقاوم در برابر کوانتوم (Post-Quantum Cryptography) حرکت کنند، همانطور که نهادهایی مانند NIST آمریکا در حال استانداردسازی این الگوریتم‌ها هستند.
در عمل، RSA با کلیدهای بلند (مثلاً ۲۰۴۸ بیت یا بیشتر) همچنان در مقابل حملات کلاسیک و کوانتومی ایمن محسوب می‌شود، زیرا:
✅ برای شکستن یک کلید RSA واقعی به اجرای کامل الگوریتم Shor روی یک رایانه کوانتومی بسیار بزرگ و پایدار نیاز است. تخمین‌ها می‌گویند برای شکستن RSA ۲۰۴۸ باید حدود ۲۰ میلیون کیوبیت پایدار و بدون خطا داشت، درحالی‌که قوی‌ترین رایانه‌های کوانتومی جهان فعلاً چند هزار کیوبیت دارند و آن هم با خطای بالا.
✅ آنچه در چین انجام شده بیشتر شبیه یک نمایش تکنیکی از پیشرفت است، نه یک تهدید عملیاتی علیه رمزنگاری فعلی.
#آکادمی_روزبه
مرکز تخصصی CISSP
https://www.earth.com/news/china-breaks-rsa-encryption-with-a-quantum-computer-threatening-global-data-security/
باید گفت بر خلاف عنوان مقاله لینک زیر نکاتی متصور است که باید توجه شود
الگوریتم RSA فعلاً در عمل امن است.
شکستن RSA توسط چین محدود به آزمایش بسیار کوچک و علمی است.
برای حفاظت بلندمدت، آماده‌سازی برای رمزنگاری مقاوم در برابر کوانتوم ضروری است.
سازمان‌ها باید به سمت رمزنگاری مقاوم در برابر کوانتوم (Post-Quantum Cryptography) حرکت کنند، همانطور که نهادهایی مانند NIST آمریکا در حال استانداردسازی این الگوریتم‌ها هستند.
در عمل، RSA با کلیدهای بلند (مثلاً ۲۰۴۸ بیت یا بیشتر) همچنان در مقابل حملات کلاسیک و کوانتومی ایمن محسوب می‌شود، زیرا:
✅ برای شکستن یک کلید RSA واقعی به اجرای کامل الگوریتم Shor روی یک رایانه کوانتومی بسیار بزرگ و پایدار نیاز است. تخمین‌ها می‌گویند برای شکستن RSA ۲۰۴۸ باید حدود ۲۰ میلیون کیوبیت پایدار و بدون خطا داشت، درحالی‌که قوی‌ترین رایانه‌های کوانتومی جهان فعلاً چند هزار کیوبیت دارند و آن هم با خطای بالا.
✅ آنچه در چین انجام شده بیشتر شبیه یک نمایش تکنیکی از پیشرفت است، نه یک تهدید عملیاتی علیه رمزنگاری فعلی.
#آکادمی_روزبه
مرکز تخصصی CISSP
https://www.earth.com/news/china-breaks-rsa-encryption-with-a-quantum-computer-threatening-global-data-security/
Earth.com
China breaks RSA encryption with a quantum computer, threatening global data security
If you logged onto your bank account this morning, the security protocols still seem secure - but things are changing quickly in the tech world. A team in…
💯3
تزریق ترس یا آرامش ؟
تحلیل استراتژیک: اثرات روانی جنگ‌های ترکیبی و نقش مدیران امنیت در کنترل فضای ترس
در محیط پیچیده جنگ‌های نوین که حملات سایبری، عملیات روانی و درگیری‌های فیزیکی هم‌زمان رخ می‌دهد، مدیران امنیت سازمان‌ها با مسئولیت دوگانه روبه‌رو هستند: افزایش آمادگی فنی و مدیریت روانی سازمان.
بخش اول: ضرورت ارتقاء آماده‌باش و حساسیت فنی
مطالعات میدانی و تجربیات جنگ‌های اخیر (مانند بحران‌های اوکراین، خاورمیانه و تنش‌های سایبری چین-آمریکا و ایران-اسراییل) نشان می‌دهد:
✅ حملات سایبری در دوران «آتش‌بس رسمی» به‌طور پنهان افزایش می‌یابد،
✅ عملیات نفوذ و جاسوسی زیرساختی در پوشش صلح یا مذاکرات شدت می‌گیرد،
✅ گروه‌های وابسته به دولت‌ها (APTها) از فرصت کاهش هوشیاری برای کاشت Backdoor یا خرابکاری‌های خاموش استفاده می‌کنند.
در چنین شرایطی، کاهش حساسیت تیم‌های فنی به بهانه آرامش نسبی، خطرناک‌ترین اشتباه راهبردی است. مدیر امنیت موظف است حتی در دوره‌های ظاهراً کم‌تنش:
✔ سطح بررسی رخدادها و هشدارها را حفظ کند،
✔ شکار تهدیدات پیشرفته (Threat Hunting) را متوقف نکند،
✔ سناریوهای بحران و رزمایش‌های امنیتی را ادامه دهد.
بخش دوم: خطرات بزرگ‌نمایی تهدید و فضای روانی ناپایدار
اما افزایش بی‌رویه فضای ترس نیز پیامدهای منفی دارد:
❌ فرسودگی روانی تیم‌های عملیاتی (Burnout)،
❌ افزایش نرخ اشتباهات انسانی ناشی از استرس،
❌ افت بهره‌وری سازمان به دلیل اضطراب مداوم،
❌ بی‌اعتمادی داخلی و بروز اختلافات میان تیم‌ها.
تجربه نشان داده، در بسیاری از موارد، فضاهای بیش‌ازحد امنیتی که بدون چارچوب منطقی اعمال می‌شوند، خود به تهدیدی برای سلامت سازمان و کارکنان بدل می‌شوند.
توصیه استراتژیک برای مدیران:
🔹 فرهنگ‌سازی امنیتی را با اطلاع‌رسانی شفاف، غیرترساننده و مبتنی بر داده واقعی اجرا کنید.
🔹 تفکیک کنید میان «آگاهی‌بخشی فنی برای تیم‌های عملیاتی» و «اطلاع‌رسانی عمومی برای کاهش اضطراب».
🔹 ظرفیت روانی تیم‌های امنیت را مدیریت کنید؛ Alert Fatigue و استرس مزمن، بهره‌وری را کاهش می‌دهد.
🔹 در شرایط بحران، اولویت را به تصمیم‌گیری مبتنی بر تحلیل بدهید، نه واکنش احساسی یا فضای ترس.
نتیجه نهایی:
موفقیت سازمان در دوران جنگ‌های ترکیبی، تنها به ابزارهای فنی وابسته نیست. مدیریت روانی، کنترل فضای ترس، و حفظ تعادل بین هوشیاری و آرامش، تعیین‌کننده بقای سازمان و حفظ توان مقابله در بلندمدت است.
#آکادمی_روزبه
مرکز تخصصی CISSP
تحلیل استراتژیک: اثرات روانی جنگ‌های ترکیبی و نقش مدیران امنیت در کنترل فضای ترس
در محیط پیچیده جنگ‌های نوین که حملات سایبری، عملیات روانی و درگیری‌های فیزیکی هم‌زمان رخ می‌دهد، مدیران امنیت سازمان‌ها با مسئولیت دوگانه روبه‌رو هستند: افزایش آمادگی فنی و مدیریت روانی سازمان.
بخش اول: ضرورت ارتقاء آماده‌باش و حساسیت فنی
مطالعات میدانی و تجربیات جنگ‌های اخیر (مانند بحران‌های اوکراین، خاورمیانه و تنش‌های سایبری چین-آمریکا و ایران-اسراییل) نشان می‌دهد:
✅ حملات سایبری در دوران «آتش‌بس رسمی» به‌طور پنهان افزایش می‌یابد،
✅ عملیات نفوذ و جاسوسی زیرساختی در پوشش صلح یا مذاکرات شدت می‌گیرد،
✅ گروه‌های وابسته به دولت‌ها (APTها) از فرصت کاهش هوشیاری برای کاشت Backdoor یا خرابکاری‌های خاموش استفاده می‌کنند.
در چنین شرایطی، کاهش حساسیت تیم‌های فنی به بهانه آرامش نسبی، خطرناک‌ترین اشتباه راهبردی است. مدیر امنیت موظف است حتی در دوره‌های ظاهراً کم‌تنش:
✔ سطح بررسی رخدادها و هشدارها را حفظ کند،
✔ شکار تهدیدات پیشرفته (Threat Hunting) را متوقف نکند،
✔ سناریوهای بحران و رزمایش‌های امنیتی را ادامه دهد.
بخش دوم: خطرات بزرگ‌نمایی تهدید و فضای روانی ناپایدار
اما افزایش بی‌رویه فضای ترس نیز پیامدهای منفی دارد:
❌ فرسودگی روانی تیم‌های عملیاتی (Burnout)،
❌ افزایش نرخ اشتباهات انسانی ناشی از استرس،
❌ افت بهره‌وری سازمان به دلیل اضطراب مداوم،
❌ بی‌اعتمادی داخلی و بروز اختلافات میان تیم‌ها.
تجربه نشان داده، در بسیاری از موارد، فضاهای بیش‌ازحد امنیتی که بدون چارچوب منطقی اعمال می‌شوند، خود به تهدیدی برای سلامت سازمان و کارکنان بدل می‌شوند.
توصیه استراتژیک برای مدیران:
🔹 فرهنگ‌سازی امنیتی را با اطلاع‌رسانی شفاف، غیرترساننده و مبتنی بر داده واقعی اجرا کنید.
🔹 تفکیک کنید میان «آگاهی‌بخشی فنی برای تیم‌های عملیاتی» و «اطلاع‌رسانی عمومی برای کاهش اضطراب».
🔹 ظرفیت روانی تیم‌های امنیت را مدیریت کنید؛ Alert Fatigue و استرس مزمن، بهره‌وری را کاهش می‌دهد.
🔹 در شرایط بحران، اولویت را به تصمیم‌گیری مبتنی بر تحلیل بدهید، نه واکنش احساسی یا فضای ترس.
