پاورشل قسمت ۲


پاورشل، مسدودسازی یا مدیریت هوشمند؟ یک انتخاب استراتژیک

پیرو صحبتی که در مورد بستن یا باز بودن پاورشل انجام دادم و دوستان هم نظراتی داشتند، لازم دیدم نظر جمع بندی شده ای از زاویه معمار امنیت ( نه فقط مدافع ) بنویسم .

در دنیای امنیت سایبری، بحث بر سر غیرفعال کردن PowerShell روی کلاینت‌ها و سرور ها یک موضوع داغ است. متخصصانی که نگران حملات پیشرفته «Living-off-the-Land» هستند، به درستی به قدرت این ابزار در دست مهاجمان اشاره می‌کنند و مسدودسازی آن را راهی برای کاهش سطح حمله می‌دانند. این نگرانی قابل درک است، زیرا PowerShell می‌تواند برای اجرای کدهای مخرب بدون نیاز به فایل و با دسترسی عمیق به سیستم‌عامل مورد استفاده قرار گیرد.

با این حال، این رویکرد یک راه‌حل استراتژیک نیست. بستن PowerShell نه تنها بهره‌وری تیم IT را با مختل کردن اتوماسیون و مدیریت متمرکز به شدت کاهش می‌دهد، بلکه یک حس امنیت کاذب ایجاد می‌کند. مهاجمان به سادگی با استفاده از تکنیک‌های Bypass، از کتابخانه‌های اصلی PowerShell در فرآیندهای دیگر استفاده می‌کنند و این بار، فعالیت آن‌ها در غیاب لاگ‌های حیاتی PowerShell، کاملاً پنهان می‌ماند.

رویکرد برتر، «مدیریت به جای مسدودسازی» است. با پیاده‌سازی کنترل‌های چندلایه مانند سیاست اجرایی AllSigned، استفاده از ابزارهای قدرتمند Whitelisting نظیر WDAC، و فعال‌سازی لاگ‌برداری پیشرفته، PowerShell از یک تهدید به یک سنسور امنیتی قدرتمند تبدیل می‌شود و می‌تواند حتی در عملیات فریب و هانت مورد استفاده قرار گیرد. این استراتژی نه تنها ریسک را به شکل مؤثرتری مدیریت می‌کند، بلکه قابلیت‌های حیاتی سازمان را حفظ کرده و به تیم‌های امنیتی دید و کنترل بی‌نظیری می‌بخشد.

اصولا همیشه در درس CISSP تحلیل میکنم که امنیت باید توانمند ساز سازمان در انجام وظایف بیزنسی باشد نه مانع !! (و این موضوع رو بصورت فنی در کارگاه تمرین میکنیم. ) اما با حذف پاورشل، ما عملا قدرت اجرایی مهمی را از واحد IT سازمان و در حقیقت از سازمان می‌گیریم و هزینه های راهبری فضای سایبری را برای سازمان افزایش می‌دهیم. این موضوع مانعی برای توسعه امنیت است چرا که منافع ذینفعان را نادیده گرفته و دشمنانی در سازمان ایجاد میکند و همچنان چوب لای چرخ می‌گذارد. ضمنا با این نگاه در حذف پاورشل ما دید به امنیت را منفی می‌کنیم.

اما باید گفت این نگاه «مدیریت به جای مسدودسازی» را هم نمی‌توان از هر کسی انتظار داشت. مدافع ( تیم آبی) باید با اجرای پاورشل و باز بودن آن مخالفت کند اما آنکس که این میانه هم نگاه به بیزنس دارد هم به امنیت ، معمار امنیت سازمان است . لذا اون با نگاه به مزایا و معایب پاورشل تصمیمات نهایی را اتخاذ میکند.
از مزایای درس CISSP ؛ توانایی در تمیز و قدرت تشخیص چنین راهکارهایی است که دانشجویان بدان نائل می‌شوند.



