بعدی از حاکمیت امنیت اطلاعات

در بسیاری از برنامه‌های حاکمیت امنیت اطلاعات، تمرکز اصلی بر سیاست‌ها، کنترل‌های دسترسی و ابزارهای امنیتی است؛ اما یکی از مؤلفه‌های حیاتی که اغلب کمتر مورد توجه قرار می‌گیرد، ردیابی منشأ و مسیر حرکت داده‌ها (Data Lineage) است. از نگاه یک متخصص باتجربه در حوزه امنیت داده، فهم دقیق اینکه یک داده از کجا ایجاد شده، از چه مسیرهایی عبور کرده، چه تغییراتی روی آن اعمال شده و در چه نقاطی مورد استفاده قرار گرفته، برای مدیریت ریسک اطلاعاتی کاملاً ضروری است.

در سازمان‌های امروزی، داده‌ها به‌صورت مداوم بین پایگاه‌های داده، سرویس‌های ابری، سیستم‌های تحلیلی و برنامه‌های کاربردی در حال جابه‌جایی هستند. بدون وجود دید شفاف نسبت به چرخه حیات داده، تیم‌های امنیتی عملاً در برابر رخدادهای امنیتی دید محدودی دارند. زمانی که یک نشت داده یا دسترسی غیرمجاز رخ می‌دهد، اولین سؤال این است: این داده دقیقاً از کجا آمده و در چه سیستم‌هایی وجود دارد؟ اگر پاسخ به این سؤال مشخص نباشد، فرآیند واکنش به حادثه به‌شدت کند و پرهزینه خواهد شد.

مقوله Data Lineage این امکان را فراهم می‌کند که سازمان‌ها نقشه‌ای دقیق از جریان داده‌های حساس خود داشته باشند. این نقشه نه‌تنها به شناسایی سریع منبع مشکل در زمان بروز حادثه کمک می‌کند، بلکه در پیشگیری از نشت اطلاعات نیز نقش مهمی دارد. با شناخت نقاط تماس داده، می‌توان کنترل‌های امنیتی را در محل‌های درست اعمال کرد و مسیرهای پرریسک را محدود ساخت.

در نهایت، سازمان‌هایی که Data Lineage را به‌عنوان بخشی از حاکمیت امنیت داده در نظر می‌گیرند، درک عمیق‌تری از دارایی‌های اطلاعاتی خود خواهند داشت. این رویکرد نه‌تنها سطح امنیت را افزایش می‌دهد، بلکه به تصمیم‌گیری آگاهانه‌تر در مدیریت داده نیز کمک می‌کند.

#استخدام

کارشناس امنیت شبکه

تسلط بر فورتی گیت و R&S

ارسال رزومه hr@haumoun.com


لطفا ارسال کنید تا به دوستان بیشتری برسد

استویج و مجازی سازی -- فوق ارشد

دریافتی: 120 م خالص

hr@haumoun.com

یک کتابچه عملیاتی برای ساخت هوش مصنوعی عامل‌گرا (Agentic AI) در حوزه امنیت سایبری است. این راهنما با کنار گذاشتن فریم‌ورک‌های قدیمی‌تر مانند LangChain، منحصراً بر استفاده از پایتون، Claude Agent SDK و پروتکل MCP تمرکز دارد.

هدف اصلی سند، آموزش توسعه ایجنت‌های هوشمند برای اجرای وظایف واقعی امنیتی مانند ارزیابی آسیب‌پذیری‌ها، تریاژ تهدیدات و پاسخ به حوادث (IR) است. علاوه بر توسعه، این کتابچه اهمیت ویژه‌ای به امنیتِ خود ایجنت‌ها داده و نحوه مقابله با حملات اختصاصی هوش مصنوعی نظیر Prompt Injection و مسموم‌سازی ابزارها را آموزش می‌دهد.

