A practical guide to enhancing digital defense.pdf
654.4 KB
نکات مهم در راه اندازی و نگهداری SOC
درمستند ۱۸ صفحه ای فوق ، ۱۱ نکته استراتژیک در مرکز عملیات امنیت را ببینید
#آکادمی_روزبه
#soc
درمستند ۱۸ صفحه ای فوق ، ۱۱ نکته استراتژیک در مرکز عملیات امنیت را ببینید
#آکادمی_روزبه
#soc
✅همانطور که میدانید برای استفاده از LAPS در کارهای مدیریت شبکه توصیه ای اکید شده است.
💠شماره رویداد هایی که برای LAPS تولید می‌شوند را بیاموزید تا مرکز عملیات امنیت شما به روز باشد
#laps #soc
#آکادمی_روزبه
https://www.kaidojarvemets.com/windows-laps-eventids-and-xpath-queries/amp/
💠شماره رویداد هایی که برای LAPS تولید می‌شوند را بیاموزید تا مرکز عملیات امنیت شما به روز باشد
#laps #soc
#آکادمی_روزبه
https://www.kaidojarvemets.com/windows-laps-eventids-and-xpath-queries/amp/
دعوت به همکاری
با منتورشیپ و آموزش تحت نظارت اینجانب
در راستای ارائه خدمات دفاع سایبری ،کشف نفوذ و شکار تهدیدات در پروژه های بزرگ SOC کشوری؛ از بین علاقمندان به کار در سطوح مختلف مرکز عملیات امنیت دعوت به همکاری میگردد.
جذب شامل متخصصان سطوح SOC و عزیزان کارآموز میباشد.
انتخاب کارآموزان:
کارآموزان از بین دانشجویان ترم آخر دوره لیسانس و فوق لیسانس یا علاقمندانی که تجربه لازم در SOC را ندارند انتخاب می‌شوند. مدت کارآموزی سه ماه تحت نظارت اینجانب میباشد که درصورت قبولی در آزمون پایان دوره ؛ استخدام ایشان در پروژه های ملی SOC صورت میپذیرد.
نیازمندیها برای جذب در سطح۱ :
آشنایی با CCNA و MCSA
مسلط به Security پلاس یا SSCP به همراه سنز ۵۰۴ یا CEH
آشنایی با لاگ خوانی؛ یک SIEM ؛ دقت در انجام امور و توانایی مستند نویسی مزیت محسوب میگردد.
◀️درخواست همکاری تنها از طریق ایمیل زیر و با دریافت رزومه کامل؛ انجام میشود و از تماس از طریق سایر مبادی خودداری فرمایید.
detect@chmail.ir
🔆 لطفا با نشر این اطلاعیه در راستای ایجاد فرصت بیشتر استخدام برای هموطنان همیاری فرمایید
#استخدام #آموزش #مرکز_عملیات_امنیت
#soc #securityoperationscenter #threathunting
با منتورشیپ و آموزش تحت نظارت اینجانب
در راستای ارائه خدمات دفاع سایبری ،کشف نفوذ و شکار تهدیدات در پروژه های بزرگ SOC کشوری؛ از بین علاقمندان به کار در سطوح مختلف مرکز عملیات امنیت دعوت به همکاری میگردد.
جذب شامل متخصصان سطوح SOC و عزیزان کارآموز میباشد.
انتخاب کارآموزان:
کارآموزان از بین دانشجویان ترم آخر دوره لیسانس و فوق لیسانس یا علاقمندانی که تجربه لازم در SOC را ندارند انتخاب می‌شوند. مدت کارآموزی سه ماه تحت نظارت اینجانب میباشد که درصورت قبولی در آزمون پایان دوره ؛ استخدام ایشان در پروژه های ملی SOC صورت میپذیرد.
نیازمندیها برای جذب در سطح۱ :
آشنایی با CCNA و MCSA
مسلط به Security پلاس یا SSCP به همراه سنز ۵۰۴ یا CEH
آشنایی با لاگ خوانی؛ یک SIEM ؛ دقت در انجام امور و توانایی مستند نویسی مزیت محسوب میگردد.
◀️درخواست همکاری تنها از طریق ایمیل زیر و با دریافت رزومه کامل؛ انجام میشود و از تماس از طریق سایر مبادی خودداری فرمایید.
detect@chmail.ir
🔆 لطفا با نشر این اطلاعیه در راستای ایجاد فرصت بیشتر استخدام برای هموطنان همیاری فرمایید
#استخدام #آموزش #مرکز_عملیات_امنیت
#soc #securityoperationscenter #threathunting
از سری #مقالات مدیریتی/ معماری
🟩 استفاده از شاخص ریسک و LLM برای توسعه و استقرار امنیت؛
تجربه ی زیسته
محصولات XDR و SIEMدر کلاس جهانی؛ در محیط LLM ای که ارائه میدهند، بصورت عملی و کاستوم و اختصاصی سازمان شما به سوالات شما پاسخ میدهند:
چطور ایندکس ریسکی که برایم محاسبه کردی را تفسیر کنم ؟
چطور میزان ریسک ارائه شده از سوی تو را کاهش دهم ؟
اصلا چطور ریسک را محاسبه کردی ؟ دقیقا کدام عناصر در محاسبه ریسک دخیل بوده اند؟
دو دستور پاورشلی که دیروز کشف کردی چقدر در شاخص ریسک اثر داشتند؟
ایندکس ریسک سازمان من؛ پس از وصله کردن آسیب پذیری که گفتی بهتر نشد چرا ؟
از دیروز تا امروز چه تغییری در سازمانم رخ داده که شاخص ریسک تغییر کرده است ؟
یک حمله چند مرحله ای را برایم کیس کردی ؛ دو قسمت از آنرا درک نمیکنم چرا با اینکه من محافظ داشتم رخ داده ؟ توضیح بده .
امکان دارد این حادثه به نفوذ های بیشتری منجر شده باشد ؟ در کدام زیر بخش‌ها از شبکه ام دنبال اون نفوذ بگردم ؟
بله دوستان...
زمین بازی در SIEM ها در XDR ها و کلا محصولات امنیتی درحال تغییر است .
حالا ما چه میکنیم ؟
همانطور که تا مدتها با خود تحریمی از داشتن کیسه هوا در اتومبیل ها محروم بودیم ، الان هم خود را از ابزارهای روز جهان محروم میکنیم.
#افتا #ابلاغیه #ممنوعیت #محصولات_خارجی
✅️ پی نوشتی حاصل سالها تجربه :
نمایش ایندکس ریسک و تفسیر و ارتباط آن به عناصر زیرساختی امنیت یکی از هنرهایی است که می‌توان در توسعه امنیت در سازمان ، اخذ پشتیبانی و بودجه و آگاهی رسانی از آن استفاده کرد.
لذا اگر بتوانیم بجای گزارش جدا جدا از حملات که به سبک نوشتاری پیچیده و فنی نگاشته شده اند ، شاخص ریسک را ارائه دهیم در امر توسعه امنیت موفق تر خواهیم بود .
روزبه نوروزی
💫 ۱۱ شهریور ۱۴۰۳
**موتور LLM مانند ChatGPT است که در محصولات امنیتی قرارداده شده است که بصورت تخصصی پاسخ سوالات شما را می‌دهد. دربرخی محصولات پاسخ بسیار دقیق و مختص سازمان و شبکه و سامانه های شما ارائه میگردد.
#cybersecurity
#تجربه #درس_آموخته
#آموزش #امنیت #امنیت_سایبری #تست_نفوذ #soc
#symantec ##trendmicro #kaspersky ##wallix #eset #fortinet #splunk #isms #iso27001
#ethics #privacy
🟩 استفاده از شاخص ریسک و LLM برای توسعه و استقرار امنیت؛
تجربه ی زیسته
محصولات XDR و SIEMدر کلاس جهانی؛ در محیط LLM ای که ارائه میدهند، بصورت عملی و کاستوم و اختصاصی سازمان شما به سوالات شما پاسخ میدهند:
چطور ایندکس ریسکی که برایم محاسبه کردی را تفسیر کنم ؟
چطور میزان ریسک ارائه شده از سوی تو را کاهش دهم ؟
اصلا چطور ریسک را محاسبه کردی ؟ دقیقا کدام عناصر در محاسبه ریسک دخیل بوده اند؟
دو دستور پاورشلی که دیروز کشف کردی چقدر در شاخص ریسک اثر داشتند؟
ایندکس ریسک سازمان من؛ پس از وصله کردن آسیب پذیری که گفتی بهتر نشد چرا ؟
از دیروز تا امروز چه تغییری در سازمانم رخ داده که شاخص ریسک تغییر کرده است ؟
یک حمله چند مرحله ای را برایم کیس کردی ؛ دو قسمت از آنرا درک نمیکنم چرا با اینکه من محافظ داشتم رخ داده ؟ توضیح بده .
