مروری بر روش‌های ترند در هانت
در دنیای فعلی امنیت سایبری، بیش از هر زمان دیگری مهاجمان به جای استفاده از بدافزارهای کلاسیک، به سراغ حملاتی رفته‌اند که با ابزارها و قابلیت‌های داخلی سیستم‌عامل اجرا می‌شوند. این حملات با نام LOTL (Living Off The Land) مشهورند و چالش اصلی آن‌ها برای تهدیدیابی این است که غالباً هیچ ردپای مشکوک یا فایل اجرایی خاصی بر جای نمی‌گذارند.
در این مقاله، به بررسی یک دیدگاه و سبک نوین در Threat Hunting می‌پردازم که تمرکز آن شکار این حملات در لایه‌ای بالاتر از IOCها و Signature است ـ با اتکا بر رفتار، فرضیه‌سازی، و تحلیل توالی رخدادها.
تعریف و اهمیت حملات LOTL
مقوله LOTL به معنای سوءاستفاده مهاجم از ابزارهای استاندارد، اسکریپت‌ها و سرویس‌های سیستم‌عامل (مثل PowerShell، WMI، RDP و…) است تا فعالیت مخرب خود را در پوشش رفتار مشروع انجام دهد. این رویکرد، شناسایی توسط AV، EDR و حتی SIEMهای مبتنی بر signature را بسیار سخت می‌کند و مهاجم می‌تواند تا هفته‌ها یا حتی ماه‌ها در سایه باقی بماند.
تهدیدیابی سنتی: چرا کافی نیست؟
در گذشته، hunting بیشتر مبتنی بر جستجو بر اساس IOC یا signature بود؛ آی‌پی مشکوک، هش فایل، یا وقوع یک رخداد شناسایی‌شده. این مدل hunting اغلب واکنشی است، وابسته به شواهد ملموس یا هشدارهای آماده.
اما حملات LOTL دقیقاً این مدل دفاع را دور می‌زنند؛ زیرا رفتارشان شبیه کارکرد عادی سیستم است، تنها تفاوت در توالی اجرا، بافتار (Context) و ترکیب رفتارهاست.
سبک جدید شکار تهدید: از Hypothesis-driven تا Behavior-based
اخیراً در یکی از مقالات مطرح ۲۰۲۵ به این نکته پرداخته شده که برای آشکارسازی حملات LOTL باید threat hunting را به سطحی فراتر از واکنش به هشدارها و Signatureها ببریم و رویکرد فعال و فرضیه‌محور را جایگزین کنیم.
کلیدواژه‌ها و رویکردها:
🔹️ فرضیه‌سازی پیش‌دستانه:
بجای انتظار برای هشدار، فرضیه‌هایی مثل «چه می‌شود اگر PowerShell بعد از ریموت RDP اجرا شود؟» یا «آیا افزایش ناگهانی ارتباطات WMI نشانه lateral movement نیست؟» طرح‌ریزی و براساس آن شکار آغاز گردد.
🔹️ مبنای رفتاری و تحلیلی:
تمرکز روی رفتار ابزارهای داخلی و Sequence رخدادها: اجرای cmd و powershell در ترکیب با هم، استفاده غیرمعمول از Task Scheduler یا ارتباطات مشکوک بعد از اجرای اسکریپت.
🔹️ کار با Telemetry عمیق و گسترده:
داده‌های EDR، Sysmon یا Memory Forensics باید لایه به لایه بررسی شوند تا ارتباط رخدادهای ظاهراً معمول در کنار هم، تصویر حمله را آشکار کند.
تحول عملیاتی در تیم‌ها؛ نکات کاربردی
و SOC و مهندسان کشف باید علاوه‌بر IOC به دنبال نشانه‌های رفتاری و تغییرات subtle در زنجیره عملیات مهاجم باشند.
فرضیه‌سازی و آزمون آن تبدیل به چرخه دائمی hunting و یادگیری می‌شود؛ با هر شکار موفق یا اشتباه، الگوریتم و ruleهای تشخیصی باید اصلاح و غنی‌تر گردند.
ابزارهایی چون Sysmon، UEBA، و EDRهایی با قابلیت correlation، محور hunting مدرن خواهند بود.
