#استخدام
کارشناس سرویس های امنیتی
تسلط به یک EDR
تسلط به LPIC1
تسلط به Security plus یا SSCP
تسلط به CEH یا سنز 504
تسلط به شبکه در حد CCNA
دوسال سابقه اجرایی
توانایی مطالعه و تحقیق بر روی محصولات EDR و XDR روز دنیا
انجام کار تیمی
تحصیلات : دیپلم
حضوری فول تایم تهران
دریافتی خالص 60 م تومان
تجربه بالاتر عملی و توانایی مطالعه و تحقیق برای استخدام مزیت است
ارسال رزومه hr@haumoun.com
لطفا با فوروارد کمک کنید همکارم رو پیدا کنم .
کارشناس سرویس های امنیتی
تسلط به یک EDR
تسلط به LPIC1
تسلط به Security plus یا SSCP
تسلط به CEH یا سنز 504
تسلط به شبکه در حد CCNA
دوسال سابقه اجرایی
توانایی مطالعه و تحقیق بر روی محصولات EDR و XDR روز دنیا
انجام کار تیمی
تحصیلات : دیپلم
حضوری فول تایم تهران
دریافتی خالص 60 م تومان
تجربه بالاتر عملی و توانایی مطالعه و تحقیق برای استخدام مزیت است
ارسال رزومه hr@haumoun.com
لطفا با فوروارد کمک کنید همکارم رو پیدا کنم .
👏5🤝2
فرهنگ سازمانی، سد یا سکوی پرتاب امنیت سایبری؟
سال‌ها پیش در یک سازمان حساس، هر کارمند قبل از ورود حتی تلفن همراهش را تحویل می‌داد. قوانین سخت‌گیرانه جزئی از ذات سازمان بود.
اما همین تجربه را اگر امروزه در یک شرکت استارتاپی تکرار کنید:
تقریباً هیچ‌کس به سیاست “ممنوعیت فلش‌مموری” پایبند نخواهد ماند. نه از سر بدجنسی، بلکه چون فرهنگ غالب آزادی و سرعت است، نه کنترل.
🔍 نکته کلیدی:
اگر فرهنگ سازمان با امنیت در تضاد باشد، حتی بهترین کنترل‌های فنی زمین‌گیر می‌شوند.
در محیط‌های Open Office خطر افشای داده‌های حساس به‌شدت بالا می‌رود.
تغییر فرهنگ، نه با فایروال و SIEM، که با مهارت ارتباطی و ایجاد باور جمعی در تیم ممکن است.
📌 امنیت سایبری یک پروژه فنی نیست، یک پروژه فرهنگی است.
نکته: تکیه نمودن به فرهنگ بصورت کامل هم مفید نیست و درصورت لزوم باید کنترل امنیتی فیزیکی یا منطقی طراحی و اجرا کرد.
ارائه مشاوره ساختار سازمانی و ارتقای فرهنگ امنیت سایبری سازمان www.haumoun.com
سال‌ها پیش در یک سازمان حساس، هر کارمند قبل از ورود حتی تلفن همراهش را تحویل می‌داد. قوانین سخت‌گیرانه جزئی از ذات سازمان بود.
اما همین تجربه را اگر امروزه در یک شرکت استارتاپی تکرار کنید:
تقریباً هیچ‌کس به سیاست “ممنوعیت فلش‌مموری” پایبند نخواهد ماند. نه از سر بدجنسی، بلکه چون فرهنگ غالب آزادی و سرعت است، نه کنترل.
🔍 نکته کلیدی:
اگر فرهنگ سازمان با امنیت در تضاد باشد، حتی بهترین کنترل‌های فنی زمین‌گیر می‌شوند.
در محیط‌های Open Office خطر افشای داده‌های حساس به‌شدت بالا می‌رود.
تغییر فرهنگ، نه با فایروال و SIEM، که با مهارت ارتباطی و ایجاد باور جمعی در تیم ممکن است.
📌 امنیت سایبری یک پروژه فنی نیست، یک پروژه فرهنگی است.
نکته: تکیه نمودن به فرهنگ بصورت کامل هم مفید نیست و درصورت لزوم باید کنترل امنیتی فیزیکی یا منطقی طراحی و اجرا کرد.
ارائه مشاوره ساختار سازمانی و ارتقای فرهنگ امنیت سایبری سازمان www.haumoun.com
👏4💯3❤1👍1
وقتی یک «در» را می‌بندیم، مهاجم از دیوار می‌آید!
مایکروسافت wmic.exe را بازنشسته کرد. آیا مهاجم‌ها دیگر نمی‌توانند از WMI سوءاستفاده کنند؟
❌ خیر! فقط آچارشان عوض شده.
دیروز:
bash
wmic process call create "calc.exe"
امروز:
powershell
Invoke-WmiMethod -Class Win32_Process -Name Create -ArgumentList "calc.exe"
📌 واقعیت: WMI سرویس و API هنوز فعال است. PowerShell، VBScript، C# یا حتی Python همچنان می‌توانند همان عملیات را انجام دهند — حتی بهتر و بی‌سروصداتر.
🚨 تهدید را حذف نکردیم، فقط شکلش را عوض کردیم. پایش (Monitoring) WMI API هنوز از نان شب واجب‌تر است.
#Security #ThreatDetection #آکادمی_روزبه #EDR #CyberSecurity #WMI
مرجع:
https://lnkd.in/gUSGHkmc
https://lnkd.in/p/gyZxuf_
مایکروسافت wmic.exe را بازنشسته کرد. آیا مهاجم‌ها دیگر نمی‌توانند از WMI سوءاستفاده کنند؟
❌ خیر! فقط آچارشان عوض شده.
دیروز:
bash
wmic process call create "calc.exe"
امروز:
powershell
Invoke-WmiMethod -Class Win32_Process -Name Create -ArgumentList "calc.exe"
📌 واقعیت: WMI سرویس و API هنوز فعال است. PowerShell، VBScript، C# یا حتی Python همچنان می‌توانند همان عملیات را انجام دهند — حتی بهتر و بی‌سروصداتر.
🚨 تهدید را حذف نکردیم، فقط شکلش را عوض کردیم. پایش (Monitoring) WMI API هنوز از نان شب واجب‌تر است.
#Security #ThreatDetection #آکادمی_روزبه #EDR #CyberSecurity #WMI
مرجع:
https://lnkd.in/gUSGHkmc
https://lnkd.in/p/gyZxuf_
lnkd.in
LinkedIn
This link will take you to a page that’s not on LinkedIn
❤5💯4
آکادمی آموزش روزبه 📚 pinned «#استخدام کارشناس سرویس های امنیتی تسلط به یک EDR تسلط به LPIC1 تسلط به Security plus یا SSCP تسلط به CEH یا سنز 504 تسلط به شبکه در حد CCNA دوسال سابقه اجرایی توانایی مطالعه و تحقیق بر روی محصولات EDR و XDR روز دنیا انجام کار تیمی تحصیلات : دیپلم …»
نقش تفکر نقادانه، تحلیلی و سیستمی در مبارزه با جرایم رایانه‌ای
روزبه نوروزی
در دنیای امروز که لایه‌های فیزیکی، دیجیتال و روان‌شناختی به طور پیچیده‌ای درهم تنیده شده‌اند، مقابله با جرایم رایانه‌ای فراتر از یک مسئله فنی است و به چالشی فلسفی، اجتماعی و سیستمی تبدیل شده. این جرایم، از فیشینگ و ransomware تا حملات APT، ضعف‌های انسانی و سازمانی را هدف می‌گیرند. متخصصان امنیت سایبری باید با مهارت‌های ذهنی؛ مانند تفکر نقادانه، تحلیلی و سیستمی مجهز شوند تا تهدیدها را پیش‌بینی و خنثی کنند.
✅️تفکر نقادانه نقطه شروع است؛ این مهارت شامل پرسشگری هوشمندانه، تشخیص مغالطات و ارزیابی شواهد پیش از پذیرش ادعاها می‌شود.
بدون آن، تحلیلگران قربانی اطلاعات گمراه‌کننده می‌شوند. مثلاً در حمله فیشینگ، این تفکر کمک میکند ایمیل مشکوک را بر پایه لینک‌ها و منبع ارزیابی کنیم، نه ظاهر.
✅️تفکر تحلیلی گام بعدی است؛ داده‌های خام را به الگوها و insights تبدیل میکند.
در جرایم سایبری، این مهارت سیگنال‌های ضعیف را در میان نویز شناسایی میکند، مانند ردپای حمله در میلیون‌ها لاگ. ابزارهایی مانند SIEM یا AI (یادگیری ماشین برای تشخیص ناهنجاری‌ها) این فرآیند را تسهیل می‌کنند، اما بدون تحلیل انسانی، ناکارآمدند. برای مثال، در حمله DDoS، الگوهای ترافیک را تجزیه و منبع را ردیابی میکند.
✅️تفکر سیستمی نقطه اوج است؛ جرایم را در اکوسیستم پیچیده فناوری، انسان، اقتصاد و قانون می‌بیند.
حلقه‌های بازخورد و اثرات دومینو را پیش‌بینی میکند. جلوگیری از فیشینگ نه تنها با مسدود کردن ایمیل، بلکه با آموزش کارکنان و اصلاح سیاست‌های منابع انسانی محقق می‌شود. در سطح کلان، به طراحی سیستم‌های resilient مانند ادغام blockchain کمک میکند.
