#تجربه
آخر هفته پیش در حال مرور فید لینکدین بودم که چندین پست درباره سختی تشخیص نفوذها، به‌خصوص حملات باج‌افزاری، دیدم. در بیشتر این پست‌ها گفته می‌شد چون مهاجمان از ابزارهای «معتبر» سیستم‌عامل یا همان LOLBins استفاده می‌کنند، شناسایی آنها بسیار دشوار است. معمولاً مثال‌هایی مثل powershell.exe یا bitsadmin.exe هم مطرح می‌شود. اما تجربه‌ای که در یکی از بررسی‌های Incident داشتم باعث شد نگاه متفاوتی به این موضوع پیدا کنم.
در آن بررسی متوجه شدیم از powershell برای دانلود و اجرای یک فایل مشکوک استفاده شده است. در نگاه اول ممکن است تصور شود چون این ابزار بخشی از خود ویندوز است، تشخیص سوءاستفاده از آن کار سختی است. اما من معمولاً تحلیل را با یک سؤال ساده شروع می‌کنم: آیا اصلاً در زیرساخت‌مان از این ابزار استفاده می‌کنیم؟
اگر پاسخ «خیر» باشد، کار خیلی ساده می‌شود. اجرای ابزاری که در فرآیندهای عادی سازمان استفاده نمی‌شود، به‌تنهایی می‌تواند یک نشانه مهم برای بررسی باشد. اما اگر پاسخ «بله» باشد، باز هم موضوع غیرقابل تشخیص نیست؛ فقط باید دقیق‌تر نگاه کنیم. باید بدانیم چه کسانی از این ابزار استفاده می‌کنند، در چه سناریوهایی، روی کدام سیستم‌ها و با چه الگوی رفتاری.
برای مثال، اگر bitsadmin فقط روی چند سرور مشخص برای انتقال فایل‌های داخلی استفاده می‌شود، اجرای همان ابزار روی سیستم یک کاربر عادی باید فوراً توجه تیم امنیت را جلب کند. در واقع مسئله این نیست که ابزار «معتبر» است یا نه؛ مسئله این است که آیا استفاده از آن با الگوی معمول سازمان همخوانی دارد یا خیر.
در تجربه من، مهم‌ترین عامل در تشخیص بسیاری از تهدیدها شناخت دقیق رفتار نرمال زیرساخت است. وقتی بدانیم چه چیزی در محیط ما طبیعی است، هر رفتار غیرعادی- حتی اگر با ابزارهای کاملاً قانونی انجام شود-خیلی سریع قابل شناسایی خواهد بود.
**نام ابزارها عوض شده است.
آخر هفته پیش در حال مرور فید لینکدین بودم که چندین پست درباره سختی تشخیص نفوذها، به‌خصوص حملات باج‌افزاری، دیدم. در بیشتر این پست‌ها گفته می‌شد چون مهاجمان از ابزارهای «معتبر» سیستم‌عامل یا همان LOLBins استفاده می‌کنند، شناسایی آنها بسیار دشوار است. معمولاً مثال‌هایی مثل powershell.exe یا bitsadmin.exe هم مطرح می‌شود. اما تجربه‌ای که در یکی از بررسی‌های Incident داشتم باعث شد نگاه متفاوتی به این موضوع پیدا کنم.
در آن بررسی متوجه شدیم از powershell برای دانلود و اجرای یک فایل مشکوک استفاده شده است. در نگاه اول ممکن است تصور شود چون این ابزار بخشی از خود ویندوز است، تشخیص سوءاستفاده از آن کار سختی است. اما من معمولاً تحلیل را با یک سؤال ساده شروع می‌کنم: آیا اصلاً در زیرساخت‌مان از این ابزار استفاده می‌کنیم؟
اگر پاسخ «خیر» باشد، کار خیلی ساده می‌شود. اجرای ابزاری که در فرآیندهای عادی سازمان استفاده نمی‌شود، به‌تنهایی می‌تواند یک نشانه مهم برای بررسی باشد. اما اگر پاسخ «بله» باشد، باز هم موضوع غیرقابل تشخیص نیست؛ فقط باید دقیق‌تر نگاه کنیم. باید بدانیم چه کسانی از این ابزار استفاده می‌کنند، در چه سناریوهایی، روی کدام سیستم‌ها و با چه الگوی رفتاری.
برای مثال، اگر bitsadmin فقط روی چند سرور مشخص برای انتقال فایل‌های داخلی استفاده می‌شود، اجرای همان ابزار روی سیستم یک کاربر عادی باید فوراً توجه تیم امنیت را جلب کند. در واقع مسئله این نیست که ابزار «معتبر» است یا نه؛ مسئله این است که آیا استفاده از آن با الگوی معمول سازمان همخوانی دارد یا خیر.
در تجربه من، مهم‌ترین عامل در تشخیص بسیاری از تهدیدها شناخت دقیق رفتار نرمال زیرساخت است. وقتی بدانیم چه چیزی در محیط ما طبیعی است، هر رفتار غیرعادی- حتی اگر با ابزارهای کاملاً قانونی انجام شود-خیلی سریع قابل شناسایی خواهد بود.
**نام ابزارها عوض شده است.
❤1
infoblox-2025-dns-threat-landscape-reportpdf.pdf
3.8 MB
سوء استفاده ها از DNS گزارش روز
آکادمی آموزش روزبه 📚
infoblox-2025-dns-threat-landscape-reportpdf.pdf
این گزارش با عنوان «2025 DNS Threat Landscape Report» نشان می‌دهد که DNS به یکی از مهم‌ترین لایه‌های سوءاستفاده در حملات سایبری تبدیل شده است. مهاجمان از DNS برای فیشینگ، کلاهبرداری، پنهان‌سازی ترافیک، استخراج داده، توزیع بدافزار و دور زدن شناسایی استفاده می‌کنند. Infoblox با تکیه بر تله‌متری عظیم DNS، اعلام میکند روزانه ۷۰ میلیارد کوئری را در بیش از ۱۳ هزار محیط تحلیل کرده و در یک سال اخیر ۱۰۰.۸ میلیون دامنه جدید مشاهده کرده است که ۲۵.۱٪ آنها مخرب یا مشکوک بوده‌اند. همچنین ۹۵٪ دامنه‌های تهدیدآمیز فقط در یک محیط مشتری دیده شده‌اند، که نشان‌دهنده زیرساخت‌های موقتی و یک‌بارمصرف است. از تهدیدهای مهم دیگر می‌توان به دامنه‌های مشابه‌نما، DNS tunneling، و سوءاستفاده از هوش مصنوعی برای ساخت کلاهبرداری‌های قانع‌کننده‌تر اشاره کرد. پیام اصلی گزارش این است که دفاع مؤثر امروز بدون هوش تهدید مبتنی بر DNS و دید عمیق به رفتار دامنه‌ها ممکن نیست.