نتیجه نهایی:
موفقیت سازمان در دوران جنگ‌های ترکیبی، تنها به ابزارهای فنی وابسته نیست. مدیریت روانی، کنترل فضای ترس، و حفظ تعادل بین هوشیاری و آرامش، تعیین‌کننده بقای سازمان و حفظ توان مقابله در بلندمدت است.
#آکادمی_روزبه
مرکز تخصصی CISSP
🔥3👏2💯2❤1
تحلیلی امنیتی بر برنامه “OpenAI for Countries”
نگاه استراتژیک به رقابت هوش مصنوعی و پیامدهای امنیت ملی
مقدمه
در حالی‌که رقابت بین‌المللی در حوزه هوش مصنوعی (AI) شدت می‌گیرد، شرکت OpenAI به‌عنوان یکی از رهبران فناوری جهان، برنامه‌ای موسوم به “OpenAI for Countries” معرفی کرده است. این برنامه پاسخی مستقیم به پیشروی فزاینده چین در عرصه AI، مخصوصاً در بازارهای نوظهور آسیایی، آفریقایی و خاورمیانه است.
اما این پروژه تنها جنبه اقتصادی یا فناورانه ندارد؛ بلکه به‌طور مستقیم با امنیت ملی، حفاظت داده‌ها، استقلال سایبری و رقابت ژئوپلیتیکی گره خورده است.
اهداف آشکار و پنهان “OpenAI for Countries”
اهداف آشکار:
گسترش دسترسی کشورهای مختلف به مدل‌های زبانی پیشرفته (مانند GPT)
کمک به رشد زیرساخت‌های فناوری در کشورهای در حال توسعه
ارائه سرویس‌های شخصی‌سازی شده با توجه به نیازهای هر کشور
اهداف پنهان یا استراتژیک:
مهار نفوذ فناوری‌های چینی مانند Zhipu AI و DeepSeek در بازارهای حساس
جلوگیری از تسلط چین بر استانداردهای AI در کشورهای فاقد زیرساخت بومی
ایجاد نوعی “وابستگی نرم” به اکوسیستم OpenAI برای کنترل غیرمستقیم فضای داده و مدل‌های زبانی
ریسک‌ها و ملاحظات امنیتی مرتبط
۱. کنترل داده و حاکمیت ملی
با ورود OpenAI به زیرساخت‌های فناوری یک کشور، ممکن است داده‌های حساس یا استراتژیک در معرض تحلیل و پردازش خارجی قرار گیرد. حتی اگر داده‌ها در همان کشور باقی بماند، وابستگی به مدل‌های خارجی، ریسک‌های حاکمیت سایبری را افزایش می‌دهد.
۲. تقابل ژئوپلیتیکی هوش مصنوعی
برنامه‌هایی مانند “OpenAI for Countries” به نوعی جنگ سرد فناوری دامن می‌زنند؛ کشورها باید بین اکوسیستم‌های غربی (OpenAI، Google DeepMind) و شرقی (Zhipu، Baidu، DeepSeek) انتخاب کنند که این تقسیم‌بندی ممکن است منجر به بلوک‌بندی‌های امنیتی و اقتصادی جدید شود.
۳. پنهان‌سازی قابلیت‌های جاسوسی
همانطور که نگرانی‌ها در مورد ابزارهای چینی (مثل Huawei یا Zhipu) مطرح است، برخی کشورها ممکن است به OpenAI نیز با تردید نگاه کنند. هرچند OpenAI خود را به‌عنوان سازمانی مستقل معرفی می‌کند، اما نفوذ سیاسی و تعامل آن با دولت آمریکا انکارناپذیر است.
۴. رقابت بر سر استانداردها = رقابت بر سر کنترل
استانداردهای اخلاقی، امنیتی و فنی AI نقش حیاتی در شکل‌دهی آینده فناوری دارند. اگر OpenAI بتواند استانداردهای خود را در کشورهای در حال توسعه جا بیندازد، کنترل بلندمدت بر ساختار تصمیم‌گیری فناورانه آن کشورها را در اختیار خواهد داشت.
نتیجه‌گیری: فرصت یا تهدید؟
برنامه “OpenAI for Countries” در ظاهر یک پروژه توسعه‌ای و فناورانه است، اما در بطن آن یک نبرد پیچیده امنیتی، سیاسی و اقتصادی جریان دارد. برای کشورهای هدف، این برنامه می‌تواند:
✅ فرصت رشد سریع فناوری و بهره‌مندی از هوش مصنوعی پیشرفته را فراهم کند
⚠️ اما هم‌زمان، ریسک‌های مرتبط با وابستگی فناورانه، از دست دادن کنترل داده‌ها و افت استقلال سایبری را افزایش می‌دهد
پیشنهاد به تصمیم‌گیرندگان امنیتی
کشورهایی که هدف این برنامه هستند باید:
بررسی‌های عمیق امنیتی و حقوقی انجام دهند
سیاست‌های حفاظت از داده و حاکمیت سایبری را شفاف تدوین کنند
با دقت بین مزایا و تهدیدهای ناشی از ورود اکوسیستم‌های خارجی، به‌ویژه در حوزه AI، تعادل برقرار کنند
#آکادمی_روزبه
نگاه استراتژیک به رقابت هوش مصنوعی و پیامدهای امنیت ملی
مقدمه
در حالی‌که رقابت بین‌المللی در حوزه هوش مصنوعی (AI) شدت می‌گیرد، شرکت OpenAI به‌عنوان یکی از رهبران فناوری جهان، برنامه‌ای موسوم به “OpenAI for Countries” معرفی کرده است. این برنامه پاسخی مستقیم به پیشروی فزاینده چین در عرصه AI، مخصوصاً در بازارهای نوظهور آسیایی، آفریقایی و خاورمیانه است.
اما این پروژه تنها جنبه اقتصادی یا فناورانه ندارد؛ بلکه به‌طور مستقیم با امنیت ملی، حفاظت داده‌ها، استقلال سایبری و رقابت ژئوپلیتیکی گره خورده است.
اهداف آشکار و پنهان “OpenAI for Countries”
اهداف آشکار:
گسترش دسترسی کشورهای مختلف به مدل‌های زبانی پیشرفته (مانند GPT)
کمک به رشد زیرساخت‌های فناوری در کشورهای در حال توسعه
ارائه سرویس‌های شخصی‌سازی شده با توجه به نیازهای هر کشور
اهداف پنهان یا استراتژیک:
مهار نفوذ فناوری‌های چینی مانند Zhipu AI و DeepSeek در بازارهای حساس
جلوگیری از تسلط چین بر استانداردهای AI در کشورهای فاقد زیرساخت بومی
ایجاد نوعی “وابستگی نرم” به اکوسیستم OpenAI برای کنترل غیرمستقیم فضای داده و مدل‌های زبانی
ریسک‌ها و ملاحظات امنیتی مرتبط
۱. کنترل داده و حاکمیت ملی
با ورود OpenAI به زیرساخت‌های فناوری یک کشور، ممکن است داده‌های حساس یا استراتژیک در معرض تحلیل و پردازش خارجی قرار گیرد. حتی اگر داده‌ها در همان کشور باقی بماند، وابستگی به مدل‌های خارجی، ریسک‌های حاکمیت سایبری را افزایش می‌دهد.
۲. تقابل ژئوپلیتیکی هوش مصنوعی
برنامه‌هایی مانند “OpenAI for Countries” به نوعی جنگ سرد فناوری دامن می‌زنند؛ کشورها باید بین اکوسیستم‌های غربی (OpenAI، Google DeepMind) و شرقی (Zhipu، Baidu، DeepSeek) انتخاب کنند که این تقسیم‌بندی ممکن است منجر به بلوک‌بندی‌های امنیتی و اقتصادی جدید شود.
۳. پنهان‌سازی قابلیت‌های جاسوسی
همانطور که نگرانی‌ها در مورد ابزارهای چینی (مثل Huawei یا Zhipu) مطرح است، برخی کشورها ممکن است به OpenAI نیز با تردید نگاه کنند. هرچند OpenAI خود را به‌عنوان سازمانی مستقل معرفی می‌کند، اما نفوذ سیاسی و تعامل آن با دولت آمریکا انکارناپذیر است.
۴. رقابت بر سر استانداردها = رقابت بر سر کنترل
استانداردهای اخلاقی، امنیتی و فنی AI نقش حیاتی در شکل‌دهی آینده فناوری دارند. اگر OpenAI بتواند استانداردهای خود را در کشورهای در حال توسعه جا بیندازد، کنترل بلندمدت بر ساختار تصمیم‌گیری فناورانه آن کشورها را در اختیار خواهد داشت.
نتیجه‌گیری: فرصت یا تهدید؟
برنامه “OpenAI for Countries” در ظاهر یک پروژه توسعه‌ای و فناورانه است، اما در بطن آن یک نبرد پیچیده امنیتی، سیاسی و اقتصادی جریان دارد. برای کشورهای هدف، این برنامه می‌تواند:
✅ فرصت رشد سریع فناوری و بهره‌مندی از هوش مصنوعی پیشرفته را فراهم کند
⚠️ اما هم‌زمان، ریسک‌های مرتبط با وابستگی فناورانه، از دست دادن کنترل داده‌ها و افت استقلال سایبری را افزایش می‌دهد
پیشنهاد به تصمیم‌گیرندگان امنیتی
کشورهایی که هدف این برنامه هستند باید:
بررسی‌های عمیق امنیتی و حقوقی انجام دهند
سیاست‌های حفاظت از داده و حاکمیت سایبری را شفاف تدوین کنند
با دقت بین مزایا و تهدیدهای ناشی از ورود اکوسیستم‌های خارجی، به‌ویژه در حوزه AI، تعادل برقرار کنند
#آکادمی_روزبه
💯4👏2👍1
تحلیل استراتژیک: چین در برابر بلوک غرب در حوزه هوش مصنوعی
مقدمه
در رقابت جهانی بر سر تسلط بر فناوری هوش مصنوعی، آمریکا سال‌هاست که با تکیه بر انحصار تولید سخت‌افزارهای پیشرفته، از جمله تراشه‌های گرافیکی (GPU) و شتاب‌دهنده‌های یادگیری ماشین، برتری فنی خود را حفظ کرده است. با این حال، چین با درک محدودیت‌های سخت‌افزاری و تحریم‌های خارجی، مسیر متفاوت و هوشمندانه‌ای را انتخاب کرده است: بهینه‌سازی نرم‌افزار و مدل‌های زبانی برای بهره‌وری حداکثری از منابع محدود.
