🔹 چرا ۶۷٪ از هشدارهای SIEM بررسی نمی‌شوند؟
و راه‌حل جدیدی به نام DeeperSplunk چه می‌کند؟

تیم‌های SOC امروز بیش از همیشه با انبوهی از هشدارهای اشتباه (False Positive) روبه‌رو هستند. طبیعی است: وقتی هر هشدار می‌تواند ده‌ها توضیح بی‌خطر داشته باشد، تحلیل‌گر معمولاً اولین توضیح منطقی را انتخاب می‌کند و کار را تمام‌شده می‌داند.
اما مشکل اینجاست: منطقی بودن یعنی قابل‌قبول بودن، نه الزاماً واقعی بودن. مهاجمان حرفه‌ای دقیقاً طراحی می‌کنند تا فعالیتشان بی‌خطر جلوه کند.

🔍راهکار DeeperSplunk چیست؟

راهکار DeeperSplunk یک پروژه متن‌باز است که تلاش می‌کند این مشکل را حل کند. این ابزار یک سرور MCP ارائه می‌دهد که به مدل Claude اجازه می‌دهد تریاژ خصمانه (Adversarial Triage) در برابر Splunk انجام دهد.

به زبان ساده:
برای هر هشدار، عامل هوشمند تلاش می‌کند ثابت کند مهاجم در حال برنده شدن است.
فقط وقتی تبرئه می‌کند که شواهد، فرضیه حمله را فعالانه رد کنند.


🔧 چه چیزی DeeperSplunk را متفاوت می‌کند؟

سه نوآوری کلیدی در طراحی آن وجود دارد:

1) استناد اجباری به شواهد
عامل نمی‌تواند ادعایی مطرح کند که خودش درباره آن جستجو نکرده باشد.
هر نتیجه باید به یک جستجوی واقعی در همان جلسه اشاره کند.

2) ارتقای خودکار بر اساس اعتماد (Confidence‑Based Auto‑Escalation)
اگر مدل برای رأی‌گیری (TP/FP) اعتماد کافی نداشته باشد، نتیجه فوراً به وضعیت
NEEDS_HUMAN_REVIEW
منتقل می‌شود.
هیچ رأیی بر اساس حدس صادر نمی‌شود.

3) حافظه رأی مبتنی بر SQLite
تمام تصمیم‌ها و بازبینی‌های انسانی ذخیره می‌شود تا هشدارهای آینده با موارد مشابه قبلی مقایسه شوند.


🧩 ویژگی‌های فنی و هدف پروژه

- قابل اجرا به‌صورت لوکال
- بر پایه Python 3.10
- دارای مجوز MIT
- طراحی‌شده به‌عنوان یک جایگزین متن‌باز برای ابزارهای تجاری مانند
D3 Morpheus و Cortex XSIAM

لینک پروژه:
https://github.com/iliasarmenakis/DeeperSplunk

چارچوب MITRE F3 برای مقابله با کلاهبرداری

چارچوب MITRE Fight Fraud Framework (F3) که توسط MITRE و مرکز Center for Threat-Informed Defense توسعه یافته، یک مدل ساختاریافته برای تحلیل، شناسایی و مقابله با کلاهبرداری‌های مالی در بسترهای دیجیتال است. این چارچوب با الهام از MITRE ATT&CK طراحی شده، اما تمرکز آن به‌جای نفوذ سایبری صرف، بر زنجیره کامل حملات Fraud از مرحله شناسایی تا برداشت مالی (cash-out) است.

در F3، رفتار مهاجمان بر اساس تاکتیک‌ها و تکنیک‌ها (TTPs) مدل‌سازی می‌شود. تاکتیک‌هایی مانند Reconnaissance، Initial Access و Defense Evasion مشابه دنیای سایبری هستند، اما مفاهیم کلیدی جدیدی مانند Positioning (ایجاد موقعیت برای سوءاستفاده مالی) و Monetization (تبدیل دسترسی به پول) اضافه شده‌اند. این رویکرد کمک می‌کند تا شکاف بین تیم‌های امنیت سایبری (SOC/DFIR) و تیم‌های کشف تقلب مالی برطرف شود.

