شبیه‌سازی دشمن در برابر تقلید دشمن ( سیمولیشن و ایمولیشن ): تفاوت‌ها و کاربردها
با پیچیده‌تر شدن تهدیدات سایبری، اتکاء صرف به تست نفوذ یا عملیات Red Team برای سنجش آمادگی دفاعی سازمان کافی نیست. دو رویکرد پیشرفته، یعنی شبیه‌سازی (Adversary Simulation) و تقلید (Adversary Emulation)، به عنوان ابزارهای کلیدی برای آزمون و بهبود موضع امنیتی سازمان مورد استفاده قرار می‌گیرند.
شبیه‌سازی دشمن رویکردی جامع است که چرخه کامل یک حمله واقعی را بازآفرینی می‌کند؛ از شناسایی، نفوذ، تثبیت حضور، حرکت جانبی، تا خروج داده. این روش با استفاده از چارچوب‌هایی مانند MITRE ATT&CK و Cyber Kill Chain نه تنها نقاط ضعف فنی را آشکار می‌کند، بلکه شکاف‌های فرآیندی و انسانی را نیز برملا می‌سازد. مثال رایج، کارزارهای APT است که از مهندسی اجتماعی و سوءاستفاده از سرویس‌های معتبر (مانند Dropbox یا پکیج‌های NPM) برای عبور از ابزارهای EDR و SIEM بهره می‌برند. هدف اصلی این رویکرد، سنجش مقاومت یک سازمان در برابر حملات ترکیبی و مداوم است، نه صرفاً یک آسیب‌پذیری خاص.
تقلید اما تمرکز محدودتری دارد؛ این روش بر اساس اطلاعات تهدید موجود، دقیقاً رفتارها، ابزارها و تکنیک‌های یک گروه یا تهدیدگر شناخته‌شده (مانند APT29 یا FIN7) را بازسازی می‌کند. هدف، ارزیابی توان دفاعی در برابر تهدیدی مشخص و شناخته‌شده است. این رویکرد بیشتر به کار سازمان‌هایی می‌آید که می‌خواهند آمادگی خود را در برابر یک دشمن خاص بسنجند یا قوانین کشف موجود را اعتبارسنجی کنند.
در حالی که شبیه‌سازی نقشه‌ای جامع از نقاط ضعف کل سیستم دفاعی ارائه می‌دهد، تقلید نمایی دقیق از عملکرد سیستم در برابر یک تهدیدگر خاص به دست می‌دهد. ترکیب هر دو رویکرد، بهترین نتیجه را برای ایجاد دفاعی مقاوم و پویا در برابر تهدیدات پیشرفته فراهم می‌سازد.
https://medium.com/@S3N4T0R/adversary-simulation-vs-adversary-emulation-381b920a12f6
با پیچیده‌تر شدن تهدیدات سایبری، اتکاء صرف به تست نفوذ یا عملیات Red Team برای سنجش آمادگی دفاعی سازمان کافی نیست. دو رویکرد پیشرفته، یعنی شبیه‌سازی (Adversary Simulation) و تقلید (Adversary Emulation)، به عنوان ابزارهای کلیدی برای آزمون و بهبود موضع امنیتی سازمان مورد استفاده قرار می‌گیرند.
شبیه‌سازی دشمن رویکردی جامع است که چرخه کامل یک حمله واقعی را بازآفرینی می‌کند؛ از شناسایی، نفوذ، تثبیت حضور، حرکت جانبی، تا خروج داده. این روش با استفاده از چارچوب‌هایی مانند MITRE ATT&CK و Cyber Kill Chain نه تنها نقاط ضعف فنی را آشکار می‌کند، بلکه شکاف‌های فرآیندی و انسانی را نیز برملا می‌سازد. مثال رایج، کارزارهای APT است که از مهندسی اجتماعی و سوءاستفاده از سرویس‌های معتبر (مانند Dropbox یا پکیج‌های NPM) برای عبور از ابزارهای EDR و SIEM بهره می‌برند. هدف اصلی این رویکرد، سنجش مقاومت یک سازمان در برابر حملات ترکیبی و مداوم است، نه صرفاً یک آسیب‌پذیری خاص.
تقلید اما تمرکز محدودتری دارد؛ این روش بر اساس اطلاعات تهدید موجود، دقیقاً رفتارها، ابزارها و تکنیک‌های یک گروه یا تهدیدگر شناخته‌شده (مانند APT29 یا FIN7) را بازسازی می‌کند. هدف، ارزیابی توان دفاعی در برابر تهدیدی مشخص و شناخته‌شده است. این رویکرد بیشتر به کار سازمان‌هایی می‌آید که می‌خواهند آمادگی خود را در برابر یک دشمن خاص بسنجند یا قوانین کشف موجود را اعتبارسنجی کنند.
در حالی که شبیه‌سازی نقشه‌ای جامع از نقاط ضعف کل سیستم دفاعی ارائه می‌دهد، تقلید نمایی دقیق از عملکرد سیستم در برابر یک تهدیدگر خاص به دست می‌دهد. ترکیب هر دو رویکرد، بهترین نتیجه را برای ایجاد دفاعی مقاوم و پویا در برابر تهدیدات پیشرفته فراهم می‌سازد.
https://medium.com/@S3N4T0R/adversary-simulation-vs-adversary-emulation-381b920a12f6
Medium
Adversary Simulation VS Adversary Emulation
In today’s cybersecurity landscape, traditional penetration testing and red teaming are no longer enough to counter sophisticated…
❤5💯5
ریسک پذیری؛ عاملی برای امن سازی : تجربه واقعی
درصحبت با دوستی ، مساله ریسک ناپذیری مدیران یک سازمان که اخیرا هک شده رو بررسی کردیم که چطور مسوولان و ادمین ها از ترس شکست در به روزرسانی باعث شدند هکر ها از آسیب پذیری ها سوء استفاده کنند .
در دنیای پرشتاب تهدیدات سایبری، بزرگ‌ترین اشتباه امنیتی ممکن است نه یک پیکربندی اشتباه، بلکه تعلل در اقدام به‌موقع باشد. در بسیاری از سازمان‌ها مشاهده شده که مدیران امنیت (CISO) و ادمین‌ها به دلیل ترس از شکست به‌روزرسانی، اختلال سرویس، یا افزایش بار پشتیبانی، نصب Patchهای حیاتی را به تعویق می‌اندازند. این تصمیم محافظه‌کارانه در ظاهر کاهش ریسک ایجاد می‌کند، اما در واقع با باز نگه‌داشتن پنجره آسیب‌پذیری، ریسک بسیار بزرگ‌تری را تحمیل می‌کند.
ریسک‌پذیری حساب‌شده به معنای بی‌احتیاطی نیست؛ بلکه پذیرش آگاهانه و کنترل‌شده ریسک کوچک‌تر برای جلوگیری از ریسک بزرگ‌تر است. در زمینه به‌روزرسانی‌های امنیتی، این مفهوم مستلزم آن است که مدیر امنیت بتواند سناریوی تهدید را ارزیابی کند: آیا آسیب‌پذیری به‌طور فعال در حال اکسپلویت است؟ آیا کد اکسپلویت عمومی منتشر شده؟ اگر پاسخ مثبت است، تأخیر چندروزه در به‌روزرسانی ممکن است به نفوذ کامل منجر شود.
برای اجرای این نوع تصمیم‌گیری، وجود فرآیند مدیریت تغییر مبتنی بر ریسک ضروری است. این فرآیند شامل آزمون به‌روزرسانی در محیط آزمایشی، تدوین برنامه بازگشت (Rollback Plan)، و هماهنگی با ذی‌نفعان سرویس است. به این ترتیب، حتی در صورت بروز مشکل، بازگشت سریع به حالت پایدار ممکن خواهد بود و سازمان از تهدید اصلی در امان می‌ماند.
نمونه‌های واقعی حملات نشان داده‌اند که مهاجمان دقیقاً از همین مقاومت روانی و عملیاتی سازمان‌ها در برابر تغییر استفاده می‌کنند. در نتیجه، تیم امنیتی باید با فرهنگ‌سازی سازمانی، شفاف‌سازی هزینه‌های تعلل، و ایجاد رویه‌های پاسخ سریع به آسیب‌پذیری‌های بحرانی، مرز باریک بین ثبات و خطر را هوشمندانه مدیریت کند.
در نهایت، موفق‌ترین مدیران امنیت آنانی هستند که می‌دانند در چه زمانی باید «اختلال کوتاه‌مدت» را بپذیرند تا از «بحران بلندمدت» جلوگیری کنند.
