کشف کردن خفه سازی EDR
استفاده از رولهای WFP ویندوز برای خفه کردن صدای EDR رو به افزایش است .
برای کشف این حمله حتما شماره رویداد های 5155 و 5157 را پایش کنید
لذا یکی از راه های دور خوردن EDR را اینطور کنترل کنید.
شعار من :
همه چیز کاملا ناتوان نیست همه چیز راهکار کامل نیست هرچیزی خوبی و ناتوانی دارد .
قرار نیست ابزارها برای ما معجزه کنند . راهکارهای ما قرار است ریسک را کنترل کنند. پس هنر شما است که هکر را به چالش می‌کشد.
#تجربه #درس_آموخته #انتقال_دانش #اشتراک_مطلب
#cybersecurity #threathunting #cyberforensics #sigma #lolbin
#آکادمی_روزبه
https://learn.microsoft.com/en-us/previous-versions/windows/it-pro/windows-10/security/threat-protection/auditing/audit-filtering-platform-connection
استفاده از رولهای WFP ویندوز برای خفه کردن صدای EDR رو به افزایش است .
برای کشف این حمله حتما شماره رویداد های 5155 و 5157 را پایش کنید
لذا یکی از راه های دور خوردن EDR را اینطور کنترل کنید.
شعار من :
همه چیز کاملا ناتوان نیست همه چیز راهکار کامل نیست هرچیزی خوبی و ناتوانی دارد .
قرار نیست ابزارها برای ما معجزه کنند . راهکارهای ما قرار است ریسک را کنترل کنند. پس هنر شما است که هکر را به چالش می‌کشد.
#تجربه #درس_آموخته #انتقال_دانش #اشتراک_مطلب
#cybersecurity #threathunting #cyberforensics #sigma #lolbin
#آکادمی_روزبه
https://learn.microsoft.com/en-us/previous-versions/windows/it-pro/windows-10/security/threat-protection/auditing/audit-filtering-platform-connection
#استخدام تحلیلگر امنیت سایبری
لطفا به شرایط دقت فرمایید
مسلط به دوره های زیر :
Security+, SANS 504, 503, 511, 508, 572, 542, 500
سابقه ۲ سال در امنیت ۱ سال در تحلیل امنیت
آشنا به یک SIEM
مسلط به تحلیل لاگ ویندوز ***
علاقمند به مطالعه دائم
آشنا به لاگ لینوکس
کارت پایان خدمت
حضوری فول تایم تهران
⭕️اصلا لازم نیست رول نویسی متبحر باشد یا به چیزی چون اسپلانک مسلط باشد.
✅️مهم درک لاگ و تحلیل حمله و مدیریت حادثه است .
اگر واقعا این شرایط را دارید؛ میتوانید همکار من شوید . رزومه را به آدرس زیر detect@chmail.ir بفرستید در عنوان ایمیل نوشته شود تحلیلگر امنیت سایبری .
دوستانی که سابقه لازمی که گفته شده را نداشته باشند میتوانند رزومه ارسال کنند اما از ایشان آزمون کتبی بعمل می‌آید.
دریافتی خالص ۴۰ تا ۵۰ م تومان ( شروع سال جدید متناسب با تورم؛ افزایش حقوق خواهد بود )
لطفا با فوروارد این پست کمک کنید همکارم رو پیدا کنم 🙏
#استخدام #امنیت #امنیت_سایبری
#cybersecurity #cyberforensics
لطفا به شرایط دقت فرمایید
مسلط به دوره های زیر :
Security+, SANS 504, 503, 511, 508, 572, 542, 500
سابقه ۲ سال در امنیت ۱ سال در تحلیل امنیت
آشنا به یک SIEM
مسلط به تحلیل لاگ ویندوز ***
علاقمند به مطالعه دائم
آشنا به لاگ لینوکس
کارت پایان خدمت
حضوری فول تایم تهران
⭕️اصلا لازم نیست رول نویسی متبحر باشد یا به چیزی چون اسپلانک مسلط باشد.
✅️مهم درک لاگ و تحلیل حمله و مدیریت حادثه است .