علمی بیاندیشیم و در نقش خود حرفه ای باشیم .
والسلام

پاورشل قسمت ۳


تحلیل فنی مسدودسازی PowerShell: یک استراتژی منسوخ و پرخطر

قسمت دوم از مقاله ام در زمینه پاورشل

رویکرد مسدودسازی فایل اجرایی powershell.exe به عنوان یک راهکار امنیتی، مبتنی بر درک ناقصی از معماری این فریم‌ورک است و یک نقطه‌ی کور امنیتی (Security Blind Spot) خطرناک ایجاد می‌کند. PowerShell صرفاً یک برنامه نیست، بلکه یک Automation Engine است که هسته‌ی آن در اسمبلی .NET به نام System.Management.Automation.dll قرار دارد. این DLL می‌تواند توسط هر فرآیندی که قابلیت میزبانی (Hosting) از Common Language Runtime (CLR) را داشته باشد، بارگذاری و اجرا شود.

مهاجمان با بهره‌گیری از این معماری، سیاست‌های مسدودسازی را به سادگی دور می‌زنند. تکنیک‌هایی مانند:

استفاده از میزبان‌های جایگزین (Alternative Hosts): با استفاده از باینری‌های قانونی ویندوز (LotL Bins) مانند InstallUtil.exe یا MSBuild.exe، مهاجمان یک Runspace پاورشل را درون یک فرآیند معتبر ایجاد می‌کنند.
و PowerShell بدون مدیریت (Unmanaged PowerShell): با تزریق مستقیم System.Management.Automation.dll به یک فرآیند دلخواه از طریق کدهای غیرمدیریتی (مانند C++), حمله را از دید مکانیزم‌های نظارتی مبتنی بر .NET پنهان می‌کنند.

فاجعه‌ی اصلی در این سناریو، از دست رفتن داده‌های تله‌متری حیاتی است. قابلیت‌های امنیتی قدرتمندی مانند Script Block Logging (Event ID 4104) و PowerShell Transcription که برای ثبت دقیق دستورات و فعالیت‌ها طراحی شده‌اند، به طور پیش‌فرض برای powershell.exe بهینه شده‌اند. هنگامی که مهاجم از یک میزبان جایگزین استفاده می‌کند، این لاگ‌های حیاتی تولید نشده و تیم امنیتی در برابر یک حمله‌ی کاملاً نامرئی قرار می‌گیرد.

رویکرد مدرن و مؤثر، Hardening به جای Blocking است؛ یعنی با استفاده از WDAC/AppLocker برای اعمال Constrained Language Mode و پیاده‌سازی Just Enough Administration (JEA)، ما PowerShell را از یک وکتور حمله به یک سنسور شناسایی با قابلیت اعتماد بالا (High-Fidelity Detection Sensor) تبدیل می‌کنیم


این مطلب بخشی از دوره CISSP است.


دوره های آکادمی روزبه درحال ثبت نام
از سطح ۱ تا هانت و CISSP

دست نوجوانی که تو فامیل دارید بگیرید و بیارید تو این وبینار

شاید علاقه اش پیدا شد و بتونه حتی از ۱۷ سالگی در یه رشته فنی پول دربیاره

از ۱۶ تا ۶۰ سال میتونه از این وبینار استفاده کنه

شنبه شب ساعت ۲۰
رایگان - نقشه راه اشتغال در امنیت و درآمد زایی


تعداد ثبت نام تا الان : ۱۷۵ نفر

https://eseminar.tv/wb162135

خب بریم سراغ یه درس جذاب

ماشین های مجازی پورتابل
که هم امنیت چی ها استفاده می‌کنند هم هکر ها !!


بخش اول


مقوله QEMU یا Quick Emulator یک نرم‌افزار متن‌باز برای شبیه‌سازی و مجازی‌سازی سخت‌افزاره که می‌تونه:

سخت‌افزار کامپیوتر رو شبیه‌سازی کنه (CPU، RAM، دیسک، کارت شبکه و …) حتی روی معماری متفاوت.
هم به‌صورت Pure Emulation (کندتر، ولی بدون نیاز به سخت‌افزار خاص) کار کنه
هم با کمک فناوری‌هایی مثل KVM (در لینوکس) یا WHPX (در ویندوز) از شتاب سخت‌افزاری بهره بگیره و سرعت رو نزدیک به حالت Native برسونه.

