🔅نگاهی به عملکرد EDR: بخش چهارم
✅️مقایسه تلمتری EDR ها و نگاهی به سیسمون


کلیت EDR به سه قسمت از نظر من تقسیم میشود:

تلمتری ( همان شناسایی رفتار های سیستم )
ماژول همبسته سازی رفتار ها ( که هم رول داره هم هوش مصنوعی )
ماژول واکنش

تمام EDR ها خصوصیات مشابهی در سه دسته فوق ارائه نمی‌کنند یعنی در هر دسته یکسری خصوصیات ارائه می‌کنند . مثلا در ماژول همبسته سازی برخی از برخی دیگر قوی تر هستند .

اما اگر فقط بحث در خصوص تلمتری هست که اون رفتارها رو از سیستم بکشیم بیرون و دوتا ماژول دیگه رو کاری نداشته باشیم ؛ حتما باید تلمتری بره توی SIEM بررسی بشه و بله اونوقت میشه درمورد مقایسه EDR وچیزهایی چون سیسمون صحبت کرد .ولی در حالت معمول EDR فراتر از سیسمون هست و تنهایی دو کار بزرگتر انجام میده که سیسمون نمیتونه .

🔵اما حالا که بحث تلمتری شد بیایم یه مقایسه بین EDR های مختلف و حتی سیسمون در زمینه تلمتری در لینک زیر ببینیم :
https://lnkd.in/dKUh4hrK

〽️پی نوشت : این لینک حاصل یک پروژه است که EDR ها رو از بیرون سنجش کرده و ممکنه دقیق نباشه. و بازهم یادآوری کنم این لینک فقط تلمتری EDR ها رو بررسی کرده و نه کل خصوصیت EDR ها منجمله همبسته سازی و واکنش .


#تجربه #درس_آموخته
#اشتراک_دانش
#خوب_بنویسیم

#cybersecurity #threathunting #edr #antivirus

**سایر قسمت‌های این نوشتار در لینکدین
Roozbeh noroozi

https://www.linkedin.com/posts/roozbehnoroozi_github-tsaleedr-telemetry-this-project-activity-7221418170190823434-c8a2?utm_source=share&utm_medium=member_android

#تجربه

نجات از باج افزار؛
خاطره ای برایEDR قسمت ۱۴

( برای مطالعه سایر قسمت ها به لینکدین مراجعه شود )


یادم میاد چند ماه پیش یه آلرت تو SIEM از EDR دیدم که پراسسی رو kill کرده بود. شاهد دیگه و نکته ای نبود.

پس از تحقیق همچنین مسیری که در لاگ افتاده بود دیدم یکی از دلیل هاش این میتونه باشه که کسی بخواد به Shadow copy ویندوز دست پیدا کنه براش این اتفاق میافته.

این مکانیسم بیشتر بخاطر تلاش باج افزارها برای پاک کردن VSS اتفاق میافته . چون VSS به ما قدرت اینو میده که بتونیم ویندوز رو به حالتی قبل از آلودگی به باج افزار برگردونیم. لذا باج افزارهایی اول سعی می‌کنند VSS رو پاک کنند تا دست ما خالی باشه.

و اما بقیه ماجرا چی شد؟

در اون حالت EDR شناسایی رو انجام داده بود ولی آنتی ویروس نتونسته بود شناسایی کنه‌ . احتمالا چون باج افزار جدید بوده و شاید هم به طرز خاصی از خواب درآمده یا به روش خاصی انداخته شده.

ما با فرض وجود باج افزار کار رو شروع کردیم و درنهایت از طریق سایر روشها محل و سپس منشا آلودگی رو پیدا کردیم‌.

اینو گفتم که مزیت EDR و همچنین نحوه کارکرد اونو بگم و اینکه
هر حافظ امنیتی قرار نیست همه کار بکند پس آنتی ویروس اگر چیزی رو شناسایی نکرد دلیل بر اینکه اون کلا بد هست نمی‌باشد.
و ضمنا بگم چقدر لازمه آماده به فرضیه سازی و هانت باشید.

روزبه نوروزی
شهریور ۱۴۰۳


#آنتی_ویروس
#تجربه #درس_آموخته

#cybersecurity #threathunting #edr ##antivirus #malware #malwareanalysis

پاسخ به یک سوال مهم :

پیرو حادثه crowdstrike و مشکل درایور این محصول که منجر به بلو اسکرین در سراسر جهان شد سوالی به میان میاید :
ویندوز با Patchguard که از انتهای ویندوز xp ارائه کرد دیگر اجازه نمی‌دهد هر کسی در کرنل دستکاری کند ، اما EDR و XDR ها ادعا می‌کنند توسط درایور ها در تعامل با کرنل هستند . حد این تعامل چیست که حادثه ای چون CrowdStrike رخ می‌دهد؟ و اینکه چرا مایکروسافت اخیرا جلسه ای بدون حضور خبرنگاران با اصحاب تولید کننده محصولاتی چون XDR و EDR گذاشته تا ایشان را از کرنل بیرون کند؟!!


