👆ادامه از پست قبل
ترویج فرهنگ پرسشگری
تشویق به طرح سوالات چالشی: دانش‌آموزان باید یاد بگیرند که به دنبال علت‌ها و پیامدها بگردند. برای مثال، چرا یک حمله سایبری موفق شده است؟
ایجاد گروه‌های تحقیقاتی: گروه‌های دانش‌آموزی می‌توانند پروژه‌های امنیت سایبری را بررسی کنند و به سوالات تحلیلی پاسخ دهند.
استفاده از فناوری‌های نوین در آموزش
آموزش مبتنی بر بازی: بازی‌هایی که نیاز به تحلیل و استدلال دارند، می‌توانند جذابیت یادگیری را افزایش دهند. مثلاً، شبیه‌سازی حملات سایبری در قالب بازی.
ابزارهای شبیه‌سازی سایبری: استفاده از ابزارهایی مثل Cyber Range میتواند مهارت‌های استدلال را در شرایط واقعی تقویت کند.
مثال عملی: برنامه‌ریزی برای بهبود استدلال
یک مدرسه میتواند برنامه‌ای طراحی کند که شامل آموزش تفکر تحلیلی، تحلیل حملات سایبری، و ایجاد شبیه‌سازی‌های واقعی باشد. دانش‌آموزان در این برنامه یاد می‌گیرند که چگونه لاگ‌های سیستم را بررسی کنند و تهدیدهای امنیتی را شناسایی نمایند.
ارزیابی و پیگیری مستمر
ارزیابی عملکرد دانش‌آموزان: برگزاری آزمون‌های عملی میتواند نقاط ضعف را شناسایی کند.
پیگیری پیشرفت دانش‌آموزان: معلمان باید پیشرفت دانش‌آموزان را در زمینه استدلال سایبری به طور منظم پیگیری کنند.
در این مقاله، با بررسی نقش استدلال در امنیت سایبری، تاثیرات ضعف استدلال در این حوزه، و ارائه راهکارهای آموزشی، سعی کردم تا نشان دهم که چگونه می‌توان این چالش را حل کرد و نسل آینده تحلیلگران امنیتی را برای مقابله با تهدیدات سایبری آماده کرد.
#آکادمی_روزبه
ترویج فرهنگ پرسشگری
تشویق به طرح سوالات چالشی: دانش‌آموزان باید یاد بگیرند که به دنبال علت‌ها و پیامدها بگردند. برای مثال، چرا یک حمله سایبری موفق شده است؟
ایجاد گروه‌های تحقیقاتی: گروه‌های دانش‌آموزی می‌توانند پروژه‌های امنیت سایبری را بررسی کنند و به سوالات تحلیلی پاسخ دهند.
استفاده از فناوری‌های نوین در آموزش
آموزش مبتنی بر بازی: بازی‌هایی که نیاز به تحلیل و استدلال دارند، می‌توانند جذابیت یادگیری را افزایش دهند. مثلاً، شبیه‌سازی حملات سایبری در قالب بازی.
ابزارهای شبیه‌سازی سایبری: استفاده از ابزارهایی مثل Cyber Range میتواند مهارت‌های استدلال را در شرایط واقعی تقویت کند.
مثال عملی: برنامه‌ریزی برای بهبود استدلال
یک مدرسه میتواند برنامه‌ای طراحی کند که شامل آموزش تفکر تحلیلی، تحلیل حملات سایبری، و ایجاد شبیه‌سازی‌های واقعی باشد. دانش‌آموزان در این برنامه یاد می‌گیرند که چگونه لاگ‌های سیستم را بررسی کنند و تهدیدهای امنیتی را شناسایی نمایند.
ارزیابی و پیگیری مستمر
ارزیابی عملکرد دانش‌آموزان: برگزاری آزمون‌های عملی میتواند نقاط ضعف را شناسایی کند.
پیگیری پیشرفت دانش‌آموزان: معلمان باید پیشرفت دانش‌آموزان را در زمینه استدلال سایبری به طور منظم پیگیری کنند.
در این مقاله، با بررسی نقش استدلال در امنیت سایبری، تاثیرات ضعف استدلال در این حوزه، و ارائه راهکارهای آموزشی، سعی کردم تا نشان دهم که چگونه می‌توان این چالش را حل کرد و نسل آینده تحلیلگران امنیتی را برای مقابله با تهدیدات سایبری آماده کرد.
#آکادمی_روزبه
🌸پرونده تهدید سایبری : عملیات Shadow Hammer
یک گروه APT که گمان می‌رود با حمایت دولتی فعالیت می‌کند، از زنجیره تأمین برای نفوذ به سیستم‌ها استفاده کرد.
مرحله 1: شناسایی اولیه حادثه
در سال 2019، یک شرکت امنیتی (Kaspersky) گزارش داد که نسخه‌ای از نرم‌افزار مدیریت ASUS Live Update به خطر افتاده است. کاربران از طریق بروزرسانی‌های رسمی ASUS به‌صورت نامحسوس در معرض بدافزار قرار گرفته بودند. این بدافزار به دلیل استفاده از گواهی دیجیتال قانونی ASUS قابل تشخیص نبود.
ردپاهای اولیه:
کاربران گزارش‌هایی مبنی بر رفتار غیرعادی در نرم‌افزار خود ارسال کردند.
تحلیل ترافیک شبکه نشان داد که نرم‌افزار به دامنه‌های مشکوک متصل میشود.
گزارش کاربران: گزارش‌هایی از رفتار غیرمعمول نرم‌افزار ASUS Live Update.
تحلیل ترافیک شبکه:
ترافیک شبکه به دامنه‌های خارجی مشکوک، نظیر asushotfix.com، هدایت می‌شد.
استفاده از DNS مشکوک و ارتباطات رمزنگاری‌شده غیرمعمول.
اقدامات اولیه:
جمع‌آوری لاگ‌ها:
تحلیل لاگ‌های مربوط به نصب نرم‌افزار.
بررسی لیست فرآیندهای در حال اجرا و اتصالات شبکه.
استفاده از SIEM:
فیلترسازی رویدادها و شناسایی ارتباطات مشکوک به سرورهای خارجی.
ردیابی IPها و ارتباطات مشکوک با اطلاعات موجود در پایگاه‌های داده Threat Intelligence.
مرحله 2: تحلیل بدافزار
الف) تحلیل استاتیک:
نمونه‌های آلوده استخراج شدند و تحلیل استاتیک روی آنها انجام شد:
بررسی هدرهای PE فایل اجرایی:
فایل اجرایی دارای گواهی دیجیتال امضاشده ASUS بود.