#آکادمی_روزبه
مرکز تخصصی CISSP و ISSMP
درصحبت با دوستی ، مساله ریسک ناپذیری مدیران یک سازمان که اخیرا هک شده رو بررسی کردیم که چطور مسوولان و ادمین ها از ترس شکست در به روزرسانی باعث شدند هکر ها از آسیب پذیری ها سوء استفاده کنند .
در دنیای پرشتاب تهدیدات سایبری، بزرگ‌ترین اشتباه امنیتی ممکن است نه یک پیکربندی اشتباه، بلکه تعلل در اقدام به‌موقع باشد. در بسیاری از سازمان‌ها مشاهده شده که مدیران امنیت (CISO) و ادمین‌ها به دلیل ترس از شکست به‌روزرسانی، اختلال سرویس، یا افزایش بار پشتیبانی، نصب Patchهای حیاتی را به تعویق می‌اندازند. این تصمیم محافظه‌کارانه در ظاهر کاهش ریسک ایجاد می‌کند، اما در واقع با باز نگه‌داشتن پنجره آسیب‌پذیری، ریسک بسیار بزرگ‌تری را تحمیل می‌کند.
ریسک‌پذیری حساب‌شده به معنای بی‌احتیاطی نیست؛ بلکه پذیرش آگاهانه و کنترل‌شده ریسک کوچک‌تر برای جلوگیری از ریسک بزرگ‌تر است. در زمینه به‌روزرسانی‌های امنیتی، این مفهوم مستلزم آن است که مدیر امنیت بتواند سناریوی تهدید را ارزیابی کند: آیا آسیب‌پذیری به‌طور فعال در حال اکسپلویت است؟ آیا کد اکسپلویت عمومی منتشر شده؟ اگر پاسخ مثبت است، تأخیر چندروزه در به‌روزرسانی ممکن است به نفوذ کامل منجر شود.
برای اجرای این نوع تصمیم‌گیری، وجود فرآیند مدیریت تغییر مبتنی بر ریسک ضروری است. این فرآیند شامل آزمون به‌روزرسانی در محیط آزمایشی، تدوین برنامه بازگشت (Rollback Plan)، و هماهنگی با ذی‌نفعان سرویس است. به این ترتیب، حتی در صورت بروز مشکل، بازگشت سریع به حالت پایدار ممکن خواهد بود و سازمان از تهدید اصلی در امان می‌ماند.
نمونه‌های واقعی حملات نشان داده‌اند که مهاجمان دقیقاً از همین مقاومت روانی و عملیاتی سازمان‌ها در برابر تغییر استفاده می‌کنند. در نتیجه، تیم امنیتی باید با فرهنگ‌سازی سازمانی، شفاف‌سازی هزینه‌های تعلل، و ایجاد رویه‌های پاسخ سریع به آسیب‌پذیری‌های بحرانی، مرز باریک بین ثبات و خطر را هوشمندانه مدیریت کند.
در نهایت، موفق‌ترین مدیران امنیت آنانی هستند که می‌دانند در چه زمانی باید «اختلال کوتاه‌مدت» را بپذیرند تا از «بحران بلندمدت» جلوگیری کنند.
#آکادمی_روزبه
مرکز تخصصی CISSP و ISSMP
❤5💯5
نگاهی به دوره های ISSMP و CISSP
ازمنظر مدرس وزحمت تدریس:
🌎 از نظر حجم کلی آموزش دوره CISSP سنگین‌تر است.
🎯 از نظر تجربه مدیریتی و کیس واقعی دوره ISSMP دشوارتر.
واتس اپ و بله www.haumoun.com 09902857290
ازمنظر مدرس وزحمت تدریس:
واتس اپ و بله www.haumoun.com 09902857290
Please open Telegram to view this post
VIEW IN TELEGRAM
❤6
سبک سوالاتی که پس از کلاس ISSMP من باید بتوانید پاسخ دهید :
سوال:
در یک سازمان حیاتی(High Availability & Regulated Environment) که از چارچوب ITIL v4 Change Enablement با لایه‌های مجازسازی چندسطحی استفاده می‌کند، مدیریت تغییر تصمیم می‌گیرد یک patch امنیتی اضطراری را خارج از چرخه انتشار استاندارد روی سیستم X نصب کند.
سیستم X بخشی از یک سامانه پیام‌رسان بین‌سازمانی است که تحت FIPS 140-3 و ISO/IEC 27001:2022 ممیزی می‌شود و پیکربندی آن توسط پایگاه داده مرکزی Configuration Management Database (CMDB) به‌روزرسانی می‌شود.
در این سناریو:
تغییر اضطراری بدون CAB approval اجرا شده ولی پس از نصب، CMDB به‌روزرسانی نشده است.
سامانه مانیتورینگ (Security Configuration Baseline) همچنان نسخه قدیمی را به‌عنوان «صحیح» شناسایی می‌کند.
در بازرسی بعدی، تیم ممیزی، ناسازگاری بین مستندات CMDB و وضعیت واقعی سیستم را ثبت می‌کند که باعث نقض Regulatory Compliance شده است.
پرسش:
با توجه به سرفصل درسی توضیح دهید چگونه می‌توان در این سناریو، همزمان:
ریسک ناشی از تغییر اضطراری را به حداقل رساند،
سازگاری مقرراتی (Compliance Alignment) را بازیابی کرد،
و تناقض بین Change Management Records و Configuration State را بدون ایجاد توقف سرویس، اصلاح نمود
#آکادمی_روزبه www.haumoun.com
مرکز تخصصی ISSMP و CISSP
سوال:
در یک سازمان حیاتی(High Availability & Regulated Environment) که از چارچوب ITIL v4 Change Enablement با لایه‌های مجازسازی چندسطحی استفاده می‌کند، مدیریت تغییر تصمیم می‌گیرد یک patch امنیتی اضطراری را خارج از چرخه انتشار استاندارد روی سیستم X نصب کند.
سیستم X بخشی از یک سامانه پیام‌رسان بین‌سازمانی است که تحت FIPS 140-3 و ISO/IEC 27001:2022 ممیزی می‌شود و پیکربندی آن توسط پایگاه داده مرکزی Configuration Management Database (CMDB) به‌روزرسانی می‌شود.
در این سناریو:
تغییر اضطراری بدون CAB approval اجرا شده ولی پس از نصب، CMDB به‌روزرسانی نشده است.
سامانه مانیتورینگ (Security Configuration Baseline) همچنان نسخه قدیمی را به‌عنوان «صحیح» شناسایی می‌کند.
در بازرسی بعدی، تیم ممیزی، ناسازگاری بین مستندات CMDB و وضعیت واقعی سیستم را ثبت می‌کند که باعث نقض Regulatory Compliance شده است.
پرسش:
با توجه به سرفصل درسی توضیح دهید چگونه می‌توان در این سناریو، همزمان:
ریسک ناشی از تغییر اضطراری را به حداقل رساند،
سازگاری مقرراتی (Compliance Alignment) را بازیابی کرد،
و تناقض بین Change Management Records و Configuration State را بدون ایجاد توقف سرویس، اصلاح نمود
#آکادمی_روزبه www.haumoun.com
مرکز تخصصی ISSMP و CISSP
👏5❤3
#امنیت_به_زبان_ساده
فرض کنید تیم امنیتی متوجه شده یک بدافزار جدید در شبکه پخش شده که فایلی به نام مثلاً update_kaspersky.exe ایجاد می‌کند و داخلش رشته‌ای خاص وجود دارد:
cmd.exe /c powershell -EncodedCommand
این نشانه معمولاً در بدافزارهایی دیده می‌شود که سعی می‌کنند PowerShell را به‌صورت مخفی اجرا کنند.
ما می‌خواهیم قانونی بنویسیم تا هر فایلی که چنین الگویی دارد پیدا شود. قانون بسیار ساده YARA می‌تواند این باشد:
yara
rule suspicious_powershell_use
{
meta:
description = "Detects hidden PowerShell execution in malware"
author = "ThreatHuntTeam"
strings:
$a = "cmd.exe /c powershell -EncodedCommand"
condition:
$a
}
تیم شکار تهدید (Threat Hunting Team) این قانون را در مسیر فایل‌های مشکوک یا روی دامپ حافظه اجرا می‌کند. مثلاً در خط فرمان:
yara suspicious_powershell_use.yar D:\IncidentSamples\
اگر YARA در یکی از هزاران فایل بررسی‌شده، آن رشته را پیدا کند، خروجی مثل این داده می‌شود:
suspicious_powershell_use D:\IncidentSamples\update_kaspersky.exe
یعنی این فایل الگوی مشکوک را دارد.
در ادامه، Hunter آن فایل را باز می‌کند، رفتار آن را در Sandbox بررسی می‌کند، و اگر تایید شد، هم هش (Hash) و هم قانون YARA را در تهدیدنامه سازمان ثبت می‌کند تا در دفعات بعدی، سیستم به‌صورت خودکار آن را مسدود کند.
