درسی برای دانشجویان سطح ۲ و ممیزان

🟣کاربرد مهم TokenElevationType در تحلیل لاگ و ممیزی

در مانیتورینگ لاگ یا Threat Hunting، این فیلد سرنخ‌ها و کاربردهای زیر دارد:

اگر TokenElevationType = Full به شکل غیرمنتظره‌ای دیده شود، ممکن است کاربر یا مهاجم توانسته UAC را بای‌پس کند یا از ابزارهای ارتقای دسترسی (مثل PsExec، Runas) استفاده کرده باشد.


بدافزارها برای انجام تغییرات سیستمی معمولاً به Full Token نیاز دارند. ثبت ناگهانی Full Token برای یک کاربر عادی می‌تواند نشانه اجرای Exploit باشد.


مقایسه ورود اولیه کاربر (با Limited Token) و تغییر بعدی به Full Token، مسیر و زمان ارتقا را روشن می‌کند.


در گزارش‌های ممیزی، بررسی درصد نشست‌های با Full Token نسبت به کل نشست‌ها نشان می‌دهد کاربران چقدر با حقوق ادمین کار می‌کنند (که ضعف امنیتی است).



#آکادمی_روزبه
مرکز تخصصی CISSP

#تجربه

برای امکان درج تجربه ، برخی از عناصر تحلیل رو اجبارا حذف کردم

چند وقت پیش توی یکی از پایش های مقدمه هانت، تصمیم گرفتم تمرکز رو روی داده‌های Prefetch بگذارم. با استفاده از ابزارهایی مثل Velociraptor و Kansa/KAPE تونستم این داده‌ها رو جمع‌آوری کنم. همونطور که می‌دونید، Prefetch برای پیدا کردن نقطه‌ی محوری مثل زمان اجرا یا مسیر فایل خیلی کاربردیه و مهاجم‌ها هم به راحتی نمی‌تونند ردش رو کاملاً پاک کنند.
توی تحلیل، با کمک ابزار PECmd.exe از مجموعه‌ی Zimmerman متوجه شدم که یک LOLBAS غیرعادی با استفاده از  مثلا tttracer.exe - که در دوره های سنز هم امده - یک برنامه‌ی ساده مثل calc.exe رو اجرا کرده. این تکنیک رو معمولاً مهاجم‌ها استفاده می‌کنن تا بتونن محدودیت‌های اجرای اپلیکیشن رو دور بزنن و کد رو از مسیرهای غیرعادی اجرا کنن.
با کمی دقیق شدن روی Prefetch، چند چیز برام جلب توجه کرد:
مسیر اجرای فایل‌ها غیرعادی بود: C:\Windows\System32\spool\drivers\color\ که یک مسیر شناخته‌شده برای سوءاستفاده‌ست، چون معمولاً قابل نوشتن و در محیط‌های محدود هم قابل اجراست.
در Command Line دو فایل اجرایی پشت سر هم دیده می‌شد که خیلی رایج نیست.
دستور اجرا شده مثلا این بود:

C:\Windows\System32\spool\drivers\color  tttracer.exe C:\windows\system32\calc.exe

همین رد کوچک برای من کافی بود تا ادامه‌ی بررسی رو جدی بگیرم؛ چون حتی گروه‌های پیشرفته‌ی تهدید هم گاهی اشتباهاتی مثل این دارن که بخشی از PoC یا تست خودشون رو ناخواسته وارد حمله واقعی می‌کنن. اجرای غیرمعمول calc.exe برای من یک نشانه‌ی عالی برای ادامه‌ی Threat Hunting شد.

ادامه مراحل فعلا قابل انتشار نیست .(رعایت اصول امنیتی در انتشار مطالب جزو الزامات است )

تاکید من در این تجربه بر مهم بودن توجه به Prefetch است که میتونه سرنخ رو بهتون بده



نکته: قضیه Calc.exe رو گرفتین ؟ 😉

تبصره: اشتراک دانش بخشی از زندگی منه . لذا ممکنه واسه برخی از افراد ، درج چنین تجربیاتی عجیب باشه



#آکادمی_روزبه
مرکز تخصصی CISSP

۲۲ فارغ التحصیل آکادمی روزبه با اسپانسری شرکت پیشگامان فناوری اطلاعات هامون تقدیم به پیشرفت ایران

مدارک آماده شده برای دانشجویان ترم بهار

www.haumoun.com
Www.Roozbeh.academy


ثبت نام ترم تابستان واتس اپ و بله 09902857290

درس امروز برای سطح ۲

Reflective DLL Loading

این روش یعنی یک فایل DLL را بدون ذخیره روی دیسک، مستقیماً داخل حافظه سیستم (RAM) بارگذاری و اجرا کنیم.