❤2
«آخرالزمان امنیت سایبری» یا آغاز یک عصر جدید؟ نگاهی به حملات Agentic و صنعتی‌شدن Exploitation
در سال‌های اخیر، امنیت سایبری وارد مرحله‌ای شده که برخی آن را با عنوان «آخرالزمان امنیت سایبری» توصیف می‌کنند؛ اما واقعیت دقیق‌تر این است که ما با یک تغییر پارادایم در مدل حمله و دفاع مواجه هستیم، نه پایان امنیت.
مفهوم جدیدی که در ادبیات امنیتی مطرح شده، Industrialized Exploitation و Agentic Offensive Security است. در این مدل، هوش مصنوعی دیگر فقط یک ابزار کمکی برای مهاجمان نیست، بلکه به یک «عامل مستقل» تبدیل می‌شود که می‌تواند چرخه کامل حمله را مدیریت کند: از شناسایی هدف و کشف آسیب‌پذیری تا اجرای حمله و استخراج داده.
این تحول چند پیامد مهم دارد:
اول اینکه، هزینه ورود به دنیای حملات سایبری به شدت کاهش می‌یابد. مهاجمان کم‌مهارت نیز با دسترسی به ابزارهای هوشمند می‌توانند حملاتی در سطح حرفه‌ای اجرا کنند. دوم اینکه، سرعت حملات افزایش می‌یابد؛ به‌طوری‌که فاصله بین کشف آسیب‌پذیری و بهره‌برداری از آن می‌تواند به حداقل برسد.
اما مهم‌ترین تغییر، مقیاس‌پذیری حملات است. در گذشته، یک مهاجم محدود به توان انسانی خود بود، اما اکنون یک Agent می‌تواند هزاران هدف را به‌صورت همزمان بررسی و علیه آنها اقدام کند. این موضوع، مفهوم «حمله صنعتی» را واقعی میکند.
با این حال، این وضعیت به معنای فروپاشی امنیت نیست. همان‌طور که حمله هوشمندتر شده، دفاع نیز در حال تحول است. سازمان‌ها به سمت دفاع مبتنی بر AI، اتوماسیون SOC، و سیستم‌های تصمیم‌گیری خودکار حرکت می‌کنند. در واقع، آینده امنیت سایبری به سمت یک رقابت Agent علیه Agent پیش می‌رود.
جمع‌بندی این است که «آخرالزمان امنیت سایبری» تعبیر دقیقی نیست؛ بلکه ما وارد دوره‌ای شده‌ایم که در آن سرعت، مقیاس و هوشمندی، قواعد بازی امنیت را بازنویسی می‌کنند. سازمان‌هایی موفق خواهند بود که این تغییر را نه تهدید، بلکه یک بازطراحی بنیادی در مدل دفاعی خود ببینند.
در سال‌های اخیر، امنیت سایبری وارد مرحله‌ای شده که برخی آن را با عنوان «آخرالزمان امنیت سایبری» توصیف می‌کنند؛ اما واقعیت دقیق‌تر این است که ما با یک تغییر پارادایم در مدل حمله و دفاع مواجه هستیم، نه پایان امنیت.
مفهوم جدیدی که در ادبیات امنیتی مطرح شده، Industrialized Exploitation و Agentic Offensive Security است. در این مدل، هوش مصنوعی دیگر فقط یک ابزار کمکی برای مهاجمان نیست، بلکه به یک «عامل مستقل» تبدیل می‌شود که می‌تواند چرخه کامل حمله را مدیریت کند: از شناسایی هدف و کشف آسیب‌پذیری تا اجرای حمله و استخراج داده.
این تحول چند پیامد مهم دارد:
اول اینکه، هزینه ورود به دنیای حملات سایبری به شدت کاهش می‌یابد. مهاجمان کم‌مهارت نیز با دسترسی به ابزارهای هوشمند می‌توانند حملاتی در سطح حرفه‌ای اجرا کنند. دوم اینکه، سرعت حملات افزایش می‌یابد؛ به‌طوری‌که فاصله بین کشف آسیب‌پذیری و بهره‌برداری از آن می‌تواند به حداقل برسد.
اما مهم‌ترین تغییر، مقیاس‌پذیری حملات است. در گذشته، یک مهاجم محدود به توان انسانی خود بود، اما اکنون یک Agent می‌تواند هزاران هدف را به‌صورت همزمان بررسی و علیه آنها اقدام کند. این موضوع، مفهوم «حمله صنعتی» را واقعی میکند.
با این حال، این وضعیت به معنای فروپاشی امنیت نیست. همان‌طور که حمله هوشمندتر شده، دفاع نیز در حال تحول است. سازمان‌ها به سمت دفاع مبتنی بر AI، اتوماسیون SOC، و سیستم‌های تصمیم‌گیری خودکار حرکت می‌کنند. در واقع، آینده امنیت سایبری به سمت یک رقابت Agent علیه Agent پیش می‌رود.
جمع‌بندی این است که «آخرالزمان امنیت سایبری» تعبیر دقیقی نیست؛ بلکه ما وارد دوره‌ای شده‌ایم که در آن سرعت، مقیاس و هوشمندی، قواعد بازی امنیت را بازنویسی می‌کنند. سازمان‌هایی موفق خواهند بود که این تغییر را نه تهدید، بلکه یک بازطراحی بنیادی در مدل دفاعی خود ببینند.
