از LOLBins تا اطلس رفتاری ویندوز؛ گام بعدی Detection Engineering چیست؟

روزبه نوروزی

جامعه امنیت سایبری تاکنون تلاش‌های ارزشمندی برای شناخت پردازش‌های بومی ویندوز انجام داده است. پروژه‌هایی مانند LOLBAS (Living Off the Land Binaries and Scripts) نشان داده‌اند که چگونه ابزارهای قانونی ویندوز مانند rundll32.exe، regsvr32.exe، mshta.exe و certutil.exe می‌توانند توسط مهاجمان برای اجرای حملات مورد سوءاستفاده قرار گیرند. همچنین ابزارهایی مانند Process Monitor، ETW و محصولات EDR رفتار پردازش‌ها را تا حدی ثبت و تحلیل می‌کنند.

با این حال، بیشتر این تلاش‌ها بر یک پرسش متمرکز بوده‌اند: مهاجم چگونه از این پردازش سوءاستفاده می‌کند؟ اما شاید زمان آن رسیده باشد که سؤال دیگری مطرح شود: رفتار طبیعی این پردازش دقیقاً چیست؟

تصور کنید برای هر پردازش بومی ویندوز، یک اطلس رفتاری (Behavioral Atlas) وجود داشته باشد که الگوی عادی بارگذاری DLLها، ایجاد Child Process، ارتباطات شبکه، دسترسی به فایل و رجیستری، فراخوانی APIها و تعامل با سایر پردازش‌ها را مستندسازی کند. در این صورت، هرگونه انحراف از این الگوی طبیعی می‌تواند بدون نیاز به IOC یا Signature، به‌عنوان یک سیگنال اولیه برای Threat Hunting شناسایی شود.

به نظر می‌رسد نسل بعدی Detection Engineering باید از تمرکز صرف بر شناخت رفتار بدافزارها به سمت شناخت رفتار طبیعی سیستم‌عامل حرکت کند. شاید آینده امنیت نقطه پایانی نه در فهرست کردن LOLBinهای جدید، بلکه در ساخت یک اطلس جامع از رفتار پردازش‌های ویندوز باشد؛ اطلسی که بتواند کوچک‌ترین انحراف را نیز به‌عنوان نشانه‌ای از یک حمله پیشرفته آشکار کند.

مدارک "فوق تخصصی" حوزه امنیت
ISSMP
ISSEP
ISSAP

برای توضیح به دانشجویانم :

اگر CISSP را به‌عنوان یک مدرک جامع امنیت اطلاعات در نظر بگیریم، سه گرایش تخصصی (Concentrations) آن هر کدام روی یک نقش متفاوت تمرکز دارند.

🟤ISSMP (Information Systems Security Management Professional)

این دوره بر مدیریت و راهبری امنیت تمرکز دارد. سؤال اصلی این مدرک این است: «چگونه یک برنامه امنیتی را در سطح سازمان هدایت و مدیریت کنیم؟» موضوعاتی مانند حاکمیت امنیت، مدیریت ریسک، مدیریت تیم‌ها، بودجه، انطباق، مدیریت بحران، تداوم کسب‌وکار (BCP)، بازیابی پس از بحران (DR) و همسوسازی امنیت با اهداف کسب‌وکار در این مدرک بررسی می‌شوند. مخاطبان آن CISOها، مدیران امنیت، CTOها و مشاوران راهبردی هستند.


🟣ISSEP (Information Systems Security Engineering Professional)
این دوره بر مهندسی امنیت متمرکز است. سؤال اصلی آن این است: «چگونه امنیت را در طول چرخه عمر توسعه و مهندسی سیستم پیاده‌سازی کنیم؟» این مدرک بر مهندسی سیستم‌های امن، تحلیل نیازمندی‌های امنیتی، طراحی، پیاده‌سازی، آزمون و اعتبارسنجی امنیت با تکیه بر چارچوب‌های مهندسی مانند NIST تأکید دارد. مخاطبان آن مهندسان امنیت، مهندسان سیستم و تیم‌های توسعه سامانه‌های حساس هستند.

