بررسی ارتباط بلوغ SOC و استفاده از Splunk ES
قسمت اول
قطره ای از دریا !!


#آکادمی_روزبه
مرکز تخصصی CISSP

آموزش دهید ادمین ها RDP را Logout کنند.

در غیر اینصورت با تسخیر سرور ، هکر میتواند کردنشیال در حافظه را بدزدد که شامل هش پسورد و توکن است .

بعنوان راهکار اساسی چه کنیم و اینکه اگر آموزش ناپذیر بودند ؟

🔸️پیاده‌سازی Logoff Policy اجباری (Group Policy :Set time limit for disconnected sessions).
🔸️فعال کردن LSASS Credential Guard یا RunAsPPL برای جلوگیری از Dump ساده LSASS. توضیح اینکه : CG کامل‌تره و سخت‌گیرانه‌تر، و RunAsPPL سبک‌تر و محدودتر
🔸️استفاده از Event ID 4624, 4634, 4776, 4769 برای مانیتور رفتار لاگین/تیکت.
🔸️محدود کردن تعداد کاربرانی که حق RDP به سرورهای حساس رو دارند.


💐شاد باشید . خوشحال و با امید زندگی کنید


#آکادمی_روزبه
مرکز تخصصی CISSP
واتس اپ و بله 09902857290

بای پس XDR و EDR هم داریم
به همراه نحوه کشف
یه تیم بنفش واقعی ✅️

پس حتی اگر سرفصل روز بلد باشید دست خالی نمیرید

مقاله صبحانه

روشهای دامپ LSASS


#آکادمی_روزبه


https://github.com/yo-yo-yo-jbo/dumping_lsass

مهم


بای پس Elastic EDR با Zero day


هم اکنون EDR های خود را دریابید


درایور elastic-endpoint-driver.sys که توسط «Microsoft Windows Hardware Compatibility Publisher» امضا شده، بخشی حیاتی از محصول Elastic EDR/Elastic Agent است. این امضا باعث می‌شود ویندوز و بسیاری از راهکارهای امنیتی به آن اعتماد کنند و آن را بدون بررسی عمیق بارگذاری کنند. نقصی که کشف شده، از نوع NULL Pointer Dereference (CWE‑476) است؛ یعنی ورودی‌های کنترل‌شده توسط کاربر بدون اعتبارسنجی مناسب وارد فانکشن‌های کرنل می‌شوند و می‌توانند باعث اجرای کد یا کرش سیستم شوند.

چنین درایورهای امضاشده ولی آسیب‌پذیر پیش‌تر هم مورد سوءاستفاده قرار گرفته‌اند، تکنیکی که به آن Bring Your Own Vulnerable Driver (BYOVD) می‌گویند. ابزارها و گروه‌هایی که از این روش استفاده کرده یا قابلیت آن را دارند، شامل:

EDRSandBlast، GodFault و AuKill برای غیرفعال کردن آنتی‌ویروس و EDR.
باج افرارهایی مثل BlackByte، BlackCat/ALPHV و Slingshot APT که قبل از رمزگذاری، محصولات امنیتی را با سوءاستفاده از درایورهای آسیب‌پذیر می‌کشند.
ابزار عمومی مثل KernelForge، KDU، و CheekyBlinder که برای بارگذاری و اکسپلویت درایور استفاده می‌شوند.

پروداکت‌هایی که ممکن است در معرض خطر باشند:

تمام نسخه‌های Elastic Defend / Elastic Agent که از این درایور نسخه 8.17.6 استفاده کنند.
سایر محصولات امنیتی یا نرم‌افزارهای سازمانی که این درایور را باندل کرده باشند (مثلاً در نسخه‌های خاص باندل‌شده SIEM/EDR).
هر محیط ویندوزی که اجازه بارگذاری این درایور امضاشده را بدهد، حتی اگر Elastic نصب نباشد ولی مسیر بارگذاری را مهاجم کنترل کند

