روشهای من برای منتورینگ یکساله دوره آمادگی آزمون CISSP
قسمت اول
مدل انگیزه‌سازی CISSP بر اساس Hyperbolic Discounting
الهام از اقتصاد + روان‌شناسی
1. تقسیم هدف بزرگ به “کمپین‌های کوچک با پاداش سریع”
به جای گفتن «۶ ماه بخونیم تا مدرک رو بگیرید»، مسیر رو به ۶ ماژول ۳–۴ هفته‌ای تقسیم میکنیم
هر ماژول با یک مینی‌پروژه یا کوییز سخت جمع‌بندی میشه و در پایان، یک جایزه کوچک (گواهی داخلی، یادگاری، یا حتی یک افتخارنامه گروهی در چت کلاس).
2. اثر Snowball پیشرفت
یک «برد پیشرفت فیزیکی» یا آنلاین درست میکنم که دانشجو هر هفته آن را به‌روزرسانی میکند.
دیدن درصد پیشرفت روی نمودار حس رضایت آنی میدهد (پاداش سریع)، حتی اگر آزمون اصلی ماه‌ها بعد باشد.
3. پاداش هم‌زمانی و رقابت سالم
بین کلاسهای هرسال، گروه‌های مطالعه ۳–۴ نفره ایجاد میکنم که عملکردشان مقایسه شود.
رقابت سالم، مغز را مجبور میکند لذت کوتاه‌مدت «پیشی گرفتن» را بالاتر از لذت تنبلی ببیند.
4. استفاده از اصل Loss Aversion
سیستم تعهد مالی یا امتیازی: دانشجو مبلغ یا اعتبار امتیازی می‌گذارد و اگر هفته‌ای حداقل مطالعه را انجام ندهد، آن را از دست میدهد.
این بهره‌گیری از ترسِ از دست دادن (نه فقط امید به کسب) انگیزه‌ی پایدارتری ایجاد میکند.
5. نمایش “پاداش نهایی” به صورت واقعی و زنده
هر ترم یک مهمان (CISSP دار) را دعوت میکنم تا داستان شغل و درآمدش را تعریف کند.
این کار پاداش نهایی را از یک تصویر مبهم به یک انگیزه ملموس و فوری تبدیل میکند.
6. مینی‌پیش‌بینی آزمون (Micro-Exam Forecasting)
هر سه ماه یک شبیه‌سازی کوتاه آزمون میدهم و رشد امتیاز را نمایش میدهم .
مغز وقتی نمودار نمره‌اش رو به بالا می‌بیند، حس «پاداش همین الان» را تجربه میکند.
**این روش بخشی از روش منتوینگ من است که برای دوستانی اجرا می‌شود که تعهد برای آزمون دارند .
واتس اپ و بله برای رزرو دوره زمستان : 09902857290
Www.haumoun.com
Www.Roozbeh.academy
قسمت اول
مدل انگیزه‌سازی CISSP بر اساس Hyperbolic Discounting
الهام از اقتصاد + روان‌شناسی
1. تقسیم هدف بزرگ به “کمپین‌های کوچک با پاداش سریع”
به جای گفتن «۶ ماه بخونیم تا مدرک رو بگیرید»، مسیر رو به ۶ ماژول ۳–۴ هفته‌ای تقسیم میکنیم
هر ماژول با یک مینی‌پروژه یا کوییز سخت جمع‌بندی میشه و در پایان، یک جایزه کوچک (گواهی داخلی، یادگاری، یا حتی یک افتخارنامه گروهی در چت کلاس).
2. اثر Snowball پیشرفت
یک «برد پیشرفت فیزیکی» یا آنلاین درست میکنم که دانشجو هر هفته آن را به‌روزرسانی میکند.
دیدن درصد پیشرفت روی نمودار حس رضایت آنی میدهد (پاداش سریع)، حتی اگر آزمون اصلی ماه‌ها بعد باشد.
3. پاداش هم‌زمانی و رقابت سالم
بین کلاسهای هرسال، گروه‌های مطالعه ۳–۴ نفره ایجاد میکنم که عملکردشان مقایسه شود.
رقابت سالم، مغز را مجبور میکند لذت کوتاه‌مدت «پیشی گرفتن» را بالاتر از لذت تنبلی ببیند.
4. استفاده از اصل Loss Aversion
سیستم تعهد مالی یا امتیازی: دانشجو مبلغ یا اعتبار امتیازی می‌گذارد و اگر هفته‌ای حداقل مطالعه را انجام ندهد، آن را از دست میدهد.
این بهره‌گیری از ترسِ از دست دادن (نه فقط امید به کسب) انگیزه‌ی پایدارتری ایجاد میکند.
5. نمایش “پاداش نهایی” به صورت واقعی و زنده
هر ترم یک مهمان (CISSP دار) را دعوت میکنم تا داستان شغل و درآمدش را تعریف کند.
این کار پاداش نهایی را از یک تصویر مبهم به یک انگیزه ملموس و فوری تبدیل میکند.
6. مینی‌پیش‌بینی آزمون (Micro-Exam Forecasting)
هر سه ماه یک شبیه‌سازی کوتاه آزمون میدهم و رشد امتیاز را نمایش میدهم .
مغز وقتی نمودار نمره‌اش رو به بالا می‌بیند، حس «پاداش همین الان» را تجربه میکند.
**این روش بخشی از روش منتوینگ من است که برای دوستانی اجرا می‌شود که تعهد برای آزمون دارند .
واتس اپ و بله برای رزرو دوره زمستان : 09902857290
Www.haumoun.com
Www.Roozbeh.academy
❤4👍4🔥2👏1
مقاله «Practical .NET Malware Analysis – First-Stage Loader (Part 1)» نوشته Ab Hussain، یک مطالعه عملی روی تحلیل بدافزارهای نوشته‌شده با .NET است که نقش لودر مرحله اول را دارند. لودر مرحله اول اولین کد مخربی است که پس از اجرای فایل آلوده عمل میکند و وظیفه‌اش دریافت یا بارگذاری مرحله‌های بعدی حمله، پنهان‌سازی ردپا و آماده‌سازی محیط برای اجرای Payload اصلی است.
نویسنده فایل را در محیط ایزوله بررسی کرده و با ابزارهایی مانند dnSpy و ILSpy کد .NET را دی‌کامپایل کرده است. این لودر با obfuscation سنگین و رشته‌های رمزنگاری‌شده سعی در گمراه‌کردن تحلیلگر دارد. با رفع رمز رشته‌ها، آدرس دامنه C2 و جزئیات ارتباطات کشف شده است. لودر از APIهای Win32 مثل VirtualAlloc و CreateThread استفاده میکند تا payload مرحله دوم را مستقیماً در حافظه تزریق و اجرا کند، بدون ایجاد فایل روی دیسک؛ روشی که شناسایی توسط آنتی‌ویروس سنتی را دشوار میکند.
نتیجه اصلی مقاله این است که بدافزارهای .NET می‌توانند با ترکیب کد Managed و API سطح پایین، لودری بسیار خطرناک بسازند. شناسایی این نوع تهدیدها نیازمند مانیتورینگ رفتار حافظه، تحلیل تماس‌های شبکه، و شکار تهدید مبتنی بر EDR با قوانین YARA یا IOC هدفمند است.
