هایجک اینترفیس های کام
دور زدن آنتی‌ویروس و EDR

#آکادمی_روزبه

https://neodyme.io/en/blog/com_hijacking_1/

https://neodyme.io/en/blog/com_hijacking_2/

https://neodyme.io/en/blog/com_hijacking_3/#vulnerability-1-leveraging-file-deletion-for-lpe

جدید 😍😍


خلاصه‌ اگر بود یه خبر بدین 🙏🙏

https://www.sans.org/cyber-security-courses/linux-threat-hunting-incident-response/

اینم یکی دیگه از مقالاته که امشب میخونم بعد میخوابم

#آکادمی_روزبه

Advanced Initial Access Techniques

In this blog post, I will teach you the methodology and techniques adversaries use to compromise systems. I will showcase the payload development process and its delivery—both remote and physical.



https://lorenzomeacci.com/advanced-initial-access-techniques

یک مقاله عالی از تنظیمات Auditd از همین استاد دوره

#آکادمی_روزبه

هرکسی SOC داره واجبه اینو کامل بخونه
خیلی از SOC های ما یا Auditd ندارند یا تنظیم درستی موجود نیست

https://izyknows.medium.com/linux-auditd-for-threat-detection-d06c8b941505

خبری خوش

یکنفر دارنده CISSP به دارندگان این مدرک عالی امنیت در ایران اضافه شد 🤓👌👌

جناب مهندس Amir Jafari توانستند با قبولی در آزمون رسمی و مهم و پشت سر گذاشتن مراحل تاییدیه ؛ این مدرک مهم و پر اعتبار در دنیای فناوری و امنیت را کسب کنند 🌹

تبریک به ایشان ، جامعه فناوری اطلاعات و امنیت سایبری ایران و خصوصا بانک خاورمیانه👏👏

Middle East Bank (MEBank)

به امید برای افزایش سهم ایرانیان که دارای این مدرک هستند تا بتوانیم جامعه ای توانمند از متخصصان حرفه ای برای ایران داشته باشیم.

اخذ این مدرک نشان از توان بالای حرفه ای منجمله سواد تئوری و تجربه عملی و سابقه مدیریت است.

حملات مبتنی بر Syscall و نقش EDR در مقابله با آنها ( قسمت اول ) 1⃣

✍️روزبه نوروزی


مقدمه

فناوریSystem Calls (Syscall) یکی از مهم‌ترین اجزای سیستم‌عامل است که به برنامه‌های کاربری اجازه می‌دهد با کرنل ارتباط برقرار کنند. این مکانیزم برای دسترسی به منابع سیستم مانند حافظه، پردازش‌ها، فایل‌ها و شبکه ضروری است. بااین‌حال، مهاجمان از Syscallها برای دور زدن مکانیزم‌های امنیتی، اجرای بدافزار و بهره‌برداری از آسیب‌پذیری‌های کرنل استفاده می‌کنند.

حملات مبتنی بر Syscall
1. اجرای مستقیم Syscall برای دور زدن EDR

بسیاری از نرم‌افزارهای امنیتی مانند آنتی‌ویروس (AV) و EDR از API Hooking برای شناسایی فعالیت‌های مشکوک استفاده می‌کنند. Hooking به این معناست که EDR جلوی برخی توابع حیاتی را گرفته و رفتار آنها را بررسی می‌کند.

برای مثال، در ویندوز VirtualAlloc و CreateRemoteThread معمولاً برای تخصیص حافظه و اجرای کد استفاده می‌شوند. EDRها این توابع را مانیتور می‌کنند تا تزریق کد (Process Injection) و اجرای بدافزارها را تشخیص دهند.

🔴 روش حمله: مهاجمان برای دور زدن این نظارت‌ها، مستقیماً از Syscallهای کرنل استفاده می‌کنند.

✅ نمونه حمله:

یک بدافزار ممکن است به‌جای استفاده از VirtualAlloc از NtAllocateVirtualMemory (که یک syscall در سطح کرنل است) استفاده کند.
از ابزارهایی مانند SysWhispers یا Halo’s Gate برای یافتن شماره Syscallها و اجرای آنها استفاده می‌شود.