🔵ISSAP (Information Systems Security Architecture Professional)
این دوره بر معماری امنیت تمرکز دارد. سؤال اصلی این مدرک این است: «چگونه یک سامانه یا سازمان را از ابتدا به‌صورت امن طراحی کنیم؟» مباحثی مانند معماری شبکه، Zero Trust، مدیریت هویت، کنترل دسترسی، امنیت ابر، تقسیم‌بندی شبکه و طراحی دفاع در عمق در این حوزه قرار می‌گیرند. مخاطبان اصلی آن Security Architect و Solution Architect هستند.



به‌صورت ساده می‌توان تفاوت این سه مدرک را چنین بیان کرد:

✅️ ISSMP: «چطور مدیریت و راهبری کنیم؟»
✅️ ISSEP: «چطور بسازیم و مهندسی کنیم؟»
✅️ ISSAP: «چطور طراحی کنیم؟»


اگر این سه مدرک را با ساخت یک ساختمان مقایسه کنیم، ISSAP معمار ساختمان است، ISSEP مهندس اجرا و ساخت است و ISSMP مدیر پروژه و بهره‌برداری است؛ هر سه برای موفقیت پروژه ضروری‌اند، اما هر کدام مسئولیت متفاوتی دارند.

🔴تمام این دوره ها پس از دوره CISSP امکان پذیر است .
دوره CISSP ثبت نام در بله 09902857290

مبحث Agentهای تجربه‌محور؛ نسل بعدی هوش مصنوعی در امنیت سایبری

یکی از محدودیت‌های مهم Agentهای هوش مصنوعی امروزی این است که هر وظیفه را تقریباً از نقطه صفر آغاز می‌کنند. آن‌ها ممکن است قدرت استدلال بالایی داشته باشند، اما معمولاً تجربه‌های گذشته را به دانشی پایدار و قابل استفاده در مسائل آینده تبدیل نمی‌کنند. مفهوم Experience-Driven AI یا عامل‌های تجربه‌محور دقیقاً برای رفع این ضعف شکل گرفته است.

در این رویکرد، Agent تنها پاسخ یک مسئله را ذخیره نمی‌کند؛ بلکه از هر مأموریت، اصول، الگوهای تصمیم‌گیری، رویه‌های مؤثر و قیاس‌های قابل استفاده مجدد استخراج می‌کند. به این ترتیب، هنگام مواجهه با حملات یا آسیب‌پذیری‌های مشابه، به جای شروع دوباره، از تجربیات قبلی بهره می‌گیرد.

در امنیت سایبری، جایی که تکنیک‌های مهاجمان بارها با تغییرات جزئی تکرار می‌شوند، چنین قابلیتی می‌تواند تحول‌آفرین باشد. یک Agent تجربه‌محور می‌تواند تحلیل آسیب‌پذیری، Threat Hunting، Incident Response و حتی اولویت‌بندی هشدارهای SOC را سریع‌تر و دقیق‌تر انجام دهد، زیرا از رخدادهای گذشته آموخته است.

به نظر می‌رسد رقابت آینده دیگر بر سر بزرگ‌تر بودن مدل نخواهد بود، بلکه بر سر توانایی Agent در یادگیری، حفظ و استفاده مجدد از تجربه‌های عملی خواهد بود؛ قابلیتی که می‌تواند نسل جدیدی از سامانه‌های امنیتی هوشمند و خودبهبوددهنده را شکل دهد.


https://www.cybergym.io/cybergym/

هر سه سال یکبار باید مدرک CISSP تمدید شود.

استاد روزبه این موضوع را از سال ۲۰۱۲ که مدرک را اخذ کرده هر سه سال با به روزرسانی دانش خود ، به انجام رسانده است .
لذا مدرک ایشان هنوز معتبر پس آموزش ارائه شده توسط ایشان مطابق جدید ترین سرفصل های روز جهان ارائه میشود که صد البته همراه با سالها تجربه عملیاتی ایشان در پروژه ها میباشد.