اهمیت F3 در ایجاد یک زبان مشترک عملیاتی است که امکان همبستگی بین لاگ‌های فنی و رخدادهای مالی را فراهم می‌کند. در نتیجه، سازمان‌ها می‌توانند از حالت واکنشی خارج شده و با طراحی Use Caseهای دقیق‌تر، تهدیدات Fraud را پیش از تحقق زیان مالی شناسایی و مهار کنند.


https://ctid.mitre.org/fraud#/

از «توضیح قابل‌قبول» تا «فرض حمله»: شکاف پنهان در تریاژ SOC


در اغلب مراکز عملیات امنیت (SOC)، تریاژ هشدارها تحت فشار شدید زمان، حجم بالا و محدودیت منابع انجام می‌شود. نتیجه این شرایط، شکل‌گیری یک الگوی ذهنی غالب است: تحلیل‌گر به‌دنبال نخستین توضیح «منطقی و بی‌خطر» برای یک هشدار می‌گردد و در صورت یافتن آن، پرونده را می‌بندد. این رویکرد که می‌توان آن را «Benign-first» نامید، اگرچه از نظر عملیاتی کارآمد به نظر می‌رسد، اما یک ضعف بنیادی دارد: منطقی بودن، معادل واقعی بودن نیست. مهاجمان حرفه‌ای دقیقاً از همین شکاف استفاده می‌کنند و رفتار خود را طوری طراحی می‌کنند که در چارچوب توضیحات عادی و قابل‌قبول قرار گیرد.
در مقابل، رویکرد «Adversarial Thinking» قرار دارد؛ پارادایمی که به‌جای تلاش برای اثبات بی‌خطر بودن یک رویداد، از این فرض شروع می‌کند که «این می‌تواند یک حمله باشد». در این مدل، تحلیل‌گر یا سیستم می‌پرسد: اگر این یک سناریوی نفوذ باشد، چه شواهدی باید در لاگ‌ها، رفتار کاربر یا فعالیت سیستم مشاهده شود؟ سپس به‌صورت فعال به‌دنبال تأیید یا رد این فرضیه می‌گردد. این تغییر ساده در زاویه نگاه، تأثیر عمیقی بر کیفیت تشخیص دارد، زیرا فرآیند را از تأیید سریع به سمت بررسی عمیق و مبتنی بر شواهد سوق می‌دهد.
با این حال، این نوع تفکر در اغلب SOCها رایج نیست. یکی از دلایل اصلی، «اقتصاد عملیات» است. ابزارهایی مانند Splunk حجم عظیمی از هشدار تولید می‌کنند و تیم‌ها ناچارند با شاخص‌هایی مانند سرعت پاسخ و تعداد تیکت‌های بسته‌شده ارزیابی شوند. در چنین محیطی، تحلیل عمیق و مبتنی بر فرضیه، به‌عنوان یک لوکس تلقی می‌شود. علاوه بر این، بایاس‌های شناختی مانند «Confirmation Bias» باعث می‌شود تحلیل‌گر ناخودآگاه به‌دنبال شواهدی بگردد که فرض اولیه بی‌خطر بودن را تأیید کند، نه اینکه آن را به چالش بکشد.
مشکل دیگر، طراحی ابزارهاست. SIEMها برای جمع‌آوری، جستجو و همبستگی داده‌ها ساخته شده‌اند، نه برای تفکر خصمانه یا استدلال مبتنی بر فرضیه. به‌عبارت دیگر، آن‌ها داده می‌دهند، اما نمی‌گویند چگونه باید به آن‌ها شک کرد. در نتیجه، حتی تحلیل‌گران باتجربه نیز در جریان تریاژ روزمره، به‌سمت تصمیم‌گیری سریع و سطحی سوق داده می‌شوند.
در این میان، رویکردهایی مانند آنچه در DeeperSplunk مطرح شده، تلاش می‌کنند این شکاف را در سطح سیستم برطرف کنند. با استفاده از مدل‌هایی مانند Claude، این ابزارها فرآیند تریاژ را به‌صورت پیش‌فرض «خصمانه» طراحی می‌کنند؛ یعنی فرض اولیه را بر وجود حمله می‌گذارند و تنها در صورتی آن را رد می‌کنند که شواهد کافی برای بی‌خطر بودن ارائه شود. همچنین، با الزام به استناد به جستجوهای واقعی در SIEM، از تصمیم‌گیری‌های حدسی جلوگیری می‌کنند و امکان ممیزی (auditability) را افزایش می‌دهند.
در نهایت، مسئله اصلی صرفاً نبود مهارت یا دانش نیست، بلکه به طراحی فرآیندها و مشوق‌های عملیاتی بازمی‌گردد. تا زمانی که موفقیت در SOC بر اساس سرعت و حجم خروجی سنجیده شود، «توضیح قابل‌قبول» جای «حقیقت» را خواهد گرفت. حرکت به‌سوی Adversarial Thinking، نیازمند بازتعریف این معیارها و ایجاد سازوکارهایی است که تحلیل عمیق، مبتنی بر شواهد و مقاوم در برابر فریب را ممکن و مقیاس‌پذیر کند.