هیچ تغییری در امضاهای دیجیتال به چشم نمی‌خورد، که نشان‌دهنده دسترسی مستقیم مهاجم به سیستم زنجیره تأمین بود.
بررسی کدها و باینری‌ها:
کد مخرب در یک بخش خاص از فایل (بخش .text) مخفی شده بود.
از تکنیک‌های کدگذاری XOR و رمزنگاری AES برای پنهان‌سازی payload استفاده شده بود.
ب) تحلیل دینامیک:
بدافزار در محیط Sandboxing (مثلاً Cuckoo Sandbox) اجرا شد:
مشاهده رفتار بدافزار:
جمع‌آوری اطلاعات سیستم:
MAC Address.
شناسه‌های سخت‌افزاری.
مقایسه اطلاعات جمع‌آوری‌شده با یک لیست داخلی (embedded whitelist).
اگر سیستم هدف در لیست بود:
بدافزار payload مخرب را از سرور C2 دریافت می‌کرد و اجرا می‌کرد.
این payload قابلیت نصب backdoor را داشت.
بررسی ارتباطات شبکه:
استفاده از TLS برای رمزنگاری ارتباطات با سرور C2.
ترافیک شبکه شامل درخواست‌های HTTP POST مشکوک با داده‌های رمزنگاری‌شده بود.
ج) تحلیل پیشرفته کد:
با استفاده از IDA Pro یا Ghidra:
دی‌کامپایل کد: مشخص شد که بدافزار از APIهای زیر استفاده می‌کند:
از CreateFile، ReadFile، و WriteFile برای دسترسی به فایل‌های سیستم.
از InternetOpen و InternetConnect برای ارتباط با اینترنت.
مکانیزم پایداری (Persistence): بدافزار از رجیستری ویندوز برای اجرای مجدد خود پس از ریبوت استفاده می‌کرد.
مرحله 3: رهگیری و تحلیل زیرساخت مهاجم
نت اول ؛ ادامه پست
الف) تحلیل دامنه‌ها و IPها:
دامنه‌های مشکوک نظیر asushotfix.com تحلیل شدند.
ارتباطات به یک سرور C2 در منطقه آسیای شرقی ختم شد.
ب) استفاده از Threat Intelligence:
و IPها و دامنه‌ها با اطلاعات موجود در پایگاه داده‌های تهدید بررسی شدند.
تطابق با فعالیت‌های قبلی گروه Shadow Hamme و مشاهده شده.
ج) کشف ابزارها و روش‌ها:
ابزارهای مورد استفاده مهاجم:
بدافزار اصلی در محیطی شبیه به نرم‌افزار مشروع امضا شده بود.
تکنیک‌های زنجیره تأمین برای توزیع نرم‌افزار آلوده.
تکنیک‌های استتار:
استفاده از لیست هدف محدود.
رمزنگاری داده‌های در حال انتقال و استفاده از امضای دیجیتال قانونی.
مرحله 4: اقدامات متقابل
اقدامات فوری:
مسدود کردن دامنه‌ها و IPها:
از طریق فایروال‌ها و راهکارهای DNS Filtering.
شناسایی سیستم‌های آلوده:
بررسی MAC Address سیستم‌ها برای تطابق با لیست هدف.
اقدامات بعدی:
انتشار هش فایل‌های مخرب و Signature آنها.
اطلاع‌رسانی به ASUS برای اصلاح فرآیند امضای دیجیتال.
همکاری با نهادهای بین‌المللی برای شناسایی و مختل کردن زیرساخت C2.
درس‌آموخته‌ها و نتیجه‌گیری
تقویت زنجیره تأمین:
بررسی دقیق کد و فرآیند امضای دیجیتال.
استفاده از EDR و Threat Hunting:
مانیتورینگ پیشرفته برای کشف رفتارهای غیرعادی در شبکه و سیستم.
شناسایی APTها:
ترکیب اطلاعات تهدید، تحلیل بدافزار، و رهگیری زیرساخت مهاجم.
یک گروه APT که گمان می‌رود با حمایت دولتی فعالیت می‌کند، از زنجیره تأمین برای نفوذ به سیستم‌ها استفاده کرد.
مرحله 1: شناسایی اولیه حادثه
در سال 2019، یک شرکت امنیتی (Kaspersky) گزارش داد که نسخه‌ای از نرم‌افزار مدیریت ASUS Live Update به خطر افتاده است. کاربران از طریق بروزرسانی‌های رسمی ASUS به‌صورت نامحسوس در معرض بدافزار قرار گرفته بودند. این بدافزار به دلیل استفاده از گواهی دیجیتال قانونی ASUS قابل تشخیص نبود.
ردپاهای اولیه:
کاربران گزارش‌هایی مبنی بر رفتار غیرعادی در نرم‌افزار خود ارسال کردند.
تحلیل ترافیک شبکه نشان داد که نرم‌افزار به دامنه‌های مشکوک متصل میشود.
گزارش کاربران: گزارش‌هایی از رفتار غیرمعمول نرم‌افزار ASUS Live Update.
تحلیل ترافیک شبکه:
ترافیک شبکه به دامنه‌های خارجی مشکوک، نظیر asushotfix.com، هدایت می‌شد.
استفاده از DNS مشکوک و ارتباطات رمزنگاری‌شده غیرمعمول.
اقدامات اولیه:
جمع‌آوری لاگ‌ها:
تحلیل لاگ‌های مربوط به نصب نرم‌افزار.
بررسی لیست فرآیندهای در حال اجرا و اتصالات شبکه.
استفاده از SIEM:
فیلترسازی رویدادها و شناسایی ارتباطات مشکوک به سرورهای خارجی.
ردیابی IPها و ارتباطات مشکوک با اطلاعات موجود در پایگاه‌های داده Threat Intelligence.
مرحله 2: تحلیل بدافزار
الف) تحلیل استاتیک:
نمونه‌های آلوده استخراج شدند و تحلیل استاتیک روی آنها انجام شد:
بررسی هدرهای PE فایل اجرایی:
فایل اجرایی دارای گواهی دیجیتال امضاشده ASUS بود.
هیچ تغییری در امضاهای دیجیتال به چشم نمی‌خورد، که نشان‌دهنده دسترسی مستقیم مهاجم به سیستم زنجیره تأمین بود.
بررسی کدها و باینری‌ها:
کد مخرب در یک بخش خاص از فایل (بخش .text) مخفی شده بود.
از تکنیک‌های کدگذاری XOR و رمزنگاری AES برای پنهان‌سازی payload استفاده شده بود.
ب) تحلیل دینامیک:
بدافزار در محیط Sandboxing (مثلاً Cuckoo Sandbox) اجرا شد:
مشاهده رفتار بدافزار:
جمع‌آوری اطلاعات سیستم:
MAC Address.
