چرا روت کیت ها معمولا توسط EDR شناسایی نمیشوند!!
روزبه نوروزی
اینکه چرا روت‌کیت‌ها (Rootkits) معمولاً توسط EDRها شناسایی نمیشوند، به ماهیت خود روت‌کیت‌ها و نحوه کار EDR برمی‌گردد. بیایید مرحله‌به‌مرحله و ساده بررسی کنیم:
🔍 اول: روت‌کیت چیست؟
روت‌کیت یک نوع بدافزار پیشرفته است که:
در سطح بسیار پایین سیستم (مانند Kernel یا حتی Firmware) اجرا می‌شود.
هدف اصلی‌اش مخفی کردن حضور خودش یا سایر فایل‌ها، پردازش‌ها، و کانکشن‌ها است.
معمولاً به‌گونه‌ای طراحی می‌شود که هرگونه لاگ، اثر یا رفتاری که بتواند آن را لو بدهد، پنهان می‌کند.
🛡 محصولEDR چطور کار می‌کند؟
این EDR (Endpoint Detection and Response)در سطح کاربر (User Mode) یا بعضی وقت‌ها Kernel Mode اجرا می‌شود.
رفتار فایل‌ها، پردازش‌ها، رجیستری، شبکه، و APIهای سیستم را مانیتور می‌کند.
با استفاده از قوانین و الگوریتم‌های رفتارشناسی، تهدیدات را شناسایی و پاسخ می‌دهد.
❌ پس چرا EDR نمی‌تواند روت‌کیت را ببیند؟
چند دلیل مهم:
1. روت‌کیت خودش را از دید سیستم پنهان می‌کند
روت‌کیت‌ها می‌توانند:
لیست پردازش‌ها را در حافظه دستکاری کنند تا پردازش خودش را مخفی کند.
فایل‌ها را در درایوها طوری پنهان کنند که حتی APIهای فایل‌سیستم هم آن‌ها را نشان ندهند.
لاگ‌های سیستم را دستکاری کنند یا غیرفعال کنند.
بنابراین EDR که به داده‌های سیستم متکی است، داده‌های فریب‌خورده دریافت می‌کند.
2. روت‌کیت‌ها می‌توانند خودِ EDR را دور بزنند یا غیرفعال کنند
یک روت‌کیت در سطح کرنل ممکن است هوک‌های (hooks) مربوط به فعالیت EDR را از بین ببرد.
حتی ممکن است کاری کند که فعالیت EDR در لاگ ثبت نشود.
3.و EDRها اغلب به User-mode محدود هستند
بسیاری از EDRها برای سازگاری با سیستم‌عامل و جلوگیری از کرش، بیشتر فعالیت‌شان در User-mode است.
ولی روت‌کیت‌ها در Kernel-mode (یا پایین‌تر) کار می‌کنند، یعنی عملاً EDR نمی‌تواند آن سطح را ببیند.
🎯 پس چطور می‌توان روت‌کیت‌ها را شناسایی کرد؟
✅ روش‌های پیشرفته‌تر:
Memory forensics (تحلیل رم با ابزارهایی مثل Volatility):
تحلیل مستقیم ساختارهای حافظه که ممکن است توسط روت‌کیت‌ها تغییر یافته باشند.
به جای اعتماد به APIهای سیستم‌عامل، مستقیماً محتویات حافظه بررسی می‌شود.
Boot-time Scanning / Offline Scanning:
اسکن کردن سیستم قبل از بوت شدن سیستم‌عامل، مثلاً با Live CD.
چون روت‌کیت هنوز فعال نشده، قابل مشاهده است.
Hypervisor-based Security:
استفاده از تکنولوژی‌هایی مثل Hyper-V برای مشاهده رفتار سیستم از بیرون از سیستم‌عامل.
نقش XDR در کشف روت کیت :
با توجه به اینکه XDR ماژول هوش و تحلیل پیشرفته تری دارد و از آن مهمتر ماژول هایی خارج از هاست دارد احتمال کشف روت کیت توسط آن بالا است.