ترکیب این مهارت‌ها متخصص را از واکنش‌گر به معمار پیش‌دست تبدیل میکند؛ حوادث را حل و زمینه وقوع را حذف میکند. آموزش آنها در گواهینامه‌هایی مانند CISSPضروری است، به ویژه با ضررهای جهانی بیش از ۶ تریلیون دلار سالانه (طبق Interpol). سرمایه‌گذاری روی این مهارت‌ها امنیت را استراتژیک می‌سازد.
تفکر نقادانه ، تحلیلی و سیستمی را آموزش دهیم
#آکادمی_روزبه
روزبه نوروزی
در دنیای امروز که لایه‌های فیزیکی، دیجیتال و روان‌شناختی به طور پیچیده‌ای درهم تنیده شده‌اند، مقابله با جرایم رایانه‌ای فراتر از یک مسئله فنی است و به چالشی فلسفی، اجتماعی و سیستمی تبدیل شده. این جرایم، از فیشینگ و ransomware تا حملات APT، ضعف‌های انسانی و سازمانی را هدف می‌گیرند. متخصصان امنیت سایبری باید با مهارت‌های ذهنی؛ مانند تفکر نقادانه، تحلیلی و سیستمی مجهز شوند تا تهدیدها را پیش‌بینی و خنثی کنند.
✅️تفکر نقادانه نقطه شروع است؛ این مهارت شامل پرسشگری هوشمندانه، تشخیص مغالطات و ارزیابی شواهد پیش از پذیرش ادعاها می‌شود.
بدون آن، تحلیلگران قربانی اطلاعات گمراه‌کننده می‌شوند. مثلاً در حمله فیشینگ، این تفکر کمک میکند ایمیل مشکوک را بر پایه لینک‌ها و منبع ارزیابی کنیم، نه ظاهر.
✅️تفکر تحلیلی گام بعدی است؛ داده‌های خام را به الگوها و insights تبدیل میکند.
در جرایم سایبری، این مهارت سیگنال‌های ضعیف را در میان نویز شناسایی میکند، مانند ردپای حمله در میلیون‌ها لاگ. ابزارهایی مانند SIEM یا AI (یادگیری ماشین برای تشخیص ناهنجاری‌ها) این فرآیند را تسهیل می‌کنند، اما بدون تحلیل انسانی، ناکارآمدند. برای مثال، در حمله DDoS، الگوهای ترافیک را تجزیه و منبع را ردیابی میکند.
✅️تفکر سیستمی نقطه اوج است؛ جرایم را در اکوسیستم پیچیده فناوری، انسان، اقتصاد و قانون می‌بیند.
حلقه‌های بازخورد و اثرات دومینو را پیش‌بینی میکند. جلوگیری از فیشینگ نه تنها با مسدود کردن ایمیل، بلکه با آموزش کارکنان و اصلاح سیاست‌های منابع انسانی محقق می‌شود. در سطح کلان، به طراحی سیستم‌های resilient مانند ادغام blockchain کمک میکند.
ترکیب این مهارت‌ها متخصص را از واکنش‌گر به معمار پیش‌دست تبدیل میکند؛ حوادث را حل و زمینه وقوع را حذف میکند. آموزش آنها در گواهینامه‌هایی مانند CISSPضروری است، به ویژه با ضررهای جهانی بیش از ۶ تریلیون دلار سالانه (طبق Interpol). سرمایه‌گذاری روی این مهارت‌ها امنیت را استراتژیک می‌سازد.
تفکر نقادانه ، تحلیلی و سیستمی را آموزش دهیم
#آکادمی_روزبه
❤5💯4
در این مقاله، نویسنده معرفی میکند که چطور ابزار جدیدی به نام EDR-Freeze می‌تواند فرآیندهای EDR و آنتی‌ویروس را عمداً به حالت «کما» یا تعلیق کامل ببرد.
روش سنتی هکرها برای خاموش کردن این ابزارها، تکنیک BYOVD (Bring Your Own Vulnerable Driver) بود که نیاز داشت درایور آسیب‌پذیر روی سیستم نصب کنند یا اجرا کنند. اما این کار پرهزینه و پیچیده است.
اینجا، نویسنده رویکرد ساده‌تری را توضیح می‌دهد: استفاده از قابلیت موجود در ویندوز به اسم Windows Error Reporting و تابع MiniDumpWriteDump که برای گرفتن مینی‌دامپ از یک پروسه طراحی شده است. نکته کلیدی این تابع این است که همه نخ‌های (threads) آن پروسه را در هنگام گرفتن دامپ متوقف میکند.
مشکل اول، این توقف معمولاً خیلی کوتاه است. برای طولانی کردن آن، نویسنده سراغ اجرای WerFaultSecure.exe رفت — ابزاری که می‌تواند با سطح حفاظت PPL (Protected Process Light) کار کند. این حفاظت مخصوص فرآیندهای حساس مثل آنتی‌ویروس و EDR است.
با ترکیب این ابزار با تکنیک‌های ایجاد پروسه معلق (CREATE_SUSPENDED) و استفاده از OpenProcess با مجوز PROCESS_SUSPEND_RESUME، می‌توان نه تنها فرآیندهای عادی بلکه فرآیندهای PPL را هم متوقف کرد. حتی اشاره میکند که با ابزار ساده‌ای مثل Process Explorer، محققان امنیتی می‌توانند این کار را به راحتی انجام دهند.
خلاصه، این حمله:
نیازی به درایور خارجی یا آسیب‌پذیر ندارد.
از توابع کاربر-مد (user-mode) ویندوز استفاده میکند.
می‌تواند سیستم‌های محافظت‌شده مثل آنتی‌ویروس یا EDR را بی‌صدا متوقف کند، بدون حذف یا کرش کردن آنها.
این رویکرد، اگرچه در مقاله بیشتر به عنوان یک تحقیق یا ترفند رِد تیم ذکر شده، نشان می‌دهد که چطور قابلیت‌های بومی ویندوز می‌توانند نقطه آسیب غیرمنتظره‌ای برای دفاع‌کنندگان باشند.
https://www.zerosalarium.com/2025/09/EDR-Freeze-Puts-EDRs-Antivirus-Into-Coma.html?m=1
روش سنتی هکرها برای خاموش کردن این ابزارها، تکنیک BYOVD (Bring Your Own Vulnerable Driver) بود که نیاز داشت درایور آسیب‌پذیر روی سیستم نصب کنند یا اجرا کنند. اما این کار پرهزینه و پیچیده است.
اینجا، نویسنده رویکرد ساده‌تری را توضیح می‌دهد: استفاده از قابلیت موجود در ویندوز به اسم Windows Error Reporting و تابع MiniDumpWriteDump که برای گرفتن مینی‌دامپ از یک پروسه طراحی شده است. نکته کلیدی این تابع این است که همه نخ‌های (threads) آن پروسه را در هنگام گرفتن دامپ متوقف میکند.
مشکل اول، این توقف معمولاً خیلی کوتاه است. برای طولانی کردن آن، نویسنده سراغ اجرای WerFaultSecure.exe رفت — ابزاری که می‌تواند با سطح حفاظت PPL (Protected Process Light) کار کند. این حفاظت مخصوص فرآیندهای حساس مثل آنتی‌ویروس و EDR است.
با ترکیب این ابزار با تکنیک‌های ایجاد پروسه معلق (CREATE_SUSPENDED) و استفاده از OpenProcess با مجوز PROCESS_SUSPEND_RESUME، می‌توان نه تنها فرآیندهای عادی بلکه فرآیندهای PPL را هم متوقف کرد. حتی اشاره میکند که با ابزار ساده‌ای مثل Process Explorer، محققان امنیتی می‌توانند این کار را به راحتی انجام دهند.
خلاصه، این حمله:
نیازی به درایور خارجی یا آسیب‌پذیر ندارد.
از توابع کاربر-مد (user-mode) ویندوز استفاده میکند.
می‌تواند سیستم‌های محافظت‌شده مثل آنتی‌ویروس یا EDR را بی‌صدا متوقف کند، بدون حذف یا کرش کردن آنها.
این رویکرد، اگرچه در مقاله بیشتر به عنوان یک تحقیق یا ترفند رِد تیم ذکر شده، نشان می‌دهد که چطور قابلیت‌های بومی ویندوز می‌توانند نقطه آسیب غیرمنتظره‌ای برای دفاع‌کنندگان باشند.
https://www.zerosalarium.com/2025/09/EDR-Freeze-Puts-EDRs-Antivirus-Into-Coma.html?m=1
Zerosalarium
EDR-Freeze: A Tool That Puts EDRs And Antivirus Into A Coma State
EDR-Freeze exploits the vulnerability of WerFaultSecure to suspend the processes of EDRs and Antimalware, halting the operation of Antivirus and EDR
❤7🔥3
آکادمی آموزش روزبه 📚
در این مقاله، نویسنده معرفی میکند که چطور ابزار جدیدی به نام EDR-Freeze می‌تواند فرآیندهای EDR و آنتی‌ویروس را عمداً به حالت «کما» یا تعلیق کامل ببرد. روش سنتی هکرها برای خاموش کردن این ابزارها، تکنیک BYOVD (Bring Your Own Vulnerable Driver) بود که نیاز…
تست کنید 🔴 آیا EDR و XDR شما دور میخورد؟ راهکار چیست ؟
💯3🔥2👨💻2
از AMSI تا Persist — زنجیره‌ی بای‌پس و بازی دفاعی ما
بیاین یه سناریو رو بررسی کنیم که در کلاس سنز ۵۹۹ هفته پیش بخشی از تمرین بود
گاهی مهاجمان فقط یک مکانیزم امنیتی را بای‌پس نمی‌کنند؛ آنها زنجیره‌ای می‌سازند تا همه‌چیز بی‌صدا پیش برود.
