پاسخ به یک سوال مهم :

پیرو حادثه crowdstrike و مشکل درایور این محصول که منجر به بلو اسکرین در سراسر جهان شد سوالی به میان میاید :
ویندوز با Patchguard که از انتهای ویندوز xp ارائه کرد دیگر اجازه نمی‌دهد هر کسی در کرنل دستکاری کند ، اما EDR و XDR ها ادعا می‌کنند توسط درایور ها در تعامل با کرنل هستند . حد این تعامل چیست که حادثه ای چون CrowdStrike رخ می‌دهد؟ و اینکه چرا مایکروسافت اخیرا جلسه ای بدون حضور خبرنگاران با اصحاب تولید کننده محصولاتی چون XDR و EDR گذاشته تا ایشان را از کرنل بیرون کند؟!!


من تعاملی با ChatGPT داشتم به جواب زیر رسیدم


Windows PatchGuard (also known as Kernel Patch Protection or KPP) is a security feature introduced by Microsoft to prevent unauthorized code from patching or modifying the Windows kernel on 64-bit systems. Its main goal is to maintain kernel integrity by ensuring that only trusted and signed code operates within the kernel space, protecting against malicious attacks, rootkits, or unauthorized kernel modifications.

### Relation Between Windows PatchGuard and EDR Drivers

#### 1. Kernel-Level Drivers and PatchGuard
- EDR Driver Requirements: Many EDR (Endpoint Detection and Response) solutions require kernel-level drivers to monitor system events, processes, and behavior in real time. These drivers operate in kernel mode, where they have higher privileges to access and monitor sensitive operations (file access, memory usage, etc.). However, PatchGuard enforces strict rules on what can and cannot interact with or modify the kernel.

- PatchGuard Restrictions: PatchGuard specifically blocks unauthorized drivers or software from modifying critical parts of the Windows kernel, such as:
- System Service Descriptor Table (SSDT) hooks
- Interrupt Descriptor Table (IDT) hooks
- Kernel Object Manipulation
- Modification of the Kernel Debugger

This ensures that the kernel remains in a known, stable state, preventing malware or poorly written drivers from tampering with it. Thus, any legitimate EDR driver must respect PatchGuard's restrictions, meaning that it cannot perform kernel patching or directly modify protected kernel structures.

#### 2. Signed Drivers and PatchGuard Compliance
- Driver Signing: For EDR drivers to function within the constraints of PatchGuard, they must be properly signed with a valid digital signature. Microsoft enforces driver signing to ensure that only trusted drivers are loaded into kernel space. Drivers that attempt to bypass or disable PatchGuard violate this trust model and are blocked by the system.

- Windows Hardware Quality Labs (WHQL) Certification: Most reputable EDR vendors will seek WHQL certification for their drivers, ensuring that they operate within Microsoft's guidelines for kernel interaction. This certification process ensures that the driver respects PatchGuard’s policies and doesn’t introduce instability or security vulnerabilities.

#### 3. Driver Operation Without Violating PatchGuard
- Non-Patching Approach: EDR drivers must monitor and respond to system events without directly modifying kernel structures or patching kernel code, which would violate PatchGuard. Instead, they:
- Hook into legitimate, documented APIs that provide system monitoring capabilities.
- Rely on Windows Filtering Platform (WFP), ETW (Event Tracing for Windows), or Hypervisor-protected Code Integrity (HVCI) for monitoring low-level events.
- Use legitimate kernel interfaces to gather data about processes, network activity, and file operations without modifying protected kernel data structures.

- User Mode and Kernel Mode Balance: Some EDR solutions split their functionality between user-mode agents and kernel-mode drivers. The driver performs low-level monitoring, while the user-mode components handle less sensitive tasks, ensuring that EDR solutions work effectively within the boundaries set by PatchGuard.
ادامه در پست بعد

#آکادمی_روزبه

#cybersecurity #threathunting #cyberforensics #Stuxnet #risk #edr #xdr

ادامه از پست قبل 👆👆

#### 4. Is Using a Driver a Violation?
- No, It’s Not a Violation (When Done Correctly): Using a kernel driver in EDR solutions is not inherently a violation of PatchGuard. It’s only a violation if the driver attempts to patch or modify the kernel in ways that violate Windows security policies. Well-designed EDR solutions comply with PatchGuard by using standard APIs and legitimate kernel interfaces to achieve monitoring and protection goals.

