دوستان سلام
یه مقداری داشتم کار میکردم این ابزارو دیدم چیز جالبی بود یه ریسرچ ریزی کردم و جالب بودش و امیدوارم برت شماهم جالب باشه
〰️〰️〰️〰️〰️〰️〰️〰️〰️〰️〰️〰️
Join channel

سلام دوستان حالتون چطوره

DTP پروتوکلی هستش که به سویچ ها اجاره میده بدون نیاز به پیکربندی های استاتیک وضعیت سویچ پورت ها رو Negotiate کنن تا به یکی از حالت های زیر تبدیل بشه:ACCESS PORTS و TRUNK PORTS
پروتوکل DTP به ضورت دیفالت روی تمام اینترفیس های سویچ های سیسکو enable هستش .
ما تا الان سویچ ها رو با صورت استاتیک با استفاده از دستورات switchport mode trunk یا mode access پیکربندی میکردیم
(یه نکته ریز بگم بریم ادامش دوستان با دستور show interfaces < > switchport تنظیمات مربوطه بهشو به ما نشون میده)
قبل از رفتن سراغ بقیه بحث بگم trunk چیه تا توی حاله ای از ابهامات نیوفتیم . داش ترانک یعنی اینکه این پورت معمولا برای اتصال دو تا سویچ به یکدیگه یا اتصال به روتر استفاده میشه. پورت ترانک میتونه تمام ترافیک vlan ها رو از طریق یه کابل عبور بده
بریم برای ادامه
حالت DTP DYNAMIC DESIRABLE :
توی این حالت به صورت مستمر تلاش میکنه که با سویچ ها یه لینک ترانک تشکیل بده.اگه اینترفیس مقابل روی حالت static access ست شده باشه لینک ترانک تشکیل نمیشه و به عنوان access port کار میکنه .
حالت DTP DYNAMIC AUTO:
زمانی کار میکنه که سویچ متصل به اون به صورت مستمر درحال تلاش برای ترانک کردن باشه یه جورایی میشه گفت اگه قبلی به این وصل باشه با هم میتونن ترانک بشن برن سر خونه زندگیشون و سویچ جدید متولد بشه.
پروتوکل DTP با تجهیزاتی مثل router , pc , ... یه ترانک تشکیل نمیده و تو این حالت فقط سویچ در حالت access قرار میگیره.

〰️〰️〰️〰️〰️〰️〰️〰️〰️〰️〰️〰️
Join channel

سلام دوستان حالتون چطوره
یکی از روشای پرسیستنس توی لینوکس استفاده از فایلای socket , service هستش
حقیقتا یک service unit با پسوند .sservice مشخص میکنه که یه پردازش باید چطوری اجرا بشه و مدیریتش چطور باشه و ...
مثلا:

[Unit]
Description=System Update Monitor

[Service]
ExecStart=/usr/local/bin/updater
Restart=always

[Install]
WantedBy=multi-user.target

باید این فایل داخل مسیر /etc/systemd/system/ باشه و برای فعال سازیش میتونیم از دستور :

systemctl enable updater.service

برای اجراش شدنش اجرا کنیم.
یکی از روش پیشرفته ترش socket activation هستش که از فایل .socket به systemd اجازه میده به جای سرویس خودش روی یه سوکت listen کنه تا وقتی اتفاقی افتاد سرویس مربوطه اجرا کنه مثلا:

[Socket]
ListenStream=5555
Accept=no

[Install]
WantedBy=sockets.target

و بعدش یه سرویس میسازیم برای اجرا شدن اون وقتی سوکت فعال میشه:

[Unit]
Description=Healthcheck Service

[Service]
ExecStart=/usr/local/bin/healthcheck.sh
StandardInput=socket
StandardOutput=socket
StandardError=socket