مرحله ۱ – Bypass AMSI
با یک patch کوچک در حافظه، فراخوانی AmsiScanBuffer غیرفعال می‌شود. نتیجه؟ PowerShell مخرب بدون اسکن اولیه اجرا می‌شود.
وIOC: بارگذاری غیرعادی clr.dll یا تغییر در حافظه‌ی ماژول amsi.dll.
مرحله ۲ – Freeze EDR
اجرای werfault.exe (LOLBin) برای جمع‌آوری dump از LSASS، اما با استفاده از MiniDumpWriteDump در مسیر Windows Error Reporting تا آنتی‌ویروس خواب بماند.
وIOC: اجرای غیرمنتظره‌ی WerFault با پارامترهای custom.
مرحله ۳ – Persistence لایه‌دار
پس از دسترسی، مهاجم یک Scheduled Task یا Run Key رجیستری می‌سازد.
وIOC: تغییرات در HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run.
دفاع ما چی میتونه باشه ؟
Sysmon: Event ID 1, 7, 11, 23, 25
YARA:
شناسایی توابع patch شده
EDR Telemetry:
همبستگی Load DLL مشکوک با LOLBinهای سیستم
در کلاس جمع بندی کردیم که :
امنیت یعنی شکستن این زنجیره قبل از کامل شدنش
در سناریوی بای‌پس چندمرحله‌ای که در تصویر نشان داده شده، نتیجه‌ی نهایی این است که مهاجم بدون شناسایی شدن می‌تواند کد مخربش را اجرا، اعتبارنامه‌ها را برداشت و ماندگاری ایجاد کند.
#آکادمی_روزبه
Www.haumoun.com
بیاین یه سناریو رو بررسی کنیم که در کلاس سنز ۵۹۹ هفته پیش بخشی از تمرین بود
گاهی مهاجمان فقط یک مکانیزم امنیتی را بای‌پس نمی‌کنند؛ آنها زنجیره‌ای می‌سازند تا همه‌چیز بی‌صدا پیش برود.
مرحله ۱ – Bypass AMSI
با یک patch کوچک در حافظه، فراخوانی AmsiScanBuffer غیرفعال می‌شود. نتیجه؟ PowerShell مخرب بدون اسکن اولیه اجرا می‌شود.
وIOC: بارگذاری غیرعادی clr.dll یا تغییر در حافظه‌ی ماژول amsi.dll.
مرحله ۲ – Freeze EDR
اجرای werfault.exe (LOLBin) برای جمع‌آوری dump از LSASS، اما با استفاده از MiniDumpWriteDump در مسیر Windows Error Reporting تا آنتی‌ویروس خواب بماند.
وIOC: اجرای غیرمنتظره‌ی WerFault با پارامترهای custom.
مرحله ۳ – Persistence لایه‌دار
پس از دسترسی، مهاجم یک Scheduled Task یا Run Key رجیستری می‌سازد.
وIOC: تغییرات در HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run.
دفاع ما چی میتونه باشه ؟
Sysmon: Event ID 1, 7, 11, 23, 25
YARA:
شناسایی توابع patch شده
EDR Telemetry:
همبستگی Load DLL مشکوک با LOLBinهای سیستم
در کلاس جمع بندی کردیم که :
امنیت یعنی شکستن این زنجیره قبل از کامل شدنش
در سناریوی بای‌پس چندمرحله‌ای که در تصویر نشان داده شده، نتیجه‌ی نهایی این است که مهاجم بدون شناسایی شدن می‌تواند کد مخربش را اجرا، اعتبارنامه‌ها را برداشت و ماندگاری ایجاد کند.
#آکادمی_روزبه
Www.haumoun.com
❤5⚡3
عبور از مرزها؛ مهارتی فراموش‌شده در امنیت اطلاعات
در دنیای امروز، موفقیت یک متخصص امنیت اطلاعات فقط به دانش فنی یا تسلط بر استانداردها محدود نمی‌شود. دارندگان گواهی CISSP از نگاه ISC2 باید یک مهارت کلیدی را در خود تقویت کنند: توانایی کار مؤثر در محیط‌هایی که پر از “مرز” و “تفکیک” است -- مرزهای سازمانی، سیاسی، قانونی و بازار.
مرز سازمانی وقتی شکل می‌گیرد که بخش‌های مختلف یک سازمان اولویت‌های متفاوت دارند؛ مثلاً تیم IT به دنبال سرعت و به‌روزرسانی است، در حالی که بخش مالی بر کنترل هزینه تمرکز دارد. یک CISSP موفق پلی بین این اهداف می‌سازد تا پروژه‌های امنیتی بدون اصطکاک پیش بروند.
مرز سیاسی گاهی نامرئی اما اثرگذار است. اختلاف نفوذ مدیران، رقابت بر سر بودجه، یا حساسیت‌های فرهنگی بین تیم‌ها می‌تواند هر طرحی را متوقف کند. نقش حرفه‌ای امنیت اینجا، هدایت تعاملات با درک دینامیک قدرت و ایجاد اعتماد است.
مرز قانونی و مقرراتی از سوی دولت‌ها و نهادهای نظارتی تحمیل می‌شود. قوانین امنیتی در صنایع یا کشورها متفاوت است: از GDPR اروپا تا افتا و فتای کشور. CISSP باید توان درک تفاوت‌ها و ترجمه آنها به سیاست‌های اجرایی سازگار داشته باشد.
مرز بازار نیز چالش‌برانگیز است. هر بخش صنعتی، مشتریان و رقابتی منحصر‌به‌فرد دارد. امنیت باید با نیازهای واقعی بازار هم‌راستا شود، نه فقط به‌عنوان هزینه، بلکه به عنوان مزیت رقابتی.
در عمل، عبور موفق از این مرزها یعنی تبدیل شدن به یک Integrator -- کسی که امنیت را در همه ابعاد سازمان و محیط پیرامونش جا می‌اندازد.
✅ این مهارت همان عامل تمایز یک CISSP واقعی است: ترکیب دانش فنی با هوش سازمانی، سیاسی، و تجاری.
دوره زمستان CISSP
Www.haumoun.com
Www.Roozbeh.academy
واتس اپ 09902857290
#آکادمی_روزبه
در دنیای امروز، موفقیت یک متخصص امنیت اطلاعات فقط به دانش فنی یا تسلط بر استانداردها محدود نمی‌شود. دارندگان گواهی CISSP از نگاه ISC2 باید یک مهارت کلیدی را در خود تقویت کنند: توانایی کار مؤثر در محیط‌هایی که پر از “مرز” و “تفکیک” است -- مرزهای سازمانی، سیاسی، قانونی و بازار.
مرز سازمانی وقتی شکل می‌گیرد که بخش‌های مختلف یک سازمان اولویت‌های متفاوت دارند؛ مثلاً تیم IT به دنبال سرعت و به‌روزرسانی است، در حالی که بخش مالی بر کنترل هزینه تمرکز دارد. یک CISSP موفق پلی بین این اهداف می‌سازد تا پروژه‌های امنیتی بدون اصطکاک پیش بروند.
مرز سیاسی گاهی نامرئی اما اثرگذار است. اختلاف نفوذ مدیران، رقابت بر سر بودجه، یا حساسیت‌های فرهنگی بین تیم‌ها می‌تواند هر طرحی را متوقف کند. نقش حرفه‌ای امنیت اینجا، هدایت تعاملات با درک دینامیک قدرت و ایجاد اعتماد است.
مرز قانونی و مقرراتی از سوی دولت‌ها و نهادهای نظارتی تحمیل می‌شود. قوانین امنیتی در صنایع یا کشورها متفاوت است: از GDPR اروپا تا افتا و فتای کشور. CISSP باید توان درک تفاوت‌ها و ترجمه آنها به سیاست‌های اجرایی سازگار داشته باشد.
مرز بازار نیز چالش‌برانگیز است. هر بخش صنعتی، مشتریان و رقابتی منحصر‌به‌فرد دارد. امنیت باید با نیازهای واقعی بازار هم‌راستا شود، نه فقط به‌عنوان هزینه، بلکه به عنوان مزیت رقابتی.
در عمل، عبور موفق از این مرزها یعنی تبدیل شدن به یک Integrator -- کسی که امنیت را در همه ابعاد سازمان و محیط پیرامونش جا می‌اندازد.
✅ این مهارت همان عامل تمایز یک CISSP واقعی است: ترکیب دانش فنی با هوش سازمانی، سیاسی، و تجاری.