#آکادمی_روزبه
روزبه نوروزی
اینکه چرا روت‌کیت‌ها (Rootkits) معمولاً توسط EDRها شناسایی نمیشوند، به ماهیت خود روت‌کیت‌ها و نحوه کار EDR برمی‌گردد. بیایید مرحله‌به‌مرحله و ساده بررسی کنیم:
🔍 اول: روت‌کیت چیست؟
روت‌کیت یک نوع بدافزار پیشرفته است که:
در سطح بسیار پایین سیستم (مانند Kernel یا حتی Firmware) اجرا می‌شود.
هدف اصلی‌اش مخفی کردن حضور خودش یا سایر فایل‌ها، پردازش‌ها، و کانکشن‌ها است.
معمولاً به‌گونه‌ای طراحی می‌شود که هرگونه لاگ، اثر یا رفتاری که بتواند آن را لو بدهد، پنهان می‌کند.
🛡 محصولEDR چطور کار می‌کند؟
این EDR (Endpoint Detection and Response)در سطح کاربر (User Mode) یا بعضی وقت‌ها Kernel Mode اجرا می‌شود.
رفتار فایل‌ها، پردازش‌ها، رجیستری، شبکه، و APIهای سیستم را مانیتور می‌کند.
با استفاده از قوانین و الگوریتم‌های رفتارشناسی، تهدیدات را شناسایی و پاسخ می‌دهد.
❌ پس چرا EDR نمی‌تواند روت‌کیت را ببیند؟
چند دلیل مهم:
1. روت‌کیت خودش را از دید سیستم پنهان می‌کند
روت‌کیت‌ها می‌توانند:
لیست پردازش‌ها را در حافظه دستکاری کنند تا پردازش خودش را مخفی کند.
فایل‌ها را در درایوها طوری پنهان کنند که حتی APIهای فایل‌سیستم هم آن‌ها را نشان ندهند.
لاگ‌های سیستم را دستکاری کنند یا غیرفعال کنند.
بنابراین EDR که به داده‌های سیستم متکی است، داده‌های فریب‌خورده دریافت می‌کند.
2. روت‌کیت‌ها می‌توانند خودِ EDR را دور بزنند یا غیرفعال کنند
یک روت‌کیت در سطح کرنل ممکن است هوک‌های (hooks) مربوط به فعالیت EDR را از بین ببرد.
حتی ممکن است کاری کند که فعالیت EDR در لاگ ثبت نشود.
3.و EDRها اغلب به User-mode محدود هستند
بسیاری از EDRها برای سازگاری با سیستم‌عامل و جلوگیری از کرش، بیشتر فعالیت‌شان در User-mode است.
ولی روت‌کیت‌ها در Kernel-mode (یا پایین‌تر) کار می‌کنند، یعنی عملاً EDR نمی‌تواند آن سطح را ببیند.
🎯 پس چطور می‌توان روت‌کیت‌ها را شناسایی کرد؟
✅ روش‌های پیشرفته‌تر:
Memory forensics (تحلیل رم با ابزارهایی مثل Volatility):
تحلیل مستقیم ساختارهای حافظه که ممکن است توسط روت‌کیت‌ها تغییر یافته باشند.
به جای اعتماد به APIهای سیستم‌عامل، مستقیماً محتویات حافظه بررسی می‌شود.
Boot-time Scanning / Offline Scanning:
اسکن کردن سیستم قبل از بوت شدن سیستم‌عامل، مثلاً با Live CD.
چون روت‌کیت هنوز فعال نشده، قابل مشاهده است.
Hypervisor-based Security:
استفاده از تکنولوژی‌هایی مثل Hyper-V برای مشاهده رفتار سیستم از بیرون از سیستم‌عامل.
نقش XDR در کشف روت کیت :
با توجه به اینکه XDR ماژول هوش و تحلیل پیشرفته تری دارد و از آن مهمتر ماژول هایی خارج از هاست دارد احتمال کشف روت کیت توسط آن بالا است.
#آکادمی_روزبه
1 comment
Ali
عالی
Log in to comment