لذت امشب

https://werwolv.net/posts/usb_for_sw_devs/

طراحی MSSP

این روزها درحال طراحی معماری MSSP در شرکت هامون هستیم‌ . نکاتی از اون رو براتون میگذارم

معماری Escalation در یک MSSP نباید بر اساس نوع قرارداد مشتری، بلکه بر مبنای شدت رخداد (Severity) طراحی شود. رخدادهای کم‌اهمیت می‌توانند از طریق تیکت و ایمیل مدیریت شوند، اما در رخدادهای بحرانی مانند باج‌افزار، تصاحب Domain Admin یا خروج گسترده اطلاعات، اطلاع‌رسانی فوری و چندکاناله باید برای همه مشتریان، صرف‌نظر از سطح قرارداد، انجام شود. همچنین، وجود مجوزهای از پیش توافق‌شده (Pre-Authorized Emergency Action) برای اجرای اقدامات حداقلی مهار، زمان واکنش را کاهش داده و مسئولیت حقوقی MSSP را شفاف می‌کند. بازبینی دوره‌ای فهرست تماس‌ها، مستندسازی دقیق همه تلاش‌های اطلاع‌رسانی و تعریف شفاف مسئولیت‌ها، از مهم‌ترین عوامل موفقیت این فرآیند و افزایش تاب‌آوری سایبری مشتریان هستند.

#هامون #MSSP

مقاله کامل را در لینک زیر در ویرگول بخوانید

https://vrgl.ir/Lbjko

از LOLBins تا اطلس رفتاری ویندوز؛ گام بعدی Detection Engineering چیست؟

روزبه نوروزی

جامعه امنیت سایبری تاکنون تلاش‌های ارزشمندی برای شناخت پردازش‌های بومی ویندوز انجام داده است. پروژه‌هایی مانند LOLBAS (Living Off the Land Binaries and Scripts) نشان داده‌اند که چگونه ابزارهای قانونی ویندوز مانند rundll32.exe، regsvr32.exe، mshta.exe و certutil.exe می‌توانند توسط مهاجمان برای اجرای حملات مورد سوءاستفاده قرار گیرند. همچنین ابزارهایی مانند Process Monitor، ETW و محصولات EDR رفتار پردازش‌ها را تا حدی ثبت و تحلیل می‌کنند.

با این حال، بیشتر این تلاش‌ها بر یک پرسش متمرکز بوده‌اند: مهاجم چگونه از این پردازش سوءاستفاده می‌کند؟ اما شاید زمان آن رسیده باشد که سؤال دیگری مطرح شود: رفتار طبیعی این پردازش دقیقاً چیست؟

تصور کنید برای هر پردازش بومی ویندوز، یک اطلس رفتاری (Behavioral Atlas) وجود داشته باشد که الگوی عادی بارگذاری DLLها، ایجاد Child Process، ارتباطات شبکه، دسترسی به فایل و رجیستری، فراخوانی APIها و تعامل با سایر پردازش‌ها را مستندسازی کند. در این صورت، هرگونه انحراف از این الگوی طبیعی می‌تواند بدون نیاز به IOC یا Signature، به‌عنوان یک سیگنال اولیه برای Threat Hunting شناسایی شود.

به نظر می‌رسد نسل بعدی Detection Engineering باید از تمرکز صرف بر شناخت رفتار بدافزارها به سمت شناخت رفتار طبیعی سیستم‌عامل حرکت کند. شاید آینده امنیت نقطه پایانی نه در فهرست کردن LOLBinهای جدید، بلکه در ساخت یک اطلس جامع از رفتار پردازش‌های ویندوز باشد؛ اطلسی که بتواند کوچک‌ترین انحراف را نیز به‌عنوان نشانه‌ای از یک حمله پیشرفته آشکار کند.

مدارک "فوق تخصصی" حوزه امنیت
ISSMP
ISSEP
ISSAP

برای توضیح به دانشجویانم :

اگر CISSP را به‌عنوان یک مدرک جامع امنیت اطلاعات در نظر بگیریم، سه گرایش تخصصی (Concentrations) آن هر کدام روی یک نقش متفاوت تمرکز دارند.