اگه اسم هایی که براشون انتخاب میکنیم هم نام باشن مثل mmd.socket , mmd.service بهتره چون systemd به صورت پیش فرض هم نام هارو pair میکنه

systemctl enable mmd.socket  
systemctl start mmd.socket

دوستان سلام یکم اومدیم درباره dhcp بگیم
در اصل DHCP برای اختصاص آیپی 4 مرحله داره:
discover:
کلاینت هنوز Ip نداره پس میاد یه broadcast میزنه:

Source IP: 0.0.0.0
Destination: 255.255.255.255

که میگه ایا DHCP سرور موجود هست یا نه.
مرحله دوم DHCP offer هستش:
dhcp answer -> ip پیشنهاد میده -> less time -> network setting
مرحله سوم:
DHCP Request:
کلاینت میگه من این آیپی انتخاب کردم
Option 50: 192.168.1.100
مرحله 4 :
ack
سرور تایید میکنه که میگه ip برای اون کلاینت هستش و تمام
yiaddr = 192.168.1.100
در اینجا dhcp ما یه سری options داره که پایین میزارم:
53: DHCP Offer
54: DHCP Server Identifier (IP server)
51: Lease Time
1 : Subnet Mask
3 : Router (Gateway)
6 : DNS Server
15: Domain Name
58: Renewal Time
59: Rebinding Time
فلو خلاصه شده کار :

DISCOVER → OFFER → REQUEST → ACK

The Telegram Malware Ecosystem
A 9,898-row intelligence collection built from Telegram bot tokens and chat IDs leaking out of malware on VirusTotal, enriched, clustered, and mined for attribution.

https://ransom-isac.org/blog/the-telegram-malware-ecosystem/

https://t.me/ViperNull

https://start.me/p/wMrA5z/cyber-threat-intelligence
تمام سایت هایی که برای هک و امنیت به درد میخورن رو اینجا نوشته شده




https://t.me/ViperNull

سرقت اطلاعات ۱۲۰۰ نفر در میوه و تره‌بار

رئیس #پلیس_فتا تهران از شناسایی و انهدام یک باند حرفه‌ای #کلاهبرداری با استفاده از دستگاه‌های اسکیمر خبر داده و می‌گوید که اطلاعات بانکی یک‌هزار و ۲۰۰ نفر از شهروندان در یکی از غرفه‌های میدان میوه و تره‌بار شهرداری تهران کپی و افشا شده بود.
مجرمان اسکیمری در پوشش مشاغل مختلف در قالب پیک رستوران، متصدی جایگاه سوخت، فروشندگان سیار، کارگران غرفه‌های میادین میوه و تره‌بار و سایر مشاغل خدماتی با در اختیار گرفتن کارت بانکی مشتریان، اطلاعات آن را کپی کرده و سپس کارت را خالی می‌کنند.

پ.ن: ظاهراً این روزها خرید چند کیلو میوه هم بدون احراز هویت دومرحله‌ای ریسک داره!

https://t.me/ViperNull

امنیت OT از همین تابلوها شروع می‌شه...

اگه بخوام این تصویر رو از دید امنیت سیستم‌های کنترل صنعتی نگاه کنم، چیزی که اینجا می‌بینیم صرفاً یه PLC و چندتا رله و کنتاکتور نیست؛ اینجا عملاً یکی از نقاطیه که دستور دیجیتال تبدیل به عمل فیزیکی می‌شه.

بالای تابلو یه Siemens SIMATIC S7-300 داریم و کنارش ماژول‌های ورودی/خروجی قرار گرفتن. سمت راست هم منابع تغذیه 24VDC دیده می‌شن. پایین‌تر که بیایم، می‌رسیم به تجهیزات حفاظتی، کنتاکتورها، رله‌های واسط و ترمینال‌هایی که ارتباط کنترلر با بخش‌های مختلف سیستم رو برقرار می‌کنن.

