اگر قرار بود کلا ۵ تا Event ID از ویندوز و ۵ تا از Sysmon نگهداری ، چیا بود ؟
این زیر واسم بنویس 👇🏻
این زیر واسم بنویس 👇🏻
به قول یه شخصی
《 از سلامت روانم فقط یه سلام باقی مونده که اونم تقدیم نگاه پر مهرتون 🫶🏻 》
《 از سلامت روانم فقط یه سلام باقی مونده که اونم تقدیم نگاه پر مهرتون 🫶🏻 》
😁2🤣2
📌 یکی از اقدامات مهم در Infrastructure Hardening اینه که اگر نیازی به Web UI یک تجهیز ندارید، اون رو غیرفعال کنید.
در هاردنینگ همیشه این اصل رو به خاطر داشته باشید:
هر سرویسی که استفاده نمیشود، باید غیرفعال شود.
@Socroot
خیلی از تجهیزات شبکه مثل Switch و Router بهصورت پیشفرض امکان مدیریت از طریق Web UI رو دارن. اگر از CLI برای مدیریت استفاده میکنید، روشن موندن Web UI فقط یک Attack Surface اضافه ایجاد میکنه.
در صورت وجود یک آسیبپذیری یا ضعف در احراز هویت، مهاجم میتونه از همین رابط تحت وب برای دسترسی به تجهیزات شبکه سوءاستفاده کنه.
در هاردنینگ همیشه این اصل رو به خاطر داشته باشید:
هر سرویسی که استفاده نمیشود، باید غیرفعال شود.
⚠️ کم کردن Attack Surface یکی از سادهترین و مؤثرترین راهها برای افزایش امنیت زیرساخت است.
@Socroot
👏4👍1
#خارج_از_امنیت
📌 اگر زیاد با فایلهای PDF سروکار دارید، این سایت رو ذخیره کنید.
با ILovePDF میتونید فایلهای PDF رو بدون نصب نرمافزار:
🔗 ilovepdf
@Socroot
📌 اگر زیاد با فایلهای PDF سروکار دارید، این سایت رو ذخیره کنید.
با ILovePDF میتونید فایلهای PDF رو بدون نصب نرمافزار:
- ادغام (Merge) کنید.
- تقسیم (Split) کنید.
- فشرده کنید.
- Word، Excel و PowerPoint رو به PDF و برعکس تبدیل کنید.
🔗 ilovepdf
@Socroot
❤2
📌 یکی از بخشهای مهم در SOC، استفاده از Threat Intelligence برای تحلیل بهتر Alertهاست.
درواقع Threat Intelligence با ارائه اطلاعاتی مثل:
کمک میکنه Alertها سریعتر و دقیقتر بررسی بشن.
⚠️ در SOC فقط دیدن یک Alert مهم نیست؛ باید بدونیم پشت این Alert چه تهدیدی وجود داره.
@Socroot
بعضی وقت ها یه IP یا Domain در نگاه اول یک ارتباط عادی به نظر میرسه؛ اما با بررسی Threat Intelligence ممکنه مشخص بشه که قبلاً در حملات، Malware یا زیرساختهای C2 استفاده شده .
درواقع Threat Intelligence با ارائه اطلاعاتی مثل:
🔹 IP و Domainهای مخرب
🔹 Hash فایلها
🔹 روشهای حمله
کمک میکنه Alertها سریعتر و دقیقتر بررسی بشن.
⚠️ در SOC فقط دیدن یک Alert مهم نیست؛ باید بدونیم پشت این Alert چه تهدیدی وجود داره.
@Socroot
👌3
Soc Root
📌 یکی از بخشهای مهم در SOC، استفاده از Threat Intelligence برای تحلیل بهتر Alertهاست. بعضی وقت ها یه IP یا Domain در نگاه اول یک ارتباط عادی به نظر میرسه؛ اما با بررسی Threat Intelligence ممکنه مشخص بشه که قبلاً در حملات، Malware یا زیرساختهای C2 استفاده…
حالا یکی از کار هایی که باید روتین روزانه کارشناس SOC مخصوصا کارشناس SOC Tier 1 باشه اینکه بره و از منابع اپدیت و معتبر این موارد مخرب رو جمع آوری کنه و داخل SIEM اونهارو سرچ بزنه و برسی کنه
و ببینه ایا این موارد داخل شبکه وجود داره یا نه که اگر وجود داشت وارد فاز IR بشه .
