نفوذ و زنجیره تامین
اینطور که گفته میشه، هکر با نفوذ در شرکت توسن تونسته به اطلاعات چندین بانک ایران دست یابد و اونها رو مجبور به پرداخت باج کرده است.
اگر خبر لینک زیر درست باشه ، خطر نفوذ و حملاتی چنین رو من بیش از یکسال پیش گوشزد کرده بودم.
برای نفوذ در یک سازمان بزرگ و مهم ، یا نفوذ به یک کشور ، نفوذ گر شناسایی میکنه اون سازمان و کشور به چی وابسته است . این روش در زمره حمله زنجیره تامین قرار میگیره .
مثلا اگر پاودیش در ایران همه گیر باشه یا توکن کیهان فراگیر باشه یا محصول SIEM فلان شرکت در مراکز حساس استفاده بشه و دستور بیاد حتما از یکسری شرکت خاص خدمات بگیرید مطمئن باشید از فردای روزی که دستور آمده و یا محصول فراگیر شده ؛ اون شرکت های تولید کننده و خدمات دهنده تارگت حمله و نفوذ خواهند شد .
به نحوی که نفوذگر تلاش میکنه با نفوذ در شرکت های تولید کننده محصول یا ارائه دهنده خدمات ؛ به سازمان اصلی و هدف؛ و مراکز دولتی ، شرکت های حساس و زیرساخت حیاتی نفوذ کند .
اینجا سوال هست که آیا امنیت در اون شرکت های خدمات دهنده و تولید کننده محصول ؛ در حد و اندازه و قواره سازمان‌های استفاده کننده محصول و خدمت هست ؟
آیا امنیت در لایه های فیزیکی ، شبکه و نرم افزار، تامین نیروی انسانی و... در اون شرکت‌ها به میزان لازم میباشد؟
همگی خاطره شرکت انیاک رو بخاطر داریم که مسوولیت تبادلات بانکی رو برعهده گرفته بود درصورتی که از بدیهیات امنیت بی بهره بود.
لذا لازم است امنیت زنجیره تامین در تولید محصولات و ارائه خدمات در کشور جدی گرفته شود که یا نفوذ در چرخه تولید کاهش یابد یا زود کشف شود .
درحال حاضر شرکت‌های تولید کننده نرم افزار و سخت افزار ( اعم از امنیتی یا غیر امنیتی ) و شرکت های ارائه دهنده خدمات IT و OT و امنیت، متاسفانه میتوانند محل نفوذ به سازمان‌های مهم باشند، که باید سریعتر برای آن راهکارهایی درنظر گرفته شود.
💫روزبه نوروزی ۱۵ شهریور ۱۴۰۳
#تجربه #امنیت
#cybersecurity
https://www.politico.eu/article/iran-millions-ransom-massive-cyberattack-banks/
اینطور که گفته میشه، هکر با نفوذ در شرکت توسن تونسته به اطلاعات چندین بانک ایران دست یابد و اونها رو مجبور به پرداخت باج کرده است.
اگر خبر لینک زیر درست باشه ، خطر نفوذ و حملاتی چنین رو من بیش از یکسال پیش گوشزد کرده بودم.
برای نفوذ در یک سازمان بزرگ و مهم ، یا نفوذ به یک کشور ، نفوذ گر شناسایی میکنه اون سازمان و کشور به چی وابسته است . این روش در زمره حمله زنجیره تامین قرار میگیره .
مثلا اگر پاودیش در ایران همه گیر باشه یا توکن کیهان فراگیر باشه یا محصول SIEM فلان شرکت در مراکز حساس استفاده بشه و دستور بیاد حتما از یکسری شرکت خاص خدمات بگیرید مطمئن باشید از فردای روزی که دستور آمده و یا محصول فراگیر شده ؛ اون شرکت های تولید کننده و خدمات دهنده تارگت حمله و نفوذ خواهند شد .
به نحوی که نفوذگر تلاش میکنه با نفوذ در شرکت های تولید کننده محصول یا ارائه دهنده خدمات ؛ به سازمان اصلی و هدف؛ و مراکز دولتی ، شرکت های حساس و زیرساخت حیاتی نفوذ کند .