گزارش VulnCheck Exploit Intelligence 2026 تحلیلی جامع از وضعیت آسیب‌پذیری‌ها و بهره‌برداری‌های امنیتی در سال 2025 ارائه می‌دهد و تلاش می‌کند فاصله میان حجم عظیم CVEها و واقعیت بهره‌برداری در دنیای واقعی را روشن کند. طبق داده‌ها، در سال 2025 بیش از 14,400 اکسپلویت شناسایی شده که 10,480 آسیب‌پذیری را هدف گرفته‌اند؛ با وجود این گستردگی، تنها حدود 1 درصد از CVEهای سال 2025 واقعاً در محیط عملیاتی مورد سوءاستفاده قرار گرفته‌اند. این نشان می‌دهد که تعداد بالا همیشه بیانگر ریسک واقعی نیست و اولویت‌بندی بر اساس شواهد بهره‌برداری اهمیت بیشتری دارد.

در سال 2025 تعداد 884 آسیب‌پذیری وارد فهرست KEV شده‌اند که نزدیک به نیمی از آن‌ها مربوط به همان سال بوده است؛ بنابراین مهاجمان به‌سرعت آسیب‌پذیری‌های جدید را weaponize می‌کنند. روندهای تهدید نشان می‌دهد که تعداد آسیب‌پذیری‌های مرتبط با باج‌افزار 25 درصد کاهش داشته، اما بیش از نیمی از آن‌ها حاصل بهره‌برداری روز صفر بوده‌اند. فعالیت گروه‌های APT نیز کاهش کلی داشته، اما گروه‌های منتسب به چین افزایش حضور داشته‌اند.

جمع‌بندی گزارش تأکید می‌کند که سازمان‌ها باید به‌جای تمرکز بر حجم CVEها، روی اطلاعات بهره‌برداری واقعی، سرعت واکنش، و تحلیل داده‌محور تمرکز کنند تا بتوانند ریسک‌های مؤثر را مدیریت کرده و از هزینه‌های بالای حملات جلوگیری کنند.

دوره آموزشی رایگان

https://xmcyber.com/exposure-management-course/?utm_source=csh&utm_medium=social&utm_content=emcourse

🎯 بحث Detection Logic حرفه‌ای: توازن میان هزینه و ریسک

در بسیاری از مراکز عملیات امنیت (SOC)، تمرکز بیش از حد بر کاهش False Positive (FP) به یک رویکرد غالب تبدیل شده است. این تمرکز، اگرچه با هدف کاهش فشار عملیاتی بر تحلیلگران انجام می‌شود، اما یک ریسک پنهان ایجاد می‌کند: افزایش احتمال False Negative (FN). در عمل، FP صرفاً به معنای هزینه عملیاتی بیشتر است، اما FN می‌تواند به یک breach واقعی منجر شود.

مسئله کلیدی این است که حذف کامل FP نه ممکن است و نه مطلوب. بسیاری از رفتارهای مخرب شباهت زیادی به فعالیت‌های عادی دارند و حذف این سیگنال‌ها به معنای از دست دادن دید نسبت به تهدیدات است. Detection Logic حرفه‌ای این واقعیت را می‌پذیرد و به‌جای حذف FP، آن‌ها را contextualize می‌کند.