🟤ISSMP (Information Systems Security Management Professional)

این دوره بر مدیریت و راهبری امنیت تمرکز دارد. سؤال اصلی این مدرک این است: «چگونه یک برنامه امنیتی را در سطح سازمان هدایت و مدیریت کنیم؟» موضوعاتی مانند حاکمیت امنیت، مدیریت ریسک، مدیریت تیم‌ها، بودجه، انطباق، مدیریت بحران، تداوم کسب‌وکار (BCP)، بازیابی پس از بحران (DR) و همسوسازی امنیت با اهداف کسب‌وکار در این مدرک بررسی می‌شوند. مخاطبان آن CISOها، مدیران امنیت، CTOها و مشاوران راهبردی هستند.


🟣ISSEP (Information Systems Security Engineering Professional)
این دوره بر مهندسی امنیت متمرکز است. سؤال اصلی آن این است: «چگونه امنیت را در طول چرخه عمر توسعه و مهندسی سیستم پیاده‌سازی کنیم؟» این مدرک بر مهندسی سیستم‌های امن، تحلیل نیازمندی‌های امنیتی، طراحی، پیاده‌سازی، آزمون و اعتبارسنجی امنیت با تکیه بر چارچوب‌های مهندسی مانند NIST تأکید دارد. مخاطبان آن مهندسان امنیت، مهندسان سیستم و تیم‌های توسعه سامانه‌های حساس هستند.

🔵ISSAP (Information Systems Security Architecture Professional)
این دوره بر معماری امنیت تمرکز دارد. سؤال اصلی این مدرک این است: «چگونه یک سامانه یا سازمان را از ابتدا به‌صورت امن طراحی کنیم؟» مباحثی مانند معماری شبکه، Zero Trust، مدیریت هویت، کنترل دسترسی، امنیت ابر، تقسیم‌بندی شبکه و طراحی دفاع در عمق در این حوزه قرار می‌گیرند. مخاطبان اصلی آن Security Architect و Solution Architect هستند.



به‌صورت ساده می‌توان تفاوت این سه مدرک را چنین بیان کرد:

✅️ ISSMP: «چطور مدیریت و راهبری کنیم؟»
✅️ ISSEP: «چطور بسازیم و مهندسی کنیم؟»
✅️ ISSAP: «چطور طراحی کنیم؟»


اگر این سه مدرک را با ساخت یک ساختمان مقایسه کنیم، ISSAP معمار ساختمان است، ISSEP مهندس اجرا و ساخت است و ISSMP مدیر پروژه و بهره‌برداری است؛ هر سه برای موفقیت پروژه ضروری‌اند، اما هر کدام مسئولیت متفاوتی دارند.

🔴تمام این دوره ها پس از دوره CISSP امکان پذیر است .
دوره CISSP ثبت نام در بله 09902857290

مبحث Agentهای تجربه‌محور؛ نسل بعدی هوش مصنوعی در امنیت سایبری

یکی از محدودیت‌های مهم Agentهای هوش مصنوعی امروزی این است که هر وظیفه را تقریباً از نقطه صفر آغاز می‌کنند. آن‌ها ممکن است قدرت استدلال بالایی داشته باشند، اما معمولاً تجربه‌های گذشته را به دانشی پایدار و قابل استفاده در مسائل آینده تبدیل نمی‌کنند. مفهوم Experience-Driven AI یا عامل‌های تجربه‌محور دقیقاً برای رفع این ضعف شکل گرفته است.

در این رویکرد، Agent تنها پاسخ یک مسئله را ذخیره نمی‌کند؛ بلکه از هر مأموریت، اصول، الگوهای تصمیم‌گیری، رویه‌های مؤثر و قیاس‌های قابل استفاده مجدد استخراج می‌کند. به این ترتیب، هنگام مواجهه با حملات یا آسیب‌پذیری‌های مشابه، به جای شروع دوباره، از تجربیات قبلی بهره می‌گیرد.

