آکادمی آموزش روزبه 📚 pinned «سوال؛ آزمایشگاه فارنزیک و تحلیل بدافزار :
یکسری DLL حاصل از اجرای یک فایل exe تولید شده است. در آنالیز تایم لاین؛ آیا شماره جدول MFT برای prefetch فایل اون exe بعداز فایل های DLL است یا قبل از آن یا مشاهده نمی‌گردد یا اصلا تولید نمیشود؟»
یکسری DLL حاصل از اجرای یک فایل exe تولید شده است. در آنالیز تایم لاین؛ آیا شماره جدول MFT برای prefetch فایل اون exe بعداز فایل های DLL است یا قبل از آن یا مشاهده نمی‌گردد یا اصلا تولید نمیشود؟»
راهنمایی برای تیم آبی
دربرابر کبالت استرایک
#آکادمی_روزبه
https://thedfirreport.com/2022/01/24/cobalt-strike-a-defenders-guide-part-2/
دربرابر کبالت استرایک
#آکادمی_روزبه
https://thedfirreport.com/2022/01/24/cobalt-strike-a-defenders-guide-part-2/
The DFIR Report
Cobalt Strike, a Defender’s Guide - Part 2
In this post, we will focus on the network traffic it produced, and provide some easy wins defenders can be on the look out for to detect beaconing activity. We cover topics such as Domain Fronting, SOCKS proxy, C2 traffic, Sigma rules, JARM, JA3/s, RITA…
اگر به CISSP علاقمندید این فیلمها که مرتبط با سرفصل های این آموزش و آزمون هستند را ببینید
#آکادمی_روزبه
https://www.studynotesandtheory.com/single-post/if-you-re-studying-for-the-cissp-watch-these-movies
#آکادمی_روزبه
https://www.studynotesandtheory.com/single-post/if-you-re-studying-for-the-cissp-watch-these-movies
studynotesandtheory
If You’re Studying For The CISSP, Watch These Movies
I knew if I wanted to pass the CISSP the first time, I’d need to eat, sleep, dream, breathe the CISSP. Studying for the CISSP became a strong part of my everyday thinking. I’d wake up thinking about DRP/BCP, and I’d go to sleep thinking about Mandatory Access…
اهمیت زمان در مدیریت حادثه سایبری
#مثال
در باب اهمیت زمان در مقوله فوق قلمفرسایی بسیاری شده است. فقط یک نکته را من مجدد یادآور شوم.
اگر هرچه زودتر بدانید سیستمی آلوده شده یا دست هکر است بهتر است. و هرچه زودتر سیستم تحویل واحد فارنزیک بشود نتیجه بهتری را شاهد خواهیم بود.
حتی اگر پس از آلودگی، دستگاه فرمت شده باشد و ویندوز جدید نصب شده باشد می‌توان کاری کرد.
اصولا هرچه زمان بگذرد بخشی از ردپا ها از بین می‌روند.
مثلا در مثال فوق اگر سریع عمل کنید امکان دارد بتوانید فایل MFT قبلی را پیدا کنید و بازنویسی نشده باشد. آن فایل حاوی اطلاعات مهمی است که تحلیلگر فارنزیک می‌تواند نتیجه گیری های مهمی از آن بگیرد.
برای مثال رفتارهایی که با فایل ها در سیستم سابق شده است چیست؟ چون MFT بنوعی دیتابیسی از اطلاعات و متا دیتای فایلهای درایو است .
#تجربه #درس_آموخته
#فارنزیک
#cybersecurity ##cyberforensics
#آکادمی_روزبه
#مثال
در باب اهمیت زمان در مقوله فوق قلمفرسایی بسیاری شده است. فقط یک نکته را من مجدد یادآور شوم.
اگر هرچه زودتر بدانید سیستمی آلوده شده یا دست هکر است بهتر است. و هرچه زودتر سیستم تحویل واحد فارنزیک بشود نتیجه بهتری را شاهد خواهیم بود.
حتی اگر پس از آلودگی، دستگاه فرمت شده باشد و ویندوز جدید نصب شده باشد می‌توان کاری کرد.
اصولا هرچه زمان بگذرد بخشی از ردپا ها از بین می‌روند.
