🔴مهم و جدید: وقتی EDRو XDR شما دور میخورد
جایی کهSOC شما باید وارد عمل شود


در بسیاری از سازمان‌ها، ابزارهای EDR و SIEM معمولاً دستورات خط فرمان مرتبط با Volume Shadow Copy (VSS) را برای جلوگیری از استخراج غیرمجاز داده‌ها مانیتور می‌کنند؛ اما روشی وجود دارد که می‌تواند این مکانیزم‌های دفاعی را دور بزند. با استفاده از قابلیت Previous Versions در Windows Explorer، مهاجم می‌تواند بدون اجرای هیچ دستور خط فرمان یا ابزار خاص، مستقیماً به Snapshotهای قبلی فایل‌ها یا پوشه‌ها دسترسی پیدا کند. کافی است مسیر UNC شبیه به
\\localhost\C$\@GMT-تاریخ‌خاص\Windows\NTDS\ntds.dit
را در Windows Explorer وارد کند تا بتواند فایل حساس مثل ntds.dit یک Domain Controller را از داخل یک Snapshot استخراج کند.

این روش عموماً در هیچ راهکار مانیتورینگ مبتنی بر فرمان‌های VSS قابل شناسایی نیست، چراکه هیچ رخداد یا لاگ خاصی از اجرای دستور ثبت نمی‌شود؛ به همین دلیل، این یک گپ امنیتی مهم است که اغلب توسط تیم‌های Blue Team و SOC نادیده گرفته می‌شود.

برای کاهش این ریسک باید دسترسی به مسیرهای دارای نشانه@GMT- در فایل سرورها و سرورهای دامین مانیتور شود و همچنین تیم تحلیلگر به این تکنیک‌ها آگاه گردد تا اقدامات متقابل مناسب طراحی و پیاده‌سازی گردد.


#آکادمی_روزبه
مرکز تخصصی CISSP