در امنیت سایبری، جایی که تکنیک‌های مهاجمان بارها با تغییرات جزئی تکرار می‌شوند، چنین قابلیتی می‌تواند تحول‌آفرین باشد. یک Agent تجربه‌محور می‌تواند تحلیل آسیب‌پذیری، Threat Hunting، Incident Response و حتی اولویت‌بندی هشدارهای SOC را سریع‌تر و دقیق‌تر انجام دهد، زیرا از رخدادهای گذشته آموخته است.

به نظر می‌رسد رقابت آینده دیگر بر سر بزرگ‌تر بودن مدل نخواهد بود، بلکه بر سر توانایی Agent در یادگیری، حفظ و استفاده مجدد از تجربه‌های عملی خواهد بود؛ قابلیتی که می‌تواند نسل جدیدی از سامانه‌های امنیتی هوشمند و خودبهبوددهنده را شکل دهد.


https://www.cybergym.io/cybergym/

هر سه سال یکبار باید مدرک CISSP تمدید شود.

استاد روزبه این موضوع را از سال ۲۰۱۲ که مدرک را اخذ کرده هر سه سال با به روزرسانی دانش خود ، به انجام رسانده است .
لذا مدرک ایشان هنوز معتبر پس آموزش ارائه شده توسط ایشان مطابق جدید ترین سرفصل های روز جهان ارائه میشود که صد البته همراه با سالها تجربه عملیاتی ایشان در پروژه ها میباشد.

ثبت نام از طریق بله 09902857290

شرکت هامون و آکادمی روزبه

#درسی_از_دیگران

چرا ایران به چارچوبی مشابه DoD 8140 نیاز دارد؟

یکی از چالش‌های اساسی امنیت سایبری در ایران، نبود یک چارچوب ملی استاندارد برای تعریف نقش‌ها، مهارت‌ها و صلاحیت‌های نیروی انسانی است. در بسیاری از سازمان‌ها، عناوینی مانند SOC Analyst، Threat Hunter، Incident Responder یا Security Architect بدون شرح وظایف، مهارت‌های موردنیاز و معیارهای ارزیابی یکسان به‌کار می‌روند. نتیجه آن، تفاوت چشمگیر در کیفیت نیروها، آموزش‌های پراکنده و دشواری در جذب، ارزیابی و توسعه متخصصان است.

الگویی مشابه DoD 8140 می‌تواند این مشکل را برطرف کند. در چنین مدلی، برای هر نقش امنیتی، وظایف، دانش، مهارت‌ها، تجربه و مسیر آموزشی مشخص می‌شود و استخدام یا ارتقای افراد بر اساس شایستگی واقعی انجام می‌گیرد، نه صرفاً داشتن یک مدرک یا گواهینامه. این رویکرد همچنین به دانشگاه‌ها، مراکز آموزشی، شرکت‌های MSSP، نهادهای حاکمیتی و سازمان‌های بزرگ کمک می‌کند تا زبان مشترکی برای توسعه سرمایه انسانی امنیت سایبری داشته باشند.

برای کشوری که با کمبود نیروی متخصص و تهدیدات پیشرفته سایبری مواجه است، نهادینه‌سازی چنین چارچوبی می‌تواند گامی مهم در افزایش آمادگی ملی، ارتقای کیفیت خدمات امنیتی و شکل‌گیری یک نظام حرفه‌ای و قابل‌ارزیابی برای نیروی کار امنیت سایبری باشد.

#آکادمی_روزبه

تقدیم به شما
https://github.com/meirwah/awesome-incident-response

چرا هنوز بسیاری از سازمان‌ها MSSP را فقط SOC as a Service می‌بینند؟

یکی از رایج‌ترین برداشت‌های نادرست در صنعت امنیت سایبری، همسان دانستن MSSP با SOC as a Service است. این نگاه از زمانی شکل گرفت که خدمات امنیتی عمدتاً به مانیتورینگ لاگ، تولید هشدار و پاسخ اولیه به رخداد محدود بود. در حالی که SOC تنها یکی از اجزای یک MSSP بالغ است.

