آکادمی آموزش روزبه 📚

#امنیت_به_زبان_ساده

سرویس WinRM (Windows Remote Management) سرویس مدیریت از راه دور ویندوز است؛ به ادمین اجازه می‌دهد از طریق شبکه، روی سیستم‌های دیگر فرمان اجرا کند، اطلاعات بگیرد و تنظیمات را مدیریت کند. PowerShell Remoting معمولاً از WinRM استفاده می‌کند.

پورت‌های پیش‌فرض آن عبارت‌اند از:

- TCP 5985: ارتباط HTTP
- TCP 5986: ارتباط HTTPS

هکر با آن چه می‌کند؟ اگر مهاجم اعتبارنامه معتبر و مجوز لازم برای اتصال داشته باشد، می‌تواند از WinRM برای این کارها استفاده کند:

- حرکت جانبی: از سیستم اولیه به سرورها و سیستم‌های دیگر متصل شود.
- اجرای فرمان از راه دور: فرمان‌ها و اسکریپت‌های خود را روی مقصد اجرا کند.
- شناسایی محیط: کاربران، سرویس‌ها، پردازش‌ها و تنظیمات سیستم را بررسی کند.
- اجرای ابزار یا بدافزار: با سطح دسترسی حسابی که در اختیار دارد.
- استفاده از ابزارهای بومی ویندوز: فعالیت مخرب را میان عملیات عادی مدیریت سیستم پنهان کند؛ نمونه‌ای از رویکرد Living off the Land.

مثال: مهاجم حساب یک ادمین را سرقت می‌کند. اگر سرور مقصد WinRM فعال داشته باشد و اتصال آن حساب مجاز باشد، مهاجم می‌تواند بدون باز کردن دسکتاپ RDP، روی سرور فرمان اجرا کند.

نکته برای SOC: در بسیاری از اجرای‌های PowerShell Remoting، پردازش wsmprovhost.exe در مقصد دیده می‌شود. بررسی فرمان‌ها و پردازش‌های مرتبط با آن، همراه با مبدأ اتصال و حساب استفاده‌شده، ارزشمند است؛ وجود این پردازش به‌تنهایی نشانه حمله نیست.

فعال بودن WinRM به‌خودی‌خود یعنی هک شدن سیستم نیست؛ خطر اصلی، دسترسی شبکه‌ای گسترده و سوءاستفاده از حساب‌های مجاز است.


#WinRM #PowerShell #WindowsSecurity #CyberSecurity #SOC #ThreatHunting #LateralMovement #LivingOffTheLand #BlueTeam #امنیت_سایبری #امنیت_ویندوز #مرکز_عملیات_امنیت #شکار_تهدید #آکادمی_روزبه

نسخه ۲۰ مایتره تاریخ ۲۲ مهر ۱۴۰۵

نسخه ۲۰ چارچوب MITRE ATT&CK، منتشرشده در ۱۳ اکتبر ۲۰۲۶، پوشش رفتار مهاجمان را در محیط‌های سازمانی، موبایل و صنعتی گسترش می‌دهد. مهم‌ترین تغییر، توجه بیشتر به استفاده مهاجمان از هوش مصنوعی و حمله به سامانه‌های مبتنی بر آن است.

تکنیک‌های جدید شامل تزریق مستقیم و غیرمستقیم دستور به مدل، خروج اطلاعات با کمک AI، مسموم‌سازی نتایج، مختل‌کردن دفاع‌های خودکار و دورزدن کنترل‌هایی مانند CAPTCHA هستند.

در بخش صنعتی، اجرای PowerShell، Python و سایر مفسرها دقیق‌تر دسته‌بندی شده و سوءاستفاده از DNS و پروتکل‌های انتشار/اشتراک برای فرماندهی و کنترل توسعه یافته است. همچنین کمپین‌های حمله به تأسیسات آب آمریکا و نفوذ با کمک AI به زیرساخت دولتی مکزیک اضافه شده‌اند.