در حالت عادی، وقتی یک برنامه می‌خواهد از یک DLL استفاده کند، سیستم‌عامل با تابعی مثل LoadLibrary آن DLL را از هاردخوانده و لود می‌کند. اما در Reflective DLL Loading، مهاجم نسخه‌ی باینری DLL را به‌شکل خام (مثلاً از اینترنت یا داخل یک payload دیگر) دریافت می‌کند و آن را با دستوراتی مثل VirtualAlloc و WriteProcessMemory مستقیماً در حافظه یک پروسه قرار می‌دهد.

درون این DLL یک کد خاص به نام Reflective Loader هست که نقش همان LoadLibrary را در حافظه بازی می‌کند: جدول توابع را تنظیم می‌کند، آدرس APIها را پیدا می‌کند و ساختار DLL را برای اجرا آماده می‌کند. بعد از این مرحله، کنترل به کد اصلی DLL داده می‌شود و برنامه بدون نیاز به فایل روی دیسک اجرا می‌شود.

مزیت برای مهاجم چیست؟

آنتی‌ویروس‌ها سخت‌تر می‌توانند آن را پیدا کنند چون هیچ فایل واقعی برای اسکن وجود ندارد.

نقاط شکار کجاست؟
با ابزارهایی مثل Sysmon می‌توان Load شدن ماژول‌های بدون مسیر دیسک (Event ID 7) یا ایجاد Thread از راه دور (Event ID 8) را دید. EDRها هم می‌توانند حافظه فرآیندها را بررسی و DLLهای مشکوک را شناسایی کنند.


دوره های آکادمی روزبه

اهمیت پاسخ‌گویی مبتنی بر اطلاعات و جایگاه‌یابی مهاجم در ماتریس ATT&CK


در تهدیدات پیشرفته امروزی، شناسایی مهاجم به‌تنهایی کافی نیست؛ مهم این است که بدانیم مهاجم در کدام مرحله از چرخه حمله و کدام تاکتیک/تکنیک ماتریس MITRE ATT&CK قرار دارد. این رویکرد که به عنوان پاسخ‌گویی مبتنی بر اطلاعات (Intelligence-Driven Incident Response) شناخته می‌شود، به تیم امنیتی کمک می‌کند تا بر اساس موقعیت فعلی مهاجم، واکنش دقیق‌تر و مؤثرتری ارائه دهند.
ماتریس MITRE ATT&CK نقشه‌ای جامع از رفتارهای مهاجمان است که شامل تاکتیک‌هایی مانند Initial Access، Execution، Credential Access، Lateral Movement و Exfiltration می‌شود. جایگاه‌یابی مهاجم در این ماتریس مزایای زیر را دارد:
پیش‌بینی گام بعدی مهاجم بر اساس مرحله فعلی.
انتخاب اقدامات محدودسازی هدفمند متناسب با موقعیت.
کاهش زمان پاسخ‌گویی با تمرکز مستقیم روی فعالیت‌های مرتبط.


برای مثال، شناسایی مهاجم در مرحله Execution با تکنیک PowerShell نشان می‌دهد که او قبلاً وارد شبکه شده و در حال اجرای کد مخرب است؛ در این حالت، توقف اجرای PowerShell و بررسی کامل سیستم ضروری است. در مقابل، کشف مهاجم در Credential Dumping بیانگر آغاز تلاش‌ها برای گسترش دسترسی و حرکت جانبی است، بنابراین باید به تغییر اعتبارنامه‌های حساس و نظارت بر نشست‌ها پرداخت.

مزیت دیگر این رویکرد، اثربخشی در حملات تکراری است. مستندسازی اینکه مهاجم در کجا و با چه تکنیکی شناسایی شده، امکان ایجاد Playbook دفاعی را فراهم می‌کند تا در مواجهه بعدی، تهدید همان‌جا یا پیش‌تر متوقف شود.

در نهایت، پاسخ‌گویی مبتنی بر اطلاعات با تکیه بر داده‌های دقیق از جایگاه مهاجم، نه‌تنها باعث مهار سریع‌تر حمله فعلی می‌شود، بلکه به بهبود مستمر دفاع سازمان و جلوگیری از موفقیت حملات مشابه در آینده کمک می‌کند. این همان رویکردی است که در نبرد امروز با تهدیدات پیشرفته، برنده‌ها را از بازندگان جدا می‌کند.



