بررسی تکنیک فراخوانی توابع DLL با Ordinal: تهدیدی پنهان در حملات مبتنی بر LOLBIN

در فضای امنیت سایبری، یکی از روش‌های زیرکانه که مهاجمان و بدافزارها برای پنهان‌کاری استفاده می‌کنند، فراخوانی توابع یک DLL با استفاده از شماره ترتیبی (Ordinal) به‌جای نام تابع است. این تکنیک عمدتاً در سوءاستفاده از LOLBINها (ابزارهای بومی سیستم‌عامل که برای اهداف مخرب به کار گرفته می‌شوند) دیده می‌شود.

برای مثال، در دستور زیر:

rundll32.exe comsvcs.dll,#24

تابع شماره ۲۴ از فایل comsvcs.dll اجرا می‌شود. اگر تحلیل‌گر نداند این شماره به چه تابعی اشاره دارد، عملاً درک دقیقی از عملکرد این دستور نخواهد داشت. در این مثال، شماره ۲۴ معمولاً به تابع MiniDumpW مربوط است که برای استخراج حافظه فرآیندهایی مانند LSASS به‌کار می‌رود و می‌تواند منجر به سرقت رمزهای عبور شود.

مهم‌ترین چالش این تکنیک، عدم شفافیت آن است. نام تابع نمایش داده نمی‌شود و ابزارهای پایش ساده یا بررسی‌های سطحی نمی‌توانند رفتار واقعی فراخوانی را تشخیص دهند. مهاجمان می‌توانند:

توابع مخرب را با ظاهری بی‌خطر فراخوانی کنند.

وDLLهای جعلی ایجاد کنند که ظاهر و نام مشابه دارند اما رفتار داخلی کاملاً متفاوت است.

از این طریق ابزارهای دفاعی مبتنی بر تشخیص مبتنی بر نام تابع را دور بزنند.

برای مقابله با این روش، اسکریپت‌های تحلیلی مانند PowerShell معرفی‌شده در این زمینه، جدول صادرات (Export Address Table) DLL را استخراج می‌کنند و با نگاشت اعداد Ordinal به نام توابع واقعی، امکان تحلیل دقیق را فراهم می‌کنند.

جمع‌بندی:
این تکنیک یک روش کلاسیک برای استتار اقدامات مخرب است که در ترکیب با LOLBINها یا DLLهای جعلی، می‌تواند امنیت سازمان‌ها را تهدید کند. بنابراین، تحلیل عمیق فراخوانی‌های DLL و داشتن ابزارهای مناسب برای ترجمه Ordinal به نام تابع، برای تیم‌های شکار تهدید و تحلیل بدافزار ضروری است.


#آکادمی_روزبه
مرکز تخصصی CISSP



نمونه کد


# مسیر DLL هدف را مشخص کنید
$dllPath = "C:\Windows\System32\comsvcs.dll"

# بارگذاری DLL با استفاده از Reflection
Add-Type @"
using System;
using System.Runtime.InteropServices;

public class NativeMethods {
[DllImport("kernel32.dll", CharSet = CharSet.Auto)]
public static extern IntPtr LoadLibrary(string lpFileName);

[DllImport("kernel32.dll", CharSet = CharSet.Auto)]
public static extern IntPtr GetProcAddress(IntPtr hModule, IntPtr ordinal);
}
"@

# بارگذاری DLL
$dllHandle = [NativeMethods]::LoadLibrary($dllPath)

if ($dllHandle -eq 0) {
Write-Host "خطا در بارگذاری DLL"
exit
}

# حلقه برای بررسی تعدادی Ordinal (مثلاً 1 تا 50)
1..50 | ForEach-Object {
$ordinal = $_
$ordinalPtr = [IntPtr]::op_Explicit($ordinal)