امکان دارد این حادثه به نفوذ های بیشتری منجر شده باشد ؟ در کدام زیر بخش‌ها از شبکه ام دنبال اون نفوذ بگردم ؟
بله دوستان...
زمین بازی در SIEM ها در XDR ها و کلا محصولات امنیتی درحال تغییر است .
حالا ما چه میکنیم ؟
همانطور که تا مدتها با خود تحریمی از داشتن کیسه هوا در اتومبیل ها محروم بودیم ، الان هم خود را از ابزارهای روز جهان محروم میکنیم.
#افتا #ابلاغیه #ممنوعیت #محصولات_خارجی
✅️ پی نوشتی حاصل سالها تجربه :
نمایش ایندکس ریسک و تفسیر و ارتباط آن به عناصر زیرساختی امنیت یکی از هنرهایی است که می‌توان در توسعه امنیت در سازمان ، اخذ پشتیبانی و بودجه و آگاهی رسانی از آن استفاده کرد.
لذا اگر بتوانیم بجای گزارش جدا جدا از حملات که به سبک نوشتاری پیچیده و فنی نگاشته شده اند ، شاخص ریسک را ارائه دهیم در امر توسعه امنیت موفق تر خواهیم بود .
روزبه نوروزی
💫 ۱۱ شهریور ۱۴۰۳
**موتور LLM مانند ChatGPT است که در محصولات امنیتی قرارداده شده است که بصورت تخصصی پاسخ سوالات شما را می‌دهد. دربرخی محصولات پاسخ بسیار دقیق و مختص سازمان و شبکه و سامانه های شما ارائه میگردد.
#cybersecurity
#تجربه #درس_آموخته
#آموزش #امنیت #امنیت_سایبری #تست_نفوذ #soc
#symantec ##trendmicro #kaspersky ##wallix #eset #fortinet #splunk #isms #iso27001
#ethics #privacy
چرا به SOC و CERT خوب نیاز داریم ؟
بررسی تحلیلی ماهیت مهندسی کشف با مثال
🔆در مجموعه پست هایی من قصد دارم شما رو با چرایی نیاز به مرکز عملیات امنیت به شکل کاربردی آشنا کنم از زاویه ای که شاید جذاب باشه
🟣عنوان کلی :
چگونه SOC میتواند حملات روز صفر را قبل از تولدشان شکار کند؟ (درسهایی از Zerologon)
1️⃣قسمت اول
آسیب پذیری Zerologon: روزی که یک “صفر”، امپراتوری مایکروسافت را به لرزه درآورد!
آیا می‌دانستید یک اشتباه برنامه‌نویسی ساده در پروتکلی ۳۰ ساله، می‌توانست در ۳ ثانیه کنترل کامل شبکه شما را به دست یک مهاجم بدهد؟ این داستان خطرناک اما واقعیِ Zerologon (CVE-2020-1472) است.
این آسیب‌پذیری به مهاجمان اجازه می‌داد با ارسال بسته‌هایی پر از “صفر”، رمز عبور قلب شبکه (Domain Controller) را خالی کرده و به بالاترین سطح دسترسی برسند. Zerologon یک زنگ بیدارباش بود: تکیه بر دیوارهای دفاعی و پچ‌های امنیتی به تنهایی کافی نیست.
اما یک امید بزرگ وجود دارد. در این مجموعه پست، می‌خواهم نشان دهم که چگونه یک مرکز عملیات امنیت مدرن و یک تیم پاسخ به حوادث (CERT) کارآمد، می‌توانستند حمله Zerologon را حتی قبل از افشای عمومی آن شناسایی و مهار کنند.
هدف من این است که فراتر از هیاهوی آسیب‌پذیری‌ها برویم و درک کنیم که با داشتن دید کامل، تحلیل رفتار و رویکرد شکار تهدید (Threat Hunting)، می‌توانیم امیدوار باشیم که ناشناخته‌ها را شکار کنیم و یک قدم از مهاجمان جلوتر باشیم.
همراه من باشید تا مرحله به مرحله ببینید چگونه یک SOC خوب، کتابخانه تهدیدات نیست، بلکه یک موتور پیش‌بینی و شکار ناهنجاری است.
ادامه در پستهای بعد...
💫درسهایی از دوره SOC شرکت هامون
Www.haumoun.com
#CyberSecurity #Zerologon #ThreatHunting #SOC #CERT #BlueTeam #ZeroDay #InfoSec #Microsoft #LateralMovement
بررسی تحلیلی ماهیت مهندسی کشف با مثال
🔆در مجموعه پست هایی من قصد دارم شما رو با چرایی نیاز به مرکز عملیات امنیت به شکل کاربردی آشنا کنم از زاویه ای که شاید جذاب باشه
🟣عنوان کلی :
چگونه SOC میتواند حملات روز صفر را قبل از تولدشان شکار کند؟ (درسهایی از Zerologon)
1️⃣قسمت اول
آسیب پذیری Zerologon: روزی که یک “صفر”، امپراتوری مایکروسافت را به لرزه درآورد!
آیا می‌دانستید یک اشتباه برنامه‌نویسی ساده در پروتکلی ۳۰ ساله، می‌توانست در ۳ ثانیه کنترل کامل شبکه شما را به دست یک مهاجم بدهد؟ این داستان خطرناک اما واقعیِ Zerologon (CVE-2020-1472) است.
این آسیب‌پذیری به مهاجمان اجازه می‌داد با ارسال بسته‌هایی پر از “صفر”، رمز عبور قلب شبکه (Domain Controller) را خالی کرده و به بالاترین سطح دسترسی برسند. Zerologon یک زنگ بیدارباش بود: تکیه بر دیوارهای دفاعی و پچ‌های امنیتی به تنهایی کافی نیست.
اما یک امید بزرگ وجود دارد. در این مجموعه پست، می‌خواهم نشان دهم که چگونه یک مرکز عملیات امنیت مدرن و یک تیم پاسخ به حوادث (CERT) کارآمد، می‌توانستند حمله Zerologon را حتی قبل از افشای عمومی آن شناسایی و مهار کنند.
هدف من این است که فراتر از هیاهوی آسیب‌پذیری‌ها برویم و درک کنیم که با داشتن دید کامل، تحلیل رفتار و رویکرد شکار تهدید (Threat Hunting)، می‌توانیم امیدوار باشیم که ناشناخته‌ها را شکار کنیم و یک قدم از مهاجمان جلوتر باشیم.
همراه من باشید تا مرحله به مرحله ببینید چگونه یک SOC خوب، کتابخانه تهدیدات نیست، بلکه یک موتور پیش‌بینی و شکار ناهنجاری است.
ادامه در پستهای بعد...
💫درسهایی از دوره SOC شرکت هامون
Www.haumoun.com
#CyberSecurity #Zerologon #ThreatHunting #SOC #CERT #BlueTeam #ZeroDay #InfoSec #Microsoft #LateralMovement
👍7❤5
👆دستورالعمل برپایی معماری Detection Engineering و مدیریت Detection مبتنی بر Git در SOC
تهیه شده توسط واحد MSSP شرکت هامون
جزئیات در لینک زیر
#MSSP #SOC #SOC_as_a_Service
لینک مقاله رو میتونید اینجا ببینید
https://vrgl.ir/F6Cif
تهیه شده توسط واحد MSSP شرکت هامون
جزئیات در لینک زیر
#MSSP #SOC #SOC_as_a_Service
لینک مقاله رو میتونید اینجا ببینید
https://vrgl.ir/F6Cif
👏3❤1
چرا هنوز بسیاری از سازمانها MSSP را فقط SOC as a Service می‌بینند؟
یکی از رایج‌ترین برداشت‌های نادرست در صنعت امنیت سایبری، همسان دانستن MSSP با SOC as a Service است. این نگاه از زمانی شکل گرفت که خدمات امنیتی عمدتاً به مانیتورینگ لاگ، تولید هشدار و پاسخ اولیه به رخداد محدود بود. در حالی که SOC تنها یکی از اجزای یک MSSP بالغ است.
