گزارش تحلیلی
وقتی کاربران ایرانی نمی‌توانند ادوبی را به روز کنند ممکن است در این دام بیفتند
#آکادمی_روزبه
https://blogs.jpcert.or.jp/en/2024/12/watering_hole_attack_part1.html
وقتی کاربران ایرانی نمی‌توانند ادوبی را به روز کنند ممکن است در این دام بیفتند
#آکادمی_روزبه
https://blogs.jpcert.or.jp/en/2024/12/watering_hole_attack_part1.html
JPCERT/CC Eyes
Recent Cases of Watering Hole Attacks, Part 1 - JPCERT/CC Eyes
Nowadays, many people probably recognize exploit of vulnerabilities in publicly exposed assets such as VPN and firewalls as the attack vector. In fact, many security incidents reported to JPCERT/CC also involve such devices. This is because vulnerabilities…
آکادمی آموزش روزبه 📚 pinned «برگزاری حضوری یا آنلاین ؟
پیرو درخواست متعدد عزیزان ، قصد دارم دوره مدرک عالی CISSP رو در بهمن ماه اجرا کنم. امکان برگزاری دوره حضوری بصورت کمپ در مراکز استانها درصورت وجود فردی برای هماهنگی وجود دارد»
پیرو درخواست متعدد عزیزان ، قصد دارم دوره مدرک عالی CISSP رو در بهمن ماه اجرا کنم. امکان برگزاری دوره حضوری بصورت کمپ در مراکز استانها درصورت وجود فردی برای هماهنگی وجود دارد»
امروز اسناد مناقصه دیدم واسه مشاوره امنیت .
کلی تخصص ردیف کرده بود.
زنگ زدم توضیح دادم آیا با CISSP آشنا هستید ؟ چون هرچی نوشتین تو CISSP هست.
اگه آشنا بودن کافی بود یه CISSP مینوشتن
این مدرک به قدر خودش در ایران شناخته نشده
یه نگاهی به تعداد دارندگان اون در جهان بندازیم
https://en.m.wikipedia.org/wiki/Certified_Information_Systems_Security_Professional
کلی تخصص ردیف کرده بود.
زنگ زدم توضیح دادم آیا با CISSP آشنا هستید ؟ چون هرچی نوشتین تو CISSP هست.
اگه آشنا بودن کافی بود یه CISSP مینوشتن
این مدرک به قدر خودش در ایران شناخته نشده
یه نگاهی به تعداد دارندگان اون در جهان بندازیم
https://en.m.wikipedia.org/wiki/Certified_Information_Systems_Security_Professional
این مطلب رو جناب پیام طاهری به اشتراک گذاشتند خیلی جالب بود گفتم شما هم استفاده ببرید
#آکادمی_روزبه
https://practicalsecurityanalytics.com/extracting-credentials-from-windows-logs/
#آکادمی_روزبه
https://practicalsecurityanalytics.com/extracting-credentials-from-windows-logs/
Practical Security Analytics LLC
Extracting Credentials From Windows Logs
Overview During a recent engagement, I observed a lot of members of a particular organization authenticating with remote systems and services over the commandline with username and password in plai…
توصیه میکنم آپاچی رو دریابید چون PoC اومده
#آکادمی_روزبه
https://securityonline.info/cve-2024-45387-poc-published-for-critical-sql-injection-in-apache-traffic-control/
#آکادمی_روزبه
https://securityonline.info/cve-2024-45387-poc-published-for-critical-sql-injection-in-apache-traffic-control/
Cybersecurity News
CVE-2024-45387: PoC Published for Critical SQL Injection in Apache Traffic Control
With a PoC exploit already circulating and a near-perfect CVSS score, CVE-2024-45387 is a significant threat to organizations using Apache Traffic Control
هر وقت سازمانی رفت سراغ cobit و SABSA و C2M2 و امثالهم ؛ میشه انتظار داشت اون سازمان از خیلی جنبه ها بالغ شده وگرنه دراکثر سازمان‌ها فعلا تجارت ابزار و نرم افزار داریم تا استفاده از اونها.
اونوقت حتی میشه در مورد کیفیت پذیرایی از پرسنل اون سازمان تا کیفیت رول نویسی روی فایروال نظر داد
سراغ اینها رفتن شاید یه همت ملی میخواد .
#آکادمی_روزبه
اونوقت حتی میشه در مورد کیفیت پذیرایی از پرسنل اون سازمان تا کیفیت رول نویسی روی فایروال نظر داد
سراغ اینها رفتن شاید یه همت ملی میخواد .
#آکادمی_روزبه
⚠️شما شماره ملی یکی رو داشته باش
و
موبایلش
نتیجه آزمایش‌پزشکی اونو در بسیاری از آزمایشگاه‌های تهران ببین.
همین قدر زیبا
همین قدر بی امنیت و بی اهمیت !!
حریم شخصی ما
🚫پس شماره تلفنت پسوردت شده لذا اونو هرجایی نده !!
چون مسوولین رسیدگی نمیکنن این راهکار رو گفتم .
پی نوشت : در آمریکا قانون حفاظت از اسناد پزشکی تحت نام HIPAA وجود دارد .
و
موبایلش
نتیجه آزمایش‌پزشکی اونو در بسیاری از آزمایشگاه‌های تهران ببین.
همین قدر زیبا
همین قدر بی امنیت و بی اهمیت !!
حریم شخصی ما
🚫پس شماره تلفنت پسوردت شده لذا اونو هرجایی نده !!
چون مسوولین رسیدگی نمیکنن این راهکار رو گفتم .
پی نوشت : در آمریکا قانون حفاظت از اسناد پزشکی تحت نام HIPAA وجود دارد .