شناسه‌های سخت‌افزاری.
مقایسه اطلاعات جمع‌آوری‌شده با یک لیست داخلی (embedded whitelist).
اگر سیستم هدف در لیست بود:
بدافزار payload مخرب را از سرور C2 دریافت می‌کرد و اجرا می‌کرد.
این payload قابلیت نصب backdoor را داشت.
بررسی ارتباطات شبکه:
استفاده از TLS برای رمزنگاری ارتباطات با سرور C2.
ترافیک شبکه شامل درخواست‌های HTTP POST مشکوک با داده‌های رمزنگاری‌شده بود.
ج) تحلیل پیشرفته کد:
با استفاده از IDA Pro یا Ghidra:
دی‌کامپایل کد: مشخص شد که بدافزار از APIهای زیر استفاده می‌کند:
از CreateFile، ReadFile، و WriteFile برای دسترسی به فایل‌های سیستم.
از InternetOpen و InternetConnect برای ارتباط با اینترنت.
مکانیزم پایداری (Persistence): بدافزار از رجیستری ویندوز برای اجرای مجدد خود پس از ریبوت استفاده می‌کرد.
مرحله 3: رهگیری و تحلیل زیرساخت مهاجم
نت اول ؛ ادامه پست
الف) تحلیل دامنه‌ها و IPها:
دامنه‌های مشکوک نظیر asushotfix.com تحلیل شدند.
ارتباطات به یک سرور C2 در منطقه آسیای شرقی ختم شد.
ب) استفاده از Threat Intelligence:
و IPها و دامنه‌ها با اطلاعات موجود در پایگاه داده‌های تهدید بررسی شدند.
تطابق با فعالیت‌های قبلی گروه Shadow Hamme و مشاهده شده.
ج) کشف ابزارها و روش‌ها:
ابزارهای مورد استفاده مهاجم:
بدافزار اصلی در محیطی شبیه به نرم‌افزار مشروع امضا شده بود.
تکنیک‌های زنجیره تأمین برای توزیع نرم‌افزار آلوده.
تکنیک‌های استتار:
استفاده از لیست هدف محدود.
رمزنگاری داده‌های در حال انتقال و استفاده از امضای دیجیتال قانونی.
مرحله 4: اقدامات متقابل
اقدامات فوری:
مسدود کردن دامنه‌ها و IPها:
از طریق فایروال‌ها و راهکارهای DNS Filtering.
شناسایی سیستم‌های آلوده:
بررسی MAC Address سیستم‌ها برای تطابق با لیست هدف.
اقدامات بعدی:
انتشار هش فایل‌های مخرب و Signature آنها.
اطلاع‌رسانی به ASUS برای اصلاح فرآیند امضای دیجیتال.
همکاری با نهادهای بین‌المللی برای شناسایی و مختل کردن زیرساخت C2.
درس‌آموخته‌ها و نتیجه‌گیری
تقویت زنجیره تأمین:
بررسی دقیق کد و فرآیند امضای دیجیتال.
استفاده از EDR و Threat Hunting:
مانیتورینگ پیشرفته برای کشف رفتارهای غیرعادی در شبکه و سیستم.
شناسایی APTها:
ترکیب اطلاعات تهدید، تحلیل بدافزار، و رهگیری زیرساخت مهاجم.
ما در CISSP چه می آموزیم ؟
امنیت نرم افزار
امنیت سخت افزار
رمزنگاری
تست نفوذ و تیم قرمز
کشف نفوذ و تیم آبی
تیم بنفش
مدیریت حوادث
امنیت شبکه
امنیت سیستم عامل
طراحی امن سیستم ها
معماری امنیت و مستر پلن
استاندارد ها و بهروش ها ( نظیر ISMS و COBIT )
☘️در کنار هم رشد میکنیم
واتس اپ 09902857290
❤️فرصتی برابر و عدالت آموزشی برای سراسر ایران در دوره مدرک عالی CISSP
امنیت نرم افزار
امنیت سخت افزار
رمزنگاری
تست نفوذ و تیم قرمز
کشف نفوذ و تیم آبی
تیم بنفش
مدیریت حوادث
امنیت شبکه
امنیت سیستم عامل
طراحی امن سیستم ها
معماری امنیت و مستر پلن
استاندارد ها و بهروش ها ( نظیر ISMS و COBIT )
☘️در کنار هم رشد میکنیم
واتس اپ 09902857290
❤️فرصتی برابر و عدالت آموزشی برای سراسر ایران در دوره مدرک عالی CISSP
فرآیند ها و ریسک
برای محاسبه ریسک ، شناسایی آسیب پذیری ها حیاتی است. یکی از نقاط ضعف یا همان آسیب پذیریهایی که کمتر بدان توجه شده است فرآیند ها است. در مقاله زیر به این موضوع پرداخته ام .
با هم ببینیم نگاه به ریسک اگر در فرآیند ما دمیده باشد چه مزایایی خواهیم داشت.
این موضوع مبحث درس ISSMP است؛ مدیریت عالی امنیت که پنج شنبه ها درحال برگزاری است
#آکادمی_روزبه
https://medium.com/@roozbeh.no/understanding-risk-aware-processes-in-modern-organizations-as-an-issmp-07b44a2265a9
برای محاسبه ریسک ، شناسایی آسیب پذیری ها حیاتی است. یکی از نقاط ضعف یا همان آسیب پذیریهایی که کمتر بدان توجه شده است فرآیند ها است. در مقاله زیر به این موضوع پرداخته ام .
با هم ببینیم نگاه به ریسک اگر در فرآیند ما دمیده باشد چه مزایایی خواهیم داشت.
این موضوع مبحث درس ISSMP است؛ مدیریت عالی امنیت که پنج شنبه ها درحال برگزاری است
#آکادمی_روزبه
https://medium.com/@roozbeh.no/understanding-risk-aware-processes-in-modern-organizations-as-an-issmp-07b44a2265a9
Medium
Understanding Risk-Aware Processes in Modern Organizations as an ISSMP
In today’s volatile and fast-paced business environment, organizations are exposed to a myriad of risks ranging from cyber threats to…
استفاده عملی از فناوری جدید اینتل
Intel® Threat Detection Technology (Intel® TDT)
#آکادمی_روزبه
تفاوت بین زمانی که بنز ، کیا و پراید سوار شدی!!
https://www.crowdstrike.com/en-us/blog/falcon-enhances-fileless-attack-detection-with-accelerated-memory-scanning/
Intel® Threat Detection Technology (Intel® TDT)
#آکادمی_روزبه
تفاوت بین زمانی که بنز ، کیا و پراید سوار شدی!!
https://www.crowdstrike.com/en-us/blog/falcon-enhances-fileless-attack-detection-with-accelerated-memory-scanning/
CrowdStrike.com
Enhancing Fileless Attack Detection with Memory Scanning | CrowdStrike
Memory scanning provides another layer of visibility and protection for CrowdStrike's Falcon sensor. Read how this can help detect fileless attacks here.