ویژگی‌های کلیدی:

قابل حمل (Portable): بدون نصب درایور، از روی هر مسیر/فلش اجرا میشه.
پشتیبانی از فرمت‌های دیسک (qcow2, raw, vmdk …)
Cross-Platform: روی ویندوز، لینوکس، macOS اجرا میشه.
میشه چندین سیستم عامل مهمان رو همزمان اجرا کرد


#آکادمی_روزبه

درسی برای دانشجویان سطح ۲ و ممیزان

🟣کاربرد مهم TokenElevationType در تحلیل لاگ و ممیزی

در مانیتورینگ لاگ یا Threat Hunting، این فیلد سرنخ‌ها و کاربردهای زیر دارد:

اگر TokenElevationType = Full به شکل غیرمنتظره‌ای دیده شود، ممکن است کاربر یا مهاجم توانسته UAC را بای‌پس کند یا از ابزارهای ارتقای دسترسی (مثل PsExec، Runas) استفاده کرده باشد.


بدافزارها برای انجام تغییرات سیستمی معمولاً به Full Token نیاز دارند. ثبت ناگهانی Full Token برای یک کاربر عادی می‌تواند نشانه اجرای Exploit باشد.


مقایسه ورود اولیه کاربر (با Limited Token) و تغییر بعدی به Full Token، مسیر و زمان ارتقا را روشن می‌کند.


در گزارش‌های ممیزی، بررسی درصد نشست‌های با Full Token نسبت به کل نشست‌ها نشان می‌دهد کاربران چقدر با حقوق ادمین کار می‌کنند (که ضعف امنیتی است).



#آکادمی_روزبه
مرکز تخصصی CISSP

#تجربه

برای امکان درج تجربه ، برخی از عناصر تحلیل رو اجبارا حذف کردم

چند وقت پیش توی یکی از پایش های مقدمه هانت، تصمیم گرفتم تمرکز رو روی داده‌های Prefetch بگذارم. با استفاده از ابزارهایی مثل Velociraptor و Kansa/KAPE تونستم این داده‌ها رو جمع‌آوری کنم. همونطور که می‌دونید، Prefetch برای پیدا کردن نقطه‌ی محوری مثل زمان اجرا یا مسیر فایل خیلی کاربردیه و مهاجم‌ها هم به راحتی نمی‌تونند ردش رو کاملاً پاک کنند.
توی تحلیل، با کمک ابزار PECmd.exe از مجموعه‌ی Zimmerman متوجه شدم که یک LOLBAS غیرعادی با استفاده از  مثلا tttracer.exe - که در دوره های سنز هم امده - یک برنامه‌ی ساده مثل calc.exe رو اجرا کرده. این تکنیک رو معمولاً مهاجم‌ها استفاده می‌کنن تا بتونن محدودیت‌های اجرای اپلیکیشن رو دور بزنن و کد رو از مسیرهای غیرعادی اجرا کنن.
با کمی دقیق شدن روی Prefetch، چند چیز برام جلب توجه کرد:
مسیر اجرای فایل‌ها غیرعادی بود: C:\Windows\System32\spool\drivers\color\ که یک مسیر شناخته‌شده برای سوءاستفاده‌ست، چون معمولاً قابل نوشتن و در محیط‌های محدود هم قابل اجراست.
در Command Line دو فایل اجرایی پشت سر هم دیده می‌شد که خیلی رایج نیست.
دستور اجرا شده مثلا این بود:

C:\Windows\System32\spool\drivers\color  tttracer.exe C:\windows\system32\calc.exe

همین رد کوچک برای من کافی بود تا ادامه‌ی بررسی رو جدی بگیرم؛ چون حتی گروه‌های پیشرفته‌ی تهدید هم گاهی اشتباهاتی مثل این دارن که بخشی از PoC یا تست خودشون رو ناخواسته وارد حمله واقعی می‌کنن. اجرای غیرمعمول calc.exe برای من یک نشانه‌ی عالی برای ادامه‌ی Threat Hunting شد.