یکدل تا اخذ مدرک عالی امنیت
افزایش CISSP از ۶ نفر کنونی در ایران
واتس اپ برای پیوستن به ما
09902857290
افزایش CISSP از ۶ نفر کنونی در ایران
واتس اپ برای پیوستن به ما
09902857290
اولین PoC سال جدید میلادی برای ویندوز
#آکادمی_روزبه
https://github.com/SafeBreach-Labs/CVE-2024-49112
#آکادمی_روزبه
https://github.com/SafeBreach-Labs/CVE-2024-49112
GitHub
GitHub - SafeBreach-Labs/CVE-2024-49113: LdapNightmare is a PoC tool that tests a vulnerable Windows Server against CVE-2024-49113
LdapNightmare is a PoC tool that tests a vulnerable Windows Server against CVE-2024-49113 - SafeBreach-Labs/CVE-2024-49113
⚠️وقتی ویندوز علیه شما دستکاری می‌شود: تعییر پروفایل پاورشل
بحثی پیرامون مدل بلوغ SOC در دوره CISSP
#blueteam #cissp
برای مثال، در یک سناریوی واقعی، هکر می‌تواند تغییراتی در پروفایل پاورشِل (PowerShell Profiles)اعمال کند تا از کشف فعالیت‌های مخرب خود جلوگیری کند. این پروفایل‌ها فایل‌های اسکریپتی هستند که هنگام اجرای پاورشِل بارگذاری می‌شوند و می‌توانند برای تغییر تنظیمات و محیط پاورشِل استفاده شوند.
❇️مثال سناریوی مخرب:
هکر می‌تواند با اضافه کردن اسکریپتی به پروفایل پاورشِل، ردپاهای لاگ‌برداری یا فرمان‌های قبلی را حذف کند.
فایل‌های پروفایل پاورشِل:
پروفایل‌ها معمولاً در یکی از مسیرهای زیر قرار دارند:
- C:\Users\<UserName>\Documents\WindowsPowerShell\Microsoft.PowerShell_profile.ps1
- C:\Windows\System32\WindowsPowerShell\v1.0\profile.ps1
👈تغییر مخرب:
هکر می‌تواند کدی مانند زیر به پروفایل اضافه کند:
powershell
پاک کردن تاریخچه فرمان‌ها
Remove-Item -Path (Get-PSReadlineOption).HistorySavePath -Force
غیرفعال کردن تاریخچه برای استفاده‌های بعدی
Set-PSReadlineOption -HistorySaveStyle SaveNothing
پنهان کردن فرمان‌ها در لاگ‌های Event Viewer
$LogFile = "C:\Windows\System32\LogFiles\PowerShell.evtx"
Remove-Item -Path $LogFile -Force -ErrorAction SilentlyContinue
☣️اثرات:
1. پاک کردن تاریخچه دستورات: تمام دستورات اجرا شده در پاورشِل حذف می‌شوند.
2. غیرفعال کردن ثبت دستورات: تضمین می‌کند که تاریخچه دستورات جدید ثبت نشود.
3. حذف فایل‌های لاگ: فایل‌های لاگ مرتبط با پاورشِل از سیستم حذف می‌شوند.
✅️ نحوه تشخیص:
- بررسی تغییرات در فایل‌های پروفایل پاورشِل (مانند تغییر زمان آخرین ویرایش).
- استفاده از ابزارهای SIEM (مانند Splunk) برای شناسایی فعالیت‌های غیرمعمول.
- اجرای دستوری برای مشاهده پروفایل کاربر:
powershell
Get-Content $PROFILE
- استفاده از نرم‌افزارهای نظارتی برای جلوگیری از تغییر در فایل‌های پروفایل حساس.
🔰راهکارهای پیشگیرانه:
1. فعال کردن AppLocker یا WDAC:برای جلوگیری از اجرای پروفایل‌های غیرمجاز.
2. محدود کردن دسترسی به فایل‌های پروفایل: فقط کاربران مجاز بتوانند این فایل‌ها را تغییر دهند.
3. استفاده از مانیتورینگ پاورشِل:نظارت بر دستورات و فایل‌های پروفایل پاورشِل با ابزارهایی مانند Microsoft Defender for Endpoint.
** واتس اپ برای شرکت در دوره مدرک عالی امنیت CISSP:
09902857290
#cissp #cisspexam #cisspperp
بله یک شبه نمیتوان SOC کامل داشت.
#آکادمی_روزبه
بحثی پیرامون مدل بلوغ SOC در دوره CISSP
#blueteam #cissp
برای مثال، در یک سناریوی واقعی، هکر می‌تواند تغییراتی در پروفایل پاورشِل (PowerShell Profiles)اعمال کند تا از کشف فعالیت‌های مخرب خود جلوگیری کند. این پروفایل‌ها فایل‌های اسکریپتی هستند که هنگام اجرای پاورشِل بارگذاری می‌شوند و می‌توانند برای تغییر تنظیمات و محیط پاورشِل استفاده شوند.
❇️مثال سناریوی مخرب:
هکر می‌تواند با اضافه کردن اسکریپتی به پروفایل پاورشِل، ردپاهای لاگ‌برداری یا فرمان‌های قبلی را حذف کند.
فایل‌های پروفایل پاورشِل:
پروفایل‌ها معمولاً در یکی از مسیرهای زیر قرار دارند:
- C:\Users\<UserName>\Documents\WindowsPowerShell\Microsoft.PowerShell_profile.ps1
- C:\Windows\System32\WindowsPowerShell\v1.0\profile.ps1
👈تغییر مخرب:
هکر می‌تواند کدی مانند زیر به پروفایل اضافه کند:
powershell
پاک کردن تاریخچه فرمان‌ها
Remove-Item -Path (Get-PSReadlineOption).HistorySavePath -Force
غیرفعال کردن تاریخچه برای استفاده‌های بعدی
Set-PSReadlineOption -HistorySaveStyle SaveNothing
پنهان کردن فرمان‌ها در لاگ‌های Event Viewer
$LogFile = "C:\Windows\System32\LogFiles\PowerShell.evtx"
Remove-Item -Path $LogFile -Force -ErrorAction SilentlyContinue
☣️اثرات:
1. پاک کردن تاریخچه دستورات: تمام دستورات اجرا شده در پاورشِل حذف می‌شوند.
2. غیرفعال کردن ثبت دستورات: تضمین می‌کند که تاریخچه دستورات جدید ثبت نشود.
3. حذف فایل‌های لاگ: فایل‌های لاگ مرتبط با پاورشِل از سیستم حذف می‌شوند.
✅️ نحوه تشخیص:
- بررسی تغییرات در فایل‌های پروفایل پاورشِل (مانند تغییر زمان آخرین ویرایش).
- استفاده از ابزارهای SIEM (مانند Splunk) برای شناسایی فعالیت‌های غیرمعمول.
- اجرای دستوری برای مشاهده پروفایل کاربر:
powershell
Get-Content $PROFILE
- استفاده از نرم‌افزارهای نظارتی برای جلوگیری از تغییر در فایل‌های پروفایل حساس.
🔰راهکارهای پیشگیرانه:
1. فعال کردن AppLocker یا WDAC:برای جلوگیری از اجرای پروفایل‌های غیرمجاز.