#آکادمی_روزبه
مرکز تخصصی CISSP

https://cybersecuritynews-com.cdn.ampproject.org/c/s/cybersecuritynews.com/elastic-edr-0-day-vulnerability/amp/

درس 608 که با هم از 15 شهریور شروع میکنیم


دور زدن EDR با Parent PID Spoofing و Command Line Spoofing: تهدیدی پنهان برای SOC

مانند هر فناوری امنیتی دیگر، EDR نیز نقاط ضعف دارد. مهاجمان حرفه‌ای و تیم‌های Red Team سال‌هاست از این نقاط ضعف برای محو ردپا و شکستن روابط تحلیلی استفاده می‌کنند. دو روش رایج در این حوزه عبارت‌اند از:
یک Parent PID Spoofing (تغییر والد پردازش)
دو Command Line Spoofing (جعل خط فرمان پردازش)
1. Parent PID Spoofing:
والد جعلی برای پردازش
در ویندوز، تابع API به نام CreateProcess این امکان را می‌دهد که یک فرآیند جدید با تعیین یک شناسه پردازش والد دلخواه ایجاد شود (از طریق پارامتر STARTUPINFOEX). این قابلیت در اصل برای اهداف مشروع مانند UAC طراحی شده تا پردازش‌های با سطح دسترسی بالا، همچنان به پردازش اصلی گره بخورند.
ولی هکرها از این قابلیت برای چه استفاده می‌کنند؟
اجرای پردازش مخرب زیر والد بی‌گناه مثل explorer.exe
دور زدن قواعد EDR که بر اساس الگوهای والد-فرزند هشدار می‌دهند
یکی از ابزارهای مشهور برای آزمایش این تکنیک، SelectMyParent.exe اثر Didier Stevens است. کافی است نام پردازش مقصد و PID والد جعلی را بدهید تا یک رابطه ساختگی ایجاد شود. نتیجه این است که، مثلاً notepad.exe با والد ظاهری lsass.exe یا هر پردازش دیگری دیده شود، در حالی که در واقع والد واقعی آن یک لانچر مخرب بوده است.
2. روش‌های دیگر تغییر والد پردازش
علاوه بر CreateProcess مهاجمان گزینه‌های خلاقانه دیگری نیز دارند:
استفاده از COM Object یک پردازش دیگر
نمونه: ارجاع به COM Object explorer.exe برای راه‌اندازی کد مخرب (مورد استفاده در حرکت جانبی با DCOM).
VBScript + WMI
اجرای پردازش از طریق WMI با والد wmiprvse.exe که اغلب به‌عنوان ترافیک عادی تفسیر می‌شود.
Scheduled Tasks یا RunOnce Registry Keys
اجرای تأخیری یک پردازش مخرب با والد متفاوت، که ردیابی مسیر آلودگی را سخت‌تر می‌کند.
3. Command Line Spoofing:
جعل پارامترها
یکی دیگر از ستون‌های دفاعی EDR، ثبت آرگومان‌های خط فرمان است. این داده‌ها در Process Environment Block (PEB) پردازش ذخیره می‌شوند، اما در هسته سیستم (Kernel) محافظت خاصی ندارند. همین باعث می‌شود مهاجم بتواند:
پردازش را در حالت Suspended اجرا کند.
مقادیر Command Line را با متن بی‌خطر جایگزین کند.
پردازش را Resume کرده تا رفتار واقعی رخ دهد، در حالی که لاگ، نسخه جعل‌شده را ثبت کرده است.
این روش حتی می‌تواند ابزارهای قدرتمندی مانند Sysmon و Process Explorer را فریب دهد، مگر اینکه از تکنیک‌های پیشرفته تحلیل حافظه برای کشف Command Line واقعی استفاده شود.
4. سناریوی عملی و پیامدها برای SOC
فرض کنید در یک حمله فیشینگ، فایل ماکروی ورد یک VBScript اجرا می‌کند که از WMI برای راه‌اندازی بدافزار اصلی استفاده می‌کند. در نتیجه، والد پردازش wmiprvse.exe خواهد بود و بسیاری از قواعد عادی EDR آن را مشکوک نمی‌بینند.
یا در مثالی دیگر، بک‌دور کننده Cobalt Strike با استفاده از Command Line Spoofing نشان می‌دهد که پردازش بی‌آزار calc.exe با آرگومان‌های بی‌ضرر اجرا شده، در حالی که در واقع با آرگومان‌های اصلی، یک کانال C2 فعال را مدیریت می‌کند.
5. چالش‌ها و توصیه‌ها را در مقالات بعد خواهم داشت.