امروزه ارزش واقعی یک MSSP در ارائه چرخه کامل امنیت نهفته است؛ از مشاوره و طراحی معماری امنیت، مدیریت آسیب‌پذیری و مقاوم‌سازی زیرساخت‌ها گرفته تا پیاده‌سازی و مدیریت EDR/XDR، امنیت ابری، Threat Hunting، Detection Engineering، پاسخ به رخداد، دیجیتال فارنزیک و ارتقای آمادگی سایبری سازمان.
اگر تنها معیار ارزیابی، تعداد Alertهای بررسی‌شده باشد، نقش راهبردی MSSP نادیده گرفته میشود. مأموریت اصلی یک MSSP کاهش ریسک کسب‌وکار، افزایش تاب‌آوری سایبری و حفظ تداوم خدمات است. سازمانها امروز بیش از آنکه به یک مرکز مانیتورینگ نیاز داشته باشند، به یک شریک امنیتی نیاز دارند که بتواند امنیت را به مزیت رقابتی و اعتماد دیجیتال تبدیل کند.
#MSSP #SOC #DetectionEngineering #ThreatHunting #هامون
یکی از رایج‌ترین برداشت‌های نادرست در صنعت امنیت سایبری، همسان دانستن MSSP با SOC as a Service است. این نگاه از زمانی شکل گرفت که خدمات امنیتی عمدتاً به مانیتورینگ لاگ، تولید هشدار و پاسخ اولیه به رخداد محدود بود. در حالی که SOC تنها یکی از اجزای یک MSSP بالغ است.
امروزه ارزش واقعی یک MSSP در ارائه چرخه کامل امنیت نهفته است؛ از مشاوره و طراحی معماری امنیت، مدیریت آسیب‌پذیری و مقاوم‌سازی زیرساخت‌ها گرفته تا پیاده‌سازی و مدیریت EDR/XDR، امنیت ابری، Threat Hunting، Detection Engineering، پاسخ به رخداد، دیجیتال فارنزیک و ارتقای آمادگی سایبری سازمان.
اگر تنها معیار ارزیابی، تعداد Alertهای بررسی‌شده باشد، نقش راهبردی MSSP نادیده گرفته میشود. مأموریت اصلی یک MSSP کاهش ریسک کسب‌وکار، افزایش تاب‌آوری سایبری و حفظ تداوم خدمات است. سازمانها امروز بیش از آنکه به یک مرکز مانیتورینگ نیاز داشته باشند، به یک شریک امنیتی نیاز دارند که بتواند امنیت را به مزیت رقابتی و اعتماد دیجیتال تبدیل کند.
#MSSP #SOC #DetectionEngineering #ThreatHunting #هامون
👏3💯1🤝1
چرا SOC as a Service راهکار مناسبی برای ایران است؟
افزایش حملات سایبری، کمبود نیروی متخصص و هزینه بالای ایجاد مرکز عملیات امنیت اختصاصی، بسیاری از سازمان‌های ایرانی را با یک مسئله جدی روبه‌رو کرده است: چگونه می‌توان امنیت مستمر داشت، بدون آنکه یک SOC کامل و پرهزینه ایجاد کرد؟ پاسخ میتواند استفاده از خدمات سرویسی SOC یا SOC as a Service باشد.
راه‌اندازی SOC شبانه‌روزی به تحلیل‌گران لایه یک، متخصصان لایه دو و سه، مهندسان کشف، کارشناسان پاسخ به رخداد، زیرساخت فنی و فرایندهای بالغ نیاز دارد. تأمین و نگهداری این مجموعه برای بسیاری از سازمانها دشوار است. SOC as a Service با اشتراک‌گذاری منابع تخصصی میان چند مشتری، هزینه را کاهش داده و دسترسی به دانش و تجربه متنوع را امکان‌پذیر می‌کند.
این مدل برای سازمان‌های مستقر در شهرستان‌ها نیز ارزشمند است؛ زیرا می‌توان نیروی عملیاتی را در محل مشتری مستقر کرد و تحلیل‌های پیشرفته را از یک مرکز تخصصی ارائه داد. محدودیت‌های ناشی از تحریم، نبود پشتیبانی پایدار محصولات خارجی و تنوع فناوری‌ها نیز اهمیت یک تیم اشتراکی توانمند را افزایش می‌دهد.
البته SOC as a Service نباید به فروش SIEM و مشاهده هشدار محدود شود؛ موفقیت آن به مهندسی کشف، پایش منابع داده، مدیریت رخداد، پاسخگویی سریع، گزارش مدیریتی و SLA قابل‌اندازه‌گیری وابسته است.
اگر چه آنچه بسیار مانع پیاده سازی این مدل است ، عدم اعتماد سازمانها و نظر حاکمیت بر مخالفت است ، لیکن نظر بنده بر آن است که در شرایط اقتصادی / خصمانه امروزه ،این مدل از لحاظ امنیت و ROI، بهترین راهکار سازمانی است.
#هامون
#MSSP #SOC_as_a_Service
#مرکز_عملیات_امنیت #soc
Haumoun
تربیت متخصص SOC هامون در دوره SOC T1
افزایش حملات سایبری، کمبود نیروی متخصص و هزینه بالای ایجاد مرکز عملیات امنیت اختصاصی، بسیاری از سازمان‌های ایرانی را با یک مسئله جدی روبه‌رو کرده است: چگونه می‌توان امنیت مستمر داشت، بدون آنکه یک SOC کامل و پرهزینه ایجاد کرد؟ پاسخ میتواند استفاده از خدمات سرویسی SOC یا SOC as a Service باشد.
راه‌اندازی SOC شبانه‌روزی به تحلیل‌گران لایه یک، متخصصان لایه دو و سه، مهندسان کشف، کارشناسان پاسخ به رخداد، زیرساخت فنی و فرایندهای بالغ نیاز دارد. تأمین و نگهداری این مجموعه برای بسیاری از سازمانها دشوار است. SOC as a Service با اشتراک‌گذاری منابع تخصصی میان چند مشتری، هزینه را کاهش داده و دسترسی به دانش و تجربه متنوع را امکان‌پذیر می‌کند.
این مدل برای سازمان‌های مستقر در شهرستان‌ها نیز ارزشمند است؛ زیرا می‌توان نیروی عملیاتی را در محل مشتری مستقر کرد و تحلیل‌های پیشرفته را از یک مرکز تخصصی ارائه داد. محدودیت‌های ناشی از تحریم، نبود پشتیبانی پایدار محصولات خارجی و تنوع فناوری‌ها نیز اهمیت یک تیم اشتراکی توانمند را افزایش می‌دهد.
البته SOC as a Service نباید به فروش SIEM و مشاهده هشدار محدود شود؛ موفقیت آن به مهندسی کشف، پایش منابع داده، مدیریت رخداد، پاسخگویی سریع، گزارش مدیریتی و SLA قابل‌اندازه‌گیری وابسته است.
اگر چه آنچه بسیار مانع پیاده سازی این مدل است ، عدم اعتماد سازمانها و نظر حاکمیت بر مخالفت است ، لیکن نظر بنده بر آن است که در شرایط اقتصادی / خصمانه امروزه ،این مدل از لحاظ امنیت و ROI، بهترین راهکار سازمانی است.
#هامون
#MSSP #SOC_as_a_Service
#مرکز_عملیات_امنیت #soc
Haumoun
تربیت متخصص SOC هامون در دوره SOC T1
❤9
ابزار Auditd؛ ابزار ممیزی امنیتی در لینوکس
ابزار Auditd سرویس اصلی ممیزی امنیتی در لینوکس است که رویدادها را از Linux Audit Framework در سطح Kernel دریافت و ثبت می‌کند. این ابزار کمک می‌کند مشخص شود چه کاربری، در چه زمانی، با کدام پردازش و شناسه کاربری، چه عملی را روی کدام منبع انجام داده است.
با تعریف قواعد ممیزی می‌توان اجرای برنامه‌ها و فراخوانی‌های سیستمی مانند execve، تغییر فایل‌های حساس، اصلاح مجوزها، دسترسی‌های ناموفق، تغییر حساب‌های کاربری و فعالیت کاربران ممتاز را رصد کرد. رویدادها معمولاً در فایل /var/log/audit/audit.log ذخیره می‌شوند.