تبعات لو رفتن کد منبع Trellix

لو رفتن کد منبع یکی از شرکت‌های امنیتی مانند Trellix می‌تواند پیامدهای جدی و بحرانی برای امنیت سایبری و اعتبار شرکت داشته باشد. در زیر به برخی از تبعات اصلی این موضوع اشاره می‌شود:
1. بروز آسیب‌پذیری‌ها

کد منبع لو رفته به هکرها و مجرمان سایبری این امکان را می‌دهد که نقاط ضعف را شناسایی کرده و از آن‌ها سوءاستفاده کنند. این موضوع می‌تواند منجر به گسترش حملات مبتنی بر آسیب‌پذیری‌های موجود در نرم‌افزار شود.
2. خطر تقلب و جعل

مهاجمان می‌توانند از کد لو رفته برای تولید نسخه‌های جعلی محصول استفاده کنند، که می‌تواند به کاربران آسیب برساند و به اعتبار برند لطمه بزند.
3. از دست رفتن اعتماد

این حادثه می‌تواند اعتماد مشتریان و شرکا را به شدت کاهش دهد. رابطه‌ی طولانی‌مدت شرکت با مشتریان ممکن است به خطر بیفتد و این امر می‌تواند به کاهش فروش و درآمد منجر شود.
4. مسائل قانونی

بسته به نوع اطلاعاتی که در کد وجود دارد، این لو رفتن می‌تواند تبعات قانونی به همراه داشته باشد، نظیر دعاوی حقوقی از سوی مشتریان یا شرکای تجاری.
5. نیاز به پشتیبانی فوری

شرکت ممکن است نیاز به اجرای تغییرات حاد و فوری برای مقابله با تبعات این حادثه داشته باشد، از جمله به‌روزرسانی نرم‌افزارها، اعلام خطر به مشتریان، و اجرای برنامه‌های امنیتی جدید.
6. مسایل مالی

اشکال در اعتبار و کاهش فروش می‌تواند منجر به هزینه‌های مالی چشمگیری برای شرکت شود، زیرا آنها ناچار به سرمایه‌گذاری در امنیت و تبلیغات مجدد برند خواهند بود.

https://thehackernews.com/2026/05/trellix-confirms-source-code-breach.html?m=1

سایت lolrmm.io یک منبع فوق‌العاده (و رایگان) برای مهندسان تشخیص (Detection Engineers) است تا بتوانند کشف های سفارشی ایجاد کنند که در صورت نصب هرگونه ابزار Remote Monitoring and Management (RMM) یا Remote Desktop / Remote Support روی دسکتاپ‌ها یا سرورهای شما، به SOC هشدار بدهد.
اگر در سازمان شما سیاستی وجود دارد که مشخص می‌کند چه ابزارهای ریموتی مجاز هستند و چگونه باید نصب شوند، این ابزار به شما کمک می‌کند هر زمان که مهاجمان از این ابزارها برای دسترسی به شبکه سوءاستفاده می‌کنند، آن را شناسایی کنید.
#تجربه
مهاجمان در سطح گسترده همچنان با نرخ بالایی از این ابزارهای RMM/RDS سوءاستفاده می‌کنند. بنابراین تمرکز روی طراحی و پیاده‌سازی این نوع دتکشن‌ها، هم ارزشمند است و هم استفاده‌ی بهینه‌ای از زمان محدود مهندسی تشخیص شما محسوب می‌شود.

برنامه CI Fortify از سوی Cybersecurity and Infrastructure Security Agency نشان‌دهنده یک تغییر پارادایم مهم در امنیت زیرساخت‌های حیاتی است؛ تغییری از تمرکز صرف بر «پیشگیری از نفوذ» به سمت «تاب‌آوری در شرایط نفوذ». این رویکرد به‌ویژه در حوزه Industrial Control Systems اهمیت دارد، جایی که اختلال در سرویس می‌تواند پیامدهای فیزیکی و اجتماعی گسترده‌ای ایجاد کند.

