از “ابزارشناس” به “شکارچی تهدید” — چرا تحلیل، شاه‌کلید موفقیت شما در امنیت سایبری است؟

دانشجویان عزیز،
شما در حال یادگیری یکی از حیاتی‌ترین تخصص‌های دنیای امروز هستید. شما یاد می‌گیرید چگونه فایروال‌ها را پیکربندی کنید، سیستم‌ها را امن‌سازی (Harden) کنید، با ابزارهای تست نفوذ کار کنید و مکانیزم‌های دفاعی را پیاده‌سازی نمایید. این‌ها مهارت‌های بنیادین و ضروری هستند.
اما یک سوال کلیدی وجود دارد:

وقتی یک مهاجم از تمام این لایه‌های دفاعی عبور کند، چه اتفاقی می‌افتد؟

اینجا نقطه‌ای است که تفاوت بین یک تکنسین امنیت و یک متخصص تحلیلگر امنیت مشخص می‌شود.

یک تکنسین می‌داند ابزار X چه کاری انجام می‌دهد. اما یک تحلیلگر می‌داند که چگونه از خروجی ابزارهای X, Y و Z به صورت ترکیبی استفاده کند تا داستانی را که در پس یک حمله پنهان شده، کشف کند.
چرا باید فراتر از تخصص فنی، روی مهارت تحلیل تمرکز کنید؟
امنیت سایبری مدرن، دیگر یک بازی دفاعی صرف نیست؛ بلکه یک مبارزه اطلاعاتی است. در این مبارزه، داده‌ها (لاگ‌ها، ترافیک شبکه، هشدارها) سلاح شما هستند و مهارت تحلیل، هنر استفاده از این سلاح است.
در اینجا دلایل مشخصی برای شما آورده شده است:
۱. از “واکنش‌گرا” به “پیش‌فعال” (Reactive to Proactive):
بدون تحلیل: شما منتظر هشدار (Alert) از سیستم SIEM یا آنتی‌ویروس می‌مانید تا به یک حمله واکنش نشان دهید. در این حالت، شما همیشه یک قدم از مهاجم عقب‌تر هستید.
با تحلیل: شما به شکار تهدید (Threat Hunting) می‌پردازید. یعنی به صورت فعالانه در میان میلیاردها رکورد لاگ و ترافیک شبکه به دنبال الگوهای مشکوک و ناهنجاری‌هایی می‌گردید که ابزارهای خودکار هنوز آن‌ها را به عنوان تهدید شناسایی نکرده‌اند. این یعنی پیدا کردن مهاجم قبل از اینکه او به هدفش برسد.
۲. درک “چرا”، نه فقط “چه” (The “Why”, not just the “What”):
ابزار به شما می‌گوید: “یک تلاش برای لاگین ناموفق از IP 1.2.3.4 شناسایی شد.” (این یعنی What)
یک تحلیلگر می‌پرسد:
چرا این IP تلاش به لاگین داشت؟
آیا این اولین بار است؟
آیا این IP فعالیت مشکوک دیگری در شبکه داشته است؟
آیا این تلاش با سایر هشدارها در نقاط دیگر شبکه همبستگی (Correlation) دارد؟
آیا این بخشی از یک کمپین حمله بزرگ‌تر است یا یک نویز تصادفی؟
پاسخ به این سوالات، تفاوت بین بستن یک IP و کشف یک تهدید پیشرفته و مستمر (APT) را رقم می‌زند.
۳. کاهش خستگی از هشدار (Alert Fatigue):
مراکز عملیات امنیت (SOC) روزانه با هزاران هشدار مواجه می‌شوند که بسیاری از آن‌ها مثبت کاذب (False Positive) هستند. بدون مهارت تحلیل، شما در این حجم از هشدارها غرق می‌شوید. یک تحلیلگر می‌تواند با درک زمینه و الگوها، هشدارهای واقعاً حیاتی را از نویز بی‌اهمیت جدا کرده و تلاش تیم را روی تهدیدات واقعی متمرکز کند.
۴. پاسخ به حوادث (Incident Response) مؤثر:
هنگام وقوع یک رخنه امنیتی، شما باید یک کارآگاه دیجیتال باشید. وظیفه شما بازسازی زنجیره حمله (Kill Chain) است: مهاجم چگونه وارد شد؟ چه کارهایی انجام داد؟ به چه داده‌هایی دسترسی پیدا کرد؟ آیا هنوز در شبکه حضور دارد؟ این کار صرفاً با اجرای چند اسکریپت ممکن نیست؛ این یک فرآیند عمیقاً تحلیلی و تحقیقی است.
۵. ارتباط با مدیران و توجیه سرمایه‌گذاری:
مدیرعامل شما زبان فنی پیچیده را متوجه نمی‌شود، اما زبان ریسک و هزینه را به خوبی می‌فهمد. این وظیفه شماست که یافته‌های فنی خود را به یک داستان قابل فهم ترجمه کنید: “تحلیل ما نشان می‌دهد که اگر این آسیب‌پذیری را برطرف نکنیم، با احتمال X درصد با ریسک مالی Y میلیون تومان مواجه خواهیم شد.” این مهارت ارتباطی، بخشی جدایی‌ناپذیر از تحلیل است.
مسیر پیش رو برای شما:
با داده‌ها دوست شوید: به لاگ‌های سیستم‌عامل (Windows Event Logs, Syslog)، لاگ‌های وب سرور (Apache, Nginx) و خروجی Wireshark به چشم یک معما نگاه کنید. سعی کنید داستان پشت آن‌ها را بفهمید.
اصول اولیه را بیاموزید: یادگیری اسکریپت‌نویسی با Python برای خودکارسازی تحلیل‌ها، کار با PowerShell برای جمع‌آوری اطلاعات از سیستم‌های ویندوزی، و اصول اولیه کوئری‌نویسی با زبان‌هایی مثل SQL یا KQL (Kusto Query Language) برای کار با پلتفرم‌های SIEM (مانند Microsoft Sentinel) حیاتی است.
در پلتفرم‌های عملی تمرین کنید: در پلتفرم‌هایی مانند TryHackMe, HackTheBox یا LetsDefend، اتاق‌هایی وجود دارند که مشخصاً روی تحلیل لاگ و پاسخ به حوادث (Blue Team) تمرکز دارند. این‌ها بهترین زمین بازی برای شما هستند.