یعنی خیلی ساده مسیر تقریباً این شکلیه:

PLC → I/O → Relay/Contactor → Field Equipment → Process

چیزی که برای من توی چنین تابلوهایی مهمه اینه که امنیت رو فقط پشت مانیتور و داخل شبکه نبینیم.

مثلاً ممکنه روی شبکه صنعتی VLAN داشته باشیم، Firewall گذاشته باشیم، دسترسی‌ها رو محدود کرده باشیم و حتی ترافیک شبکه رو هم مانیتور کنیم؛ ولی اگه کسی بتونه بدون کنترل مناسب به خود تابلو یا تجهیزات مهندسی دسترسی پیدا کنه، بخش مهمی از این لایه‌های امنیتی عملاً دور زده می‌شن.

واقعیت پنهان اینترنت موبایل و ردپای دیجیتال در ایران

امروز همه‌مون از اینترنت موبایل (ایرانسل، همراه اول، رایتل) برای کارهای روزمره، خرید، کارت‌به‌کارت و حتی ورود به صرافی‌های ایرانی استفاده می‌کنیم. اما کمتر کسی دقیق می‌دونه وقتی دیتای موبایل رو روشن می‌کنیم، چه ردپایی جا می‌ذاریم و چه خطرهایی وجود داره.


---

🔹 وقتی سیم‌کارت به اینترنت وصل میشه چه اتفاقی می‌افته؟

1. گوشی شما با نزدیک‌ترین دکل مخابراتی (BTS) ارتباط می‌گیره.


2. اپراتور هویت سیم‌کارت رو با کدی به نام IMSI بررسی می‌کنه.


3. شماره سریال گوشی (IMEI) هم همزمان ثبت میشه.


4. به شما یک IP اختصاص داده میشه (معمولاً به‌صورت اشتراکی CGNAT).


5. تمام ترافیک شما از فایروال و فیلترینگ کشور عبور می‌کنه و در دیتابیس اپراتور لاگ میشه.



📍 پس حتی اگر VPN استفاده کنی، لااقل این موارد همیشه قابل ردیابی هستن:

چه سیم‌کارتی استفاده کردی.

چه گوشی‌ای (IMEI).

چه دکلی و کجا به اینترنت وصل شدی.

چه زمانی آنلاین بودی.



---

🔹 فرق سیم‌کارت «به‌نام خودت» یا «به‌نام دیگران»

اگر سیم‌کارت به نام خودت باشه → تمام این لاگ‌ها مستقیم به هویتت وصل میشه.

اگر سیم‌کارت به نام دیگری باشه → اپراتور اون شخص رو مالک می‌شناسه.

اما! گوشی شما (IMEI) و فعالیت‌های دیجیتال (حساب بانکی، شبکه اجتماعی، IP) همچنان شما رو لو میده.



⚠️ پس سیم‌کارت غیرواقعی فقط لایه‌ی ظاهری می‌سازه، ردپای دیجیتال همچنان باقی می‌مونه.


---

🔹 گوشی سرقتی یا IMEI تغییر داده شده

اگر گوشی دزدیده بشه و IMEI دستکاری شده باشه، ردیابی سخت‌تر میشه.

اما اتصال به شبکه هنوز نیازمند سیم‌کارت فعاله و اون سیم‌کارت همچنان IMSI و موقعیت مکانی (Cell-ID) رو لو میده.

به همین دلیل در بسیاری از پرونده‌ها حتی با IMEI تغییر یافته هم امکان ردیابی از طریق سیم‌کارت یا لوکیشن وجود داره.
⚠️ نتیجه‌گیری

اتصال اینترنت موبایل همیشه با لاگ دقیق همراهه (IMSI، IMEI، IP، لوکیشن).

