آیا مشاهده Sysmon Event ID 8 به‌تنهایی اثبات Process Injection است؟
خیر. مشاهده Sysmon Event ID 8 (CreateRemoteThread) نشانه‌ای مهم از رفتار مرتبط با Process Injection است، اما به‌تنهایی نمی‌تواند اثبات کند که تزریق مخرب رخ داده است.
رویداد Event ID 8 زمانی ایجاد می‌شود که یک Process، Thread جدیدی را در فضای Process دیگری ایجاد کند. این تکنیک می‌تواند توسط بدافزارها برای اجرای کد در بستر پردازشی دیگر استفاده شود، اما برخی نرم‌افزارهای قانونی نیز ممکن است رفتار مشابهی داشته باشند. بنابراین در SOC باید آن را یک Signal بدانیم، نه یک Verdict.
نبودن Event ID 10 (Process Access) نیز الزاماً Event 8 را بی‌اعتبار نمی‌کند. Event ID 10 وابسته به پیکربندی Sysmon و Filtering است و ممکن است دسترسی موردنظر ثبت نشده یا توسط Ruleهای پیکربندی حذف شده باشد. همچنین تله‌متری امنیتی همیشه تصویر کاملی از تمام مراحل یک رفتار ارائه نمی‌دهد.
تحلیلگر بهتر است به جای جست‌وجوی یک Event خاص، زنجیره شواهد را بررسی کند. برای مثال:
اگر Event 10 وجود ندارد، باید سایر شواهد Event 8 بررسی شوند:
بنابراین Event ID 8 بدون Event ID 10 همچنان می‌تواند یک سرنخ بسیار مهم برای Process Injection باشد، اما نتیجه‌گیری نهایی باید بر اساس Context و Correlation انجام شود.
این دقیقاً یکی از اصول مهم Detection Engineering است:
یک Event به ما می‌گوید «چه اتفاقی افتاده»؛ اما مجموعه‌ای از Eventها و Context به ما کمک می‌کند بفهمیم «چرا اتفاق افتاده و آیا مخرب بوده است».
دوره SOC آکادمی روزبه و شرکت هامون
خیر. مشاهده Sysmon Event ID 8 (CreateRemoteThread) نشانه‌ای مهم از رفتار مرتبط با Process Injection است، اما به‌تنهایی نمی‌تواند اثبات کند که تزریق مخرب رخ داده است.
رویداد Event ID 8 زمانی ایجاد می‌شود که یک Process، Thread جدیدی را در فضای Process دیگری ایجاد کند. این تکنیک می‌تواند توسط بدافزارها برای اجرای کد در بستر پردازشی دیگر استفاده شود، اما برخی نرم‌افزارهای قانونی نیز ممکن است رفتار مشابهی داشته باشند. بنابراین در SOC باید آن را یک Signal بدانیم، نه یک Verdict.
نبودن Event ID 10 (Process Access) نیز الزاماً Event 8 را بی‌اعتبار نمی‌کند. Event ID 10 وابسته به پیکربندی Sysmon و Filtering است و ممکن است دسترسی موردنظر ثبت نشده یا توسط Ruleهای پیکربندی حذف شده باشد. همچنین تله‌متری امنیتی همیشه تصویر کاملی از تمام مراحل یک رفتار ارائه نمی‌دهد.
تحلیلگر بهتر است به جای جست‌وجوی یک Event خاص، زنجیره شواهد را بررسی کند. برای مثال:
Event 1 → Event 10 → Event 8 → Network Activityاگر Event 10 وجود ندارد، باید سایر شواهد Event 8 بررسی شوند:
SourceImage و TargetImage چه هستند؟ آیا Source Process از مسیر مشکوکی مانند Temp اجرا شده؟ StartAddress به کجا اشاره می‌کند؟ آیا StartModule یا StartFunction ناشناخته است؟ پس از ایجاد Thread، آیا Target Process رفتار شبکه‌ای یا فایل‌سیستمی غیرعادی نشان داده است؟بنابراین Event ID 8 بدون Event ID 10 همچنان می‌تواند یک سرنخ بسیار مهم برای Process Injection باشد، اما نتیجه‌گیری نهایی باید بر اساس Context و Correlation انجام شود.
این دقیقاً یکی از اصول مهم Detection Engineering است:
یک Event به ما می‌گوید «چه اتفاقی افتاده»؛ اما مجموعه‌ای از Eventها و Context به ما کمک می‌کند بفهمیم «چرا اتفاق افتاده و آیا مخرب بوده است».