هاردنینگ اکتیو دایرکتوری
#آکادمی_روزبه
https://techcommunity.microsoft.com/blog/coreinfrastructureandsecurityblog/active-directory-hardening-series---part-1-%E2%80%93-disabling-ntlmv1/3934787
#آکادمی_روزبه
https://techcommunity.microsoft.com/blog/coreinfrastructureandsecurityblog/active-directory-hardening-series---part-1-%E2%80%93-disabling-ntlmv1/3934787
TECHCOMMUNITY.MICROSOFT.COM
Active Directory Hardening Series - Part 1 – Disabling NTLMv1 | Microsoft Community Hub
In this series my goal is to help you understand how to move forward with confidence by better understanding the changes along with how to perform proper due...
اصول اخلاقی CISSP:
🔆با قبولی در آزمون CISSP شما فقط علم خود را اثبات نمیکنید ، بلکه عضوی از جامعه ای می شوید که اصول اخلاقی را سرلوحه ای برای انجام کار فنی امنیت اطلاعات قرار داده اند.
اصول اخلاقی (Code of Ethics) سازمان (ISC)² که صادر کننده CISSP است برای اعضای خود که شامل متخصصان امنیت سایبری است، به عنوان چارچوبی برای رفتار حرفه‌ای و اخلاقی در نظر گرفته شده‌اند. این اصول به تقویت اعتماد، احترام و مسئولیت‌پذیری در صنعت امنیت اطلاعات کمک می‌کنند. اصول اصلی عبارت‌اند از:
اصول اصلی اخلاقی (ISC)²:
✅️ حمایت از رفاه عمومی:
امنیت، رفاه و منافع عمومی را در اولویت قرار دهید و به حفاظت از افراد و سازمان‌ها در برابر تهدیدات امنیتی متعهد باشید.
✅️ عمل با صداقت، عدالت و مسئولیت‌پذیری:
همواره با صداقت و انصاف رفتار کنید و مسئولیت حرفه‌ای خود را در برابر مشتریان، همکاران و جامعه به عهده بگیرید.
✅️ ارائه خدمت به اصول و مشتریان با کیفیت بالا:
همیشه دانش و مهارت‌های خود را برای ارائه بهترین خدمات ممکن به مشتریان، کارفرمایان و دیگر ذینفعان به‌روز نگه دارید.
✅️ پیشرفت و حفظ حرفه امنیت اطلاعات:
دانش خود را به اشتراک بگذارید، به رشد حرفه امنیت اطلاعات کمک کنید و از اعتبار و جایگاه این حوزه محافظت کنید.
تعهدات اعضا:
🔸️ رعایت اصول و مقررات (ISC)² در تمام فعالیت‌های حرفه‌ای.
🔸️ گزارش تخلفات اخلاقی یا حرفه‌ای در صورت مشاهده.
🔸️ کمک به همکاران و متخصصان دیگر در ارتقای دانش و مهارت.
این اصول به عنوان راهنمایی برای تصمیم‌گیری حرفه‌ای و اخلاقی در مواقع دشوار عمل می‌کنند و هدفشان ایجاد محیطی اخلاق‌مدار و حرفه‌ای در امنیت اطلاعات است.
🛡 دلیل اخذ تعهدات اخلاقی از دارندگان مدرک CISSP آن است که در حوزه امنیت سایبری و امنیت اطلاعات انجام کار میتواند برای دیگران تبعاتی داشته باشد. برای مثال هم اکنون متخصصان امنیت بسیاری در دارک وب به عملیات خلاف که شامل پول شویی ، تجارت انسان و هک مشغول هستند. این رشته با توجه به توانمندی‌های که به متخصصان در آن می‌دهد میتواند بعنوان چاقویی دولبه مورد حسن یا سوء استفاده قرار گیرد. متخصصان امنیت کلا امکان دارد که به موارد غیر اخلاقی مشغول یا درگیر شوند که این موضوع میتواند رفاه جامعه و آزادی و امنیت دیگران را تحت الشعاع قرار دهد. لذا سازمان ISC2 پیش دستی کرده و از متخصصان CISSP که در بالاترین نقطه از تخصص امنیت هستند تعهدات اخلاقی می‌گیرد.
❇️برای اینکه ۷ امین دارنده CISSP ایران بشوید ثبت نام کنید : واتس اپ 09902857290
🔆با قبولی در آزمون CISSP شما فقط علم خود را اثبات نمیکنید ، بلکه عضوی از جامعه ای می شوید که اصول اخلاقی را سرلوحه ای برای انجام کار فنی امنیت اطلاعات قرار داده اند.
اصول اخلاقی (Code of Ethics) سازمان (ISC)² که صادر کننده CISSP است برای اعضای خود که شامل متخصصان امنیت سایبری است، به عنوان چارچوبی برای رفتار حرفه‌ای و اخلاقی در نظر گرفته شده‌اند. این اصول به تقویت اعتماد، احترام و مسئولیت‌پذیری در صنعت امنیت اطلاعات کمک می‌کنند. اصول اصلی عبارت‌اند از:
اصول اصلی اخلاقی (ISC)²:
✅️ حمایت از رفاه عمومی:
امنیت، رفاه و منافع عمومی را در اولویت قرار دهید و به حفاظت از افراد و سازمان‌ها در برابر تهدیدات امنیتی متعهد باشید.
✅️ عمل با صداقت، عدالت و مسئولیت‌پذیری:
همواره با صداقت و انصاف رفتار کنید و مسئولیت حرفه‌ای خود را در برابر مشتریان، همکاران و جامعه به عهده بگیرید.
✅️ ارائه خدمت به اصول و مشتریان با کیفیت بالا:
همیشه دانش و مهارت‌های خود را برای ارائه بهترین خدمات ممکن به مشتریان، کارفرمایان و دیگر ذینفعان به‌روز نگه دارید.
✅️ پیشرفت و حفظ حرفه امنیت اطلاعات:
دانش خود را به اشتراک بگذارید، به رشد حرفه امنیت اطلاعات کمک کنید و از اعتبار و جایگاه این حوزه محافظت کنید.
تعهدات اعضا:
🔸️ رعایت اصول و مقررات (ISC)² در تمام فعالیت‌های حرفه‌ای.
🔸️ گزارش تخلفات اخلاقی یا حرفه‌ای در صورت مشاهده.