👌1🤓1
اهمیت سرویس‌های Threat Intelligence در شناسایی تهدیدات اسکریپتی
در سال‌های اخیر، بدافزارهای اسکریپتی مانند PowerShell و VBScript به یکی از رایج‌ترین ابزارهای مهاجمان سایبری تبدیل شده‌اند. این نوع تهدیدات اغلب با تکنیک‌های پیچیده پنهان‌سازی اجرا می‌شوند و شناسایی آنها تنها با ابزارهای سنتی امنیتی ممکن نیست. تصور کنید تیم امنیتی یک سازمان در لاگ‌های سیستم، اجرای یک فرمان PowerShell رمزگذاری‌شده را مشاهده کند. پس از رمزگشایی، مشخص می‌شود که فرمان قصد دارد اسکریپتی را از یک سایت ناشناس دانلود کند. با وجود این شواهد، هنوز پرسش‌های مهمی بی‌پاسخ می‌مانند: آیا این دامنه قبلاً در حملات استفاده شده است؟ آیا این رفتار نشانه یک کمپین گسترده است؟ آیا سیستم‌های دیگر نیز در معرض خطر قرار گرفته‌اند؟
در چنین شرایطی، نقش سرویس‌های Threat Intelligence مانند Google Threat Intelligence آشکار می‌شود. با جستجوی ساده دامنه یا بخشی از کد، این سرویس می‌تواند اطلاعات دقیقی از سوابق حملات مرتبط، زیرساخت‌های مهاجم، نسخه‌های مشابه بدافزار و دامنه‌های جایگزین ارائه دهد. این سطح از دید، امکان تحلیل سریع، دقیق و مبتنی بر داده را فراهم میکند و زمان تشخیص و پاسخ به حادثه را به‌طور چشمگیری کاهش می‌دهد.
بنابراین، استفاده از یک سرویس TI تنها یک گزینه تکمیلی نیست؛ بلکه بخشی حیاتی از راهبرد امنیت سایبری هر سازمان است. در برابر تهدیداتی که هر روز پیچیده‌تر می‌شوند، داشتن اطلاعات لحظه‌ای و معتبر از چشم‌انداز تهدیدات جهانی، تنها راه باقی‌مانده برای محافظت مؤثر از شبکه‌ها و داده‌هاست.
Solution to approach realtime and accurate detection for new attack
در سال‌های اخیر، بدافزارهای اسکریپتی مانند PowerShell و VBScript به یکی از رایج‌ترین ابزارهای مهاجمان سایبری تبدیل شده‌اند. این نوع تهدیدات اغلب با تکنیک‌های پیچیده پنهان‌سازی اجرا می‌شوند و شناسایی آنها تنها با ابزارهای سنتی امنیتی ممکن نیست. تصور کنید تیم امنیتی یک سازمان در لاگ‌های سیستم، اجرای یک فرمان PowerShell رمزگذاری‌شده را مشاهده کند. پس از رمزگشایی، مشخص می‌شود که فرمان قصد دارد اسکریپتی را از یک سایت ناشناس دانلود کند. با وجود این شواهد، هنوز پرسش‌های مهمی بی‌پاسخ می‌مانند: آیا این دامنه قبلاً در حملات استفاده شده است؟ آیا این رفتار نشانه یک کمپین گسترده است؟ آیا سیستم‌های دیگر نیز در معرض خطر قرار گرفته‌اند؟
در چنین شرایطی، نقش سرویس‌های Threat Intelligence مانند Google Threat Intelligence آشکار می‌شود. با جستجوی ساده دامنه یا بخشی از کد، این سرویس می‌تواند اطلاعات دقیقی از سوابق حملات مرتبط، زیرساخت‌های مهاجم، نسخه‌های مشابه بدافزار و دامنه‌های جایگزین ارائه دهد. این سطح از دید، امکان تحلیل سریع، دقیق و مبتنی بر داده را فراهم میکند و زمان تشخیص و پاسخ به حادثه را به‌طور چشمگیری کاهش می‌دهد.
بنابراین، استفاده از یک سرویس TI تنها یک گزینه تکمیلی نیست؛ بلکه بخشی حیاتی از راهبرد امنیت سایبری هر سازمان است. در برابر تهدیداتی که هر روز پیچیده‌تر می‌شوند، داشتن اطلاعات لحظه‌ای و معتبر از چشم‌انداز تهدیدات جهانی، تنها راه باقی‌مانده برای محافظت مؤثر از شبکه‌ها و داده‌هاست.
Solution to approach realtime and accurate detection for new attack
موضوع تز کارشناسی ارشد
با توجه به قطعی اینترنت مجبور شدم کمک بیشتری به دانشجویانم در مقطع کارشناسی ارشد داشته باشم . در خلال این موارد ، موضوعات مختلفی برای تز رو بررسی کردیم . اونهایی که دانشجوها بنا به دلیلی انتخاب نکردن رو اینجا میگذارم
تشخیص حملات پیشرفته پایدار (APT) با استفاده از مدل‌سازی گراف رفتاری و ترکیب Graph Neural Networks و مدل‌های زبانی بزرگ
در این پژوهش، هدف توسعه یک سیستم پیشرفته برای شناسایی حملات پیچیده و APT با ترکیب تحلیل گراف و مدل‌های زبانی بزرگ است. سامانه‌های امنیتی سنتی معمولاً رویدادها را جداگانه تحلیل می‌کنند و به همین دلیل در برابر حملاتی که به‌صورت تدریجی، پنهان و بدون شاخص‌های واضح انجام می‌شوند ناکارآمد هستند. در این تحقیق، به‌جای تحلیل Eventهای مستقل، رفتار مهاجم به‌صورت گراف رفتاری (Behavior Graph) مدل‌سازی می‌شود؛ گرافی که در آن رابطه میان پردازش‌ها، فایل‌ها، جریان‌های شبکه و فعالیت کاربران به‌صورت ساختاری نمایش داده می‌شود. سپس با استفاده از شبکه‌های عصبی گرافی (GNN) الگوهای پنهان استخراج می‌گردد و مدل قادر می‌شود رفتارهای مشکوک و مشابه حملات Zero-Day را تشخیص دهد. در ادامه، یک مدل زبانی بزرگ (LLM) خروجی تحلیل گراف را تفسیر کرده و تاکتیک‌های احتمالی مهاجم را بر اساس MITRE ATT&CK مشخص میکند و حتی مسیر احتمالی ادامه حمله را پیش‌بینی می‌نماید. نوآوری این پژوهش در ترکیب همزمان GNN و LLM و تمرکز بر «تحلیل رفتار» به‌جای «رویداد» است، که آن را در سطح تحقیقات دانشگاه‌های عالی قرار می‌دهد. این مدل می‌تواند مبنای سیستم‌های هوشمند آینده در حوزه Threat Hunting و Forensics باشد.