2. محدود کردن دسترسی به فایل‌های پروفایل: فقط کاربران مجاز بتوانند این فایل‌ها را تغییر دهند.
3. استفاده از مانیتورینگ پاورشِل:نظارت بر دستورات و فایل‌های پروفایل پاورشِل با ابزارهایی مانند Microsoft Defender for Endpoint.
** واتس اپ برای شرکت در دوره مدرک عالی امنیت CISSP:
09902857290
#cissp #cisspexam #cisspperp
بله یک شبه نمیتوان SOC کامل داشت.
#آکادمی_روزبه
🏮 فهم دستورات فارنزیک
در مواقعی لازم هست دستورات پاورشلی را برای اخذ اطلاعات از سیستم بزنیم. اما حتما شنیده اید که برخی برپایه CIM هستند و برخی WMI . حالا ببینیم تفاوت چیست و خودتان تمرین عملی داشته باشید :
تمرین فارنزیک برای مقایسه CIM و WMI
هدف: با استفاده از دستورات مشابه CIM و WMI اطلاعات سیستم را استخراج کنید و تفاوت در روش اجرا و خروجی را مشاهده کنید
1. دریافت اطلاعات سیستم:
- CIM:
Get-CimInstance -ClassName Win32_ComputerSystem
- WMI:
Get-WmiObject -Class Win32_ComputerSystem
2. دریافت اطلاعات سخت‌افزار (CPU):
- CIM:
Get-CimInstance -ClassName Win32_Processor
- WMI:
Get-WmiObject -Class Win32_Processor
3. دریافت فرآیندهای در حال اجرا:
- CIM:
Get-CimInstance -ClassName Win32_Process | Select-Object Name, ProcessId
- WMI:
Get-WmiObject -Class Win32_Process | Select-Object Name, ProcessId
4. بررسی وضعیت سرویس‌ها:
- CIM:
Get-CimInstance -ClassName Win32_Service | Where-Object { $_.State -eq "Running" }
- WMI:
Get-WmiObject -Class Win32_Service | Where-Object { $_.State -eq "Running" }
تحلیل خروجی‌ها
به نکات زیر توجه کنید
1. سرعت اجرا:
آیا یکی از دستورات سریع‌تر اجرا می‌شود؟
2. فرمت خروجی:
آیا خروجی CIM خواناتر و مدرن‌تر به نظر می‌رسد؟
3. تفاوت ساختاری:
آیا تفاوتی در عمق اطلاعات یا ساختار داده‌ها وجود دارد؟
کدام دستور برای شما راحت‌تر و سریع‌تر بود؟ چرا؟
آیا امنیت بیشتر CIM در مقایسه با WMI برای شما محسوس بود؟
فکر می‌کنید چرا مایکروسافت از CIM به جای WMI حمایت می‌کند؟
تمرین های بیشتر
1. اطلاعات کاربران سیستم
- CIM:
Get-CimInstance -ClassName Win32_UserAccount
- WMI:
Get-WmiObject -Class Win32_UserAccount
2. اطلاعات شبکه
- CIM:
Get-CimInstance -ClassName Win32_NetworkAdapterConfiguration | Where-Object { $_.IPEnabled -eq $true }
- WMI:
Get-WmiObject -Class Win32_NetworkAdapterConfiguration | Where-Object { $_.IPEnabled -eq $true }
3. اطلاعات مربوط به درایورها
- CIM:
Get-CimInstance -ClassName Win32_PnPSignedDriver
- WMI:
Get-WmiObject -Class Win32_PnPSignedDriver
4. بررسی نرم‌افزارهای نصب‌شده
- CIM:
Get-CimInstance -ClassName Win32_Product
- WMI:
Get-WmiObject -Class Win32_Product
5. بررسی Event Logs
- CIM:
Get-CimInstance -ClassName Win32_NTLogEvent | Select-Object Logfile, SourceName, Message -First 5
- WMI:
Get-WmiObject -Class Win32_NTLogEvent | Select-Object Logfile, SourceName, Message -First 5
6. بررسی وضعیت سیستم عامل
- CIM:
Get-CimInstance -ClassName Win32_OperatingSystem
- WMI:
Get-WmiObject -Class Win32_OperatingSystem
مثال برای مقایسه امنیت بین CIM و WMI
یکی از تفاوت‌های اصلی CIM و WMI در نحوه ارتباط آن‌ها با سیستم است. برای نشان دادن این موضوع، می‌توانید از تست ارتباط امن با سرور ریموت استفاده کنید.
ارتباط با سیستم ریموت
- CIM با WSMan (پروتکل امن):
$Session = New-CimSession -ComputerName "RemoteServer" -Credential (Get-Credential)
Get-CimInstance -ClassName Win32_ComputerSystem -CimSession $Session
- WMI با DCOM (کمتر امن):
Get-WmiObject -Class Win32_ComputerSystem -ComputerName "RemoteServer" -Credential (Get-Credential)