ابزار auditctl برای مشاهده و اعمال موقت قواعد به‌کار می‌رود؛ اما قواعد پایدار معمولاً در مسیر /etc/audit/rules.d/ تعریف و هنگام راه‌اندازی بارگذاری می‌شوند. همچنین ausearch برای جست‌وجوی رخدادها و aureport برای تهیه گزارش‌های خلاصه کاربرد دارد.
برای نمونه، نظارت بر /etc/passwd میتواند تغییر حساب‌های کاربری را آشکار کند. البته یک رخداد ممکن است در چند رکورد مانند SYSCALL، EXECVE، PATH و CWD ثبت شود که با شناسه مشترک به یکدیگر مرتبط‌اند.
قواعد بیش‌ازحد گسترده، حجم لاگ و سربار سیستم را افزایش میدهند؛ بنابراین باید مبتنی بر ریسک طراحی شوند. محافظت از لاگ‌ها، کنترل توقف سرویس، مدیریت فضای ذخیره‌سازی و ارسال رویدادها به SIEM نیز ضروری است. ارزش فارنزیکی Auditd مستقیماً به کیفیت قواعدی وابسته است که پیش از وقوع حادثه فعال شده‌اند.
#Auditd #LinuxAudit #LinuxSecurity #LinuxForensics #DigitalForensics #DFIR #IncidentResponse #SecurityMonitoring #SIEM #SOC #CyberSecurity #ThreatDetection #فارنزیک_دیجیتال #فارنزیک_لینوکس #امنیت_لینوکس #ممیزی_امنیتی #پاسخگویی_به_حادثه #مرکز_عملیات_امنیت #مهندسی_کشف #امنیت_سایبری
ابزار Auditd سرویس اصلی ممیزی امنیتی در لینوکس است که رویدادها را از Linux Audit Framework در سطح Kernel دریافت و ثبت می‌کند. این ابزار کمک می‌کند مشخص شود چه کاربری، در چه زمانی، با کدام پردازش و شناسه کاربری، چه عملی را روی کدام منبع انجام داده است.
با تعریف قواعد ممیزی می‌توان اجرای برنامه‌ها و فراخوانی‌های سیستمی مانند execve، تغییر فایل‌های حساس، اصلاح مجوزها، دسترسی‌های ناموفق، تغییر حساب‌های کاربری و فعالیت کاربران ممتاز را رصد کرد. رویدادها معمولاً در فایل /var/log/audit/audit.log ذخیره می‌شوند.
ابزار auditctl برای مشاهده و اعمال موقت قواعد به‌کار می‌رود؛ اما قواعد پایدار معمولاً در مسیر /etc/audit/rules.d/ تعریف و هنگام راه‌اندازی بارگذاری می‌شوند. همچنین ausearch برای جست‌وجوی رخدادها و aureport برای تهیه گزارش‌های خلاصه کاربرد دارد.
برای نمونه، نظارت بر /etc/passwd میتواند تغییر حساب‌های کاربری را آشکار کند. البته یک رخداد ممکن است در چند رکورد مانند SYSCALL، EXECVE، PATH و CWD ثبت شود که با شناسه مشترک به یکدیگر مرتبط‌اند.
قواعد بیش‌ازحد گسترده، حجم لاگ و سربار سیستم را افزایش میدهند؛ بنابراین باید مبتنی بر ریسک طراحی شوند. محافظت از لاگ‌ها، کنترل توقف سرویس، مدیریت فضای ذخیره‌سازی و ارسال رویدادها به SIEM نیز ضروری است. ارزش فارنزیکی Auditd مستقیماً به کیفیت قواعدی وابسته است که پیش از وقوع حادثه فعال شده‌اند.
#Auditd #LinuxAudit #LinuxSecurity #LinuxForensics #DigitalForensics #DFIR #IncidentResponse #SecurityMonitoring #SIEM #SOC #CyberSecurity #ThreatDetection #فارنزیک_دیجیتال #فارنزیک_لینوکس #امنیت_لینوکس #ممیزی_امنیتی #پاسخگویی_به_حادثه #مرکز_عملیات_امنیت #مهندسی_کشف #امنیت_سایبری
🔥6❤1👏1
آکادمی آموزش روزبه 📚
ابزار Auditd؛ ابزار ممیزی امنیتی در لینوکس ابزار Auditd سرویس اصلی ممیزی امنیتی در لینوکس است که رویدادها را از Linux Audit Framework در سطح Kernel دریافت و ثبت می‌کند. این ابزار کمک می‌کند مشخص شود چه کاربری، در چه زمانی، با کدام پردازش و شناسه کاربری، چه…
چرا ممکن است از Auditd ناامید شویم؟
ابزار Auditd یکی از مهم‌ترین ابزارهای ممیزی امنیتی در لینوکس است؛ اما اگر با انتظار یک EDR کامل یا نسخه لینوکسی Sysmon به سراغ آن برویم، احتمالاً ناامید خواهیم شد.
نخستین محدودیت Auditd این است که فقط رویدادهایی را ثبت می‌کند که از قبل برای آن‌ها Rule مناسبی تعریف شده باشد. اگر پس از وقوع حادثه متوجه شویم اجرای فرمان‌ها، تغییر یک فایل یا فعالیت خاصی زیر نظر نبوده است، Auditd نمی‌تواند گذشته ثبت‌نشده را بازسازی کند.
مشکل دیگر، حجم و پیچیدگی داده‌هاست. فعال‌کردن قواعد گسترده، به‌ویژه برای System Callها، میتواند میلیون‌ها رویداد ایجاد کند. از طرف دیگر، یک فعالیت ساده ممکن است در چند رکورد مانند SYSCALL، EXECVE، PATH و CWD پراکنده شود. تبدیل این اطلاعات خام به یک روایت قابل‌فهم، به Parsing، Normalization و Correlation نیاز دارد.
پرشدن Backlog، کمبود فضای دیسک یا تنظیمات نامناسب Log Rotation نیز ممکن است باعث ازدست‌رفتن رویدادها شود. مهاجمی که به سطح Root دست یافته است نیز احتمالاً تلاش می‌کند سرویس را متوقف، Rules را تغییر یا لاگ‌ها را پاک کند.
ابزار Auditd ابزار کشف تهدید آماده‌ای نیست؛ بلکه یک منبع تله‌متری و ممیزی Kernelمحور است. ارزش واقعی آن زمانی آشکار میشود که قواعد مبتنی بر ریسک، پایش سلامت، Immutable Rules، ذخیره‌سازی امن و ارسال متمرکز رویدادها به SIEM در کنار آن قرار گیرد. بنابراین ناامیدی از Auditd معمولاً از ضعف ابزار ناشی نمی‌شود؛ بلکه نتیجه انتظار نادرست یا طراحی ناکافی است.
#Auditd #LinuxAudit #LinuxSecurity #LinuxLogging #SecurityMonitoring #ThreatDetection #DetectionEngineering #DigitalForensics #LinuxForensics #IncidentResponse #DFIR #SIEM #SOC #CyberSecurity #امنیت_لینوکس #ممیزی_امنیتی #فارنزیک_لینوکس #مهندسی_کشف #پایش_امنیتی #پاسخگویی_به_حادثه #امنیت_سایبری
ابزار Auditd یکی از مهم‌ترین ابزارهای ممیزی امنیتی در لینوکس است؛ اما اگر با انتظار یک EDR کامل یا نسخه لینوکسی Sysmon به سراغ آن برویم، احتمالاً ناامید خواهیم شد.
نخستین محدودیت Auditd این است که فقط رویدادهایی را ثبت می‌کند که از قبل برای آن‌ها Rule مناسبی تعریف شده باشد. اگر پس از وقوع حادثه متوجه شویم اجرای فرمان‌ها، تغییر یک فایل یا فعالیت خاصی زیر نظر نبوده است، Auditd نمی‌تواند گذشته ثبت‌نشده را بازسازی کند.
مشکل دیگر، حجم و پیچیدگی داده‌هاست. فعال‌کردن قواعد گسترده، به‌ویژه برای System Callها، میتواند میلیون‌ها رویداد ایجاد کند. از طرف دیگر، یک فعالیت ساده ممکن است در چند رکورد مانند SYSCALL، EXECVE، PATH و CWD پراکنده شود. تبدیل این اطلاعات خام به یک روایت قابل‌فهم، به Parsing، Normalization و Correlation نیاز دارد.