#آکادمی_روزبه
https://medium.com/@Ab_Hussain/practical-net-malware-analysis-first-stage-loader-part-1-f2e670861678
نویسنده فایل را در محیط ایزوله بررسی کرده و با ابزارهایی مانند dnSpy و ILSpy کد .NET را دی‌کامپایل کرده است. این لودر با obfuscation سنگین و رشته‌های رمزنگاری‌شده سعی در گمراه‌کردن تحلیلگر دارد. با رفع رمز رشته‌ها، آدرس دامنه C2 و جزئیات ارتباطات کشف شده است. لودر از APIهای Win32 مثل VirtualAlloc و CreateThread استفاده میکند تا payload مرحله دوم را مستقیماً در حافظه تزریق و اجرا کند، بدون ایجاد فایل روی دیسک؛ روشی که شناسایی توسط آنتی‌ویروس سنتی را دشوار میکند.
نتیجه اصلی مقاله این است که بدافزارهای .NET می‌توانند با ترکیب کد Managed و API سطح پایین، لودری بسیار خطرناک بسازند. شناسایی این نوع تهدیدها نیازمند مانیتورینگ رفتار حافظه، تحلیل تماس‌های شبکه، و شکار تهدید مبتنی بر EDR با قوانین YARA یا IOC هدفمند است.
#آکادمی_روزبه
https://medium.com/@Ab_Hussain/practical-net-malware-analysis-first-stage-loader-part-1-f2e670861678
Medium
Practical .NET Malware Analysis — First Stage Loader(Part 1)
Disclaimer: This blog post involves analysis of real malware sample for educational purposes only. The malware discussed is highly…
❤4
ما برنامه ریزی کرده‌ایم که در ذیل مجوز افتا ؛ درشرکت هامون ارائه خدمات SOC را تحت نظر اینجانب داشته باشیم .
نکات مهمی که ما در پیاده سازی بدانها توجه میکنیم را در ذیل می‌آورم
الف:
اگر مشکلی در Compliance نباشد ، به جای جمع‌آوری هر نوع لاگی (verbose logging)، ابتدا میپرسیم : “برای شناسایی تکنیک‌های خاص حمله (مثلاً تکنیک‌های چارچوب MITRE ATT&CK)، دقیقاً به چه داده‌هایی نیاز داریم؟” این سوال، رویکرد ما را از جمع‌آوری کورکورانه به جمع‌آوری هدفمند تغییر میدهد .
مثلاً برای شناسایی حرکت جانبی (Lateral Movement) با استفاده از PsExec، به لاگ‌های ایجاد سرویس (Event ID 7045) و لاگ‌های دسترسی به admin$ share روی سیستم مقصد نیاز داریم. بدون این‌ها، هزاران گیگابایت لاگ دیگر بی‌فایده خواهد بود.
Www.haumoun.com
ادامه دارد ....
نکات مهمی که ما در پیاده سازی بدانها توجه میکنیم را در ذیل می‌آورم
الف:
اگر مشکلی در Compliance نباشد ، به جای جمع‌آوری هر نوع لاگی (verbose logging)، ابتدا میپرسیم : “برای شناسایی تکنیک‌های خاص حمله (مثلاً تکنیک‌های چارچوب MITRE ATT&CK)، دقیقاً به چه داده‌هایی نیاز داریم؟” این سوال، رویکرد ما را از جمع‌آوری کورکورانه به جمع‌آوری هدفمند تغییر میدهد .
مثلاً برای شناسایی حرکت جانبی (Lateral Movement) با استفاده از PsExec، به لاگ‌های ایجاد سرویس (Event ID 7045) و لاگ‌های دسترسی به admin$ share روی سیستم مقصد نیاز داریم. بدون این‌ها، هزاران گیگابایت لاگ دیگر بی‌فایده خواهد بود.
Www.haumoun.com
ادامه دارد ....
❤9
#تجربه
شکار Mimikatz فراتر از لاگ‌های ویندوز با Splunk Stream
چهارشنبه گذشته، در حین پایش آلرت ها در SOC ، به رویدادی غیرمعمول برخوردیم.
مهاجم توانسته بود با استفاده از Mimikatz، اطلاعات Credential را از حافظه استخراج کند و بلافاصله لاگ‌های ویندوز را پاک کند، به طوری که تحلیل مبتنی بر Event Log تقریباً غیرممکن شده بود.
خوشبختانه، پیرو متدولوژی که من در تدریس هایم هم میگویم-- یعنی اخذ لاگ از منابع چند وجهی-- ؛ ما از مدتی قبل یک رویکرد لایه‌ای در معماری امنیتی خود پیاده کرده بودیم: مانیتورینگ هم‌زمان لاگ‌ها، داده‌های Endpoint، و ترافیک شبکه با Splunk Stream. به همین دلیل، حتی وقتی لاگ محلی حذف شد، جریان ترافیک شبکه همچنان در Splunk ضبط شده بود.
با تحلیل عمیق بسته‌ها (DPI)، متوجه الگویی شدیم که به تعاملات RPC/SAMR مشکوک مربوط بود؛ رفتاری که معمولاً در سناریوی Remote SAM Dump توسط Mimikatz دیده می‌شود. Rule تشخیصی که از قبل روی Stream تعریف کرده بودیم، دقیقاً در همان لحظه فعال شد و هشدار زنده داد.
درس این تجربه برای تیم ما روشن بود و باز دیگر سخن من را گوشزد کرد :محدود کردن دید امنیتی به تنها یک منبع داده، مثل لاگ سیستم، کافی نیست. گاهی پاسخ در جایی است که کمتر کسی به آن نگاه میکند-- در سکوت بسته‌های شبکه
#تجربه ای از تیم SOC شرکت هامون
Www.haumoun.com
#بیاموزیم
#به_اشتراک_بگذاریم
#تجربه
شکار Mimikatz فراتر از لاگ‌های ویندوز با Splunk Stream
چهارشنبه گذشته، در حین پایش آلرت ها در SOC ، به رویدادی غیرمعمول برخوردیم.
مهاجم توانسته بود با استفاده از Mimikatz، اطلاعات Credential را از حافظه استخراج کند و بلافاصله لاگ‌های ویندوز را پاک کند، به طوری که تحلیل مبتنی بر Event Log تقریباً غیرممکن شده بود.
خوشبختانه، پیرو متدولوژی که من در تدریس هایم هم میگویم-- یعنی اخذ لاگ از منابع چند وجهی-- ؛ ما از مدتی قبل یک رویکرد لایه‌ای در معماری امنیتی خود پیاده کرده بودیم: مانیتورینگ هم‌زمان لاگ‌ها، داده‌های Endpoint، و ترافیک شبکه با Splunk Stream. به همین دلیل، حتی وقتی لاگ محلی حذف شد، جریان ترافیک شبکه همچنان در Splunk ضبط شده بود.
با تحلیل عمیق بسته‌ها (DPI)، متوجه الگویی شدیم که به تعاملات RPC/SAMR مشکوک مربوط بود؛ رفتاری که معمولاً در سناریوی Remote SAM Dump توسط Mimikatz دیده می‌شود. Rule تشخیصی که از قبل روی Stream تعریف کرده بودیم، دقیقاً در همان لحظه فعال شد و هشدار زنده داد.
درس این تجربه برای تیم ما روشن بود و باز دیگر سخن من را گوشزد کرد :محدود کردن دید امنیتی به تنها یک منبع داده، مثل لاگ سیستم، کافی نیست. گاهی پاسخ در جایی است که کمتر کسی به آن نگاه میکند-- در سکوت بسته‌های شبکه
#تجربه ای از تیم SOC شرکت هامون
Www.haumoun.com
#بیاموزیم
#به_اشتراک_بگذاریم
#تجربه
❤7👍7
چرا به SOC و CERT خوب نیاز داریم ؟
بررسی تحلیلی ماهیت مهندسی کشف با مثال
🔆در مجموعه پست هایی من قصد دارم شما رو با چرایی نیاز به مرکز عملیات امنیت به شکل کاربردی آشنا کنم از زاویه ای که شاید جذاب باشه
🟣عنوان کلی :
چگونه SOC میتواند حملات روز صفر را قبل از تولدشان شکار کند؟ (درسهایی از Zerologon)
1️⃣قسمت اول
آسیب پذیری Zerologon: روزی که یک “صفر”، امپراتوری مایکروسافت را به لرزه درآورد!