دوره SOC آکادمی روزبه و شرکت هامون
❤6💯1
ماتریس CLOAK Matrix؛ وقتی مهاجم تلاش می‌کند دیده نشود
با تشکر از اشتراک گذاری جناب حمید مولایی
ماتریس CLOAK Matrix یک چارچوب دانشی برای شناخت تکنیک‌های OPSEC و پنهان‌سازی مهاجمان سایبری است. اگر MITRE ATT&CK توضیح می‌دهد مهاجم برای نفوذ، حرکت جانبی، ماندگاری یا کنترل سیستم‌ها «چه کاری انجام می‌دهد»، CLOAK بیشتر بر این تمرکز دارد که مهاجم چگونه هویت، موقعیت، زیرساخت و ردپای خود را مخفی می‌کند.
در این چارچوب تکنیک‌هایی مانند استفاده از Tor و VPN، Anonymous Hosting، Domain Fronting، Infrastructure Rotation، حذف Metadata، Anti-Forensics، پاک‌سازی ردپا، استفاده از هویت‌های مجزا و Compartmentalization بررسی می‌شوند.
اهمیت CLOAK برای تیم‌های SOC و Threat Hunting در این است که تحلیلگر فقط به دنبال خود حمله نباشد، بلکه رفتارهایی را نیز جست‌وجو کند که برای کاهش قابلیت ردیابی و Attribution طراحی شده‌اند.
بنابراین ترکیب MITRE ATT&CK + CLOAK دید کامل‌تری ایجاد می‌کند: ATT&CK رفتار عملیاتی مهاجم را نشان می‌دهد و CLOAK لایه پنهان‌سازی آن رفتار را آشکار می‌کند. برای Detection Engineering، این نگاه می‌تواند زمینه طراحی Detectionهای متفاوت و پیشرفته‌تری باشد.
https://opsectechniques.com/
با تشکر از اشتراک گذاری جناب حمید مولایی
ماتریس CLOAK Matrix یک چارچوب دانشی برای شناخت تکنیک‌های OPSEC و پنهان‌سازی مهاجمان سایبری است. اگر MITRE ATT&CK توضیح می‌دهد مهاجم برای نفوذ، حرکت جانبی، ماندگاری یا کنترل سیستم‌ها «چه کاری انجام می‌دهد»، CLOAK بیشتر بر این تمرکز دارد که مهاجم چگونه هویت، موقعیت، زیرساخت و ردپای خود را مخفی می‌کند.
در این چارچوب تکنیک‌هایی مانند استفاده از Tor و VPN، Anonymous Hosting، Domain Fronting، Infrastructure Rotation، حذف Metadata، Anti-Forensics، پاک‌سازی ردپا، استفاده از هویت‌های مجزا و Compartmentalization بررسی می‌شوند.
اهمیت CLOAK برای تیم‌های SOC و Threat Hunting در این است که تحلیلگر فقط به دنبال خود حمله نباشد، بلکه رفتارهایی را نیز جست‌وجو کند که برای کاهش قابلیت ردیابی و Attribution طراحی شده‌اند.
بنابراین ترکیب MITRE ATT&CK + CLOAK دید کامل‌تری ایجاد می‌کند: ATT&CK رفتار عملیاتی مهاجم را نشان می‌دهد و CLOAK لایه پنهان‌سازی آن رفتار را آشکار می‌کند. برای Detection Engineering، این نگاه می‌تواند زمینه طراحی Detectionهای متفاوت و پیشرفته‌تری باشد.
https://opsectechniques.com/
🙏3💯1
مقوله SOC as a Service؛ وقتی مرکز عملیات امنیت تبدیل به «سرویس» می‌شود
بحث SOC as a Service (SOCaaS) مدلی است که در آن سازمان به‌جای ساخت و اداره کامل یک Security Operations Center در داخل مجموعه، بخشی یا تمام قابلیت‌های SOC را از یک ارائه‌دهنده تخصصی دریافت می‌کند.
در این مدل، موضوع صرفاً خرید SIEM یا مانیتورینگ چند داشبورد نیست؛ بلکه مجموعه‌ای از People + Process + Technology به‌صورت یک سرویس مستمر ارائه می‌شود.
یک SOCaaS بالغ معمولاً شامل جمع‌آوری و پایش Log و Telemetry، مدیریت SIEM، تحلیل Alert، Triage توسط L1، تحلیل عمیق‌تر توسط L2/L3، Threat Intelligence، Detection Engineering، Threat Hunting، مدیریت Use Caseها، گزارش‌دهی و Escalation است.
بسته به قرارداد، Incident Response نیز می‌تواند بخشی از سرویس باشد.