اینجا سوال هست که آیا امنیت در اون شرکت های خدمات دهنده و تولید کننده محصول ؛ در حد و اندازه و قواره سازمان‌های استفاده کننده محصول و خدمت هست ؟
آیا امنیت در لایه های فیزیکی ، شبکه و نرم افزار، تامین نیروی انسانی و... در اون شرکت‌ها به میزان لازم میباشد؟
همگی خاطره شرکت انیاک رو بخاطر داریم که مسوولیت تبادلات بانکی رو برعهده گرفته بود درصورتی که از بدیهیات امنیت بی بهره بود.
لذا لازم است امنیت زنجیره تامین در تولید محصولات و ارائه خدمات در کشور جدی گرفته شود که یا نفوذ در چرخه تولید کاهش یابد یا زود کشف شود .
درحال حاضر شرکت‌های تولید کننده نرم افزار و سخت افزار ( اعم از امنیتی یا غیر امنیتی ) و شرکت های ارائه دهنده خدمات IT و OT و امنیت، متاسفانه میتوانند محل نفوذ به سازمان‌های مهم باشند، که باید سریعتر برای آن راهکارهایی درنظر گرفته شود.
💫روزبه نوروزی ۱۵ شهریور ۱۴۰۳
#تجربه #امنیت
#cybersecurity
https://www.politico.eu/article/iran-millions-ransom-massive-cyberattack-banks/
Forwarded from Ping Channel (علی کیائی‌فر)
خبر، تحلیل، انتقاد - فناوری اطلاعات
Please open Telegram to view this post
VIEW IN TELEGRAM
گفته میشه روش جدید APT های منتسب به ایران لینک زیر هست .
شاید اونوری ها هم علیه ما استفاده کرده بودند.
چک کنیم.
#آکادمی_روزبه
https://gist.github.com/MHaggis/7e67b659af9148fa593cf2402edebb41
شاید اونوری ها هم علیه ما استفاده کرده بودند.
چک کنیم.
#آکادمی_روزبه
https://gist.github.com/MHaggis/7e67b659af9148fa593cf2402edebb41
Gist
PSWA.md
GitHub Gist: instantly share code, notes, and snippets.
آکادمی آموزش روزبه 📚
گفته میشه روش جدید APT های منتسب به ایران لینک زیر هست . شاید اونوری ها هم علیه ما استفاده کرده بودند. چک کنیم. #آکادمی_روزبه https://gist.github.com/MHaggis/7e67b659af9148fa593cf2402edebb41
روش مقابله و کشف رو از ChatGPT بخونیم
#آکادمی_روزبه
Detecting and defending against PowerShell web access attacks requires a multi-layered security approach. Here’s a guide on how to address these threats:
### Detection Methods
1. Monitor PowerShell Activity:
- Script Block Logging: Enable script block logging in PowerShell. This records all blocks of PowerShell code that are executed, which helps identify malicious scripts.
-
- Enable-Module Logging:
- Enable PowerShell transcription logging:
- PowerShell Script Block Logs will be saved in Event ID 4104.
2. Windows Event Logs:
- Monitor Windows Event IDs 4103, 4104, and 4688 for suspicious PowerShell commands. These logs give information on script execution and process creation.
- Use Sysmon (System Monitor) to track detailed process creations and network connections initiated via PowerShell.
3. Network Traffic Analysis:
- PowerShell-based attacks often involve external communication (C2 servers). Analyze outbound traffic for unusual connections (especially HTTP or HTTPS traffic) from PowerShell processes.
- Use network intrusion detection systems (IDS) such as Snort or Suricata to inspect traffic for patterns like base64-encoded PowerShell commands or suspicious PowerShell downloads.
4. Monitor PowerShell Web Access (PSWA) Logs:
- PSWA is a web-based feature allowing users to run PowerShell commands. Logs for PSWA are stored in the Windows Event Logs under Event ID 4100. Review these logs to detect unusual access patterns.
5. Detect PowerShell Encoding or Obfuscation:
- Attackers often use encoded or obfuscated PowerShell commands. Check for use of Base64-encoded commands (flag
6. Behavioral Analysis:
- Use Endpoint Detection and Response (EDR) tools to detect suspicious behavior from PowerShell, such as:
- PowerShell invoking
- PowerShell spawning new processes, especially if it triggers scripts or executables.
### Defense Methods
1. Disable or Restrict PowerShell Web Access:
- If PowerShell Web Access is not required, disable it entirely to minimize the attack surface. If necessary, limit access to authorized users only and restrict it via firewall rules.