#آکادمی_روزبه
**همیشه دلیل کارها و دستورات را بپرسید و بخوانید.
در مواقعی لازم هست دستورات پاورشلی را برای اخذ اطلاعات از سیستم بزنیم. اما حتما شنیده اید که برخی برپایه CIM هستند و برخی WMI . حالا ببینیم تفاوت چیست و خودتان تمرین عملی داشته باشید :
تمرین فارنزیک برای مقایسه CIM و WMI
هدف: با استفاده از دستورات مشابه CIM و WMI اطلاعات سیستم را استخراج کنید و تفاوت در روش اجرا و خروجی را مشاهده کنید
1. دریافت اطلاعات سیستم:
- CIM:
Get-CimInstance -ClassName Win32_ComputerSystem
- WMI:
Get-WmiObject -Class Win32_ComputerSystem
2. دریافت اطلاعات سخت‌افزار (CPU):
- CIM:
Get-CimInstance -ClassName Win32_Processor
- WMI:
Get-WmiObject -Class Win32_Processor
3. دریافت فرآیندهای در حال اجرا:
- CIM:
Get-CimInstance -ClassName Win32_Process | Select-Object Name, ProcessId
- WMI:
Get-WmiObject -Class Win32_Process | Select-Object Name, ProcessId
4. بررسی وضعیت سرویس‌ها:
- CIM:
Get-CimInstance -ClassName Win32_Service | Where-Object { $_.State -eq "Running" }
- WMI:
Get-WmiObject -Class Win32_Service | Where-Object { $_.State -eq "Running" }
تحلیل خروجی‌ها
به نکات زیر توجه کنید
1. سرعت اجرا:
آیا یکی از دستورات سریع‌تر اجرا می‌شود؟
2. فرمت خروجی:
آیا خروجی CIM خواناتر و مدرن‌تر به نظر می‌رسد؟
3. تفاوت ساختاری:
آیا تفاوتی در عمق اطلاعات یا ساختار داده‌ها وجود دارد؟
کدام دستور برای شما راحت‌تر و سریع‌تر بود؟ چرا؟
آیا امنیت بیشتر CIM در مقایسه با WMI برای شما محسوس بود؟
فکر می‌کنید چرا مایکروسافت از CIM به جای WMI حمایت می‌کند؟
تمرین های بیشتر
1. اطلاعات کاربران سیستم
- CIM:
Get-CimInstance -ClassName Win32_UserAccount
- WMI:
Get-WmiObject -Class Win32_UserAccount
2. اطلاعات شبکه
- CIM:
Get-CimInstance -ClassName Win32_NetworkAdapterConfiguration | Where-Object { $_.IPEnabled -eq $true }
- WMI:
Get-WmiObject -Class Win32_NetworkAdapterConfiguration | Where-Object { $_.IPEnabled -eq $true }
3. اطلاعات مربوط به درایورها
- CIM:
Get-CimInstance -ClassName Win32_PnPSignedDriver
- WMI:
Get-WmiObject -Class Win32_PnPSignedDriver
4. بررسی نرم‌افزارهای نصب‌شده
- CIM:
Get-CimInstance -ClassName Win32_Product
- WMI:
Get-WmiObject -Class Win32_Product
5. بررسی Event Logs
- CIM:
Get-CimInstance -ClassName Win32_NTLogEvent | Select-Object Logfile, SourceName, Message -First 5
- WMI:
Get-WmiObject -Class Win32_NTLogEvent | Select-Object Logfile, SourceName, Message -First 5
6. بررسی وضعیت سیستم عامل
- CIM:
Get-CimInstance -ClassName Win32_OperatingSystem
`- WMI:
Get-WmiObject -Class Win32_OperatingSystem
مثال برای مقایسه امنیت بین CIM و WMI
یکی از تفاوت‌های اصلی CIM و WMI در نحوه ارتباط آن‌ها با سیستم است. برای نشان دادن این موضوع، می‌توانید از تست ارتباط امن با سرور ریموت استفاده کنید.
ارتباط با سیستم ریموت
- CIM با WSMan (پروتکل امن):
$Session = New-CimSession -ComputerName "RemoteServer" -Credential (Get-Credential)
Get-CimInstance -ClassName Win32_ComputerSystem -CimSession $Session
- WMI با DCOM (کمتر امن):
Get-WmiObject -Class Win32_ComputerSystem -ComputerName "RemoteServer" -Credential (Get-Credential)
#آکادمی_روزبه
**همیشه دلیل کارها و دستورات را بپرسید و بخوانید.
کاهش شدید قدرت استدلال دانش اموزان و آینده امنیت سایبری ایران
نویسنده: روزبه نوروزی CISSP, PMP
بنا بر گفته نشریه تیمز سطح استدلال در دانش آموزان ایرانی بشدت کاهش یافته است در این مقاله موضوع را در حوزه آینده استدلال و امنیت سایبری در ایران به بحث می‌گذارم
بخش اول: نقش استدلال در امنیت سایبری با تمرکز بر تحلیلگری
اهمیت استدلال در امنیت سایبری
امنیت سایبری علمی است که نیازمند تفکر تحلیلی و استدلال قوی است. در این حوزه، تحلیلگران امنیتی باید توانایی شناسایی تهدیدات، ارزیابی خطرها، و ارائه راه‌حل‌های مناسب را داشته باشند. استدلال در امنیت سایبری شامل توانایی تحلیل دقیق، شناسایی الگوهای تهدید، و تصمیم‌گیری سریع برای مقابله با حملات سایبری است.
به عنوان مثال، تحلیلگر امنیتی باید بتواند از لاگ‌های سیستم، حملات فیشینگ یا بدافزارها، نشانه‌های نفوذ را استخراج کند. بدون استدلال قوی، تحلیل اشتباه ممکن است به عدم تشخیص تهدیدها یا واکنش نامناسب منجر شود.
استدلال قیاسی، استقرایی و علی در تحلیل امنیتی
در تحلیل امنیت سایبری، سه نوع اصلی استدلال مورد استفاده قرار می‌گیرند:
استدلال قیاسی: از قوانین کلی برای تحلیل جزئیات استفاده می‌شود. مثلاً، اگر بدانیم بدافزارهای جدید تمایل به استفاده از پورت‌های باز دارند، می‌توانیم شبکه را برای یافتن چنین پورت‌هایی اسکن کنیم.
استدلال استقرایی: بر پایه شواهد موجود، فرضیه‌ای ساخته می‌شود. مثلاً، اگر افزایش ناگهانی ترافیک در یک بخش از شبکه مشاهده شود، ممکن است حمله DDoS در حال وقوع باشد.
استدلال علی: به دنبال کشف رابطه علت و معلولی است. مثلاً، اگر رمز عبور کاربران سرقت شود، ممکن است دلیل آن یک کمپین فیشینگ باشد.
استدلال در شناسایی الگوهای تهدید
تحلیلگران سایبری باید قادر باشند داده‌های پیچیده را بررسی کرده و از طریق استدلال منطقی به الگوهایی از حملات پی ببرند. برای مثال، در حملات پیشرفته‌ی APT (تهدیدات پیشرفته پایدار)، مهاجمان به طور مداوم رفتار خود را تغییر می‌دهند. تحلیلگر با استدلال و شناسایی الگوها می‌تواند نحوه عملکرد مهاجم را پیش‌بینی کند.
مثال واقعی: تحلیل حملات بدافزاری
فرض کنید یک بانک تحت حمله بدافزار قرار گرفته است. بدافزار به طور مداوم فایل‌های اجرایی جدیدی تولید می‌کند. تحلیلگر باید با استدلال قیاسی تشخیص دهد که رفتار بدافزار چگونه تغییر می‌کند. همچنین، با استفاده از استدلال علی، ممکن است به این نتیجه برسد که نقطه نفوذ از طریق یک ایمیل فیشینگ بوده است.