نتیجه‌گیری:
تخصص فنی در امنیت سایبری، شما را به یک نگهبان خوب تبدیل می‌کند. اما ترکیب تخصص فنی با مهارت تحلیل، شما را به یک استراتژیست، یک شکارچی و یک فرمانده دفاعی تبدیل می‌کند. بازار کار آینده به دنبال دسته دوم است. روی این مهارت سرمایه‌گذاری کنید تا از یک اپراتور ابزار به یک مغز متفکر امنیتی تبدیل شوید.


#آکادمی_روزبه

درس‌هایی از Splunk ES

یکی از دردسرهایی است که خیلی از Splunk ES ادمین‌ها و محتوای سفارشی‌سازها (Rule/Dashboard Developers) دیر یا زود به آن برمی‌خورند، مخصوصاً در سازمان‌هایی که هر چی خوب کار می‌کند تا چند سال دست نمی‌زنند، بعد یک روز آپدیت می‌آید و نصف چیزها می‌ریزد به‌هم؛ مساله تغییر در سینتکس هست .

⏮️ تغییر در Syntax یا Performance SPL
بعضی دستورها یا فانکشن‌های قدیمی SPL (مثلاً certain join behaviors یا rex options) در نسخه‌های جدید deprecate یا تغییر عملکرد می‌دهند.
⏮️ مقولات Data Models و CIMES آپدیت که می‌شود، بعضی فیلدهای CIM تغییر اسم یا معنی پیدا می‌کنند (مثل tag یا eventtype). کوئری‌ها یا macroهایی که روی این فیلدها حساب باز کرده‌اند می‌شکنند.
⏮️وجود Dependency روی Macro و Lookup داخلی وقتی ES نسخه جدید بیاورد، بعضی lookupها، macroها یا حتی saved searchهای internal جای‌شان عوض می‌شود یا تغییر می‌کند.

#تجربه

✳️در Splunk 7.2 نحوه‌ی مدیریت subsearch timeout و memory cap تغییر کرد. چند کوئری که روی join و subsearch طولانی حساب باز کرده بودند، ناگهان بعد از آپدیت فقط خروجی ناقص یا empty می‌دادند. لذا ما دو هفته blind spot داشتیم چون correlation search اصلی‌اش subsearch fail می‌داد.