مثلا در مثال فوق اگر سریع عمل کنید امکان دارد بتوانید فایل MFT قبلی را پیدا کنید و بازنویسی نشده باشد. آن فایل حاوی اطلاعات مهمی است که تحلیلگر فارنزیک می‌تواند نتیجه گیری های مهمی از آن بگیرد.
برای مثال رفتارهایی که با فایل ها در سیستم سابق شده است چیست؟ چون MFT بنوعی دیتابیسی از اطلاعات و متا دیتای فایلهای درایو است .
#تجربه #درس_آموخته
#فارنزیک
#cybersecurity ##cyberforensics
#آکادمی_روزبه
یک گزارش APT بخونیم
#آکادمی_روزبه
https://intel471.com/blog/threat-hunting-case-study-uncovering-fin7?utm_content=307648580&utm_medium=social&utm_source=linkedin&hss_channel=lcp-3744600
#آکادمی_روزبه
https://intel471.com/blog/threat-hunting-case-study-uncovering-fin7?utm_content=307648580&utm_medium=social&utm_source=linkedin&hss_channel=lcp-3744600
Intel 471
Threat hunting case study: Uncovering FIN7
FIN7 is one of the most persistent and capable financially motivated threat actor groups. Here's how to threat hunt for signs of a FIN7 intrusion.
امکان ارتقای دسترسی با توجه به آسیب پذیری در Installer ویندوز
#آکادمی_روزبه
https://sec-consult.com/blog/detail/msi-installer-repair-to-system-a-detailed-journey/
#آکادمی_روزبه
https://sec-consult.com/blog/detail/msi-installer-repair-to-system-a-detailed-journey/
SEC Consult
Microsoft Windows MSI Installer - Repair to SYSTEM - A detailed journey
Repair functions of Microsoft Windows MSI installers can be vulnerable in several ways, for instance allowing local attackers to escalate their privileges to SYSTEM rights. This vulnerability is referenced as CVE-2024-38014.
چرا حمله به اکتیو دایرکتوری میتونه از لینوکس راحت تر باشه
#آکادمی_روزبه
https://gatari.dev/posts/the-art-of-exploiting-ad-from-linux/
#آکادمی_روزبه
https://gatari.dev/posts/the-art-of-exploiting-ad-from-linux/
۱۱ ابزار هک جدید در نسخه جدید کالی
#آکادمی_روزبه
https://www.kali.org/blog/kali-linux-2024-3-release/
#آکادمی_روزبه
https://www.kali.org/blog/kali-linux-2024-3-release/
Kali Linux
Kali Linux 2024.3 Release (Multiple transitions)
With summer coming to an end, so are package migrations, and Kali 2024.3 can now be released. You can now start downloading or upgrading if you have an existing Kali installation. The summary of the changelog since the 2024.2 release from June is: Qualcomm…
Windows+ATT&CK_Logging+Cheat+Sheet_ver_Sept_2018.pdf
1.1 MB
🔆 جدول رویداد های ویندوز در تناظر با تکنیک های جدول مایتره
⛳️ یعنی برای کشف یک تکنیک نفوذ و حمله ای که نام برده شده است چه Event ID در لاگ برای کشف وجود دارد
#آکادمی_روزبه
#cybersecurity #threathunting #cyberforensics
⛳️ یعنی برای کشف یک تکنیک نفوذ و حمله ای که نام برده شده است چه Event ID در لاگ برای کشف وجود دارد
#آکادمی_روزبه
#cybersecurity #threathunting #cyberforensics
آشنایی با مفهومی مهم برای SOC
#آکادمی_روزبه
بسیار کاربردی در رول نویسی و هانت
https://redcanary.com/blog/threat-detection/better-know-a-data-source/process-integrity-levels/
#آکادمی_روزبه
بسیار کاربردی در رول نویسی و هانت
https://redcanary.com/blog/threat-detection/better-know-a-data-source/process-integrity-levels/
Red Canary
Better know a data source: Process integrity levels | Red Canary
Impossible to spoof, process integrity levels dictate trust between securable objects, offering great visibility into privilege escalation.
مقاله ی خوب بخوانیم
امروز درمورد متریک های هانت مطلبی داشتم.