اگر واقعا این شرایط را دارید؛ میتوانید همکار من شوید . رزومه را به آدرس زیر detect@chmail.ir بفرستید در عنوان ایمیل نوشته شود تحلیلگر امنیت سایبری .
دوستانی که سابقه لازمی که گفته شده را نداشته باشند میتوانند رزومه ارسال کنند اما از ایشان آزمون کتبی بعمل می‌آید.
دریافتی خالص ۴۰ تا ۵۰ م تومان ( شروع سال جدید متناسب با تورم؛ افزایش حقوق خواهد بود )
لطفا با فوروارد این پست کمک کنید همکارم رو پیدا کنم 🙏
#استخدام #امنیت #امنیت_سایبری
#cybersecurity #cyberforensics
یک #تجربه مهم
کاهش نویز در هنگام حادثه
فرض کنید به محل SOC یک سازمان شما را دعوت می‌کنند که به آن نفوذ شده است یعنی شواهدی از نفوذ مشاهده گردیده است.
شما چکار میکنید ؟
یکی از اقدامات مهم به نظر من کاهش نویز است. کاهش نویز به چه معنا است ؟ همه می‌دانیم در بسیاری از سازمانها کنترل های امنیتی در لایه های مختلف پیاده نشده اند لذا شما با مجموعه ای از لاگ ها و آلرت ها حاصل از misconfiguration ها یا عدم وجود کنترل مواجه میشوید .
مثلا رولهای مناسبی بین ویلن ها موجود نیست یا دربخشی از سازمان IDS دید ندارد و شما لاگ هایی مرتبط با آن بخش از سایر سنسور ها می‌بینید که معنایی برای شما ندارند. این محیط از نظر من پر از نویز است . شما با مجموعه ای از اطلاعات احاطه شده اید که امکان تشخیص را در شما کاهش داده اند.
قدم مورد نیاز برای حل این موضوع پیاده سازی چند کنترل مهم در راستای کاهش نویز است .
مثلا برای ویلنی که امکان آلودگی مشاهده میگردد IPS روی UTM را فعال کنید . در سریعترین زمان ممکن یک اسپن از پورت سوئیچ یه IDS ارسال کنید .
در ذهن خود طرحی را تجسم کنید که منجر به کشف سریع هکر شود اما او دیر تر دست شما را بخواند .
در این راستا مجموعه ای از کنترل هایی که سریع و با هزینه کم قابل انجام هستند را پیاده کنید تا بتوانید Visibility بالاتری در زیرساخت بدست بیاورید . بعنوان کاتالوگ کنترل‌ها می‌توانم شما را به مستند ۱۸ کنترل حیاتی CIS ارجاع دهم.
یک مورد از تجربیات شخصی ام این است که در حادثه ای من برای کاهش نویز اقدام به خاموش کردن تعدادی از سرویس هایی که لاگ می‌انداختند کردم . این قدم هم سیستم را هاردن می‌کرد هم من را از بخشی از لاگها رهایی میداد.
تحلیلگران و فارنزیک کاران باید هم خود بدانند و هم مدیران ارشد را متقاعد کنند که خط مشی مدیریت حادثه در سازمان نوشته شود و همه درک کنند مدیریت حادثه چرخه ای دارد و زمان بر است و خیلی وابسته به استراتژی ای است که انتخاب می‌شود. استراتژی بسته به هدف سازمان برگزیده می‌شود و این استراتژی به ما حکم می‌کند که شاید کشف و واکنش به حادثه ماه‌ها طول بکشد و صاحبان کسب و کار باید درک کنند که این مساله در راستای اهداف سازمان است.
در این فضا است که این تجربه کاهش نویز قابل انجام است وگرنه اگر خط مشی مدیریت حادثه نباشد و مدیران به مراحل آشنا نباشند ؛ مدیریت حادثه باید یکساعته جمع شود و گزارش گردد !! و فرصتی برای غور در ردپای هکر نمی‌ماند.