مزیت مهم SOCaaS، دسترسی سازمان به تیم متخصص بدون نیاز به ایجاد کامل یک SOC داخلی 24×7 است. هزینه جذب و نگهداری Analyst، Detection Engineer و Threat Hunter کاهش می‌یابد و ارائه‌دهنده می‌تواند تجربه حاصل از مشاهده محیط‌های متعدد را وارد عملیات کند.
اما SOCaaS مساوی برون‌سپاری مسئولیت امنیت نیست. مالکیت Risk، تصمیمات حساس، پذیرش ریسک و Governance همچنان باید در سازمان باقی بماند. همچنین SLA، زمان تشخیص و Escalation، مالکیت داده، سطح دسترسی ارائه‌دهنده، Data Retention، محرمانگی و نحوه خروج از قرارداد باید دقیقاً مشخص شوند.
از نظر معماری نیز SOCaaS الزاماً Cloud SOC نیست. SIEM و داده‌ها می‌توانند کاملاً On-Premise نزد مشتری باقی بمانند، در حالی که تیم MSSP از راه دور عملیات SOC را انجام دهد.
بهترین نگاه به SOCaaS این است:
ما «SOC ایجاد نمیکنیم ؛ قابلیت مستمر کشف، تحلیل و مدیریت تهدید را به‌عنوان سرویس دریافت می‌کنیم.»
برای دریافت این سرویس با شرکت #هامون تماس حاصل فرمایید
Www.haumoun.com
#SOCaaS #SOC #MSSP #SIEM #DetectionEngineering #ThreatHunting #CyberSecurity #SecurityOperations #IncidentDetection #BlueTeam
بحث SOC as a Service (SOCaaS) مدلی است که در آن سازمان به‌جای ساخت و اداره کامل یک Security Operations Center در داخل مجموعه، بخشی یا تمام قابلیت‌های SOC را از یک ارائه‌دهنده تخصصی دریافت می‌کند.
در این مدل، موضوع صرفاً خرید SIEM یا مانیتورینگ چند داشبورد نیست؛ بلکه مجموعه‌ای از People + Process + Technology به‌صورت یک سرویس مستمر ارائه می‌شود.
یک SOCaaS بالغ معمولاً شامل جمع‌آوری و پایش Log و Telemetry، مدیریت SIEM، تحلیل Alert، Triage توسط L1، تحلیل عمیق‌تر توسط L2/L3، Threat Intelligence، Detection Engineering، Threat Hunting، مدیریت Use Caseها، گزارش‌دهی و Escalation است.
بسته به قرارداد، Incident Response نیز می‌تواند بخشی از سرویس باشد.
مزیت مهم SOCaaS، دسترسی سازمان به تیم متخصص بدون نیاز به ایجاد کامل یک SOC داخلی 24×7 است. هزینه جذب و نگهداری Analyst، Detection Engineer و Threat Hunter کاهش می‌یابد و ارائه‌دهنده می‌تواند تجربه حاصل از مشاهده محیط‌های متعدد را وارد عملیات کند.
اما SOCaaS مساوی برون‌سپاری مسئولیت امنیت نیست. مالکیت Risk، تصمیمات حساس، پذیرش ریسک و Governance همچنان باید در سازمان باقی بماند. همچنین SLA، زمان تشخیص و Escalation، مالکیت داده، سطح دسترسی ارائه‌دهنده، Data Retention، محرمانگی و نحوه خروج از قرارداد باید دقیقاً مشخص شوند.
از نظر معماری نیز SOCaaS الزاماً Cloud SOC نیست. SIEM و داده‌ها می‌توانند کاملاً On-Premise نزد مشتری باقی بمانند، در حالی که تیم MSSP از راه دور عملیات SOC را انجام دهد.
بهترین نگاه به SOCaaS این است:
ما «SOC ایجاد نمیکنیم ؛ قابلیت مستمر کشف، تحلیل و مدیریت تهدید را به‌عنوان سرویس دریافت می‌کنیم.»
برای دریافت این سرویس با شرکت #هامون تماس حاصل فرمایید
Www.haumoun.com
#SOCaaS #SOC #MSSP #SIEM #DetectionEngineering #ThreatHunting #CyberSecurity #SecurityOperations #IncidentDetection #BlueTeam
👏6🙏1💯1
❤5👍4
این هفته در کلاس CISSP یکی از دانشجویان پیشنهاد کرد که دوره ISSAP را برگزار کنم.
این دوره در حوزه معماری و طراحی ارشد امنیت است و جزو سه مدرک برتر تخصصی بعد از CISSP است.
شایان ذکر است تا کنون فقط ISSMP در حوزه مدیریت ارشد امنیت یکبار توسط من برگزار شده است.