$procAddress = [NativeMethods]::GetProcAddress($dll

بررسی آسیب‌پذیری Heap Overflow و اجرای کد از راه دور در Llama.cpp


در سال‌های اخیر، ابزارهای اجرای مدل‌های زبانی به‌شدت فراگیر شده‌اند و پروژه‌های متن‌باز مانند llama.cpp به کاربران اجازه می‌دهند مدل‌های پیشرفته را به‌صورت محلی و بدون نیاز به سخت‌افزار قدرتمند اجرا کنند. اما محبوبیت این ابزارها باعث شده است که سطح حمله (Attack Surface) نیز گسترش یابد.
در یک پژوهش عمیق، Patrick Peng موفق شد آسیب‌پذیری خطرناکی را در بخش RPC Server کتابخانه llama.cpp کشف کند که می‌تواند منجر به اجرای کد از راه دور (RCE) شود. این آسیب‌پذیری در تابع ggml_backend_cpu_buffer_cpy_tensor() نهفته است که برای کپی داده‌های Tensor در حافظه استفاده می‌شود.
هرچند کد پروژه شامل بررسی‌های مرزی، assertهای متعددی و مکانیزم‌های دفاعی سطح بالا است، اما نویسنده موفق شد با دستکاری هوشمندانه پارامترهای ne[] و nb[] که ابعاد و اندازه داده‌های Tensor را کنترل می‌کنند، یک Heap Overflow ایجاد کند. این نوع از overflow برخلاف buffer overflow کلاسیک، حافظه Heap را هدف قرار می‌دهد و می‌تواند ساختارهای مجاور حافظه را تغییر دهد.
اما بهره‌برداری از این نقص آسان نبود. به گفته نویسنده، طبیعت پیچیده ساختار حافظه و حفاظت‌های موجود، نیازمند یک رویکرد ترکیبی بود. در نهایت او موفق شد با استفاده از تکنیکی موسوم به NullPointerNoException، اشاره‌گرهای داخلی را به گونه‌ای تغییر دهد که بدون ایجاد crash، به لیک آدرس‌های حیاتی مانند libggml-base.so منجر شود. این لیک آدرس‌ها گام اول در کنار زدن ASLR و آماده‌سازی Memory Layout برای اجرای کد مخرب است.
یکی دیگر از چالش‌های این حمله، نیاز به نوشتن جزئی (Partial-Write) روی بخش‌های خاصی از حافظه و هماهنگی دقیق ساختارهای Heap بود که نشان‌دهنده سطح بالای تخصص موردنیاز برای چنین Exploit پیچیده‌ای است.
نتیجه‌گیری:
این آسیب‌پذیری بار دیگر اهمیت ایمن‌سازی ابزارهای متن‌باز و ماژول‌های مربوط به شبکه را نشان می‌دهد. فعال بودن RPC Server بدون احراز هویت و محدودیت، می‌تواند در صورت وجود ضعف‌هایی نظیر Heap Overflow، به سادگی کنترل کامل سیستم را در اختیار مهاجم قرار دهد. به‌ویژه در حوزه هوش مصنوعی که مدل‌ها معمولاً روی سرورهای قدرتمند اجرا می‌شوند، چنین ضعف‌هایی می‌توانند تبعات سنگینی داشته باشند.


#آکادمی_روزبه
مرکز تخصصی CISSP

https://retr0.blog/blog/llama-rpc-rce

#موقت

خوبه این وسطه هم یادی کنیم از روسیه و چین که نه در هنگام حملات کمکی کردند نه در آتش بس نقشی داشتند و ضمنا جزایر ایرانی رو هم واسه ما نمیدونن!!

پس به عزیزان فنی بگم :
لطفا به سمت این دوتا غش نکنیم و ببینیم صلاح مملکت چیه

چگونه با یک باینری امضا‌شده‌ی مایکروسافت از AMSI، ETW و CLM عبور میکنند

مقدمه

در چند سال اخیر، ابزارهای امنیتی ویندوز مثل ضدبدافزار و EDRها اتکا زیادی به AMSI (رابط اسکن ضدبدافزاری) پیدا کرده‌اند. این قابلیت تقریباً هر اسکریپت Powershell، Jscript، VBScript، VBA یا .NET رو زمان اجرا می‌گیره و به آنتی‌ویروس ارسال می‌کنه تا بررسی بشه

حالا، یه روش جالب پیدا شده که با استفاده از یک ابزار امضا شده توسط مایکروسافت – یعنی CDB یا NTSD – بدون نیاز به نوشتن کد مخرب یا پچ کردن مستقیم DLL، نه فقط AMSI رو دور می‌زنه، بلکه قابلیت کنترل زبان (CLM) و ETW هم دورش زدنیه.
گام اول: فهمیدن ایراد AMSI

تو دنیای امنیت، رایج‌ترین بای‌پس‌ها روی تابع AmsiScanBuffer انجام می‌شد؛ اغلب توجه به مقدار بازگشتی داشتند. اگر تابع همیشه 0x80070057 (مقدار E_INVALIDARG) برگردونه، اسکن انجام‌نشده به‌حساب میاد

قبلاً می‌تونستیم این مقدار رو با چند خط PowerShell یا پچ ساده دستی اعمال کنیم، ولی حالا EDRها نسبت بهش حساس شدن و اون روش‌ها دیگه اثربخش نیستند.
گام دوم: رسیدگی با CDB/NTSD

اینجا وارد بازی می‌شیم: CDB و NTSD ابزارهای دیباگر کنسولی مایکروسافت هستن که توسط خود مایکروسافت امضا و به‌صورت پیش‌فرض امن و معتبرند

ما می‌تونیم با نوشتن اسکریپت خاص، PowerShell رو با CDB اجرا کنیم، breakpoint بذاریم روی AmsiScanBuffer، وقتی اجرا شد مقدار برگردونده رو دستکاری کنیم و ادامه بدیم—بدون دست زدن مستقیم به DLL مغشوش.