✳️ در به روز رسانی به CIM 5، توی مدل Endpoint و Authentication چند تا فیلد کلیدی rename شد (مثل user: dest_user) و چند تا tag پیش‌فرض تغییر کرد.
لذا بیشتر از ۱۰ correlation search پیش‌فرض ES fail شدند تا زمانی که field mapping دوباره انجام شد. مجبور شدیم ۴ روز به صورت دستی notable event ایجاد کنیم.

✳️با به روزرسانی در ES 7 ساختار lookups مربوط به threat intelligence (مثل threatintel_by_*) تغییر پیدا کرد.
و correlation searchهایی که به lookupهای قدیمی وابسته بودند، بدون خطای واضح، فقط خروجی خالی می‌دادند. این باعث شد huntهای مبتنی بر IOC دو هفته عقب بیفتد.

💥تقریباً ۹۰٪ این مشکلات پیش‌بینی‌پذیر بودند اگر:

مستند Release Notes قبل از آپگرید دقیق خوانده می‌شد.
مبحث Dev/UAT قبل از Production اجرا می‌شد.
وcontent inventory + dependency mapping به‌روز بود.

#درس_آموخته
#آکادمی_روزبه
مرکز عملیات امنیت www.haumoun.com
#اشتراک_دانش

📢 تخفیف ۷۰درصدی دوره‌ی Windows Internals and Memory Analysis به مناسبت شروع فصل درس و دانشگاه

🎯 لینک دوره:
https://mktb.me/4txf/

✍️ کد تخفیف:
COUPON-d0b7e

⏰ مهلت استفاده:
تا ۲۰ مهر ماه

یه مقاله ی خوب

#آکادمی_روزبه

https://sud0ru.ghost.io/silent-harvest-extracting-windows-secrets-under-the-radar/

مقاله ای در مورد معماری امن از مبحث نوین در نسخه ۲۰۲۵ درس CISSP

#آکادمی_روزبه

بحث امشب یادگار روز پایانی تابستان ۱۴۰۴

کالبدشکافی تهدید: ردپای فارنزیک WSL

بررسی های من نشان می‌دهد که هرگونه تعامل با WSL، از فعال‌سازی اولیه تا اجرای یک دستور ساده ، مجموعه‌ای غنی از ردپاها را در لایه‌های مختلف سیستم‌عامل ویندوز به جا می‌گذارد. این آرتیفکت‌ها، قطعات پازلی هستند که اگر به درستی کنار هم چیده شوند، تصویر کامل فعالیت یک مهاجم را آشکار می‌سازند.

من این آرتیفکت‌ها را به سه دسته اصلی طبقه‌بندی کرده‌ام:

💥 آرتیفکت‌های رویدادمحور (Event-Based Artifacts): این‌ها حیاتی‌ترین منبع اطلاعاتی ما هستند. فعال شدن سرویس LxssManager، اجرای پروسه‌هایی مانند wsl.exe و wslhost.exe، و به‌ویژه، تحلیل پروسه والد (Parent Process)، همگی در لاگ‌های امنیتی ویندوز و Sysmon ثبت می‌شوند. به عنوان مثال، اجرای wsl.exe توسط پروسه‌ای مانند winword.exe یک نشانگر حمله (Indicator of Compromise) با قطعیت بسیار بالاست که نشان‌دهنده اجرای کد از طریق یک سند مخرب است.

💥 آرتیفکت‌های فایل سیستم و رجیستری: نصب هر توزیع لینوکس، یک فایل دیسک مجازی (.vhdx) در پروفایل کاربر و کلیدهایی مشخص در رجیستری ویندوز (HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Lxss) ایجاد می‌کند. مانیتورینگ این مسیرها به ما اجازه می‌دهد تا نصب غیرمجاز ابزارهای تهاجمی مانند Kali Linux را بلافاصله شناسایی کنیم.

💥 آرتیفکت‌های شبکه: WSL از یک آداپتور شبکه مجازی برای ارتباط با دنیای خارج استفاده می‌کند. ترافیکی که از پروسه‌های مرتبط با WSL نشأت می‌گیرد، باید با وسواس بیشتری بررسی شود. ارتباط wsl.exe با یک آدرس IP شناخته‌شده به عنوان سرور فرماندهی و کنترل (C2)، زنگ خطری است که نباید نادیده گرفته شود.

حالا این شما و رولهای اسپلانک که می‌نویسید.


#آکادمی_روزبه
بحث کامل تر را در سنز 608 و دوره سطح ۲ خواهم داشت .