فارغ از اینکه درس ISSAP بسیار تخصصی و مفهومی است ، شناخت از آن در ایران بسیار پایین است. لذا فکر نمی‌کنم استقبال چندانی از این کلاس ارزشمند در ایران بشود. خصوصا در جامعه ای که با حجم بالای مهاجرت نخبگان مواجه است و متخصصان باقی مانده درگیر تورم لجام گسیخته به دنبال افزایش حقوق فعلی خود هستند.
باز با خودم فکر کردم که یک نظر سنجی بگذارم
اینکه بازخوردتون رو با من در میان می‌گذارید بسیار سپاسگذارم .
#آکادمی_روزبه #هامون👇👇
این دوره در حوزه معماری و طراحی ارشد امنیت است و جزو سه مدرک برتر تخصصی بعد از CISSP است.
شایان ذکر است تا کنون فقط ISSMP در حوزه مدیریت ارشد امنیت یکبار توسط من برگزار شده است.
فارغ از اینکه درس ISSAP بسیار تخصصی و مفهومی است ، شناخت از آن در ایران بسیار پایین است. لذا فکر نمی‌کنم استقبال چندانی از این کلاس ارزشمند در ایران بشود. خصوصا در جامعه ای که با حجم بالای مهاجرت نخبگان مواجه است و متخصصان باقی مانده درگیر تورم لجام گسیخته به دنبال افزایش حقوق فعلی خود هستند.
باز با خودم فکر کردم که یک نظر سنجی بگذارم
اینکه بازخوردتون رو با من در میان می‌گذارید بسیار سپاسگذارم .
#آکادمی_روزبه #هامون👇👇
👏4💯1
آکادمی آموزش روزبه 📚
این هفته در کلاس CISSP یکی از دانشجویان پیشنهاد کرد که دوره ISSAP را برگزار کنم. این دوره در حوزه معماری و طراحی ارشد امنیت است و جزو سه مدرک برتر تخصصی بعد از CISSP است. شایان ذکر است تا کنون فقط ISSMP در حوزه مدیریت ارشد امنیت یکبار توسط من برگزار شده…
Please open Telegram to view this post
VIEW IN TELEGRAM
برداشتی از مقاله Pavel Yosifovich، از نویسندگان Windows Internals
وقتی آنتی‌ویروس یا EDR می‌خواهد فعالیت‌های مشکوک را تشخیص دهد، باید بداند داخل ویندوز چه اتفاقی می‌افتد؛ مثلاً چه برنامه‌ای اجرا شده یا چه فایلی تغییر کرده است. بخشی از این اطلاعات در کرنل، یعنی هستهٔ ویندوز قرار دارد.
محصولات امنیتی معمولاً برای دسترسی به این اطلاعات، درایور خود را داخل کرنل اجرا می‌کنند. مشکل اینجاست که خطای یک درایور می‌تواند کل ویندوز را متوقف کند و صفحهٔ آبی ایجاد شود؛ همان خطری که حادثهٔ CrowdStrike اهمیت آن را نشان داد.
این مقاله، درایور جدید مایکروسافت به نام WESP را در یک نسخهٔ آزمایشی ویندوز بررسی می‌کند. ایده این است که یک مؤلفهٔ مایکروسافتی، اطلاعات امنیتی را از کرنل جمع‌آوری کند و به برنامه‌های امنیتی بیرون از کرنل برساند. این کار می‌تواند احتمال خرابی ویندوز بر اثر خطای محصولات امنیتی را کاهش دهد.
نویسنده می‌پرسد: «این درایور چگونه اطلاعات را به برنامه‌ها می‌رساند؟» او بدون بررسی پیچیدهٔ کد، رجیستری، اشیای ویندوز و توابع استفاده‌شده در فایل‌ها را بررسی می‌کند. نتیجه این است که ارتباط از طریق Filter Communication Port انجام می‌شود؛ مثل یک کانال پیام‌رسانی میان هستهٔ ویندوز و برنامهٔ امنیتی.
درس اصلی مقاله این است: برای فهمیدن عملکرد یک درایور، همیشه لازم نیست از خواندن کد شروع کنیم؛ سرنخ‌های اطراف آن هم اطلاعات ارزشمندی دارند.
https://trainsec.net/library/windows-kernel/basic-reversing-of-a-windows-kernel-driver-how-wesp-talks-to-user-mode/
وقتی آنتی‌ویروس یا EDR می‌خواهد فعالیت‌های مشکوک را تشخیص دهد، باید بداند داخل ویندوز چه اتفاقی می‌افتد؛ مثلاً چه برنامه‌ای اجرا شده یا چه فایلی تغییر کرده است. بخشی از این اطلاعات در کرنل، یعنی هستهٔ ویندوز قرار دارد.
