اسپلانک ؛ پیاده سازی UF با GPO



#آکادمی_روزبه


https://blog.edie.io/2020/03/28/deploying-splunk-universal-forwarders-via-gpo/amp/

بیایم از یک الگوریتم داده کاوی data mining برای کمک در شکار تهدیدات استفاده کنیم.

شناخت اوضاع غیر نرمال


#آکادمی_روزبه

ثبت نام دوره CISSP از طریق واتس اپ 09902857290

https://www.huntandhackett.com/blog/kmeans-clustering-for-lateral-movement-detection

در لینک زیر تفاوتهایی مهندس و تکنسین امنیت رو مرور کرده ام

https://www.linkedin.com/posts/roozbehnoroozi_%D8%B1%DB%8C%D8%A7%D8%B6%DB%8C-%DB%8C%D8%A7-%D8%AF%D8%B1%D9%88%D8%B3-%D8%B9%D9%84%D9%88%D9%85-%D9%BE%D8%A7%DB%8C%D9%87-%D8%A8%D9%87-%DA%86%D9%87-%D8%AF%D8%B1%D8%AF%DB%8C-%D9%85%DB%8C%D8%AE%D9%88%D8%B1%D9%87-activity-7279362086277644288-niP9?utm_source=share&utm_medium=member_android

گزارش تحلیلی


وقتی کاربران ایرانی نمی‌توانند ادوبی را به روز کنند ممکن است در این دام بیفتند

#آکادمی_روزبه

https://blogs.jpcert.or.jp/en/2024/12/watering_hole_attack_part1.html

امروز اسناد مناقصه دیدم واسه مشاوره امنیت .
کلی تخصص ردیف کرده بود.
زنگ زدم توضیح دادم ‌آیا با CISSP آشنا هستید ؟ چون هرچی نوشتین تو CISSP هست.
اگه آشنا بودن کافی بود یه CISSP مینوشتن

این مدرک به قدر خودش در ایران شناخته نشده

یه نگاهی به تعداد دارندگان اون در جهان بندازیم

https://en.m.wikipedia.org/wiki/Certified_Information_Systems_Security_Professional

فارنزیکی متفاوت

#آکادمی_روزبه

https://www.mailxaminer.com/blog/gmail-email-forensics/

این مطلب رو جناب پیام طاهری به اشتراک گذاشتند خیلی جالب بود گفتم شما هم استفاده ببرید


#آکادمی_روزبه

https://practicalsecurityanalytics.com/extracting-credentials-from-windows-logs/

توصیه میکنم آپاچی رو دریابید چون PoC اومده


#آکادمی_روزبه

https://securityonline.info/cve-2024-45387-poc-published-for-critical-sql-injection-in-apache-traffic-control/

مستند CISA برای مقابله با باج افزار

#آکادمی_روزبه

هر وقت سازمانی رفت سراغ cobit و SABSA و C2M2 و امثالهم ؛ میشه انتظار داشت اون سازمان از خیلی جنبه ها بالغ شده وگرنه دراکثر سازمان‌ها فعلا تجارت ابزار و نرم افزار داریم تا استفاده از اونها.
اونوقت حتی میشه در مورد کیفیت پذیرایی از پرسنل اون سازمان تا کیفیت رول نویسی روی فایروال نظر داد

سراغ اینها رفتن شاید یه همت ملی میخواد .

#آکادمی_روزبه

⚠️شما شماره ملی یکی رو داشته باش
و
موبایلش
نتیجه آزمایش‌پزشکی اونو در بسیاری از آزمایشگاه‌های تهران ببین.


همین قدر زیبا
همین قدر بی امنیت و بی اهمیت !!
حریم شخصی ما


🚫پس شماره تلفنت پسوردت شده لذا اونو هرجایی نده !!
چون مسوولین رسیدگی نمیکنن این راهکار رو گفتم .


پی نوشت : در آمریکا قانون حفاظت از اسناد پزشکی تحت نام HIPAA وجود دارد .