من تعاملی با ChatGPT داشتم به جواب زیر رسیدم


Windows PatchGuard (also known as Kernel Patch Protection or KPP) is a security feature introduced by Microsoft to prevent unauthorized code from patching or modifying the Windows kernel on 64-bit systems. Its main goal is to maintain kernel integrity by ensuring that only trusted and signed code operates within the kernel space, protecting against malicious attacks, rootkits, or unauthorized kernel modifications.

### Relation Between Windows PatchGuard and EDR Drivers

#### 1. Kernel-Level Drivers and PatchGuard
- EDR Driver Requirements: Many EDR (Endpoint Detection and Response) solutions require kernel-level drivers to monitor system events, processes, and behavior in real time. These drivers operate in kernel mode, where they have higher privileges to access and monitor sensitive operations (file access, memory usage, etc.). However, PatchGuard enforces strict rules on what can and cannot interact with or modify the kernel.

- PatchGuard Restrictions: PatchGuard specifically blocks unauthorized drivers or software from modifying critical parts of the Windows kernel, such as:
- System Service Descriptor Table (SSDT) hooks
- Interrupt Descriptor Table (IDT) hooks
- Kernel Object Manipulation
- Modification of the Kernel Debugger

This ensures that the kernel remains in a known, stable state, preventing malware or poorly written drivers from tampering with it. Thus, any legitimate EDR driver must respect PatchGuard's restrictions, meaning that it cannot perform kernel patching or directly modify protected kernel structures.

#### 2. Signed Drivers and PatchGuard Compliance
- Driver Signing: For EDR drivers to function within the constraints of PatchGuard, they must be properly signed with a valid digital signature. Microsoft enforces driver signing to ensure that only trusted drivers are loaded into kernel space. Drivers that attempt to bypass or disable PatchGuard violate this trust model and are blocked by the system.

- Windows Hardware Quality Labs (WHQL) Certification: Most reputable EDR vendors will seek WHQL certification for their drivers, ensuring that they operate within Microsoft's guidelines for kernel interaction. This certification process ensures that the driver respects PatchGuard’s policies and doesn’t introduce instability or security vulnerabilities.

#### 3. Driver Operation Without Violating PatchGuard
- Non-Patching Approach: EDR drivers must monitor and respond to system events without directly modifying kernel structures or patching kernel code, which would violate PatchGuard. Instead, they:
- Hook into legitimate, documented APIs that provide system monitoring capabilities.
- Rely on Windows Filtering Platform (WFP), ETW (Event Tracing for Windows), or Hypervisor-protected Code Integrity (HVCI) for monitoring low-level events.
- Use legitimate kernel interfaces to gather data about processes, network activity, and file operations without modifying protected kernel data structures.

- User Mode and Kernel Mode Balance: Some EDR solutions split their functionality between user-mode agents and kernel-mode drivers. The driver performs low-level monitoring, while the user-mode components handle less sensitive tasks, ensuring that EDR solutions work effectively within the boundaries set by PatchGuard.
ادامه در پست بعد

#آکادمی_روزبه

#cybersecurity #threathunting #cyberforensics #Stuxnet #risk #edr #xdr

ادامه از پست قبل 👆👆

#### 4. Is Using a Driver a Violation?
- No, It’s Not a Violation (When Done Correctly): Using a kernel driver in EDR solutions is not inherently a violation of PatchGuard. It’s only a violation if the driver attempts to patch or modify the kernel in ways that violate Windows security policies. Well-designed EDR solutions comply with PatchGuard by using standard APIs and legitimate kernel interfaces to achieve monitoring and protection goals.

- Working Within Kernel Mode: The EDR driver operates *within* the kernel, but it doesn’t modify or patch critical parts of the kernel itself. Instead, it monitors and reports events while respecting PatchGuard's restrictions. This allows it to maintain visibility into the system without breaching the kernel's integrity or violating Windows security rules.

### Summary
- Windows PatchGuard prevents unauthorized modifications to the Windows kernel, ensuring that the system's core remains intact and protected.
- EDR drivers operate within kernel mode but must comply with PatchGuard rules, meaning they cannot modify or patch the kernel directly.
- No violation occurs if the EDR driver is properly signed, respects PatchGuard’s limitations, and uses legitimate kernel monitoring techniques rather than trying to alter or bypass kernel protections.