ادامه مراحل فعلا قابل انتشار نیست .(رعایت اصول امنیتی در انتشار مطالب جزو الزامات است )

تاکید من در این تجربه بر مهم بودن توجه به Prefetch است که میتونه سرنخ رو بهتون بده



نکته: قضیه Calc.exe رو گرفتین ؟ 😉

تبصره: اشتراک دانش بخشی از زندگی منه . لذا ممکنه واسه برخی از افراد ، درج چنین تجربیاتی عجیب باشه



#آکادمی_روزبه
مرکز تخصصی CISSP

۲۲ فارغ التحصیل آکادمی روزبه با اسپانسری شرکت پیشگامان فناوری اطلاعات هامون تقدیم به پیشرفت ایران

مدارک آماده شده برای دانشجویان ترم بهار

www.haumoun.com
Www.Roozbeh.academy


ثبت نام ترم تابستان واتس اپ و بله 09902857290

درس امروز برای سطح ۲

Reflective DLL Loading

این روش یعنی یک فایل DLL را بدون ذخیره روی دیسک، مستقیماً داخل حافظه سیستم (RAM) بارگذاری و اجرا کنیم.


در حالت عادی، وقتی یک برنامه می‌خواهد از یک DLL استفاده کند، سیستم‌عامل با تابعی مثل LoadLibrary آن DLL را از هاردخوانده و لود می‌کند. اما در Reflective DLL Loading، مهاجم نسخه‌ی باینری DLL را به‌شکل خام (مثلاً از اینترنت یا داخل یک payload دیگر) دریافت می‌کند و آن را با دستوراتی مثل VirtualAlloc و WriteProcessMemory مستقیماً در حافظه یک پروسه قرار می‌دهد.

درون این DLL یک کد خاص به نام Reflective Loader هست که نقش همان LoadLibrary را در حافظه بازی می‌کند: جدول توابع را تنظیم می‌کند، آدرس APIها را پیدا می‌کند و ساختار DLL را برای اجرا آماده می‌کند. بعد از این مرحله، کنترل به کد اصلی DLL داده می‌شود و برنامه بدون نیاز به فایل روی دیسک اجرا می‌شود.

مزیت برای مهاجم چیست؟

آنتی‌ویروس‌ها سخت‌تر می‌توانند آن را پیدا کنند چون هیچ فایل واقعی برای اسکن وجود ندارد.

نقاط شکار کجاست؟
با ابزارهایی مثل Sysmon می‌توان Load شدن ماژول‌های بدون مسیر دیسک (Event ID 7) یا ایجاد Thread از راه دور (Event ID 8) را دید. EDRها هم می‌توانند حافظه فرآیندها را بررسی و DLLهای مشکوک را شناسایی کنند.


دوره های آکادمی روزبه

اهمیت پاسخ‌گویی مبتنی بر اطلاعات و جایگاه‌یابی مهاجم در ماتریس ATT&CK


در تهدیدات پیشرفته امروزی، شناسایی مهاجم به‌تنهایی کافی نیست؛ مهم این است که بدانیم مهاجم در کدام مرحله از چرخه حمله و کدام تاکتیک/تکنیک ماتریس MITRE ATT&CK قرار دارد. این رویکرد که به عنوان پاسخ‌گویی مبتنی بر اطلاعات (Intelligence-Driven Incident Response) شناخته می‌شود، به تیم امنیتی کمک می‌کند تا بر اساس موقعیت فعلی مهاجم، واکنش دقیق‌تر و مؤثرتری ارائه دهند.
ماتریس MITRE ATT&CK نقشه‌ای جامع از رفتارهای مهاجمان است که شامل تاکتیک‌هایی مانند Initial Access، Execution، Credential Access، Lateral Movement و Exfiltration می‌شود. جایگاه‌یابی مهاجم در این ماتریس مزایای زیر را دارد:
پیش‌بینی گام بعدی مهاجم بر اساس مرحله فعلی.
انتخاب اقدامات محدودسازی هدفمند متناسب با موقعیت.
کاهش زمان پاسخ‌گویی با تمرکز مستقیم روی فعالیت‌های مرتبط.