📌 نمونه کد حمله در C برای اجرای مستقیم syscall:

__asm {
mov eax, 0x50 //
شماره Syscall مربوط به NtAllocateVirtualMemory
call dword ptr fs:[0xC0]
}

با این روش، مهاجمان می‌توانند بدون اینکه EDR متوجه شود، کد را مستقیماً در حافظه اجرا کنند.
2. تزریق کد در حافظه و اجرای مخفیانه

یکی از حملات رایج برای اجرای بدافزار در سیستم، تزریق کد در یک فرآیند معتبر مانند explorer.exe است. در این روش، مهاجم:

حافظه‌ای در فرآیند هدف رزرو می‌کند (NtAllocateVirtualMemory).
بدافزار را در آن حافظه کپی می‌کند (NtWriteVirtualMemory).
کد را اجرا می‌کند (NtCreateThreadEx).

📌 مثال کد حمله در C:

HANDLE hProcess = OpenProcess(PROCESS_ALL_ACCESS, FALSE, pid);
LPVOID pRemoteMemory = VirtualAllocEx(hProcess, NULL, payload_size, MEM_COMMIT, PAGE_EXECUTE_READWRITE);
WriteProcessMemory(hProcess, pRemoteMemory, payload, payload_size, NULL);
HANDLE hThread = CreateRemoteThread(hProcess, NULL, 0, (LPTHREAD_START_ROUTINE)pRemoteMemory, NULL, 0, NULL);

این حمله به Process Injection معروف است و در بسیاری از بدافزارها مانند Meterpreter استفاده می‌شود.
3. ارتقای دسترسی با سوءاستفاده از Syscallها

برخی از حملات Privilege Escalation از آسیب‌پذیری‌های مربوط به Syscallها سوءاستفاده می‌کنند. این نوع حملات شامل Race Condition، Buffer Overflow و استفاده از Handleهای نادرست هستند.

مثال:

آسیب‌پذیری CVE-2016-7255 در ویندوز، به مهاجم اجازه می‌دهد از طریق یک Syscall نادرست، سطح دسترسی خود را به SYSTEM افزایش دهد.
آسیب‌پذیری‌های کرنل لینوکس، مانند Dirty COW (CVE-2016-5195)، از Syscallهای مربوط به مدیریت حافظه سوءاستفاده می‌کنند.


#من_آموزش_میدهم
#آکادمی_روزبه

حملات مبتنی بر Syscall و نقش EDR

2⃣قسمت دوم

این EDR را جدی بگیرید

ادامه از پست قبل

✍️روزبه نوروزی


🔴 چرا این روش خطرناک است؟
زیرا Syscallها مستقیماً در سطح کرنل اجرا می‌شوند و در صورت وجود آسیب‌پذیری، مهاجم می‌تواند کنترل کل سیستم را به دست بگیرد.
چگونه EDR با حملات Syscall مقابله می‌کند؟
1. تحلیل رفتار و کشف فعالیت‌های مشکوک

این EDRهای پیشرفته مانند Microsoft Defender for Endpoint، CrowdStrike Falcon و SentinelOne از Behavioral Analysis برای شناسایی رفتارهای غیرعادی استفاده می‌کنند.

✅ روش‌های شناسایی:

نظارت بر Syscallهای غیرعادی مانند NtAllocateVirtualMemory و NtWriteVirtualMemory.
کشف فرآیندهایی که بدون دلیل خاصی حافظه‌ی اجرایی تخصیص می‌دهند.
تشخیص تغییرات در Handleهای کرنل که ممکن است نشان‌دهنده یک حمله باشد.

2. این Hook کردن و جلوگیری از اجرای Syscallهای خطرناک

این EDRها می‌توانند APIهای مهم را Hook کنند تا رفتار آنها را قبل از اجرا بررسی کنند. اگر فرآیندی مانند notepad.exe ناگهان سعی کند NtCreateThreadEx را اجرا کند، این یک نشانه از حمله است و می‌توان آن را مسدود کرد.

📌 نمونه کد Hook برای جلوگیری از اجرای Syscallهای خطرناک در کرنل:

PsSetCreateProcessNotifyRoutine(CallbackFunction);

🔹 نتیجه: اگر یک بدافزار بخواهد Syscall را اجرا کند، این Callback اول آن را بررسی می‌کند.
3. مانیتورینگ در سطح کرنل با Kernel-mode Callbacks

برخی از EDRها مستقیماً در سطح Kernel Mode کار می‌کنند و اجرای برخی Syscallهای خطرناک را متوقف می‌کنند.

