این شبها با عزیزی اینو بحث کردیم گفتم شما هم بدونید که تست کنید. برخی از شما در کلاسهایی که داشتیم باهم کارکردیم برخی هم اگر کار نکردین انجام بدین

https://github.com/NextronSystems/APTSimulator

تجربیات کلیدی از کار با APT Simulator

🎈عدم شناسایی برخی تکنیک‌ها توسط SIEM

وقتی برای اولین بار APT Simulator را در مجموعه ای اجرا کردم، انتظار داشتم SIEM به‌سرعت همه رفتارهای مشکوک را تشخیص بده اما در کمال تعجب، برخی حملات کاملاً از دید SIEM مخفی ماندند!
نمونه‌ای از تکنیکی که شناسایی نشد:
تکنیک T1086 – PowerShell Execution اجرا شد و در Windows Event Logs (ID 4104) نشانه‌هایی از اجرای PowerShell دیده شد، اما SIEM هیچ هشداری نداد!
✅ درس آموخته‌شده:
باید قوانین سفارشی را در SIEM نوشت تا اجرای PowerShell مشکوک را تشخیص دهد.

🎈فرار از شناسایی توسط EDR
در یک سناریو، قصد داشتم ببینم که آیا EDR قادر به شناسایی اجرای مخفیانه ابزارهای مخرب است یا خیر. APT Simulator از تکنیکی مثل T1055 – Process Injection استفاده کرد.
نتیجه:
در اون سازمان EDR برخی رفتارهای مخرب را شناسایی کرد، اما در برخی موارد که حمله روی فرآیندهای سیستمی امضا نشده اجرا شد، تشخیص داده نشد.
✅ درس آموخته‌شده:
نسبت به تغییر EDR اقدام کردیم

🎈 بررسی اثر حملات بر روی لاگ‌های ویندوز

یکی از مفیدترین تجربه‌ها برای من این بود که بعد از اجرای حملات، بررسی کنم که چه تغییراتی در لاگ‌های ویندوز ایجاد شده است.
متوجه شدم Auditing به دقت تنظیم نشده است لذا یکبار بر این موضوع وقت گذاشتم البته برای یک مجموعه دیگر بر روی سیسمون کار کردم

#آکادمی_روزبه
#تجربه