مثلاً اسکریپتی می‌نویسیم که به‌صورت زیر اجرا بشه:

cdb -cf bypass.txt "C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe"

اسکریپت bypass.txt اجرای PowerShell رو نظارت می‌کنه، موقعی که تابع AMSI فراخوانی شد سریع مقدار بازگشتی رو تغییر می‌ده و ادامه اجرا رو بدون اسکن امن می‌کنه

گام سوم: کنترل محدودیت زبان (CLM)

حالا که AMSIبا روش CDB قابل دورزدن بود، سراغ بخشی جذاب‌تر می‌ریم: کنترل کردن زبان PowerShell. تابع SystemPolicy.GetSystemLockdownPolicyمسئول وضعیت محدودیت زبانه. با استفاده از ویژگی‌های دیباگر CDB و بارگذاری sos.dll، می‌تونیم breakpoint بذاریم روی این تابع و به‌صورت مستقیم مقدار بازگشتی رو تغییر بدیم — و مثلاً مقدار 0 (بدون محدودیت) یا 2 (ConstrainedLanguage) رو برگردونیم


این کار تو محیط x86/x64 امتحان شده و واقعا جواب داده: امکان تغییر وضعیت زبان PowerShell پیش از اینکه حتی ماژول‌ها بارگذاری بشن فراهم میشه

گام چهارم: خاموش‌کردن ETW

نکته جالب دیگه اینه که با پچ مشابه می‌شه ETW (Event Tracing for Windows) رو هم دور زد، بدون اینکه در سطح هسته تغییر محسوسی بدیم . آزمون شده که رویدادهایی مثل EventID 4103 (اجرای pipeline) ثبت نمیشن—یعنی بار کاملاً پنهان‌کارانه‌ای اجرا شده

نتیجه‌گیری

این روش ابزار خیلی قدرتمندی به ما میده:

دور زدن AMSI

تنظیم وضعیت محدودیت زبان (CLM)

خاموش کردن یا محدود کردن ETW

و مهمتر اینکه همه با استفاده از ابزارهای امضا‌شده مایکروسافت انجام می‌گیره—بدون نیاز به فایل‌های DLL غیرمعتبر یا باینری‌های ناشناس.



#آکادمی_روزبه
مرکز تخصصی CISSP

تحلیل آکادمیک آسیب‌پذیری‌های موتور اسکن و شبیه‌سازی Microsoft Defender با استفاده از Snapshot Fuzzing
مطالعه موردی بر اساس گزارش InfoGuard Labs

مقدمه

ابزارهای ضد بدافزار و سیستم‌های EDR (Endpoint Detection and Response) مدت‌هاست به‌عنوان اجزای اصلی امنیت سایبری سازمان‌ها شناخته می‌شوند. با این حال، پیچیدگی ذاتی این ابزارها و تعامل مستقیم آن‌ها با داده‌های غیرقابل اعتماد، سبب می‌شود که خود به هدف بالقوه‌ای برای حملات تبدیل شوند.

در این زمینه، پژوهش اخیر منتشر شده در وب‌سایت InfoGuard Labs تحت عنوان Attacking EDR - Part 4: Fuzzing Defender Scanning and Emulation Engine، نمونه‌ای ارزشمند از بررسی امنیتی دقیق یکی از پرکاربردترین آنتی‌ویروس‌های جهان یعنی Microsoft Defender است. این تحقیق نشان می‌دهد که چگونه می‌توان با استفاده از تکنیک‌های Fuzzing پیشرفته، آسیب‌پذیری‌های حیاتی در موتور اسکن و شبیه‌ساز Defender کشف و بهره‌برداری کرد.

این مقاله با رویکردی تحلیلی و آکادمیک به بررسی ساختار، روش‌ها و یافته‌های این پژوهش می‌پردازد و در نهایت، ابعاد امنیتی و راهکارهای پیشنهادی را واکاوی می‌کند.

⏮️یافته‌های فنی و آسیب‌پذیری‌های کشف‌شده

در مجموع، این تحقیق منجر به کشف ۹ آسیب‌پذیری حافظه در Microsoft Defender شد. دسته‌بندی کلی این باگ‌ها:

Out-of-Bounds Read (خواندن داده خارج از محدوده مجاز حافظه)

Null Pointer Dereference (ارجاع به اشاره‌گر تهی)

Crashهای کنترل‌شده در تعامل با فرمت‌های خاص فایل

↩️ تحلیل امنیتی: پیامدهای عملی و تهدیدات بالقوه

اگرچه اکثر آسیب‌پذیری‌های کشف‌شده در این پروژه منجر به اجرای مستقیم کد مخرب (RCE) نمی‌شوند، اما اثرگذاری آن‌ها در سناریوهای زیر مشهود است:

حملات DoS علیه Defender: ارسال فایل‌های خاص باعث کرش موتور شده و در این بازه زمانی سیستم بدون محافظ باقی می‌ماند.

دور زدن EDR در حملات زنجیره‌ای: مهاجمان ابتدا Defender را غیرفعال و سپس ابزارهای پیچیده‌تر را اجرا می‌کنند.

سوءاستفاده در محیط‌های ایزوله (Sandbox): برخی باگ‌ها می‌توانند باعث اختلال در تحلیل رفتاری بدافزار در محیط‌های مجازی شوند.

این موضوع یادآور اصل «Defensive Depth» است که نشان می‌دهد تکیه صرف بر یک ابزار امنیتی کافی نیست و باید چندین لایه حفاظتی هم‌پوشانی داشته باشند.