حالا که تا اینجا این مطلب راخواندید و اگر سواد و مهارت مدیریت حادثه بصورت تئوری و عملی را دارید و همچنین تحلیلگر خوبی هستید میتوانید با من همکار شوید . اگر تمایل دارید در pv پیام دهید
#تجربه #درس_آموخته #انتقال_دانش #اشتراک_مطلب
#cybersecurity #threathunting #cyberforensics #ethics #privacy
کاهش نویز در هنگام حادثه
فرض کنید به محل SOC یک سازمان شما را دعوت می‌کنند که به آن نفوذ شده است یعنی شواهدی از نفوذ مشاهده گردیده است.
شما چکار میکنید ؟
یکی از اقدامات مهم به نظر من کاهش نویز است. کاهش نویز به چه معنا است ؟ همه می‌دانیم در بسیاری از سازمانها کنترل های امنیتی در لایه های مختلف پیاده نشده اند لذا شما با مجموعه ای از لاگ ها و آلرت ها حاصل از misconfiguration ها یا عدم وجود کنترل مواجه میشوید .
مثلا رولهای مناسبی بین ویلن ها موجود نیست یا دربخشی از سازمان IDS دید ندارد و شما لاگ هایی مرتبط با آن بخش از سایر سنسور ها می‌بینید که معنایی برای شما ندارند. این محیط از نظر من پر از نویز است . شما با مجموعه ای از اطلاعات احاطه شده اید که امکان تشخیص را در شما کاهش داده اند.
قدم مورد نیاز برای حل این موضوع پیاده سازی چند کنترل مهم در راستای کاهش نویز است .
مثلا برای ویلنی که امکان آلودگی مشاهده میگردد IPS روی UTM را فعال کنید . در سریعترین زمان ممکن یک اسپن از پورت سوئیچ یه IDS ارسال کنید .
در ذهن خود طرحی را تجسم کنید که منجر به کشف سریع هکر شود اما او دیر تر دست شما را بخواند .
در این راستا مجموعه ای از کنترل هایی که سریع و با هزینه کم قابل انجام هستند را پیاده کنید تا بتوانید Visibility بالاتری در زیرساخت بدست بیاورید . بعنوان کاتالوگ کنترل‌ها می‌توانم شما را به مستند ۱۸ کنترل حیاتی CIS ارجاع دهم.
یک مورد از تجربیات شخصی ام این است که در حادثه ای من برای کاهش نویز اقدام به خاموش کردن تعدادی از سرویس هایی که لاگ می‌انداختند کردم . این قدم هم سیستم را هاردن می‌کرد هم من را از بخشی از لاگها رهایی میداد.
تحلیلگران و فارنزیک کاران باید هم خود بدانند و هم مدیران ارشد را متقاعد کنند که خط مشی مدیریت حادثه در سازمان نوشته شود و همه درک کنند مدیریت حادثه چرخه ای دارد و زمان بر است و خیلی وابسته به استراتژی ای است که انتخاب می‌شود. استراتژی بسته به هدف سازمان برگزیده می‌شود و این استراتژی به ما حکم می‌کند که شاید کشف و واکنش به حادثه ماه‌ها طول بکشد و صاحبان کسب و کار باید درک کنند که این مساله در راستای اهداف سازمان است.
در این فضا است که این تجربه کاهش نویز قابل انجام است وگرنه اگر خط مشی مدیریت حادثه نباشد و مدیران به مراحل آشنا نباشند ؛ مدیریت حادثه باید یکساعته جمع شود و گزارش گردد !! و فرصتی برای غور در ردپای هکر نمی‌ماند.
حالا که تا اینجا این مطلب راخواندید و اگر سواد و مهارت مدیریت حادثه بصورت تئوری و عملی را دارید و همچنین تحلیلگر خوبی هستید میتوانید با من همکار شوید . اگر تمایل دارید در pv پیام دهید
#تجربه #درس_آموخته #انتقال_دانش #اشتراک_مطلب
#cybersecurity #threathunting #cyberforensics #ethics #privacy
تکنیک‌های مدیریت پروژه در خدمت امنیت
یکی از ابزار های مفید که در اختیار متخصص ISSMP است Plan of Action and Milestone میباشد. این POA&M برگه ای است که به کمک آن مدیر ارشد ، مدیر پروزه و مسوولان مالی، اعمال و جریان پروژه را مدیریت می‌کنند.