آیا می‌دانستید یک اشتباه برنامه‌نویسی ساده در پروتکلی ۳۰ ساله، می‌توانست در ۳ ثانیه کنترل کامل شبکه شما را به دست یک مهاجم بدهد؟ این داستان خطرناک اما واقعیِ Zerologon (CVE-2020-1472) است.
این آسیب‌پذیری به مهاجمان اجازه می‌داد با ارسال بسته‌هایی پر از “صفر”، رمز عبور قلب شبکه (Domain Controller) را خالی کرده و به بالاترین سطح دسترسی برسند. Zerologon یک زنگ بیدارباش بود: تکیه بر دیوارهای دفاعی و پچ‌های امنیتی به تنهایی کافی نیست.
اما یک امید بزرگ وجود دارد. در این مجموعه پست، می‌خواهم نشان دهم که چگونه یک مرکز عملیات امنیت مدرن و یک تیم پاسخ به حوادث (CERT) کارآمد، می‌توانستند حمله Zerologon را حتی قبل از افشای عمومی آن شناسایی و مهار کنند.
هدف من این است که فراتر از هیاهوی آسیب‌پذیری‌ها برویم و درک کنیم که با داشتن دید کامل، تحلیل رفتار و رویکرد شکار تهدید (Threat Hunting)، می‌توانیم امیدوار باشیم که ناشناخته‌ها را شکار کنیم و یک قدم از مهاجمان جلوتر باشیم.
همراه من باشید تا مرحله به مرحله ببینید چگونه یک SOC خوب، کتابخانه تهدیدات نیست، بلکه یک موتور پیش‌بینی و شکار ناهنجاری است.
ادامه در پستهای بعد...
💫درسهایی از دوره SOC شرکت هامون
Www.haumoun.com
#CyberSecurity #Zerologon #ThreatHunting #SOC #CERT #BlueTeam #ZeroDay #InfoSec #Microsoft #LateralMovement
بررسی تحلیلی ماهیت مهندسی کشف با مثال
🔆در مجموعه پست هایی من قصد دارم شما رو با چرایی نیاز به مرکز عملیات امنیت به شکل کاربردی آشنا کنم از زاویه ای که شاید جذاب باشه
🟣عنوان کلی :
چگونه SOC میتواند حملات روز صفر را قبل از تولدشان شکار کند؟ (درسهایی از Zerologon)
1️⃣قسمت اول
آسیب پذیری Zerologon: روزی که یک “صفر”، امپراتوری مایکروسافت را به لرزه درآورد!
آیا می‌دانستید یک اشتباه برنامه‌نویسی ساده در پروتکلی ۳۰ ساله، می‌توانست در ۳ ثانیه کنترل کامل شبکه شما را به دست یک مهاجم بدهد؟ این داستان خطرناک اما واقعیِ Zerologon (CVE-2020-1472) است.
این آسیب‌پذیری به مهاجمان اجازه می‌داد با ارسال بسته‌هایی پر از “صفر”، رمز عبور قلب شبکه (Domain Controller) را خالی کرده و به بالاترین سطح دسترسی برسند. Zerologon یک زنگ بیدارباش بود: تکیه بر دیوارهای دفاعی و پچ‌های امنیتی به تنهایی کافی نیست.
اما یک امید بزرگ وجود دارد. در این مجموعه پست، می‌خواهم نشان دهم که چگونه یک مرکز عملیات امنیت مدرن و یک تیم پاسخ به حوادث (CERT) کارآمد، می‌توانستند حمله Zerologon را حتی قبل از افشای عمومی آن شناسایی و مهار کنند.
هدف من این است که فراتر از هیاهوی آسیب‌پذیری‌ها برویم و درک کنیم که با داشتن دید کامل، تحلیل رفتار و رویکرد شکار تهدید (Threat Hunting)، می‌توانیم امیدوار باشیم که ناشناخته‌ها را شکار کنیم و یک قدم از مهاجمان جلوتر باشیم.
همراه من باشید تا مرحله به مرحله ببینید چگونه یک SOC خوب، کتابخانه تهدیدات نیست، بلکه یک موتور پیش‌بینی و شکار ناهنجاری است.
ادامه در پستهای بعد...
💫درسهایی از دوره SOC شرکت هامون
Www.haumoun.com
#CyberSecurity #Zerologon #ThreatHunting #SOC #CERT #BlueTeam #ZeroDay #InfoSec #Microsoft #LateralMovement
👍7❤5
این مطلب در مدیوم یک معرفی عملیاتی و قابل‌فهم از سه ابزار کلیدی برای تهدیدیابی است: YARA، Loki و Valhalla. نویسنده ابتدا با YARA شروع میکند؛ ابزاری متن‌باز که با استفاده از الگوهای متنی یا باینری، بدافزارها را شناسایی و طبقه‌بندی میکند. او به‌طور گام‌به‌گام نحوه نوشتن یک قانون YARA، تست آن روی فایل‌های نمونه، و استفاده از عملگرهای منطقی را توضیح میدهد. اهمیت این ابزار در Threat Hunting این است که می‌توان قوانینش را بر اساس ویژگی‌های خاص یک خانواده بدافزاری سفارشی‌سازی کرد. گرچه بخش‌های مربوط به Loki و Valhalla در ادامه مقاله است، اما با همین شروع، ارزش آموزشی مطلب مشخص است: کمک به تحلیلگران برای ساخت یک پایه فنی قوی در شناسایی الگوها و ترکیب این قابلیت با سایر ابزارهای شکار تهدید. این دانش، به‌ویژه برای کشف تهدیدات ناشناخته یا Zero-Day، ضروری است و پایه‌ای برای اتوماسیون در تحقیقات امنیتی فراهم میکند.
#آکادمی_روزبه و
مرکز ارائه خدمات SOC هامون
https://medium.com/@avfaulkner/intoduction-to-yara-loki-and-valhalla-for-threat-hunting-63038a0873e0
#آکادمی_روزبه و
مرکز ارائه خدمات SOC هامون
https://medium.com/@avfaulkner/intoduction-to-yara-loki-and-valhalla-for-threat-hunting-63038a0873e0
Medium
Introduction to Yara, Loki and Valhalla for Threat Hunting
What is Yara?
❤9⚡2
از “ابزارشناس” به “شکارچی تهدید” — چرا تحلیل، شاه‌کلید موفقیت شما در امنیت سایبری است؟
دانشجویان عزیز،
شما در حال یادگیری یکی از حیاتی‌ترین تخصص‌های دنیای امروز هستید. شما یاد می‌گیرید چگونه فایروال‌ها را پیکربندی کنید، سیستم‌ها را امن‌سازی (Harden) کنید، با ابزارهای تست نفوذ کار کنید و مکانیزم‌های دفاعی را پیاده‌سازی نمایید. این‌ها مهارت‌های بنیادین و ضروری هستند.
اما یک سوال کلیدی وجود دارد:
وقتی یک مهاجم از تمام این لایه‌های دفاعی عبور کند، چه اتفاقی می‌افتد؟
اینجا نقطه‌ای است که تفاوت بین یک تکنسین امنیت و یک متخصص تحلیلگر امنیت مشخص می‌شود.
