شبحی در لاگ‌ها؛ ردپایی که قرار نبود دیده شود
اخیراً مقاله‌ای خواندم که مفهوم تاریخی پالیم‌سس (متنی که روی نوشته قبلی نوشته می‌شود و آثار قبلی هنوز کم‌رنگ باقی می‌مانند) را به تحقیقات DFIR ربط می‌داد. ایده جالبی بود: در دنیای واقعی، حتی وقتی متن اصلی پاک یا بازنویسی می‌شود، با ابزار مناسب می‌توان آن را بازیابی کرد.
در امنیت سایبری هم، مهاجمان سعی می‌کنند با دستوراتی مثل:
wevtutil cl Security
fsutil usn deletejournal /D C:
sdelete -z C:
رد خود را پاک کنند. اما درست مثل پالیم‌سس، حقیقت به‌طور کامل نابود نمی‌شود — قطعاتی از داده هنوز در جاهایی که انتظارش را ندارند، باقی می‌مانند: از USN Journal گرفته تا متادیتای فایل‌سیستم.
برای من، این یادآوری بود که کار ما در DFIR، پیدا کردن آن لایه‌های زیرین است؛ همان ردهای محو که قرار نبود دیگر دیده شوند… ولی ما می‌بینیمشان.
میتونیم در دوره ۶۰۸ در این مورد بیشتر گپ بزنیم
از شهریور این ماراتن رو شروع میکنم
👌در برند روزبه ، این یک تبلیغ نیست؛ بلکه دعوتی است برای آموزش و یادگیری حرفه ای دوستانه .
https://nasbench.medium.com/the-ghost-in-the-logs-dfir-through-a-palimpsest-lens-b592ef733f4f
اخیراً مقاله‌ای خواندم که مفهوم تاریخی پالیم‌سس (متنی که روی نوشته قبلی نوشته می‌شود و آثار قبلی هنوز کم‌رنگ باقی می‌مانند) را به تحقیقات DFIR ربط می‌داد. ایده جالبی بود: در دنیای واقعی، حتی وقتی متن اصلی پاک یا بازنویسی می‌شود، با ابزار مناسب می‌توان آن را بازیابی کرد.
در امنیت سایبری هم، مهاجمان سعی می‌کنند با دستوراتی مثل:
wevtutil cl Security
fsutil usn deletejournal /D C:
sdelete -z C:
رد خود را پاک کنند. اما درست مثل پالیم‌سس، حقیقت به‌طور کامل نابود نمی‌شود — قطعاتی از داده هنوز در جاهایی که انتظارش را ندارند، باقی می‌مانند: از USN Journal گرفته تا متادیتای فایل‌سیستم.
برای من، این یادآوری بود که کار ما در DFIR، پیدا کردن آن لایه‌های زیرین است؛ همان ردهای محو که قرار نبود دیگر دیده شوند… ولی ما می‌بینیمشان.
میتونیم در دوره ۶۰۸ در این مورد بیشتر گپ بزنیم
از شهریور این ماراتن رو شروع میکنم
👌در برند روزبه ، این یک تبلیغ نیست؛ بلکه دعوتی است برای آموزش و یادگیری حرفه ای دوستانه .
https://nasbench.medium.com/the-ghost-in-the-logs-dfir-through-a-palimpsest-lens-b592ef733f4f
Comments
Be the first to add a comment
Log in to comment