ثبت نام از طریق بله 09902857290

شرکت هامون و آکادمی روزبه

#درسی_از_دیگران

چرا ایران به چارچوبی مشابه DoD 8140 نیاز دارد؟

یکی از چالش‌های اساسی امنیت سایبری در ایران، نبود یک چارچوب ملی استاندارد برای تعریف نقش‌ها، مهارت‌ها و صلاحیت‌های نیروی انسانی است. در بسیاری از سازمان‌ها، عناوینی مانند SOC Analyst، Threat Hunter، Incident Responder یا Security Architect بدون شرح وظایف، مهارت‌های موردنیاز و معیارهای ارزیابی یکسان به‌کار می‌روند. نتیجه آن، تفاوت چشمگیر در کیفیت نیروها، آموزش‌های پراکنده و دشواری در جذب، ارزیابی و توسعه متخصصان است.

الگویی مشابه DoD 8140 می‌تواند این مشکل را برطرف کند. در چنین مدلی، برای هر نقش امنیتی، وظایف، دانش، مهارت‌ها، تجربه و مسیر آموزشی مشخص می‌شود و استخدام یا ارتقای افراد بر اساس شایستگی واقعی انجام می‌گیرد، نه صرفاً داشتن یک مدرک یا گواهینامه. این رویکرد همچنین به دانشگاه‌ها، مراکز آموزشی، شرکت‌های MSSP، نهادهای حاکمیتی و سازمان‌های بزرگ کمک می‌کند تا زبان مشترکی برای توسعه سرمایه انسانی امنیت سایبری داشته باشند.

برای کشوری که با کمبود نیروی متخصص و تهدیدات پیشرفته سایبری مواجه است، نهادینه‌سازی چنین چارچوبی می‌تواند گامی مهم در افزایش آمادگی ملی، ارتقای کیفیت خدمات امنیتی و شکل‌گیری یک نظام حرفه‌ای و قابل‌ارزیابی برای نیروی کار امنیت سایبری باشد.

#آکادمی_روزبه

تقدیم به شما
https://github.com/meirwah/awesome-incident-response

چرا هنوز بسیاری از سازمان‌ها MSSP را فقط SOC as a Service می‌بینند؟

یکی از رایج‌ترین برداشت‌های نادرست در صنعت امنیت سایبری، همسان دانستن MSSP با SOC as a Service است. این نگاه از زمانی شکل گرفت که خدمات امنیتی عمدتاً به مانیتورینگ لاگ، تولید هشدار و پاسخ اولیه به رخداد محدود بود. در حالی که SOC تنها یکی از اجزای یک MSSP بالغ است.

امروزه ارزش واقعی یک MSSP در ارائه چرخه کامل امنیت نهفته است؛ از مشاوره و طراحی معماری امنیت، مدیریت آسیب‌پذیری و مقاوم‌سازی زیرساخت‌ها گرفته تا پیاده‌سازی و مدیریت EDR/XDR، امنیت ابری، Threat Hunting، Detection Engineering، پاسخ به رخداد، دیجیتال فارنزیک و ارتقای آمادگی سایبری سازمان.

اگر تنها معیار ارزیابی، تعداد Alertهای بررسی‌شده باشد، نقش راهبردی MSSP نادیده گرفته می‌شود. مأموریت اصلی یک MSSP کاهش ریسک کسب‌وکار، افزایش تاب‌آوری سایبری و حفظ تداوم خدمات است. سازمان‌ها امروز بیش از آنکه به یک مرکز مانیتورینگ نیاز داشته باشند، به یک شریک امنیتی نیاز دارند که بتواند امنیت را به مزیت رقابتی و اعتماد دیجیتال تبدیل کند.