با توجه به قطعی اینترنت مجبور شدم کمک بیشتری به دانشجویانم در مقطع کارشناسی ارشد داشته باشم . در خلال این موارد ، موضوعات مختلفی برای تز رو بررسی کردیم . اونهایی که دانشجوها بنا به دلیلی انتخاب نکردن رو اینجا میگذارم
تشخیص حملات پیشرفته پایدار (APT) با استفاده از مدل‌سازی گراف رفتاری و ترکیب Graph Neural Networks و مدل‌های زبانی بزرگ
در این پژوهش، هدف توسعه یک سیستم پیشرفته برای شناسایی حملات پیچیده و APT با ترکیب تحلیل گراف و مدل‌های زبانی بزرگ است. سامانه‌های امنیتی سنتی معمولاً رویدادها را جداگانه تحلیل می‌کنند و به همین دلیل در برابر حملاتی که به‌صورت تدریجی، پنهان و بدون شاخص‌های واضح انجام می‌شوند ناکارآمد هستند. در این تحقیق، به‌جای تحلیل Eventهای مستقل، رفتار مهاجم به‌صورت گراف رفتاری (Behavior Graph) مدل‌سازی می‌شود؛ گرافی که در آن رابطه میان پردازش‌ها، فایل‌ها، جریان‌های شبکه و فعالیت کاربران به‌صورت ساختاری نمایش داده می‌شود. سپس با استفاده از شبکه‌های عصبی گرافی (GNN) الگوهای پنهان استخراج می‌گردد و مدل قادر می‌شود رفتارهای مشکوک و مشابه حملات Zero-Day را تشخیص دهد. در ادامه، یک مدل زبانی بزرگ (LLM) خروجی تحلیل گراف را تفسیر کرده و تاکتیک‌های احتمالی مهاجم را بر اساس MITRE ATT&CK مشخص میکند و حتی مسیر احتمالی ادامه حمله را پیش‌بینی می‌نماید. نوآوری این پژوهش در ترکیب همزمان GNN و LLM و تمرکز بر «تحلیل رفتار» به‌جای «رویداد» است، که آن را در سطح تحقیقات دانشگاه‌های عالی قرار می‌دهد. این مدل می‌تواند مبنای سیستم‌های هوشمند آینده در حوزه Threat Hunting و Forensics باشد.
❤4
وقتی نقص در ابزار باج افزاری آنرا به ابزاری برای Wipe کردن تبدیل میکند
Threat hunters are warning that the cybercriminal operation known as VECT 2.0 acts more like a wiper than a ransomware due to a critical flaw in its encryption implementation across Windows, Linux, and ESXi variants that renders recovery impossible even for the threat actors.
https://thehackernews.com/2026/04/vect-20-ransomware-irreversibly.html?m=1
Threat hunters are warning that the cybercriminal operation known as VECT 2.0 acts more like a wiper than a ransomware due to a critical flaw in its encryption implementation across Windows, Linux, and ESXi variants that renders recovery impossible even for the threat actors.
https://thehackernews.com/2026/04/vect-20-ransomware-irreversibly.html?m=1
#تجربه
ردپای فارنزیک
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\RecentDocs
نام فایل مخرب که کاربر باز کرده
زمان تقریبی تعامل کاربر با فایل
مسیر فایل دانلود شده
ردپای فارنزیک
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\RecentDocs
نام فایل مخرب که کاربر باز کرده
زمان تقریبی تعامل کاربر با فایل
مسیر فایل دانلود شده
❤2
ابزارهای EDR چگونه قلب ویندوز را پایش می‌کنند؟
رجیستری ویندوز همواره یکی از جذاب‌ترین اهداف برای مهاجمان سایبری بوده است. در گذشته، بدافزارهای پیشرفته‌ای مانند Poweliks با استفاده از تکنیک‌های بدون فایل (Fileless) و ذخیره کدهای مخرب در قالب کاراکترهای نامرئی (مثل Null-Byte) در رجیستری، از چشم آنتی‌ویروس‌های سنتی پنهان می‌ماندند. اما امروزه با تکامل سیستم‌های تشخیص و پاسخ نقطه پایانی (EDR)، مخفی شدن در این بخش از سیستم‌عامل به شدت دشوار شده است.
سیستم‌های EDR برخلاف آنتی‌ویروس‌های قدیمی که عمدتاً فایل‌های روی دیسک را اسکن می‌کردند، رویکردی پویا و مبتنی بر رفتار دارند. آنها رجیستری را از طریق سه مکانیزم اصلی به یک منطقه تحت نظارت شدید تبدیل کرده‌اند:
مهم‌ترین ابزار در این معماری، استفاده از توابع کال بک رجیستری ویندوز (Kernel Registry Callbacks) است. نرم‌افزارهای EDR با نصب یک درایور در عمیق‌ترین لایه سیستم‌عامل (Kernel)، به رابطی مانند CmRegisterCallback متصل می‌شوند. این مکانیزم ویندوز را موظف میکند پیش از انجام هرگونه عملیات خواندن، نوشتن یا حذف در رجیستری، آن را به EDR گزارش دهد تا در صورت مخرب بودن، عملیات مسدود شود.
در کنار این، EDRها از سیستم ردیابی رویدادهای ویندوز (ETW) نیز بهره می‌برند. ETW مانند یک شبکه دوربین مداربسته پرسرعت عمل میکند و جریانی از داده‌ها را در اختیار EDR قرار می‌دهد تا مشخص شود دقیقاً چه پروسه‌ای در چه زمانی تغییری ایجاد کرده است. تکنیک مکمل دیگر، هوک کردن رابط‌های برنامه‌نویسی (API Hooking) برای شنود توابع دسترسی به رجیستری در حافظه است.