در یک POA&M معمولا اقلام زیر موجود است :
عمل یا Action: اصلاح ضعف یا پشتیبانی از عملیات خاص
اولویت : رتبه بندی اعمال
نقطه تماس: چه کسی مسوول انجام عمل و تسک میباشد
منابع مورد نیاز
زمان پایان کار
مایل استون ها
منابع عمل : گزارش های تمرین ؛ ممیزی و تست
وضعیت
توسط POA&M ؛ مدیریت یک لیستی در اختیار دارد که می‌تواند با نگاه به آن اولویت های انجام کار و بودجه بینی را در کنترل خود داشته باشد. این مساله کمک مهمی در مدیریت پروژه و انجام امور است برای مثال در یک پروژه امنیتی بدون وجود POA&M ریسکهای مدیریت نشده ای وجود دارد که می‌تواند هم اجرای پروژه را به خطر اندازد و هم ریسک های درون نهاده ای را به خود محصول و راهکار تزریق کند که مانند بک دور عمل کنند .
اصولا مهارت ISSMP به مدیر امنیت سازمان اجازه می‌دهد بتواند با شناختی فراتر از نیاز های فنی ؛ به فرآیند های بیزینسی و پروژه ای چشم داشته باشد و از تزریق ریسک های استراتژیک به امنیت سازمان جلوگیری کند. این مهارت برای مدیران ارشد و حتی CEO سازمان هم در راستای تدوین سند حکمرانی امنیت سازمان می‌تواند نقشی به سزا داشته باشد.
این مهارت یکی از فقدان های بزرگ در سواد امنیتی ایران امروز ما است که من سعی میکنم با تکیه بر سالها تجربه عملی در حوزه امنیت ؛ این مساله را در دوره ISSMP برای عزیزان و دانشجویان و مدیران ارشد باز کنم.
#cybersecurity #pmp #pmi #securitygovernance
#مدیریت_پروژه #مدیریت_امنیت #حکمرانی_امنیت
واتس اپ برای رزرو 09902857290
یکی از ابزار های مفید که در اختیار متخصص ISSMP است Plan of Action and Milestone میباشد. این POA&M برگه ای است که به کمک آن مدیر ارشد ، مدیر پروزه و مسوولان مالی، اعمال و جریان پروژه را مدیریت می‌کنند.
در یک POA&M معمولا اقلام زیر موجود است :
عمل یا Action: اصلاح ضعف یا پشتیبانی از عملیات خاص
اولویت : رتبه بندی اعمال
نقطه تماس: چه کسی مسوول انجام عمل و تسک میباشد
منابع مورد نیاز
زمان پایان کار
مایل استون ها
منابع عمل : گزارش های تمرین ؛ ممیزی و تست
وضعیت
توسط POA&M ؛ مدیریت یک لیستی در اختیار دارد که می‌تواند با نگاه به آن اولویت های انجام کار و بودجه بینی را در کنترل خود داشته باشد. این مساله کمک مهمی در مدیریت پروژه و انجام امور است برای مثال در یک پروژه امنیتی بدون وجود POA&M ریسکهای مدیریت نشده ای وجود دارد که می‌تواند هم اجرای پروژه را به خطر اندازد و هم ریسک های درون نهاده ای را به خود محصول و راهکار تزریق کند که مانند بک دور عمل کنند .
اصولا مهارت ISSMP به مدیر امنیت سازمان اجازه می‌دهد بتواند با شناختی فراتر از نیاز های فنی ؛ به فرآیند های بیزینسی و پروژه ای چشم داشته باشد و از تزریق ریسک های استراتژیک به امنیت سازمان جلوگیری کند. این مهارت برای مدیران ارشد و حتی CEO سازمان هم در راستای تدوین سند حکمرانی امنیت سازمان می‌تواند نقشی به سزا داشته باشد.
این مهارت یکی از فقدان های بزرگ در سواد امنیتی ایران امروز ما است که من سعی میکنم با تکیه بر سالها تجربه عملی در حوزه امنیت ؛ این مساله را در دوره ISSMP برای عزیزان و دانشجویان و مدیران ارشد باز کنم.
