ادامه از پست قبل

✅ 3. استفاده از Kernel Logging برای مانیتورینگ لاگ‌های حذف‌شده
🔹 برخی EDRها مثل CrowdStrike Falcon می‌توانند تلاش‌های حذف لاگ‌ها را تشخیص دهند.
🔹 فعال کردن Auditing در Windows Defender:

Set-MpPreference -EnableFileHashComputation $true

✅ 4. نظارت بر حذف یا تغییر رجیستری‌های مربوط به ETW
🔹 راهکار: ایجاد یک قانون برای شناسایی تغییر در رجیستری‌های ETW با PowerShell:

Get-EventLog -LogName Security | Where-Object {$_.EventID -eq 1102}

✅ 5. فعال‌سازی Event Forwarding برای ارسال لاگ‌ها به SIEM
🔹 راهکار: ارسال لاگ‌ها به Splunk یا ELK برای جلوگیری از پاک شدن در سیستم محلی.
🎯 جمع‌بندی

✔️ حملات علیه ETW شامل Patch کردن APIها، Hook کردن توابع، حذف رجیستری، و دستکاری رویدادها هستند.
✔️ مهاجمان از این تکنیک‌ها برای مخفی‌سازی پردازش‌های مخرب، حذف شواهد، و جلوگیری از کشف بدافزارها استفاده می‌کنند.
✔️ ترکیب SIEM، EDR، Memory Forensics، و Kernel Logging می‌تواند راه‌های شناسایی این حملات را تقویت کند.

📢 اگر در یک SOC فعالیت دارید، حتماً لاگ‌های ETW را به یک SIEM ارسال کرده و Integrity نهایی NTDLL را پایش کنید! 🚀

#من_آموزش_میدهم
#آکادمی_روزبه