#MSSP #SOC #DetectionEngineering #ThreatHunting #هامون

از سلسله مقالات من درباره فضای سایبری بانکی ایران

بخش اول: ریسک ژئوپلیتیک؛ حلقه مفقوده امنیت سایبری بانک‌ها

روزبه نوروزی

در نظام بانکی ایران، ریسک سایبری نباید صرفاً به‌عنوان یک مسئله فنی یا IT دیده شود. بانک‌ها در کشوری با تنش‌های ژئوپلیتیکی بالا، بخشی از زیرساخت حیاتی، اعتماد عمومی و ثبات اقتصادی هستند. بنابراین حمله سایبری علیه بانک، فقط حمله به سرور یا نرم‌افزار نیست؛ حمله به اعتماد اجتماعی و کارکرد اقتصادی کشور است.

اشکال راهبردی اینجاست که ریسک ژئوپلیتیک در بسیاری از تحلیل‌های امنیتی بانک‌ها به‌عنوان یک ورودی رسمی دیده نشده است. پرسش اصلی نباید فقط این باشد که آیا Patch نصب شده یا فایروال فعال است؛ بلکه باید پرسید اگر یک عملیات سایبری هماهنگ علیه چند بانک، شرکت پرداخت یا تأمین‌کننده مشترک انجام شود، آیا خدمات حیاتی ادامه پیدا می‌کند؟

در این نگاه، زنجیره تأمین، شرکت‌های پیمانکار، Core Banking، دیتاسنترها، سوئیچ‌های پرداخت، پیام‌رسانی بین‌بانکی و حتی ارتباطات رسانه‌ای پس از حادثه، همگی بخشی از سطح حمله محسوب می‌شوند. ریسک اصلی فقط نفوذ نیست؛ بلکه اختلال هم‌زمان، فرسایش اعتماد عمومی، تأخیر در بازیابی و سرایت بحران به کل شبکه مالی است.

بنابراین بانک‌ها باید با مدل "فرض بر نفوذ" اداره شوند. رزمایش‌های منظم، سناریوهای جنگ سایبری، پشتیبان‌های ایزوله، پاسخ رسانه‌ای هماهنگ، ارزیابی مستقل امنیتی و مدیریت ریسک تأمین‌کنندگان باید بخشی از حکمرانی بانکی باشد.

امنیت بانکی در چنین محیطی یعنی تاب‌آوری ملی؛ یعنی توان ادامه خدمت، بازیابی سریع و حفظ اعتماد مردم حتی در شرایط بحران.

سرعت مهاجمان از سرعت سازمان‌ها بیشتر است

نمودار حملات Log4Shell (Log4j) نشان می‌دهد که تنها چند ساعت پس از افشای یک آسیب‌پذیری، موج گسترده‌ای از سوءاستفاده آغاز می‌شود؛ از حدود ۴۰ هزار حمله در ۱۲ ساعت نخست تا بیش از ۸۳۰ هزار حمله در کمتر از سه روز. این واقعیت نشان می‌دهد که مهاجمان منتظر انتشار Patch یا تصمیم‌گیری سازمان‌ها نمی‌مانند.

در چنین شرایطی، نقش یک MSSP بسیار فراتر از مانیتورینگ SOC است. یک MSSP بالغ باید بلافاصله دارایی‌های آسیب‌پذیر را شناسایی کند، Ruleهای تشخیص را در SIEM، EDR و NDR به‌روزرسانی نماید، از Threat Intelligence برای پایش تهدیدها استفاده کند، Threat Hunting فعال انجام دهد، Patchها را بر اساس ریسک اولویت‌بندی کند و به‌صورت 24×7 رخدادها را پایش و مدیریت کند.

در این رویکرد، شرکت هامون تنها ارائه‌دهنده SOC نیست، بلکه شریک امنیتی سازمان است که فاصله بین افشای آسیب‌پذیری و اجرای اقدامات دفاعی را به حداقل می‌رساند. ارزش واقعی یک MSSP در تبدیل سریع اطلاعات تهدید به اقدامات عملی و کاهش ریسک پیش از موفقیت مهاجم است.