2. Application Whitelisting:
- Use tools like AppLocker or Windows Defender Application Control to restrict which PowerShell scripts can be executed. Block execution of unsigned or unknown PowerShell scripts.
3. Constrained Language Mode:
- Enforce Constrained Language Mode for PowerShell, which limits the functionality of the language and prevents the execution of dangerous commands unless scripts are signed and trusted.
4. JEA (Just Enough Administration):
- Implement Just Enough Administration (JEA) to limit the PowerShell capabilities of users. JEA restricts users to only the minimal PowerShell commands required to perform specific tasks.
5. Network Segmentation:
- Segregate critical systems from each other using VLANs and firewalls. PowerShell attacks often involve lateral movement within a network, so strong segmentation can contain attacks.
6. Anti-Malware and EDR Solutions:
- Use modern anti-malware tools that support real-time monitoring and detection of malicious PowerShell activities, like Microsoft Defender for Endpoint, CrowdStrike, or TrendMicro Vision One.
7. Regular Patching:
- Ensure all systems and software are patched against known vulnerabilities, including Windows OS, PowerShell, and third-party software.
#آکادمی_روزبه
Detecting and defending against PowerShell web access attacks requires a multi-layered security approach. Here’s a guide on how to address these threats:
### Detection Methods
1. Monitor PowerShell Activity:
- Script Block Logging: Enable script block logging in PowerShell. This records all blocks of PowerShell code that are executed, which helps identify malicious scripts.
-
Set-ExecutionPolicy RemoteSigned- Enable-Module Logging:
Set-PSDebug -Trace 1
- Enable PowerShell transcription logging:
Set-ItemProperty 'HKLM:\SOFTWARE\Microsoft\PowerShell\3\PowerShellEngine' -Name 'EnableScriptBlockLogging' -Value 1
- PowerShell Script Block Logs will be saved in Event ID 4104.
2. Windows Event Logs:
- Monitor Windows Event IDs 4103, 4104, and 4688 for suspicious PowerShell commands. These logs give information on script execution and process creation.
- Use Sysmon (System Monitor) to track detailed process creations and network connections initiated via PowerShell.
3. Network Traffic Analysis:
- PowerShell-based attacks often involve external communication (C2 servers). Analyze outbound traffic for unusual connections (especially HTTP or HTTPS traffic) from PowerShell processes.
- Use network intrusion detection systems (IDS) such as Snort or Suricata to inspect traffic for patterns like base64-encoded PowerShell commands or suspicious PowerShell downloads.
4. Monitor PowerShell Web Access (PSWA) Logs:
- PSWA is a web-based feature allowing users to run PowerShell commands. Logs for PSWA are stored in the Windows Event Logs under Event ID 4100. Review these logs to detect unusual access patterns.
5. Detect PowerShell Encoding or Obfuscation:
- Attackers often use encoded or obfuscated PowerShell commands. Check for use of Base64-encoded commands (flag
-EncodedCommand) and obfuscated strings in scripts.6. Behavioral Analysis:
- Use Endpoint Detection and Response (EDR) tools to detect suspicious behavior from PowerShell, such as:
- PowerShell invoking
wget or curl to download files.- PowerShell spawning new processes, especially if it triggers scripts or executables.
### Defense Methods
1. Disable or Restrict PowerShell Web Access:
- If PowerShell Web Access is not required, disable it entirely to minimize the attack surface. If necessary, limit access to authorized users only and restrict it via firewall rules.
2. Application Whitelisting:
- Use tools like AppLocker or Windows Defender Application Control to restrict which PowerShell scripts can be executed. Block execution of unsigned or unknown PowerShell scripts.
3. Constrained Language Mode:
- Enforce Constrained Language Mode for PowerShell, which limits the functionality of the language and prevents the execution of dangerous commands unless scripts are signed and trusted.
4. JEA (Just Enough Administration):
- Implement Just Enough Administration (JEA) to limit the PowerShell capabilities of users. JEA restricts users to only the minimal PowerShell commands required to perform specific tasks.
5. Network Segmentation:
- Segregate critical systems from each other using VLANs and firewalls. PowerShell attacks often involve lateral movement within a network, so strong segmentation can contain attacks.
6. Anti-Malware and EDR Solutions:
- Use modern anti-malware tools that support real-time monitoring and detection of malicious PowerShell activities, like Microsoft Defender for Endpoint, CrowdStrike, or TrendMicro Vision One.