در این رویکرد، هر alert در بستر اطلاعاتی گسترده‌تری تحلیل می‌شود: نوع کاربر، حساسیت سیستم، رفتارهای پیشین و ارتباط با سایر رویدادها. به این ترتیب، FPها به سیگنال‌هایی با وزن مشخص در یک مدل تصمیم‌گیری مبتنی بر ریسک تبدیل می‌شوند.

این نگرش با چارچوب‌هایی مانند MITRE ATT&CK هم‌راستا است، زیرا تمرکز آن بر رفتار مهاجم و زنجیره حمله است، نه صرفاً رویدادهای منفرد. در نهایت، SOC بالغ سیستمی است که به‌جای حذف نویز، آن را به دانش قابل تصمیم‌گیری تبدیل می‌کند.

#استخدام


فوری

برنامه نویس Microsoft Dynamics

برای توسعه پرتال مشتریان


فول تایم حضوری تهران
ارسال رزومه به hr@haumoun.com

لطفا برای دوستان بفرستید

مایند مپ مدیر امنیت

ثبت نام دوره مدیر امنیت 09902857290

مقایسه تحلیلی fast16 و Stuxnet در تکامل خرابکاری سایبری

بدافزار fast16 را می‌توان یکی از نخستین نمونه‌های «خرابکاری دقیق» در فضای سایبری دانست که حدود پنج سال پیش از استاکس‌نت ظهور کرد. این ابزار با تمرکز بر دستکاری محاسبات مهندسی، به‌جای تخریب مستقیم سیستم، «درستی داده‌ها» را هدف قرار می‌دهد. در مقابل، استاکس‌نت با عبور از لایه نرم‌افزار، به کنترل مستقیم فرآیندهای صنعتی و تجهیزات فیزیکی می‌رسد. این تفاوت، نشان‌دهنده گذار مهمی از حملات مبتنی بر اختلال در ادراک به حملات تأثیرگذار بر دنیای واقعی است.
از منظر رفتاری، fast16 با patch کردن توابع محاسباتی و ایجاد خطاهای subtle، خروجی‌هایی تولید می‌کند که ظاهراً معتبر اما در واقع نادرست هستند. این خطاها حتی در صورت بررسی متقاطع نیز پایدار می‌مانند. در مقابل، استاکس‌نت با جعل داده‌های سنسوری و پنهان‌سازی رفتار واقعی، اپراتورها را فریب می‌دهد در حالی که تجهیزات در حال آسیب دیدن هستند.
از نظر تکاملی، fast16 را می‌توان مرحله‌ای اولیه در توسعه حملات سایبری پیشرفته دانست که تمرکز آن بر تخریب «مدل ذهنی» تحلیل‌گران است، در حالی که استاکس‌نت این رویکرد را به سطح «تخریب فیزیکی» ارتقا می‌دهد. در مجموع، این دو نمونه نشان می‌دهند که تهدیدات مدرن نه‌تنها زیرساخت‌ها، بلکه اعتماد به داده و تصمیم‌گیری انسانی را نیز هدف قرار می‌دهند.

#تجربه

آخر هفته پیش در حال مرور فید لینکدین بودم که چندین پست درباره سختی تشخیص نفوذها، به‌خصوص حملات باج‌افزاری، دیدم. در بیشتر این پست‌ها گفته می‌شد چون مهاجمان از ابزارهای «معتبر» سیستم‌عامل یا همان LOLBins استفاده می‌کنند، شناسایی آن‌ها بسیار دشوار است. معمولاً مثال‌هایی مثل powershell.exe یا bitsadmin.exe هم مطرح می‌شود. اما تجربه‌ای که در یکی از بررسی‌های Incident داشتم باعث شد نگاه متفاوتی به این موضوع پیدا کنم.