این تغییر استراتژیک، معادلات قدرت در حوزه AI را وارد مرحله جدیدی می‌کند که فراتر از بحث‌های فناورانه، اثرات مستقیم بر امنیت ملی، رقابت اقتصادی و نفوذ ژئوپلیتیکی دارد.
استراتژی چین: غلبه بر محدودیت سخت‌افزار با ابزار نرم‌افزار
چین با بهره‌گیری از تکنیک‌های پیشرفته مانند:
✅ Quantization (کوانتایزیشن) — کاهش دقت محاسبات برای مصرف کمتر منابع
✅ Distillation (استخراج دانش) — انتقال قابلیت‌های مدل‌های عظیم به نسخه‌های سبک و سریع
✅ Model Optimization (بهینه‌سازی مدل‌ها) — بازطراحی معماری مدل برای اجرا روی سخت‌افزار ضعیف‌تر
توانسته فاصله خود را با بازیگران غربی کاهش دهد و در بسیاری از بازارهای کلیدی، رقابت جدی ایجاد کند.
ابعاد ژئوپلیتیکی و امنیتی این رویکرد
۱. خنثی‌سازی تحریم‌های فناورانه آمریکا
تحریم صادرات چیپ‌های پیشرفته به چین، اثرگذاری خود را از دست می‌دهد اگر چین بتواند با منابع موجود، مدل‌های کارآمد توسعه دهد.
این روند استقلال فناوری چین را تقویت و مقاومت آن را در برابر فشارهای خارجی افزایش می‌دهد.
۲. ایجاد اکوسیستم مستقل و بومی
مدل‌های فشرده و بهینه‌شده نیازی به دیتاسنترهای عظیم یا زیرساخت‌های غربی ندارند.
این به چین اجازه می‌دهد زنجیره فناوری AI را به‌صورت کامل در داخل کنترل کند؛ موضوعی که از منظر امنیت ملی، مزیت حیاتی محسوب می‌شود.
۳. افزایش قدرت نفوذ در کشورهای در حال توسعه
مدل‌های سبک، کم‌هزینه و قابل‌اجرا روی سخت‌افزار متوسط، امکان استقرار سریع AI چینی در آفریقا، خاورمیانه و آسیا را فراهم می‌کند.
این نفوذ فناورانه می‌تواند در بلندمدت به وابستگی تکنولوژیک و تاثیرگذاری سیاسی منجر شود.
۴. تهدید بلندمدت برای انحصار فناوری غرب
اگر چین موفق شود مدل‌هایی با عملکرد بالا و مصرف پایین توسعه دهد، مزیت سخت‌افزاری غرب تضعیف خواهد شد.
این شکستن انحصار می‌تواند توزیع قدرت در حوزه فناوری را متحول و موازنه ژئوپلیتیکی را تغییر دهد.
جمع‌بندی استراتژیک
تحلیل وضعیت کنونی نشان می‌دهد که نبرد هوش مصنوعی دیگر صرفاً بر سر قدرت پردازشی نیست، بلکه وارد مرحله‌ای شده که:
✅ هوش در مدیریت منابع، به‌اندازه توان پردازش حیاتی است
✅ سیاست‌های تحریم و کنترل صادرات بدون استراتژی نرم‌افزاری مکمل، اثر بلندمدت نخواهند داشت
✅ کشورهایی که قادرند با بهینه‌سازی، محدودیت‌های زیرساختی را دور بزنند، شانس بیشتری برای استقلال فناوری دارند
چین دقیقاً در این مسیر حرکت می‌کند و این روند، چالش‌های جدیدی را برای کشورهای غربی و همچنین بازیگران جهان سوم ایجاد خواهد کرد.
#آکادمی_روزبه
مقدمه
در رقابت جهانی بر سر تسلط بر فناوری هوش مصنوعی، آمریکا سال‌هاست که با تکیه بر انحصار تولید سخت‌افزارهای پیشرفته، از جمله تراشه‌های گرافیکی (GPU) و شتاب‌دهنده‌های یادگیری ماشین، برتری فنی خود را حفظ کرده است. با این حال، چین با درک محدودیت‌های سخت‌افزاری و تحریم‌های خارجی، مسیر متفاوت و هوشمندانه‌ای را انتخاب کرده است: بهینه‌سازی نرم‌افزار و مدل‌های زبانی برای بهره‌وری حداکثری از منابع محدود.
این تغییر استراتژیک، معادلات قدرت در حوزه AI را وارد مرحله جدیدی می‌کند که فراتر از بحث‌های فناورانه، اثرات مستقیم بر امنیت ملی، رقابت اقتصادی و نفوذ ژئوپلیتیکی دارد.
استراتژی چین: غلبه بر محدودیت سخت‌افزار با ابزار نرم‌افزار
چین با بهره‌گیری از تکنیک‌های پیشرفته مانند:
✅ Quantization (کوانتایزیشن) — کاهش دقت محاسبات برای مصرف کمتر منابع
✅ Distillation (استخراج دانش) — انتقال قابلیت‌های مدل‌های عظیم به نسخه‌های سبک و سریع
✅ Model Optimization (بهینه‌سازی مدل‌ها) — بازطراحی معماری مدل برای اجرا روی سخت‌افزار ضعیف‌تر
توانسته فاصله خود را با بازیگران غربی کاهش دهد و در بسیاری از بازارهای کلیدی، رقابت جدی ایجاد کند.
ابعاد ژئوپلیتیکی و امنیتی این رویکرد
۱. خنثی‌سازی تحریم‌های فناورانه آمریکا
تحریم صادرات چیپ‌های پیشرفته به چین، اثرگذاری خود را از دست می‌دهد اگر چین بتواند با منابع موجود، مدل‌های کارآمد توسعه دهد.
این روند استقلال فناوری چین را تقویت و مقاومت آن را در برابر فشارهای خارجی افزایش می‌دهد.
۲. ایجاد اکوسیستم مستقل و بومی
مدل‌های فشرده و بهینه‌شده نیازی به دیتاسنترهای عظیم یا زیرساخت‌های غربی ندارند.
این به چین اجازه می‌دهد زنجیره فناوری AI را به‌صورت کامل در داخل کنترل کند؛ موضوعی که از منظر امنیت ملی، مزیت حیاتی محسوب می‌شود.
۳. افزایش قدرت نفوذ در کشورهای در حال توسعه
مدل‌های سبک، کم‌هزینه و قابل‌اجرا روی سخت‌افزار متوسط، امکان استقرار سریع AI چینی در آفریقا، خاورمیانه و آسیا را فراهم می‌کند.
این نفوذ فناورانه می‌تواند در بلندمدت به وابستگی تکنولوژیک و تاثیرگذاری سیاسی منجر شود.
۴. تهدید بلندمدت برای انحصار فناوری غرب
اگر چین موفق شود مدل‌هایی با عملکرد بالا و مصرف پایین توسعه دهد، مزیت سخت‌افزاری غرب تضعیف خواهد شد.
این شکستن انحصار می‌تواند توزیع قدرت در حوزه فناوری را متحول و موازنه ژئوپلیتیکی را تغییر دهد.
جمع‌بندی استراتژیک
تحلیل وضعیت کنونی نشان می‌دهد که نبرد هوش مصنوعی دیگر صرفاً بر سر قدرت پردازشی نیست، بلکه وارد مرحله‌ای شده که:
✅ هوش در مدیریت منابع، به‌اندازه توان پردازش حیاتی است
✅ سیاست‌های تحریم و کنترل صادرات بدون استراتژی نرم‌افزاری مکمل، اثر بلندمدت نخواهند داشت
✅ کشورهایی که قادرند با بهینه‌سازی، محدودیت‌های زیرساختی را دور بزنند، شانس بیشتری برای استقلال فناوری دارند
چین دقیقاً در این مسیر حرکت می‌کند و این روند، چالش‌های جدیدی را برای کشورهای غربی و همچنین بازیگران جهان سوم ایجاد خواهد کرد.
#آکادمی_روزبه
👍2💯2👏1
#موقت
🌀مداخلات روانشناسانه
برای افزایش بهره وری در SOC
شرکت هامون
✍تدوین: روزبه نوروزی با همیاری مشاور منابع انسانی شرکت هامون
فرسودگی شغلی (Burnout) در تیم‌های مرکز عملیات امنیت (SOC): یک بررسی روان‌شناختی
چکیده
فرسودگی شغلی (Burnout) یکی از پدیده‌های روان‌شناختی شایع در مشاغل پرتنش است که می‌تواند سلامت روانی و عملکرد حرفه‌ای افراد را تهدید کند. متخصصان مرکز عملیات امنیت (Security Operations Center - SOC)، که وظیفه پایش، تحلیل و پاسخ به تهدیدات سایبری را دارند، به دلیل ماهیت حساس، استرس‌زا و دائمی کار خود، در معرض سطوح بالایی از فرسودگی شغلی قرار می‌گیرند. این مقاله به بررسی عوامل روان‌شناختی مؤثر بر بروز Burnout در تیم‌های SOC، پیامدهای آن بر سلامت روان و بهره‌وری سازمانی، و راهکارهای مداخله‌ای می‌پردازد.
مقدمه
فرسودگی شغلی، مفهومی که نخستین‌بار توسط فرویدنبرگر (1974) مطرح شد، به‌عنوان یک واکنش روان‌شناختی به استرس مزمن شغلی تعریف می‌شود و شامل سه بعد اصلی است: خستگی هیجانی (Emotional Exhaustion)، مسخ شخصیت (Depersonalization) و کاهش احساس موفقیت فردی (Reduced Personal Accomplishment) (Maslach & Jackson, 1981).
در سال‌های اخیر، با افزایش حملات سایبری و پیچیدگی تهدیدات، فشار روانی بر متخصصان امنیت سایبری، به‌ویژه کارکنان SOC، افزایش یافته است. این تیم‌ها غالباً به‌صورت 24/7 در محیط‌هایی با ریسک بالا، حجم کاری سنگین و الزامات پاسخ سریع فعالیت می‌کنند که زمینه‌ساز فرسودگی شغلی است.