#آکادمی_روزبه
Please open Telegram to view this post
VIEW IN TELEGRAM
❤7👍4
آکادمی آموزش روزبه 📚
#امنیت_به_زبان_ساده
🔭 یارا چیست ؟
در دنیای امنیت سایبری، YARA ابزاری است که به کارشناسان شکار تهدید (Threat Hunters) کمک می‌کند تا بدافزارها و رفتارهای مشکوک را پیدا کنند.
اگر بخواهیم ساده بگوییم، YARA مثل یک «چشم هوشمند» است که در بین حجم زیادی از فایل‌ها، حافظه، یا حتی ترافیک شبکه به‌دنبال نشانه‌های خاص می‌گردد. این نشانه‌ها در قالب «قوانین YARA» تعریف می‌شوند؛ قوانینی که می‌گویند اگر در داده‌ها رشته‌هایی مثل نام فایل، دستور خاص، یا الگوی رفتاری مشخصی دیدی، آن را علامت بزن.
فرض کنید دنبال بدافزاری هستیم که همیشه از دستور PowerShell با اسم خاصی استفاده می‌کند. با نوشتن یک قانون YARA برای آن رشته، می‌توانیم تمام سیستم‌ها را اسکن کنیم تا مورد مشکوک پیدا شود.
🍀 مزیت بزرگ YARA این است که حتی اگر بدافزار تغییر نام بدهد یا hash جدیدی بسازد، تا زمانی که رفتار اصلی‌اش عوض نشده باشد، باز هم شناسایی می‌شود.
در مرحله‌های شکار تهدید، YARA در چند گام کمک می‌کند:
فرضیه‌سازی: بررسی اینکه چه چیزی ممکن است نشانه تهدید باشد.
جست‌وجو در داده‌ها: اسکن فایل‌ها و سیستم‌ها با قوانین YARA.
تحلیل نتیجه: تطبیق یافته‌ها با رفتار بدافزارها یا تهدیدهای شناخته‌شده.
بهبود و تکرار: اصلاح قوانین بر اساس تجربه‌های جدید.
در محیط‌های پیشرفته‌تر، YARA با ابزارهای SIEM و SOAR ترکیب می‌شود تا جست‌وجو به‌صورت خودکار انجام شود.
در کل، YARA ابزاری ساده اما قدرتمند است که به تیم‌های امنیتی کمک می‌کند هوشمندانه‌تر شکار کنند، رفتار واقعی تهدید را بشناسند، و زودتر جلوی نفوذ را بگیرند.
🧲 به زبان خیلی ساده: YARA یعنی دیدن چیزهایی که بقیه نمی‌بینند ، قبل از اینکه تهدید واقعی شود.
#آکادمی_روزبه
🛡 مرکز تخصصی CISSP و ISSMP
در دنیای امنیت سایبری، YARA ابزاری است که به کارشناسان شکار تهدید (Threat Hunters) کمک می‌کند تا بدافزارها و رفتارهای مشکوک را پیدا کنند.
اگر بخواهیم ساده بگوییم، YARA مثل یک «چشم هوشمند» است که در بین حجم زیادی از فایل‌ها، حافظه، یا حتی ترافیک شبکه به‌دنبال نشانه‌های خاص می‌گردد. این نشانه‌ها در قالب «قوانین YARA» تعریف می‌شوند؛ قوانینی که می‌گویند اگر در داده‌ها رشته‌هایی مثل نام فایل، دستور خاص، یا الگوی رفتاری مشخصی دیدی، آن را علامت بزن.
فرض کنید دنبال بدافزاری هستیم که همیشه از دستور PowerShell با اسم خاصی استفاده می‌کند. با نوشتن یک قانون YARA برای آن رشته، می‌توانیم تمام سیستم‌ها را اسکن کنیم تا مورد مشکوک پیدا شود.
در مرحله‌های شکار تهدید، YARA در چند گام کمک می‌کند:
فرضیه‌سازی: بررسی اینکه چه چیزی ممکن است نشانه تهدید باشد.
جست‌وجو در داده‌ها: اسکن فایل‌ها و سیستم‌ها با قوانین YARA.
تحلیل نتیجه: تطبیق یافته‌ها با رفتار بدافزارها یا تهدیدهای شناخته‌شده.
بهبود و تکرار: اصلاح قوانین بر اساس تجربه‌های جدید.
در محیط‌های پیشرفته‌تر، YARA با ابزارهای SIEM و SOAR ترکیب می‌شود تا جست‌وجو به‌صورت خودکار انجام شود.
در کل، YARA ابزاری ساده اما قدرتمند است که به تیم‌های امنیتی کمک می‌کند هوشمندانه‌تر شکار کنند، رفتار واقعی تهدید را بشناسند، و زودتر جلوی نفوذ را بگیرند.
#آکادمی_روزبه
Please open Telegram to view this post
VIEW IN TELEGRAM
👍5❤4
یکشنبه جلسه انتقال تجربیات کار در آلمان از سوی یک متخصص مهاجر CISSP ایرانی
اختصاصی دانشجویان کلاس CISSP و ISSMP
#آکادمی_روزبه
Please open Telegram to view this post
VIEW IN TELEGRAM
❤4🤝4
نفوذ از طریق LinkedIn؛ تهدیدی در لباس ارتباط حرفه‌ای
شبکه LinkedIn در ابتدا به عنوان شبکه‌ای برای توسعه ارتباطات حرفه‌ای و فرصت‌های شغلی طراحی شد، اما امروزه به بستری برای سوءاستفاده‌های پیچیده در زمینهٔ مهندسی اجتماعی و جاسوسی سایبری تبدیل شده است. پرونده‌هایی مانند «Mia Ash» که توسط شرکت Secureworks افشا شد، نشان دادند حتی ارتباطات ظاهراً سالم و حرفه‌ای می‌توانند پوششی برای عملیات هدفمند نفوذ اطلاعاتی باشند.
چگونه حمله آغاز می‌شود
فرآیند نفوذ در LinkedIn معمولاً از مرحله‌ای ظریف ولی سیستماتیک شروع می‌شود. مهاجم ابتدا با بررسی شبکه‌های اجتماعی، افراد کلیدی در سازمان‌های هدف را شناسایی می‌کند؛ کسانی که به منابع حساس یا سامانه‌های حیاتی دسترسی دارند. سپس پروفایلی جعلی و جذاب می‌سازد . معمولاً با عکس واقعی از شخصی بی‌ربط و سابقه‌ای قانع‌کننده از تحصیلات و تجربه در حوزه‌ای مشابه.
ارتباط اولیه اغلب از طریق دعوت‌نامهٔ حرفه‌ای آغاز می‌شود. مهاجم با ایجاد تعامل‌های مکرر، سعی در شکل‌دادن به اعتماد دارد؛ گفت‌وگوها دربارهٔ پروژه‌های کاری، فناوری‌های جدید یا حتی موضوعات شخصی ادامه می‌یابد تا قربانی احساس آشنایی و اطمینان کند. در مرحلهٔ بعد، مهاجم لینک، فایل رزومه یا دعوت‌نامه‌ای برای وبینار ارسال می‌کند که در واقع حاوی فایل آلوده‌ای است. باز کردن این فایل کافی است تا بدافزار روی سیستم قربانی فعال شود و مرحلهٔ نفوذ فنی آغاز گردد.
با وجود تورم در ایران و تلاش افراد برای اخذ کار ریموت این مساله نکته مهمی شده است . برای برنامه نویسان امکان ارسال پکیج های آلوده تحت کار تستی وجود دارد. برای سایرین هم امکان اخذ اطلاعات کاربردی و نفوذ از طریق وسایل کاری ارتباطی مشترک و جمع آوری اطلاعات وجود دارد.
نشانه‌های هشدار
در بسیاری از موارد، قربانیان پس از وقوع حادثه متوجه نشانه‌هایی می‌شوند که پیش‌تر به آن‌ها بی‌توجهی کرده بودند؛ پروفایل‌هایی که فعالیت کمی دارند اما به شکل غیرعادی حرفه‌ای طراحی شده‌اند، ارتباطات غیرمنتظره از سوی افراد با تخصص مشابه، یا پیام‌هایی که به تدریج از حالت صرفاً شغلی به گفت‌وگوهای شخصی متمایل می‌شوند. گاهی نیز مهاجم برای دور زدن کنترل‌های سازمانی از قربانی می‌خواهد فایل را از طریق ایمیل شخصی دریافت کند، نه کاری . جزئی به ظاهر بی‌اهمیت که در واقع کلید اصلی نفوذ است.