در آن بررسی متوجه شدیم از powershell برای دانلود و اجرای یک فایل مشکوک استفاده شده است. در نگاه اول ممکن است تصور شود چون این ابزار بخشی از خود ویندوز است، تشخیص سوءاستفاده از آن کار سختی است. اما من معمولاً تحلیل را با یک سؤال ساده شروع می‌کنم: آیا اصلاً در زیرساخت‌مان از این ابزار استفاده می‌کنیم؟

اگر پاسخ «خیر» باشد، کار خیلی ساده می‌شود. اجرای ابزاری که در فرآیندهای عادی سازمان استفاده نمی‌شود، به‌تنهایی می‌تواند یک نشانه مهم برای بررسی باشد. اما اگر پاسخ «بله» باشد، باز هم موضوع غیرقابل تشخیص نیست؛ فقط باید دقیق‌تر نگاه کنیم. باید بدانیم چه کسانی از این ابزار استفاده می‌کنند، در چه سناریوهایی، روی کدام سیستم‌ها و با چه الگوی رفتاری.

برای مثال، اگر bitsadmin فقط روی چند سرور مشخص برای انتقال فایل‌های داخلی استفاده می‌شود، اجرای همان ابزار روی سیستم یک کاربر عادی باید فوراً توجه تیم امنیت را جلب کند. در واقع مسئله این نیست که ابزار «معتبر» است یا نه؛ مسئله این است که آیا استفاده از آن با الگوی معمول سازمان همخوانی دارد یا خیر.

در تجربه من، مهم‌ترین عامل در تشخیص بسیاری از تهدیدها شناخت دقیق رفتار نرمال زیرساخت است. وقتی بدانیم چه چیزی در محیط ما طبیعی است، هر رفتار غیرعادی- حتی اگر با ابزارهای کاملاً قانونی انجام شود-خیلی سریع قابل شناسایی خواهد بود.

**نام ابزارها عوض شده است.

سوء استفاده ها از DNS گزارش روز

این گزارش با عنوان «2025 DNS Threat Landscape Report» نشان می‌دهد که DNS به یکی از مهم‌ترین لایه‌های سوءاستفاده در حملات سایبری تبدیل شده است. مهاجمان از DNS برای فیشینگ، کلاهبرداری، پنهان‌سازی ترافیک، استخراج داده، توزیع بدافزار و دور زدن شناسایی استفاده می‌کنند. Infoblox با تکیه بر تله‌متری عظیم DNS، اعلام می‌کند روزانه ۷۰ میلیارد کوئری را در بیش از ۱۳ هزار محیط تحلیل کرده و در یک سال اخیر ۱۰۰.۸ میلیون دامنه جدید مشاهده کرده است که ۲۵.۱٪ آن‌ها مخرب یا مشکوک بوده‌اند. همچنین ۹۵٪ دامنه‌های تهدیدآمیز فقط در یک محیط مشتری دیده شده‌اند، که نشان‌دهنده زیرساخت‌های موقتی و یک‌بارمصرف است. از تهدیدهای مهم دیگر می‌توان به دامنه‌های مشابه‌نما، DNS tunneling، و سوءاستفاده از هوش مصنوعی برای ساخت کلاهبرداری‌های قانع‌کننده‌تر اشاره کرد. پیام اصلی گزارش این است که دفاع مؤثر امروز بدون هوش تهدید مبتنی بر DNS و دید عمیق به رفتار دامنه‌ها ممکن نیست.

«آخرالزمان امنیت سایبری» یا آغاز یک عصر جدید؟ نگاهی به حملات Agentic و صنعتی‌شدن Exploitation

در سال‌های اخیر، امنیت سایبری وارد مرحله‌ای شده که برخی آن را با عنوان «آخرالزمان امنیت سایبری» توصیف می‌کنند؛ اما واقعیت دقیق‌تر این است که ما با یک تغییر پارادایم در مدل حمله و دفاع مواجه هستیم، نه پایان امنیت.

مفهوم جدیدی که در ادبیات امنیتی مطرح شده، Industrialized Exploitation و Agentic Offensive Security است. در این مدل، هوش مصنوعی دیگر فقط یک ابزار کمکی برای مهاجمان نیست، بلکه به یک «عامل مستقل» تبدیل می‌شود که می‌تواند چرخه کامل حمله را مدیریت کند: از شناسایی هدف و کشف آسیب‌پذیری تا اجرای حمله و استخراج داده.