#آکادمی_روزبه
مرکز تخصصی CISSP

https://labs.infoguard.ch/posts/attacking_edr_part4_fuzzing_defender_scanning_and_emulation_engine/

و نسخه جدید MISP منتشر شد


https://www.misp-project.org/2025/06/24/misp.2.5.15.and.2.4.113.html/

اسکریپت های ارتقای دسترسی

#آکادمی_روزبه
مرکز تخصصی CISSP

مهاجمان سایبری اخیراً از QEMU، که معمولاً برای شبیه‌سازی سیستم‌عامل‌های مجازی به‌کار می‌رود، برای ایجاد تونل‌های شبکه‌ای و عبور مخفیانه از فایروال‌ها و محدودیت‌های شبکه استفاده کرده‌اند. این روش نوعی Network Tunneling محسوب می‌شود که به مهاجم اجازه می‌دهد از طریق سیستم‌های قربانی، دسترسی غیرمجاز به شبکه‌های داخلی پیدا کند.
در این تکنیک، مهاجم روی یک سیستم به نام PivotHost، که دسترسی به اینترنت دارد، QEMU را بدون راه‌اندازی کامل ماشین مجازی اجرا می‌کند. این QEMU با تنظیمات خاص مانند -netdev socket و -netdev user، یک تونل شبکه‌ای ایجاد می‌کند که ترافیک را به یک سرور دیگر مهاجم منتقل می‌کند. این سرور می‌تواند در اینترنت یا زیرساخت ابری باشد و یک QEMU دیگر روی آن اجرا شده تا ارتباط دوسویه برقرار شود.
این تونل به مهاجم اجازه می‌دهد ترافیک پروتکل‌هایی مانند RDP را که در حالت عادی فقط در شبکه داخلی مجاز است، از طریق اینترنت عبور دهد، بدون آنکه فایروال یا تجهیزات امنیتی به‌راحتی متوجه شوند.
تشخیص این نوع فعالیت دشوار است، اما چند سرنخ مهم وجود دارد:
اجرای QEMU با مقادیر غیرمعمول حافظه مانند -m 1M یا بدون دیسک و سیستم‌عامل، مشکوک است.
مشاهده فرآیندهای QEMU با پارامترهای شبکه نظیر -netdev socket باید به‌عنوان هشدار امنیتی بررسی شود.
تحلیل ترافیک شبکه برای یافتن بسته‌های TCP غیرمنتظره یا ترافیک غیرمعمول روی پورت‌هایی مانند 443 یا 4444 که حاوی encapsulated Ethernet هستند.
استفاده از EDR، NDR و قوانین Sigma برای شناسایی رفتار غیرطبیعی QEMU در شبکه و سیستم‌ها.
این تکنیک نمونه‌ای پیشرفته از سواستفاده از ابزارهای قانونی برای اهداف مخرب است و نیازمند نظارت دقیق و تحلیل عمیق در شبکه‌های سازمانی می‌باشد.



#آکادمی_روزبه
مرکز تخصصی CISSP


https://securelist.com/network-tunneling-with-qemu/111803/

پولامون رو کی میتونیم برداریم ؟
پولهامون رو به کدوم بانک انتقال بدیم ؟

سوالی که دم به ساعت مردم با استرس ازم میپرسن

همینقدر زیبا !! مسوولین امنیت بانک‌ها؛ امنیت روانی برای مردم ایجاد کردن

تهدیدات l33tspeak در جنگ شناختی و حملات مهندسی اجتماعی

در سال‌های اخیر، پیچیدگی فضای سایبری و جنگ شناختی باعث شده مهاجمان از تکنیک‌های زبانی نوآورانه برای دور زدن سازوکارهای امنیتی و تحلیل خودکار استفاده کنند. یکی از مؤثرترین روش‌ها، بهره‌گیری از زبان تغییرشکل‌یافته موسوم به l33tspeak است؛ زبانی که با جایگزینی حروف با اعداد و نمادها، ساختار متن را برای انسان قابل درک نگاه می‌دارد اما الگوریتم‌های پردازش زبان طبیعی (NLP) را دچار اختلال می‌کند.

در عملیات نفوذ روانی (PSYOPS) یا جنگ شناختی، انتشار پیام‌های منفی، اخبار جعلی یا کمپین‌های تخریبی به زبان l33tspeak می‌تواند سه اثر مخرب برجای بگذارد:

✅ نخست، این تکنیک باعث گمراهی الگوریتم‌های تحلیل احساسات و شناسایی کمپین‌های مخرب می‌شود. مدل‌هایی که برای تشخیص حملات روانی یا رفتارهای خصمانه طراحی شده‌اند، غالباً با پیام‌های l33tspeak‌شده دچار افت دقت می‌شوند.

✅ دوم، چنین حملاتی می‌تواند اطمینان عمومی به سیستم‌های تحلیل فضای مجازی را تضعیف کند. اگر کاربران شاهد ناتوانی ابزارهای امنیتی در شناسایی محتوای مخرب باشند، اعتبار این سیستم‌ها زیر سؤال می‌رود.

✅ سوم، مقابله با شایعات و اطلاعات غلط دشوارتر می‌شود. وقتی محتوای مخرب در لفافه l33tspeak ارائه می‌شود، کشف و حذف آن برای نهادهای امنیتی و شرکت‌های فناوری پیچیده‌تر می‌شود.