بخش دوم: ضعف استدلال دانش‌آموزان ایرانی و تأثیر آن بر امنیت سایبری
ضعف استدلال و یافته‌های نشریه تیمز
نشریه تیمز در تحقیقات اخیر نشان داده است که دانش‌آموزان ایرانی در مهارت‌های استدلالی نسبت به همتایان بین‌المللی ضعیف‌تر عمل می‌کنند. این ضعف، پیامدهایی جدی برای آینده رشته‌هایی مثل امنیت سایبری دارد.
تأثیر ضعف استدلال بر امنیت سایبری
عدم توانایی شناسایی تهدیدها: تحلیلگران با مهارت استدلال ضعیف، قادر به شناسایی الگوهای پیچیده حملات نیستند. برای مثال، در یک حمله باج‌افزاری که از روش‌های چند مرحله‌ای استفاده می‌کند، تحلیلگر ممکن است تنها بخشی از حمله را تشخیص دهد.
تأثیر بر طراحی پروتکل‌های امنیتی: طراحی پروتکل‌های امنیتی نیاز به درک عمیق و تحلیل دقیق دارد. ضعف استدلال می‌تواند باعث شود این پروتکل‌ها ناکارآمد باشند.
ضعف در تصمیم‌گیری تحت فشار: امنیت سایبری حوزه‌ای است که اغلب نیازمند تصمیم‌گیری سریع است. ضعف استدلال ممکن است باعث واکنش‌های اشتباه شود. برای مثال، یک تصمیم اشتباه می‌تواند به از دست رفتن داده‌های حیاتی منجر شود.
مثال واقعی: مدیریت حمله سایبری
فرض کنید یک شرکت با حمله سایبری مواجه می‌شود. تیم امنیت باید سریعا تصمیم بگیرد آیا باید شبکه را از اینترنت جدا کند یا به کار خود ادامه دهد. فردی با استدلال ضعیف ممکن است نتواند گزینه‌های موجود را به درستی ارزیابی کند و تصمیمی بگیرد که باعث تشدید بحران شود.
بخش سوم: راهکارهای حل مشکل ضعف استدلال در امنیت سایبری
آموزش‌های مبتنی بر تفکر نقادانه
برگزاری کارگاه‌های آموزشی: مدارس و دانشگاه‌ها باید کارگاه‌هایی برگزار کنند که مهارت‌های استدلالی و تفکر نقادانه را تقویت کنند. این کارگاه‌ها می‌توانند شامل شبیه‌سازی حملات سایبری و تحلیل آن‌ها باشند.
ادغام مسائل واقعی در آموزش: آموزش استدلال باید بر اساس مسائل واقعی طراحی شود. برای مثال، درسی که به تحلیل حملات فیشینگ اختصاص دارد، می‌تواند دانش‌آموزان را با چالش‌های عملی مواجه کند.
ادامه در پست بعد👇
نویسنده: روزبه نوروزی CISSP, PMP
بنا بر گفته نشریه تیمز سطح استدلال در دانش آموزان ایرانی بشدت کاهش یافته است در این مقاله موضوع را در حوزه آینده استدلال و امنیت سایبری در ایران به بحث می‌گذارم
بخش اول: نقش استدلال در امنیت سایبری با تمرکز بر تحلیلگری
اهمیت استدلال در امنیت سایبری
امنیت سایبری علمی است که نیازمند تفکر تحلیلی و استدلال قوی است. در این حوزه، تحلیلگران امنیتی باید توانایی شناسایی تهدیدات، ارزیابی خطرها، و ارائه راه‌حل‌های مناسب را داشته باشند. استدلال در امنیت سایبری شامل توانایی تحلیل دقیق، شناسایی الگوهای تهدید، و تصمیم‌گیری سریع برای مقابله با حملات سایبری است.
به عنوان مثال، تحلیلگر امنیتی باید بتواند از لاگ‌های سیستم، حملات فیشینگ یا بدافزارها، نشانه‌های نفوذ را استخراج کند. بدون استدلال قوی، تحلیل اشتباه ممکن است به عدم تشخیص تهدیدها یا واکنش نامناسب منجر شود.
استدلال قیاسی، استقرایی و علی در تحلیل امنیتی
در تحلیل امنیت سایبری، سه نوع اصلی استدلال مورد استفاده قرار می‌گیرند:
استدلال قیاسی: از قوانین کلی برای تحلیل جزئیات استفاده می‌شود. مثلاً، اگر بدانیم بدافزارهای جدید تمایل به استفاده از پورت‌های باز دارند، می‌توانیم شبکه را برای یافتن چنین پورت‌هایی اسکن کنیم.
استدلال استقرایی: بر پایه شواهد موجود، فرضیه‌ای ساخته می‌شود. مثلاً، اگر افزایش ناگهانی ترافیک در یک بخش از شبکه مشاهده شود، ممکن است حمله DDoS در حال وقوع باشد.
استدلال علی: به دنبال کشف رابطه علت و معلولی است. مثلاً، اگر رمز عبور کاربران سرقت شود، ممکن است دلیل آن یک کمپین فیشینگ باشد.
استدلال در شناسایی الگوهای تهدید
تحلیلگران سایبری باید قادر باشند داده‌های پیچیده را بررسی کرده و از طریق استدلال منطقی به الگوهایی از حملات پی ببرند. برای مثال، در حملات پیشرفته‌ی APT (تهدیدات پیشرفته پایدار)، مهاجمان به طور مداوم رفتار خود را تغییر می‌دهند. تحلیلگر با استدلال و شناسایی الگوها می‌تواند نحوه عملکرد مهاجم را پیش‌بینی کند.
مثال واقعی: تحلیل حملات بدافزاری
فرض کنید یک بانک تحت حمله بدافزار قرار گرفته است. بدافزار به طور مداوم فایل‌های اجرایی جدیدی تولید می‌کند. تحلیلگر باید با استدلال قیاسی تشخیص دهد که رفتار بدافزار چگونه تغییر می‌کند. همچنین، با استفاده از استدلال علی، ممکن است به این نتیجه برسد که نقطه نفوذ از طریق یک ایمیل فیشینگ بوده است.
بخش دوم: ضعف استدلال دانش‌آموزان ایرانی و تأثیر آن بر امنیت سایبری
ضعف استدلال و یافته‌های نشریه تیمز
نشریه تیمز در تحقیقات اخیر نشان داده است که دانش‌آموزان ایرانی در مهارت‌های استدلالی نسبت به همتایان بین‌المللی ضعیف‌تر عمل می‌کنند. این ضعف، پیامدهایی جدی برای آینده رشته‌هایی مثل امنیت سایبری دارد.