برای مثال، شناسایی مهاجم در مرحله Execution با تکنیک PowerShell نشان می‌دهد که او قبلاً وارد شبکه شده و در حال اجرای کد مخرب است؛ در این حالت، توقف اجرای PowerShell و بررسی کامل سیستم ضروری است. در مقابل، کشف مهاجم در Credential Dumping بیانگر آغاز تلاش‌ها برای گسترش دسترسی و حرکت جانبی است، بنابراین باید به تغییر اعتبارنامه‌های حساس و نظارت بر نشست‌ها پرداخت.

مزیت دیگر این رویکرد، اثربخشی در حملات تکراری است. مستندسازی اینکه مهاجم در کجا و با چه تکنیکی شناسایی شده، امکان ایجاد Playbook دفاعی را فراهم می‌کند تا در مواجهه بعدی، تهدید همان‌جا یا پیش‌تر متوقف شود.

در نهایت، پاسخ‌گویی مبتنی بر اطلاعات با تکیه بر داده‌های دقیق از جایگاه مهاجم، نه‌تنها باعث مهار سریع‌تر حمله فعلی می‌شود، بلکه به بهبود مستمر دفاع سازمان و جلوگیری از موفقیت حملات مشابه در آینده کمک می‌کند. این همان رویکردی است که در نبرد امروز با تهدیدات پیشرفته، برنده‌ها را از بازندگان جدا می‌کند.



نمودار فوق :دیاگرام ماتریس ATT&CK رنگ‌بندی‌شده بر اساس محل کشف مهاجم
رنگ قرمز = محل شناسایی فعلی مهاجم
رنگ نارنجی = مراحل قبلی که باید بررسی شواهدشان انجام شود
رنگ زرد = مراحل بعدی که مهاجم ممکن است حرکت کند
رنگ سبز = مراحل امن یا پاک‌سازی‌شده


#آکادمی_روزبه
مرکز تخصصی CISSP
واتس اپ و بله 09902857290

وقتی بد افزار خود را به خواب میزند
مقوله Dormant Malware: مکانیزم و چالش شناسایی

موضوع Dormant malware به کد مخربی گفته می‌شود که پس از استقرار در سیستم، فعالیت مخرب فوری ندارد و عمداً در حالت غیرفعال باقی می‌ماند تا از شناسایی توسط ابزارهای امنیتی و تحلیل انسانی فرار کند.مانند ورود جاسوس یه یک منطقه و رفتار عادی برای قاطی شدن با مردم و در پی گرفتن زندگی عادی تا روز موعود . این بدافزار می‌تواند در دیسک، حافظه یا حتی Firmware ذخیره شود و تنها هنگام وقوع یک رویداد خاص فعال شود.
۱. موضوع Time-based Dormancy:
برخی بدافزارها با استفاده از APIهایی مثل Sleep() یا NtDelayExecution فعالیت خود را ساعت‌ها یا روزها به تأخیر می‌اندازند. چون Sandbox و EDR معمولاً مدت اجرای کوتاهی دارند، نمونه در طول تحلیل غیرفعال به‌نظر می‌رسد.
۲. بحث Event-based Activation:
اجرا تنها در صورت وقوع رویداد خاص مانند ورود کاربر ادمین، اتصال به شبکه داخلی یا کلیک روی فایل خاص. این الگو باعث می‌شود بدافزار در تست‌های خودکار بی‌اثر بماند.
۳. موضوع Environmental Awareness:
بدافزار با بررسی نشانه‌هایی مانند تعداد CPU Core، نام کارت شبکه یا کلیدهای رجیستری، محیط تحلیل را شناسایی کرده و تا زمان کاربر واقعی، خود را غیرفعال نشان می‌دهد.
۴. بحث Staged Payload Storage:
کد اصلی در Alternate Data Streams یا Registry ذخیره می‌شود. مرحله اول فقط یک Loader است که ظاهر بی‌ضرر دارد، اما فعال‌سازی را برای شرایط خاص نگه می‌دارد.
۵. مقولهLiving-off-the-Land Persistence:
استفاده از ابزارهای سیستمی (مثل WMI یا PowerShell) برای ایجاد persistence بدون اجرای باینری مخرب تا لحظه نیاز، باعث گمراهی مانیتورینگ مبتنی بر فایل می‌شود.