مقوله CI Fortify بر این فرض استوار است که در سناریوهای واقعی - به‌خصوص در بحران‌های ژئوپلیتیکی- مهاجمان ممکن است از قبل در شبکه حضور داشته باشند و ارتباطات خارجی نیز ناپایدار یا قطع شوند. بنابراین، سازمان‌ها باید معماری خود را به‌گونه‌ای طراحی کنند که حتی در شرایط compromise نیز بتوانند خدمات حیاتی را ادامه دهند. این شامل ایزوله‌سازی سیستم‌های حساس، کاهش وابستگی به سرویس‌های بیرونی و طراحی برای «عملیات در حالت کاهش‌یافته» است.

از منظر عملیاتی، این رویکرد با مفاهیمی مانند Cyber Resilience و طراحی مبتنی بر failure هم‌راستا است. در این مدل، موفقیت امنیتی نه در جلوگیری کامل از نفوذ، بلکه در توانایی حفظ عملکرد و بازیابی سریع تعریف می‌شود. در نهایت، CI Fortify سازمان‌ها را وادار می‌کند که امنیت را نه به‌عنوان یک لایه دفاعی، بلکه به‌عنوان بخشی از طراحی سیستم و تداوم کسب‌وکار ببینند.



https://www.cisa.gov/topics/industrial-control-systems/ci-fortify

Crowdstrike threat hunting report 2025

2026 GLOBAL THREAT REPORT

وقتی رفتار عادی کاربر به Execution Path تبدیل می‌شود

برداشت من از مقاله لینک زیر

یکی از خطرناک‌ترین سوءبرداشت‌ها در امنیت سایبری این است که فقط رفتارهای «غیرعادی» یا ابزارهای پیچیده می‌توانند منجر به compromise شوند. در حالی‌که بسیاری از حملات مدرن دقیقاً از دل رفتارهای روزمره کاربران شکل می‌گیرند.
آسیب‌پذیری Command Injection در Context Menu ویندوز نمونه بسیار خوبی از این واقعیت است.
عملی کاملاً طبیعی مانند Shift + Right Click روی یک پوشه و انتخاب گزینه «Open PowerShell window here» می‌تواند به execution ناخواسته کد منجر شود. مسئله اصلی نه PowerShell است و نه حتی privilege escalation؛ بلکه این واقعیت است که یک interaction عادی کاربر، به execution path تبدیل شده است.
این دقیقاً همان بخشی است که در بسیاری از Threat Modelها نادیده گرفته می‌شود.
اغلب تیم‌ها هنگام طراحی دفاع امنیتی روی مواردی مانند malware execution، exploit chain یا persistence تمرکز می‌کنند؛ اما کمتر این سؤال را می‌پرسند:

«کدام رفتار عادی کاربر می‌تواند به surface اجرای کد تبدیل شود؟»

در دنیای واقعی، مهاجمان الزاماً به دنبال exploitهای پیچیده kernel نیستند. گاهی کافی است فرآیندی پیدا کنند که:
کاربر به آن اعتماد دارد،
به‌صورت روزمره استفاده می‌شود،
و در پشت‌صحنه command construction ناامن انجام می‌دهد.
همین mindset باعث شده در سال‌های اخیر تکنیک‌های Living-off-the-Land اهمیت بیشتری پیدا کنند؛ زیرا مهاجم از ابزارها و workflowهای legitimate سیستم علیه خود سیستم استفاده می‌کند.
نمونه ای که گفته شد یک درس مهم برای معماران امنیت، SOCها و حتی توسعه‌دهندگان دارد:
هر UI action، context menu، automation flow یا helper script می‌تواند عملاً بخشی از attack surface باشد؛ حتی اگر سال‌ها «قابلیت عادی سیستم‌عامل» تلقی شده باشد.
در امنیت مدرن، صرفاً بررسی executableها کافی نیست؛ باید مسیرهای تبدیل «رفتار عادی» به «execution» را هم مدل‌سازی کرد.



https://specterops.io/blog/2026/05/07/shift-happens-uncovering-two-built-in-command-injections-in-windows-context-menus/