#MSSP #هامون

بنا به درخواست سازمان‌ها و علاقمندان

این بار با یک دوره جدید از دوره های روز جهان

واتس اپ و بله 09902858290

دوره Detection Engineering

سرفصل :

1. مبانی Threat Detection Engineering

2. رفتارشناسی مهاجمان و MITRE ATT&CK

3. بحثTelemetry و منابع داده امنیتی

4. طراحی Detectionهای رفتاری (Behavior-Based Detection)


5.مقوله Detection as Code و مدیریت Ruleها

6. بحث Correlation، Enrichment و Risk-Based Detection

7. اعتبارسنجی Detectionها (Detection Validation)

8. انجام Threat Hunting و توسعه Detection

9. بهینه‌سازی Detection و کاهش False Positive

10. معماری، بلوغ و راهبری Detection Engineering در SOC

**پکیج دوره شامل تعدادی آزمایشگاه عملی است که شما را برای ایفای نقش بعنوان مهندس تشخیص آماده می‌کند.


این دوره برای تحلیلگران SOC سطح متوسط تا پیشرفته و افرادی که قصد ورود به نقش Detection Engineer را دارند، مناسب است.

✅️چرا این رشته اهمیت پیدا کرده است؟
در SOCهای سنتی، تمرکز بر پاسخ به Alert بود؛ اما در SOCهای مدرن، سؤال اصلی این است:
چه کسی Alertها را طراحی می‌کند؟
این مسئولیت بر عهده Detection Engineer است. او تعیین می‌کند چه داده‌ای جمع‌آوری شود، چه رفتارهایی شناسایی شوند، چگونه False Positive کاهش یابد و چگونه پوشش تشخیص (Detection Coverage) در برابر تکنیک‌های MITRE ATT&CK سنجیده شود.

ثبت نام شخصی و سازمانی از طریق بله و واتس اپ 09902857290 شرکت هامون و آکادمی روزبه

آشنایی با مهندس کشف؛ از Rule نویسی تا معماری قابلیت تشخیص

شغلی با تقاضای جهانی

نقش Detection Engineer در دنیا بسیار پرتقاضا شده، اما هنوز نسبت به نقش‌هایی مثل SOC Analyst یا Penetration Tester کمتر شناخته‌شده است. دلیل رشد آن روشن است: سازمان‌ها فهمیده‌اند داشتن SIEM، EDR یا XDR به‌تنهایی کافی نیست؛ باید کسی باشد که داده‌ها، تهدیدها، رفتار مهاجم و منطق کشف را به هم وصل کند.

این نقش به‌صورت جدی از حدود دهه ۲۰۱۰ و با رشد SIEM، MITRE ATT&CK، Threat Hunting و Detection-as-Code شکل گرفت، اما از حدود ۲۰۲۰ به بعد به یک عنوان شغلی مستقل تبدیل شد. امروز شرکت‌هایی مثل Splunk، Elastic و بسیاری از SOCهای پیشرفته، Detection Engineering را یک قابلیت کلیدی در عملیات امنیت می‌دانند. Splunk آن را فرایند طراحی، ساخت و تنظیم منطق کشف تهدید تعریف می‌کند و SANS نیز در سال‌های اخیر گزارش‌های اختصاصی درباره بلوغ این حوزه منتشر کرده است.

تقاضای جهانی این نقش بالاست، چون حملات مدرن دیگر با Alertهای آماده کشف نمی‌شوند. بازار به افرادی نیاز دارد که بتوانند Telemetry مناسب طراحی کنند، شکاف‌های Visibility را پیدا کنند، Ruleهای دقیق بسازند، False Positive را کاهش دهند و کشف را به رفتار واقعی مهاجم متصل کنند. حتی آگهی‌های شغلی جدید Detection Engineer را مسئول ساخت Detection Pipeline، بهبود کیفیت داده و تولید کشف‌های قابل اعتماد می‌دانند.