7. Regular Patching:
- Ensure all systems and software are patched against known vulnerabilities, including Windows OS, PowerShell, and third-party software.
آکادمی آموزش روزبه 📚
گفته میشه روش جدید APT های منتسب به ایران لینک زیر هست . شاید اونوری ها هم علیه ما استفاده کرده بودند. چک کنیم. #آکادمی_روزبه https://gist.github.com/MHaggis/7e67b659af9148fa593cf2402edebb41
ادامه از پست قبل
8. Threat Intelligence:
- Subscribe to threat intelligence feeds that provide information on the latest PowerShell-based attack patterns. This helps in proactively updating detection and defense mechanisms.
9. Network Firewall and Proxy Restrictions:
- Block direct internet access from servers or endpoints that don’t require it. Control PowerShell’s access to external resources by using proxies and strict firewall rules.
By implementing these detection and defense strategies, you can significantly reduce the risk of PowerShell web access attacks while maintaining a secure environment.
8. Threat Intelligence:
- Subscribe to threat intelligence feeds that provide information on the latest PowerShell-based attack patterns. This helps in proactively updating detection and defense mechanisms.
9. Network Firewall and Proxy Restrictions:
- Block direct internet access from servers or endpoints that don’t require it. Control PowerShell’s access to external resources by using proxies and strict firewall rules.
By implementing these detection and defense strategies, you can significantly reduce the risk of PowerShell web access attacks while maintaining a secure environment.
اینکه هکر میخواد پس از نفوذ اولیه ؛ هنوز به سیستم دسترسی داشته باشه میشه تلاش برای ثبوت دسترسی
درمورد لینوکس اونو از زبان اسپلانک ببینیم
#آکادمی_روزبه
https://research.splunk.com/stories/linux_persistence_techniques/
درمورد لینوکس اونو از زبان اسپلانک ببینیم
#آکادمی_روزبه
https://research.splunk.com/stories/linux_persistence_techniques/
Splunk Security Content
Analytics Story: Linux Persistence Techniques
Date: 2021-12-17 ID: e40d13e5-d38b-457e-af2a-e8e6a2f2b516 Author: Teoderick Contreras, Splunk Product: Splunk Enterprise Security Description Monitor for activities and techniques associated with maintaining persistence on a Linux system--a sign that an adversary…
#تجربه
نجات از باج افزار؛
خاطره ای برایEDR قسمت ۱۴
( برای مطالعه سایر قسمت ها به لینکدین مراجعه شود )
یادم میاد چند ماه پیش یه آلرت تو SIEM از EDR دیدم که پراسسی رو kill کرده بود. شاهد دیگه و نکته ای نبود.
پس از تحقیق همچنین مسیری که در لاگ افتاده بود دیدم یکی از دلیل هاش این میتونه باشه که کسی بخواد به Shadow copy ویندوز دست پیدا کنه براش این اتفاق میافته.
این مکانیسم بیشتر بخاطر تلاش باج افزارها برای پاک کردن VSS اتفاق میافته . چون VSS به ما قدرت اینو میده که بتونیم ویندوز رو به حالتی قبل از آلودگی به باج افزار برگردونیم. لذا باج افزارهایی اول سعی می‌کنند VSS رو پاک کنند تا دست ما خالی باشه.
و اما بقیه ماجرا چی شد؟
در اون حالت EDR شناسایی رو انجام داده بود ولی آنتی ویروس نتونسته بود شناسایی کنه . احتمالا چون باج افزار جدید بوده و شاید هم به طرز خاصی از خواب درآمده یا به روش خاصی انداخته شده.
ما با فرض وجود باج افزار کار رو شروع کردیم و درنهایت از طریق سایر روشها محل و سپس منشا آلودگی رو پیدا کردیم.
اینو گفتم که مزیت EDR و همچنین نحوه کارکرد اونو بگم و اینکه
هر حافظ امنیتی قرار نیست همه کار بکند پس آنتی ویروس اگر چیزی رو شناسایی نکرد دلیل بر اینکه اون کلا بد هست نمی‌باشد.
و ضمنا بگم چقدر لازمه آماده به فرضیه سازی و هانت باشید.