IR playbook

تشخیص Sandbox توسط بدافزارها
✅دقت در انتخاب سندباکس

نکاتی در زمینه این موضوع در ذیل بیان میکنم امید در انتخاب سند باکس مفید واقع شود.
#تجربه

بدافزارهای پیشرفته برای فرار از تحلیل پویا در Sandbox، از مجموعه‌ای از تکنیک‌های Anti‑VM، Anti‑Sandbox و Anti‑Debug استفاده می‌کنند و با جمع‌آوری چندین شاخص تصمیم می‌گیرند که در محیط واقعی اجرا شده‌اند یا در محیط تحلیل.

یکی از روش‌های رایج، Fingerprinting سخت‌افزار و هایپروایزر است. بدافزار با استفاده از دستوراتی مانند CPUID وجود Hypervisor را بررسی می‌کند یا مقادیر SMBIOS/DMI را برای یافتن نشانه‌هایی مانند VMware و VirtualBox تحلیل می‌کند. همچنین بررسی MAC Address OUI، تعداد غیرعادی هسته‌های CPU، مدل دیسک و سایر Artifactهای ماشین مجازی می‌تواند نشانه‌ای از Sandbox باشد.

دسته دیگر، حملات زمانی (Timing Attacks) است. بدافزار با اندازه‌گیری تأخیر اجرای دستورات از طریق RDTSC یا QueryPerformanceCounter به دنبال افزایش latency ناشی از VM‑exit یا Hookهای امنیتی می‌گردد.

در سطح Anti‑Debug، توابعی مانند IsDebuggerPresent یا بررسی ساختار PEB برای شناسایی دیباگر استفاده می‌شوند. برخی نمونه‌ها همچنین وجود ابزارهای EDR یا Breakpointها را نیز بررسی می‌کنند.

در نهایت، بسیاری از بدافزارها از Behavioral Gating استفاده می‌کنند؛ یعنی تا زمانی که نشانه‌هایی از تعامل واقعی کاربر، داده‌های کاربری، یا شرایط شبکه معتبر مشاهده نشود، payload اصلی فعال نمی‌شود. این رویکرد چندعاملی باعث می‌شود تحلیل خودکار Sandbox دشوارتر شود.


❓حالا ، Sandbox شما حرفه ای است ؟

هانت با Velociraptor

این هفته تدریس هانت و فارنزیک در یکی از سازمانهای کشور را شروع کردم.

دریکی از جلسات هانت با Velociraptor در برنامه است. یکی از قابلیت‌های ارزشمند Velociraptor در عملیات Threat Hunting و DFIR، امکان اجرای YARA روی حافظه Processها است؛ قابلیتی که به تحلیل‌گران اجازه می‌دهد حملات Fileless و اجرای کد در RAM را شناسایی کنند.

در یکی از سناریوهای عملیاتی، از یک Rule ساده YARA برای جستجوی رشته‌هایی مانند Invoke-Mimikatz و DownloadString در حافظه Processها استفاده میشود.

rule Suspicious_PS
{
strings:
$a = "Invoke-Mimikatz" nocase wide ascii
$b = "DownloadString" nocase wide ascii
condition:
any of them
}


این رشته‌ها معمولاً با PowerShell-based attack و ابزارهای Post-Exploitation مرتبط هستند. Velociraptor با استفاده از Artifactهایی مانند Windows.Detection.Yara.Process حافظه Processهای فعال را به‌صورت Remote اسکن کرده و وجود این الگوها را شناسایی می‌کند.

نتیجه این Hunt نشان میدهد که حتی در شرایطی که فایل مخربی روی Disk وجود ندارد و مهاجم از تکنیک‌های Fileless استفاده می‌کند، همچنان می‌توان آثار اجرای حمله را در Memory مشاهده کرد. این موضوع اهمیت Memory Hunting را در کشف تهدیدات مدرن نشان می‌دهد؛ جایی که تحلیل صرف فایل‌ها و آنتی‌ویروس‌های سنتی ممکن است ناکافی باشند. Velociraptor با ترکیب YARA، Threat Hunting و DFIR، دید عمیق‌تری از رفتار واقعی مهاجم در Endpoint فراهم می‌کند.