عوامل روان‌شناختی مؤثر بر Burnout در تیم‌های SOC
1. استرس شغلی مزمن:
کارکنان SOC به‌طور مداوم با حجم زیادی از هشدارهای امنیتی، تصمیم‌گیری‌های سریع و موقعیت‌های بحرانی مواجه‌اند. این شرایط، استرس شغلی را به‌صورت مزمن افزایش می‌دهد که مطابق با نظریه استرس لازاروس و فولکمن (1984)، اگر منابع مقابله‌ای ناکافی باشد، منجر به آسیب روانی می‌شود.
2. خستگی تصمیم‌گیری (Decision Fatigue):
موقعیت‌های پیچیده و مبهم در SOC، مستلزم تصمیم‌گیری‌های پی‌درپی است. خستگی تصمیم‌گیری به‌عنوان عامل فرسودگی روان‌شناختی و کاهش بهره‌وری در این محیط‌ها شناخته می‌شود.
3. کار شیفتی و اختلالات خواب:
مطالعات نشان داده‌اند که کار در شیفت‌های شبانه یا نامنظم با افزایش اختلالات خواب، کاهش کیفیت زندگی و افزایش ریسک افسردگی و اضطراب مرتبط است (Åkerstedt, 2003). این موضوع در تیم‌های SOC بسیار رایج است.
4. اثر تونل دید (Tunnel Vision) و تکرارپذیری بالا:
ماهیت کار تکراری، بررسی رویدادهای مشابه و نگاه محدود به تهدیدات می‌تواند باعث کاهش انگیزش درونی و احساس یکنواختی شود که از عوامل روان‌شناختی مهم در ایجاد Burnout است.
5. نبود بازخورد مثبت و قدردانی:
مطابق نظریه خودتعیینی (Deci & Ryan, 1985)، نیاز به شایستگی و قدردانی در محیط کار، نقش مهمی در سلامت روان ایفا می‌کند. در بسیاری از موارد، عملکرد تیم‌های SOC زمانی دیده می‌شود که شکست رخ دهد، نه زمانی که موفقیت در پیشگیری حاصل شده است.
پیامدهای روان‌شناختی و سازمانی Burnout در SOC
افزایش اضطراب، افسردگی و اختلالات روان‌تنی
افت کیفیت تصمیم‌گیری و افزایش خطاهای انسانی
کاهش رضایت شغلی و افزایش نرخ ترک خدمت (Turnover)
تضعیف کار تیمی و افزایش تعارضات بین‌فردی
تهدید مستقیم برای امنیت سایبری سازمان به‌دلیل کاهش بهره‌وری
رویکردهای روان‌شناختی برای پیشگیری و مداخله
1. مداخلات شناختی-رفتاری (CBT):
برگزاری کارگاه‌های CBT برای مدیریت استرس، افزایش تاب‌آوری روانی و اصلاح سبک‌های شناختی منفی در کارکنان.
2. بهینه‌سازی نظام شیفت‌بندی:
استفاده از اصول روان‌شناسی خواب برای طراحی شیفت‌های کاری که کمترین آسیب را به سلامت جسم و روان وارد کند.
3. ایجاد فرهنگ قدردانی و بازخورد مثبت:
پیاده‌سازی سیستم‌های انگیزشی بر اساس رویکردهای روان‌شناسی سازمانی برای افزایش احساس ارزشمندی و تعلق سازمانی.
4. آموزش مهارت‌های خودمراقبتی:
تقویت آگاهی کارکنان نسبت به اهمیت خواب، تغذیه سالم، فعالیت بدنی و مراقبت روانی فردی.
5. غربالگری و پایش سلامت روان:
استفاده از ابزارهای روان‌سنجی معتبر مانند پرسشنامه Maslach Burnout Inventory (MBI) برای شناسایی زودهنگام نشانه‌های فرسودگی و ارجاع به مداخلات تخصصی.
نتیجه‌گیری
فرسودگی شغلی در تیم‌های SOC یک پدیده چندعاملی با ابعاد روان‌شناختی عمیق است که پیامدهای فردی و سازمانی گسترده‌ای دارد. رویکردهای پیشگیرانه و مداخله‌ای مبتنی بر روان‌شناسی می‌توانند نقش مهمی در ارتقاء سلامت روان، افزایش بهره‌وری و کاهش ریسک‌های امنیتی ایفا کنند. توجه به این ابعاد برای سازمان‌های مدرن با زیرساخت‌های حیاتی، امری ضروری است.
💫شرکت پیشگامان فناوری اطلاعات هامون
Www.haumoun.com
🌀مداخلات روانشناسانه
برای افزایش بهره وری در SOC
شرکت هامون
✍تدوین: روزبه نوروزی با همیاری مشاور منابع انسانی شرکت هامون
فرسودگی شغلی (Burnout) در تیم‌های مرکز عملیات امنیت (SOC): یک بررسی روان‌شناختی
چکیده
فرسودگی شغلی (Burnout) یکی از پدیده‌های روان‌شناختی شایع در مشاغل پرتنش است که می‌تواند سلامت روانی و عملکرد حرفه‌ای افراد را تهدید کند. متخصصان مرکز عملیات امنیت (Security Operations Center - SOC)، که وظیفه پایش، تحلیل و پاسخ به تهدیدات سایبری را دارند، به دلیل ماهیت حساس، استرس‌زا و دائمی کار خود، در معرض سطوح بالایی از فرسودگی شغلی قرار می‌گیرند. این مقاله به بررسی عوامل روان‌شناختی مؤثر بر بروز Burnout در تیم‌های SOC، پیامدهای آن بر سلامت روان و بهره‌وری سازمانی، و راهکارهای مداخله‌ای می‌پردازد.
مقدمه
فرسودگی شغلی، مفهومی که نخستین‌بار توسط فرویدنبرگر (1974) مطرح شد، به‌عنوان یک واکنش روان‌شناختی به استرس مزمن شغلی تعریف می‌شود و شامل سه بعد اصلی است: خستگی هیجانی (Emotional Exhaustion)، مسخ شخصیت (Depersonalization) و کاهش احساس موفقیت فردی (Reduced Personal Accomplishment) (Maslach & Jackson, 1981).
در سال‌های اخیر، با افزایش حملات سایبری و پیچیدگی تهدیدات، فشار روانی بر متخصصان امنیت سایبری، به‌ویژه کارکنان SOC، افزایش یافته است. این تیم‌ها غالباً به‌صورت 24/7 در محیط‌هایی با ریسک بالا، حجم کاری سنگین و الزامات پاسخ سریع فعالیت می‌کنند که زمینه‌ساز فرسودگی شغلی است.
عوامل روان‌شناختی مؤثر بر Burnout در تیم‌های SOC
1. استرس شغلی مزمن:
کارکنان SOC به‌طور مداوم با حجم زیادی از هشدارهای امنیتی، تصمیم‌گیری‌های سریع و موقعیت‌های بحرانی مواجه‌اند. این شرایط، استرس شغلی را به‌صورت مزمن افزایش می‌دهد که مطابق با نظریه استرس لازاروس و فولکمن (1984)، اگر منابع مقابله‌ای ناکافی باشد، منجر به آسیب روانی می‌شود.
2. خستگی تصمیم‌گیری (Decision Fatigue):
موقعیت‌های پیچیده و مبهم در SOC، مستلزم تصمیم‌گیری‌های پی‌درپی است. خستگی تصمیم‌گیری به‌عنوان عامل فرسودگی روان‌شناختی و کاهش بهره‌وری در این محیط‌ها شناخته می‌شود.
3. کار شیفتی و اختلالات خواب:
مطالعات نشان داده‌اند که کار در شیفت‌های شبانه یا نامنظم با افزایش اختلالات خواب، کاهش کیفیت زندگی و افزایش ریسک افسردگی و اضطراب مرتبط است (Åkerstedt, 2003). این موضوع در تیم‌های SOC بسیار رایج است.
4. اثر تونل دید (Tunnel Vision) و تکرارپذیری بالا:
ماهیت کار تکراری، بررسی رویدادهای مشابه و نگاه محدود به تهدیدات می‌تواند باعث کاهش انگیزش درونی و احساس یکنواختی شود که از عوامل روان‌شناختی مهم در ایجاد Burnout است.
5. نبود بازخورد مثبت و قدردانی:
مطابق نظریه خودتعیینی (Deci & Ryan, 1985)، نیاز به شایستگی و قدردانی در محیط کار، نقش مهمی در سلامت روان ایفا می‌کند. در بسیاری از موارد، عملکرد تیم‌های SOC زمانی دیده می‌شود که شکست رخ دهد، نه زمانی که موفقیت در پیشگیری حاصل شده است.
پیامدهای روان‌شناختی و سازمانی Burnout در SOC
افزایش اضطراب، افسردگی و اختلالات روان‌تنی
افت کیفیت تصمیم‌گیری و افزایش خطاهای انسانی
کاهش رضایت شغلی و افزایش نرخ ترک خدمت (Turnover)
تضعیف کار تیمی و افزایش تعارضات بین‌فردی
تهدید مستقیم برای امنیت سایبری سازمان به‌دلیل کاهش بهره‌وری
رویکردهای روان‌شناختی برای پیشگیری و مداخله
1. مداخلات شناختی-رفتاری (CBT):
برگزاری کارگاه‌های CBT برای مدیریت استرس، افزایش تاب‌آوری روانی و اصلاح سبک‌های شناختی منفی در کارکنان.
2. بهینه‌سازی نظام شیفت‌بندی:
استفاده از اصول روان‌شناسی خواب برای طراحی شیفت‌های کاری که کمترین آسیب را به سلامت جسم و روان وارد کند.
3. ایجاد فرهنگ قدردانی و بازخورد مثبت:
پیاده‌سازی سیستم‌های انگیزشی بر اساس رویکردهای روان‌شناسی سازمانی برای افزایش احساس ارزشمندی و تعلق سازمانی.
4. آموزش مهارت‌های خودمراقبتی:
تقویت آگاهی کارکنان نسبت به اهمیت خواب، تغذیه سالم، فعالیت بدنی و مراقبت روانی فردی.
5. غربالگری و پایش سلامت روان:
استفاده از ابزارهای روان‌سنجی معتبر مانند پرسشنامه Maslach Burnout Inventory (MBI) برای شناسایی زودهنگام نشانه‌های فرسودگی و ارجاع به مداخلات تخصصی.