📌 نمونه‌ای از Syscallهای خطرناک که EDRها رصد می‌کنند:

NtAllocateVirtualMemory → تخصیص حافظه در فرآیند دیگر
NtWriteVirtualMemory → نوشتن در حافظه فرآیند دیگر
NtCreateThreadEx → ایجاد رشته در فرآیند دیگر

🔹 مزیت این روش: مقابله با Direct Syscall، حتی اگر مهاجم از تکنیک‌هایی مانند SysWhispers استفاده کند.
4. استفاده از Exploit Guard و ASLR برای سخت‌تر کردن حملات

✅فناوری Exploit Guard در ویندوز می‌تواند جلوی اجرای کدهای ناشناخته را بگیرد.
✅ فناوریASLR (Address Space Layout Randomization) باعث می‌شود آدرس‌های حافظه در هر اجرا تغییر کنند، که استفاده از برخی Syscallهای مخرب را سخت‌تر می‌کند.

📌 فعال‌سازی ASLR:

Set-ProcessMitigation -Name explorer.exe -Enable BottomUpASLR

جمع‌بندی

حملات مبتنی بر Syscall یکی از روش‌های قدرتمند برای دور زدن آنتی‌ویروس‌ها و اجرای مخفیانه بدافزارها است. مهاجمان با استفاده از Direct Syscall و Process Injection می‌توانند کدهای مخرب را در حافظه اجرا کنند بدون اینکه توسط ابزارهای سنتی شناسایی شوند.

اما EDRهای پیشرفته با روش‌هایی مانند:
✔ Behavioral Analysis برای شناسایی فعالیت‌های غیرعادی
✔ Hook کردن Syscallهای خطرناک
✔ نظارت بر سطح کرنل با Kernel-mode Callbacks
✔ استفاده از Exploit Guard و ASLR

می‌توانند این حملات را شناسایی و متوقف کنند. بنابراین، برای مقابله با حملات مدرن، سازمان‌ها باید از EDRهای پیشرفته استفاده کنند و به‌طور مداوم تحلیل تهدیدات سایبری را انجام دهند.


#من_آموزش_میدهم
#آکادمی_روزبه

مقاله ی برتر امروز

#آکادمی_روزبه

https://medium.com/@ctugglev/you-can-run-but-my-tracker-is-faster-38f9bacaf324

برای مهندسان کشف در لینوکس

#آکادمی_روزبه

https://www.elastic.co/security-labs/the-grand-finale-on-linux-persistence

خداروشکر یک دوره با موفقیت علی رغم سختی هاش برگزار شد.

#آکادمی_روزبه

پی نوشت: لازم نیست در این دو روزه دنیا به هم سخت بگیریم. در سکوت کار کنید و بقول محمد علی کلی : اجاره زندگی در جهانتان را بپردازید. دم غنیمت که عمر تمام شد.

حمله Unconstrained Delegation Attack چیست؟

☣️این حمله یکی از حملات پیشرفته در Active Directory (AD) است که از ویژگی Unconstrained Delegation در سرویس‌های ویندوز سوءاستفاده می‌کند. این ویژگی که از زمان Windows 2000 معرفی شد، به سرورهای مشخصی اجازه می‌دهد تا تیکت‌های Kerberos (TGT) کاربران را بدون محدودیت ذخیره و استفاده کنند. مهاجمان می‌توانند از این قابلیت برای دزدیدن نشست‌های احراز هویت کاربران و گسترش دسترسی در شبکه سوءاستفاده کنند.

⬅️این Unconstrained Delegation چیست؟
ویندوز از Kerberos Delegation برای انتقال احراز هویت کاربران بین سرویس‌های مختلف استفاده می‌کند. در Unconstrained Delegation، هر سیستمی که این قابلیت را داشته باشد، می‌تواند بدون هیچ محدودیتی تیکت‌های Kerberos کاربران احراز هویت‌شده را دریافت و استفاده کند.
💡 مشکل اصلی: اگر یک مهاجم کنترل سیستمی را به‌دست بیاورد که این قابلیت را دارد، می‌تواند از تیکت‌های کاربران دیگر برای جعل هویت آن‌ها در سطح شبکه سوءاستفاده کند.
⬅️ مراحل اجرای Unconstrained Delegation Attack
۱) شناسایی سیستم‌های دارای Unconstrained Delegation
مهاجم ابتدا سیستم‌هایی را پیدا می‌کند که این قابلیت را دارند. این کار را می‌توان با اجرای کوئری در PowerShell یا ابزارهای BloodHound و ldapsearch انجام داد:

Get-ADComputer -Filter {TrustedForDelegation -eq $true} -Properties TrustedForDelegation
این دستور لیست تمام سیستم‌هایی را نشان می‌دهد که قابلیت Unconstrained Delegation دارند.
۲) به‌دست آوردن کنترل یک سیستم آسیب‌پذیر
اگر مهاجم بتواند به سیستمی با Unconstrained Delegation دسترسی بگیرد (مثلاً از طریق یک آسیب‌پذیری یا مهندسی اجتماعی)، می‌تواند تیکت‌های کاربران دیگر را دریافت کند.
۳) دزدیدن و سوءاستفاده از تیکت‌های Kerberos
وقتی کاربری به سرور آسیب‌پذیر متصل شود، تیکت Kerberos او در حافظه (LSASS) سرور ذخیره می‌شود. مهاجم می‌تواند با ابزار Mimikatz این تیکت‌ها را استخراج کند:
privilege::debug
sekurlsa::tickets /export
مهاجم سپس می‌تواند این تیکت‌ها را برای جعل هویت کاربرانی مانند Domain Admins استفاده کند.
۴) گسترش دسترسی در شبکه
پس از سرقت تیکت‌های Kerberos، مهاجم می‌تواند:
✅ به سیستم‌های دیگر به‌عنوان کاربران معتبر متصل شود.
✅ به منابع حیاتی مانند Active Directory دسترسی پیدا کند.
✅ امتیازات خود را به سطح Domain Admin ارتقا دهد.
⬅️چطور از این حمله جلوگیری کنیم؟
🔵 غیرفعال‌سازی Unconstrained Delegation
تنظیمات Unconstrained Delegation را در Active Directory بررسی کرده و غیرضروری‌ها را غیرفعال کنید:
Get-ADComputer -Filter {TrustedForDelegation -eq $true} | Set-ADComputer -TrustedForDelegation $false
🔵استفاده از Constrained Delegation
به جای Unconstrained Delegation، از Constrained Delegation (با پروتکل Kerberos فقط) استفاده کنید که دسترسی‌ها را محدودتر می‌کند.
🔵نظارت بر تیکت‌های Kerberos
با ابزارهایی مثل Event Viewer و SIEM، لاگ‌های مرتبط با درخواست‌های Kerberos را بررسی کنید و ترافیک مشکوک را شناسایی کنید.
🔵 محدود کردن دسترسی حساب‌های حساس
✅ حساب‌های Domain Admins و Enterprise Admins نباید به سیستم‌هایی با Unconstrained Delegation لاگین کنند.
✅ از Protected Users Group استفاده کنید تا تیکت‌های Kerberos برای این حساب‌ها ذخیره نشود.

#من_آموزش_میدهم
#آکادمی_روزبه

دوستان عزیزی که باهم کالدرا کارکردیم و سایر دوستان که استفاده میکنند

🔴یک RCE در کالدرا پیدا شده .

احتیاط شرط عقله

https://securityonline.info/cve-2025-27364-cvss-10-remote-code-execution-flaw-found-in-mitre-caldera-poc-releases/

⬅️توضیح برای مبتدیان

کالدرا یک پلتفرم متن‌باز برای انجام شبیه‌سازی تهدیدات و اتوماتیک‌سازی عملیات قرمز (Red Teaming) است که توسط MITRE توسعه داده شده است. این ابزار به تیم‌های امنیتی کمک می‌کند تا حملات سایبری واقعی را شبیه‌سازی کرده و ضعف‌های امنیتی سازمان را شناسایی کنند.
ویژگی‌های کلیدی Caldera

شبیه‌سازی حملات APT: با استفاده از تکنیک‌های چارچوب MITRE ATT&CK، حملات پیشرفته مداوم (APT) را بازسازی می‌کند.
اتوماسیون عملیات Red Team: به تیم‌های قرمز اجازه می‌دهد حملات را بدون نیاز به اجرای دستی، به‌طور خودکار اجرا کنند.
پلاگین‌پذیری: می‌توان قابلیت‌های جدید را از طریق پلاگین‌ها اضافه کرد.
اجرای دستورات روی سیستم‌های هدف: عامل (Agent)های آن روی سیستم‌های مختلف نصب شده و امکان اجرای دستورات مخرب شبیه‌سازی‌شده را دارند.
ارزیابی دفاع سایبری: تیم‌های آبی (Blue Team) می‌توانند نحوه شناسایی و مقابله با حملات را بررسی کنند.