#استخدام

کارشناس سرویس های امنیتی

تسلط به یک EDR
تسلط به LPIC1
تسلط به Security plus یا SSCP
تسلط به CEH یا سنز 504
تسلط به شبکه در حد CCNA

دوسال سابقه اجرایی
توانایی مطالعه و تحقیق بر روی محصولات EDR و XDR روز دنیا
انجام کار تیمی

تحصیلات : دیپلم

حضوری فول تایم تهران

دریافتی خالص 60 م تومان

تجربه بالاتر عملی و توانایی مطالعه و تحقیق برای استخدام مزیت است

ارسال رزومه hr@haumoun.com



لطفا با فوروارد کمک کنید همکارم رو پیدا کنم .

فرهنگ سازمانی، سد یا سکوی پرتاب امنیت سایبری؟

سال‌ها پیش در یک سازمان حساس، هر کارمند قبل از ورود حتی تلفن همراهش را تحویل می‌داد. قوانین سخت‌گیرانه جزئی از ذات سازمان بود.

اما همین تجربه را اگر امروزه در یک شرکت استارتاپی تکرار کنید:

تقریباً هیچ‌کس به سیاست “ممنوعیت فلش‌مموری” پایبند نخواهد ماند. نه از سر بدجنسی، بلکه چون فرهنگ غالب آزادی و سرعت است، نه کنترل.

🔍 نکته کلیدی:

اگر فرهنگ سازمان با امنیت در تضاد باشد، حتی بهترین کنترل‌های فنی زمین‌گیر می‌شوند.
در محیط‌های Open Office خطر افشای داده‌های حساس به‌شدت بالا می‌رود.
تغییر فرهنگ، نه با فایروال و SIEM، که با مهارت ارتباطی و ایجاد باور جمعی در تیم ممکن است.

📌 امنیت سایبری یک پروژه فنی نیست، یک پروژه فرهنگی است.

نکته: تکیه نمودن به فرهنگ بصورت کامل هم مفید نیست و درصورت لزوم باید کنترل امنیتی فیزیکی یا منطقی طراحی و اجرا کرد.



ارائه مشاوره ساختار سازمانی و ارتقای فرهنگ امنیت سایبری سازمان www.haumoun.com

وقتی یک «در» را می‌بندیم، مهاجم از دیوار می‌آید!

مایکروسافت wmic.exe را بازنشسته کرد. آیا مهاجم‌ها دیگر نمی‌توانند از WMI سوءاستفاده کنند؟

❌ خیر! فقط آچارشان عوض شده.

دیروز:



bash

wmic process call create "calc.exe"

امروز:


powershell

Invoke-WmiMethod -Class Win32_Process -Name Create -ArgumentList "calc.exe"

📌 واقعیت: WMI سرویس و API هنوز فعال است. PowerShell، VBScript، C# یا حتی Python همچنان می‌توانند همان عملیات را انجام دهند — حتی بهتر و بی‌سروصداتر.

🚨 تهدید را حذف نکردیم، فقط شکلش را عوض کردیم. پایش (Monitoring) WMI API هنوز از نان شب واجب‌تر است.

#Security #ThreatDetection #آکادمی_روزبه #EDR #CyberSecurity #WMI

مرجع:
https://lnkd.in/gUSGHkmc
https://lnkd.in/p/gyZxuf_

نقش تفکر نقادانه، تحلیلی و سیستمی در مبارزه با جرایم رایانه‌ای

روزبه نوروزی

در دنیای امروز که لایه‌های فیزیکی، دیجیتال و روان‌شناختی به طور پیچیده‌ای درهم تنیده شده‌اند، مقابله با جرایم رایانه‌ای فراتر از یک مسئله فنی است و به چالشی فلسفی، اجتماعی و سیستمی تبدیل شده. این جرایم، از فیشینگ و ransomware تا حملات APT، ضعف‌های انسانی و سازمانی را هدف می‌گیرند. متخصصان امنیت سایبری باید با مهارت‌های ذهنی؛ مانند تفکر نقادانه، تحلیلی و سیستمی مجهز شوند تا تهدیدها را پیش‌بینی و خنثی کنند.

✅️تفکر نقادانه نقطه شروع است؛ این مهارت شامل پرسشگری هوشمندانه، تشخیص مغالطات و ارزیابی شواهد پیش از پذیرش ادعاها می‌شود.
بدون آن، تحلیلگران قربانی اطلاعات گمراه‌کننده می‌شوند. مثلاً در حمله فیشینگ، این تفکر کمک می‌کند ایمیل مشکوک را بر پایه لینک‌ها و منبع ارزیابی کنیم، نه ظاهر.