یکدل تا اخذ مدرک عالی امنیت

افزایش CISSP از ۶ نفر کنونی در ایران

واتس اپ برای پیوستن به ما
09902857290

آشنایی و کار با ابزار YAF

#آکادمی_روزبه

https://tools.netsa.cert.org/yaf/usecases.html

ابزار اوسینت امروز

#آکادمی_روزبه

https://github.com/ibnaleem/gosearch

اولین PoC سال جدید میلادی برای ویندوز

#آکادمی_روزبه

https://github.com/SafeBreach-Labs/CVE-2024-49112

⚠️وقتی ویندوز علیه شما دستکاری می‌شود: تعییر پروفایل پاورشل
بحثی پیرامون مدل بلوغ SOC در دوره CISSP
#blueteam #cissp

برای مثال، در یک سناریوی واقعی، هکر می‌تواند تغییراتی در پروفایل پاورشِل (PowerShell Profiles)اعمال کند تا از کشف فعالیت‌های مخرب خود جلوگیری کند. این پروفایل‌ها فایل‌های اسکریپتی هستند که هنگام اجرای پاورشِل بارگذاری می‌شوند و می‌توانند برای تغییر تنظیمات و محیط پاورشِل استفاده شوند.

❇️مثال سناریوی مخرب:
هکر می‌تواند با اضافه کردن اسکریپتی به پروفایل پاورشِل، ردپاهای لاگ‌برداری یا فرمان‌های قبلی را حذف کند.

فایل‌های پروفایل پاورشِل:
پروفایل‌ها معمولاً در یکی از مسیرهای زیر قرار دارند:
- C:\Users\<UserName>\Documents\WindowsPowerShell\Microsoft.PowerShell_profile.ps1
- C:\Windows\System32\WindowsPowerShell\v1.0\profile.ps1

👈تغییر مخرب:
هکر می‌تواند کدی مانند زیر به پروفایل اضافه کند:

powershell
پاک کردن تاریخچه فرمان‌ها
Remove-Item -Path (Get-PSReadlineOption).HistorySavePath -Force
غیرفعال کردن تاریخچه برای استفاده‌های بعدی
Set-PSReadlineOption -HistorySaveStyle SaveNothing

پنهان کردن فرمان‌ها در لاگ‌های Event Viewer
$LogFile = "C:\Windows\System32\LogFiles\PowerShell.evtx"
Remove-Item -Path $LogFile -Force -ErrorAction SilentlyContinue


☣️اثرات:
1. پاک کردن تاریخچه دستورات: تمام دستورات اجرا شده در پاورشِل حذف می‌شوند.
2. غیرفعال کردن ثبت دستورات: تضمین می‌کند که تاریخچه دستورات جدید ثبت نشود.
3. حذف فایل‌های لاگ: فایل‌های لاگ مرتبط با پاورشِل از سیستم حذف می‌شوند.


✅️ نحوه تشخیص:
- بررسی تغییرات در فایل‌های پروفایل پاورشِل (مانند تغییر زمان آخرین ویرایش).
- استفاده از ابزارهای SIEM (مانند Splunk) برای شناسایی فعالیت‌های غیرمعمول.
- اجرای دستوری برای مشاهده پروفایل کاربر:
powershell
Get-Content $PROFILE

- استفاده از نرم‌افزارهای نظارتی برای جلوگیری از تغییر در فایل‌های پروفایل حساس.

🔰راهکارهای پیشگیرانه:
1. فعال کردن AppLocker یا WDAC:برای جلوگیری از اجرای پروفایل‌های غیرمجاز.
2. محدود کردن دسترسی به فایل‌های پروفایل: فقط کاربران مجاز بتوانند این فایل‌ها را تغییر دهند.
3. استفاده از مانیتورینگ پاورشِل:نظارت بر دستورات و فایل‌های پروفایل پاورشِل با ابزارهایی مانند Microsoft Defender for Endpoint.


** واتس اپ برای شرکت در دوره مدرک عالی امنیت CISSP:
09902857290

#cissp #cisspexam #cisspperp

بله یک شبه نمیتوان SOC کامل داشت.