برای SOC، پیام عملی این است که در سازمان‌های دارای ابزارهای AI، ورودی‌ها، منابع خوانده‌شده، فراخوانی ابزارها و دسترسی به داده نیز بررسی شوند.



https://medium.com/mitre-attack/attack-v20-9701dd75ffb4

حرفه ای آموزش ببینید در آزمونهای رسمی جهانی قبول شوید #نمونه ای از ۱۸ قبولی آکادمی روزبه تا کنون در آزمون رسمی CISSP

ویدئوی من از BITS در صفحه شرکت هامون

https://www.linkedin.com/posts/haumoun_aepaetaeuahyaes-cybersecurity-threatdetection-activity-7512849219372843008-rsyJ?utm_source=share&utm_medium=member_android&rcm=ACoAAAoOfTcB5k1E_hg69jDwmxkGWzsBxqx6B9s

دوره های درحال ثبت نام آکادمی روزبه و شرکت هامون


1⃣مبانی فناوری و امنیت
با مروری بر دوره های زیر
Security+
MCSA
LPIC1
CCNA
CEH

2️⃣دوره مدیریت و راهبری اسپلانک و ES

با تمرکز بر نصب کلاستر ، کوئری های پیشرفته و ES


3️⃣دوره معماری ارشد امنیت ISSAP

4️⃣دوره مدیریت ارشد امنیت؛ CISO سرفصل ISSMP

5️⃣دوره مدرک عالی امنیت CISSP



✅ثبت نام و اطلاع بیشتر از طریق واتس اپ 09902857290

Www.haumoun.com

برترین های امنیت برای ایرانیان CISSP مدرک عالی امنیت ISSMP مدرک مدیریت ارشد امنیت ISSAP مدرک معمار ارشد امنیت نمره قبولی در آزمون ۱۲ آذر ماه CISSP حداقل ۷۰۰ از ۱۰۰۰ است اسپانسر: شرکت پیشگامان فناوری اطلاعات هامون

ویدئوی آموزشی من در صفحه لینکدین شرکت #هامون در مورد دزدی اطلاعات با ابزار های خودمان

https://www.linkedin.com/posts/haumoun_aepaetaeuahyaes-cybersecurity-threatdetection-ugcPost-7512849075617173504-0OcV?utm_source=share&utm_medium=member_android&rcm=ACoAAAoOfTcB5k1E_hg69jDwmxkGWzsBxqx6B9s

🕹دورهISSAP برای اولین بار در ایران

برداشتی از مقاله Pavel Yosifovich، از نویسندگان Windows Internals

وقتی آنتی‌ویروس یا EDR می‌خواهد فعالیت‌های مشکوک را تشخیص دهد، باید بداند داخل ویندوز چه اتفاقی می‌افتد؛ مثلاً چه برنامه‌ای اجرا شده یا چه فایلی تغییر کرده است. بخشی از این اطلاعات در کرنل، یعنی هستهٔ ویندوز قرار دارد.

محصولات امنیتی معمولاً برای دسترسی به این اطلاعات، درایور خود را داخل کرنل اجرا می‌کنند. مشکل اینجاست که خطای یک درایور می‌تواند کل ویندوز را متوقف کند و صفحهٔ آبی ایجاد شود؛ همان خطری که حادثهٔ CrowdStrike اهمیت آن را نشان داد.

این مقاله، درایور جدید مایکروسافت به نام WESP را در یک نسخهٔ آزمایشی ویندوز بررسی می‌کند. ایده این است که یک مؤلفهٔ مایکروسافتی، اطلاعات امنیتی را از کرنل جمع‌آوری کند و به برنامه‌های امنیتی بیرون از کرنل برساند. این کار می‌تواند احتمال خرابی ویندوز بر اثر خطای محصولات امنیتی را کاهش دهد.