محصولات امنیتی معمولاً برای دسترسی به این اطلاعات، درایور خود را داخل کرنل اجرا می‌کنند. مشکل اینجاست که خطای یک درایور می‌تواند کل ویندوز را متوقف کند و صفحهٔ آبی ایجاد شود؛ همان خطری که حادثهٔ CrowdStrike اهمیت آن را نشان داد.
این مقاله، درایور جدید مایکروسافت به نام WESP را در یک نسخهٔ آزمایشی ویندوز بررسی می‌کند. ایده این است که یک مؤلفهٔ مایکروسافتی، اطلاعات امنیتی را از کرنل جمع‌آوری کند و به برنامه‌های امنیتی بیرون از کرنل برساند. این کار می‌تواند احتمال خرابی ویندوز بر اثر خطای محصولات امنیتی را کاهش دهد.
نویسنده می‌پرسد: «این درایور چگونه اطلاعات را به برنامه‌ها می‌رساند؟» او بدون بررسی پیچیدهٔ کد، رجیستری، اشیای ویندوز و توابع استفاده‌شده در فایل‌ها را بررسی می‌کند. نتیجه این است که ارتباط از طریق Filter Communication Port انجام می‌شود؛ مثل یک کانال پیام‌رسانی میان هستهٔ ویندوز و برنامهٔ امنیتی.
درس اصلی مقاله این است: برای فهمیدن عملکرد یک درایور، همیشه لازم نیست از خواندن کد شروع کنیم؛ سرنخ‌های اطراف آن هم اطلاعات ارزشمندی دارند.
https://trainsec.net/library/windows-kernel/basic-reversing-of-a-windows-kernel-driver-how-wesp-talks-to-user-mode/
TrainSec - CyberSecurity online training
Basic Reversing of a Windows Kernel Driver: How WESP Talks to User Mode » TrainSec
Pavel Yosifovich reverses the new WESP driver with the registry, WinObj, !drvobj and PE imports, and finds a filter communication port instead of devices.
🔥5❤1
آکادمی آموزش روزبه 📚
🕹دورهISSAP برای اولین بار در ایران
آشنایی با ISSAP: اصول معماری امنیت و طرز فکر حرفه‌ای
قسمت اول
معماری امنیت، مجموعه‌ای از ابزارها، نمودارها یا فهرست کنترل‌ها نیست؛ بلکه رشته‌ای مبتنی بر تصمیم‌گیری ساختاریافته است که مشخص می‌کند قابلیت‌های امنیتی چگونه به‌صورت هدفمند طراحی شوند، با اهداف سازمان هم‌راستا گردند، تحت حاکمیت قرار گیرند و در سراسر سازمان پایدار بمانند.
در سطح ISSAP، معمار دیگر صرفاً مسائل فنیِ جدا از یکدیگر را حل نمی‌کند؛ بلکه سیستم‌هایی را شکل می‌دهد که باید در برابر تغییرات دوام بیاورند، از اهداف کسب‌وکار پشتیبانی کنند، در مقابل تهدیدها مقاومت داشته باشند و در گذر زمان قابل راهبری و کنترل باقی بمانند. این فصل، مبانی مفهومی لازم برای اندیشیدن و فعالیت‌کردن به‌عنوان یک معمار امنیت حرفه‌ای را ارائه می‌کند.
معماری امنیت به‌عنوان یک رشته حرفه‌ای
معماری امنیت سازمانی در محل تلاقی راهبرد کسب‌وکار، مدیریت ریسک و پیاده‌سازی فنی قرار دارد. برخلاف نقش‌های عملیاتی امنیت که بر پیکربندی یا مدیریت کنترل‌ها تمرکز دارند، معماری امنیت ابتدا مشخص می‌کند امنیت باید به چه اهدافی برسد و چرا؛ سپس تعیین می‌کند این اهداف چگونه محقق شوند.
مسئولیت معمار، تبدیل الزامات انتزاعی مانند محرمانگی، یکپارچگی، دسترس‌پذیری، تاب‌آوری، انطباق و اعتماد به ساختارهای معماری منسجمی است که پیاده‌سازی هماهنگ را هدایت کنند.
معماری امنیت به‌عنوان یک رشته، بر هدف و منطق طراحی بیش از سازوکار اجرا تأکید می‌کند. فایروال‌ها، رمزنگاری، سامانه‌های هویت و سکوهای پایش، اجزای پیاده‌سازی هستند؛ معماری، روابط، مرزها، محدودیت‌ها و منطق تصمیم‌گیری را تعریف می‌کند که مشخص می‌سازند این اجزا چگونه در کنار یکدیگر عمل کنند.
بدون معماری، امنیت واکنشی و پراکنده می‌شود. با معماری، امنیت هدفمند، تکرارپذیر و قابل دفاع خواهد بود.