به بیان ساده، مهندس کشف از دل SOC، Threat Hunting و SIEM Engineering متولد شد؛ اما امروز خودش یک تخصص مستقل است. آینده SOC متعلق به کسانی است که فقط Alert نمی‌بینند، بلکه قابلیت دیدن تهدید را طراحی می‌کنند.

✅مهندسی کشف را برای اولین بار در ایران در آکادمی روزبه بیاموزید

اطلاعیه دوره مهندسی کشف که منتشر شد، دوستان زیادی در مورد این درس و رشته اظهار بی اطلاعی میکردند .

با توجه به جدید بودن رشته و نیاز ایران ، تصمیم گرفتم با ذکر مثال این گرایش رو توضیح بدم و تفاوت نقش اون رو هم با لایه های نقش ها ( لایه ۱ تا ۳) در SOC شرح بدم

امیدوارم در این زمانه ی اسکرول!! آنقدر فرصت داشته باشید که مقاله که بسیار جامع نوشته شده رو به دقت در لینک زیر بخونید
https://vrgl.ir/fJfJG

**پی نوشت: منظور از مهندسی کشف یا مهندسی تشخیص ، Threat Detection Engineering است

بدلیل شرایط در این هفته ، کلاس CISSP از پنج شنبه آینده شروع میشود

اگر تعداد پستهایم در این تعطیلات کم است ،درگیر به روزرسانی متریال های دوره جدید CISSP هستم .
انشالله پنج شنبه آینده با یک دوره و کلاس به روز شروع خواهیم کرد .

CISSP with updated content for Iranian aroud the world .

#فقط_با_علم رشد خواهیم کرد

چرا CISSP فقط یک دوره مدیریتی نیست؟

بسیاری از متخصصان فنی تصور می‌کنند CISSP دوره‌ای برای مدیران است و ارتباط چندانی با کارهای عملیاتی ندارد. اما تجربه ۱۶ سال تدریس این دوره و برگزاری ۸۰ دوره آموزشی، چیز دیگری را به من نشان داده است.

بزرگ‌ترین دستاورد CISSP افزایش حجم دانش نیست؛ بلکه تغییر شیوه تفکر است.
یک مهندس امنیت معمولاً روی ابزار، فناوری و حل یک مسئله فنی تمرکز می‌کند؛ اما CISSP به او می‌آموزد که هر فناوری را در بستر معماری کلان سازمان ببیند. بعد از این دوره، Firewall، EDR، SIEM، IAM یا Cloud دیگر ابزارهای جداگانه نیستند، بلکه اجزای یک سامانه یکپارچه برای مدیریت ریسک هستند.

دوره CISSP به شما یاد می‌دهد به‌جای اینکه فقط بپرسید چگونه این حمله را متوقف کنم؟، این سؤال را مطرح کنید که چرا معماری، فرآیند یا تصمیم‌های سازمانی اجازه وقوع این حمله را داده‌اند؟ این تغییر نگاه، همان چیزی است که یک کارشناس فنی را به یک معمار، مشاور یا رهبر امنیت تبدیل می‌کند.

✅به همین دلیل، اگر قصد دارید سال‌ها در امنیت سایبری رشد کنید، مهم‌ترین سرمایه‌ای که از CISSP به دست می‌آورید یک مدرک نیست؛ یک مدل ذهنی جدید برای تحلیل، تصمیم‌گیری و طراحی امنیت در مقیاس سازمانی است.

آنتی تمپرینگ Anti-Tamper در ویندوز و EDR
دانشی از CISSP به روز به همراه #تجربه عملیاتی در سازمان حیاتی

روزبه نوروزی


مطالب ترم جدید CISSP رو آماده میکردم گفتم بخشی رو اینجا به روز بگذارم

نگاهی به آنتی تمپرینگ یعنی محافظت ویندوز از برنامه های درحال اجرا چیزی چون EDR. این قابلیت نتیجه همکاری سیستم‌عامل و محصول EDR است.