نویسنده می‌پرسد: «این درایور چگونه اطلاعات را به برنامه‌ها می‌رساند؟» او بدون بررسی پیچیدهٔ کد، رجیستری، اشیای ویندوز و توابع استفاده‌شده در فایل‌ها را بررسی می‌کند. نتیجه این است که ارتباط از طریق Filter Communication Port انجام می‌شود؛ مثل یک کانال پیام‌رسانی میان هستهٔ ویندوز و برنامهٔ امنیتی.

درس اصلی مقاله این است: برای فهمیدن عملکرد یک درایور، همیشه لازم نیست از خواندن کد شروع کنیم؛ سرنخ‌های اطراف آن هم اطلاعات ارزشمندی دارند.


https://trainsec.net/library/windows-kernel/basic-reversing-of-a-windows-kernel-driver-how-wesp-talks-to-user-mode/

این هفته در کلاس CISSP یکی از دانشجویان پیشنهاد کرد که دوره ISSAP را برگزار کنم.
این دوره در حوزه معماری و طراحی ارشد امنیت است و جزو سه مدرک برتر تخصصی بعد از CISSP است.
شایان ذکر است تا کنون فقط ISSMP در حوزه مدیریت ارشد امنیت یکبار توسط من برگزار شده است.

فارغ از اینکه درس ISSAP بسیار تخصصی و مفهومی است ، شناخت از آن در ایران بسیار پایین است. لذا فکر نمی‌کنم استقبال چندانی از این کلاس ارزشمند در ایران بشود. خصوصا در جامعه ای که با حجم بالای مهاجرت نخبگان مواجه است و متخصصان باقی مانده درگیر تورم لجام گسیخته به دنبال افزایش حقوق فعلی خود هستند.

باز با خودم فکر کردم که یک نظر سنجی بگذارم
اینکه بازخوردتون رو با من در میان می‌گذارید بسیار سپاسگذارم .


#آکادمی_روزبه #هامون👇👇

پاک شدن Log به معنی پاک شدن Evidence نیست


یکی از تکنیک‌های رایج مهاجمان پس از نفوذ به سیستم‌های Linux، پاک کردن Logها برای از بین بردن ردپا است.
برای مثال، مهاجم ممکن است پس از ورود از طریق SSH فایل /var/log/auth.log را حذف یا خالی کند و تصور کند شواهد ورود او از بین رفته است.

اما در سیستم‌های مبتنی بر systemd، تحلیلگر فارنزیک نباید Investigation را در همین نقطه متوقف کند. سرویس systemd-journald می‌تواند همان فعالیت‌ها را در Journal خود ثبت کرده باشد.
برای مثال، می‌توان فعالیت‌های مرتبط با sshd را با دستور زیر بررسی کرد:
journalctl _COMM=sshd
همچنین با since-- می‌توان محدوده زمانی Investigation را مشخص کرد. حتی journalctl --file امکان تحلیل فایل Journal استخراج‌شده از یک سیستم یا Disk Image دیگر را فراهم می‌کند.

البته باقی‌ماندن این شواهد قطعی نیست. journald ممکن است به‌صورت Persistent در /var/log/journal یا به‌صورت Volatile در /run/log/journal کار کند؛ حالت Volatile با Reboot از بین می‌رود.

درس مهم برای Incident Response این است:
هر رویداد ممکن است در چند Evidence Source ردپا داشته باشد.

مهاجم شاید auth.log را پاک کند، اما هنوز ممکن است شواهدی در journald، auditd، SIEM، EDR، Firewall یا سایر منابع مرکزی باقی مانده باشد.

کار تحلیلگر فارنزیک، شناختن شواهدی است که مهاجم فراموش کرده پاک کند.

#درس_آموخته

یک Mobile Application نباید فرض کند:
چون Certificate Pinning دارم، کسی نمی‌تواند API من را مشاهده یا دستکاری کند.