نمودار فوق :دیاگرام ماتریس ATT&CK رنگ‌بندی‌شده بر اساس محل کشف مهاجم
رنگ قرمز = محل شناسایی فعلی مهاجم
رنگ نارنجی = مراحل قبلی که باید بررسی شواهدشان انجام شود
رنگ زرد = مراحل بعدی که مهاجم ممکن است حرکت کند
رنگ سبز = مراحل امن یا پاک‌سازی‌شده


#آکادمی_روزبه
مرکز تخصصی CISSP
واتس اپ و بله 09902857290

وقتی بد افزار خود را به خواب میزند
مقوله Dormant Malware: مکانیزم و چالش شناسایی

موضوع Dormant malware به کد مخربی گفته می‌شود که پس از استقرار در سیستم، فعالیت مخرب فوری ندارد و عمداً در حالت غیرفعال باقی می‌ماند تا از شناسایی توسط ابزارهای امنیتی و تحلیل انسانی فرار کند.مانند ورود جاسوس یه یک منطقه و رفتار عادی برای قاطی شدن با مردم و در پی گرفتن زندگی عادی تا روز موعود . این بدافزار می‌تواند در دیسک، حافظه یا حتی Firmware ذخیره شود و تنها هنگام وقوع یک رویداد خاص فعال شود.
۱. موضوع Time-based Dormancy:
برخی بدافزارها با استفاده از APIهایی مثل Sleep() یا NtDelayExecution فعالیت خود را ساعت‌ها یا روزها به تأخیر می‌اندازند. چون Sandbox و EDR معمولاً مدت اجرای کوتاهی دارند، نمونه در طول تحلیل غیرفعال به‌نظر می‌رسد.
۲. بحث Event-based Activation:
اجرا تنها در صورت وقوع رویداد خاص مانند ورود کاربر ادمین، اتصال به شبکه داخلی یا کلیک روی فایل خاص. این الگو باعث می‌شود بدافزار در تست‌های خودکار بی‌اثر بماند.
۳. موضوع Environmental Awareness:
بدافزار با بررسی نشانه‌هایی مانند تعداد CPU Core، نام کارت شبکه یا کلیدهای رجیستری، محیط تحلیل را شناسایی کرده و تا زمان کاربر واقعی، خود را غیرفعال نشان می‌دهد.
۴. بحث Staged Payload Storage:
کد اصلی در Alternate Data Streams یا Registry ذخیره می‌شود. مرحله اول فقط یک Loader است که ظاهر بی‌ضرر دارد، اما فعال‌سازی را برای شرایط خاص نگه می‌دارد.
۵. مقولهLiving-off-the-Land Persistence:
استفاده از ابزارهای سیستمی (مثل WMI یا PowerShell) برای ایجاد persistence بدون اجرای باینری مخرب تا لحظه نیاز، باعث گمراهی مانیتورینگ مبتنی بر فایل می‌شود.


چالش شناسایی:
این Dormant malware فاقد Indicators of Compromise فوری است، ارتباط شبکه‌ای ندارد، و رفتارهای مخربش در جریان عادی سیستم پنهان می‌شود. شناسایی آن نیازمند memory forensics، تحلیل خط‌زمانی بلندمدت، و شکار مبتنی بر Indicators of Behavior است تا شکاف بین artifact موجود و رفتار واقعی شناسایی گردد.




#آکادمی_روزبه
مرکز تخصصی CISSP
واتس اپ و بله 09902857290

💥بررسی یک IOC مهم
غیرفعال‌سازی SafeDllSearchMode


در بخشی از یک Defense Evasion + Persistence و برای اجرای DLL Search Order Hijacking یا Phantom DLL Injection هکر میتواند غیر فعال سازی فوق را انجام دهد. لذا غیر فعال بودن ( کردن) SafeDllSearchMode می‌تواند نشانه‌ای از تسخیر باشد

🟣روش کشف

رویداد Sysmon Event ID 13 ، تغییر رجیستری روی مسیرزیر:
✳️HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\SafeDllSearchMode
✳️HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\SafeDllSearchMode


و Event ID 4657 (Windows Security) برای تغییر رجیستری با Audit Mode.
یا
هشدار EDR برای فرآیندی که reg.exe یا powershell را برای تغییر این کلید اجرا می‌کند.
بررسی تطبیقی با baseline رجیستری.