ویندوز چند قابلیت مهم در اختیار EDRها قرار می‌دهد:

مقوله Protected Process Light (PPL): اجازه می‌دهد برخی سرویس‌های امنیتی با سطح حفاظت بالاتری اجرا شوند تا فرآیندهای عادی نتوانند آن‌ها را متوقف یا دستکاری کنند.

بحث Kernel Patch Protection (PatchGuard): از دستکاری غیرمجاز هسته ویندوز جلوگیری می‌کند و مانع بسیاری از حملات کرنلی علیه EDR می‌شود.

قابلیت Virtualization-Based Security (VBS) و Hypervisor-Protected Code Integrity (HVCI): از یکپارچگی کد و حافظه محافظت کرده و اجرای کدهای غیرمجاز در سطح کرنل را سخت‌تر می‌کنند.

مقوله Code Integrity (CI) و Driver Signature Enforcement: فقط درایورهای معتبر و امضاشده را بارگذاری می‌کنند و مانع نصب بسیاری از درایورهای مخرب می‌شوند.

توانایی Windows Defender Tamper Protection: برای محافظت از خودِ Microsoft Defender طراحی شده و نمونه‌ای از استفاده مایکروسافت از همین زیرساخت‌هاست.


با این حال، این امکانات به‌تنهایی کافی نیستند. هر EDR باید مکانیزم Anti-Tamper اختصاصی خود را نیز پیاده‌سازی کند؛ مانند محافظت از سرویس‌ها، جلوگیری از حذف درایورها، حفاظت از فایل‌ها و کلیدهای رجیستری، اعتبارسنجی یکپارچگی (Integrity Check)، Self-Defense و بازیابی خودکار مؤلفه‌های غیرفعال‌شده.

از دیدگاه معماری، می‌توان گفت ویندوز نقش "زیرساخت امنیتی" را دارد و EDR نقش "استفاده‌کننده از این زیرساخت" را. هرچه EDR بهتر از قابلیت‌هایی مانند PPL، VBS و Code Integrity استفاده کند، مقاومت آن در برابر Process Tampering و تلاش برای غیرفعال‌سازی بیشتر خواهد بود.

#تجربه
در یکی از مشتریان شرکت #هامون که خدمت MSSP ارائه میدهیم بحث دور زدن EDR رو هم جزو خدمات ارائه کردیم . نتیجه دور خوردن EDR بود
در فاز اول تنظیمات ویندوز که در فوق اشاره کردم را اعمال کردیم تیم قرمز با همان تکنیک اولیه موفق به کشتن Agent محصول EDR نشد در مرحله بعد با تغییر تکنیک؛ تیم قرمز توانست دوباره EDR را دور بزند این بار در مکاتبه با وندور EDR توانستیم راهکار مقاوم سازی EDR را پیاده و محیط را امن کنیم.


✅️علم و کتاب CISSP و 🔆تجربیاتی از این دست ، همه در کلاس پنج شنبه ۲۵ تیرماه

واتس اپ و بله 09902857290

#MSSP #هامون #EDR #CISSP
#آکادمی_روزبه

دوره CISSP برای چه کسانی مناسب است؟

✅️متخصصان امنیت سایبری با چند سال سابقه که می‌خواهند از نقش صرفاً فنی به سمت معماری، مدیریت یا مشاوره حرکت کنند.

✅️مهندسان SOC، Blue Team، Red Team و Threat Hunter که می‌خواهند تصویر کلان امنیت سازمان را درک کنند.

✅️مدیران امنیت اطلاعات، CISOها و سرپرستان تیم‌های امنیتی که مسئول تصمیم‌گیری و راهبری امنیت هستند.

✅️معماران امنیت (Security Architect) و مشاوران امنیت که باید راهکارهای امنیتی را طراحی و ارزیابی کنند.