سمت Server همچنان باید Authentication، Authorization، Session Management، Rate Limiting و Input Validation را مستقل و درست انجام دهد.

https://coffsec.medium.com/10-methods-to-bypass-ssl-certificate-pinning-on-mobile-in-2026-54b21141da80

برداشت من از مقاله زیر

در SOC فقط تهدید را مانیتور نکنیم؛ سلامت Telemetry را هم مانیتور کنیم

یکی از اصول مهم در Detection Engineering، اطمینان از سلامت Telemetry است. سؤال فقط این نیست که چه Eventهایی دریافت کرده‌ایم؟؛ بلکه باید بپرسیم: آیا Eventهایی که انتظار داشتیم، واقعاً دریافت شده‌اند؟

برای این کار می‌توان از Heartbeat استفاده کرد تا مشخص شود Agentهایی مانند EDR، Sysmon یا Splunk Forwarder همچنان فعال‌اند. همچنین با ایجاد Event Volume Baseline می‌توان کاهش غیرعادی حجم رویدادها را تشخیص داد؛ مثلاً Domain Controller که معمولاً هزاران Event تولید می‌کند، نباید ناگهان تقریباً ساکت شود.

روش دیگر، بررسی Expected Events است. اگر سرور فعال است اما Process Creation Event دریافت نمی‌شود، باید سلامت Telemetry بررسی شود. Cross-source Correlation نیز اهمیت زیادی دارد؛ برای مثال Network Telemetry فعالیت یک Host را نشان می‌دهد، اما EDR درباره همان Host ساکت است.

علاوه بر Agentها، کل زنجیره تا خود رول
باید مانیتور شود. حتی می‌توان Synthetic Event ایجاد کرد و رسیدن آن به Detection Engine را سنجید.

بنابراین Detection Engineering بالغ دو حوزه دارد:

Detection of Malicious Activity + Detection of Loss of Visibility

گاهی خطرناک‌ترین Event در SOC، Eventی است که باید می‌آمد، اما نیامده است.




https://blog.otterpwn.com/research/In-depth-Windows-Telemetry

آینده EDRها؛ از تحلیل رویداد تا تحلیل گراف رفتار

نسل جدید سامانه‌های Endpoint Detection and Response (EDR) به‌تدریج از تشخیص مبتنی بر قوانین ثابت به سمت Graph AI و Sequence Models مانند Transformerها حرکت می‌کند. در این رویکرد، هدف تنها بررسی یک فایل، یک پردازش یا یک رویداد منفرد نیست؛ بلکه کل زنجیره فعالیت‌های سیستم به‌صورت یک گراف تحلیل می‌شود. ارتباط میان پردازش‌ها، فایل‌ها، رجیستری، ارتباطات شبکه، هویت کاربران و دسترسی‌ها در کنار یکدیگر بررسی می‌شوند تا رفتار واقعی سیستم درک شود.

برای مثال، اجرای یک فایل Word به‌تنهایی مشکوک نیست، اما اگر همان فایل باعث اجرای PowerShell، ایجاد تغییر در رجیستری، تزریق کد به یک پردازش دیگر و سپس برقراری ارتباط با یک سرور ناشناس شود، مدل هوش مصنوعی این زنجیره را به‌عنوان یک حمله چندمرحله‌ای تشخیص می‌دهد.

این تحول، دقت کشف حملات Fileless، تکنیک‌های Living-off-the-Land (LOLBins) و تهدیدهای پیشرفته (APT) را به‌طور قابل‌توجهی افزایش می‌دهد؛ زیرا به‌جای تکیه بر یک Rule، رفتار کلی مهاجم و ارتباط میان رویدادها را تحلیل می‌کند. این همان مسیری است که مشاهده میشود نسل درحال تغییر EDRها بر پایه آن توسعه میابد.

قدرت واقعی TrendAIدر یک Driver یا Hook خاص نیست؛ بلکه در کیفیت تله‌متری و همبستگی داده‌هاست.