🔸️ کمک به همکاران و متخصصان دیگر در ارتقای دانش و مهارت.
این اصول به عنوان راهنمایی برای تصمیم‌گیری حرفه‌ای و اخلاقی در مواقع دشوار عمل می‌کنند و هدفشان ایجاد محیطی اخلاق‌مدار و حرفه‌ای در امنیت اطلاعات است.
🛡 دلیل اخذ تعهدات اخلاقی از دارندگان مدرک CISSP آن است که در حوزه امنیت سایبری و امنیت اطلاعات انجام کار میتواند برای دیگران تبعاتی داشته باشد. برای مثال هم اکنون متخصصان امنیت بسیاری در دارک وب به عملیات خلاف که شامل پول شویی ، تجارت انسان و هک مشغول هستند. این رشته با توجه به توانمندی‌های که به متخصصان در آن می‌دهد میتواند بعنوان چاقویی دولبه مورد حسن یا سوء استفاده قرار گیرد. متخصصان امنیت کلا امکان دارد که به موارد غیر اخلاقی مشغول یا درگیر شوند که این موضوع میتواند رفاه جامعه و آزادی و امنیت دیگران را تحت الشعاع قرار دهد. لذا سازمان ISC2 پیش دستی کرده و از متخصصان CISSP که در بالاترین نقطه از تخصص امنیت هستند تعهدات اخلاقی می‌گیرد.
❇️برای اینکه ۷ امین دارنده CISSP ایران بشوید ثبت نام کنید : واتس اپ 09902857290
⬅️برطبق آخرین آمار ، تعداد دارندگان مدرک CISSP در ایران ۶ نفر است.
⚠️این آزمون یکی از پرچالش ترین آزمون‌های دنیای IT است.
✅️برای افزایش اعضای ایرانی ISC2 ، از بهمن ماه دور هم جمع می‌شویم تا برای آزمون رسمی تمرین کنیم
🔆با هزینه مندرج در آگهی ، از زمان شروع کلاس تا آزمون و بعد از آن تا مراحل اندورسمنت و اخذ مدرک همراه شما هستیم
🔅کافی است با واتس اپ زیر در تماس باشید
09902857290
‼️بدلیل آسان نبودن و قابل کرک نبودن آزمون ؛ قبولی شما با تعهدتان به برنامه ای که برایتان تدوین میشود و تلاشتان در مطالعه قابل دستیابی است.
❇️خدمات دوره :
-مرور مطالب کتاب رسمی
- ارائه مثال‌هایی عملی از پروژه های واقعی برای درک بهتر مطالب تئوریک
-مرور تست های نمونه
-ارزیابی پشتوانه فنی و مدیریتی دانشجویان
-تدوین و ارائه برنامه آمادگی آزمون و ارائه منابع کمک آزمون برای مطالعه، مطابق نیاز هر دانشجو
-منتورینگ ماهیانه تا روز آزمون حتی بمدت یکسال
-راهنمایی برای تهیه مدارک بعد از آزمون
-همراهی ، رفع نواقص مدارک و پشتیبانی تا اخذ مدرک
-راهنمایی برای حفظ و به روزرسانی مدرک
〽️ تکمیل ثبت نام تا ۸ بهمن شامل ۸ درصد تخفیف
⚠️این آزمون یکی از پرچالش ترین آزمون‌های دنیای IT است.
✅️برای افزایش اعضای ایرانی ISC2 ، از بهمن ماه دور هم جمع می‌شویم تا برای آزمون رسمی تمرین کنیم
🔆با هزینه مندرج در آگهی ، از زمان شروع کلاس تا آزمون و بعد از آن تا مراحل اندورسمنت و اخذ مدرک همراه شما هستیم
🔅کافی است با واتس اپ زیر در تماس باشید
09902857290
‼️بدلیل آسان نبودن و قابل کرک نبودن آزمون ؛ قبولی شما با تعهدتان به برنامه ای که برایتان تدوین میشود و تلاشتان در مطالعه قابل دستیابی است.
❇️خدمات دوره :
-مرور مطالب کتاب رسمی
- ارائه مثال‌هایی عملی از پروژه های واقعی برای درک بهتر مطالب تئوریک
-مرور تست های نمونه
-ارزیابی پشتوانه فنی و مدیریتی دانشجویان
-تدوین و ارائه برنامه آمادگی آزمون و ارائه منابع کمک آزمون برای مطالعه، مطابق نیاز هر دانشجو
-منتورینگ ماهیانه تا روز آزمون حتی بمدت یکسال
-راهنمایی برای تهیه مدارک بعد از آزمون
-همراهی ، رفع نواقص مدارک و پشتیبانی تا اخذ مدرک
-راهنمایی برای حفظ و به روزرسانی مدرک
〽️ تکمیل ثبت نام تا ۸ بهمن شامل ۸ درصد تخفیف
خبری شوکه آور
الگوریتم هایی که در استرالیا برای بعد از ۲۰۳۰ تاییدیه ندارند
#آکادمی_روزبه
متن کامل را با کپی کردن لینک زیر در readmedium.com رایگان بخوانید
https://billatnapier.medium.com/shock-news-sha-256-ecdsa-and-rsa-not-approved-in-australia-by-2030-3d1c286cad58
الگوریتم هایی که در استرالیا برای بعد از ۲۰۳۰ تاییدیه ندارند
#آکادمی_روزبه
متن کامل را با کپی کردن لینک زیر در readmedium.com رایگان بخوانید
https://billatnapier.medium.com/shock-news-sha-256-ecdsa-and-rsa-not-approved-in-australia-by-2030-3d1c286cad58
Medium
Shock News: SHA-256, ECDSA and RSA Not Approved in Australia By 2030
I am a bit shocked … SHA-256 will not be approved for use in Australia by 2030. From what I know at the current time, AES-256 and SHA-256…
نصب و راه اندازی OpenCTI
#آکادمی_روزبه
OpenCTI (Open Cyber Threat Intelligence)
https://readmedium.com/install-opencti-0c4bd5094ea5
#آکادمی_روزبه
OpenCTI (Open Cyber Threat Intelligence)
https://readmedium.com/install-opencti-0c4bd5094ea5
Readmedium
Install OpenCTI
OpenCTI (Open Cyber Threat Intelligence) is an open-source platform designed to collect, store, and utilize cyber threat data. It helps…
آکادمی آموزش روزبه 📚
نصب و راه اندازی OpenCTI #آکادمی_روزبه OpenCTI (Open Cyber Threat Intelligence) https://readmedium.com/install-opencti-0c4bd5094ea5
راهنمایی:
اگر خیلی به موضوع علاقمندید و پیش زمینه هم دارید اما کدها را متوجه نمی‌شوید کافی است با chatgpt دوست شوید و بگویید لینک را به زبان فارسی برایتان تشریح کند . مانند یک انسان با او گفتگو کنید و درباره قطعات کد صحبت کنید.