این تحول چند پیامد مهم دارد:

اول اینکه، هزینه ورود به دنیای حملات سایبری به شدت کاهش می‌یابد. مهاجمان کم‌مهارت نیز با دسترسی به ابزارهای هوشمند می‌توانند حملاتی در سطح حرفه‌ای اجرا کنند. دوم اینکه، سرعت حملات افزایش می‌یابد؛ به‌طوری‌که فاصله بین کشف آسیب‌پذیری و بهره‌برداری از آن می‌تواند به حداقل برسد.

اما مهم‌ترین تغییر، مقیاس‌پذیری حملات است. در گذشته، یک مهاجم محدود به توان انسانی خود بود، اما اکنون یک Agent می‌تواند هزاران هدف را به‌صورت همزمان بررسی و علیه آن‌ها اقدام کند. این موضوع، مفهوم «حمله صنعتی» را واقعی می‌کند.

با این حال، این وضعیت به معنای فروپاشی امنیت نیست. همان‌طور که حمله هوشمندتر شده، دفاع نیز در حال تحول است. سازمان‌ها به سمت دفاع مبتنی بر AI، اتوماسیون SOC، و سیستم‌های تصمیم‌گیری خودکار حرکت می‌کنند. در واقع، آینده امنیت سایبری به سمت یک رقابت Agent علیه Agent پیش می‌رود.

جمع‌بندی این است که «آخرالزمان امنیت سایبری» تعبیر دقیقی نیست؛ بلکه ما وارد دوره‌ای شده‌ایم که در آن سرعت، مقیاس و هوشمندی، قواعد بازی امنیت را بازنویسی می‌کنند. سازمان‌هایی موفق خواهند بود که این تغییر را نه تهدید، بلکه یک بازطراحی بنیادی در مدل دفاعی خود ببینند.

اهمیت سرویس‌های Threat Intelligence در شناسایی تهدیدات اسکریپتی

در سال‌های اخیر، بدافزارهای اسکریپتی مانند PowerShell و VBScript به یکی از رایج‌ترین ابزارهای مهاجمان سایبری تبدیل شده‌اند. این نوع تهدیدات اغلب با تکنیک‌های پیچیده پنهان‌سازی اجرا می‌شوند و شناسایی آن‌ها تنها با ابزارهای سنتی امنیتی ممکن نیست. تصور کنید تیم امنیتی یک سازمان در لاگ‌های سیستم، اجرای یک فرمان PowerShell رمزگذاری‌شده را مشاهده کند. پس از رمزگشایی، مشخص می‌شود که فرمان قصد دارد اسکریپتی را از یک سایت ناشناس دانلود کند. با وجود این شواهد، هنوز پرسش‌های مهمی بی‌پاسخ می‌مانند: آیا این دامنه قبلاً در حملات استفاده شده است؟ آیا این رفتار نشانه یک کمپین گسترده است؟ آیا سیستم‌های دیگر نیز در معرض خطر قرار گرفته‌اند؟

در چنین شرایطی، نقش سرویس‌های Threat Intelligence مانند Google Threat Intelligence آشکار می‌شود. با جستجوی ساده دامنه یا بخشی از کد، این سرویس می‌تواند اطلاعات دقیقی از سوابق حملات مرتبط، زیرساخت‌های مهاجم، نسخه‌های مشابه بدافزار و دامنه‌های جایگزین ارائه دهد. این سطح از دید، امکان تحلیل سریع، دقیق و مبتنی بر داده را فراهم می‌کند و زمان تشخیص و پاسخ به حادثه را به‌طور چشمگیری کاهش می‌دهد.

بنابراین، استفاده از یک سرویس TI تنها یک گزینه تکمیلی نیست؛ بلکه بخشی حیاتی از راهبرد امنیت سایبری هر سازمان است. در برابر تهدیداتی که هر روز پیچیده‌تر می‌شوند، داشتن اطلاعات لحظه‌ای و معتبر از چشم‌انداز تهدیدات جهانی، تنها راه باقی‌مانده برای محافظت مؤثر از شبکه‌ها و داده‌هاست.