**منبع : تلاش چند ماهه در شناخت رفتاری #ترند_میکرو توسط تیمMSSP #هامون Haumoun

ابزار Ansible؛ ابزاری برای افزایش امنیت از طریق اتوماسیون

در بسیاری از سازمان‌ها، ضعف امنیتی نه به دلیل نبود ابزارهای پیشرفته، بلکه به علت اجرای ناهماهنگ و دستی تنظیمات امنیتی ایجاد می‌شود. Ansible با خودکارسازی این فرایندها، به کاهش خطای انسانی و افزایش یکپارچگی امنیت کمک می‌کند. این ابزار به مدیران اجازه می‌دهد تنظیمات امنیتی را به‌صورت Playbook تعریف کرده و آن‌ها را به شکل یکسان روی صدها یا هزاران سرور اجرا کنند.

یکی از مهم‌ترین کاربردهای Ansible، پیاده‌سازی Hardening سیستم‌عامل بر اساس استانداردهایی مانند CIS Benchmark است. همچنین می‌توان از آن برای نصب وصله‌های امنیتی، اعمال تنظیمات فایروال، مدیریت کاربران، استقرار Agentهای امنیتی مانند Wazuh یا Microsoft Defender و اجرای سیاست‌های امنیتی استفاده کرد. در زمان وقوع یک حادثه نیز Ansible می‌تواند بخشی از فرایند پاسخ به رخداد را خودکار کند؛ برای مثال، یک میزبان آلوده را از شبکه جدا کرده، سرویس خاصی را متوقف کند یا تنظیمات امنیتی جدیدی را اعمال نماید.

فرض کنید یک آسیب‌پذیری بحرانی در OpenSSH منتشر شده است. به‌جای ورود دستی به صدها سرور، کافی است یک Playbook اجرا شود تا وصله امنیتی روی تمام سامانه‌ها نصب، سرویس راه‌اندازی مجدد و نتیجه عملیات ثبت شود. به همین دلیل، Ansible امروزه یکی از ابزارهای کلیدی در DevSecOps، مدیریت پیکربندی و اتوماسیون امنیت به شمار می‌رود و نقش مهمی در افزایش سرعت، دقت و انطباق امنیتی سازمان‌ها ایفا می‌کند.

یکی از بهترین ریپوهای GitHub برای تست امنیت پروژه‌های Vibe Coding

https://github.com/1N3/Sn1per

معماری امنیت بر پایه زمان؛ نگاهی به مدل TBS در پیشگیری، کشف و پاسخ در بسیاری از سازمان‌ها، موفقیت امنیت سایبری با تعداد تجهیزات امنیتی یا بودجه صرف‌شده سنجیده می‌شود؛ اما مدل Time-Based Security (TBS) دیدگاه متفاوتی ارائه می‌دهد. این مدل که توسط Winn Schwartau…

معماری امنیت بر پایه زمان؛ نگاهی به مدل TBS در پیشگیری، کشف و پاسخ

در بسیاری از سازمان‌ها، موفقیت امنیت سایبری با تعداد تجهیزات امنیتی یا بودجه صرف‌شده سنجیده می‌شود؛ اما مدل Time-Based Security (TBS) دیدگاه متفاوتی ارائه می‌دهد. این مدل که توسط Winn Schwartau معرفی شده است، امنیت را بر اساس سه مؤلفه زمانی ارزیابی می‌کند: زمان لازم برای نفوذ (Protection Time)، زمان لازم برای کشف حمله (Detection Time) و زمان لازم برای پاسخ و مهار (Response Time).

اصل اساسی TBS این است که اگر مجموع زمان کشف (TTD) و زمان پاسخ (TTR) کمتر از زمان موردنیاز مهاجم برای دستیابی به هدف (TTC) باشد، سازمان شانس بالایی برای جلوگیری از موفقیت حمله خواهد داشت. در مقابل، اگر مهاجم بتواند پیش از شناسایی و واکنش مدافع به اهداف خود برسد، حتی پیشرفته‌ترین کنترل‌های امنیتی نیز ارزش عملیاتی خود را از دست می‌دهند.