#cybersecurity #pmp #pmi #securitygovernance
#مدیریت_پروژه #مدیریت_امنیت #حکمرانی_امنیت
واتس اپ برای رزرو 09902857290
هرآنچه به حال خود رها شود دور میخورد .
در حوزه امنیت مثال چیست ؟ EDR
این روزها EDR نقش بسزایی در کمک برای مقابله و کشف نفوذ دارد لذا هکرها به دنبال آن هستند آنرا دور بزنند .
روشهای متعددی برای دور زدن EDR موجود است و اگر EDR را به حال خود رها کنید از جایی که فکر نمی‌کنید خواهید خورد !!
در لینک زیر راهکارهایی برای کمک به جلوگیری از دور خوردن EDR را مطالعه کنید
#cybersecurity #threathunting #securityawareness
#تجربه #درس_آموخته #انتقال_دانش
#آکادمی_روزبه
https://detect.fyi/edr-your-weakest-link-in-protecting-against-a-ransomware-attack-14a8cd1ae389
در حوزه امنیت مثال چیست ؟ EDR
این روزها EDR نقش بسزایی در کمک برای مقابله و کشف نفوذ دارد لذا هکرها به دنبال آن هستند آنرا دور بزنند .
روشهای متعددی برای دور زدن EDR موجود است و اگر EDR را به حال خود رها کنید از جایی که فکر نمی‌کنید خواهید خورد !!
در لینک زیر راهکارهایی برای کمک به جلوگیری از دور خوردن EDR را مطالعه کنید
#cybersecurity #threathunting #securityawareness
#تجربه #درس_آموخته #انتقال_دانش
#آکادمی_روزبه
https://detect.fyi/edr-your-weakest-link-in-protecting-against-a-ransomware-attack-14a8cd1ae389
Medium
EDR — Your weakest link in protecting against a Ransomware Attack?
We can see tampered EDR solutions in nearly all ransomware and APT attacks (MITRE ID: T1562.001). It’s one of the first steps attackers…
راهکاری امن برای کنترل اسکریپت ها
امروزه استفاده از انواع اسکریپت ها برای اجرای کد های مخرب بسیار رواج دارد . در برخی موارد مانند پاورشل می‌توان در برخی سازمانها اجرای آنرا محدود کرد اما این راهکار نمی‌تواند کارایی داشته باشد.
در روش زیر شما اجبار میکنید که بجای اجرای اسکریپت ؛ آن اسکریپت به کاربر نمایش داده شود. این راهکار در کل دامین قابل پیاده سازی است.
** تست شده و جواب مثبت و کارا است.
#تجربه #درس_آموخته
#cybersecurity #cyberforensics
#امنیت #امنیت_سایبری #ریسک #مدیریت
https://kostas-ts.medium.com/my-favourite-security-focused-gpo-stopping-script-execution-with-file-associations-59a05b6d181e
امروزه استفاده از انواع اسکریپت ها برای اجرای کد های مخرب بسیار رواج دارد . در برخی موارد مانند پاورشل می‌توان در برخی سازمانها اجرای آنرا محدود کرد اما این راهکار نمی‌تواند کارایی داشته باشد.
در روش زیر شما اجبار میکنید که بجای اجرای اسکریپت ؛ آن اسکریپت به کاربر نمایش داده شود. این راهکار در کل دامین قابل پیاده سازی است.
** تست شده و جواب مثبت و کارا است.
#تجربه #درس_آموخته
#cybersecurity #cyberforensics
#امنیت #امنیت_سایبری #ریسک #مدیریت
https://kostas-ts.medium.com/my-favourite-security-focused-gpo-stopping-script-execution-with-file-associations-59a05b6d181e
Medium
My Favourite Security-focused GPO: Stopping Script Execution with File Associations
Some time ago, I stumbled upon an excellent post by Red Canary[1] that introduced a clever method to prevent users from accidentally…
تکنیک در معماری و مفاهیم طراحی XDR
🖌روزبه نوروزی
برطبق متن CISSP ، یکی از محل ها و نقاط که پاشنه آشیل هر کنترل امنیتی است لحظه اعمال کنترل در محیط Untrust است. کنترل امنیتی باید بتواند همان اول، محیط را verify کند و چهارچوب آنرا در بر بگیرد به نحوی که از جامعیت سیستم و جامعیت خود مطمئن شود. درغیر اینصورت درمرداب قرارگرفته است.