برای استفاده از این کلاس با مفاهیم غنی سنز با واتس اپ و بله 09902857290در تماس باشید

توصیه میکنم دوستان در SOC شرکت کنند 👇👇

وبینار هوش مصنوعی و آینده SOC: معرفی نرم‌افزار ThinkingSOC


https://eseminar.tv/wb162923

با تشکر از اعتماد دوستان و هموطنان

باتوجه به نیاز سازمانهای کشور؛ اولویت به برگزاری سازمانی داده شد
لذا پوزش من رو پذیرا باشید
انشالله آبانماه جبران میکنم
دوره سنز 599

اینو قبلا گذاشته بودم
ولی چون دیروز ازش اثری دیدم گفتم لینکش رو بگذارم

لطفا دقت کنید

https://specterops.io/blog/2025/08/14/juicing-ntds-dit-files-last-drop-dsinternals-powershell-active-directory-offline-attacks/

گزارش های مندینت رو از دست ندین
من اکثرش رو میخونم



این مقاله Google Security Operations یک کمپین فعال از سپتامبر ۲۰۲۴ را شرح می‌دهد که با استفاده از فلش‌های USB آلوده، زنجیره‌ای چندمرحله‌ای از بدافزارها برای استخراج ارز دیجیتال اجرا می‌کند. آلودگی با اجرای یک فایل .lnk مخرب آغاز می‌شود که اسکریپت VB و سپس BAT را اجرا می‌کند. این BAT با ایجاد پوشه جعلی شبیه System32، و با DLL Side‑loading، بدافزار DIRTYBULK را بارگذاری می‌کند. DIRTYBULK بدافزار CUTFAIL را تزریق می‌کند که با HIGHREPS و PUMPBENCH (بک‌دور) همراه شده و در نهایت XMRig برای ماینینگ مونرو و دیگر رمزارزها اجرا می‌شود.


https://security.googlecloudcommunity.com/community-blog-42/finding-malware-dirtybulk-and-friends-usb-infections-to-fuel-cybercriminal-coinmining-operations-5552?linkId=16283081

این ساده ترین کاری هست که میتونم برای جوونای این مملکت انجام بدم

امیدوارم بتونید استفاده کنید
واتس اپ و بله 09902857290

با وجود وقت کم ؛ اینو واسه دل خودم و واسه هموطنام برگزار میکنم تا بتونن بهترین رو هرجایی از ایران داشته باشند

خداروشکر این کانال و استوری ها هست که بتونم اطلاع رسانی کنم
وگرنه با این سانسور کانال های امنیت و رقبا چطور میتونستم به بقیه اطلاع بدم و کلاسها رو اینهمه تشکیل بدم

شما رسانه باشید 💐

امنیت در شبکه‌های موبایل


کشف خروج پنهان داده در شبکه‌های LTE از طریق تحلیل رفتاری پروتکل GTP با استفاده از Zeek