معماری امنیت همچنین نگاهی بلندمدت دارد. تصمیم‌هایی که در سطح معماری گرفته می‌شوند، بر سال‌ها تحول سیستم، انباشت بدهی فنی و میزان مواجهه با ریسک تأثیر می‌گذارند. به همین دلیل، این رشته به‌جای بهینه‌سازی کوتاه‌مدت، پایداری، سازگاری با تغییر و حاکمیت را در اولویت قرار می‌دهد
✨️اولین دوره ISSAP در ایران✨️
دوره معماری ارشد امنیت اطلاعات
#آکادمی_روزبه 09902857290 ثبت نام
#هامون
قسمت اول
معماری امنیت، مجموعه‌ای از ابزارها، نمودارها یا فهرست کنترل‌ها نیست؛ بلکه رشته‌ای مبتنی بر تصمیم‌گیری ساختاریافته است که مشخص می‌کند قابلیت‌های امنیتی چگونه به‌صورت هدفمند طراحی شوند، با اهداف سازمان هم‌راستا گردند، تحت حاکمیت قرار گیرند و در سراسر سازمان پایدار بمانند.
در سطح ISSAP، معمار دیگر صرفاً مسائل فنیِ جدا از یکدیگر را حل نمی‌کند؛ بلکه سیستم‌هایی را شکل می‌دهد که باید در برابر تغییرات دوام بیاورند، از اهداف کسب‌وکار پشتیبانی کنند، در مقابل تهدیدها مقاومت داشته باشند و در گذر زمان قابل راهبری و کنترل باقی بمانند. این فصل، مبانی مفهومی لازم برای اندیشیدن و فعالیت‌کردن به‌عنوان یک معمار امنیت حرفه‌ای را ارائه می‌کند.
معماری امنیت به‌عنوان یک رشته حرفه‌ای
معماری امنیت سازمانی در محل تلاقی راهبرد کسب‌وکار، مدیریت ریسک و پیاده‌سازی فنی قرار دارد. برخلاف نقش‌های عملیاتی امنیت که بر پیکربندی یا مدیریت کنترل‌ها تمرکز دارند، معماری امنیت ابتدا مشخص می‌کند امنیت باید به چه اهدافی برسد و چرا؛ سپس تعیین می‌کند این اهداف چگونه محقق شوند.
مسئولیت معمار، تبدیل الزامات انتزاعی مانند محرمانگی، یکپارچگی، دسترس‌پذیری، تاب‌آوری، انطباق و اعتماد به ساختارهای معماری منسجمی است که پیاده‌سازی هماهنگ را هدایت کنند.
معماری امنیت به‌عنوان یک رشته، بر هدف و منطق طراحی بیش از سازوکار اجرا تأکید می‌کند. فایروال‌ها، رمزنگاری، سامانه‌های هویت و سکوهای پایش، اجزای پیاده‌سازی هستند؛ معماری، روابط، مرزها، محدودیت‌ها و منطق تصمیم‌گیری را تعریف می‌کند که مشخص می‌سازند این اجزا چگونه در کنار یکدیگر عمل کنند.
بدون معماری، امنیت واکنشی و پراکنده می‌شود. با معماری، امنیت هدفمند، تکرارپذیر و قابل دفاع خواهد بود.