پرشدن Backlog، کمبود فضای دیسک یا تنظیمات نامناسب Log Rotation نیز ممکن است باعث ازدست‌رفتن رویدادها شود. مهاجمی که به سطح Root دست یافته است نیز احتمالاً تلاش می‌کند سرویس را متوقف، Rules را تغییر یا لاگ‌ها را پاک کند.
ابزار Auditd ابزار کشف تهدید آماده‌ای نیست؛ بلکه یک منبع تله‌متری و ممیزی Kernelمحور است. ارزش واقعی آن زمانی آشکار میشود که قواعد مبتنی بر ریسک، پایش سلامت، Immutable Rules، ذخیره‌سازی امن و ارسال متمرکز رویدادها به SIEM در کنار آن قرار گیرد. بنابراین ناامیدی از Auditd معمولاً از ضعف ابزار ناشی نمی‌شود؛ بلکه نتیجه انتظار نادرست یا طراحی ناکافی است.
#Auditd #LinuxAudit #LinuxSecurity #LinuxLogging #SecurityMonitoring #ThreatDetection #DetectionEngineering #DigitalForensics #LinuxForensics #IncidentResponse #DFIR #SIEM #SOC #CyberSecurity #امنیت_لینوکس #ممیزی_امنیتی #فارنزیک_لینوکس #مهندسی_کشف #پایش_امنیتی #پاسخگویی_به_حادثه #امنیت_سایبری
🔥6❤1👏1
آکادمی آموزش روزبه 📚
چرا ممکن است از Auditd ناامید شویم؟ ابزار Auditd یکی از مهم‌ترین ابزارهای ممیزی امنیتی در لینوکس است؛ اما اگر با انتظار یک EDR کامل یا نسخه لینوکسی Sysmon به سراغ آن برویم، احتمالاً ناامید خواهیم شد. نخستین محدودیت Auditd این است که فقط رویدادهایی را ثبت…
آیا مهاجم دارای دسترسی Root میتواند Immutable Rules را تغییر دهد؟
یکی از قابلیت‌های مهم Auditd در لینوکس، قفل‌کردن تنظیمات ممیزی با دستور -e 2 است. پس از فعال‌شدن این وضعیت، قوانین Audit موجود در Kernel به حالت Immutable درمی‌آیند؛ یعنی تا زمان راه‌اندازی مجدد سیستم، حتی کاربر root نیز نمی‌تواند از طریق روش‌های معمول Rule جدیدی اضافه کند، قوانین موجود را حذف کند یا Audit را غیرفعال سازد.
در این وضعیت، فرمان‌هایی مانند auditctl -D یا auditctl -e 0 توسط Kernel رد می‌شوند. این قابلیت مانع مهمی در برابر مهاجمی است که پس از دسترسی ممتاز، قصد دارد ثبت فعالیت‌های خود را متوقف کند. بااین‌حال، Immutable Rules به معنی مصونیت کامل Auditd در برابر مهاجم Root نیست.
مهاجم همچنان ممکن است فایل‌های موجود در /etc/audit/rules.d/ را تغییر دهد تا پس از Reboot، قوانین ضعیف‌تر یا ناقصی بارگذاری شوند. او همچنین میتواند تنظیمات Boot را هدف قرار دهد، فضای دیسک را پر کند، به Audit Backlog فشار وارد سازد یا فایل‌های لاگ محلی را حذف کند. در صورت تسلط بر Kernel یا Boot Chain نیز امکان دورزدن کنترل‌های ممیزی افزایش می‌یابد.
بنابراین Immutable Rules صرفاً پیکربندی فعال Audit در Kernel را طی Boot جاری قفل می‌کنند؛ نه اینکه تمام اجزای ثبت و نگهداری شواهد را غیرقابل‌دست‌کاری سازند.
برای ایجاد دفاع مؤثر، باید این قابلیت با ارسال فوری لاگ‌ها به SIEM یا سامانه راه دور، Secure Boot، حفاظت از Bootloader، کنترل دسترسی Root، پایش تغییر فایل‌های Audit و هشدار درباره Reboot، توقف سرویس، پرشدن Backlog و Lost Events ترکیب شود. Immutable Rules یک لایه دفاعی ارزشمند است، نه راهکاری مستقل و شکست‌ناپذیر.
**فشار به Audit Backlog یعنی رویدادهای ممیزی با سرعتی بیشتر از توان پردازش Auditd تولید شوند و صف موقت آن در Kernel پر شود.
#Auditd #ImmutableRules #LinuxAudit #LinuxSecurity #LinuxForensics #DigitalForensics #DFIR #IncidentResponse #SecurityMonitoring #DetectionEngineering #SIEM #SOC #CyberSecurity #امنیت_لینوکس #ممیزی_امنیتی #فارنزیک_لینوکس #مهندسی_کشف #پاسخگویی_به_حادثه #امنیت_سایبری
یکی از قابلیت‌های مهم Auditd در لینوکس، قفل‌کردن تنظیمات ممیزی با دستور -e 2 است. پس از فعال‌شدن این وضعیت، قوانین Audit موجود در Kernel به حالت Immutable درمی‌آیند؛ یعنی تا زمان راه‌اندازی مجدد سیستم، حتی کاربر root نیز نمی‌تواند از طریق روش‌های معمول Rule جدیدی اضافه کند، قوانین موجود را حذف کند یا Audit را غیرفعال سازد.
در این وضعیت، فرمان‌هایی مانند auditctl -D یا auditctl -e 0 توسط Kernel رد می‌شوند. این قابلیت مانع مهمی در برابر مهاجمی است که پس از دسترسی ممتاز، قصد دارد ثبت فعالیت‌های خود را متوقف کند. بااین‌حال، Immutable Rules به معنی مصونیت کامل Auditd در برابر مهاجم Root نیست.
مهاجم همچنان ممکن است فایل‌های موجود در /etc/audit/rules.d/ را تغییر دهد تا پس از Reboot، قوانین ضعیف‌تر یا ناقصی بارگذاری شوند. او همچنین میتواند تنظیمات Boot را هدف قرار دهد، فضای دیسک را پر کند، به Audit Backlog فشار وارد سازد یا فایل‌های لاگ محلی را حذف کند. در صورت تسلط بر Kernel یا Boot Chain نیز امکان دورزدن کنترل‌های ممیزی افزایش می‌یابد.
بنابراین Immutable Rules صرفاً پیکربندی فعال Audit در Kernel را طی Boot جاری قفل می‌کنند؛ نه اینکه تمام اجزای ثبت و نگهداری شواهد را غیرقابل‌دست‌کاری سازند.
برای ایجاد دفاع مؤثر، باید این قابلیت با ارسال فوری لاگ‌ها به SIEM یا سامانه راه دور، Secure Boot، حفاظت از Bootloader، کنترل دسترسی Root، پایش تغییر فایل‌های Audit و هشدار درباره Reboot، توقف سرویس، پرشدن Backlog و Lost Events ترکیب شود. Immutable Rules یک لایه دفاعی ارزشمند است، نه راهکاری مستقل و شکست‌ناپذیر.
**فشار به Audit Backlog یعنی رویدادهای ممیزی با سرعتی بیشتر از توان پردازش Auditd تولید شوند و صف موقت آن در Kernel پر شود.