راهکارهای پیشگیرانه در سطح فردی
کاربران LinkedIn باید هرگونه ارتباط ناگهانی از سوی افراد ناشناس را با احتیاط بررسی کنند. تأیید واقعی‌بودن هویت فرد با جستجو در منابع دیگر، پرهیز از انتشار جزئیات پروژه‌های سازمانی در پروفایل، و عدم باز کردن فایل‌ها یا لینک‌های دریافتی بدون اطمینان کامل از منبع آن‌ها، از مهم‌ترین اقدامات پیشگیرانه است. فعال‌سازی احراز هویت دومرحله‌ای نیز می‌تواند مانع بسیاری از سوءاستفاده‌ها شود.
الزامات سازمانی
سازمان‌ها موظف‌اند سیاست روشنی در خصوص استفاده از شبکه‌های اجتماعی تدوین کنند تا کارمندان از مرز بین ارتباط حرفه‌ای و افشای ناخواستهٔ اطلاعات آگاه باشند. گنجاندن سناریوهای واقعی مهندسی اجتماعی مبتنی بر LinkedIn در برنامه‌های آموزش امنیتی می‌تواند به افزایش آگاهی و واکنش هوشمندانهٔ پرسنل کمک کند. همچنین تیم‌های امنیتی باید با واحدهای ارتباطات و منابع انسانی هماهنگ باشند تا در صورت مشاهدهٔ پروفایل‌های جعلی مرتبط با برند یا کارکنان، اقدامات متقابل به سرعت انجام شود.
لینک زیر گزارشی از یک عملیات واقعی فریب در لینکدین است .
https://www.secureworks.com/research/the-curious-case-of-mia-ash
شبکه LinkedIn در ابتدا به عنوان شبکه‌ای برای توسعه ارتباطات حرفه‌ای و فرصت‌های شغلی طراحی شد، اما امروزه به بستری برای سوءاستفاده‌های پیچیده در زمینهٔ مهندسی اجتماعی و جاسوسی سایبری تبدیل شده است. پرونده‌هایی مانند «Mia Ash» که توسط شرکت Secureworks افشا شد، نشان دادند حتی ارتباطات ظاهراً سالم و حرفه‌ای می‌توانند پوششی برای عملیات هدفمند نفوذ اطلاعاتی باشند.
چگونه حمله آغاز می‌شود
فرآیند نفوذ در LinkedIn معمولاً از مرحله‌ای ظریف ولی سیستماتیک شروع می‌شود. مهاجم ابتدا با بررسی شبکه‌های اجتماعی، افراد کلیدی در سازمان‌های هدف را شناسایی می‌کند؛ کسانی که به منابع حساس یا سامانه‌های حیاتی دسترسی دارند. سپس پروفایلی جعلی و جذاب می‌سازد . معمولاً با عکس واقعی از شخصی بی‌ربط و سابقه‌ای قانع‌کننده از تحصیلات و تجربه در حوزه‌ای مشابه.
ارتباط اولیه اغلب از طریق دعوت‌نامهٔ حرفه‌ای آغاز می‌شود. مهاجم با ایجاد تعامل‌های مکرر، سعی در شکل‌دادن به اعتماد دارد؛ گفت‌وگوها دربارهٔ پروژه‌های کاری، فناوری‌های جدید یا حتی موضوعات شخصی ادامه می‌یابد تا قربانی احساس آشنایی و اطمینان کند. در مرحلهٔ بعد، مهاجم لینک، فایل رزومه یا دعوت‌نامه‌ای برای وبینار ارسال می‌کند که در واقع حاوی فایل آلوده‌ای است. باز کردن این فایل کافی است تا بدافزار روی سیستم قربانی فعال شود و مرحلهٔ نفوذ فنی آغاز گردد.
با وجود تورم در ایران و تلاش افراد برای اخذ کار ریموت این مساله نکته مهمی شده است . برای برنامه نویسان امکان ارسال پکیج های آلوده تحت کار تستی وجود دارد. برای سایرین هم امکان اخذ اطلاعات کاربردی و نفوذ از طریق وسایل کاری ارتباطی مشترک و جمع آوری اطلاعات وجود دارد.
نشانه‌های هشدار
در بسیاری از موارد، قربانیان پس از وقوع حادثه متوجه نشانه‌هایی می‌شوند که پیش‌تر به آن‌ها بی‌توجهی کرده بودند؛ پروفایل‌هایی که فعالیت کمی دارند اما به شکل غیرعادی حرفه‌ای طراحی شده‌اند، ارتباطات غیرمنتظره از سوی افراد با تخصص مشابه، یا پیام‌هایی که به تدریج از حالت صرفاً شغلی به گفت‌وگوهای شخصی متمایل می‌شوند. گاهی نیز مهاجم برای دور زدن کنترل‌های سازمانی از قربانی می‌خواهد فایل را از طریق ایمیل شخصی دریافت کند، نه کاری . جزئی به ظاهر بی‌اهمیت که در واقع کلید اصلی نفوذ است.
راهکارهای پیشگیرانه در سطح فردی
کاربران LinkedIn باید هرگونه ارتباط ناگهانی از سوی افراد ناشناس را با احتیاط بررسی کنند. تأیید واقعی‌بودن هویت فرد با جستجو در منابع دیگر، پرهیز از انتشار جزئیات پروژه‌های سازمانی در پروفایل، و عدم باز کردن فایل‌ها یا لینک‌های دریافتی بدون اطمینان کامل از منبع آن‌ها، از مهم‌ترین اقدامات پیشگیرانه است. فعال‌سازی احراز هویت دومرحله‌ای نیز می‌تواند مانع بسیاری از سوءاستفاده‌ها شود.
الزامات سازمانی
سازمان‌ها موظف‌اند سیاست روشنی در خصوص استفاده از شبکه‌های اجتماعی تدوین کنند تا کارمندان از مرز بین ارتباط حرفه‌ای و افشای ناخواستهٔ اطلاعات آگاه باشند. گنجاندن سناریوهای واقعی مهندسی اجتماعی مبتنی بر LinkedIn در برنامه‌های آموزش امنیتی می‌تواند به افزایش آگاهی و واکنش هوشمندانهٔ پرسنل کمک کند. همچنین تیم‌های امنیتی باید با واحدهای ارتباطات و منابع انسانی هماهنگ باشند تا در صورت مشاهدهٔ پروفایل‌های جعلی مرتبط با برند یا کارکنان، اقدامات متقابل به سرعت انجام شود.
لینک زیر گزارشی از یک عملیات واقعی فریب در لینکدین است .
https://www.secureworks.com/research/the-curious-case-of-mia-ash
Secureworks
The Curious Case of Mia Ash - COBALT GYPSY Threat Intelligence
The Iranian COBALT GYPSY threat group uses social media to build trust with targets.
❤6👍4💯2
🌟 چرا ISSMP مسیر رهبران امنیت سایبری است؟ 🌟
وقتی دیگران هنوز درگیر مسائل فنی روزمره‌اند، شما در ISSMP یاد می‌گیرید چطور امنیت را رهبری کنید.
این دوره فقط درباره‌ی کنترل‌ها و سیاست‌ها نیست . درباره‌ی چشم‌انداز، قدرت تصمیم‌گیری، و مدیریت امنیت در سطح سازمانی است.
در مسیر یادگیری ISSMP، شما می‌آموزید:
🏆 چگونه چارچوب‌های امنیتی را به استراتژی‌های واقعی و قابل اجرا تبدیل کنید.
📊 چطور حاکمیت امنیت (Security Governance) را طراحی و هدایت کنید تا تصمیم‌ها بر پایه‌ی سیاست، نه سلیقه، انجام شوند.
🏅 چگونه مدیریت ریسک سازمانی (ERM) را با دید امنیتی یکپارچه کنید.
🪧 چطور تیم‌های فنی، حقوقی، و مدیریتی را در یک مسیر واحد برای محافظت از سازمان همسو کنید.
🚀 و مهم‌تر از همه، چگونه از «واکنش به تهدیدها» به سمت پیش‌بینی و پیشگیری هوشمندانه حرکت کنید.
پس از گذراندن ISSMP، دیگر با مشکلاتی مثل این روبه‌رو نخواهید شد:
✍️ سیاست‌های امنیتی که فقط روی کاغذند و کسی آن‌ها را اجرا نمی‌کند.
✍️ نقش‌ها و مسئولیت‌های نامشخص که باعث می‌شوند هیچ‌کس پاسخ‌گو نباشد.
✍️ سردرگمی در برابر مدیران اجرایی، ممیزان، یا هیئت‌مدیره هنگام گزارش وضعیت امنیتی.
✍️ تصمیم‌های امنیتی که با اهداف تجاری سازمان هم‌راستا نیستند.
به جای آن، شما به کسی تبدیل می‌شوید که:
✅ امنیت را به زبان مدیرعامل و هیئت‌مدیره ترجمه می‌کند.