امروزه ارزش واقعی یک MSSP در ارائه چرخه کامل امنیت نهفته است؛ از مشاوره و طراحی معماری امنیت، مدیریت آسیب‌پذیری و مقاوم‌سازی زیرساخت‌ها گرفته تا پیاده‌سازی و مدیریت EDR/XDR، امنیت ابری، Threat Hunting، Detection Engineering، پاسخ به رخداد، دیجیتال فارنزیک و ارتقای آمادگی سایبری سازمان.

اگر تنها معیار ارزیابی، تعداد Alertهای بررسی‌شده باشد، نقش راهبردی MSSP نادیده گرفته می‌شود. مأموریت اصلی یک MSSP کاهش ریسک کسب‌وکار، افزایش تاب‌آوری سایبری و حفظ تداوم خدمات است. سازمان‌ها امروز بیش از آنکه به یک مرکز مانیتورینگ نیاز داشته باشند، به یک شریک امنیتی نیاز دارند که بتواند امنیت را به مزیت رقابتی و اعتماد دیجیتال تبدیل کند.

#MSSP #SOC #DetectionEngineering #ThreatHunting #هامون

از سلسله مقالات من درباره فضای سایبری بانکی ایران

بخش اول: ریسک ژئوپلیتیک؛ حلقه مفقوده امنیت سایبری بانک‌ها

روزبه نوروزی

در نظام بانکی ایران، ریسک سایبری نباید صرفاً به‌عنوان یک مسئله فنی یا IT دیده شود. بانک‌ها در کشوری با تنش‌های ژئوپلیتیکی بالا، بخشی از زیرساخت حیاتی، اعتماد عمومی و ثبات اقتصادی هستند. بنابراین حمله سایبری علیه بانک، فقط حمله به سرور یا نرم‌افزار نیست؛ حمله به اعتماد اجتماعی و کارکرد اقتصادی کشور است.

اشکال راهبردی اینجاست که ریسک ژئوپلیتیک در بسیاری از تحلیل‌های امنیتی بانک‌ها به‌عنوان یک ورودی رسمی دیده نشده است. پرسش اصلی نباید فقط این باشد که آیا Patch نصب شده یا فایروال فعال است؛ بلکه باید پرسید اگر یک عملیات سایبری هماهنگ علیه چند بانک، شرکت پرداخت یا تأمین‌کننده مشترک انجام شود، آیا خدمات حیاتی ادامه پیدا می‌کند؟

در این نگاه، زنجیره تأمین، شرکت‌های پیمانکار، Core Banking، دیتاسنترها، سوئیچ‌های پرداخت، پیام‌رسانی بین‌بانکی و حتی ارتباطات رسانه‌ای پس از حادثه، همگی بخشی از سطح حمله محسوب می‌شوند. ریسک اصلی فقط نفوذ نیست؛ بلکه اختلال هم‌زمان، فرسایش اعتماد عمومی، تأخیر در بازیابی و سرایت بحران به کل شبکه مالی است.

بنابراین بانک‌ها باید با مدل "فرض بر نفوذ" اداره شوند. رزمایش‌های منظم، سناریوهای جنگ سایبری، پشتیبان‌های ایزوله، پاسخ رسانه‌ای هماهنگ، ارزیابی مستقل امنیتی و مدیریت ریسک تأمین‌کنندگان باید بخشی از حکمرانی بانکی باشد.

امنیت بانکی در چنین محیطی یعنی تاب‌آوری ملی؛ یعنی توان ادامه خدمت، بازیابی سریع و حفظ اعتماد مردم حتی در شرایط بحران.

سرعت مهاجمان از سرعت سازمان‌ها بیشتر است

نمودار حملات Log4Shell (Log4j) نشان می‌دهد که تنها چند ساعت پس از افشای یک آسیب‌پذیری، موج گسترده‌ای از سوءاستفاده آغاز می‌شود؛ از حدود ۴۰ هزار حمله در ۱۲ ساعت نخست تا بیش از ۸۳۰ هزار حمله در کمتر از سه روز. این واقعیت نشان می‌دهد که مهاجمان منتظر انتشار Patch یا تصمیم‌گیری سازمان‌ها نمی‌مانند.

