🎙 سیم‌باز | فصل دوم | قسمت اول منتشر شد

شکار تهدیدات پنهان با Splunk و لاگ‌های معمولی

بزرگ‌ترین تهدیدات امنیتی همیشه از حملات عجیب و پیچیده نمی‌آیند؛  
گاهی دقیقاً در همان داده‌هایی پنهان‌اند که هر روز از کنارشان رد می‌شویم: لاگ‌های DNS، HTTP، SMTP، SMB و SSH.
در این قسمت از پادکست سیم‌باز درباره این صحبت می‌کنیم که چطور می‌شود با کمک Splunk، همین لاگ‌های به ظاهر معمولی را به ابزارهایی قدرتمند برای Threat Hunting و تشخیص ناهنجاری تبدیل کرد.

در این اپیزود می‌شنوید:
- چرا لاگ‌های رایج معمولاً نادیده گرفته می‌شوند
- چطور با SPL می‌توان سرنخ‌های حمله را پیدا کرد
- شناسایی دامنه‌های مشابه در حملات فیشینگ
- استفاده از Log Enrichment برای کشف لینک‌ها و دامنه‌های مشکوک
- مدیریت حجم بالای لاگ‌ها با رویکرد کیفیت به‌جای کمیت
- نقش Heavy Forwarder و استراتژی نگهداری داده در Splunk

اگر در حوزه SOC، SIEM، Threat Hunting یا امنیت سایبری فعالیت می‌کنید، این قسمت برای شماست.
🔗 شنیدن اپیزود:  
https://soclib.ir/siem-baz-s02-e01

@soclibrary

#سیم_باز #پادکست #Splunk #SIEM #SOC #CyberSecurity #امنیت_سایبری #لاگ

🚨امروزه SOC مدرن فقط Alert Monitoring نیست؛
امروز تیم‌های امنیتی باید بتوانند ⚡️ Detection، Automation و Incident Response را در مقیاس واقعی اجرا کنند.

در دوره تخصصی 🔥 Splunk SOAR یاد می‌گیرید چگونه با استفاده از:
🔹 Visual Playbook Editor
🔹 Decision Logic
🔹 Prompt Blocks
🔹 App Integration

فرآیندهای امنیتی را به‌صورت کاملاً Event-Driven خودکار کنید و Workflowهای واقعی Incident Response بسازید.

📘 در این دوره روی مباحث مهمی مثل:
✅ Playbook Development
✅ Container & Artifact Management
✅ Automation Rules
✅ Integration با SIEM و ابزارهای امنیتی
✅ Case Management
✅ Debugging & Testing Playbooks
✅ اجرای Response در SOC

تمرکز می‌شود؛ مفاهیمی که در مسیرهای رسمی
🎯 Administering Splunk SOAR
🎯 Developing SOAR Playbooks
نیز نقش کلیدی دارند.

💡 اگر می‌خواهید SOC خود را از فرآیندهای دستی و تکراری به یک SOC هوشمند و خودکار تبدیل کنید، این دوره دقیقاً برای شما طراحی شده است.

🔗 ثبت‌نام دوره:
https://evnd.co/aSbC8

🔐 #تهدید_سایبری_۶ | Backdoor Injection

وقتی مدل هوش مصنوعی از داخل دستکاری می‌شود 🧠⚠️

یکی از تهدیدهای مهم و کمتر شناخته‌شده در دنیای AI، Backdoor Injection است؛ جایی که مهاجم یک «دستور مخفی» یا trigger داخل مدل قرار می‌دهد تا مدل در حالت عادی کاملاً طبیعی رفتار کند، اما با دریافت یک ورودی خاص، ناگهان رفتار غیرمنتظره یا مخرب از خودش نشان دهد 😈. طبق یک تحقیق در سال ۲۰۲۵ توسط UK AI Security Institute و Alan Turing Institute، حتی با حدود ۲۵۰ داده آلوده هم می‌توان یک بک‌دور قابل‌اعتماد در یک مدل بزرگ ایجاد کرد؛ یعنی حتی مدل‌های قدرتمند هم با مقدار کمی داده دستکاری‌شده قابل compromise هستند ⚠️.