سیم‌کارت به نام دیگری یا گوشی با IMEI تغییر یافته، ناشناسی واقعی ایجاد نمی‌کنه.


https://t.me/ViperNull

آیا AI واقعاً فقط یک ابزاره؟

به نظرم با وجود همه حرف‌هایی که می‌زنیم و می‌گیم «AI فقط یک ابزار مثل بقیه ابزارهاست»، این بار قضیه کمی فرق داره.
چون ابزارهای قبلی بیشتر فقط کاری رو که انسان انجام می‌داد سریع‌تر و راحت‌تر می‌کردن.
مثلاً Photoshop یا Figma خودشون طراحی نمی‌کنن. این طراحه که تصمیم می‌گیره، فکر می‌کنه و طراحی می‌کنه و ابزار فقط کمک می‌کنه ایده‌اش رو اجرا کنه.
اما AI داره وارد مرحله‌ای می‌شه که می‌تونه خودش پیشنهاد بده، طراحی اولیه انجام بده و کد بنویسه، باگ پیدا کنه و حتی بخش‌هایی از پروژه رو جلو ببره.
یعنی این بار فقط با یک ابزار ساده که نیاز به هدایت کامل انسان داره طرف نیستیم؛ AI داره بخشی از خودِ فرایند فکر کردن و انجام کار رو هم بر عهده می‌گیره.
پس تا اینجای بحث می‌تونیم به این نتیجه برسیم که حداقل با یک ابزار ساده مثل ابزارهای قبلی طرف نیستیم؛ AI داره شکل انجام دادن خودِ کارها رو تغییر می‌ده.
حالا سؤال مهم اینه که وقتی انجام دادن کارها سریع‌تر بشه، چه اتفاقی برای نیروی کار می‌افته؟

📵 هشدار امنیتی | مشاهده ارتباطات مشکوک با دامنه و فایل ناشناخته
🔴بنا بر هشدار دریافت شده توسط برخی زیرساخت‌های حیاتی کشور، و بر اساس بررسی‌های انجام‌شده طی روز گذشته، فعالیت‌های مشکوکی در برخی شبکه‌های سازمانی مشاهده شده که با ارتباط با دامنه زیر مرتبط بوده است:
⬅️دامنه مشکوک:
cl-glcb907925.gcdn.co
🔴در بررسی‌های اولیه، فایلی با نام Startup.exe به‌عنوان یکی از عوامل آغازکننده این ارتباطات شناسایی شده است. با توجه به اینکه امکان تغییر نام فایل وجود دارد، صرفاً بر اساس نام فایل اقدام به شناسایی یا حذف آن نشود.
🔴ماهیت دقیق فایل/بدافزار در حال حاضر مشخص نیست و بر اساس بررسی‌های انجام‌شده، تعداد محدودی از محصولات امنیتی در سطح جهان قادر به شناسایی آن بوده‌اند. همچنین دامنه مذکور در ارتباط با فعالیت نمونه‌های مختلف بدافزاری در سطح جهان مشاهده شده و بنابراین هرگونه ارتباط با آن نیازمند بررسی دقیق و فوری است.
⬅️ ثبت IOCهای مرتبط با فایل مشکوک:
MD5:
d12fcf309b936700ca3b13e5793cb518

SHA1:
9945458e84f99d58162bf7b6cf3968e3437c6c55

SHA256:
26842ae4f3e771c2d7789f14e2530c8b94ff7759b26b4e9a33732100971da08d

⬅️لیست IPهای مشاهده‌شده در Resolve دامنه:
109.61.38.38
45.82.100.62
92.223.97.79
50.7.5.84
50.7.5.86
92.223.96.6
50.7.85.35
50.7.85.34
50.7.87.3
50.7.87.2
50.7.85.36
50.7.85.37
50.7.85.38
94.232.171.175
185.143.233.238
2.189.58.31
4.150.223.105
20.50.201.203
20.118.138.130
52.110.17.17
74.178.76.54
89.235.64.73
89.235.64.198
135.233.45.223
184.29.246.127
199.232.210.172

