سناریو

پس از مشاهده آلودگی اولیه و ارتباط با C2 ، یکی از دوگانگی‌های کلاسیک در شکار تهدید و IR پیش رو هست:
"Contain یا Observe"
(جلوگیری فوری از انتشار یا صبر برای دیدن رفتار کامل؟)

خیلی اینجا نیاز به تجربه داره

ولی نکاتی میگم که بتونه بهتون کمک کنه راهکارهایی رو در پی بگیرید( اما این وسط نکات بسیاره که در همراهی با کانال اونها رو میبینید )

ترکیبی از ایزولاسیون پنهان و نظارت پنهان


۱.انجام Redirect / Sinkhole DNS

به جای قطع کامل ارتباط، ترافیک DNS و HTTP رو به سرور داخلی می‌فرستید تا رفتار رو تقلید کنه (decoy).
۲. انجامPacket Capture

با ابزارهایی مثل Zeek یا Wireshark ترافیک به روی اون endpoint یا سوییچ، رو ذخیره میکنیم.
۳. انجام EDR Isolation در Silent Mode (اگه ساپورت بشه)

بعضی EDRها مثل CrowdStrike, Defender ATP، حالت stealth isolation دارند: کاربر چیزی نمی‌فهمه ولی ارتباط به C2 قطع می‌شه.
۴. انجام Live Memory Dump

قبل از هر واکنشی، RAM رو dump بگیرید. چون در حافظه ممکنه توکن‌ها، keylogger، shellcode، یا حتی decryptorها باشن.




**اینطوری چند قدم در راه نظارت فعال و واکنش واقع بینانه همراه با پنهان کاری قدم برداشتی . هم میدونی چه خبره هم هکر نمیدونه تو هستی و کار خطرناکی نمیکنه

#آکادمی_روزبه
مرکز تخصصی CISSP

#تجربه #درس_آموخته