- Working Within Kernel Mode: The EDR driver operates *within* the kernel, but it doesn’t modify or patch critical parts of the kernel itself. Instead, it monitors and reports events while respecting PatchGuard's restrictions. This allows it to maintain visibility into the system without breaching the kernel's integrity or violating Windows security rules.

### Summary
- Windows PatchGuard prevents unauthorized modifications to the Windows kernel, ensuring that the system's core remains intact and protected.
- EDR drivers operate within kernel mode but must comply with PatchGuard rules, meaning they cannot modify or patch the kernel directly.
- No violation occurs if the EDR driver is properly signed, respects PatchGuard’s limitations, and uses legitimate kernel monitoring techniques rather than trying to alter or bypass kernel protections.

#آکادمی_روزبه
#cybersecurity #threathunting #cyberforensics #Stuxnet #risk #edr #xdr

بررسی دلایل اعلام شرایط وضعیت قرمز سایبری
بصورت عام

همانطور که بنا به اعلام در منابع خبری مختلف مطلع هستید برای شرایط سایبری اعلام وضعیت قرمز از سوی افتا و پدافند غیر عامل انجام شده است.

حال سوال برخی بر این است آیا الان که همه هشیارند دشمن حمله خواهد کرد ؟ و آیا این اعلام هشدار فقط یک واکنش احساسی است ؟

اصولا پس از اینکه حمله ای چون دو روز گذشته علیه یک هدف خاص اونهم فیزیکی انجام می‌گیرد انجام عملیات سایبری علیه ایران اگر چه رد نمی‌شود ولی در شرایط فعلی بسیار کم میباشد. تمرکز دشمن بر حمله اولیه و مهار تنش و واکنش ایجاد شده است. لذا در سطح حملات کنونی احتمال حمله سایبری از نظر اینجانب پایین میباشد.

اما اعلام وضعیت قرمز از سوی سازمان‌های متولی در کشور در وهله اول انجام وظایف قانونی برای هشدار و آماده باش است اما مساله اصلی به نظر اینجانب در واکنش احتمالی ایران به مساله نهفته است.

کسی نمی‌تواند منکر شود که احتمال زیاد دشمن در ایران ایمپلنت هایی را برای روز مبادا و فعال سازی بمب های دیجیتالی انجام داده است . لذا ممکن است با واکنش احتمالی ایران به قضیه؛ از دو جهت امکان حمله سایبری علیه ایران وجود دارد :
حمله از بیرون
حمله از طریق ایمپلنت های کار گذاشته شده

لذا به نظر من واکنش افتا در صدور اطلاعیه سطح قرمز بیشتر به حمله دشمن پس از واکنش احتمالی ایران برمی‌گردد.

🔴 حالا وظیفه شما چیست ؟
به این فکر کنید آیا شبکه و سیستم های شما مبدا حملات به کشور در روز حمله خواهند شد؟ پس بهتر است دنبال ایمپلنت های احتمالی و آلودگی ها و نفوذ های خفته ای باشید تا از هم اکنون جلوی فاجعه را بگیرید .


#تفکر_نقادانه
#استدلال_منطقی
#cybersecurity #cyberforensics #Stuxnet

اگر میتوانی چیزی را تصور کنی ؛ احتمال زیاد اون حمله قبلا انجام شده است!!. پس سازمانت رو برای یافتن اثر رد پا بگرد .