#آکادمی_روزبه
مرکز تخصصی CISSP
در دنیای فعلی امنیت سایبری، بیش از هر زمان دیگری مهاجمان به جای استفاده از بدافزارهای کلاسیک، به سراغ حملاتی رفته‌اند که با ابزارها و قابلیت‌های داخلی سیستم‌عامل اجرا می‌شوند. این حملات با نام LOTL (Living Off The Land) مشهورند و چالش اصلی آن‌ها برای تهدیدیابی این است که غالباً هیچ ردپای مشکوک یا فایل اجرایی خاصی بر جای نمی‌گذارند.
در این مقاله، به بررسی یک دیدگاه و سبک نوین در Threat Hunting می‌پردازم که تمرکز آن شکار این حملات در لایه‌ای بالاتر از IOCها و Signature است ـ با اتکا بر رفتار، فرضیه‌سازی، و تحلیل توالی رخدادها.
تعریف و اهمیت حملات LOTL
مقوله LOTL به معنای سوءاستفاده مهاجم از ابزارهای استاندارد، اسکریپت‌ها و سرویس‌های سیستم‌عامل (مثل PowerShell، WMI، RDP و…) است تا فعالیت مخرب خود را در پوشش رفتار مشروع انجام دهد. این رویکرد، شناسایی توسط AV، EDR و حتی SIEMهای مبتنی بر signature را بسیار سخت می‌کند و مهاجم می‌تواند تا هفته‌ها یا حتی ماه‌ها در سایه باقی بماند.
تهدیدیابی سنتی: چرا کافی نیست؟
در گذشته، hunting بیشتر مبتنی بر جستجو بر اساس IOC یا signature بود؛ آی‌پی مشکوک، هش فایل، یا وقوع یک رخداد شناسایی‌شده. این مدل hunting اغلب واکنشی است، وابسته به شواهد ملموس یا هشدارهای آماده.
اما حملات LOTL دقیقاً این مدل دفاع را دور می‌زنند؛ زیرا رفتارشان شبیه کارکرد عادی سیستم است، تنها تفاوت در توالی اجرا، بافتار (Context) و ترکیب رفتارهاست.
سبک جدید شکار تهدید: از Hypothesis-driven تا Behavior-based
اخیراً در یکی از مقالات مطرح ۲۰۲۵ به این نکته پرداخته شده که برای آشکارسازی حملات LOTL باید threat hunting را به سطحی فراتر از واکنش به هشدارها و Signatureها ببریم و رویکرد فعال و فرضیه‌محور را جایگزین کنیم.
کلیدواژه‌ها و رویکردها:
🔹️ فرضیه‌سازی پیش‌دستانه:
بجای انتظار برای هشدار، فرضیه‌هایی مثل «چه می‌شود اگر PowerShell بعد از ریموت RDP اجرا شود؟» یا «آیا افزایش ناگهانی ارتباطات WMI نشانه lateral movement نیست؟» طرح‌ریزی و براساس آن شکار آغاز گردد.
🔹️ مبنای رفتاری و تحلیلی:
تمرکز روی رفتار ابزارهای داخلی و Sequence رخدادها: اجرای cmd و powershell در ترکیب با هم، استفاده غیرمعمول از Task Scheduler یا ارتباطات مشکوک بعد از اجرای اسکریپت.
🔹️ کار با Telemetry عمیق و گسترده:
داده‌های EDR، Sysmon یا Memory Forensics باید لایه به لایه بررسی شوند تا ارتباط رخدادهای ظاهراً معمول در کنار هم، تصویر حمله را آشکار کند.
تحول عملیاتی در تیم‌ها؛ نکات کاربردی
و SOC و مهندسان کشف باید علاوه‌بر IOC به دنبال نشانه‌های رفتاری و تغییرات subtle در زنجیره عملیات مهاجم باشند.
فرضیه‌سازی و آزمون آن تبدیل به چرخه دائمی hunting و یادگیری می‌شود؛ با هر شکار موفق یا اشتباه، الگوریتم و ruleهای تشخیصی باید اصلاح و غنی‌تر گردند.
ابزارهایی چون Sysmon، UEBA، و EDRهایی با قابلیت correlation، محور hunting مدرن خواهند بود.
#آکادمی_روزبه
مرکز تخصصی CISSP
Comments
Be the first to add a comment
Log in to comment