روزبه نوروزی


قسمت اول

چکیده
با افزایش وابستگی زیرساخت‌های حیاتی به شبکه‌های موبایل نسل چهارم (LTE) و پنجم (5G)، امنیت هسته این شبکه‌ها (Core Network) به یک اولویت استراتژیک تبدیل شده است. برخلاف تصور رایج که تمرکز امنیتی عمدتاً بر روی مرزهای شبکه معطوف است، ترافیک داخلی بین نودهای هسته یک نقطه کور (Blind Spot) بالقوه برای حملات پیشرفته و پنهانکار محسوب می‌شود. این مقاله یک سناریوی حمله واقع‌گرایانه ( تجربه شده ) را تشریح می‌کند که در آن، مهاجم با سوءاستفاده از پروتکل حیاتی GPRS Tunneling Protocol (GTP)، اقدام به خروج پنهان داده‌های حساس از شبکه می‌کند. در این روش، داده‌های سرقتی در Payload بسته‌های GTP-U کپسوله شده و به دلیل ظاهر کاملاً معتبر، از دید ابزارهای امنیتی سنتی مبتنی بر امضا (Signature-based) پنهان می‌مانند. در ادامه، یک راهکار عملی و کارآمد برای کشف این نوع حملات Zero-Day با استفاده از چارچوب تحلیل ترافیک شبکه Zeek ارائه می‌شود. این راهکار بر پایه تحلیل رفتاری (Behavioral Analysis) و پروفایل‌سازی ترافیک نرمال شبکه (Baselining) استوار است و با شناسایی انحرافات آماری در ویژگی‌هایی مانند اندازه Payload، توزیع بسته‌ها و آنتروپی، حملات را با دقت بالایی شناسایی می‌کند.


۱. مقدمه
شبکه‌های LTE با معماری هسته تکامل‌یافته (Evolved Packet Core - EPC) ستون فقرات ارتباطات دیجیتال مدرن را تشکیل می‌دهند. این معماری پیچیده، وظیفه مدیریت میلیاردها اتصال کاربر و انتقال پتابایت‌ها داده را بر عهده دارد. امنیت در این اکوسیستم به طور سنتی بر حفاظت از رابط‌های رادیویی (Radio Access Network)، احراز هویت مشترکین و محافظت از مرزهای شبکه در برابر تهدیدات خارجی متمرکز بوده است.
با این حال، یک فرض بنیادین در معماری امنیتی بسیاری از اپراتورها وجود دارد: ترافیک داخلی بین نودهای هسته شبکه (مانند MME، SGW و PGW) مورد اعتماد است. این فرض، که عمدتاً برای حفظ عملکرد و کارایی بالای شبکه اتخاذ شده، منجر به کاهش بازرسی‌های عمیق امنیتی (Deep Packet Inspection - DPI) در این بخش از شبکه می‌شود. این “نقطه کور امنیتی” فرصتی ایده‌آل برای مهاجمان پیشرفته‌ای فراهم می‌کند که با شناخت عمیق از پروتکل‌های شبکه موبایل، قادر به اجرای حملات پنهانکار هستند.
پروتکل GPRS Tunneling Protocol (GTP) شاهرگ حیاتی در این معماری است. تمام ترافیک دیتای کاربران، از وب‌گردی ساده تا استریم ویدیو، درون تونل‌های GTP-U کپسوله شده و منتقل می‌شود. این مقاله نشان می‌دهد که چگونه همین پروتکل حیاتی می‌تواند به عنوان یک کانال پنهان برای خروج داده‌های حساس مورد سوءاستفاده قرار گیرد و چگونه می‌توان با تغییر پارادایم از امنیت مبتنی بر امضا به تحلیل رفتاری، این تهدیدات را شناسایی و مهار کرد.