در چنین شرایطی، نقش یک MSSP بسیار فراتر از مانیتورینگ SOC است. یک MSSP بالغ باید بلافاصله دارایی‌های آسیب‌پذیر را شناسایی کند، Ruleهای تشخیص را در SIEM، EDR و NDR به‌روزرسانی نماید، از Threat Intelligence برای پایش تهدیدها استفاده کند، Threat Hunting فعال انجام دهد، Patchها را بر اساس ریسک اولویت‌بندی کند و به‌صورت 24×7 رخدادها را پایش و مدیریت کند.

در این رویکرد، شرکت هامون تنها ارائه‌دهنده SOC نیست، بلکه شریک امنیتی سازمان است که فاصله بین افشای آسیب‌پذیری و اجرای اقدامات دفاعی را به حداقل می‌رساند. ارزش واقعی یک MSSP در تبدیل سریع اطلاعات تهدید به اقدامات عملی و کاهش ریسک پیش از موفقیت مهاجم است.

#MSSP #هامون

بنا به درخواست سازمان‌ها و علاقمندان

این بار با یک دوره جدید از دوره های روز جهان

واتس اپ و بله 09902858290

دوره Detection Engineering

سرفصل :

1. مبانی Threat Detection Engineering

2. رفتارشناسی مهاجمان و MITRE ATT&CK

3. بحثTelemetry و منابع داده امنیتی

4. طراحی Detectionهای رفتاری (Behavior-Based Detection)


5.مقوله Detection as Code و مدیریت Ruleها

6. بحث Correlation، Enrichment و Risk-Based Detection

7. اعتبارسنجی Detectionها (Detection Validation)

8. انجام Threat Hunting و توسعه Detection

9. بهینه‌سازی Detection و کاهش False Positive

10. معماری، بلوغ و راهبری Detection Engineering در SOC

**پکیج دوره شامل تعدادی آزمایشگاه عملی است که شما را برای ایفای نقش بعنوان مهندس تشخیص آماده می‌کند.


این دوره برای تحلیلگران SOC سطح متوسط تا پیشرفته و افرادی که قصد ورود به نقش Detection Engineer را دارند، مناسب است.

✅️چرا این رشته اهمیت پیدا کرده است؟
در SOCهای سنتی، تمرکز بر پاسخ به Alert بود؛ اما در SOCهای مدرن، سؤال اصلی این است:
چه کسی Alertها را طراحی می‌کند؟
این مسئولیت بر عهده Detection Engineer است. او تعیین می‌کند چه داده‌ای جمع‌آوری شود، چه رفتارهایی شناسایی شوند، چگونه False Positive کاهش یابد و چگونه پوشش تشخیص (Detection Coverage) در برابر تکنیک‌های MITRE ATT&CK سنجیده شود.

ثبت نام شخصی و سازمانی از طریق بله و واتس اپ 09902857290 شرکت هامون و آکادمی روزبه

آشنایی با مهندس کشف؛ از Rule نویسی تا معماری قابلیت تشخیص

شغلی با تقاضای جهانی

نقش Detection Engineer در دنیا بسیار پرتقاضا شده، اما هنوز نسبت به نقش‌هایی مثل SOC Analyst یا Penetration Tester کمتر شناخته‌شده است. دلیل رشد آن روشن است: سازمان‌ها فهمیده‌اند داشتن SIEM، EDR یا XDR به‌تنهایی کافی نیست؛ باید کسی باشد که داده‌ها، تهدیدها، رفتار مهاجم و منطق کشف را به هم وصل کند.

این نقش به‌صورت جدی از حدود دهه ۲۰۱۰ و با رشد SIEM، MITRE ATT&CK، Threat Hunting و Detection-as-Code شکل گرفت، اما از حدود ۲۰۲۰ به بعد به یک عنوان شغلی مستقل تبدیل شد. امروز شرکت‌هایی مثل Splunk، Elastic و بسیاری از SOCهای پیشرفته، Detection Engineering را یک قابلیت کلیدی در عملیات امنیت می‌دانند. Splunk آن را فرایند طراحی، ساخت و تنظیم منطق کشف تهدید تعریف می‌کند و SANS نیز در سال‌های اخیر گزارش‌های اختصاصی درباره بلوغ این حوزه منتشر کرده است.

