امنیت و حریم شخصی در فناوری 5G

#آکادمی_روزبه

سناریوهای پاک کردن لاگ در ویندوز و نحوه تشخیص آن در SOC

#آکادمی_روزبه
#usecase
#threathunting
https://malwarenailed.blogspot.com/2017/10/update-to-hunting-mimikatz-using-sysmon.html?m=1

در تعطیلات ، مستند تحلیل بخوانیم:
HermeticWiper Analysis

#آکادمی_روزبه

از خصوصیات اختصاصی این بد افزار میتوان به موارد زیر اشاره کرد:

Interacts with the system via signed driver

Disables crash dump functionality (Anti-Forensic)

Modifies “GlobalFolderOptions” registry at file permission level (NTFS)

Checks for FAT (Windows XP) and NTFS (Windows OS newer than XP using NTFS)

Corrupts (Destroys) MBR and NTFS file system 

Reported to have been deployed via Group Policy Object (Windows Active Directory Group Policy Object)

این تحلیل از اسپلانک را با هم بخوانیم 👇
https://www.splunk.com/en_us/blog/security/detecting-hermeticwiper.html?utm_source=linkedin&utm_medium=organicsocial&linkId=157816960

#فارنزیک
BitCracker

تحلیل دیسک های رمز نگاری شده با Bitlocker

#آکادمی_روزبه

مجله امنیت سایبری

مصاحبه با متخصصان امنیت سایبری در مورد موضوعات مهم سال 2022

#آکادمی_روزبه
#دوره_زبان_انگلیسی_امنیت

مایتره TA0004: ارتقای دسترسی در ویندوز
۱۸ صفحه مستند

ویندوز 10و دامین کنترلر

#پیک_شادی #نوروز

#آکادمی_روزبه

تست نفوذ بر روی MSSQL

#آکادمی_روزبه

#linux
اگر قصد دارید از لینوکس بعنوان سیستم عامل شخصی یا سیستم عامل کلاینت های سازمان استفاده کنید، این مستند امن سازی به کارتون میاد

#آکادمی_روزبه

#مدیریت_حادثه

از جمله چارتهایی که در مستندات مدیریت حادثه سایبری باید وجود داشته باشد

#آکادمی_روزبه

یکی از مواردی که در تقویت دانش دفاعی و تهاجمی موثر است مطالعه مستندات تحلیلی از بدافزار ها است.
و #نوروز فرصت خوبی است برای افزایش این دست از مطالعه ها .

در مستند زیر قابلیت های جدید باج افزار SunCrypt که از نوع RaaS است را میتوانید بخوانید

#آکادمی_روزبه
#مطالعه_نوروز

https://blog.minerva-labs.com/suncrypt-ransomware-gains-new-abilities-in-2022?hs_amp=true

دزدیدن سرتیفیکیت ها در ویندوز

#redteam

با ابزار CertStealer که با دات نت نوشته شده است میتوان بدون اینکه به دیسک دسترسی داشت ، سرتیفیکت ها را از Windows certificate store درآورد یا بدان تزریق کرد و برای عملیاتی چون Pivot استفاده کرد.

البته این ابزار بعنوان ویروس شناخته میشود ، لذا اولا نبایستی روی دیسک مقصد اجرا گردد و ثانیا باید قبل از استفاده از آن؛ AMSI را دور زده باشید . همچنین انجام obfuscate با ابزاری چون ConfuserEx ضروری است

#آکادمی_روزبه


https://github.com/TheWover/CertStealer

درهم ریختن کد ها (obfuscate) کاربردهای چندی دارد یکی از آنها جلوگیری از سرقت کد های نرم افزارها و کاربرد دیگر ، دور زدن آنتی ویروس ها است

با استفاده از ابزار رایگان LoGiC.NET کدهای خود را درهم ریخته کنید

#آکادمی_روزبه
https://github.com/AnErrupTion/LoGiC.NET

#پاورشل
#treathunting

همانطور که میدانیم پاورشل ابزار قدرتمندی برای اجرای دستورات در ویندوز است به نحوی که حتی میتوان برخی دستورات مهم را کاملا در حافظه اجرا کرد بدون اینکه روی دیسک چیزی نوشته شود .
باید دانست وقتی که از پاورشل استفاده میشود، اقلام فارنزیکی را از خود برجای میگذارد.

در سال ۲۰۱۵ خصوصیت
Script Block Logging
بصورت پیش فرض در ویندوز فعال شده است که باعث میشود کل دستور و اسکریپت لاگ شود
وقتی اسکریپت بزرگ باشد پاورشل آنرا به قطعاتی میشکند و در چند لاگ آنرا درج میکند
Event ID 4104
در مقاله زیر نحوه برخورد با این عمل و بازسازی دستور و بررسی های مربوطه را میخوانیم
#آکادمی_روزبه

https://news.sophos.com/en-us/2022/03/29/reconstructing-powershell-scripts-from-multiple-windows-event-logs/amp/

لینک زیر را برای مشاهده ویدیو های کنفرانس ATT&CKcon 3.0 که درجریان است را داشته باشید تا چند روز آتی که ویدیوها بارگذاری شد آنها را ملاحظه فرمایید

https://m.youtube.com/playlist?list=PLkTApXQou_8KKl3fOIPKD_9pNpmSe1TKu

#آکادمی_روزبه
لینک اسلاید های کنفرانس 2 در زیر

https://www.slideshare.net/attackcon2018/presentations

هر فناوری که مورد استفاده قرار میگیرد بایستی امنیت آنرا هم مد نظر داشت

چک لیست امنیت کانتینر را در زیر ببینیم

#آکادمی_روزبه


https://link.medium.com/bLI0Or0YPob

نکات مهم در راه اندازی و نگهداری SOC

درمستند ۱۸ صفحه ای فوق ، ۱۱ نکته استراتژیک در مرکز عملیات امنیت را ببینید

#آکادمی_روزبه
#soc

با اینکه در اکتیو دایرکتوری خبری از جاوا نیست اما راهکارهای تسخیر اکتیو دایرکتوری با استفاده از Log4shell را در مستند فوق بخوانید .

#آکادمی_روزبه
#activedirectory

Detecting Lateral Movements in Windows Infrastructure

از مرکز CERT اتحادیه اروپا

#آکادمی_روزبه

📌انجام Syscall ( فراخوانی درخواست از فضای کرنل ) بدون برانگیختن حساسیت آنتی ویروس در لینک زیر

https://www.ired.team/offensive-security/defense-evasion/using-syscalls-directly-from-visual-studio-to-bypass-avs-edrs

#آکادمی_روزبه

✅رول کشف فراخوانی های Syscall به زبان EQL به همراه رفرنس ها به جدول مایتره ATT&CK در لینک زیر

https://www.elastic.co/guide/en/security/8.0/suspicious-process-access-via-direct-system-call.html

تکنیک و تاکتیک ها و روشهای(TTPs ) مورد استفاده در حمله ی $LAPSUS را در لینک زیر مطالعه کنید

📍نکته: دو تکنیک مهم مورد استفاده در این حمله عبارتند از

✳️TA0005: Defence Evasion
✳️T1553.002: Subvert Trust Controls: Code Signing

#آکادمی_روزبه

https://michaelkoczwara.medium.com/lapsus-ttps-431d1ca21e80