#تجربه
#بهسازی_SOC
اگر سیسمون رو بر اساس تنظیمات swiftonsecurity یا olafhartong انجام می‌دهید تا دقت خوب و کاهش حجم لاگ داشته باشید بدانید چه ریسک هایی رو ندید میگیرید!!
در این مقاله به اونها می‌پردازم
روزبه نوروزی
لیست حملاتی که با config مینیمال Sysmon ممکن است قابل کشف نباشند
۱. حملهLOTL (Living Off The Land) با ابزارهای بومی کمتر رایج
اجرای ابزارهایی مانند certutil.exe، mshta.exe، یا forfiles.exe اگر فقط روی powershell و cmd حساسیت باشد، معمولاً در مینیمال config اصلاً Log نمی‌شوند.
۲. برخی تکنیک‌های Fileless Malware
حملاتی که کد مخرب را مستقیماً در حافظه تزریق می‌کنند (مانند process hollowing یا reflectively loaded DLL)، اگر Log مربوط به Memory/Process creation دقیق شناسایی نشود (Event ID 8: CreateRemoteThread، Event ID 10: ProcessAccess).
۳. تغییرات مخفی در Registry
تغییر کلیدهای خاص (مثل Run، Image File Execution Options، یا کلیدهای less-known مانند AppInit_DLLs، UserInit) اغلب Log نمی‌شوند اگر فقط کلیدهای خاصی مانیتور شوند.
۴. انجام Network Lateral Movement
اگر فقط ترافیک غیر لوکال یا پورت‌های مشهور log شود، ترافیک غیرمعمول در داخل شبکه (مثلاً روی پورت 4444 یا WMI) از دست می‌رود (Event ID 3: Network Connection معمولاً حسابی فیلتر می‌شود).
۵. تغییرات پیشرفته در Scheduled Tasks
اگر config فقط schtasks.exe را log کند و نه فایل‌های XML یا عملیات از طریق API ویندوز، ساخت task با ابزارهای بومی در EventID 1 دیده نمی‌شود.
۶. تهدیدات مبتنی بر Named Pipe/IPC
همزادسازی دسترسی بین پردازش‌ها (Event ID 17/18: Pipe Created/Connected) در اکثر configها خاموش است، در نتیجه حملات IPC-Based قابل کشف نیستند.
۷. دور زدن با Parent-Child Spoofing
اگر ParentImage logging صرفاً محدود به پروسس‌های کلاسیک باشد، حملاتی با process injection یا hollowing که Parent غیرعادی دارند، تشخیص داده نمی‌شوند.
۸. وجودPersistenceهای نامتعارف (WMI Event Consumer/Filter)
ایجاد WMI Permanent Event Subscription (Event ID 19, 20, 21) اغلب در configهای سبک logging نمی‌شوند.
۹. وExecution از طریق کمندهای جستجوگر ویندوز
اجرای مخرب از طریق Search-ms protocol، searchui.exe یا حتی explorer با argumentهای دقیق؛ اگر فقط روی powershell و cmd حساسیت باشد نادیده گرفته می‌شود.
۱۰. وDLL Sideloading و اجرای DLLهای نامعلوم
اگر FileCreate مربوط به فولدرهای مشکوک (مانند ProgramData یا TEMP) log نشود، این تکنیک‌ها مخفی می‌مانند.
#تجربه
#آکادمی_روزبه
مرکز تخصصی CISSP
#بهسازی_SOC
اگر سیسمون رو بر اساس تنظیمات swiftonsecurity یا olafhartong انجام می‌دهید تا دقت خوب و کاهش حجم لاگ داشته باشید بدانید چه ریسک هایی رو ندید میگیرید!!
در این مقاله به اونها می‌پردازم
روزبه نوروزی
لیست حملاتی که با config مینیمال Sysmon ممکن است قابل کشف نباشند
۱. حملهLOTL (Living Off The Land) با ابزارهای بومی کمتر رایج
اجرای ابزارهایی مانند certutil.exe، mshta.exe، یا forfiles.exe اگر فقط روی powershell و cmd حساسیت باشد، معمولاً در مینیمال config اصلاً Log نمی‌شوند.
۲. برخی تکنیک‌های Fileless Malware
حملاتی که کد مخرب را مستقیماً در حافظه تزریق می‌کنند (مانند process hollowing یا reflectively loaded DLL)، اگر Log مربوط به Memory/Process creation دقیق شناسایی نشود (Event ID 8: CreateRemoteThread، Event ID 10: ProcessAccess).
۳. تغییرات مخفی در Registry
تغییر کلیدهای خاص (مثل Run، Image File Execution Options، یا کلیدهای less-known مانند AppInit_DLLs، UserInit) اغلب Log نمی‌شوند اگر فقط کلیدهای خاصی مانیتور شوند.
۴. انجام Network Lateral Movement
اگر فقط ترافیک غیر لوکال یا پورت‌های مشهور log شود، ترافیک غیرمعمول در داخل شبکه (مثلاً روی پورت 4444 یا WMI) از دست می‌رود (Event ID 3: Network Connection معمولاً حسابی فیلتر می‌شود).
۵. تغییرات پیشرفته در Scheduled Tasks
اگر config فقط schtasks.exe را log کند و نه فایل‌های XML یا عملیات از طریق API ویندوز، ساخت task با ابزارهای بومی در EventID 1 دیده نمی‌شود.
۶. تهدیدات مبتنی بر Named Pipe/IPC
همزادسازی دسترسی بین پردازش‌ها (Event ID 17/18: Pipe Created/Connected) در اکثر configها خاموش است، در نتیجه حملات IPC-Based قابل کشف نیستند.
۷. دور زدن با Parent-Child Spoofing
اگر ParentImage logging صرفاً محدود به پروسس‌های کلاسیک باشد، حملاتی با process injection یا hollowing که Parent غیرعادی دارند، تشخیص داده نمی‌شوند.
۸. وجودPersistenceهای نامتعارف (WMI Event Consumer/Filter)
ایجاد WMI Permanent Event Subscription (Event ID 19, 20, 21) اغلب در configهای سبک logging نمی‌شوند.
۹. وExecution از طریق کمندهای جستجوگر ویندوز
اجرای مخرب از طریق Search-ms protocol، searchui.exe یا حتی explorer با argumentهای دقیق؛ اگر فقط روی powershell و cmd حساسیت باشد نادیده گرفته می‌شود.
۱۰. وDLL Sideloading و اجرای DLLهای نامعلوم
اگر FileCreate مربوط به فولدرهای مشکوک (مانند ProgramData یا TEMP) log نشود، این تکنیک‌ها مخفی می‌مانند.
#تجربه
#آکادمی_روزبه
مرکز تخصصی CISSP
Comments
Be the first to add a comment
Log in to comment