پاورشل قسمت ۲
پاورشل، مسدودسازی یا مدیریت هوشمند؟ یک انتخاب استراتژیک
پیرو صحبتی که در مورد بستن یا باز بودن پاورشل انجام دادم و دوستان هم نظراتی داشتند، لازم دیدم نظر جمع بندی شده ای از زاویه معمار امنیت ( نه فقط مدافع ) بنویسم .
در دنیای امنیت سایبری، بحث بر سر غیرفعال کردن PowerShell روی کلاینت‌ها و سرور ها یک موضوع داغ است. متخصصانی که نگران حملات پیشرفته «Living-off-the-Land» هستند، به درستی به قدرت این ابزار در دست مهاجمان اشاره می‌کنند و مسدودسازی آن را راهی برای کاهش سطح حمله می‌دانند. این نگرانی قابل درک است، زیرا PowerShell می‌تواند برای اجرای کدهای مخرب بدون نیاز به فایل و با دسترسی عمیق به سیستم‌عامل مورد استفاده قرار گیرد.
با این حال، این رویکرد یک راه‌حل استراتژیک نیست. بستن PowerShell نه تنها بهره‌وری تیم IT را با مختل کردن اتوماسیون و مدیریت متمرکز به شدت کاهش می‌دهد، بلکه یک حس امنیت کاذب ایجاد میکند. مهاجمان به سادگی با استفاده از تکنیک‌های Bypass، از کتابخانه‌های اصلی PowerShell در فرآیندهای دیگر استفاده می‌کنند و این بار، فعالیت آن‌ها در غیاب لاگ‌های حیاتی PowerShell، کاملاً پنهان می‌ماند.
رویکرد برتر، «مدیریت به جای مسدودسازی» است. با پیاده‌سازی کنترل‌های چندلایه مانند سیاست اجرایی AllSigned، استفاده از ابزارهای قدرتمند Whitelisting نظیر WDAC، و فعال‌سازی لاگ‌برداری پیشرفته، PowerShell از یک تهدید به یک سنسور امنیتی قدرتمند تبدیل می‌شود و می‌تواند حتی در عملیات فریب و هانت مورد استفاده قرار گیرد. این استراتژی نه تنها ریسک را به شکل مؤثرتری مدیریت میکند، بلکه قابلیت‌های حیاتی سازمان را حفظ کرده و به تیم‌های امنیتی دید و کنترل بی‌نظیری می‌بخشد.
اصولا همیشه در درس CISSP تحلیل میکنم که امنیت باید توانمند ساز سازمان در انجام وظایف بیزنسی باشد نه مانع !! (و این موضوع رو بصورت فنی در کارگاه تمرین میکنیم. ) اما با حذف پاورشل، ما عملا قدرت اجرایی مهمی را از واحد IT سازمان و در حقیقت از سازمان می‌گیریم و هزینه های راهبری فضای سایبری را برای سازمان افزایش می‌دهیم. این موضوع مانعی برای توسعه امنیت است چرا که منافع ذینفعان را نادیده گرفته و دشمنانی در سازمان ایجاد میکند و همچنان چوب لای چرخ می‌گذارد. ضمنا با این نگاه در حذف پاورشل ما دید به امنیت را منفی میکنیم.
اما باید گفت این نگاه «مدیریت به جای مسدودسازی» را هم نمی‌توان از هر کسی انتظار داشت. مدافع ( تیم آبی) باید با اجرای پاورشل و باز بودن آن مخالفت کند اما آنکس که این میانه هم نگاه به بیزنس دارد هم به امنیت ، معمار امنیت سازمان است . لذا اون با نگاه به مزایا و معایب پاورشل تصمیمات نهایی را اتخاذ میکند.
از مزایای درس CISSP ؛ توانایی در تمیز و قدرت تشخیص چنین راهکارهایی است که دانشجویان بدان نائل می‌شوند.
علمی بیاندیشیم و در نقش خود حرفه ای باشیم .