دوره زمستان CISSP
Www.haumoun.com
Www.Roozbeh.academy
واتس اپ 09902857290
#آکادمی_روزبه
❤8👏3
نقش ممیزی تماس‌های ضبط‌شده در ارتقای امنیت سازمان و مقابله با تخلیه اطلاعاتی در سازمانهای حساس
مقدمه
در عصر افزایش تهدیدات سایبری، بسیاری از سازمان‌ها تمرکز خود را بر حفاظت از شبکه، سرورها و پایگاه داده‌ها گذاشته‌اند. اما کانال‌های انسانی مانند تماس‌های تلفنی یا VoIP اغلب به‌عنوان مسیرهای کم‌اهمیت یا بدون ریسک در نظر گرفته می‌شوند، در حالی که مهندسی اجتماعی و سوءاستفاده از گفت‌وگو قادر است اطلاعات حیاتی را از سازمان خارج کند. ممیزی تماس‌های ضبط‌شده یک ابزار کلیدی برای شناسایی این ریسک و تقویت دفاع انسانی است.
ضرورت ممیزی تماس‌ها
رواج مهندسی اجتماعی: مهاجم می‌تواند با تماس تلفنی تدریجی و پرسش‌های هدفمند، اطلاعات طبقه‌بندی‌شده را استخراج کند.
مشاهده‌ناپذیری تهدید انسانی: برخلاف حملات فنی که توسط ابزارهای IDS/IPS رصد می‌شوند، تخلیه اطلاعاتی انسانی در سکوت و با بی‌خبری تیم امنیت رخ می‌دهد.
مسیرهای جانبی خروج اطلاعات: حتی بدون ارسال ایمیل یا اتصال USB، یک تماس می‌تواند اطلاعات حساس را به خارج منتقل کند.
مزایای ممیزی تماس‌های ضبط‌شده
شناسایی الگوهای مشکوک: بررسی حجم، محتوای و ترتیب پرسش‌ها برای کشف تاکتیک‌های مهندسی اجتماعی.
ارزیابی اثربخشی آموزش‌ها: سنجش عملکرد کارکنان در مواجهه با تماس‌های غیرمجاز یا درخواست‌های اطلاعات حساس.
تقویت سیاست‌های امنیتی: یافتن نقاط ضعف در فرآیند احراز هویت تماس‌گیرندگان.
تهیه شواهد قانونی: در صورت بروز حادثه امنیتی، تماس‌ها می‌توانند مسیر و جزئیات افشای داده را مستند کنند.
الزامات اجرایی
زیرساخت ضبط با کیفیت بالا: اطمینان از ذخیره‌سازی امن، رمزگذاری و جلوگیری از دسترسی غیرمجاز به فایل‌های صوتی.
تحلیل محتوای مکالمه: استفاده از فناوری‌های Speech-to-Text و NLP برای پایش خودکار کلمات کلیدی حساس.
چارچوب ممیزی دوره‌ای: تدوین بازه‌های زمانی مشخص برای مرور و تحلیل تماس‌ها، همراه با معیارهای سنجش RAG (Red-Amber-Green).
آموزش و بازخورد: نتایج ممیزی باید به آموزش‌های هدفمند و اصلاح سیاست‌های امنیتی منجر شود
مهم
تبصره ۱:درمورد چالش های حریم شخصی و مسائل اخلاقی در پست آینده که لینکش را اینجا میگذارم خواهم نوشت
تبصره ۲: انجام این شیوه از حفاظت باید مشتق از منشور امنیتی و مستر پلن و سیاست های سازمان باشد و تمامی ضوابط لازم درنظر گرفته شده باشند که ارتباط مستقیمی با ریسک سازمان دارد
#آکادمی_روزبه
مقدمه
در عصر افزایش تهدیدات سایبری، بسیاری از سازمان‌ها تمرکز خود را بر حفاظت از شبکه، سرورها و پایگاه داده‌ها گذاشته‌اند. اما کانال‌های انسانی مانند تماس‌های تلفنی یا VoIP اغلب به‌عنوان مسیرهای کم‌اهمیت یا بدون ریسک در نظر گرفته می‌شوند، در حالی که مهندسی اجتماعی و سوءاستفاده از گفت‌وگو قادر است اطلاعات حیاتی را از سازمان خارج کند. ممیزی تماس‌های ضبط‌شده یک ابزار کلیدی برای شناسایی این ریسک و تقویت دفاع انسانی است.
ضرورت ممیزی تماس‌ها
رواج مهندسی اجتماعی: مهاجم می‌تواند با تماس تلفنی تدریجی و پرسش‌های هدفمند، اطلاعات طبقه‌بندی‌شده را استخراج کند.
مشاهده‌ناپذیری تهدید انسانی: برخلاف حملات فنی که توسط ابزارهای IDS/IPS رصد می‌شوند، تخلیه اطلاعاتی انسانی در سکوت و با بی‌خبری تیم امنیت رخ می‌دهد.
مسیرهای جانبی خروج اطلاعات: حتی بدون ارسال ایمیل یا اتصال USB، یک تماس می‌تواند اطلاعات حساس را به خارج منتقل کند.
مزایای ممیزی تماس‌های ضبط‌شده
شناسایی الگوهای مشکوک: بررسی حجم، محتوای و ترتیب پرسش‌ها برای کشف تاکتیک‌های مهندسی اجتماعی.
ارزیابی اثربخشی آموزش‌ها: سنجش عملکرد کارکنان در مواجهه با تماس‌های غیرمجاز یا درخواست‌های اطلاعات حساس.
تقویت سیاست‌های امنیتی: یافتن نقاط ضعف در فرآیند احراز هویت تماس‌گیرندگان.
تهیه شواهد قانونی: در صورت بروز حادثه امنیتی، تماس‌ها می‌توانند مسیر و جزئیات افشای داده را مستند کنند.
الزامات اجرایی
زیرساخت ضبط با کیفیت بالا: اطمینان از ذخیره‌سازی امن، رمزگذاری و جلوگیری از دسترسی غیرمجاز به فایل‌های صوتی.
تحلیل محتوای مکالمه: استفاده از فناوری‌های Speech-to-Text و NLP برای پایش خودکار کلمات کلیدی حساس.
چارچوب ممیزی دوره‌ای: تدوین بازه‌های زمانی مشخص برای مرور و تحلیل تماس‌ها، همراه با معیارهای سنجش RAG (Red-Amber-Green).
آموزش و بازخورد: نتایج ممیزی باید به آموزش‌های هدفمند و اصلاح سیاست‌های امنیتی منجر شود
مهم
تبصره ۱:درمورد چالش های حریم شخصی و مسائل اخلاقی در پست آینده که لینکش را اینجا میگذارم خواهم نوشت
تبصره ۲: انجام این شیوه از حفاظت باید مشتق از منشور امنیتی و مستر پلن و سیاست های سازمان باشد و تمامی ضوابط لازم درنظر گرفته شده باشند که ارتباط مستقیمی با ریسک سازمان دارد
#آکادمی_روزبه
❤6💯3
امروز جلسه پنجم CISSP برگزار شد
دوره بعدی دیماه
واتس اپ 09902857290
دوره بعدی دیماه
واتس اپ 09902857290
❤3
مواظب باشید!!
چارچوب MITRE ATT&CK یک فهرست از تکنیک‌ها و روش‌های حمله است که به ما کمک میکند تهدیدات را شناسایی و دفاع کنیم.
مشکل اینجاست که بعضی سازمان‌ها فقط نگاه می‌کنند ببینند چند تکنیک را پوشش داده‌اند و با افتخار می‌گویند «ما کامل هستیم»؛ در حالی که واقعیت فرق دارد.
یک تکنیک مثل Credential Dumping (دزدیدن اطلاعات ورود) را می‌شود به ده‌ها روش مختلف اجرا کرد، مثلاً:
با ابزارهای آماده مثل Mimikatz
با اسکریپت Powershell
با تزریق کد در یک پروسه
با استفاده از APIهای ویندوز
اگر سیستم شما فقط با Mimikatz مقابله کند، به این معنی نیست که همه روش‌های Credential Dumping را پوشش داده‌اید.
#آکادمی_روزبه
چارچوب MITRE ATT&CK یک فهرست از تکنیک‌ها و روش‌های حمله است که به ما کمک میکند تهدیدات را شناسایی و دفاع کنیم.
مشکل اینجاست که بعضی سازمان‌ها فقط نگاه می‌کنند ببینند چند تکنیک را پوشش داده‌اند و با افتخار می‌گویند «ما کامل هستیم»؛ در حالی که واقعیت فرق دارد.
یک تکنیک مثل Credential Dumping (دزدیدن اطلاعات ورود) را می‌شود به ده‌ها روش مختلف اجرا کرد، مثلاً:
با ابزارهای آماده مثل Mimikatz
با اسکریپت Powershell
با تزریق کد در یک پروسه
با استفاده از APIهای ویندوز
اگر سیستم شما فقط با Mimikatz مقابله کند، به این معنی نیست که همه روش‌های Credential Dumping را پوشش داده‌اید.
#آکادمی_روزبه
❤13
راهکار برای ایجاد چارچوب ملی برای «اطلاعات حساس غیرطبقه‌بندی شده»
۱-اطلاعات بسیاری در کشور وجود دارند که برای طبقه بندی آنها فکری نشده است یا اگر دسته بندی هم دارند نانوشته و غیر فرمال است که این یک خطر جدی برای امنیت در دستگاه‌های دولتی و وابسته ایجاد میکند .