✅️تفکر تحلیلی گام بعدی است؛ داده‌های خام را به الگوها و insights تبدیل می‌کند.
در جرایم سایبری، این مهارت سیگنال‌های ضعیف را در میان نویز شناسایی می‌کند، مانند ردپای حمله در میلیون‌ها لاگ. ابزارهایی مانند SIEM یا AI (یادگیری ماشین برای تشخیص ناهنجاری‌ها) این فرآیند را تسهیل می‌کنند، اما بدون تحلیل انسانی، ناکارآمدند. برای مثال، در حمله DDoS، الگوهای ترافیک را تجزیه و منبع را ردیابی می‌کند.

✅️تفکر سیستمی نقطه اوج است؛ جرایم را در اکوسیستم پیچیده فناوری، انسان، اقتصاد و قانون می‌بیند.
حلقه‌های بازخورد و اثرات دومینو را پیش‌بینی می‌کند. جلوگیری از فیشینگ نه تنها با مسدود کردن ایمیل، بلکه با آموزش کارکنان و اصلاح سیاست‌های منابع انسانی محقق می‌شود. در سطح کلان، به طراحی سیستم‌های resilient مانند ادغام blockchain کمک می‌کند.

ترکیب این مهارت‌ها متخصص را از واکنش‌گر به معمار پیش‌دست تبدیل می‌کند؛ حوادث را حل و زمینه وقوع را حذف می‌کند. آموزش آن‌ها در گواهینامه‌هایی مانند CISSPضروری است، به ویژه با ضررهای جهانی بیش از ۶ تریلیون دلار سالانه (طبق Interpol). سرمایه‌گذاری روی این مهارت‌ها امنیت را استراتژیک می‌سازد.

تفکر نقادانه ، تحلیلی و سیستمی را آموزش دهیم


#آکادمی_روزبه

در این مقاله، نویسنده معرفی می‌کند که چطور ابزار جدیدی به نام EDR-Freeze می‌تواند فرآیندهای EDR و آنتی‌ویروس را عمداً به حالت «کما» یا تعلیق کامل ببرد.

روش سنتی هکرها برای خاموش کردن این ابزارها، تکنیک BYOVD (Bring Your Own Vulnerable Driver) بود که نیاز داشت درایور آسیب‌پذیر روی سیستم نصب کنند یا اجرا کنند. اما این کار پرهزینه و پیچیده است.

اینجا، نویسنده رویکرد ساده‌تری را توضیح می‌دهد: استفاده از قابلیت موجود در ویندوز به اسم Windows Error Reporting و تابع MiniDumpWriteDump که برای گرفتن مینی‌دامپ از یک پروسه طراحی شده است. نکته کلیدی این تابع این است که همه نخ‌های (threads) آن پروسه را در هنگام گرفتن دامپ متوقف می‌کند.

مشکل اول، این توقف معمولاً خیلی کوتاه است. برای طولانی کردن آن، نویسنده سراغ اجرای WerFaultSecure.exe رفت — ابزاری که می‌تواند با سطح حفاظت PPL (Protected Process Light) کار کند. این حفاظت مخصوص فرآیندهای حساس مثل آنتی‌ویروس و EDR است.

با ترکیب این ابزار با تکنیک‌های ایجاد پروسه معلق (CREATE_SUSPENDED) و استفاده از OpenProcess با مجوز PROCESS_SUSPEND_RESUME، می‌توان نه تنها فرآیندهای عادی بلکه فرآیندهای PPL را هم متوقف کرد. حتی اشاره می‌کند که با ابزار ساده‌ای مثل Process Explorer،‌ محققان امنیتی می‌توانند این کار را به راحتی انجام دهند.

خلاصه، این حمله:

نیازی به درایور خارجی یا آسیب‌پذیر ندارد.
از توابع کاربر-مد (user-mode) ویندوز استفاده می‌کند.
می‌تواند سیستم‌های محافظت‌شده مثل آنتی‌ویروس یا EDR را بی‌صدا متوقف کند، بدون حذف یا کرش کردن آن‌ها.

