به بوت توجه ویژه داشته باشیم .
مکانیسم ELAM (Early Launch Anti-Malware) چیست و چگونه کار می‌کند؟
✍️روزبه نوروزی
1. معرفی ELAM
فناوری ELAM (Early Launch Anti-Malware) یک ویژگی امنیتی در ویندوز است که قبل از بارگذاری سایر درایورها در فرآیند بوت، درایورهای امنیتی را اجرا می‌کند. این ویژگی برای محافظت از سیستم در برابر بدافزارهایی که قصد دارند هنگام راه‌اندازی سیستم (boot-time) اجرا شوند، طراحی شده است.
2. چرا ELAM مهم است؟
برخی از بدافزارهای پیشرفته، مانند بوت‌کیت‌ها (Bootkits) و روت‌کیت‌ها (Rootkits)، تلاش می‌کنند تا قبل از راه‌اندازی سیستم‌عامل، کنترل کامپیوتر را در اختیار بگیرند. این نوع بدافزارها می‌توانند خود را در درایورهای بوتی پنهان کنند و حتی آنتی‌ویروس‌ها را غیرفعال کنند. ELAM از این مسئله جلوگیری می‌کند.
3. نحوه عملکرد ELAM
هنگامی که کامپیوتر روشن می‌شود، سیستم‌عامل اولین درایوری که بارگذاری می‌کند یک درایور ELAM است.
این درایور که معمولاً توسط شرکت‌های امنیتی مانند Microsoft Defender، Symantec، یا Trend Micro توسعه داده شده، بررسی می‌کند که سایر درایورهای بوت خطری دارند یا نه.
اگر یک درایور مشکوک یا مخرب شناسایی شود، سیستم‌عامل می‌تواند از بارگذاری آن جلوگیری کند.
4. فرآیند کاری ELAM در سطح فنی
اولویت اجرای ELAM: ویندوز از مکانیزم ELAM استفاده می‌کند تا اطمینان حاصل کند که اولین درایوری که هنگام بوت اجرا می‌شود، درایور ضدبدافزار است.
ارزیابی درایورها: ELAM درایورهای دیگر را بررسی کرده و به هر یک امتیازی می‌دهد (مثلاً امن، مشکوک، مخرب).
تصمیم‌گیری توسط سیستم: بسته به امتیاز، سیستم‌عامل تصمیم می‌گیرد که آیا اجازه دهد درایور بارگذاری شود یا خیر.
5. مزایای ELAM برای EDR و XDR
محافظت در برابر بدافزارهای سطح پایین: چون ELAM در سطح کرنل قبل از بوت سیستم اجرا می‌شود، حتی پیچیده‌ترین بدافزارها هم شانس کمی برای فرار از شناسایی دارند.
جلوگیری از حملات پایدار (Persistent Threats): برخی از بدافزارها پس از ریستارت هم باقی می‌مانند، اما ELAM می‌تواند از این حملات جلوگیری کند.
افزایش امنیت EDR و XDR: چون EDRها نیاز دارند که از سطح پایین سیستم‌عامل نظارت داشته باشند، ELAM کمک می‌کند که قبل از بارگذاری سایر مؤلفه‌ها، امنیت اولیه برقرار شود.
6. محدودیت‌های ELAM
این ELAM فقط درایورهای بوتی را بررسی می‌کند، بنابراین نمی‌تواند از سایر روش‌های حمله مانند اسکریپت‌های مخرب در لایه‌های بالاتر جلوگیری کند.
این مکانیزم فقط در صورتی کار می‌کند که ویندوز Secure Boot را فعال کرده باشد، وگرنه ممکن است بدافزارها راهی برای دور زدن آن پیدا کنند.