یک تکنسین می‌داند ابزار X چه کاری انجام میدهد. اما یک تحلیلگر می‌داند که چگونه از خروجی ابزارهای X, Y و Z به صورت ترکیبی استفاده کند تا داستانی را که در پس یک حمله پنهان شده، کشف کند.
چرا باید فراتر از تخصص فنی، روی مهارت تحلیل تمرکز کنید؟
امنیت سایبری مدرن، دیگر یک بازی دفاعی صرف نیست؛ بلکه یک مبارزه اطلاعاتی است. در این مبارزه، داده‌ها (لاگ‌ها، ترافیک شبکه، هشدارها) سلاح شما هستند و مهارت تحلیل، هنر استفاده از این سلاح است.
در اینجا دلایل مشخصی برای شما آورده شده است:
۱. از “واکنش‌گرا” به “پیش‌فعال” (Reactive to Proactive):
بدون تحلیل: شما منتظر هشدار (Alert) از سیستم SIEM یا آنتی‌ویروس می‌مانید تا به یک حمله واکنش نشان دهید. در این حالت، شما همیشه یک قدم از مهاجم عقب‌تر هستید.
با تحلیل: شما به شکار تهدید (Threat Hunting) می‌پردازید. یعنی به صورت فعالانه در میان میلیاردها رکورد لاگ و ترافیک شبکه به دنبال الگوهای مشکوک و ناهنجاری‌هایی می‌گردید که ابزارهای خودکار هنوز آن‌ها را به عنوان تهدید شناسایی نکرده‌اند. این یعنی پیدا کردن مهاجم قبل از اینکه او به هدفش برسد.
۲. درک “چرا”، نه فقط “چه” (The “Why”, not just the “What”):
ابزار به شما می‌گوید: “یک تلاش برای لاگین ناموفق از IP 1.2.3.4 شناسایی شد.” (این یعنی What)
یک تحلیلگر می‌پرسد:
چرا این IP تلاش به لاگین داشت؟
آیا این اولین بار است؟
آیا این IP فعالیت مشکوک دیگری در شبکه داشته است؟
آیا این تلاش با سایر هشدارها در نقاط دیگر شبکه همبستگی (Correlation) دارد؟
آیا این بخشی از یک کمپین حمله بزرگ‌تر است یا یک نویز تصادفی؟
پاسخ به این سوالات، تفاوت بین بستن یک IP و کشف یک تهدید پیشرفته و مستمر (APT) را رقم می‌زند.
۳. کاهش خستگی از هشدار (Alert Fatigue):
مراکز عملیات امنیت (SOC) روزانه با هزاران هشدار مواجه می‌شوند که بسیاری از آن‌ها مثبت کاذب (False Positive) هستند. بدون مهارت تحلیل، شما در این حجم از هشدارها غرق می‌شوید. یک تحلیلگر میتواند با درک زمینه و الگوها، هشدارهای واقعاً حیاتی را از نویز بی‌اهمیت جدا کرده و تلاش تیم را روی تهدیدات واقعی متمرکز کند.
۴. پاسخ به حوادث (Incident Response) مؤثر:
هنگام وقوع یک رخنه امنیتی، شما باید یک کارآگاه دیجیتال باشید. وظیفه شما بازسازی زنجیره حمله (Kill Chain) است: مهاجم چگونه وارد شد؟ چه کارهایی انجام داد؟ به چه داده‌هایی دسترسی پیدا کرد؟ آیا هنوز در شبکه حضور دارد؟ این کار صرفاً با اجرای چند اسکریپت ممکن نیست؛ این یک فرآیند عمیقاً تحلیلی و تحقیقی است.
۵. ارتباط با مدیران و توجیه سرمایه‌گذاری:
مدیرعامل شما زبان فنی پیچیده را متوجه نمی‌شود، اما زبان ریسک و هزینه را به خوبی می‌فهمد. این وظیفه شماست که یافته‌های فنی خود را به یک داستان قابل فهم ترجمه کنید: “تحلیل ما نشان میدهد که اگر این آسیب‌پذیری را برطرف نکنیم، با احتمال X درصد با ریسک مالی Y میلیون تومان مواجه خواهیم شد.” این مهارت ارتباطی، بخشی جدایی‌ناپذیر از تحلیل است.
مسیر پیش رو برای شما:
با داده‌ها دوست شوید: به لاگ‌های سیستم‌عامل (Windows Event Logs, Syslog)، لاگ‌های وب سرور (Apache, Nginx) و خروجی Wireshark به چشم یک معما نگاه کنید. سعی کنید داستان پشت آن‌ها را بفهمید.
اصول اولیه را بیاموزید: یادگیری اسکریپت‌نویسی با Python برای خودکارسازی تحلیل‌ها، کار با PowerShell برای جمع‌آوری اطلاعات از سیستم‌های ویندوزی، و اصول اولیه کوئری‌نویسی با زبان‌هایی مثل SQL یا KQL (Kusto Query Language) برای کار با پلتفرم‌های SIEM (مانند Microsoft Sentinel) حیاتی است.
در پلتفرم‌های عملی تمرین کنید: در پلتفرم‌هایی مانند TryHackMe, HackTheBox یا LetsDefend، اتاق‌هایی وجود دارند که مشخصاً روی تحلیل لاگ و پاسخ به حوادث (Blue Team) تمرکز دارند. این‌ها بهترین زمین بازی برای شما هستند.
دانشجویان عزیز،
شما در حال یادگیری یکی از حیاتی‌ترین تخصص‌های دنیای امروز هستید. شما یاد می‌گیرید چگونه فایروال‌ها را پیکربندی کنید، سیستم‌ها را امن‌سازی (Harden) کنید، با ابزارهای تست نفوذ کار کنید و مکانیزم‌های دفاعی را پیاده‌سازی نمایید. این‌ها مهارت‌های بنیادین و ضروری هستند.
اما یک سوال کلیدی وجود دارد:
وقتی یک مهاجم از تمام این لایه‌های دفاعی عبور کند، چه اتفاقی می‌افتد؟
اینجا نقطه‌ای است که تفاوت بین یک تکنسین امنیت و یک متخصص تحلیلگر امنیت مشخص می‌شود.
یک تکنسین می‌داند ابزار X چه کاری انجام میدهد. اما یک تحلیلگر می‌داند که چگونه از خروجی ابزارهای X, Y و Z به صورت ترکیبی استفاده کند تا داستانی را که در پس یک حمله پنهان شده، کشف کند.
چرا باید فراتر از تخصص فنی، روی مهارت تحلیل تمرکز کنید؟
امنیت سایبری مدرن، دیگر یک بازی دفاعی صرف نیست؛ بلکه یک مبارزه اطلاعاتی است. در این مبارزه، داده‌ها (لاگ‌ها، ترافیک شبکه، هشدارها) سلاح شما هستند و مهارت تحلیل، هنر استفاده از این سلاح است.
در اینجا دلایل مشخصی برای شما آورده شده است:
۱. از “واکنش‌گرا” به “پیش‌فعال” (Reactive to Proactive):
بدون تحلیل: شما منتظر هشدار (Alert) از سیستم SIEM یا آنتی‌ویروس می‌مانید تا به یک حمله واکنش نشان دهید. در این حالت، شما همیشه یک قدم از مهاجم عقب‌تر هستید.
با تحلیل: شما به شکار تهدید (Threat Hunting) می‌پردازید. یعنی به صورت فعالانه در میان میلیاردها رکورد لاگ و ترافیک شبکه به دنبال الگوهای مشکوک و ناهنجاری‌هایی می‌گردید که ابزارهای خودکار هنوز آن‌ها را به عنوان تهدید شناسایی نکرده‌اند. این یعنی پیدا کردن مهاجم قبل از اینکه او به هدفش برسد.