این رویکرد، اگرچه در مقاله بیشتر به عنوان یک تحقیق یا ترفند رِد تیم ذکر شده، نشان می‌دهد که چطور قابلیت‌های بومی ویندوز می‌توانند نقطه آسیب غیرمنتظره‌ای برای دفاع‌کنندگان باشند.

https://www.zerosalarium.com/2025/09/EDR-Freeze-Puts-EDRs-Antivirus-Into-Coma.html?m=1

تست کنید 🔴 آیا EDR و XDR شما دور میخورد؟ راهکار چیست ؟

از AMSI تا Persist — زنجیره‌ی بای‌پس و بازی دفاعی ما
بیاین یه سناریو رو بررسی کنیم که در کلاس سنز ۵۹۹ هفته پیش بخشی از تمرین بود


گاهی مهاجمان فقط یک مکانیزم امنیتی را بای‌پس نمی‌کنند؛ آن‌ها زنجیره‌ای می‌سازند تا همه‌چیز بی‌صدا پیش برود.

مرحله ۱ – Bypass AMSI

با یک patch کوچک در حافظه، فراخوانی AmsiScanBuffer غیرفعال می‌شود. نتیجه؟ PowerShell مخرب بدون اسکن اولیه اجرا می‌شود.

وIOC: بارگذاری غیرعادی clr.dll یا تغییر در حافظه‌ی ماژول amsi.dll.

مرحله ۲ – Freeze EDR

اجرای werfault.exe (LOLBin) برای جمع‌آوری dump از LSASS، اما با استفاده از MiniDumpWriteDump در مسیر Windows Error Reporting تا آنتی‌ویروس خواب بماند.

وIOC: اجرای غیرمنتظره‌ی WerFault با پارامترهای custom.

مرحله ۳ – Persistence لایه‌دار

پس از دسترسی، مهاجم یک Scheduled Task یا Run Key رجیستری می‌سازد.

وIOC: تغییرات در HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run.

دفاع ما چی میتونه باشه ؟

Sysmon: Event ID 1, 7, 11, 23, 25
YARA:
شناسایی توابع patch شده
EDR Telemetry:
همبستگی Load DLL مشکوک با LOLBinهای سیستم

در کلاس جمع بندی کردیم که :
امنیت یعنی شکستن این زنجیره قبل از کامل شدنش


در سناریوی بای‌پس چندمرحله‌ای که در تصویر نشان داده شده، نتیجه‌ی نهایی این است که مهاجم بدون شناسایی شدن می‌تواند کد مخربش را اجرا، اعتبارنامه‌ها را برداشت و ماندگاری ایجاد کند.

#آکادمی_روزبه
Www.haumoun.com

عبور از مرزها؛ مهارتی فراموش‌شده در امنیت اطلاعات

در دنیای امروز، موفقیت یک متخصص امنیت اطلاعات فقط به دانش فنی یا تسلط بر استانداردها محدود نمی‌شود. دارندگان گواهی CISSP از نگاه ISC2 باید یک مهارت کلیدی را در خود تقویت کنند: توانایی کار مؤثر در محیط‌هایی که پر از “مرز” و “تفکیک” است -- مرزهای سازمانی، سیاسی، قانونی و بازار.

مرز سازمانی وقتی شکل می‌گیرد که بخش‌های مختلف یک سازمان اولویت‌های متفاوت دارند؛ مثلاً تیم IT به دنبال سرعت و به‌روزرسانی است، در حالی که بخش مالی بر کنترل هزینه تمرکز دارد. یک CISSP موفق پلی بین این اهداف می‌سازد تا پروژه‌های امنیتی بدون اصطکاک پیش بروند.

مرز سیاسی گاهی نامرئی اما اثرگذار است. اختلاف نفوذ مدیران، رقابت بر سر بودجه، یا حساسیت‌های فرهنگی بین تیم‌ها می‌تواند هر طرحی را متوقف کند. نقش حرفه‌ای امنیت اینجا، هدایت تعاملات با درک دینامیک قدرت و ایجاد اعتماد است.

مرز قانونی و مقرراتی از سوی دولت‌ها و نهادهای نظارتی تحمیل می‌شود. قوانین امنیتی در صنایع یا کشورها متفاوت است: از GDPR اروپا تا افتا و فتای کشور. CISSP باید توان درک تفاوت‌ها و ترجمه آن‌ها به سیاست‌های اجرایی سازگار داشته باشد.