آیا ضعف در آموزش ریاضی بر کیفیت متخصصان امنیت سایبری اثر می‌گذارد؟


وقتی درباره امنیت سایبری صحبت می‌شود، بسیاری تصور می‌کنند مهم‌ترین مهارت‌ها شامل کار با ابزارها، شناخت حملات یا یادگیری فناوری‌های جدید است. اما در عمل، یکی از عوامل پنهان و بسیار اثرگذار در کیفیت متخصصان امنیت، نوع تفکری است که سیستم آموزشی در افراد ایجاد می‌کند؛ و آموزش ریاضی در این میان نقش مهمی دارد.
موضوع فقط رمزنگاری یا فرمول‌های پیچیده نیست. حتی اگر بخش Cryptography را کنار بگذاریم، امنیت سایبری همچنان به تفکر تحلیلی، مدل‌سازی ذهنی و توانایی کشف الگو وابسته است. یک تحلیل‌گر SOC حرفه‌ای باید بتواند میان هزاران لاگ و Event، ارتباط‌های غیرآشکار را تشخیص دهد و از دل رفتارهای ظاهراً عادی، نشانه‌های حمله را استخراج کند. این فرآیند بیشتر شبیه تحلیل سیستم و استدلال منطقی است تا صرفاً کار با ابزارها.
آموزش ریاضی قوی معمولاً مهارت‌هایی مانند تفکر ساختاریافته، تحلیل علت و معلول، abstraction و reasoning را تقویت می‌کند؛ مهارت‌هایی که در Threat Hunting، Detection Engineering و DFIR بسیار حیاتی‌اند. در مقابل، ضعف در این حوزه می‌تواند باعث شود بخشی از نیروها بیش از حد ابزارمحور شوند و در تحلیل عمیق، طراحی Detection Logic یا تفکر adversarial ضعف داشته باشند.
به همین دلیل، بسیاری از متخصصان برجسته امنیت الزاماً کسانی نیستند که فقط مدارک متعدد دارند؛ بلکه افرادی هستند که قدرت تحلیل سیستمی و ذهن ساختاریافته‌تری دارند. امنیت سایبری بیش از آنکه صرفاً یک مهارت فنی باشد، یک شیوه تفکر تحلیلی است؛ و آموزش ریاضی می‌تواند یکی از پایه‌های شکل‌گیری این ذهنیت باشد.

خصوصیات امنیتی جدید اندروید


https://blog.google/security/whats-new-in-android-security-privacy-2026/

چرا در مورد فورتی وب مینویسم ؟

آره کار من با فورتی وب به حدود ۱۳ تا ۱۰ سال پیش برمیگرده ؛ از نصب تا تیونینگ و بررسی لاگ.

اما چیزی که این روزها دغدغه من شده ، کانفیگ نامناسب برای تعداد بالای وف هایی هست که میبینم. لذا کشف و مقابله درستی نداریم و دیتا سورس SOC های ما هم ناکامله.

دوستان

وف قرار هست حملات رو کشف کنه و مقابله ، لاگش هم در SOC خیلی حیاتیه
اما
ما با عدم تنظیم مناسب ، اونو از یه بنز به پراید تقلیل دادیم !!


این روزها وف هایی میبینم که باید به حال مالکان اونها ناراحت شد . اونچه من میبینم اینه که تنظیمات وف به یه عنصر لاکچری در کشور بدل شده درحالی‌که یکی از اقلام ضروری کالابرگ!! سازمانیه

لذا
یه دپارتمان در شرکت هامون تشکیل دادم که یکی از کاراش فقط تیونینگ وف هست. پس یکی از اقلام کاتالوگ خدمات شرکت هامون شده "ارتقای عملیاتی وف"
اینجوری هم کنترل مهمی چون وف درست در مدار هست هم SOC شما میتونه یه قدم ارتقا پیدا کنه

لذا کمکی لازم بود با واحد فروش شرکت هامون در تماس باشید .


