آنتی تمپرینگ Anti-Tamper در ویندوز و EDR
دانشی از CISSP به روز به همراه #تجربه عملیاتی در سازمان حیاتی
روزبه نوروزی
مطالب ترم جدید CISSP رو آماده میکردم گفتم بخشی رو اینجا به روز بگذارم
نگاهی به آنتی تمپرینگ یعنی محافظت ویندوز از برنامه های درحال اجرا چیزی چون EDR. این قابلیت نتیجه همکاری سیستم‌عامل و محصول EDR است.
ویندوز چند قابلیت مهم در اختیار EDRها قرار می‌دهد:
مقوله Protected Process Light (PPL): اجازه می‌دهد برخی سرویس‌های امنیتی با سطح حفاظت بالاتری اجرا شوند تا فرآیندهای عادی نتوانند آن‌ها را متوقف یا دستکاری کنند.
بحث Kernel Patch Protection (PatchGuard): از دستکاری غیرمجاز هسته ویندوز جلوگیری می‌کند و مانع بسیاری از حملات کرنلی علیه EDR می‌شود.
قابلیت Virtualization-Based Security (VBS) و Hypervisor-Protected Code Integrity (HVCI): از یکپارچگی کد و حافظه محافظت کرده و اجرای کدهای غیرمجاز در سطح کرنل را سخت‌تر می‌کنند.
مقوله Code Integrity (CI) و Driver Signature Enforcement: فقط درایورهای معتبر و امضاشده را بارگذاری می‌کنند و مانع نصب بسیاری از درایورهای مخرب می‌شوند.
توانایی Windows Defender Tamper Protection: برای محافظت از خودِ Microsoft Defender طراحی شده و نمونه‌ای از استفاده مایکروسافت از همین زیرساخت‌هاست.
با این حال، این امکانات به‌تنهایی کافی نیستند. هر EDR باید مکانیزم Anti-Tamper اختصاصی خود را نیز پیاده‌سازی کند؛ مانند محافظت از سرویس‌ها، جلوگیری از حذف درایورها، حفاظت از فایل‌ها و کلیدهای رجیستری، اعتبارسنجی یکپارچگی (Integrity Check)، Self-Defense و بازیابی خودکار مؤلفه‌های غیرفعال‌شده.
از دیدگاه معماری، می‌توان گفت ویندوز نقش "زیرساخت امنیتی" را دارد و EDR نقش "استفاده‌کننده از این زیرساخت" را. هرچه EDR بهتر از قابلیت‌هایی مانند PPL، VBS و Code Integrity استفاده کند، مقاومت آن در برابر Process Tampering و تلاش برای غیرفعال‌سازی بیشتر خواهد بود.
#تجربه
در یکی از مشتریان شرکت #هامون که خدمت MSSP ارائه میدهیم بحث دور زدن EDR رو هم جزو خدمات ارائه کردیم . نتیجه دور خوردن EDR بود
در فاز اول تنظیمات ویندوز که در فوق اشاره کردم را اعمال کردیم تیم قرمز با همان تکنیک اولیه موفق به کشتن Agent محصول EDR نشد در مرحله بعد با تغییر تکنیک؛ تیم قرمز توانست دوباره EDR را دور بزند این بار در مکاتبه با وندور EDR توانستیم راهکار مقاوم سازی EDR را پیاده و محیط را امن کنیم.
✅️علم و کتاب CISSP و 🔆تجربیاتی از این دست ، همه در کلاس پنج شنبه ۲۵ تیرماه
واتس اپ و بله 09902857290
#MSSP #هامون #EDR #CISSP
#آکادمی_روزبه
دانشی از CISSP به روز به همراه #تجربه عملیاتی در سازمان حیاتی
روزبه نوروزی
مطالب ترم جدید CISSP رو آماده میکردم گفتم بخشی رو اینجا به روز بگذارم
نگاهی به آنتی تمپرینگ یعنی محافظت ویندوز از برنامه های درحال اجرا چیزی چون EDR. این قابلیت نتیجه همکاری سیستم‌عامل و محصول EDR است.
ویندوز چند قابلیت مهم در اختیار EDRها قرار می‌دهد:
مقوله Protected Process Light (PPL): اجازه می‌دهد برخی سرویس‌های امنیتی با سطح حفاظت بالاتری اجرا شوند تا فرآیندهای عادی نتوانند آن‌ها را متوقف یا دستکاری کنند.
بحث Kernel Patch Protection (PatchGuard): از دستکاری غیرمجاز هسته ویندوز جلوگیری می‌کند و مانع بسیاری از حملات کرنلی علیه EDR می‌شود.
قابلیت Virtualization-Based Security (VBS) و Hypervisor-Protected Code Integrity (HVCI): از یکپارچگی کد و حافظه محافظت کرده و اجرای کدهای غیرمجاز در سطح کرنل را سخت‌تر می‌کنند.
مقوله Code Integrity (CI) و Driver Signature Enforcement: فقط درایورهای معتبر و امضاشده را بارگذاری می‌کنند و مانع نصب بسیاری از درایورهای مخرب می‌شوند.
توانایی Windows Defender Tamper Protection: برای محافظت از خودِ Microsoft Defender طراحی شده و نمونه‌ای از استفاده مایکروسافت از همین زیرساخت‌هاست.
با این حال، این امکانات به‌تنهایی کافی نیستند. هر EDR باید مکانیزم Anti-Tamper اختصاصی خود را نیز پیاده‌سازی کند؛ مانند محافظت از سرویس‌ها، جلوگیری از حذف درایورها، حفاظت از فایل‌ها و کلیدهای رجیستری، اعتبارسنجی یکپارچگی (Integrity Check)، Self-Defense و بازیابی خودکار مؤلفه‌های غیرفعال‌شده.
از دیدگاه معماری، می‌توان گفت ویندوز نقش "زیرساخت امنیتی" را دارد و EDR نقش "استفاده‌کننده از این زیرساخت" را. هرچه EDR بهتر از قابلیت‌هایی مانند PPL، VBS و Code Integrity استفاده کند، مقاومت آن در برابر Process Tampering و تلاش برای غیرفعال‌سازی بیشتر خواهد بود.
#تجربه
در یکی از مشتریان شرکت #هامون که خدمت MSSP ارائه میدهیم بحث دور زدن EDR رو هم جزو خدمات ارائه کردیم . نتیجه دور خوردن EDR بود
در فاز اول تنظیمات ویندوز که در فوق اشاره کردم را اعمال کردیم تیم قرمز با همان تکنیک اولیه موفق به کشتن Agent محصول EDR نشد در مرحله بعد با تغییر تکنیک؛ تیم قرمز توانست دوباره EDR را دور بزند این بار در مکاتبه با وندور EDR توانستیم راهکار مقاوم سازی EDR را پیاده و محیط را امن کنیم.
✅️علم و کتاب CISSP و 🔆تجربیاتی از این دست ، همه در کلاس پنج شنبه ۲۵ تیرماه
واتس اپ و بله 09902857290
#MSSP #هامون #EDR #CISSP
#آکادمی_روزبه
Comments
Be the first to add a comment
Log in to comment