#Auditd #ImmutableRules #LinuxAudit #LinuxSecurity #LinuxForensics #DigitalForensics #DFIR #IncidentResponse #SecurityMonitoring #DetectionEngineering #SIEM #SOC #CyberSecurity #امنیت_لینوکس #ممیزی_امنیتی #فارنزیک_لینوکس #مهندسی_کشف #پاسخگویی_به_حادثه #امنیت_سایبری
🔥5❤3👏1
جدید ترین نوشته استاد روزبه در سایت ویرگول
نقش SBOM و استانداردهای CycloneDX و SPDX در امنیت زنجیره تأمین نرم‌افزار
نرم‌افزارهای امروزی از کتابخانه‌های متن‌باز، بسته‌های تجاری، کانتینرها و سرویس‌های متعددی تشکیل می‌شوند؛ بنابراین شناسایی اجزای آن‌ها برای مدیریت امنیت زنجیره تأمین ضروری است. SBOM یا «صورت‌مواد نرم‌افزار» سندی ساخت‌یافته و ماشین‌خوان است که نام، نسخه، تأمین‌کننده، مجوز، هش و وابستگی‌های مستقیم و انتقالی مؤلفه‌های یک محصول را ثبت می‌کند. با انتشار یک آسیب‌پذیری جدید، سازمان میتواند با جست‌وجوی SBOM، محصولات تحت‌تأثیر را سریع‌تر شناسایی و اولویت‌بندی کند. CycloneDX و SPDX دو استاندارد مهم این حوزه‌اند. CycloneDX با ریشه OWASP، بر امنیت، DevSecOps، مدیریت وابستگی‌ها و VEX تمرکز بیشتری دارد؛ درحالی‌که SPDX با حمایت Linux Foundation، در مدیریت مجوزها، مالکیت فکری و انطباق حقوقی سابقه‌ای قوی دارد. بااین‌حال، هر دو استاندارد اکنون کاربردهای گسترده‌ای در زنجیره تأمین دارند. SBOM جایگزین اسکن آسیب‌پذیری نیست، بلکه موجودی لازم برای تحلیل را فراهم می‌کند. ارزش واقعی آن زمانی ایجاد میشود که به‌صورت خودکار در CI/CD تولید، امضا، به‌روزرسانی و با SOC، مدیریت آسیب‌پذیری، CMDB و فرایند ارزیابی تأمین‌کنندگان یکپارچه شود.
✨️مقاله کامل را در لینک زیر در ویرگول بخوانید.
https://vrgl.ir/b9tPn
✅️ دوره 82 ام از CISSP در دیماه
واتس اپ 09902857290
#SBOM
#SoftwareBillOfMaterials
#CycloneDX
#SPDX
#SoftwareSupplyChain
#SupplyChainSecurity
#امنیت_زنجیره_تأمین
#امنیت_نرم‌افزار
#DevSecOps
#SOC
#مدیریت_آسیب‌پذیری
#VulnerabilityManagement
#VEX
#OpenSourceSecurity
#CISSP
#امنیت_سایبری
#آکادمی_روزبه
https://virgool.io/@roozbehnoroozi/sbom-%D9%88-%D8%A7%D8%B3%D8%AA%D8%A7%D9%86%D8%AF%D8%A7%D8%B1%D8%AF%D9%87%D8%A7%DB%8C-cyclonedx-%D9%88-spdx-%D8%B4%D9%86%D8%A7%D8%B3%D9%86%D8%A7%D9%85%D9%87-%D8%A7%DB%8C-%D8%A8%D8%B1%D8%A7%DB%8C-%D8%A7%D9%85%D9%86%DB%8C%D8%AA-%D8%B2%D9%86%D8%AC%DB%8C%D8%B1%D9%87-%D8%AA%D8%A3%D9%85%DB%8C%D9%86-%D9%86%D8%B1%D9%85-%D8%A7%D9%81%D8%B2%D8%A7%D8%B1-twqqlyh3idyn
نقش SBOM و استانداردهای CycloneDX و SPDX در امنیت زنجیره تأمین نرم‌افزار
نرم‌افزارهای امروزی از کتابخانه‌های متن‌باز، بسته‌های تجاری، کانتینرها و سرویس‌های متعددی تشکیل می‌شوند؛ بنابراین شناسایی اجزای آن‌ها برای مدیریت امنیت زنجیره تأمین ضروری است. SBOM یا «صورت‌مواد نرم‌افزار» سندی ساخت‌یافته و ماشین‌خوان است که نام، نسخه، تأمین‌کننده، مجوز، هش و وابستگی‌های مستقیم و انتقالی مؤلفه‌های یک محصول را ثبت می‌کند. با انتشار یک آسیب‌پذیری جدید، سازمان میتواند با جست‌وجوی SBOM، محصولات تحت‌تأثیر را سریع‌تر شناسایی و اولویت‌بندی کند. CycloneDX و SPDX دو استاندارد مهم این حوزه‌اند. CycloneDX با ریشه OWASP، بر امنیت، DevSecOps، مدیریت وابستگی‌ها و VEX تمرکز بیشتری دارد؛ درحالی‌که SPDX با حمایت Linux Foundation، در مدیریت مجوزها، مالکیت فکری و انطباق حقوقی سابقه‌ای قوی دارد. بااین‌حال، هر دو استاندارد اکنون کاربردهای گسترده‌ای در زنجیره تأمین دارند. SBOM جایگزین اسکن آسیب‌پذیری نیست، بلکه موجودی لازم برای تحلیل را فراهم می‌کند. ارزش واقعی آن زمانی ایجاد میشود که به‌صورت خودکار در CI/CD تولید، امضا، به‌روزرسانی و با SOC، مدیریت آسیب‌پذیری، CMDB و فرایند ارزیابی تأمین‌کنندگان یکپارچه شود.
✨️مقاله کامل را در لینک زیر در ویرگول بخوانید.
https://vrgl.ir/b9tPn
✅️ دوره 82 ام از CISSP در دیماه
واتس اپ 09902857290
#SBOM
#SoftwareBillOfMaterials
#CycloneDX
#SPDX
#SoftwareSupplyChain
#SupplyChainSecurity
#امنیت_زنجیره_تأمین
#امنیت_نرم‌افزار
#DevSecOps
#SOC
#مدیریت_آسیب‌پذیری
#VulnerabilityManagement
#VEX
#OpenSourceSecurity
#CISSP
#امنیت_سایبری
#آکادمی_روزبه
https://virgool.io/@roozbehnoroozi/sbom-%D9%88-%D8%A7%D8%B3%D8%AA%D8%A7%D9%86%D8%AF%D8%A7%D8%B1%D8%AF%D9%87%D8%A7%DB%8C-cyclonedx-%D9%88-spdx-%D8%B4%D9%86%D8%A7%D8%B3%D9%86%D8%A7%D9%85%D9%87-%D8%A7%DB%8C-%D8%A8%D8%B1%D8%A7%DB%8C-%D8%A7%D9%85%D9%86%DB%8C%D8%AA-%D8%B2%D9%86%D8%AC%DB%8C%D8%B1%D9%87-%D8%AA%D8%A3%D9%85%DB%8C%D9%86-%D9%86%D8%B1%D9%85-%D8%A7%D9%81%D8%B2%D8%A7%D8%B1-twqqlyh3idyn
ویرگول
SBOM و استانداردهای CycloneDX و SPDX؛ شناسنامه‌ای برای امنیت زنجیره تأمین نرم‌افزار - ویرگول
مقدمهنرم‌افزارهای امروزی معمولاً به‌طور کامل در داخل یک سازمان تولید نمی‌شوند. حتی یک برنامه نسبتاً ساده ممکن است از ده‌ها یا صدها کتابخان…
🏆4🔥2
آنچه که بعنوان MZ در امنیت گفته میشود چیست و چرا در تحلیل بدافزار اهمیت دارد؟
عبارت "MZ" دو بایت ابتدایی بسیاری از فایل‌های اجرایی ویندوز است و در مبنای هگزادسیمال به‌صورت "4D 5A" نمایش داده میشود. این حروف از نام Mark Zbikowski، یکی از مهندسان مایکروسافت و طراح قالب اجرایی DOS، گرفته شده‌اند.
فایل‌های اجرایی با ساختار PE، مانند فایل‌های "EXE"، "DLL"، "SYS" و برخی "SCR"ها، معمولاً با امضای MZ آغاز می‌شوند. بخش ابتدایی فایل، "DOS Header" نام دارد. درون این Header، فیلدی به نام "e_lfanew" وجود دارد که محل قرارگیری امضای "PE" و ساختار اصلی فایل اجرایی ویندوز را مشخص می‌کند.
اهمیت MZ زمانی آشکار میشود که مهاجم پسوند واقعی فایل را پنهان کرده باشد. برای مثال ممکن است فایلی با نام "update.dat"، "invoice.jpg" یا "document.pdf" دریافت شود، اما بررسی محتوای آن نشان دهد که دو بایت ابتدایی فایل "MZ" است. این وضعیت نشان می‌دهد فایل احتمالاً یک برنامه اجرایی ویندوز است، نه تصویر یا سند معمولی.