کاربردهای Caldera

تست امنیت سازمان در برابر حملات سایبری
بررسی کارایی سیستم‌های تشخیص و پاسخگویی به تهدیدات (EDR/SIEM)
تمرین و آموزش تحلیلگران امنیتی
شبیه‌سازی نفوذ و شناسایی نقاط ضعف در شبکه

#من_آموزش_میدهم
#آکادمی_روزبه

بای پس AMSI

#آکادمی_روزبه

https://en.r-tec.net/r-tec-blog-bypass-amsi-in-2025.html

به نظرم میارزه براش هزینه کنین

#آکادمی_روزبه

https://store.thedfirreport.com/products/dfir-labs-ctf

ابزار Tetragon در Kubernetes چه کاری انجام می‌دهد؟

ابزار Tetragon یک ابزار Runtime Security و Observability برای Kubernetes است که توسط Cilium (Isovalent) توسعه یافته و از eBPF برای شکار تهدیدات، مانیتورینگ و اجرای سیاست‌های امنیتی در سطح کرنل استفاده می‌کند.

🚀 هدف اصلی:
✔️ شناسایی و جلوگیری از رفتارهای مخرب در کلاسترهای Kubernetes در زمان اجرا
✔️ دقیق‌ترین اطلاعات ممکن درباره پردازش‌ها، فایل‌ها، شبکه و Syscallها را ارائه می‌دهد
✔️ عدم نیاز به تغییر در کرنل یا برنامه‌های در حال اجرا
📌 قابلیت‌های کلیدی Tetragon
1️⃣ Runtime Process Tracing (رهگیری فرایندها در لحظه)

✅ مشاهده تمام فرایندهای در حال اجرا در Kubernetes
✅ شناسایی اجرای مشکوک دستورات در پادها (مثل bash در یک پاد غیرمنتظره)
✅ مانیتورینگ فرایندهای مرتبط با بدافزارها یا حملات ماندگار (Persistence)
2️⃣ Network Security Enforcement (کنترل امنیت شبکه)

✅ رهگیری ارتباطات شبکه‌ای از داخل کرنل بدون نیاز به iptables
✅ مسدود کردن اتصالات شبکه مشکوک بر اساس رفتارهای غیرعادی
✅ شناسایی Data Exfiltration و جلوگیری از ارسال داده‌ها به IPهای ناشناخته
3️⃣ File & I/O Monitoring (نظارت بر فایل و سیستم ذخیره‌سازی)

✅ رهگیری دسترسی به فایل‌های مهم مثل /etc/shadow
✅ جلوگیری از دسترسی غیرمجاز به فایل‌های حساس در کانتینرها
✅ شناسایی اجرای بدافزارها از دایرکتوری‌های موقت (/tmp)
4️⃣ Policy Enforcement with eBPF (اجرای سیاست‌های امنیتی eBPF)

✅ اعمال قوانین Custom Security Policies بدون نیاز به تغییر در کرنل
✅ جلوگیری از اجرای باینری‌های ناشناس یا غیرمجاز
✅ بلاک کردن استفاده از ابزارهای هک مانند nmap یا netcat در پادها
5️⃣ Deep Kubernetes & Container Security (امنیت عمیق کوبرنتیز و کانتینرها)

✅ بررسی ارتباط پردازش‌ها با namespaceهای K8s
✅ رهگیری تهدیدات در سطح Node، Pod، Container و Cluster
✅ مشاهده تعاملات بین کانتینرها و سیستم‌عامل میزبان

🎯 مثال استفاده از Tetragon در Kubernetes
📌 سناریو: شناسایی اجرای bash در یک Pod مشکوک

فرض کنید در یک Pod قانونی (nginx-pod)، مهاجم سعی می‌کند یک Shell مخفی باز کند.
🚀 راه‌حل با Tetragon:

✅ نصب Tetragon در K8s:

helm repo add cilium https://helm.cilium.io
helm install tetragon cilium/tetragon --namespace kube-system

✅ اجرای یک Policy برای شناسایی bash در Podهای خاص:

apiVersion: cilium.io/v1alpha1
kind: TracingPolicy
metadata:
name: detect-bash
spec:
kprobes:
- call: "do_execveat"
args:
- index: 0
type: "string"
selectors:
- matchArgs:
- index: 0
operator: "Prefix"
values:
- "/bin/bash"