Designing Active Directory DACL Backdoors

مستند فوق با تفکر اشاره شده در اول این پست تهیه شده است.نفوذی بدونه نیاز به بدافزار . security descriptor ها در اکتیو دایرکتوری توسط بسیاری از تیم های آبی و قرمز رها می‌شوند و به آنها توجهی نمیگردد. معمولا سخت است که بفهمیم که تنظیمات غلط یک AD Sec Desc به عمد بوده یا سهوی انجام شده است‌.
توسط مقاله ی فوق میتوانید به تکنیکی مسلط شوید که می‌تواند بعنوان بک دوری استفاده شود که سالها در سازمان شما باقی بماند.
امیدوارم با مطالعه این مستند ؛ محافظان امنیت و طراحان زیرساخت و تیم های دفاعی بتوانند این راهکار برای نفوذ را از بین ببرند یا نفوذ های کشف شده را خنثی سازند.


#threathunting #cyberforensics #Stuxnet #risk #governance #cyberforensics #activedirectory

#آکادمی_روزبه

#امنیت_به_زبان_ساده

امضای کد و برنامه


هکرها همیشه دنبال آن بوده اند تا برنامه مخرب را برنامه ای مفید جلوه دهند تا بتوانند از چنگ آنتی ویروس ها یا فرآیند های تشخیصی درون سیستم عامل ؛ بگریزند.

اگر بخواهیم سیستم های عامل به برنامه ای اعتماد کنند یا برنامه ای به یک dll اعتماد کند؛ راهکار مهم امضای دیجیتال است.
برنامه ای که دارای امضای دیجیتال است قابل اعتماد بوده و حتی آنتی ویروس می‌تواند آنرا نادیده بگیرد و سیستم عامل هم آن برنامه یا dll را فراخوانی کند. این موضوع یک قرارداد در دنیای سایبری است.

بواسطه این فناوری ، تیر ویروس نویسان به هدف نمی‌خورد چون برنامه های آنها شناسنامه ندارد و توسط خود سیستم عامل بلاک می‌شوند یا آنتی ویروس به آنها اجازه اجرا نمی‌دهد.

اصولا امضای دیجیتال یکی از پایه های برپایی بنای جهان سایبری است که بواسطه آنها ؛ اقلام در این جهان بهم اعتماد می‌کنند.

حالا گروه های هکری و هکر هایی که پشتوانه مالی دارند اقدام به تهیه سرتیفیکیت های جعلی کرده اند. این امضا ها برنامه های آنها را مورد اعتماد جلوه می‌دهد برای مثال این هکرها برای خرید یک سرتیفیکیت ، شرکتی را به ثبت می‌رسانند و از هویت برخی نابلدان و بی اطلاعان و همچنین نیازمندان مالی استفاده کرده و سرتیفیکیت برای خود تهیه می‌کنند.

بطور خلاصه و ساده باید گفت در این فرآیند؛ یک محل اعتبار دهی ( شرکت CA) در فرآیند تایید امضای برنامه ها؛ با یک فرد و شرکت قلابی طرف می‌شود و در تعیین هویت او گول می‌خورد. این سرتیفیکت و امضایی که توسط این فرآیند تولید می‌شود برای امضای برنامه ها و dll های مخرب استفاده می‌شود تا بتوانند از سدهای دفاعی سازمانها و سیستم ها عبور کنند .
در نوعی دیگر از سوء استفاده ، هکر از یک سرتیفیکیت و امضای معتبر استفاده می‌کند تا برنامه خود را به امضا برساند.


در مستند زیر مطالب مربوطه به مقوله ای که در فوق اشاره شد در راستای تبیین جرایم دنیای دیحیتال؛ به طرز تفصیلی مورد بحث و بررسی قرار گرفته است

امید که این نحوه نگارش بنده، توانسته باشد به زبان ساده مبحث سوء استفاده از امضای دیجیتال را روشن کرده باشد.