۲. درک “چرا”، نه فقط “چه” (The “Why”, not just the “What”):
ابزار به شما می‌گوید: “یک تلاش برای لاگین ناموفق از IP 1.2.3.4 شناسایی شد.” (این یعنی What)
یک تحلیلگر می‌پرسد:
چرا این IP تلاش به لاگین داشت؟
آیا این اولین بار است؟
آیا این IP فعالیت مشکوک دیگری در شبکه داشته است؟
آیا این تلاش با سایر هشدارها در نقاط دیگر شبکه همبستگی (Correlation) دارد؟
آیا این بخشی از یک کمپین حمله بزرگ‌تر است یا یک نویز تصادفی؟
پاسخ به این سوالات، تفاوت بین بستن یک IP و کشف یک تهدید پیشرفته و مستمر (APT) را رقم می‌زند.
۳. کاهش خستگی از هشدار (Alert Fatigue):
مراکز عملیات امنیت (SOC) روزانه با هزاران هشدار مواجه می‌شوند که بسیاری از آن‌ها مثبت کاذب (False Positive) هستند. بدون مهارت تحلیل، شما در این حجم از هشدارها غرق می‌شوید. یک تحلیلگر میتواند با درک زمینه و الگوها، هشدارهای واقعاً حیاتی را از نویز بی‌اهمیت جدا کرده و تلاش تیم را روی تهدیدات واقعی متمرکز کند.
۴. پاسخ به حوادث (Incident Response) مؤثر:
هنگام وقوع یک رخنه امنیتی، شما باید یک کارآگاه دیجیتال باشید. وظیفه شما بازسازی زنجیره حمله (Kill Chain) است: مهاجم چگونه وارد شد؟ چه کارهایی انجام داد؟ به چه داده‌هایی دسترسی پیدا کرد؟ آیا هنوز در شبکه حضور دارد؟ این کار صرفاً با اجرای چند اسکریپت ممکن نیست؛ این یک فرآیند عمیقاً تحلیلی و تحقیقی است.
۵. ارتباط با مدیران و توجیه سرمایه‌گذاری:
مدیرعامل شما زبان فنی پیچیده را متوجه نمی‌شود، اما زبان ریسک و هزینه را به خوبی می‌فهمد. این وظیفه شماست که یافته‌های فنی خود را به یک داستان قابل فهم ترجمه کنید: “تحلیل ما نشان میدهد که اگر این آسیب‌پذیری را برطرف نکنیم، با احتمال X درصد با ریسک مالی Y میلیون تومان مواجه خواهیم شد.” این مهارت ارتباطی، بخشی جدایی‌ناپذیر از تحلیل است.
مسیر پیش رو برای شما:
با داده‌ها دوست شوید: به لاگ‌های سیستم‌عامل (Windows Event Logs, Syslog)، لاگ‌های وب سرور (Apache, Nginx) و خروجی Wireshark به چشم یک معما نگاه کنید. سعی کنید داستان پشت آن‌ها را بفهمید.
اصول اولیه را بیاموزید: یادگیری اسکریپت‌نویسی با Python برای خودکارسازی تحلیل‌ها، کار با PowerShell برای جمع‌آوری اطلاعات از سیستم‌های ویندوزی، و اصول اولیه کوئری‌نویسی با زبان‌هایی مثل SQL یا KQL (Kusto Query Language) برای کار با پلتفرم‌های SIEM (مانند Microsoft Sentinel) حیاتی است.
در پلتفرم‌های عملی تمرین کنید: در پلتفرم‌هایی مانند TryHackMe, HackTheBox یا LetsDefend، اتاق‌هایی وجود دارند که مشخصاً روی تحلیل لاگ و پاسخ به حوادث (Blue Team) تمرکز دارند. این‌ها بهترین زمین بازی برای شما هستند.
⚡7❤3
نتیجه‌گیری:
تخصص فنی در امنیت سایبری، شما را به یک نگهبان خوب تبدیل میکند. اما ترکیب تخصص فنی با مهارت تحلیل، شما را به یک استراتژیست، یک شکارچی و یک فرمانده دفاعی تبدیل میکند. بازار کار آینده به دنبال دسته دوم است. روی این مهارت سرمایه‌گذاری کنید تا از یک اپراتور ابزار به یک مغز متفکر امنیتی تبدیل شوید.
#آکادمی_روزبه
تخصص فنی در امنیت سایبری، شما را به یک نگهبان خوب تبدیل میکند. اما ترکیب تخصص فنی با مهارت تحلیل، شما را به یک استراتژیست، یک شکارچی و یک فرمانده دفاعی تبدیل میکند. بازار کار آینده به دنبال دسته دوم است. روی این مهارت سرمایه‌گذاری کنید تا از یک اپراتور ابزار به یک مغز متفکر امنیتی تبدیل شوید.
#آکادمی_روزبه
❤10🔥2
درسهایی از Splunk ES
یکی از دردسرهایی است که خیلی از Splunk ES ادمین‌ها و محتوای سفارشی‌سازها (Rule/Dashboard Developers) دیر یا زود به آن برمی‌خورند، مخصوصاً در سازمان‌هایی که هر چی خوب کار میکند تا چند سال دست نمی‌زنند، بعد یک روز آپدیت می‌آید و نصف چیزها می‌ریزد به‌هم؛ مساله تغییر در سینتکس هست .
⏮️ تغییر در Syntax یا Performance SPL
بعضی دستورها یا فانکشن‌های قدیمی SPL (مثلاً certain join behaviors یا rex options) در نسخه‌های جدید deprecate یا تغییر عملکرد می‌دهند.
⏮️ مقولات Data Models و CIMES آپدیت که می‌شود، بعضی فیلدهای CIM تغییر اسم یا معنی پیدا می‌کنند (مثل tag یا eventtype). کوئری‌ها یا macroهایی که روی این فیلدها حساب باز کرده‌اند می‌شکنند.
⏮️وجود Dependency روی Macro و Lookup داخلی وقتی ES نسخه جدید بیاورد، بعضی lookupها، macroها یا حتی saved searchهای internal جای‌شان عوض می‌شود یا تغییر میکند.
#تجربه
✳️در Splunk 7.2 نحوه‌ی مدیریت subsearch timeout و memory cap تغییر کرد. چند کوئری که روی join و subsearch طولانی حساب باز کرده بودند، ناگهان بعد از آپدیت فقط خروجی ناقص یا empty می‌دادند. لذا ما دو هفته blind spot داشتیم چون correlation search اصلی‌اش subsearch fail می‌داد.
✳️ در به روز رسانی به CIM 5، توی مدل Endpoint و Authentication چند تا فیلد کلیدی rename شد (مثل user: dest_user) و چند تا tag پیش‌فرض تغییر کرد.
لذا بیشتر از ۱۰ correlation search پیش‌فرض ES fail شدند تا زمانی که field mapping دوباره انجام شد. مجبور شدیم ۴ روز به صورت دستی notable event ایجاد کنیم.
✳️با به روزرسانی در ES 7 ساختار lookups مربوط به threat intelligence (مثل threatintel_by_*) تغییر پیدا کرد.
و correlation searchهایی که به lookupهای قدیمی وابسته بودند، بدون خطای واضح، فقط خروجی خالی می‌دادند. این باعث شد huntهای مبتنی بر IOC دو هفته عقب بیفتد.
💥تقریباً ۹۰٪ این مشکلات پیش‌بینی‌پذیر بودند اگر:
مستند Release Notes قبل از آپگرید دقیق خوانده می‌شد.