✅ مشاهده لاگ‌ها در لحظه:

kubectl logs -n kube-system -l k8s-app=tetragon

🔍 خروجی (یعنی یک bash غیرمنتظره اجرا شده است! 😨)

{
"process": {
"pid": 12345,
"exe": "/bin/bash",
"args": ["bash"],
"container_id": "nginx-container",
"namespace": "default"
},
"event": "execve",
"timestamp": "2025-03-02T12:00:00Z"
}

✅ اقدام امنیتی: می‌توان با تغییر Policy، اجرای bash را بلاک کرد!
🔎 چرا Tetragon در Kubernetes مهم است؟

🔹 برخلاف SIEMها و ابزارهای معمولی، مستقیماً از کرنل با eBPF اطلاعات می‌گیرد
🔹 بررسی دقیق Syscallها، اجرای پردازش‌ها و فعالیت‌های مشکوک در سطح هسته سیستم
🔹 عدم نیاز به تغییر در کرنل یا نرم‌افزارهای در حال اجرا
🔹 مناسب برای تیم‌های امنیتی، DevSecOps و SOC برای شناسایی تهدیدات

#آکادمی_روزبه

ارتباط با اسپلانک و چالشها
https://isovalent.com/blog/post/top-tetragon-use-cases-part-2/

https://blog.shellnetsecurity.com/2024/01/723/security/from-scattered-to-splunk-bringing-order-to-your-kubernetes-logs/

مراحل راه‌اندازی Tetragon و Splunk با OpenTelemetry Collector

1️⃣ راه‌اندازی Splunk و تنظیم HTTP Event Collector (HEC)

🔹 یک Splunk Enterprise یا Splunk Cloud داشته باشید.
🔹 این HEC را فعال کنید:

به Settings > Data Inputs > HTTP Event Collector بروید.
یک توکن جدید ایجاد کنید و Index مناسب را تنظیم کنید.
آدرس HEC معمولاً به این شکل است:

https://<your_splunk_hostname_or_ip>:8088/services/collector

2️⃣ راه‌اندازی Kubernetes و OpenTelemetry Collector

🔹 برای جمع‌آوری و ارسال لاگ‌های Kubernetes به Splunk، از Splunk OpenTelemetry Collector استفاده می‌کنیم.
🔹 این Collector را با Helm Chart مستقر کنید.
📌 ایجاد فایل values.yaml

این فایل شامل تنظیمات OpenTelemetry Collector برای ارسال داده‌ها به Splunk است:

clusterName: "my-k8s-cluster"

splunkPlatform:
endpoint: "https://<your_splunk_hostname_or_ip>:8088/services/collector"
token: "<your_hec_token>"
index: "kubernetes"
insecureSkipVerify: true
اگر از گواهی Self-Signed استفاده می‌کنید

logCollection:
enabled: true
excludePaths:
- "/var/log/containers/noisy-container*.log"

3️⃣ استقرار OpenTelemetry Collector در Kubernetes

helm repo add splunk-otel-collector https://signalfx.github.io/splunk-otel-collector-chart
helm install my-otel-collector splunk-otel-collector/splunk-otel-collector -f values.yaml

4️⃣ تأیید ارسال لاگ‌ها در Splunk

📌 در Splunk Search & Reporting، دستور زیر را اجرا کنید تا لاگ‌ها را مشاهده کنید:

index=kubernetes | stats count by host, source

📌 یکپارچه‌سازی Tetragon با Splunk

این Tetragon با جمع‌آوری لاگ‌های امنیتی و فرایندهای در حال اجرا، داده‌های حیاتی را به Splunk ارسال می‌کند.
🔹 ارسال لاگ‌های Tetragon به Splunk از طریق OpenTelemetry

📌 ایجاد tetragon-values.yaml برای تنظیمات Tetragon:

tetragon:
enabled: true
logLevel: "info"

exporters:
splunk_hec:
endpoint: "https://<your_splunk_hostname_or_ip>:8088"
token: "<your_hec_token>"
index: "tetragon"
source: "tetragon-security"
sourcetype: "_json"

📌 استقرار Tetragon با Helm:

helm install tetragon cilium/tetragon -f tetragon-values.yaml

5️⃣ ایجاد داشبورد امنیتی در Splunk

📌 اجرای Query برای نمایش فعالیت‌های مشکوک ثبت‌شده توسط Tetragon:

index=tetragon source="tetragon-security" | table timestamp, process, container, namespace, event_type