با الگو گیری از دستور اجرایی سال ۲۰۰۸ در آمریکا برای ایجاد دسته
Controlled Unclassified Information
مطالب زیر را بعنوان راهکار برای وضع موجود در کشور ارائه میدهم.
**تعریف رسمی از «اطلاعات حساس» که طبقه‌بندی محرمانه، سری و فوق سری ندارند اما افشایشان آسیب‌زا است (مثل داده‌های عملیاتی، سوابق اداری، داده‌های کاربران).
** تعیین مسئولیت قانونی برای نهادها جهت برچسب‌گذاری این نوع اطلاعات.
** تدوین استاندارد مشترک برای اشتراک‌گذاری امن بین سازمان‌ها (هم دولتی هم شبه‌دولتی).
۲. طراحی نظام سه‌سطحی یا چند‌سطحی حفاظتی
سطح پایه: فقط اقدامات استاندارد (کنترل دسترسی، رمزگذاری ساده، ثبت لاگ)
سطح مشخص‌سازی شده: حفاظت اضافه برای کاهش خطر افشای تصادفی (مانند آموزش کاربر، کنترل کانال‌های انتشار، بررسی قبل از ارسال)
سطح تقویت‌شده: کنترل سخت‌گیرانه شامل رمزنگاری پیشرفته، احراز هویت چندمرحله‌ای، ممیزی دوره‌ای، و محدودیت شدید انتشار
📌 پیشنهاد: این سطح‌بندی باید به ارزیابی ریسک و اهمیت داده وابسته باشد، نه صرفاً به دسته‌بندی سازمان.
۳. الزام به مستندسازی و ممیزی دوره‌ای
هر سازمان باید فهرست اطلاعات حساس غیرطبقه‌بندی‌شده خود را به‌روز نگه دارد.
ممیزی‌ها باید هم وضعیت حفاظت و هم فرآیند انتشار را بررسی کنند.
وجود یک مرکز ملی نظارت و راهنمایی (شبیه Information Sharing Council) برای پایش این دسته داده‌ها.
۴. فرهنگ‌سازی و آموزش
آموزش کارکنان در شناخت این نوع اطلاعات و قواعد انتشار آنها
طراحی کمپین‌های داخلی در نهادها (پوستر، ویدئو، جلسات کوتاه) درباره خطرات افشای داده حساس غیرطبقه‌بندی‌شده
۵. زیرساخت فنی مشترک
ایجاد پلتفرم امن ملی برای اشتراک‌گذاری این نوع داده‌ها بین نهادها
مشخص‌کردن پروتکل‌های ارتباطی استاندارد، logging مرکزی، و سیستم‌های هشدار خودکار برای انتشارهای غیرمجاز
امید که این ایده مورد استفاده قرار گیرد .
روزبه نوروزی
۴ مهر ۱۴۰۴
منبع: سرفصل دوره CISSP و دستورالعمل اجرایی نهایی در سال ۲۰۱۰
https://obamawhitehouse.archives.gov/the-press-office/2010/11/04/executive-order-13556-controlled-unclassified-information
۱-اطلاعات بسیاری در کشور وجود دارند که برای طبقه بندی آنها فکری نشده است یا اگر دسته بندی هم دارند نانوشته و غیر فرمال است که این یک خطر جدی برای امنیت در دستگاه‌های دولتی و وابسته ایجاد میکند .
با الگو گیری از دستور اجرایی سال ۲۰۰۸ در آمریکا برای ایجاد دسته
Controlled Unclassified Information
مطالب زیر را بعنوان راهکار برای وضع موجود در کشور ارائه میدهم.
**تعریف رسمی از «اطلاعات حساس» که طبقه‌بندی محرمانه، سری و فوق سری ندارند اما افشایشان آسیب‌زا است (مثل داده‌های عملیاتی، سوابق اداری، داده‌های کاربران).
** تعیین مسئولیت قانونی برای نهادها جهت برچسب‌گذاری این نوع اطلاعات.
** تدوین استاندارد مشترک برای اشتراک‌گذاری امن بین سازمان‌ها (هم دولتی هم شبه‌دولتی).
۲. طراحی نظام سه‌سطحی یا چند‌سطحی حفاظتی
سطح پایه: فقط اقدامات استاندارد (کنترل دسترسی، رمزگذاری ساده، ثبت لاگ)
سطح مشخص‌سازی شده: حفاظت اضافه برای کاهش خطر افشای تصادفی (مانند آموزش کاربر، کنترل کانال‌های انتشار، بررسی قبل از ارسال)
سطح تقویت‌شده: کنترل سخت‌گیرانه شامل رمزنگاری پیشرفته، احراز هویت چندمرحله‌ای، ممیزی دوره‌ای، و محدودیت شدید انتشار
📌 پیشنهاد: این سطح‌بندی باید به ارزیابی ریسک و اهمیت داده وابسته باشد، نه صرفاً به دسته‌بندی سازمان.
۳. الزام به مستندسازی و ممیزی دوره‌ای
هر سازمان باید فهرست اطلاعات حساس غیرطبقه‌بندی‌شده خود را به‌روز نگه دارد.
ممیزی‌ها باید هم وضعیت حفاظت و هم فرآیند انتشار را بررسی کنند.
وجود یک مرکز ملی نظارت و راهنمایی (شبیه Information Sharing Council) برای پایش این دسته داده‌ها.
۴. فرهنگ‌سازی و آموزش
آموزش کارکنان در شناخت این نوع اطلاعات و قواعد انتشار آنها
طراحی کمپین‌های داخلی در نهادها (پوستر، ویدئو، جلسات کوتاه) درباره خطرات افشای داده حساس غیرطبقه‌بندی‌شده
۵. زیرساخت فنی مشترک
ایجاد پلتفرم امن ملی برای اشتراک‌گذاری این نوع داده‌ها بین نهادها
مشخص‌کردن پروتکل‌های ارتباطی استاندارد، logging مرکزی، و سیستم‌های هشدار خودکار برای انتشارهای غیرمجاز
امید که این ایده مورد استفاده قرار گیرد .
روزبه نوروزی
۴ مهر ۱۴۰۴
منبع: سرفصل دوره CISSP و دستورالعمل اجرایی نهایی در سال ۲۰۱۰
https://obamawhitehouse.archives.gov/the-press-office/2010/11/04/executive-order-13556-controlled-unclassified-information
whitehouse.gov
Executive Order 13556 -- Controlled Unclassified Information
By the authority vested in me as President by the Constitution and the laws of the United States of America, it is hereby ordered as follows:
💯4❤2
این مقاله از Trainsec درباره Process Snapshotting در ویندوز توضیح می‌دهد که چگونه این قابلیت از نسخه‌های جدید ویندوز معرفی شد تا امکان گرفتن تصویر (Snapshot) از وضعیت یک پروسس فعال برای اهدافی مانند اشکال‌زدایی، مانیتورینگ یا تحلیل امنیتی فراهم شود.
در این روش، سیستم‌عامل می‌تواند بدون متوقف کردن کامل فرآیند، یک کپی از حافظه، رجیسترها، وضعیت تردها و دیگر ساختارهای داخلی آن ایجاد کند. این کار با استفاده از API جدیدی به نام PssCaptureSnapshot انجام می‌شود که در کتابخانه Kernel32.dll قرار دارد. توسعه‌دهندگان یا محققان امنیت می‌توانند با این API به داده‌هایی مانند Thread Context، Handle Table، و Memory Layout پروسس دسترسی پیدا کنند.
مزیت اصلی این مکانیزم نسبت به روش‌های سنتی مانند Full Dump یا Mini Dump این است که Snapshot سبک‌تر، سریع‌تر و تا حد زیادی غیرمزاحم است و در سیستم‌هایی با بار کاری بالا می‌توان بدون ایجاد وقفه جدی، وضعیت پروسس‌ها را بررسی کرد. همچنین امکان ذخیره‌سازی اطلاعات مربوط به مصرف حافظه، مپینگ فایل‌ها، و ساختارهای runtime وجود دارد که برای تحلیل رفتار برنامه‌ها یا شناسایی بدافزارها کاربرد دارد.
ویندوز برای مدیریت این قابلیت، چند نوع Flag فراهم کرده است که مشخص میکند چه اجزایی از پروسس در Snapshot قرار گیرند؛ مثل:
PSS_CAPTURE_HANDLES برای گرفتن جدول هندل‌ها.
PSS_CAPTURE_THREADS برای وضعیت تردها.
PSS_CAPTURE_VA_SPACE برای فضای آدرس مجازی.
PSS_CAPTURE_IPC برای کانال‌های ارتباطی پروسس.
زمانی که Snapshot گرفته شد، می‌توان با PssQuerySnapshot محتوا را خوانده یا آن را با PssFreeSnapshot آزاد کرد. نکته مهم این است که Snapshot یک تصویر لحظه‌ای از وضعیت پروسس است، نه جریان زنده، بنابراین تغییرات بعدی پروسس در Snapshot منعکس نمی‌شود.
از نظر امنیتی، این تکنیک می‌تواند هم ابزار دفاع و هم ابزار حمله باشد. در حوزه دفاع، تحلیلگران می‌توانند بدون توقف سرویس‌ها وضعیت حافظه یک برنامه مشکوک را بگیرند و بررسی کنند. در حوزه حمله، بدافزارها شاید بتوانند از Snapshot برای استخراج داده‌های حساس حافظه بدون نیاز به دیباگ رسمی یا Hook کردن پروسس استفاده کنند.