چالش شناسایی:
این Dormant malware فاقد Indicators of Compromise فوری است، ارتباط شبکه‌ای ندارد، و رفتارهای مخربش در جریان عادی سیستم پنهان می‌شود. شناسایی آن نیازمند memory forensics، تحلیل خط‌زمانی بلندمدت، و شکار مبتنی بر Indicators of Behavior است تا شکاف بین artifact موجود و رفتار واقعی شناسایی گردد.




#آکادمی_روزبه
مرکز تخصصی CISSP
واتس اپ و بله 09902857290

💥بررسی یک IOC مهم
غیرفعال‌سازی SafeDllSearchMode


در بخشی از یک Defense Evasion + Persistence و برای اجرای DLL Search Order Hijacking یا Phantom DLL Injection هکر میتواند غیر فعال سازی فوق را انجام دهد. لذا غیر فعال بودن ( کردن) SafeDllSearchMode می‌تواند نشانه‌ای از تسخیر باشد

🟣روش کشف

رویداد Sysmon Event ID 13 ، تغییر رجیستری روی مسیرزیر:
✳️HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\SafeDllSearchMode
✳️HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\SafeDllSearchMode


و Event ID 4657 (Windows Security) برای تغییر رجیستری با Audit Mode.
یا
هشدار EDR برای فرآیندی که reg.exe یا powershell را برای تغییر این کلید اجرا می‌کند.
بررسی تطبیقی با baseline رجیستری.



💐شاد باشید . خوشحال و با امید زندگی کنید


#آکادمی_روزبه
مرکز تخصصی CISSP
واتس اپ و بله 09902857290

از دغدغه های معمار SOC

✳️مساله :گاهی مهاجم حتی فایل اصلی exe برنامه را دست نمیزند، فقط manifest برنامه را عوض می‌کند تا DLL مخربش لود شود. این تغییر کوچک می‌تواند ماه‌ها پنهان بماند مگر اینکه baseline داشته باشید

اما مانیفست (Manifest) چیست ؟
در ویندوز در واقع یک فایل توضیحی یا نقشه راه است که به سیستم‌عامل می‌گوید یک برنامه باید چطور و با چه وابستگی‌هایی اجرا شود.

💥چطور می‌توان تغییرات manifest را بررسی کرد؟
🔰پایش مداوم فایل‌های manifest (File Integrity Monitoring)
🔸️فایل‌های manifest معمولاً پسوند ندارند یا .manifest هستند و کنار exe اصلی یا در مسیر نصب برنامه ذخیره می‌شوند.
🔸️می‌توان یک hash baseline از همه manifest ها گرفت.
🔸️ابزارهایی مثل Tripwire, OSSEC, یا حتی اسکریپت PowerShell می‌توانند هش فایل‌ها را پایش کنند و تغییرات را گزارش دهند.

🔰 استخراج و بررسی manifest جاسازی‌شده (Embedded Manifest)
🔸️بعضی برنامه‌ها manifest را داخل خود فایل exe یا dll embed می‌کنند.
🔸️با ابزارهایی مثل mt.exe (Microsoft Manifest Tool) یا Resource Hacker می‌توان manifest را از باینری استخراج و ذخیره کرد.
🔸️همان روند baseline/hash check برای این manifestهای استخراجی قابل اجرا است.