💐شاد باشید . خوشحال و با امید زندگی کنید


#آکادمی_روزبه
مرکز تخصصی CISSP
واتس اپ و بله 09902857290

از دغدغه های معمار SOC

✳️مساله :گاهی مهاجم حتی فایل اصلی exe برنامه را دست نمیزند، فقط manifest برنامه را عوض می‌کند تا DLL مخربش لود شود. این تغییر کوچک می‌تواند ماه‌ها پنهان بماند مگر اینکه baseline داشته باشید

اما مانیفست (Manifest) چیست ؟
در ویندوز در واقع یک فایل توضیحی یا نقشه راه است که به سیستم‌عامل می‌گوید یک برنامه باید چطور و با چه وابستگی‌هایی اجرا شود.

💥چطور می‌توان تغییرات manifest را بررسی کرد؟
🔰پایش مداوم فایل‌های manifest (File Integrity Monitoring)
🔸️فایل‌های manifest معمولاً پسوند ندارند یا .manifest هستند و کنار exe اصلی یا در مسیر نصب برنامه ذخیره می‌شوند.
🔸️می‌توان یک hash baseline از همه manifest ها گرفت.
🔸️ابزارهایی مثل Tripwire, OSSEC, یا حتی اسکریپت PowerShell می‌توانند هش فایل‌ها را پایش کنند و تغییرات را گزارش دهند.

🔰 استخراج و بررسی manifest جاسازی‌شده (Embedded Manifest)
🔸️بعضی برنامه‌ها manifest را داخل خود فایل exe یا dll embed می‌کنند.
🔸️با ابزارهایی مثل mt.exe (Microsoft Manifest Tool) یا Resource Hacker می‌توان manifest را از باینری استخراج و ذخیره کرد.
🔸️همان روند baseline/hash check برای این manifestهای استخراجی قابل اجرا است.

🔰مانیتور کردن مسیرهای حساس
🔸️مسیرهای نصب برنامه (Program Files, Windows\System32) و پوشه کاربر که برنامه‌های بدون امضا یا تستی در آن نصب شده‌اند، باید در سرویس FIM یا EDR تحت نظر باشند.
🔸️وEvent ID 4663 (Object Access) در Windows Security هم می‌تواند تغییر فایل‌ها را لاگ کند، هرچند پر سروصداست و نیاز به فیلتر دارد.

جهت اطلاع : در استاکس نت چنین رفتاری دیده شده است .



💐شاد باشید . خوشحال و با امید زندگی کنید


#آکادمی_روزبه
مرکز تخصصی CISSP
واتس اپ و بله 09902857290

کمک کنید همکارانم رو پیدا کنم

دعوت به همکاری از علاقمندان به تدریس

واتس اپ و بله برای ارسال رزومه 09902857290


پذیرش از سراسر ایران

www.haumoun.com
Www.Roozbeh.academy

تصویر فوق : برنامه آموزشی

امروز درگیر یک پروژه هانت در محیط صنعتی همراه با ۴ نفر از دوستان هستم.
از خروجی های پروژه در وقت لزوم و اجازه ی داده شده ، تجربه هایی با شما به اشتراک خواهم گذاشت . البته به اقتضای مسائل امنیتی خب برخی مطالب قابل بیان و حتی اشاره نیست .
فقط اینکه الان داریم با Velociraptor کار می‌کنیم

👆👆با توجه نتیجه رای گیری و پراکندگی رای ها ؛ تمام دوره ها را برای ثبت نام باز میگذارم هرکدام اول به حد نصاب رسید، من اول وقتم را برای آن خواهم گذاشت تا تصمیمی منصفانه باشد

💐شاد باشید . خوشحال و با امید زندگی کنید


#آکادمی_روزبه
مرکز تخصصی CISSP
واتس اپ و بله 09902857290

نگارش کپی و تبلیغات زرد ؟!

مدتی پیش، صاحب یکی از بزرگ‌ترین کانال‌های تلگرامی حوزه امنیت، تبلیغ کلاس من را رد کرد. دلیلش این بود که آن را «زرد» تلقی کرد، هرچند با قوانین کانالش هیچ تضادی نداشت. هفته قبل هم دوستی پست من را ترجمه یک مطلب خارجی پنداشت و تعدد نوشته‌هایم باعث شد به اصالت آن‌ها شک کند.

