دستور امروز از اسپلانک که شاید به شناسایی data exfil برسیم .
⛳️هدف : تجمیع رویداد های دارای فیلد مشترک ؛ مثال : لاگ کل سشن وب یک کاربر
برای این کار از دستور transaction کمک میگیریم.
این دستور را در نظر بگیرید
index=main sourcetype=access_combined_wcookie | transaction JSESSIONID
در آن دستور تمام رویداد هایی که دارای فیلد JSESSIONID هستند را دسته بندی می‌کند. در این حالت ما با کمک این فیلد که در ترمینولوژی Serverlet یک شناسه یکتا ( کوکی) است یک سشن کاربر را در web access log مشخص میکنیم.
در این حالت پس از اجرای کوئری، فیلد های جدیدی هم ساخته می‌شوند که می‌توانند در جستجوهای آتی به ما کمک کنند .
از جمله این فیلد ها duration است .
در دستور زیر نشست های بالای ۱۵ دقیقه استخراج و در جدولی نمایش داده می‌شود. شاید بتوان از این طریق data exfil را شناسایی کرد !!
index=main sourcetype=access_combined_wcookie | transaction JSESSIONID
|search duration >=15
| table _time JSESSIONID duration
#آکادمی_روزبه
**منظور از data exfil همان data exfiltration میباشد که هکر پس از دسترسی اولیه در سازمان ، اقدام به خروج داده از آن می‌نماید.
⛳️هدف : تجمیع رویداد های دارای فیلد مشترک ؛ مثال : لاگ کل سشن وب یک کاربر
برای این کار از دستور transaction کمک میگیریم.
این دستور را در نظر بگیرید
index=main sourcetype=access_combined_wcookie | transaction JSESSIONID
در آن دستور تمام رویداد هایی که دارای فیلد JSESSIONID هستند را دسته بندی می‌کند. در این حالت ما با کمک این فیلد که در ترمینولوژی Serverlet یک شناسه یکتا ( کوکی) است یک سشن کاربر را در web access log مشخص میکنیم.
در این حالت پس از اجرای کوئری، فیلد های جدیدی هم ساخته می‌شوند که می‌توانند در جستجوهای آتی به ما کمک کنند .
از جمله این فیلد ها duration است .
در دستور زیر نشست های بالای ۱۵ دقیقه استخراج و در جدولی نمایش داده می‌شود. شاید بتوان از این طریق data exfil را شناسایی کرد !!
index=main sourcetype=access_combined_wcookie | transaction JSESSIONID
|search duration >=15
| table _time JSESSIONID duration
#آکادمی_روزبه
**منظور از data exfil همان data exfiltration میباشد که هکر پس از دسترسی اولیه در سازمان ، اقدام به خروج داده از آن می‌نماید.
تنظیماتی برای افزایش مقاومت درون سازمانی دربرابر حملات به کاربران
#آکادمی_روزبه
Initial foothold phase
https://www.huntress.com/blog/addressing-initial-access
#آکادمی_روزبه
Initial foothold phase
https://www.huntress.com/blog/addressing-initial-access
Huntress
Addressing Initial Access | Huntress
Series of blog posts that share the breadth and depth of Huntress’ experience to assist others in reducing their attack surface, and inhibiting or even obviating cyber attacks.
تمرکز هکرها بر روی فورتی گیت
شکستن رمزنگاری فریم ور
#آکادمی_روزبه
https://bishopfox.com/blog/breaking-fortinet-firmware-encryption
شکستن رمزنگاری فریم ور
#آکادمی_روزبه
https://bishopfox.com/blog/breaking-fortinet-firmware-encryption
Bishop Fox
Breaking Fortinet Firmware Encryption
Review our latest Fortinet analysis that breaks encryption on firmware images, leading to improved detection, fingerprinting, and exploit development.
آنچه که لایه ۱ مرکز عملیات امنیت باید بداند
خلاصه
#آکادمی_روزبه
https://cybernoweducation.medium.com/soc-analyst-tools-concepts-more-8ad97f596beb
خلاصه
#آکادمی_روزبه
https://cybernoweducation.medium.com/soc-analyst-tools-concepts-more-8ad97f596beb
Medium
SOC Analyst Tools, Concepts & More
In this article we’ll discuss SOC analyst tools, common security definitions, MITRE ATT&CK framework, Cyber Kill Chain, & Zero Trust.
آشنایی با دیتا مدل یکی از مسائل مهم در اسپلانک است
در لینک زیر مروری داریم بر دیتا مدل
#آکادمی_روزبه
یکی از دلایل مهم برای فهم دیتا مدل ؛ استفاده آن در ES مییاشد
https://kinneygroup.com/blog/data-models-in-splunk/
در لینک زیر مروری داریم بر دیتا مدل
#آکادمی_روزبه
یکی از دلایل مهم برای فهم دیتا مدل ؛ استفاده آن در ES مییاشد
https://kinneygroup.com/blog/data-models-in-splunk/
Kinney Group
Data Models Made Easy in Splunk
How are you maximizing your searching and reporting abilities? Splunk Data Models can take your searches and their efficiency to the next level.
هکر در سامانه ی شما نفوذ خود را تثبیت کرده
او را شکار کنید
سیستم عامل لینوکس
بخش ۱
#آکادمی_روزبه
https://pberba.github.io/security/2021/11/22/linux-threat-hunting-for-persistence-sysmon-auditd-webshell/#introduction-to-persistence
او را شکار کنید
سیستم عامل لینوکس
بخش ۱
#آکادمی_روزبه
https://pberba.github.io/security/2021/11/22/linux-threat-hunting-for-persistence-sysmon-auditd-webshell/#introduction-to-persistence
pepe berba
Hunting for Persistence in Linux (Part 1): Auditd, Sysmon, Osquery (and Webshells)
An introduction to monitoring and logging in linux to look for persistence.