نتیجه‌گیری
فرسودگی شغلی در تیم‌های SOC یک پدیده چندعاملی با ابعاد روان‌شناختی عمیق است که پیامدهای فردی و سازمانی گسترده‌ای دارد. رویکردهای پیشگیرانه و مداخله‌ای مبتنی بر روان‌شناسی می‌توانند نقش مهمی در ارتقاء سلامت روان، افزایش بهره‌وری و کاهش ریسک‌های امنیتی ایفا کنند. توجه به این ابعاد برای سازمان‌های مدرن با زیرساخت‌های حیاتی، امری ضروری است.
💫شرکت پیشگامان فناوری اطلاعات هامون
Www.haumoun.com
❤10
اهمیت لاگ‌های کمتر شناخته‌شده ویندوز در کشف تهدید و تحلیل Forensic
روزبه نوروزی
بخش اول
مقدمه
یکی از مهم‌ترین مهارت‌های تحلیل‌گران امنیتی و تیم‌های SOC، توانایی به “درست دیدن” و “درست پرسیدن” سوال‌های جست‌وجو در داده‌های عظیم است. بخش عمده‌ای از این داده‌ها در اکوسیستم ویندوزی، مربوط به رویدادها و لاگ‌هایی است که سیستم‌عامل به طور مستمر در پس‌زمینه جمع‌آوری می‌کند. معمولاً قضاوت درباره ارزش این لاگ‌ها به سه دسته اصلی System، Application و Security خلاصه می‌شود؛ اما ویندوز فراتر از این سه، ده‌ها کانال و منبع دیگر برای لاگ‌نویسی دارد که عمدتاً دست‌نخورده و ناشناخته باقی می‌مانند—درحالی‌که همین لاگ‌های “کمتر شناخته‌شده” می‌توانند سرنوشت یک تحقیقات Forensic یا فرآیند شکار تهدید (Threat Hunting) را دگرگون کنند.
ساختار و تنوع لاگ‌های ویندوز
هر سیستم ویندوزی به‌طور متوسط شامل ده‌ها لاگ فعال است که در مسیرهای مختلف Event Viewer طبقه‌بندی شده‌اند. علاوه بر “سه گانه کلاسیک” (System, Application, Security)، انواع Operational و Diagnostic نیز وجود دارند که عموماً برای عیب‌یابی، توسعه نرم‌افزار، تحلیل عملکرد یا بررسی رویدادهای سیستمی خاص نوشته می‌شوند.
این لاگ‌ها دارای سطح دسترسی و پراکندگی متفاوتی‌اند؛ برخی فقط با سطح Administrator قابل مشاهده‌اند و برخی صرفاً در قالب لاگ ماشین (Machine-level) ذخیره می‌شوند. نکته کلیدی اینجاست که در بسیاری از سازمان‌ها به علت عدم آگاهی یا کم‌اهمیت فرض کردن این منابع، بررسی آن‌ها نادیده گرفته شده و ریسک “دیدن تنها نوک کوه یخ فعالیت مهاجم” وجود دارد.
کمبود لاگ، طلای پنهان: چرا باید سراغ منابع غیراستاندارد رفت؟
در بسیاری از حملات، مهاجمین آگاهانه تلاش می‌کنند ردپای خود را در لاگ‌های اصلی پاک کنند، یا برای مدت کوتاهی حضور خود را مخفی نگه‌دارند. همچنین در محیط‌های عملیاتی و سیستم‌هایی که لاگ‌گیری کامل یا ابزارهای EDR پیشرفته ندارند—مثلاً شبکه‌های صنعتی قدیمی یا بخش‌هایی از نیم‌سازمان‌های دولتی—اتکا به منابع پیش‌فرض و افزونه نشده، اجتناب‌ناپذیر است.
در اینجاست که مرور و تحلیل Event Logهای فرعی مانند Shell-Core، AppModel-Runtime، TaskScheduler، VHDMP و غیره به عنوان «طلای پنهان» قابلیت استناد و اعتماد بالقوه را پیدا می‌کند.
پایان بخش اول
#آکادمی_روزبه
مرکز تخصصی CISSP
این مقاله ادامه دارد ....
روزبه نوروزی
بخش اول
مقدمه
یکی از مهم‌ترین مهارت‌های تحلیل‌گران امنیتی و تیم‌های SOC، توانایی به “درست دیدن” و “درست پرسیدن” سوال‌های جست‌وجو در داده‌های عظیم است. بخش عمده‌ای از این داده‌ها در اکوسیستم ویندوزی، مربوط به رویدادها و لاگ‌هایی است که سیستم‌عامل به طور مستمر در پس‌زمینه جمع‌آوری می‌کند. معمولاً قضاوت درباره ارزش این لاگ‌ها به سه دسته اصلی System، Application و Security خلاصه می‌شود؛ اما ویندوز فراتر از این سه، ده‌ها کانال و منبع دیگر برای لاگ‌نویسی دارد که عمدتاً دست‌نخورده و ناشناخته باقی می‌مانند—درحالی‌که همین لاگ‌های “کمتر شناخته‌شده” می‌توانند سرنوشت یک تحقیقات Forensic یا فرآیند شکار تهدید (Threat Hunting) را دگرگون کنند.
ساختار و تنوع لاگ‌های ویندوز
هر سیستم ویندوزی به‌طور متوسط شامل ده‌ها لاگ فعال است که در مسیرهای مختلف Event Viewer طبقه‌بندی شده‌اند. علاوه بر “سه گانه کلاسیک” (System, Application, Security)، انواع Operational و Diagnostic نیز وجود دارند که عموماً برای عیب‌یابی، توسعه نرم‌افزار، تحلیل عملکرد یا بررسی رویدادهای سیستمی خاص نوشته می‌شوند.
این لاگ‌ها دارای سطح دسترسی و پراکندگی متفاوتی‌اند؛ برخی فقط با سطح Administrator قابل مشاهده‌اند و برخی صرفاً در قالب لاگ ماشین (Machine-level) ذخیره می‌شوند. نکته کلیدی اینجاست که در بسیاری از سازمان‌ها به علت عدم آگاهی یا کم‌اهمیت فرض کردن این منابع، بررسی آن‌ها نادیده گرفته شده و ریسک “دیدن تنها نوک کوه یخ فعالیت مهاجم” وجود دارد.
کمبود لاگ، طلای پنهان: چرا باید سراغ منابع غیراستاندارد رفت؟
در بسیاری از حملات، مهاجمین آگاهانه تلاش می‌کنند ردپای خود را در لاگ‌های اصلی پاک کنند، یا برای مدت کوتاهی حضور خود را مخفی نگه‌دارند. همچنین در محیط‌های عملیاتی و سیستم‌هایی که لاگ‌گیری کامل یا ابزارهای EDR پیشرفته ندارند—مثلاً شبکه‌های صنعتی قدیمی یا بخش‌هایی از نیم‌سازمان‌های دولتی—اتکا به منابع پیش‌فرض و افزونه نشده، اجتناب‌ناپذیر است.
در اینجاست که مرور و تحلیل Event Logهای فرعی مانند Shell-Core، AppModel-Runtime، TaskScheduler، VHDMP و غیره به عنوان «طلای پنهان» قابلیت استناد و اعتماد بالقوه را پیدا می‌کند.
پایان بخش اول
#آکادمی_روزبه
مرکز تخصصی CISSP
این مقاله ادامه دارد ....
❤4👏3⚡1
آکادمی آموزش روزبه 📚
اهمیت لاگ‌های کمتر شناخته‌شده ویندوز در کشف تهدید و تحلیل Forensic روزبه نوروزی بخش اول مقدمه یکی از مهم‌ترین مهارت‌های تحلیل‌گران امنیتی و تیم‌های SOC، توانایی به “درست دیدن” و “درست پرسیدن” سوال‌های جست‌وجو در داده‌های عظیم است. بخش عمده‌ای از این…
قسمت دوم از پست قبل
مثال‌های عملی: کاربرد لاگ‌های خاص در کشف تهدید
۱. Microsoft-Windows-Shell-Core/Operational
این کانال، به طور خاص رفتار پروسه‌هایی را جمع‌آوری می‌کند که با پایداری شروع به کار یا اجرا از مسیرهای حساس رجیستری (مانند Run یا RunOnce) دارند.
EID 9707:
این رویداد زمانی لاگ می‌شود که برنامه‌ای با استفاده از کلیدهای مذکور استارت می‌شود. در این لاگ، CommandLine کامل و اطلاعات اجرایی ثبت می‌شود؛ یک منبع بی‌نظیر برای شناسایی پایایی‌های ساده و رایج مانند Run Keys که مهاجمان برای باقی‌ماندن پس از ریبوت استفاده می‌کنند.
نمونه‌ی واقعی: مهاجمی که بدافزار خود را به CommandLine Run اضافه کند، حتی با پاکسازی سایر لاگ‌ها، این ایونت را در دیفالت‌ترین حالت خواهد داشت.
EID 9708:
خاتمه اجرای همان پروسه را با PID مربوط لاگ می‌کند. قابلیت “Correlation” با EID 9707 نه‌تنها طول عمر پروسه، بلکه بررسی آثار آن پس از اجرا را هم ممکن می‌کند.
EID 28115:
هر افزوده شدن شورتکات به App Resolver Cache را ارجاع می‌دهد—که معمولاً در نتیجه نصب برنامه‌ی جدید یا تکنیک‌های نصب سایلنت رخ می‌دهد. این event زمانی به‌کار می‌آید که رفتار غیرمنتظره نصب برنامه جدید را بدون دخالت کاربر می‌خواهیم کشف کنیم.
۲. Microsoft-Windows-WinINet-Config/ProxyConfigChanged
این منبع برای تمامی تغییرات در تنظیمات Proxy (سیستم یا مرورگر) دارای EID 5600 است.
اهمیت آن چیست؟
مهاجم برای پنهان‌کاری فعالیت، عبور ترافیک به سرور فرماندهی یا دور زدن فیلترینگ داخلی ممکن است پروکسی را تغییر دهد. چنین رویدادی، که معمولاً در لاگ‌گیری سنتی فایروال یا آنتی‌ویروس منعکس نمی‌شود، می‌تواند نقطه شروع تحلیل تفصیلی باشد.