✅ اعتماد می‌سازد، نه فقط کنترل.
✅ امنیت را به بخشی از فرهنگ سازمان تبدیل می‌کند، نه مانعی بر سر راه رشد.
در ISSMP یعنی عبور از نقش «مدیر امنیت» و رسیدن به جایگاه رهبر امنیت سازمانی
کسی که می‌فهمد چرا، چگونه و برای چه کسی امنیت حیاتی است.
#آکادمی_روزبه www.haumoun.com
مرکز تخصصی CISSP وISSMP
و Www.Roozbeh.academy
وقتی دیگران هنوز درگیر مسائل فنی روزمره‌اند، شما در ISSMP یاد می‌گیرید چطور امنیت را رهبری کنید.
این دوره فقط درباره‌ی کنترل‌ها و سیاست‌ها نیست . درباره‌ی چشم‌انداز، قدرت تصمیم‌گیری، و مدیریت امنیت در سطح سازمانی است.
در مسیر یادگیری ISSMP، شما می‌آموزید:
پس از گذراندن ISSMP، دیگر با مشکلاتی مثل این روبه‌رو نخواهید شد:
به جای آن، شما به کسی تبدیل می‌شوید که:
✅ امنیت را به زبان مدیرعامل و هیئت‌مدیره ترجمه می‌کند.
✅ اعتماد می‌سازد، نه فقط کنترل.
✅ امنیت را به بخشی از فرهنگ سازمان تبدیل می‌کند، نه مانعی بر سر راه رشد.
در ISSMP یعنی عبور از نقش «مدیر امنیت» و رسیدن به جایگاه رهبر امنیت سازمانی
کسی که می‌فهمد چرا، چگونه و برای چه کسی امنیت حیاتی است.
#آکادمی_روزبه www.haumoun.com
مرکز تخصصی CISSP وISSMP
و Www.Roozbeh.academy
Please open Telegram to view this post
VIEW IN TELEGRAM
❤3👏3
مقاله روز
نویسنده : روزبه نوروزی
https://medium.com/@rouzbeh.no/detection-gaps-and-blind-spots-through-the-eyes-of-a-hunter-5b369f49f448
نویسنده : روزبه نوروزی
https://medium.com/@rouzbeh.no/detection-gaps-and-blind-spots-through-the-eyes-of-a-hunter-5b369f49f448
Medium
Detection Gaps and Blind Spots — Through the Eyes of a Hunter
Detection Gaps and Blind Spots — Through the Eyes of a Hunter Roozbeh Noroozi I’ve spent years in Security Operations Centers (SOCs), where every green dashboard light has the potential to lie …
❤1
وبینار آشنایی با نحوه آمادگی آزمون CISSP و کار در آلمان برگزار شد
💯3🙏2
نکات عجیب در پروتکل ها
تحلیل Authentication Header (AH) در IPSec: واقعیت فنی و برداشت معماری
روزبه نوروزی
هدر احراز هویت داده یا Authentication Header (AH) در IPSec برای تضمین تمامیت (Integrity) و اصالت (Authenticity) بسته‌های IP طراحی شده است. برخلاف تصور عمومی، AH در محاسبۀ مقدار بررسی تمامیت (ICV – Integrity Check Value) فقط بخش‌هایی از هدر IP را در نظر می‌گیرد و فیلدهایی را که در طول مسیر تغییر می‌کنند، به‌طور عمدی نادیده می‌گیرد یا مقدارشان را صفر می‌کند.
بر اساس استاندارد RFC 4302، فیلدهایی مانند TTL، TOS، Checksum و برخی Options در دستهٔ «Mutable Fields» قرار می‌گیرند و در محاسبهٔ ICV منظور نمی‌شوند. در مقابل، فیلدهایی نظیر Source/Destination Address، Protocol Number و Total Length «Immutable» تلقی می‌شوند و هر تغییری در آن‌ها باعث نامعتبر شدن امضاء AH خواهد شد. این طراحی دقیقاً برای سازگاری با رفتار واقعی مسیریاب‌ها انجام شده است تا تغییرات طبیعی شبکه (مثل کاهش TTL) موجب خطا نشود.
با این حال، AH همچنان با مشکل اساسی در محیط‌های NAT (Network Address Translation) رو‌به‌روست. NAT آدرس‌های IP مبدأ و مقصد را تغییر می‌دهد؛ چون این فیلدها Immutable هستند، مقدار ICV در مقصد دیگر معتبر نخواهد بود. در حالت Transport Mode، این مسئله AH را عملاً بی‌استفاده می‌کند. در Tunnel Mode، اگر NAT روی Outer Header اجرا شود و Inner Header دست‌نخورده بماند، AH هنوز کارکرد دارد ؛ هرچند در عمل اغلب با ESP (Encapsulating Security Payload) جایگزین می‌شود، زیرا ESP هم Integrity و هم Confidentiality را تأمین می‌کند.
از دید معماری امنیتی(متخصصCISSP) ، AH نمونه‌ای از طراحی هوشمندانه‌ای است که تضاد میان تئوری رمزنگاری و عملکرد پویا و غیرقطعی شبکه را کنترل می‌کند. درس اصلی این است: امنیت مؤثر نه در حذف تغییرات، بلکه در پیش‌بینی و مدیریت آن‌هاست.
از نظر مفهومی، AH ادعا می‌کند تمام هدر IP را “authenticate” می‌کند،
اما از نظر واقعی، بخش‌هایی از همان هدر را عمداً نادیده می‌گیرد!
اگر بیش از حد سخت‌گیر باشی (امضای همه‌چیز)، ارتباط در دنیای واقعی شکست می‌خورد؛اگر خیلی آسان‌گیر شوی، امنیت از بین می‌رود.
پس مهندسان مجبور شدند میانه‌ای میان رمزنگاری و واقعیت مسیریابی پیدا کنند ؛ چیزی که در هیچ پروتکل امنیتی دیگر به‌این‌شکل دیده نمی‌شود.
همین پارادوکس، IPSec AH را هم از نظر رمزنگاری جذاب و هم از نظر معماری شبکه یکی از عجیب‌ترین شاهکارهای دنیای امنیت ساخته است.
#آکادمی_روزبه www.haumoun.com
مرکز تخصصی CISSP و ISSMP
تحلیل Authentication Header (AH) در IPSec: واقعیت فنی و برداشت معماری
روزبه نوروزی
هدر احراز هویت داده یا Authentication Header (AH) در IPSec برای تضمین تمامیت (Integrity) و اصالت (Authenticity) بسته‌های IP طراحی شده است. برخلاف تصور عمومی، AH در محاسبۀ مقدار بررسی تمامیت (ICV – Integrity Check Value) فقط بخش‌هایی از هدر IP را در نظر می‌گیرد و فیلدهایی را که در طول مسیر تغییر می‌کنند، به‌طور عمدی نادیده می‌گیرد یا مقدارشان را صفر می‌کند.
بر اساس استاندارد RFC 4302، فیلدهایی مانند TTL، TOS، Checksum و برخی Options در دستهٔ «Mutable Fields» قرار می‌گیرند و در محاسبهٔ ICV منظور نمی‌شوند. در مقابل، فیلدهایی نظیر Source/Destination Address، Protocol Number و Total Length «Immutable» تلقی می‌شوند و هر تغییری در آن‌ها باعث نامعتبر شدن امضاء AH خواهد شد. این طراحی دقیقاً برای سازگاری با رفتار واقعی مسیریاب‌ها انجام شده است تا تغییرات طبیعی شبکه (مثل کاهش TTL) موجب خطا نشود.
با این حال، AH همچنان با مشکل اساسی در محیط‌های NAT (Network Address Translation) رو‌به‌روست. NAT آدرس‌های IP مبدأ و مقصد را تغییر می‌دهد؛ چون این فیلدها Immutable هستند، مقدار ICV در مقصد دیگر معتبر نخواهد بود. در حالت Transport Mode، این مسئله AH را عملاً بی‌استفاده می‌کند. در Tunnel Mode، اگر NAT روی Outer Header اجرا شود و Inner Header دست‌نخورده بماند، AH هنوز کارکرد دارد ؛ هرچند در عمل اغلب با ESP (Encapsulating Security Payload) جایگزین می‌شود، زیرا ESP هم Integrity و هم Confidentiality را تأمین می‌کند.
از دید معماری امنیتی(متخصصCISSP) ، AH نمونه‌ای از طراحی هوشمندانه‌ای است که تضاد میان تئوری رمزنگاری و عملکرد پویا و غیرقطعی شبکه را کنترل می‌کند. درس اصلی این است: امنیت مؤثر نه در حذف تغییرات، بلکه در پیش‌بینی و مدیریت آن‌هاست.