در تحلیل PCAP می‌توان فایل منتقل‌شده را از جریان HTTP یا SMB استخراج و Header آن را بررسی کرد. بااین‌حال، مشاهده MZ به‌تنهایی اثبات بدافزاربودن فایل نیست؛ زیرا برنامه‌های سالم ویندوز نیز همین امضا را دارند. تحلیلگر باید Hash، امضای دیجیتال، Importها، رشته‌ها، رفتار اجرایی و نتایج Sandbox را نیز بررسی کند.
#MZ #PEFile #PortableExecutable #MalwareAnalysis #DigitalForensics #MemoryForensics #NetworkForensics #PCAP #Wireshark #ThreatHunting #IncidentResponse #ReverseEngineering #SOC #CyberSecurity #تحلیل_بدافزار #فارنزیک_دیجیتال #تحلیل_ترافیک #امنیت_سایبری #مرکز_عملیات_امنیت #آکادمی_روزبه
عبارت "MZ" دو بایت ابتدایی بسیاری از فایل‌های اجرایی ویندوز است و در مبنای هگزادسیمال به‌صورت "4D 5A" نمایش داده میشود. این حروف از نام Mark Zbikowski، یکی از مهندسان مایکروسافت و طراح قالب اجرایی DOS، گرفته شده‌اند.
فایل‌های اجرایی با ساختار PE، مانند فایل‌های "EXE"، "DLL"، "SYS" و برخی "SCR"ها، معمولاً با امضای MZ آغاز می‌شوند. بخش ابتدایی فایل، "DOS Header" نام دارد. درون این Header، فیلدی به نام "e_lfanew" وجود دارد که محل قرارگیری امضای "PE" و ساختار اصلی فایل اجرایی ویندوز را مشخص می‌کند.
اهمیت MZ زمانی آشکار میشود که مهاجم پسوند واقعی فایل را پنهان کرده باشد. برای مثال ممکن است فایلی با نام "update.dat"، "invoice.jpg" یا "document.pdf" دریافت شود، اما بررسی محتوای آن نشان دهد که دو بایت ابتدایی فایل "MZ" است. این وضعیت نشان می‌دهد فایل احتمالاً یک برنامه اجرایی ویندوز است، نه تصویر یا سند معمولی.
در تحلیل PCAP می‌توان فایل منتقل‌شده را از جریان HTTP یا SMB استخراج و Header آن را بررسی کرد. بااین‌حال، مشاهده MZ به‌تنهایی اثبات بدافزاربودن فایل نیست؛ زیرا برنامه‌های سالم ویندوز نیز همین امضا را دارند. تحلیلگر باید Hash، امضای دیجیتال، Importها، رشته‌ها، رفتار اجرایی و نتایج Sandbox را نیز بررسی کند.
#MZ #PEFile #PortableExecutable #MalwareAnalysis #DigitalForensics #MemoryForensics #NetworkForensics #PCAP #Wireshark #ThreatHunting #IncidentResponse #ReverseEngineering #SOC #CyberSecurity #تحلیل_بدافزار #فارنزیک_دیجیتال #تحلیل_ترافیک #امنیت_سایبری #مرکز_عملیات_امنیت #آکادمی_روزبه
❤4💯2
مقوله SOC as a Service؛ وقتی مرکز عملیات امنیت تبدیل به «سرویس» میشود
بحث SOC as a Service (SOCaaS) مدلی است که در آن سازمان به‌جای ساخت و اداره کامل یک Security Operations Center در داخل مجموعه، بخشی یا تمام قابلیت‌های SOC را از یک ارائه‌دهنده تخصصی دریافت می‌کند.
در این مدل، موضوع صرفاً خرید SIEM یا مانیتورینگ چند داشبورد نیست؛ بلکه مجموعه‌ای از People + Process + Technology به‌صورت یک سرویس مستمر ارائه میشود.
یک SOCaaS بالغ معمولاً شامل جمع‌آوری و پایش Log و Telemetry، مدیریت SIEM، تحلیل Alert، Triage توسط L1، تحلیل عمیق‌تر توسط L2/L3، Threat Intelligence، Detection Engineering، Threat Hunting، مدیریت Use Caseها، گزارش‌دهی و Escalation است.
بسته به قرارداد، Incident Response نیز میتواند بخشی از سرویس باشد.
مزیت مهم SOCaaS، دسترسی سازمان به تیم متخصص بدون نیاز به ایجاد کامل یک SOC داخلی 24×7 است. هزینه جذب و نگهداری Analyst، Detection Engineer و Threat Hunter کاهش می‌یابد و ارائه‌دهنده میتواند تجربه حاصل از مشاهده محیط‌های متعدد را وارد عملیات کند.
اما SOCaaS مساوی برون‌سپاری مسئولیت امنیت نیست. مالکیت Risk، تصمیمات حساس، پذیرش ریسک و Governance همچنان باید در سازمان باقی بماند. همچنین SLA، زمان تشخیص و Escalation، مالکیت داده، سطح دسترسی ارائه‌دهنده، Data Retention، محرمانگی و نحوه خروج از قرارداد باید دقیقاً مشخص شوند.
از نظر معماری نیز SOCaaS الزاماً Cloud SOC نیست. SIEM و داده‌ها می‌توانند کاملاً On-Premise نزد مشتری باقی بمانند، در حالی که تیم MSSP از راه دور عملیات SOC را انجام دهد.
بهترین نگاه به SOCaaS این است:
ما «SOC ایجاد نمیکنیم ؛ قابلیت مستمر کشف، تحلیل و مدیریت تهدید را به‌عنوان سرویس دریافت میکنیم.»
برای دریافت این سرویس با شرکت #هامون تماس حاصل فرمایید
Www.haumoun.com
#SOCaaS #SOC #MSSP #SIEM #DetectionEngineering #ThreatHunting #CyberSecurity #SecurityOperations #IncidentDetection #BlueTeam
بحث SOC as a Service (SOCaaS) مدلی است که در آن سازمان به‌جای ساخت و اداره کامل یک Security Operations Center در داخل مجموعه، بخشی یا تمام قابلیت‌های SOC را از یک ارائه‌دهنده تخصصی دریافت می‌کند.
در این مدل، موضوع صرفاً خرید SIEM یا مانیتورینگ چند داشبورد نیست؛ بلکه مجموعه‌ای از People + Process + Technology به‌صورت یک سرویس مستمر ارائه میشود.
یک SOCaaS بالغ معمولاً شامل جمع‌آوری و پایش Log و Telemetry، مدیریت SIEM، تحلیل Alert، Triage توسط L1، تحلیل عمیق‌تر توسط L2/L3، Threat Intelligence، Detection Engineering، Threat Hunting، مدیریت Use Caseها، گزارش‌دهی و Escalation است.
بسته به قرارداد، Incident Response نیز میتواند بخشی از سرویس باشد.
مزیت مهم SOCaaS، دسترسی سازمان به تیم متخصص بدون نیاز به ایجاد کامل یک SOC داخلی 24×7 است. هزینه جذب و نگهداری Analyst، Detection Engineer و Threat Hunter کاهش می‌یابد و ارائه‌دهنده میتواند تجربه حاصل از مشاهده محیط‌های متعدد را وارد عملیات کند.
اما SOCaaS مساوی برون‌سپاری مسئولیت امنیت نیست. مالکیت Risk، تصمیمات حساس، پذیرش ریسک و Governance همچنان باید در سازمان باقی بماند. همچنین SLA، زمان تشخیص و Escalation، مالکیت داده، سطح دسترسی ارائه‌دهنده، Data Retention، محرمانگی و نحوه خروج از قرارداد باید دقیقاً مشخص شوند.
از نظر معماری نیز SOCaaS الزاماً Cloud SOC نیست. SIEM و داده‌ها می‌توانند کاملاً On-Premise نزد مشتری باقی بمانند، در حالی که تیم MSSP از راه دور عملیات SOC را انجام دهد.
بهترین نگاه به SOCaaS این است:
ما «SOC ایجاد نمیکنیم ؛ قابلیت مستمر کشف، تحلیل و مدیریت تهدید را به‌عنوان سرویس دریافت میکنیم.»