#آکادمی_روزبه
#cybersecurity #threathunting #cyberforensics #Stuxnet #risk #edr #xdr

وقتی یک «در» را می‌بندیم، مهاجم از دیوار می‌آید!

مایکروسافت wmic.exe را بازنشسته کرد. آیا مهاجم‌ها دیگر نمی‌توانند از WMI سوءاستفاده کنند؟

❌ خیر! فقط آچارشان عوض شده.

دیروز:



bash

wmic process call create "calc.exe"

امروز:


powershell

Invoke-WmiMethod -Class Win32_Process -Name Create -ArgumentList "calc.exe"

📌 واقعیت: WMI سرویس و API هنوز فعال است. PowerShell، VBScript، C# یا حتی Python همچنان می‌توانند همان عملیات را انجام دهند — حتی بهتر و بی‌سروصداتر.

🚨 تهدید را حذف نکردیم، فقط شکلش را عوض کردیم. پایش (Monitoring) WMI API هنوز از نان شب واجب‌تر است.

#Security #ThreatDetection #آکادمی_روزبه #EDR #CyberSecurity #WMI

مرجع:
https://lnkd.in/gUSGHkmc
https://lnkd.in/p/gyZxuf_

آنتی تمپرینگ Anti-Tamper در ویندوز و EDR
دانشی از CISSP به روز به همراه #تجربه عملیاتی در سازمان حیاتی

روزبه نوروزی


مطالب ترم جدید CISSP رو آماده میکردم گفتم بخشی رو اینجا به روز بگذارم

نگاهی به آنتی تمپرینگ یعنی محافظت ویندوز از برنامه های درحال اجرا چیزی چون EDR. این قابلیت نتیجه همکاری سیستم‌عامل و محصول EDR است.

ویندوز چند قابلیت مهم در اختیار EDRها قرار می‌دهد:

مقوله Protected Process Light (PPL): اجازه می‌دهد برخی سرویس‌های امنیتی با سطح حفاظت بالاتری اجرا شوند تا فرآیندهای عادی نتوانند آن‌ها را متوقف یا دستکاری کنند.

بحث Kernel Patch Protection (PatchGuard): از دستکاری غیرمجاز هسته ویندوز جلوگیری می‌کند و مانع بسیاری از حملات کرنلی علیه EDR می‌شود.

قابلیت Virtualization-Based Security (VBS) و Hypervisor-Protected Code Integrity (HVCI): از یکپارچگی کد و حافظه محافظت کرده و اجرای کدهای غیرمجاز در سطح کرنل را سخت‌تر می‌کنند.

مقوله Code Integrity (CI) و Driver Signature Enforcement: فقط درایورهای معتبر و امضاشده را بارگذاری می‌کنند و مانع نصب بسیاری از درایورهای مخرب می‌شوند.

توانایی Windows Defender Tamper Protection: برای محافظت از خودِ Microsoft Defender طراحی شده و نمونه‌ای از استفاده مایکروسافت از همین زیرساخت‌هاست.


با این حال، این امکانات به‌تنهایی کافی نیستند. هر EDR باید مکانیزم Anti-Tamper اختصاصی خود را نیز پیاده‌سازی کند؛ مانند محافظت از سرویس‌ها، جلوگیری از حذف درایورها، حفاظت از فایل‌ها و کلیدهای رجیستری، اعتبارسنجی یکپارچگی (Integrity Check)، Self-Defense و بازیابی خودکار مؤلفه‌های غیرفعال‌شده.

از دیدگاه معماری، می‌توان گفت ویندوز نقش "زیرساخت امنیتی" را دارد و EDR نقش "استفاده‌کننده از این زیرساخت" را. هرچه EDR بهتر از قابلیت‌هایی مانند PPL، VBS و Code Integrity استفاده کند، مقاومت آن در برابر Process Tampering و تلاش برای غیرفعال‌سازی بیشتر خواهد بود.

#تجربه
در یکی از مشتریان شرکت #هامون که خدمت MSSP ارائه میدهیم بحث دور زدن EDR رو هم جزو خدمات ارائه کردیم . نتیجه دور خوردن EDR بود
در فاز اول تنظیمات ویندوز که در فوق اشاره کردم را اعمال کردیم تیم قرمز با همان تکنیک اولیه موفق به کشتن Agent محصول EDR نشد در مرحله بعد با تغییر تکنیک؛ تیم قرمز توانست دوباره EDR را دور بزند این بار در مکاتبه با وندور EDR توانستیم راهکار مقاوم سازی EDR را پیاده و محیط را امن کنیم.


✅️علم و کتاب CISSP و 🔆تجربیاتی از این دست ، همه در کلاس پنج شنبه ۲۵ تیرماه

واتس اپ و بله 09902857290

#MSSP #هامون #EDR #CISSP
#آکادمی_روزبه