#آموزش #روزبه_نوروزی
#cybersecurity #digitalcertificate #cyberforensics ##cybercrime

پی نوشت : آنتی ویروس های پیشرفته و راهکارهای تشخیص بدافزار تلفیقی ، به مقوله امضای دیجیتال بعنوان راهکار تشخیص یا عدم تشخیص کدهای سالم و ناسالم اکتفا نمی‌کنند و یا مکانیزم هایی نظیر sandboxing یا تلفیق لاگ فعالیت کمپوننت ها ، رفتارهای مخرب را شناسایی میکنند. اما باید گفت این روش درحال حاضر، قابلیت گستره شدن (scaling ) بطور کامل ندارد یا خیلی از سازمان‌ها توان پیاده سازی آنرا ندارند ؛ لذا جعل سرتیفیکیت قدم مهمی در جلب اعتماد و نفوذ است.

کشف کردن خفه سازی EDR

استفاده از رولهای WFP ویندوز برای خفه کردن صدای EDR رو به افزایش است .

برای کشف این حمله حتما شماره رویداد های 5155 و 5157 را پایش کنید

لذا یکی از راه های دور خوردن EDR را اینطور کنترل کنید.



شعار من :
همه چیز کاملا ناتوان نیست همه چیز راهکار کامل نیست هرچیزی خوبی و ناتوانی دارد .

قرار نیست ابزارها برای ما معجزه کنند . راهکارهای ما قرار است ریسک را کنترل کنند. پس هنر شما است که هکر را به چالش می‌کشد.


#تجربه #درس_آموخته #انتقال_دانش #اشتراک_مطلب


#cybersecurity #threathunting #cyberforensics #sigma #lolbin
#آکادمی_روزبه

https://learn.microsoft.com/en-us/previous-versions/windows/it-pro/windows-10/security/threat-protection/auditing/audit-filtering-platform-connection

#استخدام تحلیلگر امنیت سایبری


لطفا به شرایط دقت فرمایید

مسلط به دوره های زیر :
Security+, SANS 504, 503, 511, 508, 572, 542, 500

سابقه ۲ سال در امنیت ۱ سال در تحلیل امنیت
آشنا به یک SIEM
مسلط به تحلیل لاگ ویندوز ***
علاقمند به مطالعه دائم
آشنا به لاگ لینوکس

کارت پایان خدمت
حضوری فول تایم تهران

⭕️اصلا لازم نیست رول نویسی متبحر باشد یا به چیزی چون اسپلانک مسلط باشد.
✅️مهم درک لاگ و تحلیل حمله و مدیریت حادثه است .

اگر واقعا این شرایط را دارید؛ میتوانید همکار من شوید . رزومه را به آدرس زیر detect@chmail.ir بفرستید در عنوان ایمیل نوشته شود تحلیلگر امنیت سایبری .

دوستانی که سابقه لازمی که گفته شده را نداشته باشند میتوانند رزومه ارسال کنند اما از ایشان آزمون کتبی بعمل می‌آید.

دریافتی خالص ۴۰ تا ۵۰ م تومان ( شروع سال جدید متناسب با تورم؛ افزایش حقوق خواهد بود )


لطفا با فوروارد این پست کمک کنید همکارم رو پیدا کنم 🙏

#استخدام #امنیت #امنیت_سایبری
#cybersecurity #cyberforensics

یک #تجربه مهم
کاهش نویز در هنگام حادثه

فرض کنید به محل SOC یک سازمان شما را دعوت می‌کنند که به آن نفوذ شده است یعنی شواهدی از نفوذ مشاهده گردیده است.