فراتر از جنگ شناختی، مجرمان سایبری نیز در حملات مهندسی اجتماعی پیشرفته از همین روش بهره می‌گیرند:

✅ با استفاده از l33tspeak، فیلترهای ایمیل‌های فیشینگ به‌راحتی دور زده می‌شوند، چرا که بسیاری از این فیلترها بر تحلیل الگوهای متنی کلاسیک متکی هستند.

✅ پیام‌های جعلی یا دستکاری‌شده نیز با این تکنیک معتبرتر جلوه می‌کنند، زیرا تحلیل‌گر انسانی یا الگوریتم‌های ساده‌تر، متوجه تغییرات مخفی در متن نمی‌شوند.

✅ در نهایت، مسیر حمله به افراد هدف، به‌ویژه کارکنان حساس یا مدیران، با کاهش احتمال کشف زودهنگام، هموارتر می‌شود.

در مجموع، l33tspeak نه‌تنها یک بازی زبانی بلکه ابزاری قدرتمند در خدمت عملیات تخریب روانی و حملات سایبری پیشرفته است و مقابله مؤثر با آن، نیازمند ارتقای زیرساخت‌های تحلیل زبان و آگاهی بیشتر کارشناسان امنیت است.

#آکادمی_روزبه
مرکز تخصصی CISSP

برای اطلاعات بیشتر لینک زیر مطالعه شود

https://specterops.io/blog/2025/06/24/lost-in-translation-how-l33tspeak-might-throw-sentiment-analysis-models-for-a-loop/?_gl=1*5zlb6w*_up*MQ..*_ga*MTg1MDA4NjQ4NC4xNzUwNzg0NjUz*_ga_53SGLN9EBJ*czE3NTA3ODQ2NTIkbzEkZzAkdDE3NTA3ODQ2NTIkajYwJGwwJGgw

دفترچه تحلیل ایمیل‌

#آکادمی_روزبه
مرکز تخصصی CISSP

دور خوردن Suricata

در دنیای امنیت شبکه، بررسی دقیق ترافیک رمزگذاری‌شده و تکنیک‌های گمراه‌سازی مهاجمان اهمیت بالایی دارد. یکی از ابزارهای رایج برای تحلیل و شناسایی تهدیدها در سطح شبکه، Suricata است. این ابزار بازرسی عمیق بسته‌ها (IDS/IPS) انجام می‌دهد، اما اگر به‌درستی تنظیم نشود، می‌تواند قربانی تکنیک‌های ساده دور زدن شود؛ یکی از این روش‌ها، سواستفاده از URL Encoding است.

در استاندارد RFC 3986، کاراکترهای خاص در URLها به‌صورت رمزگذاری‌شده نمایش داده می‌شوند، به‌عنوان مثال فاصله با %20 جایگزین می‌شود. با این حال، در فرم‌های HTML طبق استاندارد قدیمی‌تر RFC 1866، کاراکتر + نیز می‌تواند معادل فاصله باشد. این اختلاف باعث می‌شود که برخی ابزارها یا مرورگرها ترافیک را متفاوت پردازش کنند.

این سوریکاتا به‌طور پیش‌فرض دو نوع بافر برای آدرس‌های URL ارائه می‌دهد:

مقدار http.uri.raw که حاوی رشته اصلی بدون تغییر است.

مقدار http.uri که یک مرحله decode انجام می‌دهد، اما معمولاً کاراکتر + را به فاصله تبدیل نمی‌کند مگر اینکه صراحتاً در قانون ذکر شود.

اینجاست که ضعف امنیتی ایجاد می‌شود؛ مهاجمان می‌توانند با درج کاراکتر + در مقادیر حساس URL، قوانین ساده Suricata را دور بزنند. برای مثال، فیلترهایی که به‌دنبال پارامترهای مخرب مانند fileid= هستند، اگر به‌درستی تنظیم نشوند، ممکن است نتوانند این تهدید را شناسایی کنند.

برای جلوگیری از این نوع دور زدن، باید در نوشتن قوانین Suricata گزینه url_decode را فعال نمود. همچنین بررسی ترکیبی بافرهای http.uri.raw و http.uri به شناسایی دقیق‌تر کمک می‌کند. این مقاله تأکید می‌کند که بدون توجه به جزییات فنی مربوط به رمزگشایی URL، حتی بهترین ابزارهای امنیتی هم می‌توانند فریب بخورند و تهدیدها از دید پنهان بمانند.


#آکادمی_روزبه
مرکز تخصصی CISSP
همیشه بخوان

https://www.labs.greynoise.io/grimoire/2025-06-05-suricata-url-decoding/

احمد صبحي علی با پروژه لینک زیر نشان داده ساخت یک pipeline کامل SIEM در پایتون امکان‌پذیر و قابل فهم است. از collection تا alert، همه کنترل در اختیار شماست. اگر قصد دارید تفاوت بین rule-based و AI-driven detection را به‌صورت عملی ببینید، یا می‌خواهید سیستم قابل ارتقا و self-hosted داشته باشید، این مقاله الهام‌بخش و کاربردی است.