برای دریافت این سرویس با شرکت #هامون تماس حاصل فرمایید
Www.haumoun.com
#SOCaaS #SOC #MSSP #SIEM #DetectionEngineering #ThreatHunting #CyberSecurity #SecurityOperations #IncidentDetection #BlueTeam
👏6🙏1💯1
ویدئوی آموزشی من در صفحه لینکدین شرکت #هامون در مورد دزدی اطلاعات با ابزار های خودمان
https://www.linkedin.com/posts/haumoun_aepaetaeuahyaes-cybersecurity-threatdetection-ugcPost-7512849075617173504-0OcV?utm_source=share&utm_medium=member_android&rcm=ACoAAAoOfTcB5k1E_hg69jDwmxkGWzsBxqx6B9s
https://www.linkedin.com/posts/haumoun_aepaetaeuahyaes-cybersecurity-threatdetection-ugcPost-7512849075617173504-0OcV?utm_source=share&utm_medium=member_android&rcm=ACoAAAoOfTcB5k1E_hg69jDwmxkGWzsBxqx6B9s
LinkedIn
#امنیت #cybersecurity #threatdetection #soc #haumoun_training #شبکه | Haumoun
حمله‌ای که با ابزار خودتان انجام شود، چطور از دید شما پنهان می‌ماند؟
❗️در حملات سایبری، مهاجم همیشه به ابزارهای ناشناخته یا بدافزارهای اختصاصی نیاز ندارد. گاهی همان ابزارهای قانونی و فعال در سیستم می‌توانند به بخشی از مسیر حمله تبدیل شوند، روشی که با عنوان…
❗️در حملات سایبری، مهاجم همیشه به ابزارهای ناشناخته یا بدافزارهای اختصاصی نیاز ندارد. گاهی همان ابزارهای قانونی و فعال در سیستم می‌توانند به بخشی از مسیر حمله تبدیل شوند، روشی که با عنوان…
🔥6
ویدئوی من از BITS در صفحه شرکت هامون
https://www.linkedin.com/posts/haumoun_aepaetaeuahyaes-cybersecurity-threatdetection-activity-7512849219372843008-rsyJ?utm_source=share&utm_medium=member_android&rcm=ACoAAAoOfTcB5k1E_hg69jDwmxkGWzsBxqx6B9s
https://www.linkedin.com/posts/haumoun_aepaetaeuahyaes-cybersecurity-threatdetection-activity-7512849219372843008-rsyJ?utm_source=share&utm_medium=member_android&rcm=ACoAAAoOfTcB5k1E_hg69jDwmxkGWzsBxqx6B9s
LinkedIn
#امنیت #cybersecurity #threatdetection #soc #haumoun_training #شبکه | Haumoun
حمله‌ای که با ابزار خودتان انجام شود، چطور از دید شما پنهان می‌ماند؟
❗️در حملات سایبری، مهاجم همیشه به ابزارهای ناشناخته یا بدافزارهای اختصاصی نیاز ندارد. گاهی همان ابزارهای قانونی و فعال در سیستم می‌توانند به بخشی از مسیر حمله تبدیل شوند، روشی که با عنوان…
❗️در حملات سایبری، مهاجم همیشه به ابزارهای ناشناخته یا بدافزارهای اختصاصی نیاز ندارد. گاهی همان ابزارهای قانونی و فعال در سیستم می‌توانند به بخشی از مسیر حمله تبدیل شوند، روشی که با عنوان…
🔥3💯2
#امنیت_به_زبان_ساده
سرویس WinRM (Windows Remote Management) سرویس مدیریت از راه دور ویندوز است؛ به ادمین اجازه می‌دهد از طریق شبکه، روی سیستم‌های دیگر فرمان اجرا کند، اطلاعات بگیرد و تنظیمات را مدیریت کند. PowerShell Remoting معمولاً از WinRM استفاده می‌کند.
پورت‌های پیش‌فرض آن عبارت‌اند از:
- TCP 5985: ارتباط HTTP
- TCP 5986: ارتباط HTTPS
هکر با آن چه می‌کند؟ اگر مهاجم اعتبارنامه معتبر و مجوز لازم برای اتصال داشته باشد، میتواند از WinRM برای این کارها استفاده کند:
- حرکت جانبی: از سیستم اولیه به سرورها و سیستم‌های دیگر متصل شود.
- اجرای فرمان از راه دور: فرمان‌ها و اسکریپت‌های خود را روی مقصد اجرا کند.
- شناسایی محیط: کاربران، سرویس‌ها، پردازش‌ها و تنظیمات سیستم را بررسی کند.
- اجرای ابزار یا بدافزار: با سطح دسترسی حسابی که در اختیار دارد.
- استفاده از ابزارهای بومی ویندوز: فعالیت مخرب را میان عملیات عادی مدیریت سیستم پنهان کند؛ نمونه‌ای از رویکرد Living off the Land.
مثال: مهاجم حساب یک ادمین را سرقت می‌کند. اگر سرور مقصد WinRM فعال داشته باشد و اتصال آن حساب مجاز باشد، مهاجم میتواند بدون باز کردن دسکتاپ RDP، روی سرور فرمان اجرا کند.
نکته برای SOC: در بسیاری از اجرای‌های PowerShell Remoting، پردازش wsmprovhost.exe در مقصد دیده میشود. بررسی فرمان‌ها و پردازش‌های مرتبط با آن، همراه با مبدأ اتصال و حساب استفاده‌شده، ارزشمند است؛ وجود این پردازش به‌تنهایی نشانه حمله نیست.
فعال بودن WinRM به‌خودی‌خود یعنی هک شدن سیستم نیست؛ خطر اصلی، دسترسی شبکه‌ای گسترده و سوءاستفاده از حساب‌های مجاز است.
#WinRM #PowerShell #WindowsSecurity #CyberSecurity #SOC #ThreatHunting #LateralMovement #LivingOffTheLand #BlueTeam #امنیت_سایبری #امنیت_ویندوز #مرکز_عملیات_امنیت #شکار_تهدید #آکادمی_روزبه
سرویس WinRM (Windows Remote Management) سرویس مدیریت از راه دور ویندوز است؛ به ادمین اجازه می‌دهد از طریق شبکه، روی سیستم‌های دیگر فرمان اجرا کند، اطلاعات بگیرد و تنظیمات را مدیریت کند. PowerShell Remoting معمولاً از WinRM استفاده می‌کند.
پورت‌های پیش‌فرض آن عبارت‌اند از:
- TCP 5985: ارتباط HTTP
- TCP 5986: ارتباط HTTPS
هکر با آن چه می‌کند؟ اگر مهاجم اعتبارنامه معتبر و مجوز لازم برای اتصال داشته باشد، میتواند از WinRM برای این کارها استفاده کند:
- حرکت جانبی: از سیستم اولیه به سرورها و سیستم‌های دیگر متصل شود.
- اجرای فرمان از راه دور: فرمان‌ها و اسکریپت‌های خود را روی مقصد اجرا کند.
- شناسایی محیط: کاربران، سرویس‌ها، پردازش‌ها و تنظیمات سیستم را بررسی کند.
- اجرای ابزار یا بدافزار: با سطح دسترسی حسابی که در اختیار دارد.
- استفاده از ابزارهای بومی ویندوز: فعالیت مخرب را میان عملیات عادی مدیریت سیستم پنهان کند؛ نمونه‌ای از رویکرد Living off the Land.
مثال: مهاجم حساب یک ادمین را سرقت می‌کند. اگر سرور مقصد WinRM فعال داشته باشد و اتصال آن حساب مجاز باشد، مهاجم میتواند بدون باز کردن دسکتاپ RDP، روی سرور فرمان اجرا کند.
نکته برای SOC: در بسیاری از اجرای‌های PowerShell Remoting، پردازش wsmprovhost.exe در مقصد دیده میشود. بررسی فرمان‌ها و پردازش‌های مرتبط با آن، همراه با مبدأ اتصال و حساب استفاده‌شده، ارزشمند است؛ وجود این پردازش به‌تنهایی نشانه حمله نیست.
فعال بودن WinRM به‌خودی‌خود یعنی هک شدن سیستم نیست؛ خطر اصلی، دسترسی شبکه‌ای گسترده و سوءاستفاده از حساب‌های مجاز است.
#WinRM #PowerShell #WindowsSecurity #CyberSecurity #SOC #ThreatHunting #LateralMovement #LivingOffTheLand #BlueTeam #امنیت_سایبری #امنیت_ویندوز #مرکز_عملیات_امنیت #شکار_تهدید #آکادمی_روزبه
❤4💯2