در طول این وارسی‌های دقیق، EDRها به دنبال الگوهای مشکوک هستند. تلاش برای تغییر در مسیرهای اجرای خودکار، ذخیره اسکریپت‌های حجیم به جای داده‌های استاندارد در مقادیر رجیستری، زنجیره‌های اجرایی غیرمنطقی (مثلاً تلاش نرم‌افزار Word برای ساخت کلید سیستمی) و استفاده از کاراکترهای غیرمجاز، بلافاصله زنگ خطر را به صدا درمی‌آورند. با این مکانیزم‌های چندلایه، رجیستری ویندوز دیگر مخفیگاه امنی برای تهدیدات سایبری نیست.
رجیستری ویندوز همواره یکی از جذاب‌ترین اهداف برای مهاجمان سایبری بوده است. در گذشته، بدافزارهای پیشرفته‌ای مانند Poweliks با استفاده از تکنیک‌های بدون فایل (Fileless) و ذخیره کدهای مخرب در قالب کاراکترهای نامرئی (مثل Null-Byte) در رجیستری، از چشم آنتی‌ویروس‌های سنتی پنهان می‌ماندند. اما امروزه با تکامل سیستم‌های تشخیص و پاسخ نقطه پایانی (EDR)، مخفی شدن در این بخش از سیستم‌عامل به شدت دشوار شده است.
سیستم‌های EDR برخلاف آنتی‌ویروس‌های قدیمی که عمدتاً فایل‌های روی دیسک را اسکن می‌کردند، رویکردی پویا و مبتنی بر رفتار دارند. آنها رجیستری را از طریق سه مکانیزم اصلی به یک منطقه تحت نظارت شدید تبدیل کرده‌اند:
مهم‌ترین ابزار در این معماری، استفاده از توابع کال بک رجیستری ویندوز (Kernel Registry Callbacks) است. نرم‌افزارهای EDR با نصب یک درایور در عمیق‌ترین لایه سیستم‌عامل (Kernel)، به رابطی مانند CmRegisterCallback متصل می‌شوند. این مکانیزم ویندوز را موظف میکند پیش از انجام هرگونه عملیات خواندن، نوشتن یا حذف در رجیستری، آن را به EDR گزارش دهد تا در صورت مخرب بودن، عملیات مسدود شود.
در کنار این، EDRها از سیستم ردیابی رویدادهای ویندوز (ETW) نیز بهره می‌برند. ETW مانند یک شبکه دوربین مداربسته پرسرعت عمل میکند و جریانی از داده‌ها را در اختیار EDR قرار می‌دهد تا مشخص شود دقیقاً چه پروسه‌ای در چه زمانی تغییری ایجاد کرده است. تکنیک مکمل دیگر، هوک کردن رابط‌های برنامه‌نویسی (API Hooking) برای شنود توابع دسترسی به رجیستری در حافظه است.
در طول این وارسی‌های دقیق، EDRها به دنبال الگوهای مشکوک هستند. تلاش برای تغییر در مسیرهای اجرای خودکار، ذخیره اسکریپت‌های حجیم به جای داده‌های استاندارد در مقادیر رجیستری، زنجیره‌های اجرایی غیرمنطقی (مثلاً تلاش نرم‌افزار Word برای ساخت کلید سیستمی) و استفاده از کاراکترهای غیرمجاز، بلافاصله زنگ خطر را به صدا درمی‌آورند. با این مکانیزم‌های چندلایه، رجیستری ویندوز دیگر مخفیگاه امنی برای تهدیدات سایبری نیست.
❤2
بعدی از حاکمیت امنیت اطلاعات
در بسیاری از برنامه‌های حاکمیت امنیت اطلاعات، تمرکز اصلی بر سیاست‌ها، کنترل‌های دسترسی و ابزارهای امنیتی است؛ اما یکی از مؤلفه‌های حیاتی که اغلب کمتر مورد توجه قرار می‌گیرد، ردیابی منشأ و مسیر حرکت داده‌ها (Data Lineage) است. از نگاه یک متخصص باتجربه در حوزه امنیت داده، فهم دقیق اینکه یک داده از کجا ایجاد شده، از چه مسیرهایی عبور کرده، چه تغییراتی روی آن اعمال شده و در چه نقاطی مورد استفاده قرار گرفته، برای مدیریت ریسک اطلاعاتی کاملاً ضروری است.
در سازمان‌های امروزی، داده‌ها به‌صورت مداوم بین پایگاه‌های داده، سرویس‌های ابری، سیستم‌های تحلیلی و برنامه‌های کاربردی در حال جابه‌جایی هستند. بدون وجود دید شفاف نسبت به چرخه حیات داده، تیم‌های امنیتی عملاً در برابر رخدادهای امنیتی دید محدودی دارند. زمانی که یک نشت داده یا دسترسی غیرمجاز رخ می‌دهد، اولین سؤال این است: این داده دقیقاً از کجا آمده و در چه سیستم‌هایی وجود دارد؟ اگر پاسخ به این سؤال مشخص نباشد، فرآیند واکنش به حادثه به‌شدت کند و پرهزینه خواهد شد.
مقوله Data Lineage این امکان را فراهم میکند که سازمان‌ها نقشه‌ای دقیق از جریان داده‌های حساس خود داشته باشند. این نقشه نه‌تنها به شناسایی سریع منبع مشکل در زمان بروز حادثه کمک میکند، بلکه در پیشگیری از نشت اطلاعات نیز نقش مهمی دارد. با شناخت نقاط تماس داده، می‌توان کنترل‌های امنیتی را در محل‌های درست اعمال کرد و مسیرهای پرریسک را محدود ساخت.
در نهایت، سازمان‌هایی که Data Lineage را به‌عنوان بخشی از حاکمیت امنیت داده در نظر می‌گیرند، درک عمیق‌تری از دارایی‌های اطلاعاتی خود خواهند داشت. این رویکرد نه‌تنها سطح امنیت را افزایش می‌دهد، بلکه به تصمیم‌گیری آگاهانه‌تر در مدیریت داده نیز کمک میکند.
در بسیاری از برنامه‌های حاکمیت امنیت اطلاعات، تمرکز اصلی بر سیاست‌ها، کنترل‌های دسترسی و ابزارهای امنیتی است؛ اما یکی از مؤلفه‌های حیاتی که اغلب کمتر مورد توجه قرار می‌گیرد، ردیابی منشأ و مسیر حرکت داده‌ها (Data Lineage) است. از نگاه یک متخصص باتجربه در حوزه امنیت داده، فهم دقیق اینکه یک داده از کجا ایجاد شده، از چه مسیرهایی عبور کرده، چه تغییراتی روی آن اعمال شده و در چه نقاطی مورد استفاده قرار گرفته، برای مدیریت ریسک اطلاعاتی کاملاً ضروری است.