مبحث Dev/UAT قبل از Production اجرا می‌شد.
وcontent inventory + dependency mapping به‌روز بود.
#درس_آموخته
#آکادمی_روزبه
مرکز عملیات امنیت www.haumoun.com
#اشتراک_دانش
یکی از دردسرهایی است که خیلی از Splunk ES ادمین‌ها و محتوای سفارشی‌سازها (Rule/Dashboard Developers) دیر یا زود به آن برمی‌خورند، مخصوصاً در سازمان‌هایی که هر چی خوب کار میکند تا چند سال دست نمی‌زنند، بعد یک روز آپدیت می‌آید و نصف چیزها می‌ریزد به‌هم؛ مساله تغییر در سینتکس هست .
⏮️ تغییر در Syntax یا Performance SPL
بعضی دستورها یا فانکشن‌های قدیمی SPL (مثلاً certain join behaviors یا rex options) در نسخه‌های جدید deprecate یا تغییر عملکرد می‌دهند.
⏮️ مقولات Data Models و CIMES آپدیت که می‌شود، بعضی فیلدهای CIM تغییر اسم یا معنی پیدا می‌کنند (مثل tag یا eventtype). کوئری‌ها یا macroهایی که روی این فیلدها حساب باز کرده‌اند می‌شکنند.
⏮️وجود Dependency روی Macro و Lookup داخلی وقتی ES نسخه جدید بیاورد، بعضی lookupها، macroها یا حتی saved searchهای internal جای‌شان عوض می‌شود یا تغییر میکند.
#تجربه
✳️در Splunk 7.2 نحوه‌ی مدیریت subsearch timeout و memory cap تغییر کرد. چند کوئری که روی join و subsearch طولانی حساب باز کرده بودند، ناگهان بعد از آپدیت فقط خروجی ناقص یا empty می‌دادند. لذا ما دو هفته blind spot داشتیم چون correlation search اصلی‌اش subsearch fail می‌داد.
✳️ در به روز رسانی به CIM 5، توی مدل Endpoint و Authentication چند تا فیلد کلیدی rename شد (مثل user: dest_user) و چند تا tag پیش‌فرض تغییر کرد.
لذا بیشتر از ۱۰ correlation search پیش‌فرض ES fail شدند تا زمانی که field mapping دوباره انجام شد. مجبور شدیم ۴ روز به صورت دستی notable event ایجاد کنیم.
✳️با به روزرسانی در ES 7 ساختار lookups مربوط به threat intelligence (مثل threatintel_by_*) تغییر پیدا کرد.
و correlation searchهایی که به lookupهای قدیمی وابسته بودند، بدون خطای واضح، فقط خروجی خالی می‌دادند. این باعث شد huntهای مبتنی بر IOC دو هفته عقب بیفتد.
💥تقریباً ۹۰٪ این مشکلات پیش‌بینی‌پذیر بودند اگر:
مستند Release Notes قبل از آپگرید دقیق خوانده می‌شد.
مبحث Dev/UAT قبل از Production اجرا می‌شد.
وcontent inventory + dependency mapping به‌روز بود.
#درس_آموخته
#آکادمی_روزبه
مرکز عملیات امنیت www.haumoun.com
#اشتراک_دانش
❤6👏1
Forwarded from OS Internals (Abolfazl Kazemi)
📢 تخفیف ۷۰درصدی دوره‌ی Windows Internals and Memory Analysis به مناسبت شروع فصل درس و دانشگاه
🎯 لینک دوره:
https://mktb.me/4txf/
✍️ کد تخفیف:
COUPON-d0b7e
⏰ مهلت استفاده:
تا ۲۰ مهر ماه
🎯 لینک دوره:
https://mktb.me/4txf/
✍️ کد تخفیف:
COUPON-d0b7e
⏰ مهلت استفاده:
تا ۲۰ مهر ماه
مکتب‌خونه
آموزش اینترنال و تحلیل حافظه ویندوز
این دوره با هدف کنار هم قرار دادن مباحث عمیق سیستم‌عامل و ترکیب آن با برنامه‌نویسی و تحلیل حافظه منبع خوبی برای محققان امنیت در حوزه‌های مختلف است.
❤5👏5
یه مقاله ی خوب
#آکادمی_روزبه
https://sud0ru.ghost.io/silent-harvest-extracting-windows-secrets-under-the-radar/
#آکادمی_روزبه
https://sud0ru.ghost.io/silent-harvest-extracting-windows-secrets-under-the-radar/
Sud0Ru
Silent Harvest: Extracting Windows Secrets Under the Radar
Once you gain a foothold on a Windows host, the next objective is often to compromise additional machines. The fastest way to achieve this is by harvesting credentials and other secrets for reuse. However, nowadays, most known techniques for collecting Windows…
💯6❤2🤝1
بحث امشب یادگار روز پایانی تابستان ۱۴۰۴
کالبدشکافی تهدید: ردپای فارنزیک WSL
بررسی های من نشان میدهد که هرگونه تعامل با WSL، از فعال‌سازی اولیه تا اجرای یک دستور ساده ، مجموعه‌ای غنی از ردپاها را در لایه‌های مختلف سیستم‌عامل ویندوز به جا می‌گذارد. این آرتیفکت‌ها، قطعات پازلی هستند که اگر به درستی کنار هم چیده شوند، تصویر کامل فعالیت یک مهاجم را آشکار می‌سازند.
من این آرتیفکت‌ها را به سه دسته اصلی طبقه‌بندی کرده‌ام:
💥 آرتیفکت‌های رویدادمحور (Event-Based Artifacts): این‌ها حیاتی‌ترین منبع اطلاعاتی ما هستند. فعال شدن سرویس LxssManager، اجرای پروسه‌هایی مانند wsl.exe و wslhost.exe، و به‌ویژه، تحلیل پروسه والد (Parent Process)، همگی در لاگ‌های امنیتی ویندوز و Sysmon ثبت می‌شوند. به عنوان مثال، اجرای wsl.exe توسط پروسه‌ای مانند winword.exe یک نشانگر حمله (Indicator of Compromise) با قطعیت بسیار بالاست که نشان‌دهنده اجرای کد از طریق یک سند مخرب است.
💥 آرتیفکت‌های فایل سیستم و رجیستری: نصب هر توزیع لینوکس، یک فایل دیسک مجازی (.vhdx) در پروفایل کاربر و کلیدهایی مشخص در رجیستری ویندوز (HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Lxss) ایجاد میکند. مانیتورینگ این مسیرها به ما اجازه میدهد تا نصب غیرمجاز ابزارهای تهاجمی مانند Kali Linux را بلافاصله شناسایی کنیم.
💥 آرتیفکت‌های شبکه: WSL از یک آداپتور شبکه مجازی برای ارتباط با دنیای خارج استفاده میکند. ترافیکی که از پروسه‌های مرتبط با WSL نشأت می‌گیرد، باید با وسواس بیشتری بررسی شود. ارتباط wsl.exe با یک آدرس IP شناخته‌شده به عنوان سرور فرماندهی و کنترل (C2)، زنگ خطری است که نباید نادیده گرفته شود.
حالا این شما و رولهای اسپلانک که می‌نویسید.
#آکادمی_روزبه
بحث کامل تر را در سنز 608 و دوره سطح ۲ خواهم داشت .
کالبدشکافی تهدید: ردپای فارنزیک WSL
بررسی های من نشان میدهد که هرگونه تعامل با WSL، از فعال‌سازی اولیه تا اجرای یک دستور ساده ، مجموعه‌ای غنی از ردپاها را در لایه‌های مختلف سیستم‌عامل ویندوز به جا می‌گذارد. این آرتیفکت‌ها، قطعات پازلی هستند که اگر به درستی کنار هم چیده شوند، تصویر کامل فعالیت یک مهاجم را آشکار می‌سازند.