استفاده عملی:
در پیگیری حمله، مشاهده چندین تغییر ProxyConfig بدون دلیل موجه یا همراه شدن با اجرای سیستم‌های ناشناس، قرینه بارزی از فعالیت C2 یا Exfiltration است.
۳. سایر منابع کارآمد برای SOC و Forensic
Microsoft-Windows-TaskScheduler/Operational
هرنوع اصلاح، حذف، فعال/غیرفعال کردن یا اجرای زمان‌بندی‌شده jobs را ثبت می‌کند. بسیار کاربردی برای کشف Techniques like Scheduled Task Persistence/T1053.
Microsoft-Windows-VHDMP-Operational
تمامی نصب (Mount) یا جداسازی (Unmount) دیسک‌های مجازی (VHD/VHDX) را با جزییات ثبت می‌کند. برخی بدافزارها یا مهاجمان برای مخفی کردن داده یا اجرای ابزار محافظت‌شده از این تکنیک بهره می‌برند.
Microsoft-Windows-AppModel-Runtime/Operational
رویدادهای مرتبط با اجرا، نصب، و به‌روزرسانی پکیج‌های برنامه‌های مدرن ویندوز (UWP/Store apps) را نگهداری می‌کند که در حملات مبتنی بر App Sideloading یا برنامه‌های خاص اهمیت دارد.
#آکادمی_روزبه
مرکز تخصصی CISSP
ادامه دارد ....
مثال‌های عملی: کاربرد لاگ‌های خاص در کشف تهدید
۱. Microsoft-Windows-Shell-Core/Operational
این کانال، به طور خاص رفتار پروسه‌هایی را جمع‌آوری می‌کند که با پایداری شروع به کار یا اجرا از مسیرهای حساس رجیستری (مانند Run یا RunOnce) دارند.
EID 9707:
این رویداد زمانی لاگ می‌شود که برنامه‌ای با استفاده از کلیدهای مذکور استارت می‌شود. در این لاگ، CommandLine کامل و اطلاعات اجرایی ثبت می‌شود؛ یک منبع بی‌نظیر برای شناسایی پایایی‌های ساده و رایج مانند Run Keys که مهاجمان برای باقی‌ماندن پس از ریبوت استفاده می‌کنند.
نمونه‌ی واقعی: مهاجمی که بدافزار خود را به CommandLine Run اضافه کند، حتی با پاکسازی سایر لاگ‌ها، این ایونت را در دیفالت‌ترین حالت خواهد داشت.
EID 9708:
خاتمه اجرای همان پروسه را با PID مربوط لاگ می‌کند. قابلیت “Correlation” با EID 9707 نه‌تنها طول عمر پروسه، بلکه بررسی آثار آن پس از اجرا را هم ممکن می‌کند.
EID 28115:
هر افزوده شدن شورتکات به App Resolver Cache را ارجاع می‌دهد—که معمولاً در نتیجه نصب برنامه‌ی جدید یا تکنیک‌های نصب سایلنت رخ می‌دهد. این event زمانی به‌کار می‌آید که رفتار غیرمنتظره نصب برنامه جدید را بدون دخالت کاربر می‌خواهیم کشف کنیم.
۲. Microsoft-Windows-WinINet-Config/ProxyConfigChanged
این منبع برای تمامی تغییرات در تنظیمات Proxy (سیستم یا مرورگر) دارای EID 5600 است.
اهمیت آن چیست؟
مهاجم برای پنهان‌کاری فعالیت، عبور ترافیک به سرور فرماندهی یا دور زدن فیلترینگ داخلی ممکن است پروکسی را تغییر دهد. چنین رویدادی، که معمولاً در لاگ‌گیری سنتی فایروال یا آنتی‌ویروس منعکس نمی‌شود، می‌تواند نقطه شروع تحلیل تفصیلی باشد.
استفاده عملی:
در پیگیری حمله، مشاهده چندین تغییر ProxyConfig بدون دلیل موجه یا همراه شدن با اجرای سیستم‌های ناشناس، قرینه بارزی از فعالیت C2 یا Exfiltration است.
۳. سایر منابع کارآمد برای SOC و Forensic
Microsoft-Windows-TaskScheduler/Operational
هرنوع اصلاح، حذف، فعال/غیرفعال کردن یا اجرای زمان‌بندی‌شده jobs را ثبت می‌کند. بسیار کاربردی برای کشف Techniques like Scheduled Task Persistence/T1053.
Microsoft-Windows-VHDMP-Operational
تمامی نصب (Mount) یا جداسازی (Unmount) دیسک‌های مجازی (VHD/VHDX) را با جزییات ثبت می‌کند. برخی بدافزارها یا مهاجمان برای مخفی کردن داده یا اجرای ابزار محافظت‌شده از این تکنیک بهره می‌برند.
Microsoft-Windows-AppModel-Runtime/Operational
رویدادهای مرتبط با اجرا، نصب، و به‌روزرسانی پکیج‌های برنامه‌های مدرن ویندوز (UWP/Store apps) را نگهداری می‌کند که در حملات مبتنی بر App Sideloading یا برنامه‌های خاص اهمیت دارد.
#آکادمی_روزبه
مرکز تخصصی CISSP
ادامه دارد ....
❤3🙏2
آکادمی آموزش روزبه 📚
قسمت دوم از پست قبل مثال‌های عملی: کاربرد لاگ‌های خاص در کشف تهدید ۱. Microsoft-Windows-Shell-Core/Operational این کانال، به طور خاص رفتار پروسه‌هایی را جمع‌آوری می‌کند که با پایداری شروع به کار یا اجرا از مسیرهای حساس رجیستری (مانند Run یا RunOnce) دارند.…
قسمت سوم از مقاله فوق
چالش‌ها و فرصت‌ها در تحلیل لاگ‌های فرعی
۱. حجم و پیچیدگی:
برخلاف System/Security که تقریباً همه با فرمت و ساختارشان آشنا هستند، لاگ‌های Operational دارای رویدادهای خاص و بعضاً مستندسازی ناقص‌اند. این مسأله فرآیند Query نویسی و Hunting را دشوار می‌کند و نیاز به دانش پیش‌زمینه یا تمرین عملی دارد.
۲. نبود ابزار تخصصی:
ابزارهایی مانند SIEMها یا EDRهای آماده عموماً Query و Detection پیش‌ساخته برای این منابع ندارند، پس تحلیلگر باید خود الگو و KQL/Splunk Query اختصاصی بنویسد.
۳. ارزش عملیاتی:
وقتی سیستم هدف تحت لاگ‌گیری مینیمال یا کانفیگ پیش‌فرض است، داشتن حتی یک سرنخ در این لاگ‌ها می‌تواند بازی را عوض کند. فضای فکری مهم: “دنبال چی بگردیم”، و “این لاگ خاص، سرنخ کدام رفتار مهاجم است؟”
توصیه‌های عملی برای بهره‌برداری بهتر در SOC/DFIR
۱. مطالعه، مستندسازی و جمع آوری لیست Event IDهای مهم هر لاگ فرعی. این داده را با فعال‌سازی lab یا ساخت سناریوهای Red Team/Blue Team توسعه بدهید.
۲. ایجاد Query و تقاطع زمانی میان این لاگ‌ها با لاگ‌های اصلی. مثلاً تطبیق WinINet Proxy Change با اجرای مشکوک، یا محاسبه gap بین EID 9707 و 9708 برای کشف اجرای بدافزار زمانبر.
۳. تهیه Alert Template سفارشی بر اساس Use Case سازمان؛ مثلاً لاگ Run/RunOnce فقط در سرور خاص اصلاً نباید رخ دهد، پس آن‌را Alert کنید.
۴. مطالعه لاگ‌های ناشناخته، تمرین تحلیل Event Raw و ساخت نمودار Correlation در کلاس، بدیهی است دانشجویان علاوه بر Detection Engineering، ذهنیت Forensic تفکیکی و کاربردی پیدا کنند.
۵. ساخت سناریو برای Incident Response که در آن فقط به این لاگ‌ها دسترسی دارند (Fail-Safe Labs) تا قدرت تحلیل عمیق در شرایط کمبود داده افزایش یابد.
#آکادمی_روزبه
مرکز تخصصی CISSP
چالش‌ها و فرصت‌ها در تحلیل لاگ‌های فرعی
۱. حجم و پیچیدگی:
برخلاف System/Security که تقریباً همه با فرمت و ساختارشان آشنا هستند، لاگ‌های Operational دارای رویدادهای خاص و بعضاً مستندسازی ناقص‌اند. این مسأله فرآیند Query نویسی و Hunting را دشوار می‌کند و نیاز به دانش پیش‌زمینه یا تمرین عملی دارد.
۲. نبود ابزار تخصصی:
ابزارهایی مانند SIEMها یا EDRهای آماده عموماً Query و Detection پیش‌ساخته برای این منابع ندارند، پس تحلیلگر باید خود الگو و KQL/Splunk Query اختصاصی بنویسد.
۳. ارزش عملیاتی:
وقتی سیستم هدف تحت لاگ‌گیری مینیمال یا کانفیگ پیش‌فرض است، داشتن حتی یک سرنخ در این لاگ‌ها می‌تواند بازی را عوض کند. فضای فکری مهم: “دنبال چی بگردیم”، و “این لاگ خاص، سرنخ کدام رفتار مهاجم است؟”
توصیه‌های عملی برای بهره‌برداری بهتر در SOC/DFIR
۱. مطالعه، مستندسازی و جمع آوری لیست Event IDهای مهم هر لاگ فرعی. این داده را با فعال‌سازی lab یا ساخت سناریوهای Red Team/Blue Team توسعه بدهید.
۲. ایجاد Query و تقاطع زمانی میان این لاگ‌ها با لاگ‌های اصلی. مثلاً تطبیق WinINet Proxy Change با اجرای مشکوک، یا محاسبه gap بین EID 9707 و 9708 برای کشف اجرای بدافزار زمانبر.
۳. تهیه Alert Template سفارشی بر اساس Use Case سازمان؛ مثلاً لاگ Run/RunOnce فقط در سرور خاص اصلاً نباید رخ دهد، پس آن‌را Alert کنید.
