👆👆ادامه از پست قبل


رابطه والد-فرزندی اشتباه: svchost.exe همیشه توسط services.exe اجرا می‌شود. lsass.exe همیشه توسط wininit.exe اجرا می‌شود. اگر یک svchost.exe را پیدا کردید که والد آن explorer.exe یا powershell.exe است، این یک ناهنجاری جدی است که می‌تواند نشان‌دهنده Process Injection یا تکنیک‌های دیگر باشد.

سناریوی شکار ۳: اتصالات شبکه غیرمنتظره

فرضیه: فرایندهای سیستمی که به طور معمول نباید با اینترنت ارتباط برقرار کنند، در حال ارسال یا دریافت ترافیک هستند. این می‌تواند نشانه ارتباط با سرور Command & Control (C2) باشد. (مرتبط با MITRE ATT&CK T1071: Application Layer Protocol)
نقاط داده کلیدی در JSON خروجی:
Network.Process.Name
Network.RemoteAddress
Network.RemotePort
Network.State (e.g., ESTABLISHED)
ناهنجاری‌هایی که باید به دنبالشان باشید:

ارتباطات خروجی از فرایندهای نامرتبط: چرا notepad.exe باید یک اتصال TCP به یک آدرس IP خارجی روی پورت 443 داشته باشد؟ چرا calc.exe باید به جایی وصل شود؟
ارتباطات lsass.exe: فرایند lsass.exe فقط باید با Domain Controllerها ارتباط برقرار کند. هرگونه اتصال خروجی از lsass.exe به یک آدرس IP ناشناس در اینترنت، یک هشدار بسیار جدی برای سرقت Credential (Credential Dumping) است.

Query نمونه با jq:


cat surveyor-output.json | jq '.Network[] | select(.Process.Name == "lsass.exe" and .RemoteAddress != "DC_IP_ADDRESS")'


3. جریان کاری (Workflow) یک شکارچی با Surveyor

تعریف فرضیه: با یک تکنیک ATT&CK شروع کنید. مثال: “مهاجم از Scheduled Tasks برای پایداری استفاده می‌کند.” (T1053.005)
اجرای Surveyor در مقیاس: با استفاده از PowerShell Remoting, PsExec یا ابزار مدیریت Endpoint خود، surveyor.exe -p را روی گروهی از ماشین‌های هدف (مثلاً تمام سرورهای وب) اجرا کنید.
تجمیع و نرمال‌سازی داده‌ها: تمام فایل‌های JSON خروجی را در یک مکان مرکزی جمع‌آوری کنید.
شکار و تحلیل:

ابتدا به دنبال ناهنجاری‌های آشکار بگردید (سرویس‌های بدون امضا، وظایف زمان‌بندی شده در مسیرهای کاربری).
سپس به سراغ تحلیل آماری بروید: “کدام مسیرهای اجرایی برای Scheduled Tasks در کل سازمان من شایع‌ترین هستند؟” هر چیزی که خارج از این شیوع باشد، یک Outlier است و نیاز به بررسی دارد.
مثال: یک وظیفه زمان‌بندی شده که rundll32.exe را با پارامترهای عجیب فراخوانی می‌کند، باید فوراً بررسی شود.

عملیاتی کردن یافته‌ها: پس از شناسایی یک ناهنجاری روی یک سیستم، از داده‌های Surveyor (مانند PID, Path, Hash) برای Pivot کردن به ابزارهای دیگر (مانند لاگ‌های EDR، تحلیل حافظه زنده (Live Memory Analysis) یا فارنزیک دیسک) برای تحقیقات عمیق‌تر استفاده کنید.

جمع‌بندی برای متخصص

مقاله Red Canary به شما نمی‌گوید چه چیزی بد است. به شما می‌گوید چگونه با استفاده از داده‌های ساختاریافته، خودتان تعریف کنید که “بد” در محیط شما به چه معناست. Surveyor یک ابزار ساده نیست؛ یک پلتفرم جمع‌آوری داده است که به شما به عنوان یک شکارچی، قدرت می‌دهد تا فرضیه‌های خود را در مقیاس وسیع آزمایش کرده و ناهنجاری‌هایی را پیدا کنید که سیستم‌های تشخیص خودکار ممکن است از دست بدهند. این ابزار، شکار تهدید را از یک فعالیت واکنشی به یک فعالیت کنشگرانه و مبتنی بر داده تبدیل می‌کند. آن را به جعبه ابزار خود اضافه کنید.


#آکادمی_روزبه
مرکز تخصصی CISSP