✅️متخصصانی که قصد فعالیت در سازمان‌های بزرگ، زیرساخت‌های حیاتی یا شرکت‌های بین‌المللی را دارند.

✅️افرادی که علاوه بر یادگیری، به دنبال کسب یکی از معتبرترین مدارک حرفه‌ای امنیت اطلاعات در جهان هستند.


دوره CISSP برای چه کسانی مناسب نیست؟

🔴افرادی که به‌تازگی وارد حوزه امنیت سایبری شده‌اند و هنوز تجربه عملی کافی ندارند.

🔴کسانی که فقط به دنبال آموزش ابزارهای هک، اکسپلویت یا کار عملی با ابزارهای Offensive Security هستند.

🔴افرادی که انتظار دارند دوره صرفاً آموزش فنی، دستورات لینوکس یا کار با محصولات امنیتی باشد.

🔴کسانی که علاقه‌ای به مباحث مدیریت ریسک، معماری امنیت، حاکمیت و فرآیندهای سازمانی ندارند.

🔴افرادی که صرفاً برای گرفتن یک مدرک بدون مطالعه عمیق و تغییر نگرش وارد دوره می‌شوند.

🔴کسانی که مسیر شغلی خود را فقط در اجرای عملیات فنی روزانه می‌بینند و قصد توسعه به نقش‌های ارشد، معماری یا مدیریتی را ندارند.


🟢در یک جمله می‌توان گفت:

دوره CISSP برای کسانی است که می‌خواهند «تفکر امنیتی» را یاد بگیرند، نه فقط «ابزارهای امنیتی» را.

پاشنه آشیل راه‌اندازی یک MSSP؛ فناوری مهم است، اما فرآیند مهم‌تر است

راه‌اندازی یک Managed Security Service Provider (MSSP) تنها به خرید SIEM، EDR یا استخدام تحلیلگران SOC محدود نمی‌شود. تجربه بسیاری از ارائه‌دهندگان خدمات امنیتی نشان می‌دهد که شکست یک MSSP معمولاً نه به دلیل ضعف فناوری، بلکه به دلیل ضعف در فرآیندها، مدل عملیاتی و مدیریت خدمات رخ می‌دهد.

یکی از مهم‌ترین چالش‌ها، نبود استانداردسازی خدمات است. اگر برای هر مشتری فرآیندها، قوانین همبستگی (Correlation Rules)، داشبوردها و گزارش‌ها از ابتدا طراحی شوند، هزینه ارائه خدمات به‌شدت افزایش یافته و مقیاس‌پذیری از بین می‌رود. چالش دیگر، تعریف نادرست SLA است. وعده زمان پاسخ غیرواقعی یا پوشش ۲۴×۷ بدون ظرفیت کافی، به‌سرعت باعث نارضایتی مشتریان خواهد شد.

از سوی دیگر، کیفیت خدمات MSSP مستقیماً به کیفیت داده‌های ورودی وابسته است. جمع‌آوری ناقص لاگ‌ها، نبود Visibility کافی و عدم یکپارچگی منابع اطلاعاتی، باعث می‌شود حتی بهترین تحلیلگران نیز نتوانند تهدیدها را به‌درستی شناسایی کنند.

در نهایت، موفقیت یک MSSP وابسته به سه عامل کلیدی است: افراد (People)، فرآیندها (Process) و فناوری (Technology). بسیاری از سازمان‌ها سرمایه‌گذاری خود را بر فناوری متمرکز می‌کنند، در حالی که مزیت رقابتی واقعی از طراحی فرآیندهای استاندارد، اتوماسیون عملیات امنیت و ایجاد یک مدل خدمات مقیاس‌پذیر به دست می‌آید. یک MSSP موفق، پیش از آنکه یک شرکت فناوری باشد، یک سازمان خدمات‌محور با فرآیندهای بالغ و قابل تکرار است.

Www.Haumoun.com
#MSSP #هامون