چطور در دوره SOC T1 می‌آموزیم؟
مثال : WMI چیست و چه مساله ای ما با او داریم
پروتکل WMI یا Windows Management Instrumentation را می‌توان زبان مشترک مدیریت ویندوز دانست.
پروتکل WMI به برنامه‌ها، مدیران شبکه و اسکریپت‌ها اجازه می‌دهد از ویندوز اطلاعات بگیرند یا برخی کارها را از راه دور و محلی انجام دهند؛ مثلاً:
چه پردازش‌هایی در حال اجرا هستند؟
سیستم چه IP و مقدار RAM دارد؟
چه سرویس‌هایی فعال‌اند؟
آیا می‌توان یک سرویس را متوقف کرد؟
آیا می‌توان برنامه‌ای را روی سیستم دیگری اجرا کرد؟
مثلاً مدیر شبکه با WMI وضعیت صدها کامپیوتر را بدون مراجعه حضوری بررسی می‌کند. اما مهاجم هم ممکن است از همین قابلیت قانونی برای شناسایی سیستم، اجرای فرمان، حرکت جانبی و ایجاد ماندگاری استفاده کند.
پس WMI ذاتاً بدافزار نیست؛ یک ابزار مدیریتی قدرتمند است که استفاده غیرعادی از آن باید پایش شود.
تشبیه ساده: WMI مثل میز اطلاعات و کنترل ویندوز است؛ سؤال می‌پرسید، اطلاعات می‌گیرید و اگر مجوز داشته باشید، دستور هم اجرا می‌کنید.
مثال تاریخی
حمله Olympic Destroyer در المپیک زمستانی ۲۰۱۸
این بدافزار زیرساخت فناوری اطلاعات المپیک پیونگ‌چانگ را هدف قرار داد. مهاجمان با اعتبارنامه‌های سرقت‌شده و با کمک WMI و PsExec از یک سیستم به سیستم دیگر حرکت کردند. سپس سرویس‌ها و قابلیت‌های بازیابی را غیرفعال کردند و باعث اختلال در وب‌سایت، شبکه وای‌فای و سامانه‌های مراسم افتتاحیه شدند
حالا چطور سوء استفاده رو کشف کنیم ؟👇👇
مثال : WMI چیست و چه مساله ای ما با او داریم
پروتکل WMI یا Windows Management Instrumentation را می‌توان زبان مشترک مدیریت ویندوز دانست.
پروتکل WMI به برنامه‌ها، مدیران شبکه و اسکریپت‌ها اجازه می‌دهد از ویندوز اطلاعات بگیرند یا برخی کارها را از راه دور و محلی انجام دهند؛ مثلاً:
چه پردازش‌هایی در حال اجرا هستند؟
سیستم چه IP و مقدار RAM دارد؟
چه سرویس‌هایی فعال‌اند؟
آیا می‌توان یک سرویس را متوقف کرد؟
آیا می‌توان برنامه‌ای را روی سیستم دیگری اجرا کرد؟
مثلاً مدیر شبکه با WMI وضعیت صدها کامپیوتر را بدون مراجعه حضوری بررسی می‌کند. اما مهاجم هم ممکن است از همین قابلیت قانونی برای شناسایی سیستم، اجرای فرمان، حرکت جانبی و ایجاد ماندگاری استفاده کند.
پس WMI ذاتاً بدافزار نیست؛ یک ابزار مدیریتی قدرتمند است که استفاده غیرعادی از آن باید پایش شود.
تشبیه ساده: WMI مثل میز اطلاعات و کنترل ویندوز است؛ سؤال می‌پرسید، اطلاعات می‌گیرید و اگر مجوز داشته باشید، دستور هم اجرا می‌کنید.
مثال تاریخی
حمله Olympic Destroyer در المپیک زمستانی ۲۰۱۸
این بدافزار زیرساخت فناوری اطلاعات المپیک پیونگ‌چانگ را هدف قرار داد. مهاجمان با اعتبارنامه‌های سرقت‌شده و با کمک WMI و PsExec از یک سیستم به سیستم دیگر حرکت کردند. سپس سرویس‌ها و قابلیت‌های بازیابی را غیرفعال کردند و باعث اختلال در وب‌سایت، شبکه وای‌فای و سامانه‌های مراسم افتتاحیه شدند
حالا چطور سوء استفاده رو کشف کنیم ؟👇👇
Comments
Be the first to add a comment
Log in to comment