🔴اقدامات پیشنهادی:
1️⃣لطفاً در اسرع وقت IOCهای فوق در EDR، آنتی‌ویروس، DNS، Proxy، Firewall و سایر تجهیزات مانیتورینگ بررسی شوند.
2️⃣هرگونه مشاهده فایل با هش‌های فوق، ارتباط با دامنه cl-glcb907925.gcdn.co یا ارتباط با IPهای اعلام‌شده، به‌عنوان مورد مشکوک مورد بررسی قرار گیرد.
3️⃣ در صورت مشاهده ارتباط فعال، ضمن بررسی Endpoint مربوطه، زمان ارتباط، Process ایجادکننده Connection، Parent Process، مسیر فایل، User اجراکننده و سایر فعالیت‌های مرتبط نیز بررسی و مستندسازی شود.
4️⃣ در صورت امکان، دامنه و IOCهای فوق به‌صورت موقت در لایه‌های امنیتی سازمان Block/Monitor شوند؛ البته قبل از مسدودسازی IPها، وابستگی احتمالی سرویس‌های سازمانی به این آدرس‌ها بررسی شود.
5️⃣ لطفاً در صورت مشاهده هرگونه مورد مرتبط، گزارش بررسی و نتایج حاصل را با مراجع بالادستی به اشتراک بگذارید.
6️⃣با توجه به ناشناخته بودن ماهیت دقیق نمونه و نرخ شناسایی پایین آن توسط برخی محصولات امنیتی، عدم شناسایی توسط آنتی‌ویروس به‌تنهایی به معنی سالم بودن سیستم یا فایل نیست. و بررسی رفتار Endpoint در این خصوص اهمیت ویژه‌ای دارد.


https://t.me/ViperNull

اولین اقدام بعد از آلوده شدن شبکه به باج افزار


https://youtu.be/2j6xncXRyo0

مستند سازی شبکه !

همه متفق القولیم که مستند سازی از اهم واجبات در حوزه شبکه است و باز همه قریب به اتفاق این موضوع رو کلا کنار میزاریم !!! 😄😄😄
شاید یکی از مهمترین دلایل این موضوع اینه که کمتر دوره یا مستندی به این موضوع پرداخته و عملا ما آموزشی در این زمینه ندیدیم ! و هر چه کردیم از ظن خود بوده و لا غیر !!!
علی ایها الحال ، این مرقومه را دریابید که در، یابید !
آموزش مختصر و مفید مستند سازی شبکه . مرحله به مرحله با مثال و غیره ! آنهم چه ؟! دو زبانه !!!

* چه متنی شد ! اول صبحی نصراله منشی درونم ظاهرا بیدار شده !

Every antivirus and EDR product depends on freshness.
This write-up documents a defensive research exercise we carried out in our own controlled lab. We asked a simple question: can a user-mode…

https://weedhashpeddler.medium.com/every-antivirus-and-edr-product-depends-on-freshness-28b0fa9c810d

https://t.me/ViperNull

Local Privilege Escalation To System In Wibu-Systems CodeMeter Application | Shelltrail
This research post describes the process of finding and exploiting a local privilege escalation in the Wibu-Systems CodeMeter application

https://shelltrail.com/research/local-privilege-escalation-to-system-in-wibu-systems-codemeter-application


https://t.me/ViperNull

Dead Code و Junk Code
کدی که هست ولی قرار نیست کاری انجام بده

یکی از روش‌ های رایج Obfuscation اینه که داخل برنامه مقدار زیادی کد اضافه قرار بدن که یا اصلا اجرا نمیشه یا اجرا میشه ولی هیچ تاثیری روی نتیجه نهایی برنامه نداره

هدف اینه که وقتی ما فایل رو باز میکنیم حجم زیادی از دستورهای اضافی ببینیم و پیدا کردن منطق واقعی سخت‌تر بشه

مثلا این کد ساده رو ببینید:

int result = a + b;

int x = 50;
x = x * 2;
x = x - 30;

return result;