از منظر فنی، این قابلیت وابسته به کرنل و مکانیزم‌های مدیریت حافظه ویندوز است و تنها روی نسخه‌های مدرن ویندوز مانند Windows 8 و Server 2012 به بعد در دسترس است. به عنوان یک ابزار، Process Snapshotting انعطاف‌پذیری بالایی دارد، ولی برای استفاده مؤثر نیازمند دانش عمیق در زمینه ساختار پردازش‌ها و APIهای سیستم‌عامل است.
در مجموع، Process Snapshotting یک پیشرفت مهم در ابزارهای بررسی وضعیت پروسس در ویندوز به شمار می‌رود که می‌تواند کارایی و امنیت عملیات اشکال‌زدایی و Incident Response را افزایش دهد، اما باید با ملاحظات امنیتی و حریم خصوصی همراه باشد.
#آکادمی_روزبه
https://trainsec.net/library/windows-internals/process-snapshotting-in-windows/
در این روش، سیستم‌عامل می‌تواند بدون متوقف کردن کامل فرآیند، یک کپی از حافظه، رجیسترها، وضعیت تردها و دیگر ساختارهای داخلی آن ایجاد کند. این کار با استفاده از API جدیدی به نام PssCaptureSnapshot انجام می‌شود که در کتابخانه Kernel32.dll قرار دارد. توسعه‌دهندگان یا محققان امنیت می‌توانند با این API به داده‌هایی مانند Thread Context، Handle Table، و Memory Layout پروسس دسترسی پیدا کنند.
مزیت اصلی این مکانیزم نسبت به روش‌های سنتی مانند Full Dump یا Mini Dump این است که Snapshot سبک‌تر، سریع‌تر و تا حد زیادی غیرمزاحم است و در سیستم‌هایی با بار کاری بالا می‌توان بدون ایجاد وقفه جدی، وضعیت پروسس‌ها را بررسی کرد. همچنین امکان ذخیره‌سازی اطلاعات مربوط به مصرف حافظه، مپینگ فایل‌ها، و ساختارهای runtime وجود دارد که برای تحلیل رفتار برنامه‌ها یا شناسایی بدافزارها کاربرد دارد.
ویندوز برای مدیریت این قابلیت، چند نوع Flag فراهم کرده است که مشخص میکند چه اجزایی از پروسس در Snapshot قرار گیرند؛ مثل:
PSS_CAPTURE_HANDLES برای گرفتن جدول هندل‌ها.
PSS_CAPTURE_THREADS برای وضعیت تردها.
PSS_CAPTURE_VA_SPACE برای فضای آدرس مجازی.
PSS_CAPTURE_IPC برای کانال‌های ارتباطی پروسس.
زمانی که Snapshot گرفته شد، می‌توان با PssQuerySnapshot محتوا را خوانده یا آن را با PssFreeSnapshot آزاد کرد. نکته مهم این است که Snapshot یک تصویر لحظه‌ای از وضعیت پروسس است، نه جریان زنده، بنابراین تغییرات بعدی پروسس در Snapshot منعکس نمی‌شود.
از نظر امنیتی، این تکنیک می‌تواند هم ابزار دفاع و هم ابزار حمله باشد. در حوزه دفاع، تحلیلگران می‌توانند بدون توقف سرویس‌ها وضعیت حافظه یک برنامه مشکوک را بگیرند و بررسی کنند. در حوزه حمله، بدافزارها شاید بتوانند از Snapshot برای استخراج داده‌های حساس حافظه بدون نیاز به دیباگ رسمی یا Hook کردن پروسس استفاده کنند.
از منظر فنی، این قابلیت وابسته به کرنل و مکانیزم‌های مدیریت حافظه ویندوز است و تنها روی نسخه‌های مدرن ویندوز مانند Windows 8 و Server 2012 به بعد در دسترس است. به عنوان یک ابزار، Process Snapshotting انعطاف‌پذیری بالایی دارد، ولی برای استفاده مؤثر نیازمند دانش عمیق در زمینه ساختار پردازش‌ها و APIهای سیستم‌عامل است.
در مجموع، Process Snapshotting یک پیشرفت مهم در ابزارهای بررسی وضعیت پروسس در ویندوز به شمار می‌رود که می‌تواند کارایی و امنیت عملیات اشکال‌زدایی و Incident Response را افزایش دهد، اما باید با ملاحظات امنیتی و حریم خصوصی همراه باشد.
#آکادمی_روزبه
https://trainsec.net/library/windows-internals/process-snapshotting-in-windows/
TrainSec - CyberSecurity online training
Process Snapshot | Complete Guide to Windows Snapshotting
Process Snapshot shows how to capture a consistent view of a live process in one operation, then analyze it at your pace. Learn more >>
❤5💯2
چرا در CISSP گفته میشه
View security incidents as operational anomalies
جواب:
۱. یکپارچه‌سازی و کاهش تقابل: وقتی حوادث امنیتی صرفاً یک «مشکل امنیتی» تلقی شوند، ممکن است تیم امنیت در مقابل سایر واحدهای عملیاتی (مانند IT، تولید یا توسعه) قرار گیرد. اما وقتی آن را یک «ناهنجاری عملیاتی» ببینیم، مشکل به کل سازمان تعلق پیدا میکند. این دیدگاه باعث می‌شود تمام واحدها برای بازگرداندن سیستم به حالت عادی (عملیات پایدار) همکاری کنند و تقابل‌های داخلی کاهش یابد.
۲. استفاده از فرآیندهای موجود: سازمان‌ها معمولاً فرآیندهای مدیریتی جاافتاده‌ای برای رسیدگی به ناهنجاری‌های عملیاتی (مانند قطعی سرویس یا مشکلات عملکردی) دارند. با گنجاندن حوادث امنیتی در این دسته، می‌توان از همان فرآیندها، ابزارها و تیم‌های مدیریت بحران برای رسیدگی به آنها استفاده کرد. این کار به جای ایجاد یک ساختار موازی و جدید، به بهینه‌سازی منابع و تسریع واکنش کمک میکند.
۳. تمرکز بر تداوم کسب‌وکار: هدف نهایی، حفظ عملکرد و تداوم کسب‌وکار (Business Continuity) است. یک ناهنجاری عملیاتی، چه منشأ آن یک خطای سخت‌افزاری باشد و چه یک حمله سایبری، مستقیماً بر عملیات تأثیر می‌گذارد. این دیدگاه، اولویت را از «پیدا کردن مجرم» به «بازیابی سریع سرویس و به حداقل رساندن خسارت» تغییر می‌دهد که با اهداف کلان کسب‌وکار همسوتر است.
به طور خلاصه، این نگرش، امنیت را از یک واحد مجزا به بخشی جدایی‌ناپذیر از مدیریت ریسک و عملیات سازمان تبدیل میکند و پاسخی جامع‌تر و کارآمدتر به حوادث را ممکن می‌سازد.
#آکادمی_روزبه
دوره های آمادگی آزمون بین المللی شرکت هامون
Www.haumoun.com
Www.Roozbeh.academy
View security incidents as operational anomalies
جواب:
۱. یکپارچه‌سازی و کاهش تقابل: وقتی حوادث امنیتی صرفاً یک «مشکل امنیتی» تلقی شوند، ممکن است تیم امنیت در مقابل سایر واحدهای عملیاتی (مانند IT، تولید یا توسعه) قرار گیرد. اما وقتی آن را یک «ناهنجاری عملیاتی» ببینیم، مشکل به کل سازمان تعلق پیدا میکند. این دیدگاه باعث می‌شود تمام واحدها برای بازگرداندن سیستم به حالت عادی (عملیات پایدار) همکاری کنند و تقابل‌های داخلی کاهش یابد.
۲. استفاده از فرآیندهای موجود: سازمان‌ها معمولاً فرآیندهای مدیریتی جاافتاده‌ای برای رسیدگی به ناهنجاری‌های عملیاتی (مانند قطعی سرویس یا مشکلات عملکردی) دارند. با گنجاندن حوادث امنیتی در این دسته، می‌توان از همان فرآیندها، ابزارها و تیم‌های مدیریت بحران برای رسیدگی به آنها استفاده کرد. این کار به جای ایجاد یک ساختار موازی و جدید، به بهینه‌سازی منابع و تسریع واکنش کمک میکند.
۳. تمرکز بر تداوم کسب‌وکار: هدف نهایی، حفظ عملکرد و تداوم کسب‌وکار (Business Continuity) است. یک ناهنجاری عملیاتی، چه منشأ آن یک خطای سخت‌افزاری باشد و چه یک حمله سایبری، مستقیماً بر عملیات تأثیر می‌گذارد. این دیدگاه، اولویت را از «پیدا کردن مجرم» به «بازیابی سریع سرویس و به حداقل رساندن خسارت» تغییر می‌دهد که با اهداف کلان کسب‌وکار همسوتر است.
به طور خلاصه، این نگرش، امنیت را از یک واحد مجزا به بخشی جدایی‌ناپذیر از مدیریت ریسک و عملیات سازمان تبدیل میکند و پاسخی جامع‌تر و کارآمدتر به حوادث را ممکن می‌سازد.