۴. مطالعه لاگ‌های ناشناخته، تمرین تحلیل Event Raw و ساخت نمودار Correlation در کلاس، بدیهی است دانشجویان علاوه بر Detection Engineering، ذهنیت Forensic تفکیکی و کاربردی پیدا کنند.
۵. ساخت سناریو برای Incident Response که در آن فقط به این لاگ‌ها دسترسی دارند (Fail-Safe Labs) تا قدرت تحلیل عمیق در شرایط کمبود داده افزایش یابد.
#آکادمی_روزبه
مرکز تخصصی CISSP
⚡3❤3
آکادمی آموزش روزبه 📚
قسمت سوم از مقاله فوق چالش‌ها و فرصت‌ها در تحلیل لاگ‌های فرعی ۱. حجم و پیچیدگی: برخلاف System/Security که تقریباً همه با فرمت و ساختارشان آشنا هستند، لاگ‌های Operational دارای رویدادهای خاص و بعضاً مستندسازی ناقص‌اند. این مسأله فرآیند Query نویسی و Hunting…
علاقمندان به SOC و هانت
میتونید برای رزرو دوره به واتس اپ زیر پیام بدین و پس از دوره سریع مشغول به کار شوید
واتس اپ 09902857290
میتونید برای رزرو دوره به واتس اپ زیر پیام بدین و پس از دوره سریع مشغول به کار شوید
واتس اپ 09902857290
❤4
آکادمی آموزش روزبه 📚
Cybersecurity roles and skills for NIS2.pdf
#موقت
فکر می‌کنید استاندارد ها برای گذاشتن در کتابخانه ها هستند ؟
استاندارد ها ؛ چراغ راهِ پیاده سازی آمال و آرزوهای ما در تحقق امنیت است .
نمی‌توان آرزویی داشت ولی طبق استاندارد عمل نکرد .
یکی از بزرگترین ریشه شکست های حفاظتی و نفوذ ، کارهای هر دمبیل !! (Ad hoc) و بدون نگاه به استاندارد است
فکر می‌کنید استاندارد ها برای گذاشتن در کتابخانه ها هستند ؟
استاندارد ها ؛ چراغ راهِ پیاده سازی آمال و آرزوهای ما در تحقق امنیت است .
نمی‌توان آرزویی داشت ولی طبق استاندارد عمل نکرد .
یکی از بزرگترین ریشه شکست های حفاظتی و نفوذ ، کارهای هر دمبیل !! (Ad hoc) و بدون نگاه به استاندارد است
❤3👍3👏2
تحول مدیریت امنیت با Policy/Change as Code
در عصر تحول دیجیتال و رشد سریع معماری‌های ابری و زیرساخت‌های نرم‌افزارمحور (SDN/SD-WAN)، اتکا به روش‌های سنتی مدیریت پالیسی و تغییر (Policy/Change Management) باعث افزایش ریسک خطاهای انسانی و حملات داخلی می‌شود. دو مفهوم کلیدی Policy as Code و Change as Code، مسیر مدیریت امنیت شبکه و اطلاعات را به‌طور بنیادین تغییر داده‌اند.
مساله Policy as Code (PaC) به معنای تعریف سیاست‌های دسترسی، امنیتی و اعتبارسنجی در قالب کد (مانند YAML, JSON یا DSL) است.
برخلاف گذشته که پالیسی‌ها در فایل‌های متنی یا Word ذخیره می‌شدند یا بر روی تجهیزات بصورت دستی تنظیم می‌گشتند، در این رویکرد سیاست‌ها بخشی از چرخه DevOps و GitOps می‌شوند: قابل نسخه‌بندی (version control)، تست خودکار (Automatic Validation) و مجاز بودن (Approval) پیش از اعمال در محیط اجرایی. ابزارهایی مانند Open Policy Agent (OPA)، HashiCorp Sentinel و Terraform بستری انعطاف‌پذیر جهت تعریف، بررسی و پیاده‌سازی این سیاست‌ها فراهم می‌کنند.
بحثChange as Code حتی یک قدم جلوتر است: هر گونه تغییر زیرساختی یا امنیتی – از تعویض یک قانون فایروال تا تغییر دسترسی کاربران – تنها از طریق commit به مخزن کد (Git) و طی مسیر بررسی، تست و approval انجام می‌شود (Pipeline-driven Change). این مدل، شفافیت (Audit)، ردیابی همه تغییرات (Traceability)، کاهش حملات داخلی و ساده‌سازی عملیات Rollback را به همراه دارد.
در مجموع، مهاجرت به PaC و Change as Code نه تنها امنیت را ارتقا می‌بخشد، بلکه توسعه پایدار، دسترس‌پذیر، و قابل مانیتورینگ زیرساخت را نیز تضمین می‌کند ـ یک الزام برای SOCهای مدرن و تیم‌های امنیتی آینده‌نگر
#آکادمی_روزبه
مرکز تخصصی CISSP
همیشه بخوان
در عصر تحول دیجیتال و رشد سریع معماری‌های ابری و زیرساخت‌های نرم‌افزارمحور (SDN/SD-WAN)، اتکا به روش‌های سنتی مدیریت پالیسی و تغییر (Policy/Change Management) باعث افزایش ریسک خطاهای انسانی و حملات داخلی می‌شود. دو مفهوم کلیدی Policy as Code و Change as Code، مسیر مدیریت امنیت شبکه و اطلاعات را به‌طور بنیادین تغییر داده‌اند.
مساله Policy as Code (PaC) به معنای تعریف سیاست‌های دسترسی، امنیتی و اعتبارسنجی در قالب کد (مانند YAML, JSON یا DSL) است.
برخلاف گذشته که پالیسی‌ها در فایل‌های متنی یا Word ذخیره می‌شدند یا بر روی تجهیزات بصورت دستی تنظیم می‌گشتند، در این رویکرد سیاست‌ها بخشی از چرخه DevOps و GitOps می‌شوند: قابل نسخه‌بندی (version control)، تست خودکار (Automatic Validation) و مجاز بودن (Approval) پیش از اعمال در محیط اجرایی. ابزارهایی مانند Open Policy Agent (OPA)، HashiCorp Sentinel و Terraform بستری انعطاف‌پذیر جهت تعریف، بررسی و پیاده‌سازی این سیاست‌ها فراهم می‌کنند.
بحثChange as Code حتی یک قدم جلوتر است: هر گونه تغییر زیرساختی یا امنیتی – از تعویض یک قانون فایروال تا تغییر دسترسی کاربران – تنها از طریق commit به مخزن کد (Git) و طی مسیر بررسی، تست و approval انجام می‌شود (Pipeline-driven Change). این مدل، شفافیت (Audit)، ردیابی همه تغییرات (Traceability)، کاهش حملات داخلی و ساده‌سازی عملیات Rollback را به همراه دارد.
در مجموع، مهاجرت به PaC و Change as Code نه تنها امنیت را ارتقا می‌بخشد، بلکه توسعه پایدار، دسترس‌پذیر، و قابل مانیتورینگ زیرساخت را نیز تضمین می‌کند ـ یک الزام برای SOCهای مدرن و تیم‌های امنیتی آینده‌نگر
#آکادمی_روزبه
مرکز تخصصی CISSP
همیشه بخوان
❤4🙏1
لاگ‌های SASL: سپر دفاعی SOC در برابر حملات Credential-based و BEC
در دنیای امروز که تهدیدات سایبری علیه زیرساخت‌های حیاتی و سرویس‌های ایمیل سازمانی رشد فزاینده‌ای داشته‌اند، اتکا به لاگ‌های authentication، به‌ویژه لاگ‌های SASL (Simple Authentication and Security Layer)، به یک ضرورت امنیتی بدل شده است. حملات مبتنی بر اعتبارنامه (Credential-based) شامل password spraying، credential stuffing و نهایتاً Business Email Compromise (BEC) در سال‌های اخیر موجب سرقت اطلاعات، نفوذ به ایمیل و خسارت‌های مالی چشم‌گیر شده‌اند.
این SASL به عنوان چارچوب احراز هویت استاندارد در پروتکل‌هایی مانند SMTP، IMAP و LDAP این قابلیت را ایجاد می‌کند که تمامی تلاش‌های موفق و ناموفق برای لاگین، همراه با مشخصاتی نظیر مکانیزم احراز هویت (PLAIN, LOGIN, NTLM…)، زمان، نام کاربری و IP در لاگ ثبت شوند. این لاگ‌ها با جمع‌آوری توسط پلتفرم‌هایی چون Splunk، قابلیت تحلیلی بی‌نظیری برای SOC فراهم می‌کنند؛ به‌گونه‌ای که می‌توان به آسانی سناریوهای حمله‌ای مانند:
تکرار تلاش‌های ناموفق بر روی یک حساب،
تلاش برای ورود با مکانیزم‌های ضعیف یا مشکوک،
تغییر ناگهانی الگوی احراز هویت کاربر،
تهاجم از یک IP مشکوک
را به سرعت شناسایی و با آستانه‌بندی (thresholding) مناسب، هشدار لحظه‌ای صادر کرد.
نکته مهم : در تعداد قابل توجهی از حملات موفق password spraying یا BEC روی سرویس‌هایی مانند O365، تحقیقات Incident Response نشان داده که سازمان‌هایی که SASL/SMTP logs نداشتند، اغلب ماه‌ها بعد و در زمانی که کاربر هدف به طور کامل compromise شده بود متوجه حادثه شدند، در حالی که آن دسته که SASL logging فعال داشته‌اند، حمله را در همان روز اول آشکار کرده‌اند.
در نتیجه، فعال‌سازی و مانیتورینگ هوشمند لاگ‌های SASL/SMTP نه‌فقط یک پیشنهاد فنی، که یک الزام حیاتی برای هر SOC مدرن محسوب می‌شود.
پی نوشت :مساله BEC نوعی حمله پیچیده و هدفمند است که مهاجم با نفوذ به حساب ایمیل سازمانی (یا جعل آن)، سعی می‌کند از طریق مهندسی اجتماعی، جعل مکاتبات یا ارسال دستور پرداخت، منابع مالی یا اطلاعات حساسی را سرقت کند.