اما مواظب باشید جواب او صد درصد درست نیست ولی کارتان را راه می‌اندازد.
اگر خیلی به موضوع علاقمندید و پیش زمینه هم دارید اما کدها را متوجه نمی‌شوید کافی است با chatgpt دوست شوید و بگویید لینک را به زبان فارسی برایتان تشریح کند . مانند یک انسان با او گفتگو کنید و درباره قطعات کد صحبت کنید.
اما مواظب باشید جواب او صد درصد درست نیست ولی کارتان را راه می‌اندازد.
یکی از دوره های رایگان که داره خوب بحث تحلیل حافظه رو باز میکنه
امید که خوب ادامه پیدا کنه
ارائه توسط جناب امینی
https://www.aparat.com/v/j911qzw/
امید که خوب ادامه پیدا کنه
ارائه توسط جناب امینی
https://www.aparat.com/v/j911qzw/
آپارات - سرویس اشتراک ویدیو
20-Basic Memory Forensic:Check Processes Name
بررسی و صحت سنجی نام پروسس های ویندوز
تحلیل حرکت عرضی
#آکادمی_روزبه
یک مقاله ی خوش نوشت
https://medium.com/@cyberengage.org/lateral-movement-analysis-using-chainsaw-hayabusa-and-logparser-for-cybersecurity-investigations-b927843bd8d4
#آکادمی_روزبه
یک مقاله ی خوش نوشت
https://medium.com/@cyberengage.org/lateral-movement-analysis-using-chainsaw-hayabusa-and-logparser-for-cybersecurity-investigations-b927843bd8d4
Medium
Lateral Movement Analysis: Using Chainsaw, Hayabusa, and LogParser for Cybersecurity Investigations
A few days ago, I received a request through my website from someone working on an incident response case. He mentioned a situation…
NIST Cybersecurity Framework Policy Template Guide.pdf
924.1 KB
نمونه پالیسی
در دوره CISSP پالیسی نویسی را تمرین میکنیم
#آکادمی_روزبه
شروع دوره هفته سوم بهمن ماه
تخفیف ۸ درصد تا ۸ بهمن
در دوره CISSP پالیسی نویسی را تمرین میکنیم
#آکادمی_روزبه
شروع دوره هفته سوم بهمن ماه
تخفیف ۸ درصد تا ۸ بهمن
❓️چرا تحلیل استاتیک بد افزار ممکن است موفقیت آمیز نباشد ؟
✍روزبه نوروزی
#آکادمی_روزبه
برای توضیح یک مثال واقعی و متداول در دنیای تحلیل بدافزارها را بررسی میکنیم که نشان می‌دهد چرا تحلیل استاتیک ممکن است در تشخیص یک بدافزار ناکام باشد و چگونه تحلیل دینامیک میتواند موفقیت‌آمیز باشد.
مثال: بدافزار با تکنیک‌های مبهم‌سازی و ضد تحلیل
یک بدافزار خاص، فرضاً یک تروجان بانکی به نام BankStealer، به شکلی طراحی شده که تحلیل استاتیک آن را گمراه کند.
❇️تحلیل استاتیک:
در تحلیل استاتیک، کد بدافزار بدون اجرای آن بررسی میشود (مانند بررسی فایل‌های اجرایی با ابزارهایی مثل IDA Pro یا Ghidra).
ویژگی‌های بدافزار:
🔶️مبهم‌سازی کد (Obfuscation):
کد بدافزار با استفاده از ابزارهای مبهم‌سازی رمزگذاری شده یا تغییر یافته است. بنابراین، در ابزارهای تحلیل، تنها یکسری کدهای غیرقابل‌خوانش و توابع بی‌معنی مشاهده میشود.
به عنوان مثال، توابع مهمی که اطلاعات بانکی را سرقت می‌کنند در فایل اجرایی رمزگذاری شده‌اند و تنها هنگام اجرا در حافظه رمزگشایی می‌شوند.
🔶️ استفاده از تکنیک‌های ضد تحلیل:
بدافزار ممکن است از بسته‌بندی (Packing) یا رمزگذاری لایه‌های مختلف استفاده کند. این باعث میشود که حتی دی‌کامپایلرها (Decompiler) نتوانند کد واقعی را استخراج کنند.
بخش‌های مهم بدافزار ممکن است به صورت پویا (Dynamic) تولید شوند و در فایل اجرایی اصلی وجود نداشته باشند.
🟢نتیجه تحلیل استاتیک:
تحلیلگر نمی‌تواند عملکرد دقیق بدافزار را بدون اجرا شناسایی کند، زیرا بخش‌های کلیدی یا رمزگذاری شده‌اند یا مخفی هستند.
❇️تحلیل دینامیک:
در تحلیل دینامیک، بدافزار در محیط ایزوله (مانند ماشین مجازی یا سندباکس) اجرا میشود و رفتار آن در زمان اجرا بررسی می‌گردد.
ویژگی‌های کشف در تحلیل دینامیک:
🔷️ رمزگشایی کد در زمان اجرا:
هنگام اجرای بدافزار، بخش‌های رمزگذاری‌شده در حافظه رمزگشایی می‌شوند و کد واقعی بدافزار آشکار میشود.
ابزارهایی مثل Process Hacker یا x64dbg می‌توانند حافظه را بررسی کرده و کد واقعی را استخراج کنند.
🔷️ شناسایی رفتار بدافزار:
بدافزار هنگام اجرا به سرور فرمان‌دهی (C2 Server) متصل میشود. این رفتار مشکوک توسط ابزارهایی مثل Wireshark یا Fiddler شناسایی میشود.
بدافزار تلاش می‌کند اطلاعات بانکی را از مرورگرها استخراج کرده و به سرور ارسال کند. ابزارهایی مثل ProcMon این رفتار را نشان می‌دهند.
🔷️ کشف تکنیک‌های پنهان‌کاری:
تکنیک‌هایی مانند تزریق کد به فرآیندهای دیگر (Code Injection) هنگام اجرا کشف می‌شوند. برای مثال، تزریق به مرورگر قربانی جهت سرقت اطلاعات ورود.
🟢نتیجه تحلیل دینامیک:
با اجرای بدافزار و نظارت بر رفتار آن، تحلیلگر به اطلاعات واضحی از اهداف بدافزار، مکان‌های ارتباطی، و اطلاعات سرقت‌شده دست پیدا می‌کند.
🏮دلایل ناکامی تحلیل استاتیک:
رمزگذاری و مبهم‌سازی کد که کد واقعی را از دید تحلیلگر مخفی می‌کند.