#آکادمی_روزبه
مرکز تخصصی CISSP


https://medium.com/@ahmedsobhialii/demystifying-siem-how-i-built-a-real-time-ai-detection-pipeline-in-pure-python-24ee10974587

دیگران کجایند و ما کجا

#آکادمی_روزبه
مرکز تخصصی CISSP

https://asrgen.streamlit.app/

دوره های اسپلانک و هانت

رایگان
آقای میراسداللهی

https://www.udemy.com/course/soc-cybersecurity-threat-hunting-with-splunk/?couponCode=1871A1F1633C4220B96F


https://www.udemy.com/course/threat-hunting-with-data-science-and-splunk-for-beginners/?couponCode=7A8D11541D311F4CF03B

آیا چین الگوریتم RSA را شکسته است ؟

باید گفت بر خلاف عنوان مقاله لینک زیر نکاتی متصور است که باید توجه شود


الگوریتم RSA فعلاً در عمل امن است.

شکستن RSA توسط چین محدود به آزمایش بسیار کوچک و علمی است.

برای حفاظت بلندمدت، آماده‌سازی برای رمزنگاری مقاوم در برابر کوانتوم ضروری است.

سازمان‌ها باید به سمت رمزنگاری مقاوم در برابر کوانتوم (Post-Quantum Cryptography) حرکت کنند، همانطور که نهادهایی مانند NIST آمریکا در حال استانداردسازی این الگوریتم‌ها هستند.


در عمل، RSA با کلیدهای بلند (مثلاً ۲۰۴۸ بیت یا بیشتر) همچنان در مقابل حملات کلاسیک و کوانتومی ایمن محسوب می‌شود، زیرا:

✅ برای شکستن یک کلید RSA واقعی به اجرای کامل الگوریتم Shor روی یک رایانه کوانتومی بسیار بزرگ و پایدار نیاز است. تخمین‌ها می‌گویند برای شکستن RSA ۲۰۴۸ باید حدود ۲۰ میلیون کیوبیت پایدار و بدون خطا داشت، درحالی‌که قوی‌ترین رایانه‌های کوانتومی جهان فعلاً چند هزار کیوبیت دارند و آن هم با خطای بالا.

✅ آنچه در چین انجام شده بیشتر شبیه یک نمایش تکنیکی از پیشرفت است، نه یک تهدید عملیاتی علیه رمزنگاری فعلی.


#آکادمی_روزبه
مرکز تخصصی CISSP

https://www.earth.com/news/china-breaks-rsa-encryption-with-a-quantum-computer-threatening-global-data-security/

ارزیابی ریسک امنیت هوش مصنوعی

#آکادمی_روزبه
مرکز تخصصی CISSP

تزریق ترس یا آرامش ؟

تحلیل استراتژیک: اثرات روانی جنگ‌های ترکیبی و نقش مدیران امنیت در کنترل فضای ترس

در محیط پیچیده جنگ‌های نوین که حملات سایبری، عملیات روانی و درگیری‌های فیزیکی هم‌زمان رخ می‌دهد، مدیران امنیت سازمان‌ها با مسئولیت دوگانه روبه‌رو هستند: افزایش آمادگی فنی و مدیریت روانی سازمان.

بخش اول: ضرورت ارتقاء آماده‌باش و حساسیت فنی
مطالعات میدانی و تجربیات جنگ‌های اخیر (مانند بحران‌های اوکراین، خاورمیانه و تنش‌های سایبری چین-آمریکا و ایران-اسراییل) نشان می‌دهد:
✅ حملات سایبری در دوران «آتش‌بس رسمی» به‌طور پنهان افزایش می‌یابد،
✅ عملیات نفوذ و جاسوسی زیرساختی در پوشش صلح یا مذاکرات شدت می‌گیرد،
✅ گروه‌های وابسته به دولت‌ها (APTها) از فرصت کاهش هوشیاری برای کاشت Backdoor یا خرابکاری‌های خاموش استفاده می‌کنند.
در چنین شرایطی، کاهش حساسیت تیم‌های فنی به بهانه آرامش نسبی، خطرناک‌ترین اشتباه راهبردی است. مدیر امنیت موظف است حتی در دوره‌های ظاهراً کم‌تنش:
✔ سطح بررسی رخدادها و هشدارها را حفظ کند،
✔ شکار تهدیدات پیشرفته (Threat Hunting) را متوقف نکند،
✔ سناریوهای بحران و رزمایش‌های امنیتی را ادامه دهد.


بخش دوم: خطرات بزرگ‌نمایی تهدید و فضای روانی ناپایدار

اما افزایش بی‌رویه فضای ترس نیز پیامدهای منفی دارد:
❌ فرسودگی روانی تیم‌های عملیاتی (Burnout)،
❌ افزایش نرخ اشتباهات انسانی ناشی از استرس،
❌ افت بهره‌وری سازمان به دلیل اضطراب مداوم،
❌ بی‌اعتمادی داخلی و بروز اختلافات میان تیم‌ها.
تجربه نشان داده، در بسیاری از موارد، فضاهای بیش‌ازحد امنیتی که بدون چارچوب منطقی اعمال می‌شوند، خود به تهدیدی برای سلامت سازمان و کارکنان بدل می‌شوند.