اما یک مقاله کاملتر در این زمینه در لینک زیر هست که توصیه میکنم بخونید
اگر سخت بود و نتونستید بخاطر شرایط تحریم اکانت مدیوم داشته باشید لینک مقاله رو در سایت readmedium دات کام بگذارید سپس مقاله کامل رو دریافت کنید
https://kostas-ts.medium.com/threat-hunting-metrics-the-good-the-bad-and-the-ugly-d662907379b2
امروز درمورد متریک های هانت مطلبی داشتم.
اما یک مقاله کاملتر در این زمینه در لینک زیر هست که توصیه میکنم بخونید
اگر سخت بود و نتونستید بخاطر شرایط تحریم اکانت مدیوم داشته باشید لینک مقاله رو در سایت readmedium دات کام بگذارید سپس مقاله کامل رو دریافت کنید
https://kostas-ts.medium.com/threat-hunting-metrics-the-good-the-bad-and-the-ugly-d662907379b2
Medium
Threat Hunting Metrics: The Good, The Bad and The Ugly
Threat hunting is a crucial aspect of information security, but measuring its effectiveness can be challenging. In this article, we will…
چالش کمبود امنیت هنوز باقی است
#آکادمی_روزبه
برخلاف برخی نظر ها
هنوز کمبود نیروی انسانی امنیت در دنیا چالش است
#cybersecurity
https://www.darkreading.com/cybersecurity-operations/cyber-staffing-shortages-remain-cisos-biggest-challenge
#آکادمی_روزبه
برخلاف برخی نظر ها
هنوز کمبود نیروی انسانی امنیت در دنیا چالش است
#cybersecurity
https://www.darkreading.com/cybersecurity-operations/cyber-staffing-shortages-remain-cisos-biggest-challenge
Darkreading
Cyber Staffing Shortages Remain CISOs' Biggest Challenge
Besides operational issues connected to a talent shortage, the cost of running security platforms — and their training costs — also keeps CISOs up at night.
قسمت ۱۴ از EDR
🟥 یکی از حملات شایع تزریق در پراسس Svchost است. از این راه میتوانند در لابلای پراسس مجاز به فعالیت خود ادامه دهند. چون این پراسس از بدیهیات ویندوز است. روش‌های مختلفی برای کشف توسط تلفیق لاگ ها در SIEM گفته شده است.
✅️اما راه ساده ای هم هست.
برخی EDR ها میتوانند کل فعالیت پراسس را شنود کنند و همان اول که مورد مشکوکی دیدند با آن مقابله کنند.
🏵مثلا در سیمنتک بخش Recorder این کار را برای ما انجام می‌دهد. اگر آنرا تنظیم نکرده اید همین فردا انجام دهید.
⛔️نباید محصولاتی که خریده اید را کامل استفاده نکنید و ماژولهایشان خاک بخورند. باید فیچر های آنها را فعال کرده و استفاده کنید. چون پول داده اید و در قبال تامین امنیت سازمان مسوول هستید.
اگر برند دیگری این ماژول را دارد به ادمین پیام دهید .
#تجربه #درس_آموخته
https://redcanary.com/threat-detection-report/techniques/process-injection/
#cybersecurity #threathunting
🟥 یکی از حملات شایع تزریق در پراسس Svchost است. از این راه میتوانند در لابلای پراسس مجاز به فعالیت خود ادامه دهند. چون این پراسس از بدیهیات ویندوز است. روش‌های مختلفی برای کشف توسط تلفیق لاگ ها در SIEM گفته شده است.
✅️اما راه ساده ای هم هست.
برخی EDR ها میتوانند کل فعالیت پراسس را شنود کنند و همان اول که مورد مشکوکی دیدند با آن مقابله کنند.
🏵مثلا در سیمنتک بخش Recorder این کار را برای ما انجام می‌دهد. اگر آنرا تنظیم نکرده اید همین فردا انجام دهید.
⛔️نباید محصولاتی که خریده اید را کامل استفاده نکنید و ماژولهایشان خاک بخورند. باید فیچر های آنها را فعال کرده و استفاده کنید. چون پول داده اید و در قبال تامین امنیت سازمان مسوول هستید.
اگر برند دیگری این ماژول را دارد به ادمین پیام دهید .
#تجربه #درس_آموخته
https://redcanary.com/threat-detection-report/techniques/process-injection/
#cybersecurity #threathunting
Red Canary
Process Injection - Red Canary Threat Detection Report
Process Injection enables adversaries to execute potentially suspicious processes in the context of seemingly benign ones.