#خدمت_اختصاصی

وبینار عوامل موثر بر ارتقای کشف و بهروری در SOC های موجود - تجربه ی زیسته

اطلاعات بیشتر را در بخش توضیحات لینک زیر بخوانید
https://eseminar.tv/wb176454


دوشنبه 4 خرداد ماه در ایسمینار ساعت 20

ثبت نام زود هنگام با 40 درصد تخفیف

تخفیف ثبت نام تا 31 اردیبهشت برقرار است

شهود انسانی در برابر سرعت هوش مصنوعی؛ آینده جدید Threat Hunting

مقوله Threat Hunting مدرن وارد مرحله‌ای جدید و پیچیده شده است. سال‌ها، موفق‌ترین عملیات‌های هانت وابسته به تجربه، شهود و درک انسانی تحلیلگران بود. یک Threat Hunter حرفه‌ای می‌توانست رفتارهای غیرعادی مهاجم را از میان حجم عظیمی از داده‌ها تشخیص دهد، سیگنال‌های ضعیف را به هم متصل کند و فرضیات اشتباه را به چالش بکشد. به همین دلیل هنوز بسیاری معتقدند که «Threat Hunting ذاتاً انسان‌محور است.»

اما ظهور تهدیدات مبتنی بر هوش مصنوعی، معادله را تغییر داده است. مهاجمان اکنون می‌توانند با سرعت ماشین، عملیات Reconnaissance، فیشینگ، تولید بدافزار، تحلیل هدف و حتی حملات تطبیقی انجام دهند. در چنین شرایطی، مدل‌های سنتی هانت که کاملاً متکی به انسان هستند، دیگر سرعت کافی ندارند. اینجاست که یک سؤال مهم مطرح می‌شود: چگونه می‌توان عمق تحلیل انسانی را با سرعت AI ترکیب کرد؟

پاسخ در حذف انسان نیست، بلکه در تقویت اوست. هوش مصنوعی می‌تواند تحلیل حجم عظیم telemetry، correlation، anomaly detection و triage اولیه را انجام دهد، در حالی که تحلیلگر انسانی روی hypothesis building، تفسیر رفتار مهاجم و تصمیم‌گیری نهایی تمرکز می‌کند.

آینده Threat Hunting نه کاملاً انسانی خواهد بود و نه کاملاً خودکار؛ بلکه متعلق به تیم‌هایی است که بتوانند قضاوت انسانی را با سرعت پردازش AI ترکیب کنند.

اگر همه چیز فانی است ، چرا تلاش کنیم ؟!

آیهٔ «كُلُّ مَنْ عَلَيْهَا فَانٍ» از سوره الرحمن، یکی از عمیق‌ترین آیات قرآن درباره ناپایداری جهان است. این آیه یادآوری می‌کند که همه چیز در دنیا ، انسان‌ها، قدرت، ثروت و حتی تمدن‌ها ، روزی از بین می‌روند و تنها حقیقت پایدار، ذات الهی است. در نگاه عرفانی، این آیه فقط درباره مرگ نیست؛ بلکه درباره فانی بودن غرور، تعلقات و هویت‌های ظاهری انسان نیز سخن می‌گوید. پیام اصلی آیه این است که انسان نباید تمام وجود خود را به چیزهای موقتی گره بزند، بلکه باید به دنبال معنا، آگاهی، عشق و ارزش‌های عمیق‌تر در زندگی باشد.
اگر ما این موضوع را درک کنیم ، از بسیاری حسادت ها ، تعلقات ، تکبر ها، دروغ ها و تلاش های ظاهری کاسته میشود و ما "انسان" می‌شویم.

در ویرگول بیشتر صحبت کرده ام که اگر فانی هستیم چرا باید تلاش کنیم ؟

https://vrgl.ir/jYTXy