⛳️هرچیزی از راه علم؛
مقوله هایی چونSSDLC, CSSLP
این روزها که هک احتمالی بانک‌های کشور صدر اخبار است من هم سعی کرده ام درچند پست زوایای علمی مساله رو باز کنم.
با توجه به اینکه شرکت طرف هکرها یک شرکت نرم افزاری بوده است ( توسن) که نرم افزارهای طیف وسیعی از مشتریان را تهیه و ساپورت می‌کرده است باید دید آیا چرخه امن تولید نرم افزار در آن شرکت به دقت پیاده شده بوده است ؟
یکی از راهنماها برای پیاده سازی چرخه تولید امن نرم افزار راهنمای سازمان ISC2 است که تحت عنوان مدرک CSSLP عرضه شده است.
به نظرم تمام شرکت هایی که در تولید برنامه های مهم نرم افزاری نقش دارند باید آموزش CSSLP رو در دستور کار خود داشته باشند و ترجیحا یک نفر سرتیفای این مدرک در شرکت مذکور حضور داشته باشد.
این مهم را بانک‌ها و مشتریان هم باید از شرکت‌های تولید کننده نرم افزار بخواهند .
💫روزبه نوروزی
#هک #بانک
#تجربه
#cybersecurity ##cyberforensics #csslp
#ssdlc
https://www.isc2.org/certifications/csslp
مقوله هایی چونSSDLC, CSSLP
این روزها که هک احتمالی بانک‌های کشور صدر اخبار است من هم سعی کرده ام درچند پست زوایای علمی مساله رو باز کنم.
با توجه به اینکه شرکت طرف هکرها یک شرکت نرم افزاری بوده است ( توسن) که نرم افزارهای طیف وسیعی از مشتریان را تهیه و ساپورت می‌کرده است باید دید آیا چرخه امن تولید نرم افزار در آن شرکت به دقت پیاده شده بوده است ؟
یکی از راهنماها برای پیاده سازی چرخه تولید امن نرم افزار راهنمای سازمان ISC2 است که تحت عنوان مدرک CSSLP عرضه شده است.
به نظرم تمام شرکت هایی که در تولید برنامه های مهم نرم افزاری نقش دارند باید آموزش CSSLP رو در دستور کار خود داشته باشند و ترجیحا یک نفر سرتیفای این مدرک در شرکت مذکور حضور داشته باشد.
این مهم را بانک‌ها و مشتریان هم باید از شرکت‌های تولید کننده نرم افزار بخواهند .
💫روزبه نوروزی
#هک #بانک
#تجربه
#cybersecurity ##cyberforensics #csslp
#ssdlc
https://www.isc2.org/certifications/csslp
www.isc2.org
ISC2 CSSLP Certified Secure Software Lifecycle Professional
Secure your cybersecurity career with ISC2’s CSSLP certification and gain expertise in software lifecycle security and secure coding practices.
تکنیک در معماری و مفاهیم طراحی XDR
🖌روزبه نوروزی
برطبق متن CISSP ، یکی از محل ها و نقاط که پاشنه آشیل هر کنترل امنیتی است لحظه اعمال کنترل در محیط Untrust است. کنترل امنیتی باید بتواند همان اول، محیط را verify کند و چهارچوب آنرا در بر بگیرد به نحوی که از جامعیت سیستم و جامعیت خود مطمئن شود. درغیر اینصورت درمرداب قرارگرفته است.
مثالی از این امر لحظه نصب XDR Agent است. این Agent نباید اساس خود را بر آب بنا کند یعنی در محیطی که شناختی ندارد و کنترلی ندارد مشغول به کار شود.
یکی از روش‌های دور زدن Agent های XDR این است که نتواند محیطی که توسط هکر تسخیر شده و دامی برای او پهن شده را تشخیص دهد.
بک دور های سطح کرنل، خطرناک ترین عوامل برای این لحظات هستند.
لذا درون نهادن روشی که XDR بتواند محیط را بشناسد و آنرا تمیز کند یکی از اصول طراحی امن XDR است ؛ نوعی Anti tampering .
شاید یکی از روش‌های اجرایی این مفهوم ، اتصال آنلاین و کامل Agent در لحظه نصب با سرور مادر باشد.
پی نوشت : این مفهوم ؛ برای کنترل های مشابه XDR نظیر EDR نیز لازم است.
#معماری_امن
#طراحی_نرم_افزار
#cybersecurity #threathunting #xdr
#sdlc #ssdlc
🖌روزبه نوروزی
برطبق متن CISSP ، یکی از محل ها و نقاط که پاشنه آشیل هر کنترل امنیتی است لحظه اعمال کنترل در محیط Untrust است. کنترل امنیتی باید بتواند همان اول، محیط را verify کند و چهارچوب آنرا در بر بگیرد به نحوی که از جامعیت سیستم و جامعیت خود مطمئن شود. درغیر اینصورت درمرداب قرارگرفته است.
مثالی از این امر لحظه نصب XDR Agent است. این Agent نباید اساس خود را بر آب بنا کند یعنی در محیطی که شناختی ندارد و کنترلی ندارد مشغول به کار شود.
یکی از روش‌های دور زدن Agent های XDR این است که نتواند محیطی که توسط هکر تسخیر شده و دامی برای او پهن شده را تشخیص دهد.
بک دور های سطح کرنل، خطرناک ترین عوامل برای این لحظات هستند.
لذا درون نهادن روشی که XDR بتواند محیط را بشناسد و آنرا تمیز کند یکی از اصول طراحی امن XDR است ؛ نوعی Anti tampering .
شاید یکی از روش‌های اجرایی این مفهوم ، اتصال آنلاین و کامل Agent در لحظه نصب با سرور مادر باشد.
پی نوشت : این مفهوم ؛ برای کنترل های مشابه XDR نظیر EDR نیز لازم است.
#معماری_امن
#طراحی_نرم_افزار
#cybersecurity #threathunting #xdr
#sdlc #ssdlc
با این ابزار در جدول ATT&CK بگردید و راحت مپ های لازم بین حملات را داشته باشید
#ssdlc
https://intelligence.any.run/plans/?utm_source=csn&utm_medium=article&utm_campaign=free_black_friday&utm_content=plans&utm_term=251124
#ssdlc
https://intelligence.any.run/plans/?utm_source=csn&utm_medium=article&utm_campaign=free_black_friday&utm_content=plans&utm_term=251124