#آکادمی_روزبه
دوره های آمادگی آزمون بین المللی شرکت هامون
Www.haumoun.com
Www.Roozbeh.academy
👌4🙏3❤1
مقولهPE Header: نقطه ضعف مهاجمان که با تغییر نام قابل پنهان شدن نیست
در بررسی یک نمونه مشکوک، فایل اجرایی با نام minesweeper.exe پیدا شد. ظاهر ماجرا، یک بازی قدیمی و بی‌ضرر را نشان می‌داد. اما با بررسی دقیق با ابزارهایی مثل Sysinternals، کشف شد که متادیتا داخل هدر PE، اطلاعات واقعی سازنده و محصول را نشان می‌دهد. این همان نقطه‌ای است که مهاجمان نمی‌توانند به‌سادگی مخفی‌اش کنند.
مشکل: تغییر نام کافی نیست
مهاجمان اغلب برای دور زدن شناسایی، نام و مسیر فایل را تغییر می‌دهند. اما بسیاری از داده‌ها در هدر PE، ثابت هستند و یا تغییرشان نیازمند دستکاری پیچیده است. فیلدهایی مانند:
OriginalFileName
CompanyName
ProductName
به‌راحتی می‌توانند عدم تناسب میان نام فایل و اطلاعات واقعی آن را آشکار کنند.
راه‌حل شکار (Threat Hunting Angle)
👨💻 با استفاده از جستجو در این فیلدها، می‌توان فعالیت‌های مشکوک را کشف کرد:
کوئری در Splunk بر اساس OriginalFileName
کوئری در KQL برای یافتن ناسازگاری بین مسیر و ProductName
این روش هزینه کم و ارزش شکار بالایی دارد، مخصوصاً وقتی با داده‌های Telemetry از EDR و ابزارهای Sysinternals ترکیب شود.
درس آموخته‌ها
همیشه متادیتای فایل‌ها را بررسی کنید، نه فقط نام و مسیر آنها.
ابزارهای رایگان مثل Sysinternals می‌توانند در تحقیقات اولیه بسیار مؤثر باشند.
ناسازگاری بین ظاهر و متادیتا اغلب نشانه وجود تهدید است.
چک لیست کوتاه شکار مشابه
بررسی فیلدهای PE Header (original_file_name, CompanyName, ProductName)
مقایسه مسیر فایل با نام واقعی محصول یا شرکت تولیدکننده
ترکیب نتایج با رویدادهای EDR و گزارش‌های SIEM
#آکادمی_روزبه
در بررسی یک نمونه مشکوک، فایل اجرایی با نام minesweeper.exe پیدا شد. ظاهر ماجرا، یک بازی قدیمی و بی‌ضرر را نشان می‌داد. اما با بررسی دقیق با ابزارهایی مثل Sysinternals، کشف شد که متادیتا داخل هدر PE، اطلاعات واقعی سازنده و محصول را نشان می‌دهد. این همان نقطه‌ای است که مهاجمان نمی‌توانند به‌سادگی مخفی‌اش کنند.
مشکل: تغییر نام کافی نیست
مهاجمان اغلب برای دور زدن شناسایی، نام و مسیر فایل را تغییر می‌دهند. اما بسیاری از داده‌ها در هدر PE، ثابت هستند و یا تغییرشان نیازمند دستکاری پیچیده است. فیلدهایی مانند:
OriginalFileName
CompanyName
ProductName
به‌راحتی می‌توانند عدم تناسب میان نام فایل و اطلاعات واقعی آن را آشکار کنند.
راه‌حل شکار (Threat Hunting Angle)
👨💻 با استفاده از جستجو در این فیلدها، می‌توان فعالیت‌های مشکوک را کشف کرد:
کوئری در Splunk بر اساس OriginalFileName
کوئری در KQL برای یافتن ناسازگاری بین مسیر و ProductName
این روش هزینه کم و ارزش شکار بالایی دارد، مخصوصاً وقتی با داده‌های Telemetry از EDR و ابزارهای Sysinternals ترکیب شود.
درس آموخته‌ها
همیشه متادیتای فایل‌ها را بررسی کنید، نه فقط نام و مسیر آنها.
ابزارهای رایگان مثل Sysinternals می‌توانند در تحقیقات اولیه بسیار مؤثر باشند.
ناسازگاری بین ظاهر و متادیتا اغلب نشانه وجود تهدید است.
چک لیست کوتاه شکار مشابه
بررسی فیلدهای PE Header (original_file_name, CompanyName, ProductName)
مقایسه مسیر فایل با نام واقعی محصول یا شرکت تولیدکننده
ترکیب نتایج با رویدادهای EDR و گزارش‌های SIEM
#آکادمی_روزبه
🔥5❤3
هدر PE چیست؟
مقوله PE Header مخفف Portable Executable Header است. این بخش در ابتدای فایل‌های اجرایی ویندوز (مثل .exe یا .dll) قرار دارد و ساختار و اطلاعات مورد نیاز سیستم‌عامل برای اجرای برنامه را مشخص میکند.
به زبان ساده، هدر PE شناسنامه و نقشه راه یک فایل اجرایی است.
🧩 اجزای اصلی هدر PE
هدر PE از چند بخش تشکیل می‌شود:
مقولهDOS Headerاولین بخش فایل که برای سازگاری با سیستم‌های قدیمی MS-DOS هنوز وجود دارد.
وPE Signatureیک رشته ثابت (PE\0\0) که شروع ساختار اصلی را مشخص میکند.
وFile Headerشامل اطلاعات کلی مثل:
نوع پردازنده هدف (x86، x64)
تعداد بخش‌ها (Sections)
زمان کامپایل
وOptional Header (در واقع الزامی برای ویندوز)این قسمت آدرس‌های مهم مثل Entry Point (شروع اجرای برنامه)، سایز حافظه، و تنظیمات dynamic linking را نگه می‌دارد.
وSection Headersتوضیح و مشخصات بخش‌های مختلف فایل (کد، داده، منابع و…)
⚡ چرا هدر PE مهم است؟
اجرای برنامه
ویندوز بدون خواندن و تفسیر هدر PE نمی‌تواند بداند کجا شروع به اجرای کد کند یا چطور حافظه تخصیص دهد.
بحث Reverse Engineering و تحلیل بدافزار
محققان امنیتی با بررسی هدر PE می‌توانند بفهمند:
آیا فایل آلوده شده یا دستکاری شده؟
آیاEntry Point تغییر یافته؟
نام‌گذاری یا ترتیب بخش‌ها غیر‌معمول است؟
شناسایی Evasion Techniques
مهاجمان گاهی از Manipulation of PE Header Metadata استفاده می‌کنند تا سیستم‌های EDR/AV را فریب دهند.
مثلاً:
تغییر Timestamp برای مخفی کردن زمان واقعی کامپایل.
اضافه کردن یا جابجایی بخش‌ها برای پنهان کردن کد مخرب.
تغییر آدرس‌های Import Table برای دور زدن تابع‌های امنیتی.
دیباگ و توسعه نرم‌افزار
برنامه‌نویس‌ها و تیم‌های Build بدون PE Header نمی‌توانند فایل اجرایی بسازند که توسط سیستم عامل شناخته شود.
🎯 جمع‌بندی:
هدر PE قلب فایل اجرایی ویندوز است؛ هر تغییری در آن می‌تواند باعث اجرا نشدن، رفتار غیرمنتظره یا حتی پنهان شدن بدافزار شود. برای یک متخصص امنیت، شناخت هدر PE همانند شناخت DNA برای یک پزشک است.
#آکادمی_روزبه
#نشر_دانش
مقوله PE Header مخفف Portable Executable Header است. این بخش در ابتدای فایل‌های اجرایی ویندوز (مثل .exe یا .dll) قرار دارد و ساختار و اطلاعات مورد نیاز سیستم‌عامل برای اجرای برنامه را مشخص میکند.
به زبان ساده، هدر PE شناسنامه و نقشه راه یک فایل اجرایی است.
🧩 اجزای اصلی هدر PE
هدر PE از چند بخش تشکیل می‌شود:
مقولهDOS Headerاولین بخش فایل که برای سازگاری با سیستم‌های قدیمی MS-DOS هنوز وجود دارد.
وPE Signatureیک رشته ثابت (PE\0\0) که شروع ساختار اصلی را مشخص میکند.
وFile Headerشامل اطلاعات کلی مثل:
نوع پردازنده هدف (x86، x64)
تعداد بخش‌ها (Sections)
زمان کامپایل
وOptional Header (در واقع الزامی برای ویندوز)این قسمت آدرس‌های مهم مثل Entry Point (شروع اجرای برنامه)، سایز حافظه، و تنظیمات dynamic linking را نگه می‌دارد.
وSection Headersتوضیح و مشخصات بخش‌های مختلف فایل (کد، داده، منابع و…)
⚡ چرا هدر PE مهم است؟
اجرای برنامه
ویندوز بدون خواندن و تفسیر هدر PE نمی‌تواند بداند کجا شروع به اجرای کد کند یا چطور حافظه تخصیص دهد.
بحث Reverse Engineering و تحلیل بدافزار
محققان امنیتی با بررسی هدر PE می‌توانند بفهمند:
آیا فایل آلوده شده یا دستکاری شده؟
آیاEntry Point تغییر یافته؟
نام‌گذاری یا ترتیب بخش‌ها غیر‌معمول است؟
شناسایی Evasion Techniques
مهاجمان گاهی از Manipulation of PE Header Metadata استفاده می‌کنند تا سیستم‌های EDR/AV را فریب دهند.