در سازمان‌های امروزی، داده‌ها به‌صورت مداوم بین پایگاه‌های داده، سرویس‌های ابری، سیستم‌های تحلیلی و برنامه‌های کاربردی در حال جابه‌جایی هستند. بدون وجود دید شفاف نسبت به چرخه حیات داده، تیم‌های امنیتی عملاً در برابر رخدادهای امنیتی دید محدودی دارند. زمانی که یک نشت داده یا دسترسی غیرمجاز رخ می‌دهد، اولین سؤال این است: این داده دقیقاً از کجا آمده و در چه سیستم‌هایی وجود دارد؟ اگر پاسخ به این سؤال مشخص نباشد، فرآیند واکنش به حادثه به‌شدت کند و پرهزینه خواهد شد.
مقوله Data Lineage این امکان را فراهم میکند که سازمان‌ها نقشه‌ای دقیق از جریان داده‌های حساس خود داشته باشند. این نقشه نه‌تنها به شناسایی سریع منبع مشکل در زمان بروز حادثه کمک میکند، بلکه در پیشگیری از نشت اطلاعات نیز نقش مهمی دارد. با شناخت نقاط تماس داده، می‌توان کنترل‌های امنیتی را در محل‌های درست اعمال کرد و مسیرهای پرریسک را محدود ساخت.
در نهایت، سازمان‌هایی که Data Lineage را به‌عنوان بخشی از حاکمیت امنیت داده در نظر می‌گیرند، درک عمیق‌تری از دارایی‌های اطلاعاتی خود خواهند داشت. این رویکرد نه‌تنها سطح امنیت را افزایش می‌دهد، بلکه به تصمیم‌گیری آگاهانه‌تر در مدیریت داده نیز کمک میکند.
#استخدام
کارشناس امنیت شبکه
تسلط بر فورتی گیت و R&S
ارسال رزومه hr@haumoun.com
لطفا ارسال کنید تا به دوستان بیشتری برسد
کارشناس امنیت شبکه
تسلط بر فورتی گیت و R&S
ارسال رزومه hr@haumoun.com
لطفا ارسال کنید تا به دوستان بیشتری برسد
استویج و مجازی سازی -- فوق ارشد
دریافتی: 120 م خالص
hr@haumoun.com
دریافتی: 120 م خالص
hr@haumoun.com
1777658958503.pdf
2.3 MB
یک کتابچه عملیاتی برای ساخت هوش مصنوعی عامل‌گرا (Agentic AI) در حوزه امنیت سایبری است. این راهنما با کنار گذاشتن فریم‌ورک‌های قدیمی‌تر مانند LangChain، منحصراً بر استفاده از پایتون، Claude Agent SDK و پروتکل MCP تمرکز دارد.
هدف اصلی سند، آموزش توسعه ایجنت‌های هوشمند برای اجرای وظایف واقعی امنیتی مانند ارزیابی آسیب‌پذیری‌ها، تریاژ تهدیدات و پاسخ به حوادث (IR) است. علاوه بر توسعه، این کتابچه اهمیت ویژه‌ای به امنیتِ خود ایجنت‌ها داده و نحوه مقابله با حملات اختصاصی هوش مصنوعی نظیر Prompt Injection و مسموم‌سازی ابزارها را آموزش می‌دهد.
هدف اصلی سند، آموزش توسعه ایجنت‌های هوشمند برای اجرای وظایف واقعی امنیتی مانند ارزیابی آسیب‌پذیری‌ها، تریاژ تهدیدات و پاسخ به حوادث (IR) است. علاوه بر توسعه، این کتابچه اهمیت ویژه‌ای به امنیتِ خود ایجنت‌ها داده و نحوه مقابله با حملات اختصاصی هوش مصنوعی نظیر Prompt Injection و مسموم‌سازی ابزارها را آموزش می‌دهد.
تبعات لو رفتن کد منبع Trellix
لو رفتن کد منبع یکی از شرکت‌های امنیتی مانند Trellix می‌تواند پیامدهای جدی و بحرانی برای امنیت سایبری و اعتبار شرکت داشته باشد. در زیر به برخی از تبعات اصلی این موضوع اشاره می‌شود:
1. بروز آسیب‌پذیری‌ها
کد منبع لو رفته به هکرها و مجرمان سایبری این امکان را می‌دهد که نقاط ضعف را شناسایی کرده و از آنها سوءاستفاده کنند. این موضوع می‌تواند منجر به گسترش حملات مبتنی بر آسیب‌پذیری‌های موجود در نرم‌افزار شود.
2. خطر تقلب و جعل
مهاجمان می‌توانند از کد لو رفته برای تولید نسخه‌های جعلی محصول استفاده کنند، که می‌تواند به کاربران آسیب برساند و به اعتبار برند لطمه بزند.
3. از دست رفتن اعتماد
این حادثه می‌تواند اعتماد مشتریان و شرکا را به شدت کاهش دهد. رابطه‌ی طولانی‌مدت شرکت با مشتریان ممکن است به خطر بیفتد و این امر می‌تواند به کاهش فروش و درآمد منجر شود.
4. مسائل قانونی
بسته به نوع اطلاعاتی که در کد وجود دارد، این لو رفتن می‌تواند تبعات قانونی به همراه داشته باشد، نظیر دعاوی حقوقی از سوی مشتریان یا شرکای تجاری.
5. نیاز به پشتیبانی فوری
شرکت ممکن است نیاز به اجرای تغییرات حاد و فوری برای مقابله با تبعات این حادثه داشته باشد، از جمله به‌روزرسانی نرم‌افزارها، اعلام خطر به مشتریان، و اجرای برنامه‌های امنیتی جدید.