اما اینکه چطور بدافزار های پیشرفته همه ی ما را ناک اوت !! می‌کنند را در گروه نوروز کانال تلگرام آکادمی روزبه درحال خواندن هستیم
#آکادمی_روزبه
#من_آموزش_میدهم
مکانیسم ELAM (Early Launch Anti-Malware) چیست و چگونه کار می‌کند؟
✍️روزبه نوروزی
1. معرفی ELAM
فناوری ELAM (Early Launch Anti-Malware) یک ویژگی امنیتی در ویندوز است که قبل از بارگذاری سایر درایورها در فرآیند بوت، درایورهای امنیتی را اجرا می‌کند. این ویژگی برای محافظت از سیستم در برابر بدافزارهایی که قصد دارند هنگام راه‌اندازی سیستم (boot-time) اجرا شوند، طراحی شده است.
2. چرا ELAM مهم است؟
برخی از بدافزارهای پیشرفته، مانند بوت‌کیت‌ها (Bootkits) و روت‌کیت‌ها (Rootkits)، تلاش می‌کنند تا قبل از راه‌اندازی سیستم‌عامل، کنترل کامپیوتر را در اختیار بگیرند. این نوع بدافزارها می‌توانند خود را در درایورهای بوتی پنهان کنند و حتی آنتی‌ویروس‌ها را غیرفعال کنند. ELAM از این مسئله جلوگیری می‌کند.
3. نحوه عملکرد ELAM
هنگامی که کامپیوتر روشن می‌شود، سیستم‌عامل اولین درایوری که بارگذاری می‌کند یک درایور ELAM است.
این درایور که معمولاً توسط شرکت‌های امنیتی مانند Microsoft Defender، Symantec، یا Trend Micro توسعه داده شده، بررسی می‌کند که سایر درایورهای بوت خطری دارند یا نه.
اگر یک درایور مشکوک یا مخرب شناسایی شود، سیستم‌عامل می‌تواند از بارگذاری آن جلوگیری کند.
4. فرآیند کاری ELAM در سطح فنی
اولویت اجرای ELAM: ویندوز از مکانیزم ELAM استفاده می‌کند تا اطمینان حاصل کند که اولین درایوری که هنگام بوت اجرا می‌شود، درایور ضدبدافزار است.
ارزیابی درایورها: ELAM درایورهای دیگر را بررسی کرده و به هر یک امتیازی می‌دهد (مثلاً امن، مشکوک، مخرب).
تصمیم‌گیری توسط سیستم: بسته به امتیاز، سیستم‌عامل تصمیم می‌گیرد که آیا اجازه دهد درایور بارگذاری شود یا خیر.
5. مزایای ELAM برای EDR و XDR
محافظت در برابر بدافزارهای سطح پایین: چون ELAM در سطح کرنل قبل از بوت سیستم اجرا می‌شود، حتی پیچیده‌ترین بدافزارها هم شانس کمی برای فرار از شناسایی دارند.
جلوگیری از حملات پایدار (Persistent Threats): برخی از بدافزارها پس از ریستارت هم باقی می‌مانند، اما ELAM می‌تواند از این حملات جلوگیری کند.
افزایش امنیت EDR و XDR: چون EDRها نیاز دارند که از سطح پایین سیستم‌عامل نظارت داشته باشند، ELAM کمک می‌کند که قبل از بارگذاری سایر مؤلفه‌ها، امنیت اولیه برقرار شود.
6. محدودیت‌های ELAM
این ELAM فقط درایورهای بوتی را بررسی می‌کند، بنابراین نمی‌تواند از سایر روش‌های حمله مانند اسکریپت‌های مخرب در لایه‌های بالاتر جلوگیری کند.
این مکانیزم فقط در صورتی کار می‌کند که ویندوز Secure Boot را فعال کرده باشد، وگرنه ممکن است بدافزارها راهی برای دور زدن آن پیدا کنند.
اما اینکه چطور بدافزار های پیشرفته همه ی ما را ناک اوت !! می‌کنند را در گروه نوروز کانال تلگرام آکادمی روزبه درحال خواندن هستیم
#آکادمی_روزبه
#من_آموزش_میدهم
Comments
Be the first to add a comment
Log in to comment