استفاده از تکنیک‌های ضد تحلیل مانند بسته‌بندی، فشرده‌سازی، و تولید پویا.
وابستگی عملکرد بدافزار به شرایط اجرای خاص (مانند بارگذاری در حافظه).
💠ابزارها و تکنیک‌ها:
تحلیل استاتیک: IDA Pro، Ghidra، PEiD
تحلیل دینامیک: Cuckoo Sandbox، Wireshark، ProcMon، Process Hacker، x64dbg
🌀این مثال نشان می‌دهد که چرا تحلیل دینامیک برای شناسایی بدافزارهای پیشرفته ضروری است و چگونه تکنیک‌های ضد تحلیل، تحلیل استاتیک را ناکارآمد می‌کنند.
#آکادمی_روزبه
✍روزبه نوروزی
#آکادمی_روزبه
برای توضیح یک مثال واقعی و متداول در دنیای تحلیل بدافزارها را بررسی میکنیم که نشان می‌دهد چرا تحلیل استاتیک ممکن است در تشخیص یک بدافزار ناکام باشد و چگونه تحلیل دینامیک میتواند موفقیت‌آمیز باشد.
مثال: بدافزار با تکنیک‌های مبهم‌سازی و ضد تحلیل
یک بدافزار خاص، فرضاً یک تروجان بانکی به نام BankStealer، به شکلی طراحی شده که تحلیل استاتیک آن را گمراه کند.
❇️تحلیل استاتیک:
در تحلیل استاتیک، کد بدافزار بدون اجرای آن بررسی میشود (مانند بررسی فایل‌های اجرایی با ابزارهایی مثل IDA Pro یا Ghidra).
ویژگی‌های بدافزار:
🔶️مبهم‌سازی کد (Obfuscation):
کد بدافزار با استفاده از ابزارهای مبهم‌سازی رمزگذاری شده یا تغییر یافته است. بنابراین، در ابزارهای تحلیل، تنها یکسری کدهای غیرقابل‌خوانش و توابع بی‌معنی مشاهده میشود.
به عنوان مثال، توابع مهمی که اطلاعات بانکی را سرقت می‌کنند در فایل اجرایی رمزگذاری شده‌اند و تنها هنگام اجرا در حافظه رمزگشایی می‌شوند.
🔶️ استفاده از تکنیک‌های ضد تحلیل:
بدافزار ممکن است از بسته‌بندی (Packing) یا رمزگذاری لایه‌های مختلف استفاده کند. این باعث میشود که حتی دی‌کامپایلرها (Decompiler) نتوانند کد واقعی را استخراج کنند.
بخش‌های مهم بدافزار ممکن است به صورت پویا (Dynamic) تولید شوند و در فایل اجرایی اصلی وجود نداشته باشند.
🟢نتیجه تحلیل استاتیک:
تحلیلگر نمی‌تواند عملکرد دقیق بدافزار را بدون اجرا شناسایی کند، زیرا بخش‌های کلیدی یا رمزگذاری شده‌اند یا مخفی هستند.
❇️تحلیل دینامیک:
در تحلیل دینامیک، بدافزار در محیط ایزوله (مانند ماشین مجازی یا سندباکس) اجرا میشود و رفتار آن در زمان اجرا بررسی می‌گردد.
ویژگی‌های کشف در تحلیل دینامیک:
🔷️ رمزگشایی کد در زمان اجرا:
هنگام اجرای بدافزار، بخش‌های رمزگذاری‌شده در حافظه رمزگشایی می‌شوند و کد واقعی بدافزار آشکار میشود.
ابزارهایی مثل Process Hacker یا x64dbg می‌توانند حافظه را بررسی کرده و کد واقعی را استخراج کنند.
🔷️ شناسایی رفتار بدافزار:
بدافزار هنگام اجرا به سرور فرمان‌دهی (C2 Server) متصل میشود. این رفتار مشکوک توسط ابزارهایی مثل Wireshark یا Fiddler شناسایی میشود.
بدافزار تلاش می‌کند اطلاعات بانکی را از مرورگرها استخراج کرده و به سرور ارسال کند. ابزارهایی مثل ProcMon این رفتار را نشان می‌دهند.
🔷️ کشف تکنیک‌های پنهان‌کاری:
تکنیک‌هایی مانند تزریق کد به فرآیندهای دیگر (Code Injection) هنگام اجرا کشف می‌شوند. برای مثال، تزریق به مرورگر قربانی جهت سرقت اطلاعات ورود.
🟢نتیجه تحلیل دینامیک:
با اجرای بدافزار و نظارت بر رفتار آن، تحلیلگر به اطلاعات واضحی از اهداف بدافزار، مکان‌های ارتباطی، و اطلاعات سرقت‌شده دست پیدا می‌کند.
🏮دلایل ناکامی تحلیل استاتیک:
رمزگذاری و مبهم‌سازی کد که کد واقعی را از دید تحلیلگر مخفی می‌کند.
استفاده از تکنیک‌های ضد تحلیل مانند بسته‌بندی، فشرده‌سازی، و تولید پویا.
وابستگی عملکرد بدافزار به شرایط اجرای خاص (مانند بارگذاری در حافظه).
💠ابزارها و تکنیک‌ها:
تحلیل استاتیک: IDA Pro، Ghidra، PEiD
تحلیل دینامیک: Cuckoo Sandbox، Wireshark، ProcMon، Process Hacker، x64dbg
🌀این مثال نشان می‌دهد که چرا تحلیل دینامیک برای شناسایی بدافزارهای پیشرفته ضروری است و چگونه تکنیک‌های ضد تحلیل، تحلیل استاتیک را ناکارآمد می‌کنند.
#آکادمی_روزبه
شناسایی حملات و نفوذ از طریق بررسی فرآیندهای والد و فرزند
✍ روزبه نوروزی
یکی از روش‌های مهم در تحلیل نفوذ ، بررسی ارتباط بین فرآیندهای والد و فرزند است. این روش به ما کمک می‌کند تا بفهمیم چگونه یک بدافزار اجرا شده و از چه روش‌هایی برای نفوذ به سیستم استفاده کرده است.
فرآیند ( پراسس) والد چیست؟
فرآیند والد، فرآیندی است که یک فرآیند جدید (فرزند) را اجرا می‌کند. برای مثال، اگر یک برنامه‌ی مخرب توسط Explorer.exe اجرا شود، این بدان معناست که احتمالاً از طریق یک فایل میانبر مخرب (.lnk) اجرا شده است. شناسایی فرآیند والد میتواند به تحلیلگر کمک کند تا روش نفوذ بدافزار را تشخیص دهد.