۲. تشریح سناریوی حمله: خروج داده از طریق تونل GTP
این سناریو یک حمله چندمرحله‌ای را توصیف می‌کند که هدف آن سرقت داده از منابع داخلی اپراتور و خروج آن از طریق یک کانال به ظاهر قانونی است.
گام‌های حمله:
نفوذ اولیه و دسترسی به شبکه داخلی: مهاجم در گام اول باید به نحوی به شبکه داخلی اپراتور دسترسی پیدا کند. این امر می‌تواند از طریق یک سرور آسیب‌پذیر، مهندسی اجتماعی کارکنان، یا یک تهدید داخلی (Insider Threat) صورت پذیرد.
پیکربندی نقطه دسترسی سرکش (Rogue APN): مهاجم یک نام نقطه دسترسی (Access Point Name - APN) جعلی را در سیستم تعریف می‌کند. این APN به گونه‌ای پیکربندی می‌شود که ترافیک هدایت‌شده به آن، به یک سرور تحت کنترل مهاجم در اینترنت ارسال شود.
جمع‌آوری و آماده‌سازی داده‌ها: داده‌های حساس (مانند پایگاه داده مشتریان، اطلاعات مالی، یا کلیدهای رمزنگاری) از منابع داخلی جمع‌آوری، فشرده و احتمالاً رمزگذاری می‌شوند تا حجم و قابلیت شناسایی آن‌ها کاهش یابد.
جاسازی داده در Payload بسته‌های GTP-U: مهاجم داده‌های آماده‌شده را به قطعات کوچک‌تر تقسیم کرده و هر قطعه را در قسمت Payload یک بسته GTP-U قرار می‌دهد. هدرهای این بسته‌ها، شامل شناسه تونل (Tunnel Endpoint Identifier - TEID)، با مقادیر معتبر و منطقی پر می‌شوند تا بسته کاملاً قانونی به نظر برسد.
تزریق بسته‌ها به جریان ترافیک: بسته‌های GTP-U دستکاری‌شده، در مسیر ارتباطی بین گیت‌وی سرویس‌دهنده (SGW) و گیت‌وی بسته داده (PGW) تزریق می‌شوند. از آنجایی که این ترافیک از پورت استاندارد UDP/2152 استفاده کرده و ساختار هدر آن صحیح است، ابزارهای نظارتی سنتی آن را به عنوان ترافیک عادی کاربر تلقی می‌کنند.