#آکادمی_روزبه
مرکز تخصصی CISSP
در دنیای امروز که تهدیدات سایبری علیه زیرساخت‌های حیاتی و سرویس‌های ایمیل سازمانی رشد فزاینده‌ای داشته‌اند، اتکا به لاگ‌های authentication، به‌ویژه لاگ‌های SASL (Simple Authentication and Security Layer)، به یک ضرورت امنیتی بدل شده است. حملات مبتنی بر اعتبارنامه (Credential-based) شامل password spraying، credential stuffing و نهایتاً Business Email Compromise (BEC) در سال‌های اخیر موجب سرقت اطلاعات، نفوذ به ایمیل و خسارت‌های مالی چشم‌گیر شده‌اند.
این SASL به عنوان چارچوب احراز هویت استاندارد در پروتکل‌هایی مانند SMTP، IMAP و LDAP این قابلیت را ایجاد می‌کند که تمامی تلاش‌های موفق و ناموفق برای لاگین، همراه با مشخصاتی نظیر مکانیزم احراز هویت (PLAIN, LOGIN, NTLM…)، زمان، نام کاربری و IP در لاگ ثبت شوند. این لاگ‌ها با جمع‌آوری توسط پلتفرم‌هایی چون Splunk، قابلیت تحلیلی بی‌نظیری برای SOC فراهم می‌کنند؛ به‌گونه‌ای که می‌توان به آسانی سناریوهای حمله‌ای مانند:
تکرار تلاش‌های ناموفق بر روی یک حساب،
تلاش برای ورود با مکانیزم‌های ضعیف یا مشکوک،
تغییر ناگهانی الگوی احراز هویت کاربر،
تهاجم از یک IP مشکوک
را به سرعت شناسایی و با آستانه‌بندی (thresholding) مناسب، هشدار لحظه‌ای صادر کرد.
نکته مهم : در تعداد قابل توجهی از حملات موفق password spraying یا BEC روی سرویس‌هایی مانند O365، تحقیقات Incident Response نشان داده که سازمان‌هایی که SASL/SMTP logs نداشتند، اغلب ماه‌ها بعد و در زمانی که کاربر هدف به طور کامل compromise شده بود متوجه حادثه شدند، در حالی که آن دسته که SASL logging فعال داشته‌اند، حمله را در همان روز اول آشکار کرده‌اند.
در نتیجه، فعال‌سازی و مانیتورینگ هوشمند لاگ‌های SASL/SMTP نه‌فقط یک پیشنهاد فنی، که یک الزام حیاتی برای هر SOC مدرن محسوب می‌شود.
پی نوشت :مساله BEC نوعی حمله پیچیده و هدفمند است که مهاجم با نفوذ به حساب ایمیل سازمانی (یا جعل آن)، سعی می‌کند از طریق مهندسی اجتماعی، جعل مکاتبات یا ارسال دستور پرداخت، منابع مالی یا اطلاعات حساسی را سرقت کند.
#آکادمی_روزبه
مرکز تخصصی CISSP
👏3❤2
نقش DMARC در مدیریت بحران و روابط عمومی سازمان
(سند راهبردی برای SOC، IR و PR)
مقدمه
در دنیای امروز، حملات جعل ایمیل (Email Spoofing) و فیشینگ (Phishing) جزو تهدیدات اصلی برای اعتبار برند، اعتماد مشتریان و امنیت اطلاعات سازمانی به شمار می‌روند. در این میان، DMARC یکی از موثرترین ابزارهایی است که سازمان را قادر می‌سازد علاوه بر کاهش ریسک حملات، مدیریت بحران‌های رسانه‌ای و ارتباطی را نیز ارتقاء دهد.
چرا DMARC کلید طلایی مدیریت بحران است؟
۱. پیشگیری بهتر از درمان:
استقرار سیاست سختگیرانه DMARC (مانند quarantine یا reject)، باعث می‌شود مهاجمان نتوانند از دامین رسمی سازمان برای ارسال ایمیل‌های فیشینگ یا باج‌گیری علیه مشتریان یا پرسنل استفاده کنند. این موضوع، حجم بحران‌های ارتباطی ناشی از انتشار اخبار حمله یا نقض داده را به شدت کاهش می‌دهد.
۲. هشدار و شناسایی سریع حمله:
گزارش‌های Aggregated و Forensic DMARC به تیم امنیتی کمک می‌کند در لحظات آغازین وقوع حمله متوجه شوند چه کسی، از کجا و در چه حجمی در تلاش برای سوءاستفاده از دامنه بوده است—حتی قبل از وقوع آسیب جدی.
۳. اطلاع‌رسانی دقیق و هدفمند به ذینفعان:
در صورت وقوع حمله، با اتکا به داده‌های DMARC، می‌توان لیست دقیقی از سازمان‌ها یا کاربران هدف را استخراج و فرایند اطلاع‌رسانی (Notification) را به طور متمرکز، سریع و مطمئن انجام داد. این امر باعث می‌شود PR (روابط عمومی )بتواند روایت بحران را کنترل کند و از انتشار اخبار “غافل‌گیرانه” در رسانه‌ها پیشگیری شود.
۴. شفاف‌سازی و حفظ اعتماد پس از حادثه:
حتی اگر حمله‌ای موفق به جعل هویت شود، سازمان می‌تواند با استناد به سیاست و لاگ‌های DMARC، به صورت مستند به رسانه‌ها، قوانین یا مراجع پاسخ دهد و نشان دهد موضوع را کنترل و پیگیری کرده است. این شفافیت در روابط عمومی “اعتماد” مخاطبان را پس از بحران تقویت می‌کند.
سناریو:
تصور کنید در یک بانک، مهاجمان با جعل دامنه اقدام به ارسال ایمیل فیشینگ برای مشتریان می‌کنند و برخی رسانه‌ها خبر آن را منتشر می‌کنند:
اگر DMARC به صورت reject پیاده‌سازی شده باشد:اکثر ایمیل‌های فیشینگ هرگز به اینباکس مشتریان نمی‌رسد.
تیم امنیت از طریق گزارش‌های روزانه، بلافاصله متوجه موج حملات می‌شود و اطلاعات کلیدی (IP مهاجم، حجم ارسال، هدف‌ها) را برای مدیریت PR آماده می‌کند.
روابط عمومی سازمان می‌تواند بیانیه رسمی منتشر کند و ادله فنی ارائه دهد که عملاً ایمیل تقلبی به دست مشتری نرسیده است یا فقط معدود موارد با خطای پیکربندی گیرنده تحویل شده‌اند.
در صورت مطالبه قانون یا رسانه، مستندات تحلیلی DMARC آماده و شفاف‌سازی بدون تاخیر انجام می‌شود.
#آکادمی_روزبه
مرکز تخصصی CISSP
(سند راهبردی برای SOC، IR و PR)
مقدمه
در دنیای امروز، حملات جعل ایمیل (Email Spoofing) و فیشینگ (Phishing) جزو تهدیدات اصلی برای اعتبار برند، اعتماد مشتریان و امنیت اطلاعات سازمانی به شمار می‌روند. در این میان، DMARC یکی از موثرترین ابزارهایی است که سازمان را قادر می‌سازد علاوه بر کاهش ریسک حملات، مدیریت بحران‌های رسانه‌ای و ارتباطی را نیز ارتقاء دهد.
چرا DMARC کلید طلایی مدیریت بحران است؟
۱. پیشگیری بهتر از درمان:
استقرار سیاست سختگیرانه DMARC (مانند quarantine یا reject)، باعث می‌شود مهاجمان نتوانند از دامین رسمی سازمان برای ارسال ایمیل‌های فیشینگ یا باج‌گیری علیه مشتریان یا پرسنل استفاده کنند. این موضوع، حجم بحران‌های ارتباطی ناشی از انتشار اخبار حمله یا نقض داده را به شدت کاهش می‌دهد.
۲. هشدار و شناسایی سریع حمله:
گزارش‌های Aggregated و Forensic DMARC به تیم امنیتی کمک می‌کند در لحظات آغازین وقوع حمله متوجه شوند چه کسی، از کجا و در چه حجمی در تلاش برای سوءاستفاده از دامنه بوده است—حتی قبل از وقوع آسیب جدی.
۳. اطلاع‌رسانی دقیق و هدفمند به ذینفعان:
در صورت وقوع حمله، با اتکا به داده‌های DMARC، می‌توان لیست دقیقی از سازمان‌ها یا کاربران هدف را استخراج و فرایند اطلاع‌رسانی (Notification) را به طور متمرکز، سریع و مطمئن انجام داد. این امر باعث می‌شود PR (روابط عمومی )بتواند روایت بحران را کنترل کند و از انتشار اخبار “غافل‌گیرانه” در رسانه‌ها پیشگیری شود.
۴. شفاف‌سازی و حفظ اعتماد پس از حادثه:
حتی اگر حمله‌ای موفق به جعل هویت شود، سازمان می‌تواند با استناد به سیاست و لاگ‌های DMARC، به صورت مستند به رسانه‌ها، قوانین یا مراجع پاسخ دهد و نشان دهد موضوع را کنترل و پیگیری کرده است. این شفافیت در روابط عمومی “اعتماد” مخاطبان را پس از بحران تقویت می‌کند.
سناریو:
تصور کنید در یک بانک، مهاجمان با جعل دامنه اقدام به ارسال ایمیل فیشینگ برای مشتریان می‌کنند و برخی رسانه‌ها خبر آن را منتشر می‌کنند:
اگر DMARC به صورت reject پیاده‌سازی شده باشد:اکثر ایمیل‌های فیشینگ هرگز به اینباکس مشتریان نمی‌رسد.
تیم امنیت از طریق گزارش‌های روزانه، بلافاصله متوجه موج حملات می‌شود و اطلاعات کلیدی (IP مهاجم، حجم ارسال، هدف‌ها) را برای مدیریت PR آماده می‌کند.
روابط عمومی سازمان می‌تواند بیانیه رسمی منتشر کند و ادله فنی ارائه دهد که عملاً ایمیل تقلبی به دست مشتری نرسیده است یا فقط معدود موارد با خطای پیکربندی گیرنده تحویل شده‌اند.
در صورت مطالبه قانون یا رسانه، مستندات تحلیلی DMARC آماده و شفاف‌سازی بدون تاخیر انجام می‌شود.
#آکادمی_روزبه
مرکز تخصصی CISSP
👏4💯3