معماری امنیت همچنین نگاهی بلندمدت دارد. تصمیم‌هایی که در سطح معماری گرفته می‌شوند، بر سال‌ها تحول سیستم، انباشت بدهی فنی و میزان مواجهه با ریسک تأثیر می‌گذارند. به همین دلیل، این رشته به‌جای بهینه‌سازی کوتاه‌مدت، پایداری، سازگاری با تغییر و حاکمیت را در اولویت قرار می‌دهد
✨️اولین دوره ISSAP در ایران✨️
دوره معماری ارشد امنیت اطلاعات
#آکادمی_روزبه 09902857290 ثبت نام
#هامون
🔥5⚡3❤1
ویدئوی آموزشی من در صفحه لینکدین شرکت #هامون در مورد دزدی اطلاعات با ابزار های خودمان
https://www.linkedin.com/posts/haumoun_aepaetaeuahyaes-cybersecurity-threatdetection-ugcPost-7512849075617173504-0OcV?utm_source=share&utm_medium=member_android&rcm=ACoAAAoOfTcB5k1E_hg69jDwmxkGWzsBxqx6B9s
https://www.linkedin.com/posts/haumoun_aepaetaeuahyaes-cybersecurity-threatdetection-ugcPost-7512849075617173504-0OcV?utm_source=share&utm_medium=member_android&rcm=ACoAAAoOfTcB5k1E_hg69jDwmxkGWzsBxqx6B9s
LinkedIn
#امنیت #cybersecurity #threatdetection #soc #haumoun_training #شبکه | Haumoun
حمله‌ای که با ابزار خودتان انجام شود، چطور از دید شما پنهان می‌ماند؟
❗️در حملات سایبری، مهاجم همیشه به ابزارهای ناشناخته یا بدافزارهای اختصاصی نیاز ندارد. گاهی همان ابزارهای قانونی و فعال در سیستم می‌توانند به بخشی از مسیر حمله تبدیل شوند، روشی که با عنوان…
❗️در حملات سایبری، مهاجم همیشه به ابزارهای ناشناخته یا بدافزارهای اختصاصی نیاز ندارد. گاهی همان ابزارهای قانونی و فعال در سیستم می‌توانند به بخشی از مسیر حمله تبدیل شوند، روشی که با عنوان…
🔥6
آکادمی آموزش روزبه 📚
برترین های امنیت برای ایرانیان CISSP مدرک عالی امنیت ISSMP مدرک مدیریت ارشد امنیت ISSAP مدرک معمار ارشد امنیت نمره قبولی در آزمون ۱۲ آذر ماه CISSP حداقل ۷۰۰ از ۱۰۰۰ است اسپانسر: شرکت پیشگامان فناوری اطلاعات هامون
👆👆چطور تولید کنندگان معتبر دنیای IT هم با اصول ISSAP فاصله دارند ؟
از منظر معماری امنیت در ISSAP، می‌توان دو انتخاب تاریخی ویندوز را نقد کرد؛ البته ISSAP استاندارد طراحی سیستم‌عامل نیست و تعبیر «مغایرت با اصول معماری امنیت» دقیق‌تر است.
نمونه ای از رفتار مایکروسافت که مغایر متن درسی ISSAP است.
❇️ حفاظت ناکافی از اسرار احراز هویت: در معماری سنتی ویندوز، اسراری مانند هش NTLM و بلیت‌های Kerberos در حافظه فرایند LSASS نگهداری می‌شدند. مهاجمی که دسترسی ممتاز و امکان خواندن این حافظه را کسب می‌کرد، می‌توانست با ابزارهایی مانند Mimikatz اعتبارنامه‌ها را استخراج کند. نقد معماری، صرفاً وجود یک ابزار حمله نیست؛ مسئله این است که تسلط بر محیط اجرایی سیستم‌عامل می‌توانست به تسلط بر اسرار هویتی تبدیل شود. این وضعیت با اصول جداسازی، دفاع در عمق و محدودسازی دامنه اعتماد تناقض دارد. در نسخه های جدید ویندوز ، Credential Guard با جداسازی اسرار منتخب در محیط مبتنی بر مجازی‌سازی، این ضعف را کاهش می‌دهد.
❇️اختیار گسترده سرویس‌ها با LocalSystem: این حساب اختیارات بسیار بالایی دارد؛ بنابراین آسیب‌پذیری یک سرویس تحت آن می‌تواند پیامدی فراتر از همان سرویس ایجاد کند. از نگاه معماری، اجرای کاری محدود با چنین اختیاراتی، اصل حداقل اختیار و مهار دامنه خسارت را تضعیف می‌کند. خود مایکروسافت تصریح می‌کند بیشتر سرویس‌ها به این سطح اختیار نیاز ندارند. البته انتخاب LocalSystem برای سرویس‌های غیرضروری، غالباً تصمیم توسعه‌دهنده یا پیکربندی است؛ وجود این قابلیت به‌تنهایی نقض اصل محسوب نمی‌شود اما مطلبی قابل تامل است .
** مطالبی در باب آشنایی با دوره و مدرک ISSAP
معماری ارشد امنیت اطلاعات
از منظر معماری امنیت در ISSAP، می‌توان دو انتخاب تاریخی ویندوز را نقد کرد؛ البته ISSAP استاندارد طراحی سیستم‌عامل نیست و تعبیر «مغایرت با اصول معماری امنیت» دقیق‌تر است.
نمونه ای از رفتار مایکروسافت که مغایر متن درسی ISSAP است.
❇️ حفاظت ناکافی از اسرار احراز هویت: در معماری سنتی ویندوز، اسراری مانند هش NTLM و بلیت‌های Kerberos در حافظه فرایند LSASS نگهداری می‌شدند. مهاجمی که دسترسی ممتاز و امکان خواندن این حافظه را کسب می‌کرد، می‌توانست با ابزارهایی مانند Mimikatz اعتبارنامه‌ها را استخراج کند. نقد معماری، صرفاً وجود یک ابزار حمله نیست؛ مسئله این است که تسلط بر محیط اجرایی سیستم‌عامل می‌توانست به تسلط بر اسرار هویتی تبدیل شود. این وضعیت با اصول جداسازی، دفاع در عمق و محدودسازی دامنه اعتماد تناقض دارد. در نسخه های جدید ویندوز ، Credential Guard با جداسازی اسرار منتخب در محیط مبتنی بر مجازی‌سازی، این ضعف را کاهش می‌دهد.