پایان قسمت اول

#آکادمی_روزبه
مرکز تخصصی CISSP

قسمت دوم از مقاله قبل


خروج پنهانی داده: گیت‌وی PGW، بر اساس اطلاعات APN که در زمینه ارتباطی (Context) این تونل تعریف شده، ترافیک را به سمت اینترنت و نهایتاً سرور مهاجم مسیریابی می‌کند. این فرآیند از دید شبکه کاملاً یک عملیات استاندارد است.
این حمله به دلیل ماهیت Living off the Land- یعنی استفاده از پروتکل‌ها و ابزارهای موجود در خود شبکه - بسیار پنهانکار و کشف آن با روش‌های سنتی تقریباً غیرممکن است.
۳. راهکار کشف با استفاده از Zeek و تحلیل رفتاری
برای مقابله با چنین تهدیدی، نیازمند راهکاری هستیم که قادر به درک “رفتار” ترافیک باشد، نه فقط “محتوای” آن. چارچوب تحلیل شبکه Zeek ابزاری ایده‌آل برای این منظور است.
مراحل پیاده‌سازی راهکار:
استقرار سنسور Zeek: یک سنسور Zeek برای نظارت بر ترافیک در رابط‌های کلیدی هسته شبکه، به ویژه بین SGW و PGW، مستقر می‌شود. Zeek به صورت بومی پروتکل GTP را تحلیل (Parse) کرده و لاگ‌های دقیقی از تمام فعالیت‌های GTP-C و GTP-U تولید می‌کند (gtp.log, gtp_tunnels.log).
پروفایل‌سازی و ایجاد خط پایه (Baselining):
در یک بازه زمانی مشخص (مثلاً چند هفته)، لاگ‌های Zeek برای یادگیری رفتار “نرمال” شبکه تحلیل می‌شوند. اسکریپت‌های سفارشی Zeek برای استخراج و agregasi ویژگی‌های آماری زیر نوشته می‌شوند:
توزیع اندازه Payload: در حالت عادی، اندازه Payload بسته‌های GTP-U از یک توزیع مشخص پیروی می‌کند (مثلاً تعداد زیادی بسته کوچک برای وب‌گردی و DNS، و بسته‌های بزرگتر برای دانلود فایل یا ویدیو).
نرخ بسته‌ها بر اساس TEID: هر تونل (کاربر) الگوی ترافیکی خاص خود را دارد.
آنتروپی Payload: آنتروپی داده‌های عادی (مانند متن یا ترافیک وب) معمولاً در یک محدوده مشخص قرار دارد. داده‌های بسیار فشرده یا رمزگذاری شده آنتروپی بالاتری دارند.
طول عمر و حجم کل تونل‌ها: تونل‌ها معمولاً برای یک جلسه کاری کاربر فعال هستند و حجم مشخصی از داده را منتقل می‌کنند.
توسعه منطق کشف ناهنجاری (Anomaly Detection):
پس از ایجاد خط پایه، اسکریپت‌های Zeek برای شناسایی انحرافات از این رفتار نرمال توسعه می‌یابند. این اسکریپت‌ها به دنبال الگوهای مشکوک زیر هستند:
ناهنجاری در اندازه بسته: مشاهده تعداد زیادی بسته با اندازه Payload ثابت و بزرگ که با الگوهای عادی مطابقت ندارد. این می‌تواند نشانه انتقال یک فایل بزرگِ تکه‌تکه شده باشد.
ناهنجاری در نرخ ترافیک: یک تونل خاص که به طور ناگهانی شروع به ارسال داده با نرخ ثابت و بالا می‌کند، بدون آنکه درخواست متناظری از سوی کاربر وجود داشته باشد.
ناهنجاری در آنتروپی: مشاهده بسته‌هایی که Payload آن‌ها دارای آنتروپی بسیار بالا (نزدیک به حداکثر) است. این امر می‌تواند نشان‌دهنده خروج داده‌های از پیش فشرده یا رمزگذاری‌شده باشد.
رفتار غیرمعمول تونل: ایجاد تونلی که برای مدت بسیار طولانی فعال باقی می‌ماند و حجم عظیمی از داده را فقط در یک جهت (Uplink) ارسال می‌کند.
با ترکیب این هشدارها، سیستم می‌تواند با اطمینان بالایی یک فعالیت خروج داده را شناسایی کرده و به تیم مرکز عملیات امنیت (SOC) اطلاع‌رسانی کند.
۴. امکان‌سنجی حمله در شبکه‌های TDD-LTE و FDD-LTE
یک سوال مهم این است که آیا این حمله در انواع مختلف پیاده‌سازی LTE قابل اجراست یا خیر.
Frequency Division Duplex (FDD-LTE):

از دو باند فرکانسی مجزا برای ارسال (Uplink) و دریافت (Downlink) استفاده می‌کند.
Time Division Duplex (TDD-LTE):
از یک باند فرکانسی واحد استفاده کرده و با تخصیص بازه‌های زمانی (Time Slots) متفاوت، ترافیک ارسال و دریافت را مدیریت می‌کند.
نکته کلیدی این است که تفاوت بین FDD و TDD صرفاً در لایه فیزیکی (Physical Layer) شبکه است. معماری هسته شبکه (EPC) و پروتکل‌های لایه‌های بالاتر، از جمله GTP، در هر دو نوع شبکه یکسان هستند. تونل‌های GTP-U بین SGW و PGW فارغ از اینکه داده‌ها چگونه در لایه رادیویی منتقل می‌شوند، به همان شکل ایجاد و مدیریت می‌شوند.
بنابراین، حمله توصیف‌شده به طور کامل در هر دو نوع شبکه LTE (اعم از FDD و TDD) قابل پیاده‌سازی و اجرا است. راهکار دفاعی مبتنی بر تحلیل ترافیک GTP نیز برای هر دو شبکه به یک اندازه کارآمد و قابل استفاده است.



#آکادمی_روزبه
مرکز تخصصی CISSP