امروز می‌خواهم داستان یک "کوری موقت" را با شما به اشتراک بگذارم.
چند ماه پیش، درگیر تحلیل یک مورد امنیتی پیچیده بودیم. تمام ابزارهای استاندارد ما، از EDR گرفته تا آنالیزرهای لاگ، هیچ چیز مشکوکی را نشان نمی‌دادند. همه چیز در داشبورد ها “سبز” بود و سیستم به ظاهر پاک به نظر می‌رسید. تیممون تقریباً داشت به این نتیجه می‌رسید که یک “هشدار کاذب” (False Positive) بوده است.
اما یک چیزی در این میان درست نبود. یک “حس” درونی که از صدها سناریوی قبلی نشأت می‌گرفت، به من می‌گفت که مهاجم هنوز آنجاست، فقط خیلی خوب خودش را پنهان کرده است. شاید یک دلیل آن بود که آن بلوغی که انتظار داشتم در آن SOC و آن بانک دیده نمیشد . مطمئن بودم همه کلاینت ها و سرور ها ۱۰۰ درصد ایجنت EDR فعال و به روز ندارند و شبکه با آنکه در حوزه بانکی بود، سگمنتیشن مناسب را نداشت .
اینجا بود که ابزارها را کنار گذاشتم و به سراغ “اصول” رفتم.
به جای پرسیدن “ابزار چه می‌گوید؟” از خودم پرسیدم: “اگر من مهاجم بودم، چطور از دید ابزارها پنهان می‌شدم؟”. این سوال، مسیر تحلیل را به کلی تغییر داد. شروع کردم به بررسی ارتباطات شبکه‌ای که در نگاه اول عادی به نظر می‌رسیدند اما در “زمانبندی” و “حجم داده” یک الگوی غیرعادی و بسیار ظریف داشتند. مهاجم از یک پروتکل کاملاً استاندارد مثل BITS برای استخراج داده استفاده می‌کرد، اما به شکلی که هیچ قانونی (Rule) در ابزارهای ما آن را تشخیص نمی‌داد.
آن روز، ابزارها کور بودند، اما “تفکر هانتینگ” بینا بود. ما مهاجم را نه با یک امضای جدید، بلکه با درک عمیق از “رفتار” او پیدا کردیم.
این دقیقاً همان چیزی است که در دوره هانتینگ و فارنزیک روی آن تاکید دارم. ما یاد می‌گیریم چطور فراتر از داشبوردها و هشدارها فکر کنیم. یاد می‌گیریم چطور وقتی ابزارها سکوت کرده‌اند، ما همچنان سوالات درست را بپرسیم. چون یک مهاجم حرفه‌ای، اولین کاری که می‌کند، دور زدن ابزار شماست. آیا شما برای آن روز آماده‌اید؟
اگر می‌خواهید این سطح از تحلیل را تجربه کنید و از یک اپراتور ابزار به یک “شکارچی” واقعی تهدید تبدیل شوید، به من در واتس‌اپ یا بله پیام دهید. در این دوره مثال‌هایی چون مورد فوق رو کاملا برای شما می‌شکافم تا طرز تفکر و استدلال درست رو باهم مرور کنیم و یاد بگیرید .
اطلاعات تماس و ثبت‌نام:
WhatsApp & BALE: 09902857290
لیست کامل دوره‌ها و زمانبندی را می‌توانید از همین شماره دریافت کنید
خلاصه عنوان دوره ها:
سطح ۱ امنیت
سنز ۶۰۸ هانت و IR
سنز ۵۹۹ تیم بنفش
دوره CISSP
چند ماه پیش، درگیر تحلیل یک مورد امنیتی پیچیده بودیم. تمام ابزارهای استاندارد ما، از EDR گرفته تا آنالیزرهای لاگ، هیچ چیز مشکوکی را نشان نمی‌دادند. همه چیز در داشبورد ها “سبز” بود و سیستم به ظاهر پاک به نظر می‌رسید. تیممون تقریباً داشت به این نتیجه می‌رسید که یک “هشدار کاذب” (False Positive) بوده است.
اما یک چیزی در این میان درست نبود. یک “حس” درونی که از صدها سناریوی قبلی نشأت می‌گرفت، به من می‌گفت که مهاجم هنوز آنجاست، فقط خیلی خوب خودش را پنهان کرده است. شاید یک دلیل آن بود که آن بلوغی که انتظار داشتم در آن SOC و آن بانک دیده نمیشد . مطمئن بودم همه کلاینت ها و سرور ها ۱۰۰ درصد ایجنت EDR فعال و به روز ندارند و شبکه با آنکه در حوزه بانکی بود، سگمنتیشن مناسب را نداشت .
اینجا بود که ابزارها را کنار گذاشتم و به سراغ “اصول” رفتم.
به جای پرسیدن “ابزار چه می‌گوید؟” از خودم پرسیدم: “اگر من مهاجم بودم، چطور از دید ابزارها پنهان می‌شدم؟”. این سوال، مسیر تحلیل را به کلی تغییر داد. شروع کردم به بررسی ارتباطات شبکه‌ای که در نگاه اول عادی به نظر می‌رسیدند اما در “زمانبندی” و “حجم داده” یک الگوی غیرعادی و بسیار ظریف داشتند. مهاجم از یک پروتکل کاملاً استاندارد مثل BITS برای استخراج داده استفاده می‌کرد، اما به شکلی که هیچ قانونی (Rule) در ابزارهای ما آن را تشخیص نمی‌داد.
آن روز، ابزارها کور بودند، اما “تفکر هانتینگ” بینا بود. ما مهاجم را نه با یک امضای جدید، بلکه با درک عمیق از “رفتار” او پیدا کردیم.
این دقیقاً همان چیزی است که در دوره هانتینگ و فارنزیک روی آن تاکید دارم. ما یاد می‌گیریم چطور فراتر از داشبوردها و هشدارها فکر کنیم. یاد می‌گیریم چطور وقتی ابزارها سکوت کرده‌اند، ما همچنان سوالات درست را بپرسیم. چون یک مهاجم حرفه‌ای، اولین کاری که می‌کند، دور زدن ابزار شماست. آیا شما برای آن روز آماده‌اید؟
اگر می‌خواهید این سطح از تحلیل را تجربه کنید و از یک اپراتور ابزار به یک “شکارچی” واقعی تهدید تبدیل شوید، به من در واتس‌اپ یا بله پیام دهید. در این دوره مثال‌هایی چون مورد فوق رو کاملا برای شما می‌شکافم تا طرز تفکر و استدلال درست رو باهم مرور کنیم و یاد بگیرید .
اطلاعات تماس و ثبت‌نام:
WhatsApp & BALE: 09902857290
لیست کامل دوره‌ها و زمانبندی را می‌توانید از همین شماره دریافت کنید
خلاصه عنوان دوره ها:
سطح ۱ امنیت
سنز ۶۰۸ هانت و IR
سنز ۵۹۹ تیم بنفش
دوره CISSP
Comments
Be the first to add a comment
Log in to comment