6. مسایل مالی
اشکال در اعتبار و کاهش فروش می‌تواند منجر به هزینه‌های مالی چشمگیری برای شرکت شود، زیرا آنها ناچار به سرمایه‌گذاری در امنیت و تبلیغات مجدد برند خواهند بود.
https://thehackernews.com/2026/05/trellix-confirms-source-code-breach.html?m=1
لو رفتن کد منبع یکی از شرکت‌های امنیتی مانند Trellix می‌تواند پیامدهای جدی و بحرانی برای امنیت سایبری و اعتبار شرکت داشته باشد. در زیر به برخی از تبعات اصلی این موضوع اشاره می‌شود:
1. بروز آسیب‌پذیری‌ها
کد منبع لو رفته به هکرها و مجرمان سایبری این امکان را می‌دهد که نقاط ضعف را شناسایی کرده و از آنها سوءاستفاده کنند. این موضوع می‌تواند منجر به گسترش حملات مبتنی بر آسیب‌پذیری‌های موجود در نرم‌افزار شود.
2. خطر تقلب و جعل
مهاجمان می‌توانند از کد لو رفته برای تولید نسخه‌های جعلی محصول استفاده کنند، که می‌تواند به کاربران آسیب برساند و به اعتبار برند لطمه بزند.
3. از دست رفتن اعتماد
این حادثه می‌تواند اعتماد مشتریان و شرکا را به شدت کاهش دهد. رابطه‌ی طولانی‌مدت شرکت با مشتریان ممکن است به خطر بیفتد و این امر می‌تواند به کاهش فروش و درآمد منجر شود.
4. مسائل قانونی
بسته به نوع اطلاعاتی که در کد وجود دارد، این لو رفتن می‌تواند تبعات قانونی به همراه داشته باشد، نظیر دعاوی حقوقی از سوی مشتریان یا شرکای تجاری.
5. نیاز به پشتیبانی فوری
شرکت ممکن است نیاز به اجرای تغییرات حاد و فوری برای مقابله با تبعات این حادثه داشته باشد، از جمله به‌روزرسانی نرم‌افزارها، اعلام خطر به مشتریان، و اجرای برنامه‌های امنیتی جدید.
6. مسایل مالی
اشکال در اعتبار و کاهش فروش می‌تواند منجر به هزینه‌های مالی چشمگیری برای شرکت شود، زیرا آنها ناچار به سرمایه‌گذاری در امنیت و تبلیغات مجدد برند خواهند بود.
https://thehackernews.com/2026/05/trellix-confirms-source-code-breach.html?m=1
سایت lolrmm.io یک منبع فوق‌العاده (و رایگان) برای مهندسان تشخیص (Detection Engineers) است تا بتوانند کشف های سفارشی ایجاد کنند که در صورت نصب هرگونه ابزار Remote Monitoring and Management (RMM) یا Remote Desktop / Remote Support روی دسکتاپ‌ها یا سرورهای شما، به SOC هشدار بدهد.
اگر در سازمان شما سیاستی وجود دارد که مشخص میکند چه ابزارهای ریموتی مجاز هستند و چگونه باید نصب شوند، این ابزار به شما کمک میکند هر زمان که مهاجمان از این ابزارها برای دسترسی به شبکه سوءاستفاده می‌کنند، آن را شناسایی کنید.
#تجربه
مهاجمان در سطح گسترده همچنان با نرخ بالایی از این ابزارهای RMM/RDS سوءاستفاده می‌کنند. بنابراین تمرکز روی طراحی و پیاده‌سازی این نوع دتکشن‌ها، هم ارزشمند است و هم استفاده‌ی بهینه‌ای از زمان محدود مهندسی تشخیص شما محسوب می‌شود.
اگر در سازمان شما سیاستی وجود دارد که مشخص میکند چه ابزارهای ریموتی مجاز هستند و چگونه باید نصب شوند، این ابزار به شما کمک میکند هر زمان که مهاجمان از این ابزارها برای دسترسی به شبکه سوءاستفاده می‌کنند، آن را شناسایی کنید.
#تجربه
مهاجمان در سطح گسترده همچنان با نرخ بالایی از این ابزارهای RMM/RDS سوءاستفاده می‌کنند. بنابراین تمرکز روی طراحی و پیاده‌سازی این نوع دتکشن‌ها، هم ارزشمند است و هم استفاده‌ی بهینه‌ای از زمان محدود مهندسی تشخیص شما محسوب می‌شود.
❤4
برنامه CI Fortify از سوی Cybersecurity and Infrastructure Security Agency نشان‌دهنده یک تغییر پارادایم مهم در امنیت زیرساخت‌های حیاتی است؛ تغییری از تمرکز صرف بر «پیشگیری از نفوذ» به سمت «تاب‌آوری در شرایط نفوذ». این رویکرد به‌ویژه در حوزه Industrial Control Systems اهمیت دارد، جایی که اختلال در سرویس می‌تواند پیامدهای فیزیکی و اجتماعی گسترده‌ای ایجاد کند.
مقوله CI Fortify بر این فرض استوار است که در سناریوهای واقعی - به‌خصوص در بحران‌های ژئوپلیتیکی- مهاجمان ممکن است از قبل در شبکه حضور داشته باشند و ارتباطات خارجی نیز ناپایدار یا قطع شوند. بنابراین، سازمان‌ها باید معماری خود را به‌گونه‌ای طراحی کنند که حتی در شرایط compromise نیز بتوانند خدمات حیاتی را ادامه دهند. این شامل ایزوله‌سازی سیستم‌های حساس، کاهش وابستگی به سرویس‌های بیرونی و طراحی برای «عملیات در حالت کاهش‌یافته» است.
از منظر عملیاتی، این رویکرد با مفاهیمی مانند Cyber Resilience و طراحی مبتنی بر failure هم‌راستا است. در این مدل، موفقیت امنیتی نه در جلوگیری کامل از نفوذ، بلکه در توانایی حفظ عملکرد و بازیابی سریع تعریف می‌شود. در نهایت، CI Fortify سازمان‌ها را وادار میکند که امنیت را نه به‌عنوان یک لایه دفاعی، بلکه به‌عنوان بخشی از طراحی سیستم و تداوم کسب‌وکار ببینند.
https://www.cisa.gov/topics/industrial-control-systems/ci-fortify
مقوله CI Fortify بر این فرض استوار است که در سناریوهای واقعی - به‌خصوص در بحران‌های ژئوپلیتیکی- مهاجمان ممکن است از قبل در شبکه حضور داشته باشند و ارتباطات خارجی نیز ناپایدار یا قطع شوند. بنابراین، سازمان‌ها باید معماری خود را به‌گونه‌ای طراحی کنند که حتی در شرایط compromise نیز بتوانند خدمات حیاتی را ادامه دهند. این شامل ایزوله‌سازی سیستم‌های حساس، کاهش وابستگی به سرویس‌های بیرونی و طراحی برای «عملیات در حالت کاهش‌یافته» است.
