اصولا تیم امنیتی یه بار توی سال pentest می‌گیره. مهاجم هر روز.
ولی در حال حاضر ضعف زیادی توی قسمت سایبری در کشور وجود داره

همین فاصله، کل دلیلِ نفوذه. Strix این شکاف رو می‌بنده. pentest رو از تقویمی درمیاره، مداومش می‌کنه.

این scanner نیست که flag احتمالی بده. agentهاش مثل مهاجم واقعی رفتار می‌کنن: اپلیکیشن شما رو داینامیک اجرا می‌کنن، آسیب‌پذیری‌ها رو chain می‌زنن، هر یافتی رو با exploit کارکردنی ثابت می‌کنن. PoC نداری، ticket نداری.

تنها هم کار نمی‌کنه. چندتا agent تخصصی به صورت موازی recon، exploitation و post-exploitation رو اجرا می‌کنن. یافته‌ها رو share می‌زنن و chain می‌کنن، دقیقاً مثل یه red team واقعی.

یه repo بهش بدین، یه اپلیکیشن لایو، یا حتی یه spec OpenAPI/Postman. خودش همه endpointها رو تست می‌کنه، نه اینکه بی‌هدف crawl کنه.


curl -sSL strix.ai/install | bash


سؤال من اینه: وقتی مهاجم هر روز تمرین می‌کنه، چرا تیم امنیتی هنوز داره برای یه بار توی سال برنامه‌ریزی می‌کنه؟


#امنیت_سایبری
#پنتست
#DevSecOps
#RedTeam
#AppSec
#CyberSecurity
#Strix

هرچی بیشتر درباره Mythos می‌خونم، بیشتر این حس بهم دست می‌ده که با یکی دیگه از همون موج‌های بیش‌ازحد هایپ‌شده AI طرفیم؛ چیزی شبیه خیلی از ترندهایی که طی یکی دو سال اخیر دیدیم.

بخش قابل‌توجهی از این هایپ هم به نظرم از سمت اینفلوئنسرها و خبرنگارهای حوزه Cybersecurity میاد که شاید تجربه زیادی در Pentest داشته باشن یا صرفاً در حد سطحی باهاش برخورد کرده باشن، ولی تجربه عملی جدی در Red Team ندارن. طبیعتاً وقتی چنین فضایی شکل می‌گیره، فاصله بین چیزی که واقعاً وجود داره و چیزی که درباره‌ش گفته می‌شه می‌تونه خیلی زیاد بشه.

حتی بعضی از مشتری‌های خودم رو هم دیدم که تحت تأثیر این موج قرار گرفتن. ولی اگر بخوام بر اساس الگوی ترندهای قبلی قضاوت کنم، احتمالاً این یکی هم مسیر آشنایی رو طی می‌کنه؛ یه مدت شدیداً ترند می‌شه، همه درباره‌ش حرف می‌زنن، بعد تبش می‌خوابه و مدتی بعد همین چرخه با یه اسم و تکنولوژی جدید دوباره تکرار می‌شه.

در این مرحله بیشتر از اینکه AI Revolution باشه، برای من شبیه AI-Milking هس.

استفاده از اسم AI برای داغ کردن دوباره چیزهایی که شاید به‌اندازه هایپ اطرافشون جدید نباشن.

#Mythos
#AI
#Cybersecurity
#Pentesting
#RedTeam
#Infosec
#CyberSecurity
#ArtificialIntelligence
#AITools
#Security

دیدگاه من اینه که بیشتر ابزارهای AI برای Pentest که تا الان دیدم، در بهترین حالت می‌تونن یه Nmap اجرا کنن، چندتا ابزار آماده رو صدا بزنن و یه چیزی شبیه Metasploit رو اجرا کنن. اما وقتی از این مرحله فاصله می‌گیری و وارد چیزی می‌شی که واقعاً به Tradecraft و تجربه عملی نیاز داره، خیلی‌هاشون عملاً از کار می‌افتن.