والسلام
پاورشل، مسدودسازی یا مدیریت هوشمند؟ یک انتخاب استراتژیک
پیرو صحبتی که در مورد بستن یا باز بودن پاورشل انجام دادم و دوستان هم نظراتی داشتند، لازم دیدم نظر جمع بندی شده ای از زاویه معمار امنیت ( نه فقط مدافع ) بنویسم .
در دنیای امنیت سایبری، بحث بر سر غیرفعال کردن PowerShell روی کلاینت‌ها و سرور ها یک موضوع داغ است. متخصصانی که نگران حملات پیشرفته «Living-off-the-Land» هستند، به درستی به قدرت این ابزار در دست مهاجمان اشاره می‌کنند و مسدودسازی آن را راهی برای کاهش سطح حمله می‌دانند. این نگرانی قابل درک است، زیرا PowerShell می‌تواند برای اجرای کدهای مخرب بدون نیاز به فایل و با دسترسی عمیق به سیستم‌عامل مورد استفاده قرار گیرد.
با این حال، این رویکرد یک راه‌حل استراتژیک نیست. بستن PowerShell نه تنها بهره‌وری تیم IT را با مختل کردن اتوماسیون و مدیریت متمرکز به شدت کاهش می‌دهد، بلکه یک حس امنیت کاذب ایجاد میکند. مهاجمان به سادگی با استفاده از تکنیک‌های Bypass، از کتابخانه‌های اصلی PowerShell در فرآیندهای دیگر استفاده می‌کنند و این بار، فعالیت آن‌ها در غیاب لاگ‌های حیاتی PowerShell، کاملاً پنهان می‌ماند.
رویکرد برتر، «مدیریت به جای مسدودسازی» است. با پیاده‌سازی کنترل‌های چندلایه مانند سیاست اجرایی AllSigned، استفاده از ابزارهای قدرتمند Whitelisting نظیر WDAC، و فعال‌سازی لاگ‌برداری پیشرفته، PowerShell از یک تهدید به یک سنسور امنیتی قدرتمند تبدیل می‌شود و می‌تواند حتی در عملیات فریب و هانت مورد استفاده قرار گیرد. این استراتژی نه تنها ریسک را به شکل مؤثرتری مدیریت میکند، بلکه قابلیت‌های حیاتی سازمان را حفظ کرده و به تیم‌های امنیتی دید و کنترل بی‌نظیری می‌بخشد.
اصولا همیشه در درس CISSP تحلیل میکنم که امنیت باید توانمند ساز سازمان در انجام وظایف بیزنسی باشد نه مانع !! (و این موضوع رو بصورت فنی در کارگاه تمرین میکنیم. ) اما با حذف پاورشل، ما عملا قدرت اجرایی مهمی را از واحد IT سازمان و در حقیقت از سازمان می‌گیریم و هزینه های راهبری فضای سایبری را برای سازمان افزایش می‌دهیم. این موضوع مانعی برای توسعه امنیت است چرا که منافع ذینفعان را نادیده گرفته و دشمنانی در سازمان ایجاد میکند و همچنان چوب لای چرخ می‌گذارد. ضمنا با این نگاه در حذف پاورشل ما دید به امنیت را منفی میکنیم.
اما باید گفت این نگاه «مدیریت به جای مسدودسازی» را هم نمی‌توان از هر کسی انتظار داشت. مدافع ( تیم آبی) باید با اجرای پاورشل و باز بودن آن مخالفت کند اما آنکس که این میانه هم نگاه به بیزنس دارد هم به امنیت ، معمار امنیت سازمان است . لذا اون با نگاه به مزایا و معایب پاورشل تصمیمات نهایی را اتخاذ میکند.
از مزایای درس CISSP ؛ توانایی در تمیز و قدرت تشخیص چنین راهکارهایی است که دانشجویان بدان نائل می‌شوند.
علمی بیاندیشیم و در نقش خود حرفه ای باشیم .
والسلام
Comments
Be the first to add a comment
Log in to comment