تأثیر ضعف استدلال بر امنیت سایبری
عدم توانایی شناسایی تهدیدها: تحلیلگران با مهارت استدلال ضعیف، قادر به شناسایی الگوهای پیچیده حملات نیستند. برای مثال، در یک حمله باج‌افزاری که از روش‌های چند مرحله‌ای استفاده می‌کند، تحلیلگر ممکن است تنها بخشی از حمله را تشخیص دهد.
تأثیر بر طراحی پروتکل‌های امنیتی: طراحی پروتکل‌های امنیتی نیاز به درک عمیق و تحلیل دقیق دارد. ضعف استدلال می‌تواند باعث شود این پروتکل‌ها ناکارآمد باشند.
ضعف در تصمیم‌گیری تحت فشار: امنیت سایبری حوزه‌ای است که اغلب نیازمند تصمیم‌گیری سریع است. ضعف استدلال ممکن است باعث واکنش‌های اشتباه شود. برای مثال، یک تصمیم اشتباه می‌تواند به از دست رفتن داده‌های حیاتی منجر شود.
مثال واقعی: مدیریت حمله سایبری
فرض کنید یک شرکت با حمله سایبری مواجه می‌شود. تیم امنیت باید سریعا تصمیم بگیرد آیا باید شبکه را از اینترنت جدا کند یا به کار خود ادامه دهد. فردی با استدلال ضعیف ممکن است نتواند گزینه‌های موجود را به درستی ارزیابی کند و تصمیمی بگیرد که باعث تشدید بحران شود.
بخش سوم: راهکارهای حل مشکل ضعف استدلال در امنیت سایبری
آموزش‌های مبتنی بر تفکر نقادانه
برگزاری کارگاه‌های آموزشی: مدارس و دانشگاه‌ها باید کارگاه‌هایی برگزار کنند که مهارت‌های استدلالی و تفکر نقادانه را تقویت کنند. این کارگاه‌ها می‌توانند شامل شبیه‌سازی حملات سایبری و تحلیل آن‌ها باشند.
ادغام مسائل واقعی در آموزش: آموزش استدلال باید بر اساس مسائل واقعی طراحی شود. برای مثال، درسی که به تحلیل حملات فیشینگ اختصاص دارد، می‌تواند دانش‌آموزان را با چالش‌های عملی مواجه کند.
ادامه در پست بعد👇
👆ادامه از پست قبل
ترویج فرهنگ پرسشگری
تشویق به طرح سوالات چالشی: دانش‌آموزان باید یاد بگیرند که به دنبال علت‌ها و پیامدها بگردند. برای مثال، چرا یک حمله سایبری موفق شده است؟
ایجاد گروه‌های تحقیقاتی: گروه‌های دانش‌آموزی می‌توانند پروژه‌های امنیت سایبری را بررسی کنند و به سوالات تحلیلی پاسخ دهند.
استفاده از فناوری‌های نوین در آموزش
آموزش مبتنی بر بازی: بازی‌هایی که نیاز به تحلیل و استدلال دارند، می‌توانند جذابیت یادگیری را افزایش دهند. مثلاً، شبیه‌سازی حملات سایبری در قالب بازی.
ابزارهای شبیه‌سازی سایبری: استفاده از ابزارهایی مثل Cyber Range می‌تواند مهارت‌های استدلال را در شرایط واقعی تقویت کند.
مثال عملی: برنامه‌ریزی برای بهبود استدلال
یک مدرسه می‌تواند برنامه‌ای طراحی کند که شامل آموزش تفکر تحلیلی، تحلیل حملات سایبری، و ایجاد شبیه‌سازی‌های واقعی باشد. دانش‌آموزان در این برنامه یاد می‌گیرند که چگونه لاگ‌های سیستم را بررسی کنند و تهدیدهای امنیتی را شناسایی نمایند.
ارزیابی و پیگیری مستمر
ارزیابی عملکرد دانش‌آموزان: برگزاری آزمون‌های عملی می‌تواند نقاط ضعف را شناسایی کند.
پیگیری پیشرفت دانش‌آموزان: معلمان باید پیشرفت دانش‌آموزان را در زمینه استدلال سایبری به طور منظم پیگیری کنند.
در این مقاله، با بررسی نقش استدلال در امنیت سایبری، تاثیرات ضعف استدلال در این حوزه، و ارائه راهکارهای آموزشی، سعی کردم تا نشان دهم که چگونه می‌توان این چالش را حل کرد و نسل آینده تحلیلگران امنیتی را برای مقابله با تهدیدات سایبری آماده کرد.
#آکادمی_روزبه
ترویج فرهنگ پرسشگری
تشویق به طرح سوالات چالشی: دانش‌آموزان باید یاد بگیرند که به دنبال علت‌ها و پیامدها بگردند. برای مثال، چرا یک حمله سایبری موفق شده است؟
ایجاد گروه‌های تحقیقاتی: گروه‌های دانش‌آموزی می‌توانند پروژه‌های امنیت سایبری را بررسی کنند و به سوالات تحلیلی پاسخ دهند.
استفاده از فناوری‌های نوین در آموزش
آموزش مبتنی بر بازی: بازی‌هایی که نیاز به تحلیل و استدلال دارند، می‌توانند جذابیت یادگیری را افزایش دهند. مثلاً، شبیه‌سازی حملات سایبری در قالب بازی.
ابزارهای شبیه‌سازی سایبری: استفاده از ابزارهایی مثل Cyber Range می‌تواند مهارت‌های استدلال را در شرایط واقعی تقویت کند.
مثال عملی: برنامه‌ریزی برای بهبود استدلال
یک مدرسه می‌تواند برنامه‌ای طراحی کند که شامل آموزش تفکر تحلیلی، تحلیل حملات سایبری، و ایجاد شبیه‌سازی‌های واقعی باشد. دانش‌آموزان در این برنامه یاد می‌گیرند که چگونه لاگ‌های سیستم را بررسی کنند و تهدیدهای امنیتی را شناسایی نمایند.
ارزیابی و پیگیری مستمر
ارزیابی عملکرد دانش‌آموزان: برگزاری آزمون‌های عملی می‌تواند نقاط ضعف را شناسایی کند.