روزبه نوروزی
شهریور ۱۴۰۳
#آنتی_ویروس
#تجربه #درس_آموخته
#cybersecurity #threathunting #edr ##antivirus #malware #malwareanalysis
نجات از باج افزار؛
خاطره ای برایEDR قسمت ۱۴
( برای مطالعه سایر قسمت ها به لینکدین مراجعه شود )
یادم میاد چند ماه پیش یه آلرت تو SIEM از EDR دیدم که پراسسی رو kill کرده بود. شاهد دیگه و نکته ای نبود.
پس از تحقیق همچنین مسیری که در لاگ افتاده بود دیدم یکی از دلیل هاش این میتونه باشه که کسی بخواد به Shadow copy ویندوز دست پیدا کنه براش این اتفاق میافته.
این مکانیسم بیشتر بخاطر تلاش باج افزارها برای پاک کردن VSS اتفاق میافته . چون VSS به ما قدرت اینو میده که بتونیم ویندوز رو به حالتی قبل از آلودگی به باج افزار برگردونیم. لذا باج افزارهایی اول سعی می‌کنند VSS رو پاک کنند تا دست ما خالی باشه.
و اما بقیه ماجرا چی شد؟
در اون حالت EDR شناسایی رو انجام داده بود ولی آنتی ویروس نتونسته بود شناسایی کنه . احتمالا چون باج افزار جدید بوده و شاید هم به طرز خاصی از خواب درآمده یا به روش خاصی انداخته شده.
ما با فرض وجود باج افزار کار رو شروع کردیم و درنهایت از طریق سایر روشها محل و سپس منشا آلودگی رو پیدا کردیم.
اینو گفتم که مزیت EDR و همچنین نحوه کارکرد اونو بگم و اینکه
هر حافظ امنیتی قرار نیست همه کار بکند پس آنتی ویروس اگر چیزی رو شناسایی نکرد دلیل بر اینکه اون کلا بد هست نمی‌باشد.
و ضمنا بگم چقدر لازمه آماده به فرضیه سازی و هانت باشید.
روزبه نوروزی
شهریور ۱۴۰۳
#آنتی_ویروس
#تجربه #درس_آموخته
#cybersecurity #threathunting #edr ##antivirus #malware #malwareanalysis
⛳️هرچیزی از راه علم؛
مقوله هایی چونSSDLC, CSSLP
این روزها که هک احتمالی بانک‌های کشور صدر اخبار است من هم سعی کرده ام درچند پست زوایای علمی مساله رو باز کنم.
با توجه به اینکه شرکت طرف هکرها یک شرکت نرم افزاری بوده است ( توسن) که نرم افزارهای طیف وسیعی از مشتریان را تهیه و ساپورت می‌کرده است باید دید آیا چرخه امن تولید نرم افزار در آن شرکت به دقت پیاده شده بوده است ؟
یکی از راهنماها برای پیاده سازی چرخه تولید امن نرم افزار راهنمای سازمان ISC2 است که تحت عنوان مدرک CSSLP عرضه شده است.
به نظرم تمام شرکت هایی که در تولید برنامه های مهم نرم افزاری نقش دارند باید آموزش CSSLP رو در دستور کار خود داشته باشند و ترجیحا یک نفر سرتیفای این مدرک در شرکت مذکور حضور داشته باشد.
این مهم را بانک‌ها و مشتریان هم باید از شرکت‌های تولید کننده نرم افزار بخواهند .
💫روزبه نوروزی
#هک #بانک
#تجربه
#cybersecurity ##cyberforensics #csslp
#ssdlc
https://www.isc2.org/certifications/csslp
مقوله هایی چونSSDLC, CSSLP
این روزها که هک احتمالی بانک‌های کشور صدر اخبار است من هم سعی کرده ام درچند پست زوایای علمی مساله رو باز کنم.
با توجه به اینکه شرکت طرف هکرها یک شرکت نرم افزاری بوده است ( توسن) که نرم افزارهای طیف وسیعی از مشتریان را تهیه و ساپورت می‌کرده است باید دید آیا چرخه امن تولید نرم افزار در آن شرکت به دقت پیاده شده بوده است ؟
یکی از راهنماها برای پیاده سازی چرخه تولید امن نرم افزار راهنمای سازمان ISC2 است که تحت عنوان مدرک CSSLP عرضه شده است.