از نظر مفهومی، AH ادعا می‌کند تمام هدر IP را “authenticate” می‌کند،
اما از نظر واقعی، بخش‌هایی از همان هدر را عمداً نادیده می‌گیرد!
اگر بیش از حد سخت‌گیر باشی (امضای همه‌چیز)، ارتباط در دنیای واقعی شکست می‌خورد؛اگر خیلی آسان‌گیر شوی، امنیت از بین می‌رود.
پس مهندسان مجبور شدند میانه‌ای میان رمزنگاری و واقعیت مسیریابی پیدا کنند ؛ چیزی که در هیچ پروتکل امنیتی دیگر به‌این‌شکل دیده نمی‌شود.
همین پارادوکس، IPSec AH را هم از نظر رمزنگاری جذاب و هم از نظر معماری شبکه یکی از عجیب‌ترین شاهکارهای دنیای امنیت ساخته است.
#آکادمی_روزبه www.haumoun.com
مرکز تخصصی CISSP و ISSMP
❤🔥5❤2
تجربه شخصی در شناسایی سوءاستفاده از PsExec.exe
در یکی از ممیزی‌های امنیتی که در محیط Windows Enterprise انجام شد، متوجه حجم بالایی از ترافیک SMB غیرعادی بین چند سرور اپلیکیشن شدم. در نگاه اول به نظر می‌رسید که عملیات مدیریتی معمولی در حال انجام است، اما بررسی عمیق‌تر لاگ‌های Sysmon و Event ID 7045 نشان داد که سرویس‌هایی با نام‌های تصادفی در حال ایجاد و حذف پی‌در‌پی هستند؛ الگوی شناخته‌شده‌ای از اجرای دستورات با استفاده از PsExec.exe.
ابزار PsExec در ذات خود ابزاری مدیریتی و کارآمد است، اما در سناریوهای واقعی مهاجمان معمولاً آن را به عنوان بخشی از فاز Lateral Movement برای گسترش دسترسی پس از نفوذ اولیه استفاده می‌کنند. در این مورد خاص، اجرای نسخه‌ای امضاشده اما تغییر‌یافته از PsExec باعث شد traditional AV هیچ آلارمی تولید نکند. تنها از طریق Telemetry سطح فرآیند (Process Creation + Network Connect) توانستیم فعالیت را در SOC شناسایی کنیم.
پس از تحلیل، سیاست‌های جدیدی در EDR و GPO تعریف شد تا از اجرای PsExec خارج از مسیرهای مجاز (مانند %SystemRoot%\System32) جلوگیری شود. همچنین در سطح SIEM، همبستگی بین Event ID 7045، CreationTime در Sysmon، و SMB Session Setup با کلید Username معتبرسازی شد تا بتوانیم فعالیت مشابه را در آینده سریع‌تر شناسایی کنیم
انتقال تجربیات در
دوره های سطح ۱ و ۲
واتس اپ 09902857290
در یکی از ممیزی‌های امنیتی که در محیط Windows Enterprise انجام شد، متوجه حجم بالایی از ترافیک SMB غیرعادی بین چند سرور اپلیکیشن شدم. در نگاه اول به نظر می‌رسید که عملیات مدیریتی معمولی در حال انجام است، اما بررسی عمیق‌تر لاگ‌های Sysmon و Event ID 7045 نشان داد که سرویس‌هایی با نام‌های تصادفی در حال ایجاد و حذف پی‌در‌پی هستند؛ الگوی شناخته‌شده‌ای از اجرای دستورات با استفاده از PsExec.exe.
ابزار PsExec در ذات خود ابزاری مدیریتی و کارآمد است، اما در سناریوهای واقعی مهاجمان معمولاً آن را به عنوان بخشی از فاز Lateral Movement برای گسترش دسترسی پس از نفوذ اولیه استفاده می‌کنند. در این مورد خاص، اجرای نسخه‌ای امضاشده اما تغییر‌یافته از PsExec باعث شد traditional AV هیچ آلارمی تولید نکند. تنها از طریق Telemetry سطح فرآیند (Process Creation + Network Connect) توانستیم فعالیت را در SOC شناسایی کنیم.
پس از تحلیل، سیاست‌های جدیدی در EDR و GPO تعریف شد تا از اجرای PsExec خارج از مسیرهای مجاز (مانند %SystemRoot%\System32) جلوگیری شود. همچنین در سطح SIEM، همبستگی بین Event ID 7045، CreationTime در Sysmon، و SMB Session Setup با کلید Username معتبرسازی شد تا بتوانیم فعالیت مشابه را در آینده سریع‌تر شناسایی کنیم
انتقال تجربیات در
دوره های سطح ۱ و ۲
واتس اپ 09902857290
❤8🙏3
چرا پیشنهاد میکنم هر سازمان یک EnCase داشته باشد
روزبه نوروزی
دلیل اینکه EnCase یکی از ابزارهای معتبر و پذیرفته‌شده برای ارائه‌ی ادله‌ی دیجیتال در دادگاه‌ها (هم در نظام حقوقی آمریکا و هم در کشورهایی با استاندارد مشابه) محسوب می‌شود، به چند ویژگی بنیادین آن در حوزه‌ی Forensic Soundness و Evidence Handling برمی‌گردد:
🔹 ۱. حفظ کامل اصل شواهد (Forensic Image Creation)
در EnCase برای جمع‌آوری داده از رسانه‌ها، از bit‑by‑bit imaging استفاده می‌شود
یعنی هر بیت از دیسک مظنون (حتی فضای آزاد و deleted sectors) دقیقاً و بدون هیچ تغییری کپی می‌شود.
به این ترتیب، بررسی روی کپی مجاز (forensic image) انجام می‌شود نه روی منبع اصلی. این کار:
مانع آلوده شدن شواهد واقعی می‌شود؛
و زنجیره‌ی مالکیت (Chain of Custody) حفظ می‌شود.
🔹 ۲. محاسبه و تأیید هش (Cryptographic Hash Verification)
ابزار در لحظه‌ی ایمیج‌گیری، مقادیر MD5 و SHA1/SHA256 از داده‌ها تولید می‌کند و در گزارش Chain of Custody ذخیره می‌کند.
در هر مرحله بعدی (تحلیل، انتقال، بایگانی) هش دوباره محاسبه می‌شود تا ثابت شود:
شواهد هیچ‌گونه تغییری نکرده‌اند.
این موضوع از نظر دادگاه‌ها شرط کلیدی برای قابلیت پذیرش ادله است.
🔹 ۳. گزارش‌دهی و مستندسازی قانونی (Court‑Admissible Reporting)
ابزار EnCase همه‌ی فعالیت‌ها را در فایل Log غیرقابل ویرایش ثبت می‌کند:
زمان ایمیج‌گیری
نام تحلیلگر
مسیرها و تنظیمات ابزار
نسخه نرم‌افزار و افزونه‌ها
خروجی نهایی هم در قالب گزارش رسمی قابل پرینت و آرشیو است که در نظام حقوقی مبتنی بر ISO/IEC 27037 و NIST SP 800‑86 به عنوان سند رسمی پذیرفته می‌شود.
🔹 ۴. روش علمی و تأییدشده (Validated Methodology)
در بسیاری از کشورها (مثل امریکا)، ابزارهایی که در دادگاه پذیرفته می‌شوند باید معیارهای Daubert یا Frye را تأمین کنند:
روششان علمی و قابل بازتولید باشد،
در جامعه‌ی فنی مورد پذیرش قرار گرفته باشد،
و نرخ خطای شناخته‌شده و پایین داشته باشد.
ابزار EnCase به عنوان یک محصول validated با سابقه‌ی استناد در صدها پرونده، این معیارها را داراست.
🔹 ۵. زنجیره‌ی مالکیت دیجیتال یکپارچه (Integrated Chain of Custody)
در نسخه‌های جدید ، ماژول Chain of Custody به صورت خودکار برای هر شواهد دیجیتال تولید می‌شود و هر انتقال یا مشاهده ثبت می‌گردد. این باعث می‌شود که گزارش خروجی بتواند مستقیماً به عنوان بخشی از پرونده قضایی الصاق شود.
🔹 ۶. قابلیت بازیابی بدون تغییر و تحلیل عمیق
ابزار EnCase می‌تواند داده‌ها را (ایمیل‌ها، فایل‌های حذف‌شده، متادیتاها، Registry، File Slacks و …) بازسازی کند بدون آنکه محتویات فایل یا زمان‌بندی‌ها را بنویسد یا دست‌کاری کند.
این قابلیت نشان می‌دهد که تحلیلگر از روش Read‑Only استفاده کرده، و از دیدگاه حقوقی “عدم تغییر ادله” رعایت شده است و به هدف Chain of Custody نائل شده ایم.