👉 در یک جمله:Backdoor Injection یعنی یک تهدید پنهان داخل خود مدل که تا لحظه فعال شدن دیده نمی‌شود، اما می‌تواند از درون سیستم را به خطر بیندازد.


➰➰➰➰ Join us ➰➰➰➰
🆔 @soclibrary

📢 ثبت نام دوره جامع کلاسترینگ اسپلانک شروع شد!
(Splunk Enterprise Clustering)
اگر در تیم های امنیت، SOC یا Splunk فعالیت میکنید، تسلط بر معماری توزیع شده اسپلانک برای شما یک ضرورت است.
🛠 آنچه در این ۳۲ ساعت یاد میگیرید:
🔹 راه اندازی Indexer Clustering (Single & Multisite)
🔹 مدیریت Search Head Clustering (SHC)
🔹 تنظیمات Forwarderها در مقیاس بزرگ
🔹 مدیریت حرفه ای KV Store و Lookupها
🔹 استراتژیهای High Availability و Disaster Recovery
👤 مخاطبین: ادمینهای اسپلانک، تحلیلگران SOC و مهندسین زیرساخت.
📅 زمانبندی: پنجشنبه ها | ۱۰:۳۰ صبح تا ۱۴:۰۰
💻 نحوه برگزاری: آنلاین (تعاملی و پروژه محور)
🎟 کد تخفیف اختصاصی ثبت نام زودهنگام کانال: soclib-group
📍 لینک ثبت نام و مشاهده سرفصل ها:
👇👇👇
🔗 https://evnd.co/HC7e6

این کلاس دو هفته دیگه شروع خواهد شد و دوستانی که تمایل به ثبت نام دارن اما دوره های پیش‌نیاز Splunk System admin و Data admin ندیدن میتونن بسته های آموزشی افلاین این دو دوره پیش نیاز را رایگان دریافت و مطالعه کنند تا دوره شروع بشه .

🎙 سیم‌باز | فصل دوم، قسمت دوم منتشر شد

موضوع این قسمت:
استراتژی‌های هوشمند جمع‌آوری لاگ با Splunk

قبل از Dashboard، Alert، Use Case و Detection، یک سؤال مهم‌تر وجود دارد:

آیا داده‌ای که وارد SIEM می‌شود، کامل، درست و قابل اعتماد است؟

در این اپیزود درباره پایه‌ای‌ترین بخش SOC صحبت می‌کنیم:
Log Collection Strategy

محورهای اصلی این قسمت:

🔹 Splunk Universal Forwarder
🔹 Splunk Stream
🔹 Network Visibility
🔹 Duplicate Logs
🔹 Endpoint Logging
🔹 NGFW Logs
🔹 Data Normalization
🔹 Splunk CIM

چون SIEM قدرتمند فقط با ابزار ساخته نمی‌شود؛
با داده درست، معماری درست و استراتژی درست ساخته می‌شود.

🎧 لینک اپیزود:

https://soclib.ir/siem-baz-s02-e02/

#سیم_باز #SOC #SIEM #Splunk #LogCollection #LogManagement #SecurityOperations #BlueTeam #CyberSecurity

🚨چرا Splunk Clustering برای SOCهای واقعی حیاتی است؟

خیلی از تیم‌ها Splunk را فقط در حد Search و Dashboard می‌شناسند؛
اما وقتی حجم لاگ‌ها زیاد می‌شود، تعداد یوزرها بالا می‌رود و Availability اهمیت پیدا می‌کند، دیگر معماری ساده پاسخگو نیست.

اینجاست که مفاهیمی مثل:
🔹 Indexer Clustering
🔹Search Head Clustering (SHC)
🔹Multisite Architecture
🔹High Availability
به بخش حیاتی زیرساخت SOC تبدیل می‌شوند.