شما چکار میکنید ؟

یکی از اقدامات مهم به نظر من کاهش نویز است. کاهش نویز به چه معنا است ؟ همه می‌دانیم در بسیاری از سازمانها کنترل های امنیتی در لایه های مختلف پیاده نشده اند لذا شما با مجموعه ای از لاگ ها و آلرت ها حاصل از misconfiguration ها یا عدم وجود کنترل مواجه میشوید‌ .
مثلا رولهای مناسبی بین ویلن ها موجود نیست یا دربخشی از سازمان IDS دید ندارد و شما لاگ هایی مرتبط با آن بخش از سایر سنسور ها می‌بینید که معنایی برای شما ندارند. این محیط از نظر من پر از نویز است . شما با مجموعه ای از اطلاعات احاطه شده اید که امکان تشخیص را در شما کاهش داده اند.
قدم مورد نیاز برای حل این موضوع پیاده سازی چند کنترل مهم در راستای کاهش نویز است .
مثلا برای ویلنی که امکان آلودگی مشاهده میگردد IPS روی UTM را فعال کنید . در سریعترین زمان ممکن یک اسپن از پورت سوئیچ یه IDS ارسال کنید .
در ذهن خود طرحی را تجسم کنید که منجر به کشف سریع هکر شود اما او دیر تر دست شما را بخواند .
در این راستا مجموعه ای از کنترل هایی که سریع و با هزینه کم قابل انجام هستند را پیاده کنید تا بتوانید Visibility بالاتری در زیرساخت بدست بیاورید . بعنوان کاتالوگ کنترل‌ها می‌توانم شما را به مستند ۱۸ کنترل حیاتی CIS ارجاع دهم.

یک مورد از تجربیات شخصی ام این است که در حادثه ای من برای کاهش نویز اقدام به خاموش کردن تعدادی از سرویس هایی که لاگ می‌انداختند کردم‌ . این قدم هم سیستم را هاردن می‌کرد هم من را از بخشی از لاگها رهایی میداد.

تحلیلگران و فارنزیک کاران باید هم خود بدانند و هم مدیران ارشد را متقاعد کنند که خط مشی مدیریت حادثه در سازمان نوشته شود و همه درک کنند مدیریت حادثه چرخه ای دارد و زمان بر است و خیلی وابسته به استراتژی ای است که انتخاب می‌شود. استراتژی بسته به هدف سازمان برگزیده می‌شود و این استراتژی به ما حکم می‌کند که شاید کشف و واکنش به حادثه ماه‌ها طول بکشد و صاحبان کسب و کار باید درک کنند که این مساله در راستای اهداف سازمان است.
در این فضا است که این تجربه کاهش نویز قابل انجام است وگرنه اگر خط مشی مدیریت حادثه نباشد و مدیران به مراحل آشنا نباشند ؛ مدیریت حادثه باید یکساعته جمع شود و گزارش گردد !! و فرصتی برای غور در ردپای هکر نمی‌ماند.

حالا که تا اینجا این مطلب راخواندید و اگر سواد و مهارت مدیریت حادثه بصورت تئوری و عملی را دارید و همچنین تحلیلگر خوبی هستید میتوانید با من همکار شوید . اگر تمایل دارید در pv پیام دهید


#تجربه #درس_آموخته #انتقال_دانش #اشتراک_مطلب
#cybersecurity #threathunting #cyberforensics #ethics #privacy

راهکاری امن برای کنترل اسکریپت ها

امروزه استفاده از انواع اسکریپت ها برای اجرای کد های مخرب بسیار رواج دارد . در برخی موارد مانند پاورشل می‌توان در برخی سازمانها اجرای آنرا محدود کرد اما این راهکار نمی‌تواند کارایی داشته باشد.

در روش زیر شما اجبار میکنید که بجای اجرای اسکریپت ؛ آن اسکریپت به کاربر نمایش داده شود. این راهکار در کل دامین قابل پیاده سازی است.

** تست شده و جواب مثبت و کارا است.


#تجربه #درس_آموخته
#cybersecurity #cyberforensics
#امنیت #امنیت_سایبری #ریسک #مدیریت

https://kostas-ts.medium.com/my-favourite-security-focused-gpo-stopping-script-execution-with-file-associations-59a05b6d181e

اینم خدمت دوستانی که خیلی دوست دارند کاربرد واقعی و عملی NetFlow در کشف APT رو ببینن.

یک پیوست واسه درس سنز ۵۷۲ ( فارنزیک و هانت شبکه )

#آکادمی_روزبه

https://www.linkedin.com/posts/roozbehnoroozi_cybersecurity-threathunting-cyberforensics-activity-7260738737603547138-aDlC?utm_source=share&utm_medium=member_android