مثالی از این امر لحظه نصب XDR Agent است. این Agent نباید اساس خود را بر آب بنا کند یعنی در محیطی که شناختی ندارد و کنترلی ندارد مشغول به کار شود.
یکی از روشهای دور زدن Agent های XDR این است که نتواند محیطی که توسط هکر تسخیر شده و دامی برای او پهن شده را تشخیص دهد.
بک دور های سطح کرنل، خطرناک ترین عوامل برای این لحظات هستند.
لذا درون نهادن روشی که XDR بتواند محیط را بشناسد و آنرا تمیز کند یکی از اصول طراحی امن XDR است ؛ نوعی Anti tampering .
شاید یکی از روشهای اجرایی این مفهوم ، اتصال آنلاین و کامل Agent در لحظه نصب با سرور مادر باشد.
پی نوشت : این مفهوم ؛ برای کنترل های مشابه XDR نظیر EDR نیز لازم است.
#معماری_امن
#طراحی_نرم_افزار
#cybersecurity #threathunting #xdr
#sdlc #ssdlc
🖌روزبه نوروزی
برطبق متن CISSP ، یکی از محل ها و نقاط که پاشنه آشیل هر کنترل امنیتی است لحظه اعمال کنترل در محیط Untrust است. کنترل امنیتی باید بتواند همان اول، محیط را verify کند و چهارچوب آنرا در بر بگیرد به نحوی که از جامعیت سیستم و جامعیت خود مطمئن شود. درغیر اینصورت درمرداب قرارگرفته است.
مثالی از این امر لحظه نصب XDR Agent است. این Agent نباید اساس خود را بر آب بنا کند یعنی در محیطی که شناختی ندارد و کنترلی ندارد مشغول به کار شود.
یکی از روشهای دور زدن Agent های XDR این است که نتواند محیطی که توسط هکر تسخیر شده و دامی برای او پهن شده را تشخیص دهد.
بک دور های سطح کرنل، خطرناک ترین عوامل برای این لحظات هستند.
لذا درون نهادن روشی که XDR بتواند محیط را بشناسد و آنرا تمیز کند یکی از اصول طراحی امن XDR است ؛ نوعی Anti tampering .
شاید یکی از روشهای اجرایی این مفهوم ، اتصال آنلاین و کامل Agent در لحظه نصب با سرور مادر باشد.
پی نوشت : این مفهوم ؛ برای کنترل های مشابه XDR نظیر EDR نیز لازم است.
#معماری_امن
#طراحی_نرم_افزار
#cybersecurity #threathunting #xdr
#sdlc #ssdlc
اینم خدمت دوستانی که خیلی دوست دارند کاربرد واقعی و عملی NetFlow در کشف APT رو ببینن.
یک پیوست واسه درس سنز ۵۷۲ ( فارنزیک و هانت شبکه )
#آکادمی_روزبه
https://www.linkedin.com/posts/roozbehnoroozi_cybersecurity-threathunting-cyberforensics-activity-7260738737603547138-aDlC?utm_source=share&utm_medium=member_android
یک پیوست واسه درس سنز ۵۷۲ ( فارنزیک و هانت شبکه )
#آکادمی_روزبه
https://www.linkedin.com/posts/roozbehnoroozi_cybersecurity-threathunting-cyberforensics-activity-7260738737603547138-aDlC?utm_source=share&utm_medium=member_android
Linkedin
Real example of detecting APTs by NetFlow | Roozbeh Noroozi
Real example of detecting APTs by NetFlow
As an appendix to SANS FOR572 training.
#cybersecurity #threathunting #cyberforensics #risk
As an appendix to SANS FOR572 training.
#cybersecurity #threathunting #cyberforensics #risk