بر همین اساس، معماری امنیت نباید تنها بر پیشگیری متمرکز باشد. استفاده از EDR، SIEM، NDR، سامانه‌های Threat Detection، شبکه‌های تقسیم‌بندی‌شده، حسگرهای رفتاری و فرآیندهای Incident Response باید به‌صورت هم‌زمان طراحی شوند تا زمان کشف و واکنش کاهش یابد. این رویکرد شباهت زیادی به امنیت فیزیکی دارد؛ همان‌گونه که یک گاوصندوق بدون آژیر، دوربین و نیروی واکنش سریع نمی‌تواند امنیت کامل ایجاد کند.

مدل TBS به مدیران امنیت کمک می‌کند تا سرمایه‌گذاری‌های خود را بر اساس شاخص‌های قابل اندازه‌گیری مانند Mean Time to Detect (MTTD) و Mean Time to Respond (MTTR) اولویت‌بندی کنند. در نهایت، تاب‌آوری سایبری نه با تعداد ابزارها، بلکه با توانایی سازمان در شکست دادن مهاجم در رقابت با زمان سنجیده می‌شود.

**دوره CISSP #آکادمی_روزبه و شرکت #هامون

چرا باید فرض کنیم سازمان از قبل هک شده است؟ یکی از مهم‌ترین تغییرات نگرش در امنیت سایبری، پذیرش اصل Assume Breach یا «فرض نفوذ» است. این رویکرد بیان می‌کند که هیچ سازمانی نمی‌تواند با اطمینان کامل ادعا کند هرگز مورد نفوذ قرار نخواهد گرفت. مهاجمان از آسیب‌پذیری‌های…

چرا باید فرض کنیم سازمان از قبل هک شده است؟
یکی از مهم‌ترین تغییرات نگرش در امنیت سایبری، پذیرش اصل Assume Breach یا «فرض نفوذ» است. این رویکرد بیان می‌کند که هیچ سازمانی نمی‌تواند با اطمینان کامل ادعا کند هرگز مورد نفوذ قرار نخواهد گرفت. مهاجمان از آسیب‌پذیری‌های ناشناخته، خطاهای انسانی، سوءاستفاده از دسترسی‌های مجاز و حملات زنجیره تأمین استفاده می‌کنند؛ بنابراین، معماری امنیت باید بر این فرض طراحی شود که مهاجم ممکن است هم‌اکنون در بخشی از شبکه حضور داشته باشد.
مزیت این طرز فکر آن است که تمرکز سازمان از پیشگیری صرف، به کشف سریع، محدودسازی خسارت و بازیابی مؤثر تغییر می‌کند. در چنین رویکردی، ثبت لاگ، مانیتورینگ مداوم، Threat Hunting، مدیریت هویت، اصل حداقل دسترسی، تقسیم‌بندی شبکه و برنامه‌های پاسخ به حادثه اهمیت بیشتری پیدا می‌کنند. هدف این نیست که نفوذ هرگز رخ ندهد، بلکه باید زمان شناسایی مهاجم و مدت پاسخ‌گویی به حداقل برسد.
این نگرش، پایه بسیاری از چارچوب‌های مدرن مانند Zero Trust و معماری‌های دفاعی امروزی است. سازمانی که با فرض نفوذ طراحی می‌شود، حتی در صورت موفقیت مهاجم نیز توانایی بیشتری برای کنترل حمله، جلوگیری از حرکت جانبی، حفاظت از دارایی‌های حیاتی و تداوم کسب‌وکار خواهد داشت. در دنیای امروز، آمادگی برای مواجهه با نفوذ، واقع‌بینانه‌تر از اتکا به تصور نفوذناپذیری است.