یه دوستی تا بحث در SOC میشد میگفت اگر ETW کور بشه دیگه تعطیل شدیم
بله
در دنیای امنیت عملیاتی، EDRها برای بینایی دیجیتال خود بیش از هر چیز به Event Tracing for Windows (ETW) متکی‌اند. ETW مثل چشم سیستم‌عامل است: رویدادها را ثبت و آن‌ها را به Sysmon، SIEM و موتور EDR می‌رساند.
اما بدافزارهای پیشرفته‌ای چونSilence، TrickBot و برخیRedTeam loaders با Patch کردن توابعی مثل EtwEventWrite و EtwNotificationRegister یا حذف کامل providerهای WMI و Defender از رجیستری، این چشم را کور می‌کنند.
در این نقطه، تمام حسگرهای سطح کاربر بی‌اطلاع می‌مانند و سازمان عملاً در تاریکی تهدید فعالیت می‌کند.
در چنین سناریویی، تنها EDRهای حرفه‌ای دوام می‌آورند ؛ آن‌هایی که می‌توانند fallback به Kernel‑Driver Tracing داشته باشند. آن‌ها مستقیماً رفتار سیستم را از طریق syscall hooking در توابعی چون NtCreateUserProcess, ZwMapViewOfSection و NtWriteVirtualMemory تحلیل می‌کنند.
این توانایی که من در Trendmicro دیدم یعنی دید زنده در سطح حافظه، جایی که بدافزار هنوز نمی‌تواند وانمود کند که وجود ندارد.
به‌همین دلیل، بین یک sensor سبک و EDR واقعی مرزی وجود دارد:
یکی فقط log می‌خواند، دیگری واقعیت را در کرنل می‌بیند.
نکته مدیریتی : ما بعنوان معمار و مدیر امنیت در سازمان باید با شناخت پروفایل ریسک سازمان کنترل متناسب را انتخاب کنیم. شناخت درست ما از ریسک ما را بدانجا می‌رساند که با هر EDR کنار نیاییم . پس شما بعنوان مدیر یا کارشناس ارشد امنیت ، وظیفه اصلی ات رو فراموش نکن.
بله
در دنیای امنیت عملیاتی، EDRها برای بینایی دیجیتال خود بیش از هر چیز به Event Tracing for Windows (ETW) متکی‌اند. ETW مثل چشم سیستم‌عامل است: رویدادها را ثبت و آن‌ها را به Sysmon، SIEM و موتور EDR می‌رساند.
اما بدافزارهای پیشرفته‌ای چونSilence، TrickBot و برخیRedTeam loaders با Patch کردن توابعی مثل EtwEventWrite و EtwNotificationRegister یا حذف کامل providerهای WMI و Defender از رجیستری، این چشم را کور می‌کنند.
در این نقطه، تمام حسگرهای سطح کاربر بی‌اطلاع می‌مانند و سازمان عملاً در تاریکی تهدید فعالیت می‌کند.
در چنین سناریویی، تنها EDRهای حرفه‌ای دوام می‌آورند ؛ آن‌هایی که می‌توانند fallback به Kernel‑Driver Tracing داشته باشند. آن‌ها مستقیماً رفتار سیستم را از طریق syscall hooking در توابعی چون NtCreateUserProcess, ZwMapViewOfSection و NtWriteVirtualMemory تحلیل می‌کنند.
این توانایی که من در Trendmicro دیدم یعنی دید زنده در سطح حافظه، جایی که بدافزار هنوز نمی‌تواند وانمود کند که وجود ندارد.
به‌همین دلیل، بین یک sensor سبک و EDR واقعی مرزی وجود دارد:
یکی فقط log می‌خواند، دیگری واقعیت را در کرنل می‌بیند.
نکته مدیریتی : ما بعنوان معمار و مدیر امنیت در سازمان باید با شناخت پروفایل ریسک سازمان کنترل متناسب را انتخاب کنیم. شناخت درست ما از ریسک ما را بدانجا می‌رساند که با هر EDR کنار نیاییم . پس شما بعنوان مدیر یا کارشناس ارشد امنیت ، وظیفه اصلی ات رو فراموش نکن.
Comments
Be the first to add a comment
Log in to comment