@Socroot
و ببینه ایا این موارد داخل شبکه وجود داره یا نه که اگر وجود داشت وارد فاز IR بشه .
@Socroot
👏3
Soc Root
حالا یکی از کار هایی که باید روتین روزانه کارشناس SOC مخصوصا کارشناس SOC Tier 1 باشه اینکه بره و از منابع اپدیت و معتبر این موارد مخرب رو جمع آوری کنه و داخل SIEM اونهارو سرچ بزنه و برسی کنه و ببینه ایا این موارد داخل شبکه وجود داره یا نه که اگر وجود داشت…
🔴 یکی منابع رایگان و درجه ۱ در این رابطه سایت Abuse.ch هستش .
این سایت شامل :
هستش ؛ که میتونه تو این راه کمک خیلی زیادی بهتون بکنه 👌🏻
@Socroot
این سایت شامل :
ThreatFox
- IP مخرب
- Domain مخرب
- C2 Server
- Malware IOC
URLhaus
- URLهای آلوده
- Malware Distribution URL
- MalwareBazaar
- Hash فایلهای مخرب
- نمونههای Malware
Feodo Tracker
- Botnet و C2
هستش ؛ که میتونه تو این راه کمک خیلی زیادی بهتون بکنه 👌🏻
@Socroot
🔥7
Soc Root
یه نکته مهم راجب Detection بهتون بگم . هیچ وقت بر اساس Hash عملیات Detection انجام ندید. چون قطعا یکی از پر خطا ترین روش هاست . ⚠️ رفقا Hash فایل حتی با یه اسپیس هم تغییر میکنه . @Socroot
برای تست این موضوع میتونیم توی پاورشل با دستور :
مقدار Hash یک فایل رو بدست بیاریم .
بعد توی همون فایل یه تغییر کوچیک بدید و دوباره Hash رو برسی کنید .
خودتون متوجه تغییر میشید 🤝🏻
PS C:\> Get-FileHash
مقدار Hash یک فایل رو بدست بیاریم .
بعد توی همون فایل یه تغییر کوچیک بدید و دوباره Hash رو برسی کنید .
خودتون متوجه تغییر میشید 🤝🏻
👏4👀1
ولی حالا نکته چیه ؟
🔴 نکته اینه که ما توی تحلیل یک رخداد نباید فقط به نوع و هش اون فایل یا پراسس دقت کنیم.
@Socroot
🔴 نکته اینه که ما توی تحلیل یک رخداد نباید فقط به نوع و هش اون فایل یا پراسس دقت کنیم.
نکته اینه که باید رفتار شناسی کنیم
یعنی بیایی و بر اساس نوع رفتار و روند حمله تشخص بدیم آیا این یک فایل یا پراسس مخرب هست یا نه .
که این نوع عملکرد رو شما بصورت اتوماتیک در EDR ها و XDR ها میتونی مشاهده کنی.
@Socroot
👏6
📌 اگر با ویندوز سروکار دارید، پیشنهاد میکنم حتماً با مجموعه ابزار Sysinternals آشنا بشید.
🔴 به جای نصب چندین ابزار مختلف، در بسیاری از موارد Sysinternals تمام چیزیه که نیاز دارید.
@Socroot
این مجموعه توسط Microsoft توسعه داده شده و شامل ابزارهایی برای عیبیابی، تحلیل و بررسی رفتار ویندوزه.
ابزارهایی مثل Process Explorer، Process Monitor، Autoruns و TCPView از پرکاربردترین ابزارهای این مجموعه هستن و در حوزههای SOC، DFIR و System Administration استفاده زیادی دارن.
🔴 به جای نصب چندین ابزار مختلف، در بسیاری از موارد Sysinternals تمام چیزیه که نیاز دارید.
@Socroot
👍4