📘 در دوره جامع Splunk Enterprise Clustering که توسط SOCLIB برگزار می‌شود، به‌صورت کاملاً عملی و پروژه‌محور یاد می‌گیرید چگونه:
✅ Indexer Cluster راه‌اندازی کنید
✅ SHC را مدیریت کنید
✅ معماری Single-site و Multi-site پیاده‌سازی کنید
✅ KV Store و Lookupها را مدیریت کنید
✅ Forwarderها را در مقیاس بالا مدیریت کنید

🎯 این دوره مخصوص:
👨‍💻 Splunk Adminها
🛡 تحلیلگران SOC
⚙️ مهندسین زیرساخت
و تیم‌های Blue Team طراحی شده است.

📅 زمان برگزاری: پنجشنبه‌ها | ۱۰:۳۰ تا ۱۴:۰۰
💻 آنلاین | تعاملی | پروژه‌محور

🎟 کد تخفیف ثبت‌نام زودهنگام:
🔥 soclib-group

📍 ثبت‌نام و مشاهده سرفصل‌ها:
🔗 https://evnd.co/HC7e6
——

📡 https://t.me/soclibrary

# 🎣 تهدید واقعی فیشینگ | فقط یک کلیک کافی بود...

یک کارمند عادی، آخر شب روی موبایلش ایمیلی دریافت می‌کند 📱

موضوع ایمیل:
📦 “Your package delivery failed — verify your address”

چون واقعاً منتظر بسته پستی بود، بدون شک کردن روی لینک کلیک می‌کند.

صفحه بازشده کاملاً واقعی به نظر می‌رسید:
✅ لوگوی شرکت پستی
✅ طراحی حرفه‌ای
✅ HTTPS
✅ حتی بخش رهگیری مرسوله

از او خواسته می‌شود برای ارسال مجدد، مبلغ کمی پرداخت کند 💳

او اطلاعات کارت بانکی‌اش را وارد می‌کند و فکر می‌کند همه‌چیز تمام شده...

اما چند دقیقه بعد:
⚠️ تراکنش‌های مشکوک شروع می‌شوند
⚠️ رمز کارت تغییر می‌کند
⚠️ و حساب بانکی‌اش خالی می‌شود

این همان قدرت Phishing است؛
مهاجم به سیستم پیچیده‌ای نیاز ندارد — فقط کافیست قربانی را قانع کند.

🛡 برای محافظت:
✔️ قبل از کلیک، URL را بررسی کنید
✔️ به پیام‌های فوری و ترساننده شک کنید
✔️ اطلاعات بانکی را داخل لینک‌های ناشناس وارد نکنید
✔️ MFA را فعال کنید
✔️ و همیشه منبع پیام را Verify کنید

👉 در یک جمله:
فیشینگ یعنی سوءاستفاده از اعتماد انسان‌ها، نه هک کردن سیستم‌ها.

📡 https://t.me/soclibrary

🚨 چرا SOCهای واقعی بدون Splunk Clustering دوام نمی‌آورند؟



وقتی Splunk فقط روی یک سرور ساده اجرا می‌شود، شاید همه‌چیز خوب به نظر برسد...



اما کافیست:

📈 حجم لاگ‌ها زیاد شود

👥 تعداد Analystها بالا برود

⚠️ یا یکی از نودها Down شود

تا تازه اهمیت معماری Distributed مشخص شود.