Solution to approach realtime and accurate detection for new attack

موضوع تز کارشناسی ارشد

با توجه به قطعی اینترنت مجبور شدم کمک بیشتری به دانشجویانم در مقطع کارشناسی ارشد داشته باشم . در خلال این موارد ، موضوعات مختلفی برای تز رو بررسی کردیم . اونهایی که دانشجوها بنا به دلیلی انتخاب نکردن رو اینجا میگذارم

تشخیص حملات پیشرفته پایدار (APT) با استفاده از مدل‌سازی گراف رفتاری و ترکیب Graph Neural Networks و مدل‌های زبانی بزرگ



در این پژوهش، هدف توسعه یک سیستم پیشرفته برای شناسایی حملات پیچیده و APT با ترکیب تحلیل گراف و مدل‌های زبانی بزرگ است. سامانه‌های امنیتی سنتی معمولاً رویدادها را جداگانه تحلیل می‌کنند و به همین دلیل در برابر حملاتی که به‌صورت تدریجی، پنهان و بدون شاخص‌های واضح انجام می‌شوند ناکارآمد هستند. در این تحقیق، به‌جای تحلیل Eventهای مستقل، رفتار مهاجم به‌صورت گراف رفتاری (Behavior Graph) مدل‌سازی می‌شود؛ گرافی که در آن رابطه میان پردازش‌ها، فایل‌ها، جریان‌های شبکه و فعالیت کاربران به‌صورت ساختاری نمایش داده می‌شود. سپس با استفاده از شبکه‌های عصبی گرافی (GNN) الگوهای پنهان استخراج می‌گردد و مدل قادر می‌شود رفتارهای مشکوک و مشابه حملات Zero-Day را تشخیص دهد. در ادامه، یک مدل زبانی بزرگ (LLM) خروجی تحلیل گراف را تفسیر کرده و تاکتیک‌های احتمالی مهاجم را بر اساس MITRE ATT&CK مشخص می‌کند و حتی مسیر احتمالی ادامه حمله را پیش‌بینی می‌نماید. نوآوری این پژوهش در ترکیب هم‌زمان GNN و LLM و تمرکز بر «تحلیل رفتار» به‌جای «رویداد» است، که آن را در سطح تحقیقات دانشگاه‌های عالی قرار می‌دهد. این مدل می‌تواند مبنای سیستم‌های هوشمند آینده در حوزه Threat Hunting و Forensics باشد.

وقتی نقص در ابزار باج افزاری آنرا به ابزاری برای Wipe کردن تبدیل میکند

Threat hunters are warning that the cybercriminal operation known as VECT 2.0 acts more like a wiper than a ransomware due to a critical flaw in its encryption implementation across Windows, Linux, and ESXi variants that renders recovery impossible even for the threat actors.

https://thehackernews.com/2026/04/vect-20-ransomware-irreversibly.html?m=1

#تجربه
ردپای فارنزیک

HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\RecentDocs


نام فایل مخرب که کاربر باز کرده
زمان تقریبی تعامل کاربر با فایل
مسیر فایل دانلود شده

ابزارهای EDR چگونه قلب ویندوز را پایش می‌کنند؟

رجیستری ویندوز همواره یکی از جذاب‌ترین اهداف برای مهاجمان سایبری بوده است. در گذشته، بدافزارهای پیشرفته‌ای مانند Poweliks با استفاده از تکنیک‌های بدون فایل (Fileless) و ذخیره کدهای مخرب در قالب کاراکترهای نامرئی (مثل Null-Byte) در رجیستری، از چشم آنتی‌ویروس‌های سنتی پنهان می‌ماندند. اما امروزه با تکامل سیستم‌های تشخیص و پاسخ نقطه پایانی (EDR)، مخفی شدن در این بخش از سیستم‌عامل به شدت دشوار شده است.

سیستم‌های EDR برخلاف آنتی‌ویروس‌های قدیمی که عمدتاً فایل‌های روی دیسک را اسکن می‌کردند، رویکردی پویا و مبتنی بر رفتار دارند. آن‌ها رجیستری را از طریق سه مکانیزم اصلی به یک منطقه تحت نظارت شدید تبدیل کرده‌اند:

مهم‌ترین ابزار در این معماری، استفاده از توابع کال بک رجیستری ویندوز (Kernel Registry Callbacks) است. نرم‌افزارهای EDR با نصب یک درایور در عمیق‌ترین لایه سیستم‌عامل (Kernel)، به رابطی مانند CmRegisterCallback متصل می‌شوند. این مکانیزم ویندوز را موظف می‌کند پیش از انجام هرگونه عملیات خواندن، نوشتن یا حذف در رجیستری، آن را به EDR گزارش دهد تا در صورت مخرب بودن، عملیات مسدود شود.