من این آرتیفکت‌ها را به سه دسته اصلی طبقه‌بندی کرده‌ام:
💥 آرتیفکت‌های رویدادمحور (Event-Based Artifacts): این‌ها حیاتی‌ترین منبع اطلاعاتی ما هستند. فعال شدن سرویس LxssManager، اجرای پروسه‌هایی مانند wsl.exe و wslhost.exe، و به‌ویژه، تحلیل پروسه والد (Parent Process)، همگی در لاگ‌های امنیتی ویندوز و Sysmon ثبت می‌شوند. به عنوان مثال، اجرای wsl.exe توسط پروسه‌ای مانند winword.exe یک نشانگر حمله (Indicator of Compromise) با قطعیت بسیار بالاست که نشان‌دهنده اجرای کد از طریق یک سند مخرب است.
💥 آرتیفکت‌های فایل سیستم و رجیستری: نصب هر توزیع لینوکس، یک فایل دیسک مجازی (.vhdx) در پروفایل کاربر و کلیدهایی مشخص در رجیستری ویندوز (HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Lxss) ایجاد میکند. مانیتورینگ این مسیرها به ما اجازه میدهد تا نصب غیرمجاز ابزارهای تهاجمی مانند Kali Linux را بلافاصله شناسایی کنیم.
💥 آرتیفکت‌های شبکه: WSL از یک آداپتور شبکه مجازی برای ارتباط با دنیای خارج استفاده میکند. ترافیکی که از پروسه‌های مرتبط با WSL نشأت می‌گیرد، باید با وسواس بیشتری بررسی شود. ارتباط wsl.exe با یک آدرس IP شناخته‌شده به عنوان سرور فرماندهی و کنترل (C2)، زنگ خطری است که نباید نادیده گرفته شود.
حالا این شما و رولهای اسپلانک که می‌نویسید.
#آکادمی_روزبه
بحث کامل تر را در سنز 608 و دوره سطح ۲ خواهم داشت .
❤5💯2🙏1
#استخدام
کارشناس سرویس های امنیتی
تسلط به یک EDR
تسلط به LPIC1
تسلط به Security plus یا SSCP
تسلط به CEH یا سنز 504
تسلط به شبکه در حد CCNA
دوسال سابقه اجرایی
توانایی مطالعه و تحقیق بر روی محصولات EDR و XDR روز دنیا
انجام کار تیمی
تحصیلات : دیپلم
حضوری فول تایم تهران
دریافتی خالص 60 م تومان
تجربه بالاتر عملی و توانایی مطالعه و تحقیق برای استخدام مزیت است
ارسال رزومه hr@haumoun.com
لطفا با فوروارد کمک کنید همکارم رو پیدا کنم .
کارشناس سرویس های امنیتی
تسلط به یک EDR
تسلط به LPIC1
تسلط به Security plus یا SSCP
تسلط به CEH یا سنز 504
تسلط به شبکه در حد CCNA
دوسال سابقه اجرایی
توانایی مطالعه و تحقیق بر روی محصولات EDR و XDR روز دنیا
انجام کار تیمی
تحصیلات : دیپلم
حضوری فول تایم تهران
دریافتی خالص 60 م تومان
تجربه بالاتر عملی و توانایی مطالعه و تحقیق برای استخدام مزیت است
ارسال رزومه hr@haumoun.com
لطفا با فوروارد کمک کنید همکارم رو پیدا کنم .
👏5🤝2
فرهنگ سازمانی، سد یا سکوی پرتاب امنیت سایبری؟
سال‌ها پیش در یک سازمان حساس، هر کارمند قبل از ورود حتی تلفن همراهش را تحویل می‌داد. قوانین سخت‌گیرانه جزئی از ذات سازمان بود.
اما همین تجربه را اگر امروزه در یک شرکت استارتاپی تکرار کنید:
تقریباً هیچ‌کس به سیاست “ممنوعیت فلش‌مموری” پایبند نخواهد ماند. نه از سر بدجنسی، بلکه چون فرهنگ غالب آزادی و سرعت است، نه کنترل.
🔍 نکته کلیدی:
اگر فرهنگ سازمان با امنیت در تضاد باشد، حتی بهترین کنترل‌های فنی زمین‌گیر می‌شوند.
در محیط‌های Open Office خطر افشای داده‌های حساس به‌شدت بالا می‌رود.
تغییر فرهنگ، نه با فایروال و SIEM، که با مهارت ارتباطی و ایجاد باور جمعی در تیم ممکن است.
📌 امنیت سایبری یک پروژه فنی نیست، یک پروژه فرهنگی است.
نکته: تکیه نمودن به فرهنگ بصورت کامل هم مفید نیست و درصورت لزوم باید کنترل امنیتی فیزیکی یا منطقی طراحی و اجرا کرد.
ارائه مشاوره ساختار سازمانی و ارتقای فرهنگ امنیت سایبری سازمان www.haumoun.com
سال‌ها پیش در یک سازمان حساس، هر کارمند قبل از ورود حتی تلفن همراهش را تحویل می‌داد. قوانین سخت‌گیرانه جزئی از ذات سازمان بود.
اما همین تجربه را اگر امروزه در یک شرکت استارتاپی تکرار کنید:
تقریباً هیچ‌کس به سیاست “ممنوعیت فلش‌مموری” پایبند نخواهد ماند. نه از سر بدجنسی، بلکه چون فرهنگ غالب آزادی و سرعت است، نه کنترل.
🔍 نکته کلیدی:
اگر فرهنگ سازمان با امنیت در تضاد باشد، حتی بهترین کنترل‌های فنی زمین‌گیر می‌شوند.
در محیط‌های Open Office خطر افشای داده‌های حساس به‌شدت بالا می‌رود.
تغییر فرهنگ، نه با فایروال و SIEM، که با مهارت ارتباطی و ایجاد باور جمعی در تیم ممکن است.
📌 امنیت سایبری یک پروژه فنی نیست، یک پروژه فرهنگی است.
نکته: تکیه نمودن به فرهنگ بصورت کامل هم مفید نیست و درصورت لزوم باید کنترل امنیتی فیزیکی یا منطقی طراحی و اجرا کرد.
ارائه مشاوره ساختار سازمانی و ارتقای فرهنگ امنیت سایبری سازمان www.haumoun.com
👏4💯3❤1👍1
وقتی یک «در» را می‌بندیم، مهاجم از دیوار می‌آید!
مایکروسافت wmic.exe را بازنشسته کرد. آیا مهاجم‌ها دیگر نمی‌توانند از WMI سوءاستفاده کنند؟
❌ خیر! فقط آچارشان عوض شده.
دیروز:
bash
wmic process call create "calc.exe"
امروز:
powershell
Invoke-WmiMethod -Class Win32_Process -Name Create -ArgumentList "calc.exe"
📌 واقعیت: WMI سرویس و API هنوز فعال است. PowerShell، VBScript، C# یا حتی Python همچنان می‌توانند همان عملیات را انجام دهند — حتی بهتر و بی‌سروصداتر.
🚨 تهدید را حذف نکردیم، فقط شکلش را عوض کردیم. پایش (Monitoring) WMI API هنوز از نان شب واجب‌تر است.