🔶️نقش تجربه و ابزارها
تشخیص این موارد نیازمند تجربه و استفاده از ابزارهای مناسب است. ابزارهایی مانند Process Explorer از Sysinternals و یا EDR مانند ترند میکرو و سیمنتک ، به تحلیلگران کمک می‌کنند تا ارتباط بین فرآیندها را به سرعت مشاهده کنند.
🔷️مثال‌هایی از پراسس های والد
Explorer.exe
اجرای بدافزار از طریق فایل‌های میانبر
RunOnce.exe
اجرای بدافزار با استفاده از کلیدهای رجیستری
cmd.exe
اجرای اسکریپت‌ها یا فایل‌های batch مخرب
svchost.exe
استفاده از سرویس‌های ویندوز برای مخفی کردن اجرای بدافزار.
🏮۶ مورد از تاریخچه حملات واقعی قابل کشف با این روش:
〽️-حمله Stuxnet
تکنیک: استفاده از فرآیند Explorer.exe برای اجرای فایل‌های میانبر آلوده از طریق USB.
روش شناسایی: شناسایی فرآیند والد Explorer.exe که فایل‌های .lnk مخرب را اجرا می‌کرد.
〽️ -حمله WannaCry
تکنیک: استفاده از svchost.exe برای گسترش بدافزار در شبکه.
روش شناسایی: بررسی فرآیندهای svchost.exe که ارتباطات غیرعادی برقرار می‌کردند.
〽️ -حمله Emotet
تکنیک: استفاده از winword.exe برای اجرای ماکروهای مخرب در فایل‌های Word.
روش شناسایی: ارتباط بین winword.exe و PowerShell که کد مخرب را اجرا می‌کرد.
〽️-حمله گروه APT29 (Cozy Bear)
تکنیک: استفاده از mshta.exe برای اجرای کد مخرب از طریق فایل‌های HTML.
روش شناسایی: مشاهده ارتباط بین mshta.exe و فرآیندهای دیگر مانند cmd.exe.
〽️-حمله TrickBot
تکنیک: استفاده از powershell.exe برای دانلود و اجرای payload.
روش شناسایی: بررسی فرآیند powershell.exe که از فرآیند والد مخربی ایجاد شده بود.
〽️ -حمله Dridex
تکنیک: اجرای بدافزار از طریق explorer.exe با استفاده از پیوست‌های ایمیل آلوده.
روش شناسایی: تحلیل فرآیندهای مرتبط با فایل‌های اجراشده از طریق Explorer.exe.
بررسی ارتباط فرآیندهای والد و فرزند یکی از موثرترین روش‌ها در تحلیل و شناسایی بدافزارها است. با استفاده از ابزارهای مناسب و دانش کافی، می‌توان الگوهای رفتاری بدافزارها را شناسایی و از نفوذ آنها جلوگیری کرد.
#آکادمی_روزبه
✅️ثبت نام دوره CISSP
واتس اپ 09902857290
✍ روزبه نوروزی
یکی از روش‌های مهم در تحلیل نفوذ ، بررسی ارتباط بین فرآیندهای والد و فرزند است. این روش به ما کمک می‌کند تا بفهمیم چگونه یک بدافزار اجرا شده و از چه روش‌هایی برای نفوذ به سیستم استفاده کرده است.
فرآیند ( پراسس) والد چیست؟
فرآیند والد، فرآیندی است که یک فرآیند جدید (فرزند) را اجرا می‌کند. برای مثال، اگر یک برنامه‌ی مخرب توسط Explorer.exe اجرا شود، این بدان معناست که احتمالاً از طریق یک فایل میانبر مخرب (.lnk) اجرا شده است. شناسایی فرآیند والد میتواند به تحلیلگر کمک کند تا روش نفوذ بدافزار را تشخیص دهد.
🔶️نقش تجربه و ابزارها
تشخیص این موارد نیازمند تجربه و استفاده از ابزارهای مناسب است. ابزارهایی مانند Process Explorer از Sysinternals و یا EDR مانند ترند میکرو و سیمنتک ، به تحلیلگران کمک می‌کنند تا ارتباط بین فرآیندها را به سرعت مشاهده کنند.
🔷️مثال‌هایی از پراسس های والد
Explorer.exe
اجرای بدافزار از طریق فایل‌های میانبر
RunOnce.exe
اجرای بدافزار با استفاده از کلیدهای رجیستری
cmd.exe
اجرای اسکریپت‌ها یا فایل‌های batch مخرب
svchost.exe
استفاده از سرویس‌های ویندوز برای مخفی کردن اجرای بدافزار.
🏮۶ مورد از تاریخچه حملات واقعی قابل کشف با این روش:
〽️-حمله Stuxnet
تکنیک: استفاده از فرآیند Explorer.exe برای اجرای فایل‌های میانبر آلوده از طریق USB.
روش شناسایی: شناسایی فرآیند والد Explorer.exe که فایل‌های .lnk مخرب را اجرا می‌کرد.
〽️ -حمله WannaCry
تکنیک: استفاده از svchost.exe برای گسترش بدافزار در شبکه.
روش شناسایی: بررسی فرآیندهای svchost.exe که ارتباطات غیرعادی برقرار می‌کردند.
〽️ -حمله Emotet
تکنیک: استفاده از winword.exe برای اجرای ماکروهای مخرب در فایل‌های Word.
روش شناسایی: ارتباط بین winword.exe و PowerShell که کد مخرب را اجرا می‌کرد.
〽️-حمله گروه APT29 (Cozy Bear)
تکنیک: استفاده از mshta.exe برای اجرای کد مخرب از طریق فایل‌های HTML.
روش شناسایی: مشاهده ارتباط بین mshta.exe و فرآیندهای دیگر مانند cmd.exe.
〽️-حمله TrickBot
تکنیک: استفاده از powershell.exe برای دانلود و اجرای payload.
روش شناسایی: بررسی فرآیند powershell.exe که از فرآیند والد مخربی ایجاد شده بود.
〽️ -حمله Dridex
تکنیک: اجرای بدافزار از طریق explorer.exe با استفاده از پیوست‌های ایمیل آلوده.
روش شناسایی: تحلیل فرآیندهای مرتبط با فایل‌های اجراشده از طریق Explorer.exe.
بررسی ارتباط فرآیندهای والد و فرزند یکی از موثرترین روش‌ها در تحلیل و شناسایی بدافزارها است. با استفاده از ابزارهای مناسب و دانش کافی، می‌توان الگوهای رفتاری بدافزارها را شناسایی و از نفوذ آنها جلوگیری کرد.
#آکادمی_روزبه
✅️ثبت نام دوره CISSP
واتس اپ 09902857290