تقاضای جهانی این نقش بالاست، چون حملات مدرن دیگر با Alertهای آماده کشف نمی‌شوند. بازار به افرادی نیاز دارد که بتوانند Telemetry مناسب طراحی کنند، شکاف‌های Visibility را پیدا کنند، Ruleهای دقیق بسازند، False Positive را کاهش دهند و کشف را به رفتار واقعی مهاجم متصل کنند. حتی آگهی‌های شغلی جدید Detection Engineer را مسئول ساخت Detection Pipeline، بهبود کیفیت داده و تولید کشف‌های قابل اعتماد می‌دانند.

به بیان ساده، مهندس کشف از دل SOC، Threat Hunting و SIEM Engineering متولد شد؛ اما امروز خودش یک تخصص مستقل است. آینده SOC متعلق به کسانی است که فقط Alert نمی‌بینند، بلکه قابلیت دیدن تهدید را طراحی می‌کنند.

✅مهندسی کشف را برای اولین بار در ایران در آکادمی روزبه بیاموزید

اطلاعیه دوره مهندسی کشف که منتشر شد، دوستان زیادی در مورد این درس و رشته اظهار بی اطلاعی میکردند .

با توجه به جدید بودن رشته و نیاز ایران ، تصمیم گرفتم با ذکر مثال این گرایش رو توضیح بدم و تفاوت نقش اون رو هم با لایه های نقش ها ( لایه ۱ تا ۳) در SOC شرح بدم

امیدوارم در این زمانه ی اسکرول!! آنقدر فرصت داشته باشید که مقاله که بسیار جامع نوشته شده رو به دقت در لینک زیر بخونید
https://vrgl.ir/fJfJG

**پی نوشت: منظور از مهندسی کشف یا مهندسی تشخیص ، Threat Detection Engineering است

بدلیل شرایط در این هفته ، کلاس CISSP از پنج شنبه آینده شروع میشود

اگر تعداد پستهایم در این تعطیلات کم است ،درگیر به روزرسانی متریال های دوره جدید CISSP هستم .
انشالله پنج شنبه آینده با یک دوره و کلاس به روز شروع خواهیم کرد .

CISSP with updated content for Iranian aroud the world .

#فقط_با_علم رشد خواهیم کرد

چرا CISSP فقط یک دوره مدیریتی نیست؟

بسیاری از متخصصان فنی تصور می‌کنند CISSP دوره‌ای برای مدیران است و ارتباط چندانی با کارهای عملیاتی ندارد. اما تجربه ۱۶ سال تدریس این دوره و برگزاری ۸۰ دوره آموزشی، چیز دیگری را به من نشان داده است.

بزرگ‌ترین دستاورد CISSP افزایش حجم دانش نیست؛ بلکه تغییر شیوه تفکر است.
یک مهندس امنیت معمولاً روی ابزار، فناوری و حل یک مسئله فنی تمرکز می‌کند؛ اما CISSP به او می‌آموزد که هر فناوری را در بستر معماری کلان سازمان ببیند. بعد از این دوره، Firewall، EDR، SIEM، IAM یا Cloud دیگر ابزارهای جداگانه نیستند، بلکه اجزای یک سامانه یکپارچه برای مدیریت ریسک هستند.

دوره CISSP به شما یاد می‌دهد به‌جای اینکه فقط بپرسید چگونه این حمله را متوقف کنم؟، این سؤال را مطرح کنید که چرا معماری، فرآیند یا تصمیم‌های سازمانی اجازه وقوع این حمله را داده‌اند؟ این تغییر نگاه، همان چیزی است که یک کارشناس فنی را به یک معمار، مشاور یا رهبر امنیت تبدیل می‌کند.

✅به همین دلیل، اگر قصد دارید سال‌ها در امنیت سایبری رشد کنید، مهم‌ترین سرمایه‌ای که از CISSP به دست می‌آورید یک مدرک نیست؛ یک مدل ذهنی جدید برای تحلیل، تصمیم‌گیری و طراحی امنیت در مقیاس سازمانی است.