🔹 این Query نشان می‌دهد کدام پردازش‌ها در چه Namespace و کانتینری اجرا شده‌اند.
🎯 کاربردهای امنیتی Tetragon در Splunk

✅ تشخیص TLS ضعیف: پیدا کردن ارتباطات با Cipherهای ناامن
✅ ردیابی دسترسی به فایل‌های حساس: مثل /etc/shadow و /root/.ssh/
✅ شناسایی رفتار مشکوک در Pods: مثل اجرای bash در یک پاد غیرمنتظره
✅ ایجاد هشدارهای امنیتی در Splunk بر اساس داده‌های Tetragon
🔚 نتیجه‌گیری

🔹 اینTetragon با استفاده از OpenTelemetry Collector می‌تواند به Splunk متصل شود.
🔹 وSplunk می‌تواند لاگ‌های امنیتی Tetragon را تحلیل کند و هشدارهای لازم را ایجاد کند.
🔹 این یکپارچه‌سازی به تیم‌های امنیتی امکان نظارت دقیق بر فعالیت‌های مشکوک در Kubernetes را می‌دهد.

🚀 با این روش، می‌توان به یک سیستم SIEM قوی برای تحلیل رویدادهای امنیتی Kubernetes دست یافت.

#آکادمی_روزبه

خبر روز

اتهام به کسپرسکی

بر اساس مقاله‌ای که در تاریخ ۲۸ فوریه ۲۰۲۵ در وب‌سایت KrebsOnSecurity منتشر شده است، یکی از ارائه‌دهندگان بدنام خدمات میزبانی وب موسوم به "Prospero OOO" که به تسهیل فعالیت‌های مجرمان سایبری می‌پردازد، عملیات خود را از طریق شبکه‌های شرکت امنیتی روسی کسپرسکی هدایت می‌کند. این شرکت به ارائه خدمات میزبانی مقاوم در برابر سوءاستفاده‌های قانونی، معروف به "bulletproof hosting"، شناخته می‌شود و از سال ۲۰۱۹ به میزبانی بدافزارها، سرورهای کنترل بات‌نت و وب‌سایت‌های فیشینگ مشغول بوده است.

شرکت امنیتی فرانسوی Intrinsec در سال گذشته ارتباطات Prospero را با سرویس‌های میزبانی مقاوم در برابر سوءاستفاده تحت نام‌های Securehost و BEARHOST در انجمن‌های جرایم سایبری روسی بررسی کرده است. این تحقیقات نشان می‌دهد که Prospero میزبان سرورهای کنترل برای چندین گروه باج‌افزار در دو سال گذشته بوده و به طور مکرر عملیات‌های بدافزاری مانند SocGholish و GootLoader را میزبانی کرده است که عمدتاً از طریق به‌روزرسانی‌های جعلی مرورگر در وب‌سایت‌های هک‌شده منتشر می‌شوند و اغلب زمینه‌ساز نفوذهای جدی‌تر سایبری، از جمله باج‌افزارها، هستند.

سازمان Spamhaus که بسیاری از ارائه‌دهندگان خدمات اینترنتی در سراسر جهان برای شناسایی و مسدود کردن منابع بدافزار و اسپم به آن متکی هستند، اخیراً مشاهده کرده است که Prospero اتصال خود به اینترنت را از طریق شبکه‌های کسپرسکی در مسکو انجام می‌دهد.

در واکنش به این موضوع، کسپرسکی در بیانیه‌ای اعلام کرده است که هیچ‌گونه همکاری با Prospero نداشته و مسیرهای شبکه‌ای که ممکن است نشان‌دهنده ارتباط باشند، به دلیل مسائل فنی و ارائه خدمات DDoS به سایر ارائه‌دهندگان مخابراتی است. کسپرسکی تأکید کرده است که به اصول اخلاقی در کسب‌وکار پایبند بوده و در حال بررسی این وضعیت برای اطلاع‌رسانی به شبکه‌های مربوطه به منظور اتخاذ تدابیر لازم است.

#آکادمی_روزبه

https://krebsonsecurity.com/2025/02/notorious-malware-spam-host-prospero-moves-to-kaspersky-lab/

ابزار روز

کمک مهمی در فارنزیک

#آکادمی_روزبه

https://m.youtube.com/watch?v=-aacZrfSgLg