به نظرم بخش واقعاً جذاب ماجرا الان جای دیگه‌ست. به‌جای اینکه صرفاً یک LLM رو روی ابزارهای قدیمی Pentest سوار کنیم و اسمش رو AI Pentesting بذاریم، تحقیق روی خود مدل‌ها و روش‌های Adversarial علیه اون‌ها خیلی جالب‌تره.

اینکه چطور می‌شه مدل‌ها رو تحت تأثیر قرار داد، محدودیت‌هاشون رو بررسی کرد و نقاط ضعفشون رو پیدا کرد، به نظرم از این جهت ارزش تحقیقاتی بیشتری داره که واقعاً یک لایه جدید به مسئله اضافه می‌کنه، نه اینکه فقط یک Wrapper هوشمند دور ابزارهای موجود بسازیم.

#AI
#Cybersecurity
#Pentesting
#RedTeam
#AdversarialAI
#LLM
#AIsecurity
#Infosec

من توی هر Red Team Engagement معمولاً قبل از اینکه چیزی رو روی محیط مشتری اجرا کنم، یه Local Environment جدا دارم که سناریوها، Exploitها، Injectionها و Executionها رو اول اونجا شبیه‌سازی و تست می‌کنم.

هدفش هم خیلی ساده‌ هست.
نمی‌خوام محیط مشتری تبدیل به محیط آزمایش من بشه. قبل از اینکه چیزی وارد Target Environment بشه، ترجیح می‌دم تا جای ممکن بدونم دقیقاً چه رفتاری داره و چه اثری روی سیستم می‌ذاره.

ولی اخیراً متوجه شدم ظاهراً خیلی‌ها این روال رو ندارن و مستقیم روی محیط مشتری تست می‌کنن. برام جالبه که چرا. واقعاً این حجم از YOLO کردن توی Red Team طبیعیه یا من زیادی محتاطم؟

به نظرم داشتن یک Lab مشابه Target قبل از اجرای سناریوهای حساس، بیشتر از اینکه کار اضافه باشه، بخشی از Professional Tradecraft محسوب می‌شه. مخصوصاً وقتی پای محیط واقعی مشتری وسطه.

#RedTeam
#Pentesting
#Cybersecurity
#Infosec
#SecurityTesting
#EthicalHacking
#OffensiveSecurity
#Tradecraft

شاید یکی از دلایلی که امروز صدها Open Source C2 داریم ولی تعداد خیلی کمی از اون‌ها واقعاً در دنیای واقعی قابل استفاده‌ان، همین باشه.

بعد از یه نقطه مشخص، واقعاً Coding بخش کوچکی از نتیجه نهایی می‌شه. شاید حتی همون ۱۰ درصدی که همه بیشتر می‌بیننش. بخش اصلی ماجرا جاییه که باید خارج از چارچوب معمول فکر کنی، Research خودت رو انجام بدی، فرضیاتت رو به چالش بکشی و یک سناریو رو بارها و بارها تست کنی.

ساختن چیزی که روی کاغذ کار می‌کنه یک مسئله‌ست. ساختن چیزی که در دنیای واقعی قابل اتکا باشه، مسئله کاملاً متفاوتیه.

برای همین فکر می‌کنم تفاوت بین یک پروژه معمولی و یک ابزار واقعاً کاربردی، اغلب نه در تعداد Lines of Code، بلکه در میزان فکر، تحقیق و Testing پشت اون مشخص می‌شه.

در نهایت Coding شاید فقط ۱۰ درصد نتیجه باشه. ۹۰ درصد دیگه مربوط به طرز فکر، Research و تست بی‌پایانه.

#Programming
#Cybersecurity
#RedTeam
#C2
#OpenSource
#OffensiveSecurity
#Pentesting
#SoftwareEngineering
#Research
#ProblemSolving