توصیه استراتژیک برای مدیران:

🔹 فرهنگ‌سازی امنیتی را با اطلاع‌رسانی شفاف، غیرترساننده و مبتنی بر داده واقعی اجرا کنید.
🔹 تفکیک کنید میان «آگاهی‌بخشی فنی برای تیم‌های عملیاتی» و «اطلاع‌رسانی عمومی برای کاهش اضطراب».
🔹 ظرفیت روانی تیم‌های امنیت را مدیریت کنید؛ Alert Fatigue و استرس مزمن، بهره‌وری را کاهش می‌دهد.
🔹 در شرایط بحران، اولویت را به تصمیم‌گیری مبتنی بر تحلیل بدهید، نه واکنش احساسی یا فضای ترس.
نتیجه نهایی:
موفقیت سازمان در دوران جنگ‌های ترکیبی، تنها به ابزارهای فنی وابسته نیست. مدیریت روانی، کنترل فضای ترس، و حفظ تعادل بین هوشیاری و آرامش، تعیین‌کننده بقای سازمان و حفظ توان مقابله در بلندمدت است.

#آکادمی_روزبه
مرکز تخصصی CISSP

تحلیلی امنیتی بر برنامه “OpenAI for Countries”
نگاه استراتژیک به رقابت هوش مصنوعی و پیامدهای امنیت ملی


مقدمه
در حالی‌که رقابت بین‌المللی در حوزه هوش مصنوعی (AI) شدت می‌گیرد، شرکت OpenAI به‌عنوان یکی از رهبران فناوری جهان، برنامه‌ای موسوم به “OpenAI for Countries” معرفی کرده است. این برنامه پاسخی مستقیم به پیشروی فزاینده چین در عرصه AI، مخصوصاً در بازارهای نوظهور آسیایی، آفریقایی و خاورمیانه است.
اما این پروژه تنها جنبه اقتصادی یا فناورانه ندارد؛ بلکه به‌طور مستقیم با امنیت ملی، حفاظت داده‌ها، استقلال سایبری و رقابت ژئوپلیتیکی گره خورده است.
اهداف آشکار و پنهان “OpenAI for Countries”
اهداف آشکار:
گسترش دسترسی کشورهای مختلف به مدل‌های زبانی پیشرفته (مانند GPT)
کمک به رشد زیرساخت‌های فناوری در کشورهای در حال توسعه
ارائه سرویس‌های شخصی‌سازی شده با توجه به نیازهای هر کشور
اهداف پنهان یا استراتژیک:
مهار نفوذ فناوری‌های چینی مانند Zhipu AI و DeepSeek در بازارهای حساس
جلوگیری از تسلط چین بر استانداردهای AI در کشورهای فاقد زیرساخت بومی
ایجاد نوعی “وابستگی نرم” به اکوسیستم OpenAI برای کنترل غیرمستقیم فضای داده و مدل‌های زبانی
ریسک‌ها و ملاحظات امنیتی مرتبط
۱. کنترل داده و حاکمیت ملی
با ورود OpenAI به زیرساخت‌های فناوری یک کشور، ممکن است داده‌های حساس یا استراتژیک در معرض تحلیل و پردازش خارجی قرار گیرد. حتی اگر داده‌ها در همان کشور باقی بماند، وابستگی به مدل‌های خارجی، ریسک‌های حاکمیت سایبری را افزایش می‌دهد.
۲. تقابل ژئوپلیتیکی هوش مصنوعی
برنامه‌هایی مانند “OpenAI for Countries” به نوعی جنگ سرد فناوری دامن می‌زنند؛ کشورها باید بین اکوسیستم‌های غربی (OpenAI، Google DeepMind) و شرقی (Zhipu، Baidu، DeepSeek) انتخاب کنند که این تقسیم‌بندی ممکن است منجر به بلوک‌بندی‌های امنیتی و اقتصادی جدید شود.
۳. پنهان‌سازی قابلیت‌های جاسوسی
همانطور که نگرانی‌ها در مورد ابزارهای چینی (مثل Huawei یا Zhipu) مطرح است، برخی کشورها ممکن است به OpenAI نیز با تردید نگاه کنند. هرچند OpenAI خود را به‌عنوان سازمانی مستقل معرفی می‌کند، اما نفوذ سیاسی و تعامل آن با دولت آمریکا انکارناپذیر است.
۴. رقابت بر سر استانداردها = رقابت بر سر کنترل
استانداردهای اخلاقی، امنیتی و فنی AI نقش حیاتی در شکل‌دهی آینده فناوری دارند. اگر OpenAI بتواند استانداردهای خود را در کشورهای در حال توسعه جا بیندازد، کنترل بلندمدت بر ساختار تصمیم‌گیری فناورانه آن کشورها را در اختیار خواهد داشت.
نتیجه‌گیری: فرصت یا تهدید؟
برنامه “OpenAI for Countries” در ظاهر یک پروژه توسعه‌ای و فناورانه است، اما در بطن آن یک نبرد پیچیده امنیتی، سیاسی و اقتصادی جریان دارد. برای کشورهای هدف، این برنامه می‌تواند:
✅ فرصت رشد سریع فناوری و بهره‌مندی از هوش مصنوعی پیشرفته را فراهم کند
⚠️ اما هم‌زمان، ریسک‌های مرتبط با وابستگی فناورانه، از دست دادن کنترل داده‌ها و افت استقلال سایبری را افزایش می‌دهد
پیشنهاد به تصمیم‌گیرندگان امنیتی
کشورهایی که هدف این برنامه هستند باید:
بررسی‌های عمیق امنیتی و حقوقی انجام دهند
سیاست‌های حفاظت از داده و حاکمیت سایبری را شفاف تدوین کنند
با دقت بین مزایا و تهدیدهای ناشی از ورود اکوسیستم‌های خارجی، به‌ویژه در حوزه AI، تعادل برقرار کنند