#آکادمی_روزبه
روزبه نوروزی
دلیل اینکه EnCase یکی از ابزارهای معتبر و پذیرفته‌شده برای ارائه‌ی ادله‌ی دیجیتال در دادگاه‌ها (هم در نظام حقوقی آمریکا و هم در کشورهایی با استاندارد مشابه) محسوب می‌شود، به چند ویژگی بنیادین آن در حوزه‌ی Forensic Soundness و Evidence Handling برمی‌گردد:
🔹 ۱. حفظ کامل اصل شواهد (Forensic Image Creation)
در EnCase برای جمع‌آوری داده از رسانه‌ها، از bit‑by‑bit imaging استفاده می‌شود
یعنی هر بیت از دیسک مظنون (حتی فضای آزاد و deleted sectors) دقیقاً و بدون هیچ تغییری کپی می‌شود.
به این ترتیب، بررسی روی کپی مجاز (forensic image) انجام می‌شود نه روی منبع اصلی. این کار:
مانع آلوده شدن شواهد واقعی می‌شود؛
و زنجیره‌ی مالکیت (Chain of Custody) حفظ می‌شود.
🔹 ۲. محاسبه و تأیید هش (Cryptographic Hash Verification)
ابزار در لحظه‌ی ایمیج‌گیری، مقادیر MD5 و SHA1/SHA256 از داده‌ها تولید می‌کند و در گزارش Chain of Custody ذخیره می‌کند.
در هر مرحله بعدی (تحلیل، انتقال، بایگانی) هش دوباره محاسبه می‌شود تا ثابت شود:
شواهد هیچ‌گونه تغییری نکرده‌اند.
این موضوع از نظر دادگاه‌ها شرط کلیدی برای قابلیت پذیرش ادله است.
🔹 ۳. گزارش‌دهی و مستندسازی قانونی (Court‑Admissible Reporting)
ابزار EnCase همه‌ی فعالیت‌ها را در فایل Log غیرقابل ویرایش ثبت می‌کند:
زمان ایمیج‌گیری
نام تحلیلگر
مسیرها و تنظیمات ابزار
نسخه نرم‌افزار و افزونه‌ها
خروجی نهایی هم در قالب گزارش رسمی قابل پرینت و آرشیو است که در نظام حقوقی مبتنی بر ISO/IEC 27037 و NIST SP 800‑86 به عنوان سند رسمی پذیرفته می‌شود.
🔹 ۴. روش علمی و تأییدشده (Validated Methodology)
در بسیاری از کشورها (مثل امریکا)، ابزارهایی که در دادگاه پذیرفته می‌شوند باید معیارهای Daubert یا Frye را تأمین کنند:
روششان علمی و قابل بازتولید باشد،
در جامعه‌ی فنی مورد پذیرش قرار گرفته باشد،
و نرخ خطای شناخته‌شده و پایین داشته باشد.
ابزار EnCase به عنوان یک محصول validated با سابقه‌ی استناد در صدها پرونده، این معیارها را داراست.
🔹 ۵. زنجیره‌ی مالکیت دیجیتال یکپارچه (Integrated Chain of Custody)
در نسخه‌های جدید ، ماژول Chain of Custody به صورت خودکار برای هر شواهد دیجیتال تولید می‌شود و هر انتقال یا مشاهده ثبت می‌گردد. این باعث می‌شود که گزارش خروجی بتواند مستقیماً به عنوان بخشی از پرونده قضایی الصاق شود.
🔹 ۶. قابلیت بازیابی بدون تغییر و تحلیل عمیق
ابزار EnCase می‌تواند داده‌ها را (ایمیل‌ها، فایل‌های حذف‌شده، متادیتاها، Registry، File Slacks و …) بازسازی کند بدون آنکه محتویات فایل یا زمان‌بندی‌ها را بنویسد یا دست‌کاری کند.
این قابلیت نشان می‌دهد که تحلیلگر از روش Read‑Only استفاده کرده، و از دیدگاه حقوقی “عدم تغییر ادله” رعایت شده است و به هدف Chain of Custody نائل شده ایم.
#آکادمی_روزبه
❤7
تجربه عملیاتی با تغییرات عمدی
در زیر یک نوشته در خصوص لزوم استفاده از زیک بجای اسپلانک در شبکه های کنترل صنعتی نظیر گاز و پتروشیمی و برق رو با تغییراتی که اونو قابل ارائه کنه مینگارم
خلاصه مقایسه Zeek و Splunk Stream در شبکه‌های صنعتی (ICS)
تفاوت بنیادین بین Zeek و Splunk Stream در یک سناریوی تخصصی مانند شبکه‌های کنترل صنعتی (ICS) به وضوح آشکار می‌شود. فرض کنید هدف، شناسایی یک فرمان خطرناک و غیرمجاز (مانند توقف PLC) است که از طریق پروتکل صنعتی S7comm به یک کنترل‌گر زیمنس ارسال می‌شود.
ابزار Zeek، به لطف معماری متن‌باز و انعطاف‌پذیر خود، در این سناریو عملکردی خوب دارد. حتی اگر پروتکل S7comm به صورت پیش‌فرض پشتیبانی نشود، تیم امنیتی می‌تواند با نصب یک پکیج تحلیلگر از جامعه کاربری یا نوشتن یک اسکریپت سفارشی، به Zeek «یاد بدهد» که ساختار این پروتکل را بفهمد. با این توانایی، Zeek می‌تواند ترافیک را به رویدادهای معنادار مانند plc_stop_request یا program_download_request ترجمه کند. سپس، با یک اسکریپت ساده، می‌توان یک منطق امنیتی تعریف کرد: «اگر فرمان plc_stop_request از هر منبعی غیر از ایستگاه مهندسی مجاز ارسال شد، یک هشدار با اولویت بالا تولید کن». نتیجه، یک هشدار دقیق، غنی از زمینه و کاملاً قابل اقدام است که مستقیماً به ماهیت تهدید اشاره دارد.
در مقابل، Splunk Stream که یک محصول تجاری با رویکرد «پیکربندی-محور» است، در این سناریو با چالش جدی مواجه می‌شود. از آنجایی که پروتکل‌های خاص صنعتی مانند S7comm معمولاً در لیست پروتکل‌های پیش‌فرض آن قرار ندارند، Stream قادر به درک محتوای بسته‌ها نیست. این ابزار ترافیک را صرفاً به عنوان یک جریان TCP عمومی شناسایی کرده و فراداده‌های پایه‌ای مانند IP مبدأ و مقصد و حجم داده را ثبت می‌کند. لاگ حاصل فاقد زمینه لازم برای تصمیم‌گیری است و نمی‌تواند بین یک فرمان خطرناک و یک ارتباط عادی تمایز قائل شود. کاربران نهایی نمی‌توانند قابلیت تحلیل پروتکل جدید را به Stream اضافه کنند و کاملاً به نقشه راه توسعه محصول توسط شرکت Splunk وابسته هستند.
به طور خلاصه، Zeek به عنوان یک پلتفرم قدرتمند و قابل سفارشی‌سازی، ابزار ایده‌آل برای محیط‌های پیچیده و تخصصی است، در حالی که Splunk Stream به عنوان یک محصول کاربرپسند، در تحلیل پروتکل‌های استاندارد IT بهترین عملکرد را دارد و در مواجهه با نیازهای سفارشی، انعطاف‌پذیری محدودی از خود نشان می‌دهد.
#انتقال_تجربه
در زیر یک نوشته در خصوص لزوم استفاده از زیک بجای اسپلانک در شبکه های کنترل صنعتی نظیر گاز و پتروشیمی و برق رو با تغییراتی که اونو قابل ارائه کنه مینگارم
خلاصه مقایسه Zeek و Splunk Stream در شبکه‌های صنعتی (ICS)
تفاوت بنیادین بین Zeek و Splunk Stream در یک سناریوی تخصصی مانند شبکه‌های کنترل صنعتی (ICS) به وضوح آشکار می‌شود. فرض کنید هدف، شناسایی یک فرمان خطرناک و غیرمجاز (مانند توقف PLC) است که از طریق پروتکل صنعتی S7comm به یک کنترل‌گر زیمنس ارسال می‌شود.
ابزار Zeek، به لطف معماری متن‌باز و انعطاف‌پذیر خود، در این سناریو عملکردی خوب دارد. حتی اگر پروتکل S7comm به صورت پیش‌فرض پشتیبانی نشود، تیم امنیتی می‌تواند با نصب یک پکیج تحلیلگر از جامعه کاربری یا نوشتن یک اسکریپت سفارشی، به Zeek «یاد بدهد» که ساختار این پروتکل را بفهمد. با این توانایی، Zeek می‌تواند ترافیک را به رویدادهای معنادار مانند plc_stop_request یا program_download_request ترجمه کند. سپس، با یک اسکریپت ساده، می‌توان یک منطق امنیتی تعریف کرد: «اگر فرمان plc_stop_request از هر منبعی غیر از ایستگاه مهندسی مجاز ارسال شد، یک هشدار با اولویت بالا تولید کن». نتیجه، یک هشدار دقیق، غنی از زمینه و کاملاً قابل اقدام است که مستقیماً به ماهیت تهدید اشاره دارد.