مرز بازار نیز چالش‌برانگیز است. هر بخش صنعتی، مشتریان و رقابتی منحصر‌به‌فرد دارد. امنیت باید با نیازهای واقعی بازار هم‌راستا شود، نه فقط به‌عنوان هزینه، بلکه به عنوان مزیت رقابتی.

در عمل، عبور موفق از این مرزها یعنی تبدیل شدن به یک Integrator -- کسی که امنیت را در همه ابعاد سازمان و محیط پیرامونش جا می‌اندازد.

✅ این مهارت همان عامل تمایز یک CISSP واقعی است: ترکیب دانش فنی با هوش سازمانی، سیاسی، و تجاری.


دوره زمستان CISSP
Www.haumoun.com
Www.Roozbeh.academy
واتس اپ 09902857290

#آکادمی_روزبه

نقش ممیزی تماس‌های ضبط‌شده در ارتقای امنیت سازمان و مقابله با تخلیه اطلاعاتی در سازمانهای حساس


مقدمه

در عصر افزایش تهدیدات سایبری، بسیاری از سازمان‌ها تمرکز خود را بر حفاظت از شبکه، سرورها و پایگاه داده‌ها گذاشته‌اند. اما کانال‌های انسانی مانند تماس‌های تلفنی یا VoIP اغلب به‌عنوان مسیرهای کم‌اهمیت یا بدون ریسک در نظر گرفته می‌شوند، در حالی که مهندسی اجتماعی و سوءاستفاده از گفت‌وگو قادر است اطلاعات حیاتی را از سازمان خارج کند. ممیزی تماس‌های ضبط‌شده یک ابزار کلیدی برای شناسایی این ریسک و تقویت دفاع انسانی است.

ضرورت ممیزی تماس‌ها

رواج مهندسی اجتماعی: مهاجم می‌تواند با تماس تلفنی تدریجی و پرسش‌های هدفمند، اطلاعات طبقه‌بندی‌شده را استخراج کند.
مشاهده‌ناپذیری تهدید انسانی: برخلاف حملات فنی که توسط ابزارهای IDS/IPS رصد می‌شوند، تخلیه اطلاعاتی انسانی در سکوت و با بی‌خبری تیم امنیت رخ می‌دهد.
مسیرهای جانبی خروج اطلاعات: حتی بدون ارسال ایمیل یا اتصال USB، یک تماس می‌تواند اطلاعات حساس را به خارج منتقل کند.

مزایای ممیزی تماس‌های ضبط‌شده

شناسایی الگوهای مشکوک: بررسی حجم، محتوای و ترتیب پرسش‌ها برای کشف تاکتیک‌های مهندسی اجتماعی.
ارزیابی اثربخشی آموزش‌ها: سنجش عملکرد کارکنان در مواجهه با تماس‌های غیرمجاز یا درخواست‌های اطلاعات حساس.
تقویت سیاست‌های امنیتی: یافتن نقاط ضعف در فرآیند احراز هویت تماس‌گیرندگان.
تهیه شواهد قانونی: در صورت بروز حادثه امنیتی، تماس‌ها می‌توانند مسیر و جزئیات افشای داده را مستند کنند.

الزامات اجرایی

زیرساخت ضبط با کیفیت بالا: اطمینان از ذخیره‌سازی امن، رمزگذاری و جلوگیری از دسترسی غیرمجاز به فایل‌های صوتی.
تحلیل محتوای مکالمه: استفاده از فناوری‌های Speech-to-Text و NLP برای پایش خودکار کلمات کلیدی حساس.
چارچوب ممیزی دوره‌ای: تدوین بازه‌های زمانی مشخص برای مرور و تحلیل تماس‌ها، همراه با معیارهای سنجش RAG (Red-Amber-Green).
آموزش و بازخورد: نتایج ممیزی باید به آموزش‌های هدفمند و اصلاح سیاست‌های امنیتی منجر شود


مهم
تبصره ۱:درمورد چالش های حریم شخصی و مسائل اخلاقی در پست آینده که لینکش را اینجا میگذارم خواهم نوشت
تبصره ۲: انجام این شیوه از حفاظت باید مشتق از منشور امنیتی و مستر پلن و سیاست های سازمان باشد و تمامی ضوابط لازم درنظر گرفته شده باشند که ارتباط مستقیمی با ریسک سازمان دارد

#آکادمی_روزبه

امروز جلسه پنجم CISSP برگزار شد

دوره بعدی دیماه
واتس اپ 09902857290

مواظب باشید!!