آکادمی آموزش روزبه 📚
هکر در سامانه ی شما نفوذ خود را تثبیت کرده او را شکار کنید سیستم عامل لینوکس بخش ۱ #آکادمی_روزبه https://pberba.github.io/security/2021/11/22/linux-threat-hunting-for-persistence-sysmon-auditd-webshell/#introduction-to-persistence
بخش ۲
#آکادمی_روزبه
https://pberba.github.io/security/2021/11/23/linux-threat-hunting-for-persistence-account-creation-manipulation/
#آکادمی_روزبه
https://pberba.github.io/security/2021/11/23/linux-threat-hunting-for-persistence-account-creation-manipulation/
pepe berba
Hunting for Persistence in Linux (Part 2): Account Creation and Manipulation
How attackers use newly created and existing accounts for peristence and how to detect them.
آکادمی آموزش روزبه 📚
بخش ۲ #آکادمی_روزبه https://pberba.github.io/security/2021/11/23/linux-threat-hunting-for-persistence-account-creation-manipulation/
بخش ۳
#آکادمی_روزبه
https://pberba.github.io/security/2022/01/30/linux-threat-hunting-for-persistence-systemd-timers-cron/
#آکادمی_روزبه
https://pberba.github.io/security/2022/01/30/linux-threat-hunting-for-persistence-systemd-timers-cron/
pepe berba
Hunting for Persistence in Linux (Part 3): Systemd, Timers, and Cron
How attackers use newly created and existing accounts for peristence and how to detect them.
آکادمی آموزش روزبه 📚
بخش ۳ #آکادمی_روزبه https://pberba.github.io/security/2022/01/30/linux-threat-hunting-for-persistence-systemd-timers-cron/
بخش ۴
#آکادمی_روزبه
https://pberba.github.io/security/2022/02/06/linux-threat-hunting-for-persistence-initialization-scripts-and-shell-configuration/
#آکادمی_روزبه
https://pberba.github.io/security/2022/02/06/linux-threat-hunting-for-persistence-initialization-scripts-and-shell-configuration/
pepe berba
Hunting for Persistence in Linux (Part 4): Initialization Scripts and Shell Configuration
How attackers create can maintain persistence by inserting scripts and executables in special locations that will run on boot or logon
آکادمی آموزش روزبه 📚
بخش ۴ #آکادمی_روزبه https://pberba.github.io/security/2022/02/06/linux-threat-hunting-for-persistence-initialization-scripts-and-shell-configuration/
بخش ۵
#آکادمی_روزبه
https://pberba.github.io/security/2022/02/07/linux-threat-hunting-for-persistence-systemd-generators/
#آکادمی_روزبه
https://pberba.github.io/security/2022/02/07/linux-threat-hunting-for-persistence-systemd-generators/
pepe berba
Hunting for Persistence in Linux (Part 5): Systemd Generators
How attackers can insert backdoors early in the boot process using systemd generators
سمیناری از مایتره
۳ ساعت پیش منتشر شده است
#آکادمی_روزبه
https://www.youtube.com/watch?v=B86QP361t8E
۳ ساعت پیش منتشر شده است
#آکادمی_روزبه
https://www.youtube.com/watch?v=B86QP361t8E
YouTube
Shmoocon 2024: Summiting the Pyramid of Pain
Speakers: Michaela Adams, Roman Daszczyszak, & Steve Luke
The Center for Threat-Informed Defense presents their “Summiting the Pyramid” research project at Schmoocon, a major cybersecurity conference. Steve Luke, Michaela Adams, and Roman Dasczcyszak explain…
The Center for Threat-Informed Defense presents their “Summiting the Pyramid” research project at Schmoocon, a major cybersecurity conference. Steve Luke, Michaela Adams, and Roman Dasczcyszak explain…
دامپ کردنشیال بدون نیاز به دیسک
#آکادمی_روزبه
نیاز به تفکر : روشهای مقابله و کشف
https://github.com/fortra/impacket/pull/1698
#آکادمی_روزبه
نیاز به تفکر : روشهای مقابله و کشف
https://github.com/fortra/impacket/pull/1698
GitHub
secretsdump.py: Dumping credentials without touching disk by antuache · Pull Request #1698 · fortra/impacket
This PR allows to remotely extract hashes from the SAM and SECURITY (LSA Secrets and cached credentials) registry hives without touching disk. There is no need to save these registry hives to disk ...
چرا اکتیو دایرکتوری هدف جذابی برای هکر ها است ؟ ابزارهای آنها چی هستند ؟
سطح مقاله : متوسط
#آکادمی_روزبه
https://www-bleepingcomputer-com.cdn.ampproject.org/c/s/www.bleepingcomputer.com/news/security/why-and-how-threat-actors-target-your-active-directory/amp/
سطح مقاله : متوسط
#آکادمی_روزبه
https://www-bleepingcomputer-com.cdn.ampproject.org/c/s/www.bleepingcomputer.com/news/security/why-and-how-threat-actors-target-your-active-directory/amp/
www-bleepingcomputer-com.cdn.ampproject.org
Why (and how) threat actors target your Active Directory
Microsoft Active Directory is a common target for threat actors after breaching a network. Learn more from Specops Software about the tools attackers use and how to protect your Active Directory.
با مبانی EDR ها در ویندوز آشنا شدیم
این مفاهیم را در مک و لینوکس مرور کنیم
#آکادمی_روزبه
https://www.outflank.nl/blog/2024/06/03/edr-internals-macos-linux/
این مفاهیم را در مک و لینوکس مرور کنیم
#آکادمی_روزبه
https://www.outflank.nl/blog/2024/06/03/edr-internals-macos-linux/