پیگیری پیشرفت دانش‌آموزان: معلمان باید پیشرفت دانش‌آموزان را در زمینه استدلال سایبری به طور منظم پیگیری کنند.
در این مقاله، با بررسی نقش استدلال در امنیت سایبری، تاثیرات ضعف استدلال در این حوزه، و ارائه راهکارهای آموزشی، سعی کردم تا نشان دهم که چگونه می‌توان این چالش را حل کرد و نسل آینده تحلیلگران امنیتی را برای مقابله با تهدیدات سایبری آماده کرد.
#آکادمی_روزبه
🌸پرونده تهدید سایبری : عملیات Shadow Hammer
یک گروه APT که گمان می‌رود با حمایت دولتی فعالیت می‌کند، از زنجیره تأمین برای نفوذ به سیستم‌ها استفاده کرد.
مرحله 1: شناسایی اولیه حادثه
در سال 2019، یک شرکت امنیتی (Kaspersky) گزارش داد که نسخه‌ای از نرم‌افزار مدیریت ASUS Live Update به خطر افتاده است. کاربران از طریق بروزرسانی‌های رسمی ASUS به‌صورت نامحسوس در معرض بدافزار قرار گرفته بودند. این بدافزار به دلیل استفاده از گواهی دیجیتال قانونی ASUS قابل تشخیص نبود.
ردپاهای اولیه:
کاربران گزارش‌هایی مبنی بر رفتار غیرعادی در نرم‌افزار خود ارسال کردند.
تحلیل ترافیک شبکه نشان داد که نرم‌افزار به دامنه‌های مشکوک متصل می‌شود.
گزارش کاربران: گزارش‌هایی از رفتار غیرمعمول نرم‌افزار ASUS Live Update.
تحلیل ترافیک شبکه:
ترافیک شبکه به دامنه‌های خارجی مشکوک، نظیر asushotfix.com، هدایت می‌شد.
استفاده از DNS مشکوک و ارتباطات رمزنگاری‌شده غیرمعمول.
اقدامات اولیه:
جمع‌آوری لاگ‌ها:
تحلیل لاگ‌های مربوط به نصب نرم‌افزار.
بررسی لیست فرآیندهای در حال اجرا و اتصالات شبکه.
استفاده از SIEM:
فیلترسازی رویدادها و شناسایی ارتباطات مشکوک به سرورهای خارجی.
ردیابی IPها و ارتباطات مشکوک با اطلاعات موجود در پایگاه‌های داده Threat Intelligence.
مرحله 2: تحلیل بدافزار
الف) تحلیل استاتیک:
نمونه‌های آلوده استخراج شدند و تحلیل استاتیک روی آن‌ها انجام شد:
بررسی هدرهای PE فایل اجرایی:
فایل اجرایی دارای گواهی دیجیتال امضاشده ASUS بود.
هیچ تغییری در امضاهای دیجیتال به چشم نمی‌خورد، که نشان‌دهنده دسترسی مستقیم مهاجم به سیستم زنجیره تأمین بود.
بررسی کدها و باینری‌ها:
کد مخرب در یک بخش خاص از فایل (بخش .text) مخفی شده بود.
از تکنیک‌های کدگذاری XOR و رمزنگاری AES برای پنهان‌سازی payload استفاده شده بود.
ب) تحلیل دینامیک:
بدافزار در محیط Sandboxing (مثلاً Cuckoo Sandbox) اجرا شد:
مشاهده رفتار بدافزار:
جمع‌آوری اطلاعات سیستم:
MAC Address.
شناسه‌های سخت‌افزاری.
مقایسه اطلاعات جمع‌آوری‌شده با یک لیست داخلی (embedded whitelist).
اگر سیستم هدف در لیست بود:
بدافزار payload مخرب را از سرور C2 دریافت می‌کرد و اجرا می‌کرد.
این payload قابلیت نصب backdoor را داشت.
بررسی ارتباطات شبکه:
استفاده از TLS برای رمزنگاری ارتباطات با سرور C2.
ترافیک شبکه شامل درخواست‌های HTTP POST مشکوک با داده‌های رمزنگاری‌شده بود.
ج) تحلیل پیشرفته کد:
با استفاده از IDA Pro یا Ghidra:
دی‌کامپایل کد: مشخص شد که بدافزار از APIهای زیر استفاده می‌کند:
از CreateFile، ReadFile، و WriteFile برای دسترسی به فایل‌های سیستم.
از InternetOpen و InternetConnect برای ارتباط با اینترنت.
مکانیزم پایداری (Persistence): بدافزار از رجیستری ویندوز برای اجرای مجدد خود پس از ریبوت استفاده می‌کرد.
مرحله 3: رهگیری و تحلیل زیرساخت مهاجم
نت اول ؛ ادامه پست
الف) تحلیل دامنه‌ها و IPها:
دامنه‌های مشکوک نظیر asushotfix.com تحلیل شدند.
ارتباطات به یک سرور C2 در منطقه آسیای شرقی ختم شد.
ب) استفاده از Threat Intelligence:
و IPها و دامنه‌ها با اطلاعات موجود در پایگاه داده‌های تهدید بررسی شدند.
تطابق با فعالیت‌های قبلی گروه Shadow Hamme و مشاهده شده.
ج) کشف ابزارها و روش‌ها:
ابزارهای مورد استفاده مهاجم:
بدافزار اصلی در محیطی شبیه به نرم‌افزار مشروع امضا شده بود.
تکنیک‌های زنجیره تأمین برای توزیع نرم‌افزار آلوده.
تکنیک‌های استتار:
استفاده از لیست هدف محدود.
رمزنگاری داده‌های در حال انتقال و استفاده از امضای دیجیتال قانونی.
مرحله 4: اقدامات متقابل
اقدامات فوری:
مسدود کردن دامنه‌ها و IPها:
از طریق فایروال‌ها و راهکارهای DNS Filtering.
شناسایی سیستم‌های آلوده:
بررسی MAC Address سیستم‌ها برای تطابق با لیست هدف.
اقدامات بعدی:
انتشار هش فایل‌های مخرب و Signature آن‌ها.
اطلاع‌رسانی به ASUS برای اصلاح فرآیند امضای دیجیتال.
همکاری با نهادهای بین‌المللی برای شناسایی و مختل کردن زیرساخت C2.
درس‌آموخته‌ها و نتیجه‌گیری
تقویت زنجیره تأمین:
بررسی دقیق کد و فرآیند امضای دیجیتال.