چارچوب MITRE ATT&CK یک فهرست از تکنیک‌ها و روش‌های حمله است که به ما کمک می‌کند تهدیدات را شناسایی و دفاع کنیم.
مشکل اینجاست که بعضی سازمان‌ها فقط نگاه می‌کنند ببینند چند تکنیک را پوشش داده‌اند و با افتخار می‌گویند «ما کامل هستیم»؛ در حالی که واقعیت فرق دارد.
یک تکنیک مثل Credential Dumping (دزدیدن اطلاعات ورود) را می‌شود به ده‌ها روش مختلف اجرا کرد، مثلاً:
با ابزارهای آماده مثل Mimikatz
با اسکریپت Powershell
با تزریق کد در یک پروسه
با استفاده از APIهای ویندوز

اگر سیستم شما فقط با Mimikatz مقابله کند، به این معنی نیست که همه روش‌های Credential Dumping را پوشش داده‌اید.


#آکادمی_روزبه

راهکار برای ایجاد چارچوب ملی برای «اطلاعات حساس غیرطبقه‌بندی شده»

۱-اطلاعات بسیاری در کشور وجود دارند که برای طبقه بندی آنها فکری نشده است یا اگر دسته بندی هم دارند نانوشته و غیر فرمال است که این یک خطر جدی برای امنیت در دستگاه‌های دولتی و وابسته ایجاد میکند .

با الگو گیری از دستور اجرایی سال ۲۰۰۸ در آمریکا برای ایجاد دسته
Controlled Unclassified Information
مطالب زیر را بعنوان راهکار برای وضع موجود در کشور ارائه میدهم.

**تعریف رسمی از «اطلاعات حساس» که طبقه‌بندی محرمانه، سری و فوق سری ندارند اما افشایشان آسیب‌زا است (مثل داده‌های عملیاتی، سوابق اداری، داده‌های کاربران).
** تعیین مسئولیت قانونی برای نهادها جهت برچسب‌گذاری این نوع اطلاعات.
** تدوین استاندارد مشترک برای اشتراک‌گذاری امن بین سازمان‌ها (هم دولتی هم شبه‌دولتی).

۲. طراحی نظام سه‌سطحی یا چند‌سطحی حفاظتی

سطح پایه: فقط اقدامات استاندارد (کنترل دسترسی، رمزگذاری ساده، ثبت لاگ)
سطح مشخص‌سازی شده: حفاظت اضافه برای کاهش خطر افشای تصادفی (مانند آموزش کاربر، کنترل کانال‌های انتشار، بررسی قبل از ارسال)
سطح تقویت‌شده: کنترل سخت‌گیرانه شامل رمزنگاری پیشرفته، احراز هویت چندمرحله‌ای، ممیزی دوره‌ای، و محدودیت شدید انتشار
📌 پیشنهاد: این سطح‌بندی باید به ارزیابی ریسک و اهمیت داده وابسته باشد، نه صرفاً به دسته‌بندی سازمان.

۳. الزام به مستندسازی و ممیزی دوره‌ای

هر سازمان باید فهرست اطلاعات حساس غیرطبقه‌بندی‌شده خود را به‌روز نگه دارد.
ممیزی‌ها باید هم وضعیت حفاظت و هم فرآیند انتشار را بررسی کنند.
وجود یک مرکز ملی نظارت و راهنمایی (شبیه Information Sharing Council) برای پایش این دسته داده‌ها.

۴. فرهنگ‌سازی و آموزش

آموزش کارکنان در شناخت این نوع اطلاعات و قواعد انتشار آن‌ها
طراحی کمپین‌های داخلی در نهادها (پوستر، ویدئو، جلسات کوتاه) درباره خطرات افشای داده حساس غیرطبقه‌بندی‌شده

۵. زیرساخت فنی مشترک

ایجاد پلتفرم امن ملی برای اشتراک‌گذاری این نوع داده‌ها بین نهادها
مشخص‌کردن پروتکل‌های ارتباطی استاندارد، logging مرکزی، و سیستم‌های هشدار خودکار برای انتشارهای غیرمجاز

امید که این ایده مورد استفاده قرار گیرد .


روزبه نوروزی
۴ مهر ۱۴۰۴

منبع: سرفصل دوره CISSP و دستورالعمل اجرایی نهایی در سال ۲۰۱۰

https://obamawhitehouse.archives.gov/the-press-office/2010/11/04/executive-order-13556-controlled-unclassified-information