در مقابل، Splunk Stream که یک محصول تجاری با رویکرد «پیکربندی-محور» است، در این سناریو با چالش جدی مواجه می‌شود. از آنجایی که پروتکل‌های خاص صنعتی مانند S7comm معمولاً در لیست پروتکل‌های پیش‌فرض آن قرار ندارند، Stream قادر به درک محتوای بسته‌ها نیست. این ابزار ترافیک را صرفاً به عنوان یک جریان TCP عمومی شناسایی کرده و فراداده‌های پایه‌ای مانند IP مبدأ و مقصد و حجم داده را ثبت می‌کند. لاگ حاصل فاقد زمینه لازم برای تصمیم‌گیری است و نمی‌تواند بین یک فرمان خطرناک و یک ارتباط عادی تمایز قائل شود. کاربران نهایی نمی‌توانند قابلیت تحلیل پروتکل جدید را به Stream اضافه کنند و کاملاً به نقشه راه توسعه محصول توسط شرکت Splunk وابسته هستند.
به طور خلاصه، Zeek به عنوان یک پلتفرم قدرتمند و قابل سفارشی‌سازی، ابزار ایده‌آل برای محیط‌های پیچیده و تخصصی است، در حالی که Splunk Stream به عنوان یک محصول کاربرپسند، در تحلیل پروتکل‌های استاندارد IT بهترین عملکرد را دارد و در مواجهه با نیازهای سفارشی، انعطاف‌پذیری محدودی از خود نشان می‌دهد.
#انتقال_تجربه
👏4⚡1🙏1
ثبت نام دوره های زیر شروع شد:
امنیت سطح ۱ و ۲ و CISSP
واتس اپ و بله 09902857290
امنیت سطح ۱ و ۲ و CISSP
واتس اپ و بله 09902857290
❤3
بازآفرینی حکمرانی امنیت اطلاعات در ایران: نقش کلیدی متخصص ISSMP
زیرساخت امنیت اطلاعات در ایران از سه چالش ساختاری بنیادین رنج می‌برد: فقدان آموزش‌های استراتژیک برای مدیران فناوری اطلاعات، عدم تخصیص بودجه بر مبنای تحلیل ریسک، و انتصاب مدیران فاقد صلاحیت حرفه‌ای در مناصب حساس امنیتی. این ضعف‌ها منجر به رویکردی واکنشی و ابزارمحور شده است که در آن، امنیت به‌عنوان یک هزینه سربار تلقی می‌شود، نه یک سرمایه‌گذاری استراتژیک. دوره تخصصی ISSMP (Information Systems Security Management Professional) به‌طور مستقیم برای رفع این شکاف‌ها طراحی شده و می‌تواند گذار از امنیت فنی صرف به «حکمرانی امنیت» را در سازمان‌های ایرانی ممکن سازد.
محور اصلی آموزش ISSMP، توانمندسازی مدیران برای رهبری امنیت در سطح کلان سازمانی است. در بُعد رهبری امنیت (Security Leadership)، این متخصص می‌آموزد که چگونه مفاهیم پیچیده امنیتی را به زبان کسب‌وکار و در قالب تحلیل‌های هزینه-فایده برای مدیران ارشد ترجمه کند. به‌جای درخواست‌های فنی مانند «خرید فایروال جدید»، او قادر خواهد بود ضرورت سرمایه‌گذاری امنیتی را با نمایش تأثیر مستقیم آن بر کاهش ریسک‌های مالی و اعتباری توجیه نماید؛ مهارتی که حلقه مفقوده در بسیاری از سازمان‌های ماست.
در حوزه مدیریت برنامه (Program Management)، متخصص ISSMP با بهره‌گیری از چارچوب‌های استاندارد جهانی نظیر NIST CSF و ISO 27001، یک «برنامه جامع امنیتی» طراحی می‌کند که تمامی فعالیت‌های فنی و پروژه‌های پراکنده را زیر یک چتر واحد و استراتژیک هماهنگ می‌سازد. این رویکرد یکپارچه از هدررفت منابع و تصمیم‌گیری‌های جزیره‌ای جلوگیری می‌کند. همچنین، در بُعد مدیریت ریسک (Risk Management)، او امنیت را از یک مرکز هزینه به یک ابزار استراتژیک برای محافظت از دارایی‌های سازمان تبدیل می‌کند و سرمایه‌گذاری‌ها را مستقیماً به تهدیدات واقعی پیوند می‌زند.
در نهایت، با تأکید بر اخلاق حرفه‌ای و انطباق (Ethics & Compliance)، متخصص ISSMP فرهنگی مبتنی بر شفافیت، پاسخگویی و مسئولیت‌پذیری را در سازمان نهادینه می‌کند. این فرهنگ، پادزهری قدرتمند در برابر نفوذهای غیرحرفه‌ای و تصمیمات سفارشی است. به‌طور خلاصه، تربیت چنین متخصصانی دیگر یک انتخاب نیست، بلکه یک ضرورت برای بلوغ و پایداری امنیت در اکوسیستم دیجیتال ایران محسوب می‌شود.
تماس برای دوره های سازمانی 09902857290
Www.haumoun.com
زیرساخت امنیت اطلاعات در ایران از سه چالش ساختاری بنیادین رنج می‌برد: فقدان آموزش‌های استراتژیک برای مدیران فناوری اطلاعات، عدم تخصیص بودجه بر مبنای تحلیل ریسک، و انتصاب مدیران فاقد صلاحیت حرفه‌ای در مناصب حساس امنیتی. این ضعف‌ها منجر به رویکردی واکنشی و ابزارمحور شده است که در آن، امنیت به‌عنوان یک هزینه سربار تلقی می‌شود، نه یک سرمایه‌گذاری استراتژیک. دوره تخصصی ISSMP (Information Systems Security Management Professional) به‌طور مستقیم برای رفع این شکاف‌ها طراحی شده و می‌تواند گذار از امنیت فنی صرف به «حکمرانی امنیت» را در سازمان‌های ایرانی ممکن سازد.
محور اصلی آموزش ISSMP، توانمندسازی مدیران برای رهبری امنیت در سطح کلان سازمانی است. در بُعد رهبری امنیت (Security Leadership)، این متخصص می‌آموزد که چگونه مفاهیم پیچیده امنیتی را به زبان کسب‌وکار و در قالب تحلیل‌های هزینه-فایده برای مدیران ارشد ترجمه کند. به‌جای درخواست‌های فنی مانند «خرید فایروال جدید»، او قادر خواهد بود ضرورت سرمایه‌گذاری امنیتی را با نمایش تأثیر مستقیم آن بر کاهش ریسک‌های مالی و اعتباری توجیه نماید؛ مهارتی که حلقه مفقوده در بسیاری از سازمان‌های ماست.
در حوزه مدیریت برنامه (Program Management)، متخصص ISSMP با بهره‌گیری از چارچوب‌های استاندارد جهانی نظیر NIST CSF و ISO 27001، یک «برنامه جامع امنیتی» طراحی می‌کند که تمامی فعالیت‌های فنی و پروژه‌های پراکنده را زیر یک چتر واحد و استراتژیک هماهنگ می‌سازد. این رویکرد یکپارچه از هدررفت منابع و تصمیم‌گیری‌های جزیره‌ای جلوگیری می‌کند. همچنین، در بُعد مدیریت ریسک (Risk Management)، او امنیت را از یک مرکز هزینه به یک ابزار استراتژیک برای محافظت از دارایی‌های سازمان تبدیل می‌کند و سرمایه‌گذاری‌ها را مستقیماً به تهدیدات واقعی پیوند می‌زند.
در نهایت، با تأکید بر اخلاق حرفه‌ای و انطباق (Ethics & Compliance)، متخصص ISSMP فرهنگی مبتنی بر شفافیت، پاسخگویی و مسئولیت‌پذیری را در سازمان نهادینه می‌کند. این فرهنگ، پادزهری قدرتمند در برابر نفوذهای غیرحرفه‌ای و تصمیمات سفارشی است. به‌طور خلاصه، تربیت چنین متخصصانی دیگر یک انتخاب نیست، بلکه یک ضرورت برای بلوغ و پایداری امنیت در اکوسیستم دیجیتال ایران محسوب می‌شود.
تماس برای دوره های سازمانی 09902857290
Www.haumoun.com
👏4❤1