از منظر عملیاتی، این رویکرد با مفاهیمی مانند Cyber Resilience و طراحی مبتنی بر failure هم‌راستا است. در این مدل، موفقیت امنیتی نه در جلوگیری کامل از نفوذ، بلکه در توانایی حفظ عملکرد و بازیابی سریع تعریف می‌شود. در نهایت، CI Fortify سازمان‌ها را وادار میکند که امنیت را نه به‌عنوان یک لایه دفاعی، بلکه به‌عنوان بخشی از طراحی سیستم و تداوم کسب‌وکار ببینند.
https://www.cisa.gov/topics/industrial-control-systems/ci-fortify
❤2
1778210799705.pdf
9.3 MB
Crowdstrike threat hunting report 2025
وقتی رفتار عادی کاربر به Execution Path تبدیل می‌شود
برداشت من از مقاله لینک زیر
یکی از خطرناک‌ترین سوءبرداشت‌ها در امنیت سایبری این است که فقط رفتارهای «غیرعادی» یا ابزارهای پیچیده می‌توانند منجر به compromise شوند. در حالی‌که بسیاری از حملات مدرن دقیقاً از دل رفتارهای روزمره کاربران شکل می‌گیرند.
آسیب‌پذیری Command Injection در Context Menu ویندوز نمونه بسیار خوبی از این واقعیت است.
عملی کاملاً طبیعی مانند Shift + Right Click روی یک پوشه و انتخاب گزینه «Open PowerShell window here» می‌تواند به execution ناخواسته کد منجر شود. مسئله اصلی نه PowerShell است و نه حتی privilege escalation؛ بلکه این واقعیت است که یک interaction عادی کاربر، به execution path تبدیل شده است.
این دقیقاً همان بخشی است که در بسیاری از Threat Modelها نادیده گرفته می‌شود.
اغلب تیم‌ها هنگام طراحی دفاع امنیتی روی مواردی مانند malware execution، exploit chain یا persistence تمرکز می‌کنند؛ اما کمتر این سؤال را می‌پرسند:
در دنیای واقعی، مهاجمان الزاماً به دنبال exploitهای پیچیده kernel نیستند. گاهی کافی است فرآیندی پیدا کنند که:
کاربر به آن اعتماد دارد،
به‌صورت روزمره استفاده می‌شود،
و در پشت‌صحنه command construction ناامن انجام می‌دهد.
همین mindset باعث شده در سال‌های اخیر تکنیک‌های Living-off-the-Land اهمیت بیشتری پیدا کنند؛ زیرا مهاجم از ابزارها و workflowهای legitimate سیستم علیه خود سیستم استفاده میکند.
نمونه ای که گفته شد یک درس مهم برای معماران امنیت، SOCها و حتی توسعه‌دهندگان دارد:
هر UI action، context menu، automation flow یا helper script می‌تواند عملاً بخشی از attack surface باشد؛ حتی اگر سال‌ها «قابلیت عادی سیستم‌عامل» تلقی شده باشد.
در امنیت مدرن، صرفاً بررسی executableها کافی نیست؛ باید مسیرهای تبدیل «رفتار عادی» به «execution» را هم مدل‌سازی کرد.
https://specterops.io/blog/2026/05/07/shift-happens-uncovering-two-built-in-command-injections-in-windows-context-menus/
برداشت من از مقاله لینک زیر
یکی از خطرناک‌ترین سوءبرداشت‌ها در امنیت سایبری این است که فقط رفتارهای «غیرعادی» یا ابزارهای پیچیده می‌توانند منجر به compromise شوند. در حالی‌که بسیاری از حملات مدرن دقیقاً از دل رفتارهای روزمره کاربران شکل می‌گیرند.
آسیب‌پذیری Command Injection در Context Menu ویندوز نمونه بسیار خوبی از این واقعیت است.
عملی کاملاً طبیعی مانند Shift + Right Click روی یک پوشه و انتخاب گزینه «Open PowerShell window here» می‌تواند به execution ناخواسته کد منجر شود. مسئله اصلی نه PowerShell است و نه حتی privilege escalation؛ بلکه این واقعیت است که یک interaction عادی کاربر، به execution path تبدیل شده است.
این دقیقاً همان بخشی است که در بسیاری از Threat Modelها نادیده گرفته می‌شود.
اغلب تیم‌ها هنگام طراحی دفاع امنیتی روی مواردی مانند malware execution، exploit chain یا persistence تمرکز می‌کنند؛ اما کمتر این سؤال را می‌پرسند:
«کدام رفتار عادی کاربر می‌تواند به surface اجرای کد تبدیل شود؟»
در دنیای واقعی، مهاجمان الزاماً به دنبال exploitهای پیچیده kernel نیستند. گاهی کافی است فرآیندی پیدا کنند که:
کاربر به آن اعتماد دارد،
به‌صورت روزمره استفاده می‌شود،
و در پشت‌صحنه command construction ناامن انجام می‌دهد.
همین mindset باعث شده در سال‌های اخیر تکنیک‌های Living-off-the-Land اهمیت بیشتری پیدا کنند؛ زیرا مهاجم از ابزارها و workflowهای legitimate سیستم علیه خود سیستم استفاده میکند.
نمونه ای که گفته شد یک درس مهم برای معماران امنیت، SOCها و حتی توسعه‌دهندگان دارد:
هر UI action، context menu، automation flow یا helper script می‌تواند عملاً بخشی از attack surface باشد؛ حتی اگر سال‌ها «قابلیت عادی سیستم‌عامل» تلقی شده باشد.
در امنیت مدرن، صرفاً بررسی executableها کافی نیست؛ باید مسیرهای تبدیل «رفتار عادی» به «execution» را هم مدل‌سازی کرد.
https://specterops.io/blog/2026/05/07/shift-happens-uncovering-two-built-in-command-injections-in-windows-context-menus/
❤6