🔰مانیتور کردن مسیرهای حساس
🔸️مسیرهای نصب برنامه (Program Files, Windows\System32) و پوشه کاربر که برنامه‌های بدون امضا یا تستی در آن نصب شده‌اند، باید در سرویس FIM یا EDR تحت نظر باشند.
🔸️وEvent ID 4663 (Object Access) در Windows Security هم می‌تواند تغییر فایل‌ها را لاگ کند، هرچند پر سروصداست و نیاز به فیلتر دارد.

جهت اطلاع : در استاکس نت چنین رفتاری دیده شده است .



💐شاد باشید . خوشحال و با امید زندگی کنید


#آکادمی_روزبه
مرکز تخصصی CISSP
واتس اپ و بله 09902857290

کمک کنید همکارانم رو پیدا کنم

دعوت به همکاری از علاقمندان به تدریس

واتس اپ و بله برای ارسال رزومه 09902857290


پذیرش از سراسر ایران

www.haumoun.com
Www.Roozbeh.academy

تصویر فوق : برنامه آموزشی

امروز درگیر یک پروژه هانت در محیط صنعتی همراه با ۴ نفر از دوستان هستم.
از خروجی های پروژه در وقت لزوم و اجازه ی داده شده ، تجربه هایی با شما به اشتراک خواهم گذاشت . البته به اقتضای مسائل امنیتی خب برخی مطالب قابل بیان و حتی اشاره نیست .
فقط اینکه الان داریم با Velociraptor کار می‌کنیم

👆👆با توجه نتیجه رای گیری و پراکندگی رای ها ؛ تمام دوره ها را برای ثبت نام باز میگذارم هرکدام اول به حد نصاب رسید، من اول وقتم را برای آن خواهم گذاشت تا تصمیمی منصفانه باشد

💐شاد باشید . خوشحال و با امید زندگی کنید


#آکادمی_روزبه
مرکز تخصصی CISSP
واتس اپ و بله 09902857290

نگارش کپی و تبلیغات زرد ؟!

مدتی پیش، صاحب یکی از بزرگ‌ترین کانال‌های تلگرامی حوزه امنیت، تبلیغ کلاس من را رد کرد. دلیلش این بود که آن را «زرد» تلقی کرد، هرچند با قوانین کانالش هیچ تضادی نداشت. هفته قبل هم دوستی پست من را ترجمه یک مطلب خارجی پنداشت و تعدد نوشته‌هایم باعث شد به اصالت آن‌ها شک کند.

این‌ها برایم یک تلنگر بود: چرا گاهی فعالیت‌هایم باعث واکنش منفی دیگران می‌شود؟

کمی عمیق‌تر که فکر کردم، دیدم ریشه کارم فقط علاقه به انتقال دانش و تجربه است. حجم زیاد نوشته‌ها و عمق مطالب هم نتیجه سال‌ها کار، تجربه در شاخه‌های مختلف امنیت و فناوری، و عادت به مطالعه مداوم است.

یاد کودکی‌ام افتادم؛ زمانی که عاشق روزنامه‌دیواری بودم. برایم فقط یک ترند نبود، بلکه فرصتی بود تا آموخته‌هایم را منتقل کنم. حتی توضیح شفاهی هم می‌دادم. امروز هم که می‌نویسم، همان حس شعف را تجربه می‌کنم. وقتی مطلبی را آموزش می‌دهم، انگار خودم بهتر می‌فهمم. وقتی کسی—حتی یک نفر—در هفته به من پیام تشکر می‌دهد، آرامشی عمیق پیدا می‌کنم، انگار باری را از دوش برداشته‌ام.
شاید ریشه این علاقه، به ۳۸ سال معلمی مادرم و عشق پدرم به مطالعه—حتی در آخرین ساعات زندگی—برگردد. من در خانواده‌ای بزرگ شدم که مطالعه، بخشی از روزمره بود. این باعث شد حجم مطالعه، آزمایش و تولید محتوای من بالا باشد.