اینجا محاسبات مربوط به x هیچ تاثیری روی result نداره پس از نظر منطق برنامه این بخش Dead Code محسوب میشه

حالا یک مثال در اسمبلی ببینیم:

mov eax, 10
add eax, 20

mov ecx, 500
xor ecx, ecx
add ecx, 100

ret

اگر مقدار ecx هیچ جا بعدا استفاده نشه بخش مربوط به ecx عملا تاثیری روی خروجی تابع نداره این همون چیزیه که ما باید یاد بگیریم تشخیص بدیم
اما Junk Code همیشه به این سادگی نیست ممکنه یک Obfuscator دستورهایی اضافه کنه که ظاهرشون مهم به نظر میرسه:

push rax
xor rcx, rcx
inc rcx
dec rcx
pop rax

در ظاهر چند عملیات انجام شده
ولی در اخر وضعیت مهم برنامه تقریبا همون چیزیه که قبل از این بلاک بوده
در تحلیل واقعی یکی از بهترین سوال‌ها اینه:

این بلاک چه چیزی رو تغییر داد که بعدا واقعا استفاده میشه؟

اگر جواب هیچ‌ چیز باشه احتمال داره با Junk Code طرف باشیم یک روش خوب برای تحلیل اینه که فقط مقدار هایی رو دنبال کنید که به خروجی یا مرحله های بعدی برنامه میرسن مثلا اگر یک مقدار داخل RAX ساخته بشه ولی قبل از استفاده دوباره overwrite بشه احتمالا محاسبه قبلی اهمیت نداشته ولی اینجا باید حواستون جمع باشه هر کدی که خروجی واضحی نداره Junk Code نیست ممکنه روی Flagها تاثیر بذاره حافظه رو تغییر بده یا اثر جانبی داشته باشه پس قبل از حذف ذهنی یک بلاک رو باید بررسی کنید:

مقدارهای خروجی کجا میرن؟
حافظه تغییر کرده؟
Flag مهمی تغییر کرده؟
تابع دیگه ای صدا زده شده؟
نتیجه این عملیات بعدا استفاده میشه؟

Deobfuscation
یعنی همین کم‌ کم چیزهایی که تاثیری روی منطق اصلی ندارن کنار میرن و ساختار واقعی برنامه مشخص میشه

تمرین:

این کد رو بررسی کنید:
C++

int calculate(int a, int b)
{
int x = a + b;

int temp = 500;
temp ^= 123;
temp += 20;
temp -= 20;

return x;
}

مشخص کنید کدوم قسمت روی خروجی تابع تاثیر داره و کدوم قسمت فقط باعث شلوغ شدن تحلیل میشه بعد همین مثال رو Compile کنید و داخل Ghidra باز کنید ببینید Compiler با بخش اضافی چه کاری میکنه ممکنه حتی قبل از اینکه تو فایل خروجی رو ببینید خودش کل بخش بی‌ استفاده رو حذف کرده باشه چون کامپایلر ها هم بعضی وقتا برخلاف انتظارمون کار مفید انجام میدن

@reverseengine

سلام چطورین ؟
امروز اومدیم یه کد ساده برسی کنیم و بعدش برسیم به یه آسیب پذیری که ببینیم چطوری موجبش میشه و چی هست اصلا:

#include <stdio.h>
int main() {
    char mmd[100];
    fgets(mmd, sizeof(mmd), stdin);  
    printf(mmd);                     
    return 0