#آکادمی_روزبه

تحلیل استراتژیک: چین در برابر بلوک غرب در حوزه هوش مصنوعی

مقدمه
در رقابت جهانی بر سر تسلط بر فناوری هوش مصنوعی، آمریکا سال‌هاست که با تکیه بر انحصار تولید سخت‌افزارهای پیشرفته، از جمله تراشه‌های گرافیکی (GPU) و شتاب‌دهنده‌های یادگیری ماشین، برتری فنی خود را حفظ کرده است. با این حال، چین با درک محدودیت‌های سخت‌افزاری و تحریم‌های خارجی، مسیر متفاوت و هوشمندانه‌ای را انتخاب کرده است: بهینه‌سازی نرم‌افزار و مدل‌های زبانی برای بهره‌وری حداکثری از منابع محدود.

این تغییر استراتژیک، معادلات قدرت در حوزه AI را وارد مرحله جدیدی می‌کند که فراتر از بحث‌های فناورانه، اثرات مستقیم بر امنیت ملی، رقابت اقتصادی و نفوذ ژئوپلیتیکی دارد.

استراتژی چین: غلبه بر محدودیت سخت‌افزار با ابزار نرم‌افزار
چین با بهره‌گیری از تکنیک‌های پیشرفته مانند:
✅ Quantization (کوانتایزیشن) — کاهش دقت محاسبات برای مصرف کمتر منابع
✅ Distillation (استخراج دانش) — انتقال قابلیت‌های مدل‌های عظیم به نسخه‌های سبک و سریع
✅ Model Optimization (بهینه‌سازی مدل‌ها) — بازطراحی معماری مدل برای اجرا روی سخت‌افزار ضعیف‌تر

توانسته فاصله خود را با بازیگران غربی کاهش دهد و در بسیاری از بازارهای کلیدی، رقابت جدی ایجاد کند.

ابعاد ژئوپلیتیکی و امنیتی این رویکرد
۱. خنثی‌سازی تحریم‌های فناورانه آمریکا
تحریم صادرات چیپ‌های پیشرفته به چین، اثرگذاری خود را از دست می‌دهد اگر چین بتواند با منابع موجود، مدل‌های کارآمد توسعه دهد.
این روند استقلال فناوری چین را تقویت و مقاومت آن را در برابر فشارهای خارجی افزایش می‌دهد.
۲. ایجاد اکوسیستم مستقل و بومی
مدل‌های فشرده و بهینه‌شده نیازی به دیتاسنترهای عظیم یا زیرساخت‌های غربی ندارند.
این به چین اجازه می‌دهد زنجیره فناوری AI را به‌صورت کامل در داخل کنترل کند؛ موضوعی که از منظر امنیت ملی، مزیت حیاتی محسوب می‌شود.
۳. افزایش قدرت نفوذ در کشورهای در حال توسعه
مدل‌های سبک، کم‌هزینه و قابل‌اجرا روی سخت‌افزار متوسط، امکان استقرار سریع AI چینی در آفریقا، خاورمیانه و آسیا را فراهم می‌کند.
این نفوذ فناورانه می‌تواند در بلندمدت به وابستگی تکنولوژیک و تاثیرگذاری سیاسی منجر شود.
۴. تهدید بلندمدت برای انحصار فناوری غرب
اگر چین موفق شود مدل‌هایی با عملکرد بالا و مصرف پایین توسعه دهد، مزیت سخت‌افزاری غرب تضعیف خواهد شد.
این شکستن انحصار می‌تواند توزیع قدرت در حوزه فناوری را متحول و موازنه ژئوپلیتیکی را تغییر دهد.

جمع‌بندی استراتژیک
تحلیل وضعیت کنونی نشان می‌دهد که نبرد هوش مصنوعی دیگر صرفاً بر سر قدرت پردازشی نیست، بلکه وارد مرحله‌ای شده که:
✅ هوش در مدیریت منابع، به‌اندازه توان پردازش حیاتی است
✅ سیاست‌های تحریم و کنترل صادرات بدون استراتژی نرم‌افزاری مکمل، اثر بلندمدت نخواهند داشت
✅ کشورهایی که قادرند با بهینه‌سازی، محدودیت‌های زیرساختی را دور بزنند، شانس بیشتری برای استقلال فناوری دارند
چین دقیقاً در این مسیر حرکت می‌کند و این روند، چالش‌های جدیدی را برای کشورهای غربی و همچنین بازیگران جهان سوم ایجاد خواهد کرد.


#آکادمی_روزبه