در مورد تبلیغات هم نکته‌ای هست: شاید برای بعضی آزاردهنده باشد که چرا مدام از مزایای سنز یا CISSP می‌گویم. دلیلش ساده است: اصلاح کار و پیشرفت جامعه فقط با پیروی از بهترین روش‌ها و استانداردهای جهانی ممکن است. بنابراین سرفصل باید کامل و مدارک باید معتبر و آزمون‌محور باشند. احترام به علم و رعایت سلسله‌مراتب کاری، زیربنای اصلاح و پیشرفت است.
پس بله، من تبلیغ مدرک و دوره «اصل» می‌کنم. چون این بخشی از هدفم برای اصلاح جامعه است؛ باری که عده کمی به دوش می‌کشند.

دوستان واقعی کنارم می‌مانند و دیگران هم به راه خود می‌روند. عمر کوتاه است، کار بسیار، و عرصه خدمت باز. عشق به خواندن، یاد دادن و انتقال تجربه چیزی نیست که از من جدا شود.
تا عمر هست، می‌نویسم؛ امیدوارم حتی ذره‌ای سودمند باشد.
هر کس به راه خود
والسلام.


روزبه نوروزی
پایان مرداد ماه ۱۴۰۴ تهران

پایش WMI Event Consumers

پایش WMI Event Consumers اهمیت زیادی در شکار تهدیدات دارد زیرا مهاجمان از آن‌ها برای ایجاد مکانیزم ماندگاری بدون ایجاد سرویس یا تسک زمان‌بندی شده استفاده می‌کنند. این روش معمولاً در لاگ‌های پیش‌فرض ثبت نمی‌شود، بنابراین کشف آن نیازمند مانیتورینگ فعال یا جمع‌آوری دوره‌ای وضعیت WMI است.

مانیتورینگ Real-time (برای بعد از فعال شدن)
با فعال‌سازی Sysmon و rule مربوط به WMI (مثل Event ID 19, 20, 21) می‌تونیم هر بار ایجاد/تغییر Event Consumer رو log کنیم.
یا Audit‌های خاص WMI در Microsoft-Windows-WMI-Activity/Operational رو فعال کنیم.
📌 مشکل: این روش فقط تغییرات بعد از فعال‌سازی رو می‌گیرد، نه مصرف‌کننده‌های موجود.

جمع‌آوری Snapshot
با PowerShell (Get-CimInstance) یا ابزارهای مشابه، تمام Event Consumerهای فعلی روی سیستم رو می‌خونیم (یعنی یه snapshot از وضعیت فعلی).
بعد این داده رو به Splunk می‌فرستیم تا بین هزاران سیستم دنبال موارد مشکوک بگردیم.
📌 مزیت: گذشته و حال رو می‌بینیم، نه فقط تغییرات جدید.


در کار اجرایی من هردو رو انجام دادم .


برای بخش اسنپ شات من اینکار رو میکنم :
جمع‌آوری داده‌ها از همه سیستم‌ها

$computers = Get-Content .\systems.txt # لیست سیستم‌ها
foreach ($comp in $computers) {
  try {
    $events = Invoke-Command -ComputerName $comp -ScriptBlock {
      Get-CimInstance -Namespace root\subscription -ClassName __EventConsumer
    }
    $events | Select-Object PSComputerName, Name, CommandLineTemplate |
      Export-Csv ".\WMI_Consumers.csv" -Append -NoTypeInformation
  }
  catch {
    Write-Host "Failed to query $comp" -ForegroundColor Red
  }
}

و بعد  ارسال داده به Splunk
دو روش
روش 1: از طریق Universal Forwarder
روی سیستمی که CSV تولید شده، Splunk Universal Forwarder نصب کنیم.
inputs.conf رو طوری پیکربندی کنیم که مسیر CSV رو مانیتور کند

روش 2: آپلود مستقیم در Splunk
اگر داده ثابت دارید (نه زنده)، می‌تونید CSV رو از GUI داخل یک ایندکس جدید آپلود کنید.

خوشحال میشم اگر شما تجربه ای دارید در این زمینه به اشتراک بگذارید



💐شاد باشید . خوشحال و با امید زندگی کنید


#آکادمی_روزبه
مرکز تخصصی CISSP
واتس اپ و بله 09902857290