برای برسی این کد باید یه آسیب پذیری به اسم Format String آشنا باشیم. زمانی مشهور شد که این آسیب پذیریو توی apache , wu-ftpd اکسپلویتش کردن. در حالت عادی printf میاد از ما یه format میگیره برای اینکه مشخص کنه خروجی ما به چه حالتی هستش مثلا (d,"i%")printf میاد حالا عدد صحیح برا ما پرینت میگیره حالا فکر کن کاربر بیاد ورودی mmd 3 تا %x بزاره اون موقع چی میشه؟
در واقع printf میاد اون رو به عنوان فرمت تفسیر میکنه و به چاپ رشته میاد شروع به خوندن مقادیر stack میکنه و حالا میتونه با p% بیاد ادرس های حافظه ببینه و s% بیاد رشته هایی که توی حافظه هستن رو بخونه و .... خطرناک ترین حرکتی که میتونه پیاده کنه استفاده از GOT رو به RCE دلخواه خودش برسونه. با این حرکت میشه حمله هایی مثل memory leak , arbitrary write  و چیزای دیگه پیاده سازی کردش .
یکی از روشایی که میشه ازش محافظت کرد استفاده از checksec هست که وضعیتشو برسی میکنه که در چه حالتی هستش مثل چک کردن stack canary ,Aslr ....
بعدشم میشه از خود کامپایلرمون با ست کردن سویچ های -fstack-protector-strong و -Wformat-security
و ... موقع کامپایل کردنشون هست.
https://t.me/ViperNull

بلوغ SOC را با لایسنس‌ها و تجهیزات میلیاردی نمی‌سنجند!

در جلسات مشاوره، اغلب با یک پارادوکس آزاردهنده مواجه می‌شوم: سازمان‌هایی با بودجه‌های کلان که ویترینی از پیشرفته‌ترین ابزارهای امنیتی (SIEM، SOAR، EDR) را دارند، اما همچنان در برابر نفوذهای ساده آسیب‌پذیرند.

مدتی پیش در حال بررسی زیرساختی بودم که در نگاه اول، استانداردترین محیط Enterprise بود. ده‌ها داشبوردِ مملو از داده، مانیتورینگ ۲۴ ساعته و ترافیکِ مدیریت‌شده. اما وقتی به «قابلیت‌های شکار تهدید» (Threat Hunting) نگاه کردیم، یک خلأ عمیق وجود داشت.

مسئله کجاست؟
ما در صنعت امنیتِ کشور، بیش از حد درگیر «اجرای ابزار» (Tool Implementation) هستیم و «عملیات امنیت» (Security Operations) را فراموش کرده‌ایم.

به عنوان کسی که سال‌هاست در نقش مشاور، مدیر SOC و مدرس این حوزه فعالیت می‌کنم، این واقعیت را بارها دیده‌ام: تیم‌ها در گرداب Alert Fatigue غرق شده‌اند. روزانه صدها آلارم را بررسی می‌کنند، اما چون روی Detection Engineering و پیاده‌سازی لاجیک‌های اختصاصی (مبتنی بر MITRE ATT&CK) سرمایه‌گذاری نکرده‌اند، نفوذهای خاموش (Lateral Movements) یا رفتارهای غیرعادی در لایه‌های شبکه از چشمانشان پنهان می‌ماند.

یک واقعیت فنی که باید بپذیریم:

ابزارهای امنیتی، تنها «تولیدکننده سیگنال» هستند. اگر فرآیند پاسخ به رخداد (IR) و تواناییِ شکارِ تهدیدِ شما بالغ نباشد، ابزارها فقط «نویز» بیشتری برای شما تولید می‌کنند.

بلوغِ SOC، خرید لایسنس نیست؛

بلوغ یعنی هنرِ تبدیلِ داده‌های خام به «هوشِ عملیاتی». یعنی تیم شما بداند چگونه فرضیه (Hypothesis) بسازد، رفتار غیرعادی را در میان میلیون‌ها لاگ کشف کند و با یک فارنزیکِ دقیق، نفوذ را پیش از فاجعه متوقف کند.

یادمان باشد ابزار، خدمتکار تیم شماست؛ نه مدیر آن.


#SOC
#ThreatHunting
#DetectionEngineering
#BlueTeam
#IncidentResponse