#Security #ThreatDetection #آکادمی_روزبه #EDR #CyberSecurity #WMI
مرجع:
https://lnkd.in/gUSGHkmc
https://lnkd.in/p/gyZxuf_
مایکروسافت wmic.exe را بازنشسته کرد. آیا مهاجم‌ها دیگر نمی‌توانند از WMI سوءاستفاده کنند؟
❌ خیر! فقط آچارشان عوض شده.
دیروز:
bash
wmic process call create "calc.exe"
امروز:
powershell
Invoke-WmiMethod -Class Win32_Process -Name Create -ArgumentList "calc.exe"
📌 واقعیت: WMI سرویس و API هنوز فعال است. PowerShell، VBScript، C# یا حتی Python همچنان می‌توانند همان عملیات را انجام دهند — حتی بهتر و بی‌سروصداتر.
🚨 تهدید را حذف نکردیم، فقط شکلش را عوض کردیم. پایش (Monitoring) WMI API هنوز از نان شب واجب‌تر است.
#Security #ThreatDetection #آکادمی_روزبه #EDR #CyberSecurity #WMI
مرجع:
https://lnkd.in/gUSGHkmc
https://lnkd.in/p/gyZxuf_
lnkd.in
LinkedIn
This link will take you to a page that’s not on LinkedIn
❤5💯4
آکادمی آموزش روزبه 📚 pinned «#استخدام کارشناس سرویس های امنیتی تسلط به یک EDR تسلط به LPIC1 تسلط به Security plus یا SSCP تسلط به CEH یا سنز 504 تسلط به شبکه در حد CCNA دوسال سابقه اجرایی توانایی مطالعه و تحقیق بر روی محصولات EDR و XDR روز دنیا انجام کار تیمی تحصیلات : دیپلم …»
نقش تفکر نقادانه، تحلیلی و سیستمی در مبارزه با جرایم رایانه‌ای
روزبه نوروزی
در دنیای امروز که لایه‌های فیزیکی، دیجیتال و روان‌شناختی به طور پیچیده‌ای درهم تنیده شده‌اند، مقابله با جرایم رایانه‌ای فراتر از یک مسئله فنی است و به چالشی فلسفی، اجتماعی و سیستمی تبدیل شده. این جرایم، از فیشینگ و ransomware تا حملات APT، ضعف‌های انسانی و سازمانی را هدف می‌گیرند. متخصصان امنیت سایبری باید با مهارت‌های ذهنی؛ مانند تفکر نقادانه، تحلیلی و سیستمی مجهز شوند تا تهدیدها را پیش‌بینی و خنثی کنند.
✅️تفکر نقادانه نقطه شروع است؛ این مهارت شامل پرسشگری هوشمندانه، تشخیص مغالطات و ارزیابی شواهد پیش از پذیرش ادعاها می‌شود.
بدون آن، تحلیلگران قربانی اطلاعات گمراه‌کننده می‌شوند. مثلاً در حمله فیشینگ، این تفکر کمک میکند ایمیل مشکوک را بر پایه لینک‌ها و منبع ارزیابی کنیم، نه ظاهر.
✅️تفکر تحلیلی گام بعدی است؛ داده‌های خام را به الگوها و insights تبدیل میکند.
در جرایم سایبری، این مهارت سیگنال‌های ضعیف را در میان نویز شناسایی میکند، مانند ردپای حمله در میلیون‌ها لاگ. ابزارهایی مانند SIEM یا AI (یادگیری ماشین برای تشخیص ناهنجاری‌ها) این فرآیند را تسهیل می‌کنند، اما بدون تحلیل انسانی، ناکارآمدند. برای مثال، در حمله DDoS، الگوهای ترافیک را تجزیه و منبع را ردیابی میکند.
✅️تفکر سیستمی نقطه اوج است؛ جرایم را در اکوسیستم پیچیده فناوری، انسان، اقتصاد و قانون می‌بیند.
حلقه‌های بازخورد و اثرات دومینو را پیش‌بینی میکند. جلوگیری از فیشینگ نه تنها با مسدود کردن ایمیل، بلکه با آموزش کارکنان و اصلاح سیاست‌های منابع انسانی محقق می‌شود. در سطح کلان، به طراحی سیستم‌های resilient مانند ادغام blockchain کمک میکند.
ترکیب این مهارت‌ها متخصص را از واکنش‌گر به معمار پیش‌دست تبدیل میکند؛ حوادث را حل و زمینه وقوع را حذف میکند. آموزش آن‌ها در گواهینامه‌هایی مانند CISSPضروری است، به ویژه با ضررهای جهانی بیش از ۶ تریلیون دلار سالانه (طبق Interpol). سرمایه‌گذاری روی این مهارت‌ها امنیت را استراتژیک می‌سازد.
تفکر نقادانه ، تحلیلی و سیستمی را آموزش دهیم
#آکادمی_روزبه
روزبه نوروزی
در دنیای امروز که لایه‌های فیزیکی، دیجیتال و روان‌شناختی به طور پیچیده‌ای درهم تنیده شده‌اند، مقابله با جرایم رایانه‌ای فراتر از یک مسئله فنی است و به چالشی فلسفی، اجتماعی و سیستمی تبدیل شده. این جرایم، از فیشینگ و ransomware تا حملات APT، ضعف‌های انسانی و سازمانی را هدف می‌گیرند. متخصصان امنیت سایبری باید با مهارت‌های ذهنی؛ مانند تفکر نقادانه، تحلیلی و سیستمی مجهز شوند تا تهدیدها را پیش‌بینی و خنثی کنند.
✅️تفکر نقادانه نقطه شروع است؛ این مهارت شامل پرسشگری هوشمندانه، تشخیص مغالطات و ارزیابی شواهد پیش از پذیرش ادعاها می‌شود.
بدون آن، تحلیلگران قربانی اطلاعات گمراه‌کننده می‌شوند. مثلاً در حمله فیشینگ، این تفکر کمک میکند ایمیل مشکوک را بر پایه لینک‌ها و منبع ارزیابی کنیم، نه ظاهر.
✅️تفکر تحلیلی گام بعدی است؛ داده‌های خام را به الگوها و insights تبدیل میکند.
در جرایم سایبری، این مهارت سیگنال‌های ضعیف را در میان نویز شناسایی میکند، مانند ردپای حمله در میلیون‌ها لاگ. ابزارهایی مانند SIEM یا AI (یادگیری ماشین برای تشخیص ناهنجاری‌ها) این فرآیند را تسهیل می‌کنند، اما بدون تحلیل انسانی، ناکارآمدند. برای مثال، در حمله DDoS، الگوهای ترافیک را تجزیه و منبع را ردیابی میکند.
✅️تفکر سیستمی نقطه اوج است؛ جرایم را در اکوسیستم پیچیده فناوری، انسان، اقتصاد و قانون می‌بیند.
حلقه‌های بازخورد و اثرات دومینو را پیش‌بینی میکند. جلوگیری از فیشینگ نه تنها با مسدود کردن ایمیل، بلکه با آموزش کارکنان و اصلاح سیاست‌های منابع انسانی محقق می‌شود. در سطح کلان، به طراحی سیستم‌های resilient مانند ادغام blockchain کمک میکند.
ترکیب این مهارت‌ها متخصص را از واکنش‌گر به معمار پیش‌دست تبدیل میکند؛ حوادث را حل و زمینه وقوع را حذف میکند. آموزش آن‌ها در گواهینامه‌هایی مانند CISSPضروری است، به ویژه با ضررهای جهانی بیش از ۶ تریلیون دلار سالانه (طبق Interpol). سرمایه‌گذاری روی این مهارت‌ها امنیت را استراتژیک می‌سازد.
تفکر نقادانه ، تحلیلی و سیستمی را آموزش دهیم
#آکادمی_روزبه
❤5💯4