به نظرم تمام شرکت هایی که در تولید برنامه های مهم نرم افزاری نقش دارند باید آموزش CSSLP رو در دستور کار خود داشته باشند و ترجیحا یک نفر سرتیفای این مدرک در شرکت مذکور حضور داشته باشد.
این مهم را بانک‌ها و مشتریان هم باید از شرکت‌های تولید کننده نرم افزار بخواهند .
💫روزبه نوروزی
#هک #بانک
#تجربه
#cybersecurity ##cyberforensics #csslp
#ssdlc
https://www.isc2.org/certifications/csslp
www.isc2.org
ISC2 CSSLP Certified Secure Software Lifecycle Professional
Secure your cybersecurity career with ISC2’s CSSLP certification and gain expertise in software lifecycle security and secure coding practices.
یه بنده خدایی رفته کلاس چند روزه اکسپلویت نویسی کرنل ویندوز ، ولی قصد کرده که مطالب رو واسه خودش مرور کنه و برای دیگران هم بنویسه.
اگر علاقمند بودید ؛ سلسله پست های لینک زیر رو دریابید.
کلا بدونین نمیشه یه رشته از دانش رو در چند روز یاد گرفت لذا مرور و تمرین لازم داره و برخی موقع ها باید یه سری به منابع دیگه زد.
پس هرموقع بوت کمپ رفتید اینو بدونین اگر کارهایی که گفتم رو انجام ندین یا مطالب کلا یادتون میره یا فقط میشه حفظیات .
حتی اونها تئوری نیستند و بلکه فقط محفوظات هستند.
#آکادمی_روزبه
https://rootkits.xyz/blog/2017/06/kernel-setting-up/
اگر علاقمند بودید ؛ سلسله پست های لینک زیر رو دریابید.
کلا بدونین نمیشه یه رشته از دانش رو در چند روز یاد گرفت لذا مرور و تمرین لازم داره و برخی موقع ها باید یه سری به منابع دیگه زد.
پس هرموقع بوت کمپ رفتید اینو بدونین اگر کارهایی که گفتم رو انجام ندین یا مطالب کلا یادتون میره یا فقط میشه حفظیات .
حتی اونها تئوری نیستند و بلکه فقط محفوظات هستند.
#آکادمی_روزبه
https://rootkits.xyz/blog/2017/06/kernel-setting-up/
rootkit
Windows Kernel Exploitation Tutorial Part 1: Setting up the Environment - rootkit
Intro Recently, I had the pleasure to attend the training on Windows Kernel Exploitation at nullcon by the HackSysTeam. The training was well executed, and I got the intro into the world of kernel. But, as you know, nobody could teach you internals about…
برای علاقمندان SOC
مروری بر همبسته سازی در رولهای سیگما
کارشناسانی که دائما رولها رو در SIEM به روز می‌کنند مطمئنا تا کنون با رولهای سیگما کارکردن و میدونن که درسال جاری میلادی؛ خصوصیت همبسته سازی یا Correlation به اون اضافه شده .
اگر هنوز درمورد این خصوصیت چیزی نمیدونید یا میخواین بیشتر بخونین پیشنهاد میکنم که لینک زیر رو نگاهی بندازین.
رولهای سیگما کمک مهمی در تبادلات فی‌مابین SIEM ها و همچنین گفتمان بین متخصصین و مهندسین کشف نفوذ دارند.
رولهای سیگما چه هستند ؟
این رولها یک نحوه ی نگارش و مستند سازی اطلاعات است. نحوه کشف حملات و نفوذ ها که توسط تحلیلگران در سرتاسر جهان پیدا شده است توسط این رولها مستند میگردند . این قابلیت وجود دارد که SIEM ها از این رولها استفاده کرده و با تبدیل آنها به رولهای خودشان از آن متد ها برای کشف نفوذ استفاده کنند.
ضمنا متخصصان در رشته کشف نفوذ میتوانند از آخرین تهدیدات و نحوه کشف اونها مطلع شوند.
#آکادمی_روزبه
#کشف_نفوذ
#امنیت
#تجربه
#cybersecurity #threathunting #cyberforensics #sigma #sigmarule
https://blog.sigmahq.io/introducing-sigma-correlations-52fe377f2527
مروری بر همبسته سازی در رولهای سیگما
کارشناسانی که دائما رولها رو در SIEM به روز می‌کنند مطمئنا تا کنون با رولهای سیگما کارکردن و میدونن که درسال جاری میلادی؛ خصوصیت همبسته سازی یا Correlation به اون اضافه شده .
