PS C:\> Get-FileHash

نکته اینه که باید رفتار شناسی کنیم

یعنی بیایی و بر اساس نوع رفتار و روند حمله تشخص بدیم آیا این یک فایل یا پراسس مخرب هست یا نه ‌.
که این نوع عملکرد رو شما بصورت اتوماتیک در EDR ها و XDR ها میتونی مشاهده کنی.

این مجموعه توسط Microsoft توسعه داده شده و شامل ابزارهایی برای عیب‌یابی، تحلیل و بررسی رفتار ویندوزه.

ابزارهایی مثل Process Explorer، Process Monitor، Autoruns و TCPView از پرکاربردترین ابزارهای این مجموعه هستن و در حوزه‌های SOC، DFIR و System Administration استفاده زیادی دارن.

در Mitre Attack این تاکتیک ، تکنیک های مختلفی داره . ولی عمدتا مهاجم برای ایجاد دسترسی اولیه از Phishing استفاده میکنه .
به این شکل که یک ایمیل که حاوی فایل مخرب هست رو به یکی از کارکنان شرکت ارسال میکنه و اون کاربر ایمیل رو باز و فایل رو دانلود میکنه و دقیقا حمله از این نقطه آغاز میشه .

✅ Secure Email Gateway
برای شناسایی و مسدود کردن ایمیل‌ها و فایل‌های مخرب قبل از رسیدن به کاربر.

✅ SPF / DKIM / DMARC
برای جلوگیری از Email Spoofing و افزایش اعتبارسنجی ایمیل‌های ورودی.

✅ Microsoft Defender ASR Rules
برای جلوگیری از رفتارهای مشکوک مثل اجرای PowerShell یا CMD توسط Microsoft Office.

✅ Block Office Macro با GPO
غیرفعال کردن یا محدود کردن Macroها تا فایل‌های Office نتونن کد مخرب اجرا کنن.

✅ EDR + SIEM Detection
شناسایی سریع رفتارهای غیرعادی و ایجاد Alert برای اقدام به‌موقع تیم SOC.


این‌ها به‌تنهایی

index=sysmon EventCode=11
TargetFilename="*.docm" OR TargetFilename="*.xlsm" OR TargetFilename="*.pptm" OR TargetFilename="*.dotm" OR TargetFilename="*.xltm"
| table _time Computer User TargetFilename Image

file.name:(*.xlsm or *.docm or *.dotm or *.xltm or *.potm)