این‌ها برایم یک تلنگر بود: چرا گاهی فعالیت‌هایم باعث واکنش منفی دیگران می‌شود؟

کمی عمیق‌تر که فکر کردم، دیدم ریشه کارم فقط علاقه به انتقال دانش و تجربه است. حجم زیاد نوشته‌ها و عمق مطالب هم نتیجه سال‌ها کار، تجربه در شاخه‌های مختلف امنیت و فناوری، و عادت به مطالعه مداوم است.

یاد کودکی‌ام افتادم؛ زمانی که عاشق روزنامه‌دیواری بودم. برایم فقط یک ترند نبود، بلکه فرصتی بود تا آموخته‌هایم را منتقل کنم. حتی توضیح شفاهی هم می‌دادم. امروز هم که می‌نویسم، همان حس شعف را تجربه می‌کنم. وقتی مطلبی را آموزش می‌دهم، انگار خودم بهتر می‌فهمم. وقتی کسی—حتی یک نفر—در هفته به من پیام تشکر می‌دهد، آرامشی عمیق پیدا می‌کنم، انگار باری را از دوش برداشته‌ام.
شاید ریشه این علاقه، به ۳۸ سال معلمی مادرم و عشق پدرم به مطالعه—حتی در آخرین ساعات زندگی—برگردد. من در خانواده‌ای بزرگ شدم که مطالعه، بخشی از روزمره بود. این باعث شد حجم مطالعه، آزمایش و تولید محتوای من بالا باشد.

در مورد تبلیغات هم نکته‌ای هست: شاید برای بعضی آزاردهنده باشد که چرا مدام از مزایای سنز یا CISSP می‌گویم. دلیلش ساده است: اصلاح کار و پیشرفت جامعه فقط با پیروی از بهترین روش‌ها و استانداردهای جهانی ممکن است. بنابراین سرفصل باید کامل و مدارک باید معتبر و آزمون‌محور باشند. احترام به علم و رعایت سلسله‌مراتب کاری، زیربنای اصلاح و پیشرفت است.
پس بله، من تبلیغ مدرک و دوره «اصل» می‌کنم. چون این بخشی از هدفم برای اصلاح جامعه است؛ باری که عده کمی به دوش می‌کشند.

دوستان واقعی کنارم می‌مانند و دیگران هم به راه خود می‌روند. عمر کوتاه است، کار بسیار، و عرصه خدمت باز. عشق به خواندن، یاد دادن و انتقال تجربه چیزی نیست که از من جدا شود.
تا عمر هست، می‌نویسم؛ امیدوارم حتی ذره‌ای سودمند باشد.
هر کس به راه خود
والسلام.


روزبه نوروزی
پایان مرداد ماه ۱۴۰۴ تهران

پایش WMI Event Consumers

پایش WMI Event Consumers اهمیت زیادی در شکار تهدیدات دارد زیرا مهاجمان از آن‌ها برای ایجاد مکانیزم ماندگاری بدون ایجاد سرویس یا تسک زمان‌بندی شده استفاده می‌کنند. این روش معمولاً در لاگ‌های پیش‌فرض ثبت نمی‌شود، بنابراین کشف آن نیازمند مانیتورینگ فعال یا جمع‌آوری دوره‌ای وضعیت WMI است.

مانیتورینگ Real-time (برای بعد از فعال شدن)
با فعال‌سازی Sysmon و rule مربوط به WMI (مثل Event ID 19, 20, 21) می‌تونیم هر بار ایجاد/تغییر Event Consumer رو log کنیم.
یا Audit‌های خاص WMI در Microsoft-Windows-WMI-Activity/Operational رو فعال کنیم.
📌 مشکل: این روش فقط تغییرات بعد از فعال‌سازی رو می‌گیرد، نه مصرف‌کننده‌های موجود.

جمع‌آوری Snapshot
با PowerShell (Get-CimInstance) یا ابزارهای مشابه، تمام Event Consumerهای فعلی روی سیستم رو می‌خونیم (یعنی یه snapshot از وضعیت فعلی).
بعد این داده رو به Splunk می‌فرستیم تا بین هزاران سیستم دنبال موارد مشکوک بگردیم.
📌 مزیت: گذشته و حال رو می‌بینیم، نه فقط تغییرات جدید.


در کار اجرایی من هردو رو انجام دادم .