اگر هنوز درمورد این خصوصیت چیزی نمیدونید یا میخواین بیشتر بخونین پیشنهاد میکنم که لینک زیر رو نگاهی بندازین.
رولهای سیگما کمک مهمی در تبادلات فی‌مابین SIEM ها و همچنین گفتمان بین متخصصین و مهندسین کشف نفوذ دارند.
رولهای سیگما چه هستند ؟
این رولها یک نحوه ی نگارش و مستند سازی اطلاعات است. نحوه کشف حملات و نفوذ ها که توسط تحلیلگران در سرتاسر جهان پیدا شده است توسط این رولها مستند میگردند . این قابلیت وجود دارد که SIEM ها از این رولها استفاده کرده و با تبدیل آنها به رولهای خودشان از آن متد ها برای کشف نفوذ استفاده کنند.
ضمنا متخصصان در رشته کشف نفوذ میتوانند از آخرین تهدیدات و نحوه کشف اونها مطلع شوند.
#آکادمی_روزبه
#کشف_نفوذ
#امنیت
#تجربه
#cybersecurity #threathunting #cyberforensics #sigma #sigmarule
https://blog.sigmahq.io/introducing-sigma-correlations-52fe377f2527
Medium
Introducing Sigma Correlations
One of the most requested features for Sigma in the last years was the ability to express correlation searches. Now it’s available!
سوال؛ آزمایشگاه فارنزیک و تحلیل بدافزار :
یکسری DLL حاصل از اجرای یک فایل exe تولید شده است. در آنالیز تایم لاین؛ آیا شماره جدول MFT برای prefetch فایل اون exe بعداز فایل های DLL است یا قبل از آن یا مشاهده نمیگردد یا اصلا تولید نمیشود؟
یکسری DLL حاصل از اجرای یک فایل exe تولید شده است. در آنالیز تایم لاین؛ آیا شماره جدول MFT برای prefetch فایل اون exe بعداز فایل های DLL است یا قبل از آن یا مشاهده نمیگردد یا اصلا تولید نمیشود؟
Anonymous Poll
12%
اصلا تولید نمیگردد
10%
بعد از DLL ولی زمان قبل از آن است
30%
بعد از DLL و زمان هم بعد از آن است
13%
در جدول MFT درج نمیگردد
7%
رمز شده درج می‌شود
21%
قبل از DLL و زمان هم قبل از آن است
6%
قبل از DLL ولی زمان بعد از آن است
آکادمی آموزش روزبه 📚 pinned «سوال؛ آزمایشگاه فارنزیک و تحلیل بدافزار :
یکسری DLL حاصل از اجرای یک فایل exe تولید شده است. در آنالیز تایم لاین؛ آیا شماره جدول MFT برای prefetch فایل اون exe بعداز فایل های DLL است یا قبل از آن یا مشاهده نمیگردد یا اصلا تولید نمیشود؟»
یکسری DLL حاصل از اجرای یک فایل exe تولید شده است. در آنالیز تایم لاین؛ آیا شماره جدول MFT برای prefetch فایل اون exe بعداز فایل های DLL است یا قبل از آن یا مشاهده نمیگردد یا اصلا تولید نمیشود؟»
راهنمایی برای تیم آبی
دربرابر کبالت استرایک
#آکادمی_روزبه
https://thedfirreport.com/2022/01/24/cobalt-strike-a-defenders-guide-part-2/
دربرابر کبالت استرایک
#آکادمی_روزبه
https://thedfirreport.com/2022/01/24/cobalt-strike-a-defenders-guide-part-2/
The DFIR Report
Cobalt Strike, a Defender’s Guide - Part 2
In this post, we will focus on the network traffic it produced, and provide some easy wins defenders can be on the look out for to detect beaconing activity. We cover topics such as Domain Fronting, SOCKS proxy, C2 traffic, Sigma rules, JARM, JA3/s, RITA…
اگر به CISSP علاقمندید این فیلمها که مرتبط با سرفصل های این آموزش و آزمون هستند را ببینید
#آکادمی_روزبه
https://www.studynotesandtheory.com/single-post/if-you-re-studying-for-the-cissp-watch-these-movies
#آکادمی_روزبه
https://www.studynotesandtheory.com/single-post/if-you-re-studying-for-the-cissp-watch-these-movies
studynotesandtheory
If You’re Studying For The CISSP, Watch These Movies
I knew if I wanted to pass the CISSP the first time, I’d need to eat, sleep, dream, breathe the CISSP. Studying for the CISSP became a strong part of my everyday thinking. I’d wake up thinking about DRP/BCP, and I’d go to sleep thinking about Mandatory Access…
اهمیت زمان در مدیریت حادثه سایبری
#مثال
در باب اهمیت زمان در مقوله فوق قلمفرسایی بسیاری شده است. فقط یک نکته را من مجدد یادآور شوم.