#آکادمی_روزبه

🏮 فهم دستورات فارنزیک

در مواقعی لازم هست دستورات پاورشلی را برای اخذ اطلاعات از سیستم بزنیم. اما حتما شنیده اید که برخی برپایه CIM هستند و برخی WMI . حالا ببینیم تفاوت چیست و خودتان تمرین عملی داشته باشید :

تمرین فارنزیک برای مقایسه CIM و WMI

هدف: با استفاده از دستورات مشابه CIM و WMI اطلاعات سیستم را استخراج کنید و تفاوت در روش اجرا و خروجی را مشاهده کنید



1. دریافت اطلاعات سیستم:
- CIM:

Get-CimInstance -ClassName Win32_ComputerSystem

- WMI:

Get-WmiObject -Class Win32_ComputerSystem


2. دریافت اطلاعات سخت‌افزار (CPU):
- CIM:

Get-CimInstance -ClassName Win32_Processor

- WMI:

Get-WmiObject -Class Win32_Processor


3. دریافت فرآیندهای در حال اجرا:
- CIM:

Get-CimInstance -ClassName Win32_Process | Select-Object Name, ProcessId

- WMI:

Get-WmiObject -Class Win32_Process | Select-Object Name, ProcessId


4. بررسی وضعیت سرویس‌ها:
- CIM:

Get-CimInstance -ClassName Win32_Service | Where-Object { $_.State -eq "Running" }

- WMI:

Get-WmiObject -Class Win32_Service | Where-Object { $_.State -eq "Running" }


تحلیل خروجی‌ها
به نکات زیر توجه کنید
1. سرعت اجرا:
آیا یکی از دستورات سریع‌تر اجرا می‌شود؟
2. فرمت خروجی:
آیا خروجی CIM خواناتر و مدرن‌تر به نظر می‌رسد؟
3. تفاوت ساختاری:
آیا تفاوتی در عمق اطلاعات یا ساختار داده‌ها وجود دارد؟


کدام دستور برای شما راحت‌تر و سریع‌تر بود؟ چرا؟
آیا امنیت بیشتر CIM در مقایسه با WMI برای شما محسوس بود؟
فکر می‌کنید چرا مایکروسافت از CIM به جای WMI حمایت می‌کند؟

تمرین های بیشتر

1. اطلاعات کاربران سیستم
- CIM:

Get-CimInstance -ClassName Win32_UserAccount

- WMI:

Get-WmiObject -Class Win32_UserAccount


2. اطلاعات شبکه
- CIM:

Get-CimInstance -ClassName Win32_NetworkAdapterConfiguration | Where-Object { $_.IPEnabled -eq $true }

- WMI:

Get-WmiObject -Class Win32_NetworkAdapterConfiguration | Where-Object { $_.IPEnabled -eq $true }


3. اطلاعات مربوط به درایورها
- CIM:

Get-CimInstance -ClassName Win32_PnPSignedDriver

- WMI:

Get-WmiObject -Class Win32_PnPSignedDriver


4. بررسی نرم‌افزارهای نصب‌شده
- CIM:

Get-CimInstance -ClassName Win32_Product

- WMI:

Get-WmiObject -Class Win32_Product


5. بررسی Event Logs
- CIM:

Get-CimInstance -ClassName Win32_NTLogEvent | Select-Object Logfile, SourceName, Message -First 5

- WMI:

Get-WmiObject -Class Win32_NTLogEvent | Select-Object Logfile, SourceName, Message -First 5


6. بررسی وضعیت سیستم عامل
- CIM:

Get-CimInstance -ClassName Win32_OperatingSystem
`
- WMI:

Get-WmiObject -Class Win32_OperatingSystem

مثال برای مقایسه امنیت بین CIM و WMI
یکی از تفاوت‌های اصلی CIM و WMI در نحوه ارتباط آن‌ها با سیستم است. برای نشان دادن این موضوع، می‌توانید از تست ارتباط امن با سرور ریموت استفاده کنید.


ارتباط با سیستم ریموت
- CIM با WSMan (پروتکل امن):

$Session = New-CimSession -ComputerName "RemoteServer" -Credential (Get-Credential)
Get-CimInstance -ClassName Win32_ComputerSystem -CimSession $Session

- WMI با DCOM (کمتر امن):

Get-WmiObject -Class Win32_ComputerSystem -ComputerName "RemoteServer" -Credential (Get-Credential)

#آکادمی_روزبه

**همیشه دلیل کارها و دستورات را بپرسید و بخوانید.

راهنمای امنیت سایبری از سازمان ASD استرالیا

#آکادمی_روزبه