در کنار این، EDRها از سیستم ردیابی رویدادهای ویندوز (ETW) نیز بهره می‌برند. ETW مانند یک شبکه دوربین مداربسته پرسرعت عمل می‌کند و جریانی از داده‌ها را در اختیار EDR قرار می‌دهد تا مشخص شود دقیقاً چه پروسه‌ای در چه زمانی تغییری ایجاد کرده است. تکنیک مکمل دیگر، هوک کردن رابط‌های برنامه‌نویسی (API Hooking) برای شنود توابع دسترسی به رجیستری در حافظه است.

در طول این وارسی‌های دقیق، EDRها به دنبال الگوهای مشکوک هستند. تلاش برای تغییر در مسیرهای اجرای خودکار، ذخیره اسکریپت‌های حجیم به جای داده‌های استاندارد در مقادیر رجیستری، زنجیره‌های اجرایی غیرمنطقی (مثلاً تلاش نرم‌افزار Word برای ساخت کلید سیستمی) و استفاده از کاراکترهای غیرمجاز، بلافاصله زنگ خطر را به صدا درمی‌آورند. با این مکانیزم‌های چندلایه، رجیستری ویندوز دیگر مخفیگاه امنی برای تهدیدات سایبری نیست.

بعدی از حاکمیت امنیت اطلاعات

در بسیاری از برنامه‌های حاکمیت امنیت اطلاعات، تمرکز اصلی بر سیاست‌ها، کنترل‌های دسترسی و ابزارهای امنیتی است؛ اما یکی از مؤلفه‌های حیاتی که اغلب کمتر مورد توجه قرار می‌گیرد، ردیابی منشأ و مسیر حرکت داده‌ها (Data Lineage) است. از نگاه یک متخصص باتجربه در حوزه امنیت داده، فهم دقیق اینکه یک داده از کجا ایجاد شده، از چه مسیرهایی عبور کرده، چه تغییراتی روی آن اعمال شده و در چه نقاطی مورد استفاده قرار گرفته، برای مدیریت ریسک اطلاعاتی کاملاً ضروری است.

در سازمان‌های امروزی، داده‌ها به‌صورت مداوم بین پایگاه‌های داده، سرویس‌های ابری، سیستم‌های تحلیلی و برنامه‌های کاربردی در حال جابه‌جایی هستند. بدون وجود دید شفاف نسبت به چرخه حیات داده، تیم‌های امنیتی عملاً در برابر رخدادهای امنیتی دید محدودی دارند. زمانی که یک نشت داده یا دسترسی غیرمجاز رخ می‌دهد، اولین سؤال این است: این داده دقیقاً از کجا آمده و در چه سیستم‌هایی وجود دارد؟ اگر پاسخ به این سؤال مشخص نباشد، فرآیند واکنش به حادثه به‌شدت کند و پرهزینه خواهد شد.

مقوله Data Lineage این امکان را فراهم می‌کند که سازمان‌ها نقشه‌ای دقیق از جریان داده‌های حساس خود داشته باشند. این نقشه نه‌تنها به شناسایی سریع منبع مشکل در زمان بروز حادثه کمک می‌کند، بلکه در پیشگیری از نشت اطلاعات نیز نقش مهمی دارد. با شناخت نقاط تماس داده، می‌توان کنترل‌های امنیتی را در محل‌های درست اعمال کرد و مسیرهای پرریسک را محدود ساخت.

در نهایت، سازمان‌هایی که Data Lineage را به‌عنوان بخشی از حاکمیت امنیت داده در نظر می‌گیرند، درک عمیق‌تری از دارایی‌های اطلاعاتی خود خواهند داشت. این رویکرد نه‌تنها سطح امنیت را افزایش می‌دهد، بلکه به تصمیم‌گیری آگاهانه‌تر در مدیریت داده نیز کمک می‌کند.