📘 در دوره جامع Splunk Enterprise Clustering که توسط SOCLIB برگزار می‌شود، به‌صورت کاملاً عملی و پروژه‌محور یاد می‌گیرید چگونه:



✅ Indexer Cluster راه‌اندازی کنید

✅ SHC را مدیریت کنید

✅ معماری Single-site و Multi-site پیاده‌سازی کنید

✅ KV Store و Lookupها را مدیریت کنید

✅ HA و DR واقعی طراحی کنید

✅ Forwarderها را در مقیاس بالا مدیریت کنید

🎯 مناسب:
👨‍💻 Splunk Adminها
🛡 تحلیلگران SOC
⚙️ مهندسین زیرساخت
🔍 Threat Hunterها

📅 پنجشنبه‌ها | ۱۰:۳۰ تا ۱۴:۰۰
💻 آنلاین | تعاملی | پروژه‌محور

🎟 کد تخفیف:
🔥 soclib-group

🔗 ثبت‌نام:
https://evnd.co/HC7e6

🎭 #تهدید_سایبری_شماره_۷ | سوءاستفاده از محتوا (Content Abuse)

وقتی محتوای تولیدشده با AI تبدیل به سلاح می‌شود 🤖⚠️

تصور کنید یک ویدیو کاملاً واقعی از مدیرعامل یک شرکت منتشر شود که از تیم مالی می‌خواهد میلیون‌ها دلار انتقال دهند — و این اتفاق واقعاً بیفتد 💸. این دیگر یک سناریوی فرضی نیست.

با گسترش ابزارهای هوش مصنوعی، مهاجمان هم یاد گرفته‌اند چطور از آن به نفع خودشان استفاده کنند. سوءاستفاده از محتوا زمانی رخ می‌دهد که از AI برای تولید محتوای فریبنده یا مخرب استفاده شود؛ از دیپ‌فیک‌ها و کلاهبرداری‌ها گرفته تا انتشار اطلاعات غلط و محتوای سمی.

این تهدید فقط فنی نیست — بلکه می‌تواند:
📉 اعتبار سازمان‌ها را نابود کند
🌍 فضای اجتماعی را تحت تأثیر قرار دهد
💥 و حتی خسارت مالی واقعی ایجاد کند

👉 در یک جمله: Content Abuse یعنی تبدیل AI به یک موتور تولید فریب در مقیاس بالا — تهدیدی که می‌تواند سریع‌تر از همیشه گسترش پیدا کند.

➰➰ Join us ➰➰➰
🆔 @soclib

🚨 خیلی از تیم‌ها Splunk را به‌درستی نصب می‌کنند؛ اما مشکل اصلی زمانی شروع می‌شود که مقیاس بزرگ‌تر می‌شود.

در ابتدا همه‌چیز خوب به نظر می‌رسد:
✅ لاگ‌ها وارد می‌شوند
✅ Dashboardها بدون مشکل کار می‌کنند
✅ Searchها سریع اجرا می‌شوند

اما با افزایش حجم داده و تعداد کاربران، کم‌کم چالش‌های واقعی ظاهر می‌شوند:
⚠️ کند شدن Searchها
⚠️ مشکلات Replication
⚠️ مشکل Bottleneck شدن Search Headها

کلاسترینگ فقط اضافه کردن چند سرور جدید نیست؛ بلکه یعنی طراحی یک معماری پایدار برای SOCهای واقعی 🛡
———————————

در دوره جامع Splunk Enterprise Clustering به‌صورت عملی و پروژه‌محور روی موضوعاتی مثل:

🔹 Indexer Clustering (Single & Multisite)
🔹 Search Head Clustering (SHC)
🔹 مدیریت Forwarderها در مقیاس بالا
🔹 KV Store و Lookupها
🔹 معماری High Availability و Disaster Recovery
کار خواهیم کرد.

🎯 مناسب برای:
👨‍💻 Splunk Adminها
🛡 تحلیلگران SOC
⚙️ مهندسین زیرساخت
🔍 تیم‌های امنیت


📅 پنجشنبه‌ها | ۱۰:۳۰ تا ۱۴:۰۰
💻 آنلاین | تعاملی | پروژه‌محور

🎟 کد تخفیف:
🔥 soclib-group

🔗 ثبت‌نام:
https://evnd.co/HC7e6



📡 @soclibrary

🚨 فقط چند روز تا شروع دوره Splunk Enterprise Clustering باقی مانده!