❇️اختیار گسترده سرویس‌ها با LocalSystem: این حساب اختیارات بسیار بالایی دارد؛ بنابراین آسیب‌پذیری یک سرویس تحت آن می‌تواند پیامدی فراتر از همان سرویس ایجاد کند. از نگاه معماری، اجرای کاری محدود با چنین اختیاراتی، اصل حداقل اختیار و مهار دامنه خسارت را تضعیف می‌کند. خود مایکروسافت تصریح می‌کند بیشتر سرویس‌ها به این سطح اختیار نیاز ندارند. البته انتخاب LocalSystem برای سرویس‌های غیرضروری، غالباً تصمیم توسعه‌دهنده یا پیکربندی است؛ وجود این قابلیت به‌تنهایی نقض اصل محسوب نمی‌شود اما مطلبی قابل تامل است .
** مطالبی در باب آشنایی با دوره و مدرک ISSAP
معماری ارشد امنیت اطلاعات
💯4
دوره های درحال ثبت نام آکادمی روزبه و شرکت هامون
1⃣مبانی فناوری و امنیت
با مروری بر دوره های زیر
Security+
MCSA
LPIC1
CCNA
CEH
2️⃣دوره مدیریت و راهبری اسپلانک و ES
با تمرکز بر نصب کلاستر ، کوئری های پیشرفته و ES
3️⃣دوره معماری ارشد امنیت ISSAP
4️⃣دوره مدیریت ارشد امنیت؛ CISO سرفصل ISSMP
5️⃣دوره مدرک عالی امنیت CISSP
✅ثبت نام و اطلاع بیشتر از طریق واتس اپ 09902857290
Www.haumoun.com
1⃣مبانی فناوری و امنیت
با مروری بر دوره های زیر
Security+
MCSA
LPIC1
CCNA
CEH
2️⃣دوره مدیریت و راهبری اسپلانک و ES
با تمرکز بر نصب کلاستر ، کوئری های پیشرفته و ES
3️⃣دوره معماری ارشد امنیت ISSAP
4️⃣دوره مدیریت ارشد امنیت؛ CISO سرفصل ISSMP
5️⃣دوره مدرک عالی امنیت CISSP
✅ثبت نام و اطلاع بیشتر از طریق واتس اپ 09902857290
Www.haumoun.com
❤5👏2
ویدئوی من از BITS در صفحه شرکت هامون
https://www.linkedin.com/posts/haumoun_aepaetaeuahyaes-cybersecurity-threatdetection-activity-7512849219372843008-rsyJ?utm_source=share&utm_medium=member_android&rcm=ACoAAAoOfTcB5k1E_hg69jDwmxkGWzsBxqx6B9s
https://www.linkedin.com/posts/haumoun_aepaetaeuahyaes-cybersecurity-threatdetection-activity-7512849219372843008-rsyJ?utm_source=share&utm_medium=member_android&rcm=ACoAAAoOfTcB5k1E_hg69jDwmxkGWzsBxqx6B9s
LinkedIn
#امنیت #cybersecurity #threatdetection #soc #haumoun_training #شبکه | Haumoun
حمله‌ای که با ابزار خودتان انجام شود، چطور از دید شما پنهان می‌ماند؟
❗️در حملات سایبری، مهاجم همیشه به ابزارهای ناشناخته یا بدافزارهای اختصاصی نیاز ندارد. گاهی همان ابزارهای قانونی و فعال در سیستم می‌توانند به بخشی از مسیر حمله تبدیل شوند، روشی که با عنوان…
❗️در حملات سایبری، مهاجم همیشه به ابزارهای ناشناخته یا بدافزارهای اختصاصی نیاز ندارد. گاهی همان ابزارهای قانونی و فعال در سیستم می‌توانند به بخشی از مسیر حمله تبدیل شوند، روشی که با عنوان…
🔥3💯2
حرفه ای آموزش ببینید
در آزمونهای رسمی جهانی قبول شوید
#نمونه ای از ۱۸ قبولی آکادمی روزبه تا کنون در آزمون رسمی CISSP
در آزمونهای رسمی جهانی قبول شوید
#نمونه ای از ۱۸ قبولی آکادمی روزبه تا کنون در آزمون رسمی CISSP
❤3👏3