برای بخش اسنپ شات من اینکار رو میکنم :
جمع‌آوری داده‌ها از همه سیستم‌ها

$computers = Get-Content .\systems.txt # لیست سیستم‌ها
foreach ($comp in $computers) {
  try {
    $events = Invoke-Command -ComputerName $comp -ScriptBlock {
      Get-CimInstance -Namespace root\subscription -ClassName __EventConsumer
    }
    $events | Select-Object PSComputerName, Name, CommandLineTemplate |
      Export-Csv ".\WMI_Consumers.csv" -Append -NoTypeInformation
  }
  catch {
    Write-Host "Failed to query $comp" -ForegroundColor Red
  }
}

و بعد  ارسال داده به Splunk
دو روش
روش 1: از طریق Universal Forwarder
روی سیستمی که CSV تولید شده، Splunk Universal Forwarder نصب کنیم.
inputs.conf رو طوری پیکربندی کنیم که مسیر CSV رو مانیتور کند

روش 2: آپلود مستقیم در Splunk
اگر داده ثابت دارید (نه زنده)، می‌تونید CSV رو از GUI داخل یک ایندکس جدید آپلود کنید.

خوشحال میشم اگر شما تجربه ای دارید در این زمینه به اشتراک بگذارید



💐شاد باشید . خوشحال و با امید زندگی کنید


#آکادمی_روزبه
مرکز تخصصی CISSP
واتس اپ و بله 09902857290

تحلیل فارنزیک از طریق آرتیفکت‌های کرش: فراتر از لاگ‌های امنیتی

کرش ابزارهای تهاجمی، نشانه هایی با اطمینان خوب برای تیم‌های SOC و IR تولید می‌کند. تحلیلگران باید لاگ‌های Application Crash (Event ID 1000) و گزارش‌های Windows Error Reporting (WER - Event ID 1001) را به عنوان شواهد فارنزیک، و نه صرفاً خطاهای سیستمی، بررسی کنند. این رویدادها، به ویژه در مورد فایل‌هایی با نام‌های مشکوک در مسیرهای غیر استاندارد (مانند lsasss64.exe در C:\Temp)، نشان‌دهنده تکنیک‌های Masquerading (T1036.005) هستند.

کلید تحلیل، فایل Report.wer است که در مسیر C:\ProgramData\Microsoft\Windows\WER یافت می‌شود. این آرتیفکت حاوی اطلاعات حیاتی از جمله هش SHA1 باینری مخرب و لیست ماژول‌های بارگذاری شده (Loaded Modules) در لحظه کرش است. هش استخراج شده، شناسایی قطعی بدافزار از طریق پلتفرم‌های Threat Intelligence را ممکن ساخته و به تشخیص تاکتیک‌هایی نظیر LSASS Memory Dumping (T1003.001) کمک می‌کند.

این رویکرد، لایه‌ای عمیق از شکار تهدید مبتنی بر هاست را فراهم می‌کند که اغلب توسط ابزارهای SIEM سنتی نادیده گرفته می‌شود و به کشف فعالیت‌های پنهان مهاجم، حتی پس از پاکسازی، منجر می‌گردد.



💐شاد باشید . خوشحال و با امید زندگی کنید


#آکادمی_روزبه
مرکز تخصصی CISSP
واتس اپ و بله 09902857290

بررسی ارتباط بلوغ SOC و استفاده از Splunk ES
قسمت اول
قطره ای از دریا !!


#آکادمی_روزبه
مرکز تخصصی CISSP

آموزش دهید ادمین ها RDP را Logout کنند.

در غیر اینصورت با تسخیر سرور ، هکر میتواند کردنشیال در حافظه را بدزدد که شامل هش پسورد و توکن است .

بعنوان راهکار اساسی چه کنیم و اینکه اگر آموزش ناپذیر بودند ؟

🔸️پیاده‌سازی Logoff Policy اجباری (Group Policy :Set time limit for disconnected sessions).
🔸️فعال کردن LSASS Credential Guard یا RunAsPPL برای جلوگیری از Dump ساده LSASS. توضیح اینکه : CG کامل‌تره و سخت‌گیرانه‌تر، و RunAsPPL سبک‌تر و محدودتر
🔸️استفاده از Event ID 4624, 4634, 4776, 4769 برای مانیتور رفتار لاگین/تیکت.
🔸️محدود کردن تعداد کاربرانی که حق RDP به سرورهای حساس رو دارند.


💐شاد باشید . خوشحال و با امید زندگی کنید


#آکادمی_روزبه
مرکز تخصصی CISSP
واتس اپ و بله 09902857290

بای پس XDR و EDR هم داریم
به همراه نحوه کشف
یه تیم بنفش واقعی ✅️

پس حتی اگر سرفصل روز بلد باشید دست خالی نمیرید