استفاده از EDR و Threat Hunting:
مانیتورینگ پیشرفته برای کشف رفتارهای غیرعادی در شبکه و سیستم.
شناسایی APTها:
ترکیب اطلاعات تهدید، تحلیل بدافزار، و رهگیری زیرساخت مهاجم.
یک گروه APT که گمان می‌رود با حمایت دولتی فعالیت می‌کند، از زنجیره تأمین برای نفوذ به سیستم‌ها استفاده کرد.
مرحله 1: شناسایی اولیه حادثه
در سال 2019، یک شرکت امنیتی (Kaspersky) گزارش داد که نسخه‌ای از نرم‌افزار مدیریت ASUS Live Update به خطر افتاده است. کاربران از طریق بروزرسانی‌های رسمی ASUS به‌صورت نامحسوس در معرض بدافزار قرار گرفته بودند. این بدافزار به دلیل استفاده از گواهی دیجیتال قانونی ASUS قابل تشخیص نبود.
ردپاهای اولیه:
کاربران گزارش‌هایی مبنی بر رفتار غیرعادی در نرم‌افزار خود ارسال کردند.
تحلیل ترافیک شبکه نشان داد که نرم‌افزار به دامنه‌های مشکوک متصل می‌شود.
گزارش کاربران: گزارش‌هایی از رفتار غیرمعمول نرم‌افزار ASUS Live Update.
تحلیل ترافیک شبکه:
ترافیک شبکه به دامنه‌های خارجی مشکوک، نظیر asushotfix.com، هدایت می‌شد.
استفاده از DNS مشکوک و ارتباطات رمزنگاری‌شده غیرمعمول.
اقدامات اولیه:
جمع‌آوری لاگ‌ها:
تحلیل لاگ‌های مربوط به نصب نرم‌افزار.
بررسی لیست فرآیندهای در حال اجرا و اتصالات شبکه.
استفاده از SIEM:
فیلترسازی رویدادها و شناسایی ارتباطات مشکوک به سرورهای خارجی.
ردیابی IPها و ارتباطات مشکوک با اطلاعات موجود در پایگاه‌های داده Threat Intelligence.
مرحله 2: تحلیل بدافزار
الف) تحلیل استاتیک:
نمونه‌های آلوده استخراج شدند و تحلیل استاتیک روی آن‌ها انجام شد:
بررسی هدرهای PE فایل اجرایی:
فایل اجرایی دارای گواهی دیجیتال امضاشده ASUS بود.
هیچ تغییری در امضاهای دیجیتال به چشم نمی‌خورد، که نشان‌دهنده دسترسی مستقیم مهاجم به سیستم زنجیره تأمین بود.
بررسی کدها و باینری‌ها:
کد مخرب در یک بخش خاص از فایل (بخش .text) مخفی شده بود.
از تکنیک‌های کدگذاری XOR و رمزنگاری AES برای پنهان‌سازی payload استفاده شده بود.
ب) تحلیل دینامیک:
بدافزار در محیط Sandboxing (مثلاً Cuckoo Sandbox) اجرا شد:
مشاهده رفتار بدافزار:
جمع‌آوری اطلاعات سیستم:
MAC Address.
شناسه‌های سخت‌افزاری.
مقایسه اطلاعات جمع‌آوری‌شده با یک لیست داخلی (embedded whitelist).
اگر سیستم هدف در لیست بود:
بدافزار payload مخرب را از سرور C2 دریافت می‌کرد و اجرا می‌کرد.
این payload قابلیت نصب backdoor را داشت.
بررسی ارتباطات شبکه:
استفاده از TLS برای رمزنگاری ارتباطات با سرور C2.
ترافیک شبکه شامل درخواست‌های HTTP POST مشکوک با داده‌های رمزنگاری‌شده بود.
ج) تحلیل پیشرفته کد:
با استفاده از IDA Pro یا Ghidra:
دی‌کامپایل کد: مشخص شد که بدافزار از APIهای زیر استفاده می‌کند:
از CreateFile، ReadFile، و WriteFile برای دسترسی به فایل‌های سیستم.
از InternetOpen و InternetConnect برای ارتباط با اینترنت.
مکانیزم پایداری (Persistence): بدافزار از رجیستری ویندوز برای اجرای مجدد خود پس از ریبوت استفاده می‌کرد.
مرحله 3: رهگیری و تحلیل زیرساخت مهاجم
نت اول ؛ ادامه پست
الف) تحلیل دامنه‌ها و IPها:
دامنه‌های مشکوک نظیر asushotfix.com تحلیل شدند.
ارتباطات به یک سرور C2 در منطقه آسیای شرقی ختم شد.
ب) استفاده از Threat Intelligence:
و IPها و دامنه‌ها با اطلاعات موجود در پایگاه داده‌های تهدید بررسی شدند.
تطابق با فعالیت‌های قبلی گروه Shadow Hamme و مشاهده شده.
ج) کشف ابزارها و روش‌ها:
ابزارهای مورد استفاده مهاجم:
بدافزار اصلی در محیطی شبیه به نرم‌افزار مشروع امضا شده بود.
تکنیک‌های زنجیره تأمین برای توزیع نرم‌افزار آلوده.
تکنیک‌های استتار:
استفاده از لیست هدف محدود.
رمزنگاری داده‌های در حال انتقال و استفاده از امضای دیجیتال قانونی.
مرحله 4: اقدامات متقابل
اقدامات فوری:
مسدود کردن دامنه‌ها و IPها:
از طریق فایروال‌ها و راهکارهای DNS Filtering.
شناسایی سیستم‌های آلوده:
بررسی MAC Address سیستم‌ها برای تطابق با لیست هدف.
اقدامات بعدی:
انتشار هش فایل‌های مخرب و Signature آن‌ها.
اطلاع‌رسانی به ASUS برای اصلاح فرآیند امضای دیجیتال.
همکاری با نهادهای بین‌المللی برای شناسایی و مختل کردن زیرساخت C2.
درس‌آموخته‌ها و نتیجه‌گیری
تقویت زنجیره تأمین:
بررسی دقیق کد و فرآیند امضای دیجیتال.
استفاده از EDR و Threat Hunting:
مانیتورینگ پیشرفته برای کشف رفتارهای غیرعادی در شبکه و سیستم.
شناسایی APTها:
ترکیب اطلاعات تهدید، تحلیل بدافزار، و رهگیری زیرساخت مهاجم.