مثلاً:
تغییر Timestamp برای مخفی کردن زمان واقعی کامپایل.
اضافه کردن یا جابجایی بخش‌ها برای پنهان کردن کد مخرب.
تغییر آدرس‌های Import Table برای دور زدن تابع‌های امنیتی.
دیباگ و توسعه نرم‌افزار
برنامه‌نویس‌ها و تیم‌های Build بدون PE Header نمی‌توانند فایل اجرایی بسازند که توسط سیستم عامل شناخته شود.
🎯 جمع‌بندی:
هدر PE قلب فایل اجرایی ویندوز است؛ هر تغییری در آن می‌تواند باعث اجرا نشدن، رفتار غیرمنتظره یا حتی پنهان شدن بدافزار شود. برای یک متخصص امنیت، شناخت هدر PE همانند شناخت DNA برای یک پزشک است.
#آکادمی_روزبه
#نشر_دانش
👏5💯3👍2❤1
آب دستتونه بذارین زمین اینو بخونین
مقوله EDR-Freeze یک تکنیک PoC است که با سوءاستفاده از اجزای قانونی ویندوز مانند WerFaultSecure.exe و تابع MiniDumpWriteDump، فرآیندهای امنیتی (مثل Windows Defender) را موقتاً suspend میکند. این حالت “کما” باعث می‌شود فرآیند فعال بماند اما Telemetry کمی تولید کند. تحلیل فارنزیکی با Volatility و MemProcFS نشان می‌دهد Threadهای هدف در بازه حمله suspend شده و Helper دارای Handles با دسترسی کامل به Process و Threadهای آن است. شواهد جانبی مانند فایل موقت (t.txt) برای Timeline مفیدند. دفاع مؤثر نیازمند تشخیص کیفیت Telemetry، Tamper Protection و شناسایی سوءاستفاده از اجزای استاندارد ویندوز است.
https://itamarhall.github.io/Tracepoint/blog/writeups/edr-freeze-investigation/
مقوله EDR-Freeze یک تکنیک PoC است که با سوءاستفاده از اجزای قانونی ویندوز مانند WerFaultSecure.exe و تابع MiniDumpWriteDump، فرآیندهای امنیتی (مثل Windows Defender) را موقتاً suspend میکند. این حالت “کما” باعث می‌شود فرآیند فعال بماند اما Telemetry کمی تولید کند. تحلیل فارنزیکی با Volatility و MemProcFS نشان می‌دهد Threadهای هدف در بازه حمله suspend شده و Helper دارای Handles با دسترسی کامل به Process و Threadهای آن است. شواهد جانبی مانند فایل موقت (t.txt) برای Timeline مفیدند. دفاع مؤثر نیازمند تشخیص کیفیت Telemetry، Tamper Protection و شناسایی سوءاستفاده از اجزای استاندارد ویندوز است.
https://itamarhall.github.io/Tracepoint/blog/writeups/edr-freeze-investigation/
💯6❤5
توهم تسلط: دام پنهان در مسیر مطالعه CISSP
(Illusion of Competence & Unconscious Overload)
مقدمه
اگر مدتی است که در حوزه امنیت کار می‌کنید، احتمالاً هنگام مطالعه برای CISSP به خودتان گفته‌اید: «این را که بلدم…». همین جمله کوتاه می‌تواند بزرگ‌ترین مانع یادگیری عمیق شما باشد. در روانشناسی آموزشی، این حالت را توهم تسلط (Illusion of Competence) می‌نامند و یکی از اشکال خاص آن Overload ناآگاهانه است.
1. اثر Overload ناآگاهانه چیست؟
در این حالت، حجم زیاد مفاهیم آشنا، ذهن را فریب می‌دهد که نیازی به پردازش مجدد آنها نیست. در نتیجه:
یادآوری جزئیات سخت‌تر می‌شود چون مرور سطحی انجام شده.
ارتباط مفهومی از بین می‌رود، چون مغز در حالت «صرفاً شناسایی» (Recognition) مانده، نه «بازیابی» (Recall).
2. چرا در CISSP رایج است؟
در CISSP حوزه‌های گسترده‌ای دارد (۸ دامنه CBK). اغلب دانشجویان شاغل در امنیت، بخش زیادی از مثال‌ها و اصطلاحات را دیده‌اند. این آشنایی باعث می‌شود:
مطالعه با اسکن سریع جایگزین یادگیری فعال شود.
بخش‌های جدید ولی مشابه با تجربیات قبلی، توجه لازم را دریافت نکنند.
3. ارتباط با Illusion of Competence
بحث Recognition Bias: وقتی مفهومی را می‌بینیم و حس می‌کنیم آن را «می‌دانیم»، ذهن به اشتباه نتیجه می‌گیرد که می‌توانیم آن را در امتحان هم پاسخ دهیم.
و Underestimation of Exam Depth: سوالات CISSP از شما «درک کاربردی» می‌خواهند، نه صرفاً تعریف کتابی.
4. پیامدها در آزمون
اشتباه در سوالات به‌ظاهر ساده ولی با تغییر ظریف حالت سناریو.
فراموشی مراحل، فرمول‌ها و ترتیب‌های انتقادی (مثل گام‌های Incident Response).
5. راهکارهای مقابله
Active Recall:
بعد از مطالعه، کتاب را ببندید و با صدای بلند برای خود یا هم‌کلاسی توضیح دهید.
Interleaving Practice:
مفاهیم مشابه را به‌صورت ترکیبی و همراه با مثال مخلوط تمرین کنید.
Self-Testing:
هر هفته آزمون شبیه‌سازی‌شده بدهید تا مغز مجبور به بازیابی اطلاعات شود.
Note Overwriting:
نکات آشنا را دوباره به‌روز کنید، با مثال و سناریوی واقعی.
جمع‌بندی
شناخت دام توهم تسلط و اثر Overload ناآگاهانه کلید عبور از سطح «تصور دانستن» به سطح «توانایی اجرای دانسته‌ها» است. به یاد داشته باشید که موفقیت در CISSP نه فقط به آشنایی، بلکه به تسلط کاربردی وابسته است.
#آکادمی_روزبه
(Illusion of Competence & Unconscious Overload)
مقدمه
اگر مدتی است که در حوزه امنیت کار می‌کنید، احتمالاً هنگام مطالعه برای CISSP به خودتان گفته‌اید: «این را که بلدم…». همین جمله کوتاه می‌تواند بزرگ‌ترین مانع یادگیری عمیق شما باشد. در روانشناسی آموزشی، این حالت را توهم تسلط (Illusion of Competence) می‌نامند و یکی از اشکال خاص آن Overload ناآگاهانه است.
1. اثر Overload ناآگاهانه چیست؟
در این حالت، حجم زیاد مفاهیم آشنا، ذهن را فریب می‌دهد که نیازی به پردازش مجدد آنها نیست. در نتیجه:
یادآوری جزئیات سخت‌تر می‌شود چون مرور سطحی انجام شده.
ارتباط مفهومی از بین می‌رود، چون مغز در حالت «صرفاً شناسایی» (Recognition) مانده، نه «بازیابی» (Recall).
2. چرا در CISSP رایج است؟
در CISSP حوزه‌های گسترده‌ای دارد (۸ دامنه CBK). اغلب دانشجویان شاغل در امنیت، بخش زیادی از مثال‌ها و اصطلاحات را دیده‌اند. این آشنایی باعث می‌شود:
مطالعه با اسکن سریع جایگزین یادگیری فعال شود.
بخش‌های جدید ولی مشابه با تجربیات قبلی، توجه لازم را دریافت نکنند.
3. ارتباط با Illusion of Competence
بحث Recognition Bias: وقتی مفهومی را می‌بینیم و حس می‌کنیم آن را «می‌دانیم»، ذهن به اشتباه نتیجه می‌گیرد که می‌توانیم آن را در امتحان هم پاسخ دهیم.
و Underestimation of Exam Depth: سوالات CISSP از شما «درک کاربردی» می‌خواهند، نه صرفاً تعریف کتابی.
4. پیامدها در آزمون
اشتباه در سوالات به‌ظاهر ساده ولی با تغییر ظریف حالت سناریو.
فراموشی مراحل، فرمول‌ها و ترتیب‌های انتقادی (مثل گام‌های Incident Response).
5. راهکارهای مقابله
Active Recall:
بعد از مطالعه، کتاب را ببندید و با صدای بلند برای خود یا هم‌کلاسی توضیح دهید.
Interleaving Practice:
مفاهیم مشابه را به‌صورت ترکیبی و همراه با مثال مخلوط تمرین کنید.
Self-Testing:
هر هفته آزمون شبیه‌سازی‌شده بدهید تا مغز مجبور به بازیابی اطلاعات شود.
Note Overwriting:
نکات آشنا را دوباره به‌روز کنید، با مثال و سناریوی واقعی.
جمع‌بندی
شناخت دام توهم تسلط و اثر Overload ناآگاهانه کلید عبور از سطح «تصور دانستن» به سطح «توانایی اجرای دانسته‌ها» است. به یاد داشته باشید که موفقیت در CISSP نه فقط به آشنایی، بلکه به تسلط کاربردی وابسته است.
#آکادمی_روزبه
👌6👍4