#امنیت_به_زبان_ساده
هرم درد : تمرکز بر راس هرم
تاکتیک‌ها، تکنیک‌ها و رویه‌ها (TTPs) سخت و موثر
کشف TTPs بالاترین و مؤثرترین و سخت ترین سطح دفاع است. در این سطح، ما دیگر به دنبال یک فایل یا ابزار خاص نیستیم، بلکه به دنبال الگوی رفتاری مهاجم هستیم
تاکتیک (Tactic): هدف کلی مهاجم چیست؟ (مثلاً: دسترسی اولیه، ارتقای سطح دسترسی، حرکت جانبی در شبکه).
تکنیک (Technique): چگونه آن هدف را دنبال میکند؟ (مثلاً: برای دسترسی اولیه از فیشینگ استفاده میکند).
رویه (Procedure): جزئیات دقیق پیاده‌سازی آن تکنیک چگونه است؟ (مثلاً: ایمیل فیشینگ با یک فایل PDF آلوده که از یک آسیب‌پذیری خاص در Adobe Reader استفاده میکند).
برای مدافع: شناسایی TTPها نیازمند دید جامع به کل زنجیره حمله، تحلیلگران خبره و ابزارهای پیشرفته مانند SIEM و SOAR است. ما به دنبال “داستان” حمله هستیم، نه فقط یک نشانه . هم سخت است هم موثر . کشف کردن این عنصر نیاز به یک عملیات پیچیده دارد اما وقتی کشف شد هکر را خلع سلاح میکند
درد برای مهاجم: فلج‌کننده! وقتی ما بتوانیم TTPهای یک مهاجم را شناسایی کنیم ، در واقع کل استراتژی و کتابچه راهنمای (Playbook) او را بی‌اثر کرده‌ایم.
مهاجم دیگر نمی‌تواند با تغییر ابزار یا IP به کار خود ادامه دهد. او باید روش فکر کردن و عمل کردن خود را از پایه تغییر دهد که این کار بسیار پرهزینه، زمان‌بر و گاهی غیرممکن است.
مثال: ما متوجه می‌شویم که مهاجم همیشه ابتدا از طریق فیشینگ وارد می‌شود، سپس با استفاده از PowerShell یک اسکریپت بدون فایل (Fileless) را برای حرکت جانبی اجرا میکند و در نهایت داده‌ها را فشرده کرده و از طریق DNS Tunneling به بیرون ارسال میکند. ما با تمرکز بر شناسایی و مسدود کردن هر یک از این رفتارها (نه فقط ابزارها)، کل عملیات او را، صرف نظر از ابزاری که استفاده میکند، مختل می‌کنیم.
#آکادمی_روزبه www.haumoun.com
ثبت نام دوره سطح ۱ و ۲ واتس اپ 09902857290
هرم درد : تمرکز بر راس هرم
تاکتیک‌ها، تکنیک‌ها و رویه‌ها (TTPs) سخت و موثر
کشف TTPs بالاترین و مؤثرترین و سخت ترین سطح دفاع است. در این سطح، ما دیگر به دنبال یک فایل یا ابزار خاص نیستیم، بلکه به دنبال الگوی رفتاری مهاجم هستیم
تاکتیک (Tactic): هدف کلی مهاجم چیست؟ (مثلاً: دسترسی اولیه، ارتقای سطح دسترسی، حرکت جانبی در شبکه).
تکنیک (Technique): چگونه آن هدف را دنبال میکند؟ (مثلاً: برای دسترسی اولیه از فیشینگ استفاده میکند).
رویه (Procedure): جزئیات دقیق پیاده‌سازی آن تکنیک چگونه است؟ (مثلاً: ایمیل فیشینگ با یک فایل PDF آلوده که از یک آسیب‌پذیری خاص در Adobe Reader استفاده میکند).
برای مدافع: شناسایی TTPها نیازمند دید جامع به کل زنجیره حمله، تحلیلگران خبره و ابزارهای پیشرفته مانند SIEM و SOAR است. ما به دنبال “داستان” حمله هستیم، نه فقط یک نشانه . هم سخت است هم موثر . کشف کردن این عنصر نیاز به یک عملیات پیچیده دارد اما وقتی کشف شد هکر را خلع سلاح میکند
درد برای مهاجم: فلج‌کننده! وقتی ما بتوانیم TTPهای یک مهاجم را شناسایی کنیم ، در واقع کل استراتژی و کتابچه راهنمای (Playbook) او را بی‌اثر کرده‌ایم.
مهاجم دیگر نمی‌تواند با تغییر ابزار یا IP به کار خود ادامه دهد. او باید روش فکر کردن و عمل کردن خود را از پایه تغییر دهد که این کار بسیار پرهزینه، زمان‌بر و گاهی غیرممکن است.
مثال: ما متوجه می‌شویم که مهاجم همیشه ابتدا از طریق فیشینگ وارد می‌شود، سپس با استفاده از PowerShell یک اسکریپت بدون فایل (Fileless) را برای حرکت جانبی اجرا میکند و در نهایت داده‌ها را فشرده کرده و از طریق DNS Tunneling به بیرون ارسال میکند. ما با تمرکز بر شناسایی و مسدود کردن هر یک از این رفتارها (نه فقط ابزارها)، کل عملیات او را، صرف نظر از ابزاری که استفاده میکند، مختل می‌کنیم.
#آکادمی_روزبه www.haumoun.com
ثبت نام دوره سطح ۱ و ۲ واتس اپ 09902857290
Comments
Be the first to add a comment
Log in to comment