اگر هرچه زودتر بدانید سیستمی آلوده شده یا دست هکر است بهتر است. و هرچه زودتر سیستم تحویل واحد فارنزیک بشود نتیجه بهتری را شاهد خواهیم بود.
حتی اگر پس از آلودگی، دستگاه فرمت شده باشد و ویندوز جدید نصب شده باشد می‌توان کاری کرد.
اصولا هرچه زمان بگذرد بخشی از ردپا ها از بین می‌روند.
مثلا در مثال فوق اگر سریع عمل کنید امکان دارد بتوانید فایل MFT قبلی را پیدا کنید و بازنویسی نشده باشد. آن فایل حاوی اطلاعات مهمی است که تحلیلگر فارنزیک می‌تواند نتیجه گیری های مهمی از آن بگیرد.
برای مثال رفتارهایی که با فایل ها در سیستم سابق شده است چیست؟ چون MFT بنوعی دیتابیسی از اطلاعات و متا دیتای فایلهای درایو است .
#تجربه #درس_آموخته
#فارنزیک
#cybersecurity ##cyberforensics
#آکادمی_روزبه
#مثال
در باب اهمیت زمان در مقوله فوق قلمفرسایی بسیاری شده است. فقط یک نکته را من مجدد یادآور شوم.
اگر هرچه زودتر بدانید سیستمی آلوده شده یا دست هکر است بهتر است. و هرچه زودتر سیستم تحویل واحد فارنزیک بشود نتیجه بهتری را شاهد خواهیم بود.
حتی اگر پس از آلودگی، دستگاه فرمت شده باشد و ویندوز جدید نصب شده باشد می‌توان کاری کرد.
اصولا هرچه زمان بگذرد بخشی از ردپا ها از بین می‌روند.
مثلا در مثال فوق اگر سریع عمل کنید امکان دارد بتوانید فایل MFT قبلی را پیدا کنید و بازنویسی نشده باشد. آن فایل حاوی اطلاعات مهمی است که تحلیلگر فارنزیک می‌تواند نتیجه گیری های مهمی از آن بگیرد.
برای مثال رفتارهایی که با فایل ها در سیستم سابق شده است چیست؟ چون MFT بنوعی دیتابیسی از اطلاعات و متا دیتای فایلهای درایو است .
#تجربه #درس_آموخته
#فارنزیک
#cybersecurity ##cyberforensics
#آکادمی_روزبه
یک گزارش APT بخونیم
#آکادمی_روزبه
https://intel471.com/blog/threat-hunting-case-study-uncovering-fin7?utm_content=307648580&utm_medium=social&utm_source=linkedin&hss_channel=lcp-3744600
#آکادمی_روزبه
https://intel471.com/blog/threat-hunting-case-study-uncovering-fin7?utm_content=307648580&utm_medium=social&utm_source=linkedin&hss_channel=lcp-3744600
Intel 471
Threat hunting case study: Uncovering FIN7
FIN7 is one of the most persistent and capable financially motivated threat actor groups. Here's how to threat hunt for signs of a FIN7 intrusion.
امکان ارتقای دسترسی با توجه به آسیب پذیری در Installer ویندوز
#آکادمی_روزبه
https://sec-consult.com/blog/detail/msi-installer-repair-to-system-a-detailed-journey/
#آکادمی_روزبه
https://sec-consult.com/blog/detail/msi-installer-repair-to-system-a-detailed-journey/
SEC Consult
Microsoft Windows MSI Installer - Repair to SYSTEM - A detailed journey
Repair functions of Microsoft Windows MSI installers can be vulnerable in several ways, for instance allowing local attackers to escalate their privileges to SYSTEM rights. This vulnerability is referenced as CVE-2024-38014.