در این دوره به‌صورت عملی یاد می‌گیرید:

🔹 Indexer Clustering (Single & Multisite)
🔹 Search Head Clustering (SHC)
🔹 مدیریت Forwarderها در مقیاس بالا
🔹 KV Store & Lookup
🔹 High Availability (HA) & Disaster Recovery (DR)

🎯 مناسب برای:
👨‍💻 Splunk Adminها
🛡 تحلیلگران SOC
⚙️ مهندسین زیرساخت

🎟 کد تخفیف:
🔥 soclib-group

🔗 ثبت‌نام:
https://evnd.co/HC7e6

📡 https://t.me/soclibrary

🚨 همه چیز با یک ایمیل شروع شد...

یک کارمند ایمیلی با عنوان «فیش حقوقی جدید» دریافت کرد. ایمیل کاملاً واقعی به نظر می‌رسید، پس روی لینک کلیک کرد و اطلاعات ورودش را وارد کرد.

هیچ ویروسی نصب نشد.
هیچ هشداری هم نمایش داده نشد.

اما مهاجم حالا به ایمیل او دسترسی داشت.

چند روز بعد، مهاجم از همان حساب ایمیل واقعی درخواست تغییر شماره حساب یکی از تأمین‌کنندگان را ارسال کرد و واحد مالی بدون اینکه متوجه شود، مبلغ را به حساب مهاجم واریز کرد.

🎯 این حمله نه با بدافزار شروع شد، نه با هک پیچیده؛ فقط با یک کلیک روی یک لینک جعلی.

🔐 قبل از وارد کردن رمز عبور:
✅ آدرس فرستنده را بررسی کنید.
✅ روی لینک‌ها با دقت کلیک کنید.
✅ از احراز هویت دومرحله‌ای (MFA) استفاده کنید.

📡 @soclibrary

📊 تنظیم معیارهای موفقیت (Setting Success Metrics)
سلام دوستان 🌟
در مراحل قبلی درباره Operating Framework و ساختار عملیاتی صحبت کردیم.
اما یک سؤال مهم باقی می‌ماند:

از کجا بفهمیم پیاده‌سازی Splunk ما واقعاً موفق بوده است؟

اینجاست که Success Metrics وارد می‌شوند.

https://soclib.ir/?p=15919

📡 @soclibrary

🚨 Threat Intelligence
زمانی ارزش واقعی ایجاد می‌کند که مستقیماً وارد فرایند Detection و Correlation در SOC شود؛

نه اینکه فقط به‌عنوان یک لیست IOC در گوشه‌ای از SIEM ذخیره شود.
در این مقاله، اتصال عملیاتی و واقعی پورتال شاخص‌های آلودگی AFTA به Splunk ES را مرحله‌به‌مرحله بررسی کردیم؛

از ساخت Threat Intelligence Source گرفته تا تنظیم دقیق Parser، Regex، Field Mapping و رفع خطاهای رایج ingest.

📌 داخل مقاله بررسی شده:
• ساخت Threat Intelligence Feed در Splunk ES
• تنظیم صحیح Delimiting و Extracting Regex
• مقداردهی threat_key و threat_collection
• رفع خطای معروف
No observables or indicators found in file
• تست و دیباگ Threat Intel ingest
• بررسی lookup و correlation در ES
• سناریوهای IP، Domain و Hash Feed
• نکات عملیاتی واقعی برای SOCها

📖 مطالعه کامل مقاله:

https://soclib.ir/?p=15762

📢 کانال تخصصی SOC Library:
@soclibrary

#SOC
#SIEM
#Splunk
#ThreatIntelligence
#CyberSecurity
#DetectionEngineering
#SOCAnalyst

🔔 اطلاعیه مهم

با توجه به امکان ایجاد محدودیت اینترنت و عدم دسترسی به کانال‌های تلگرام، اطلاع‌رسانی‌های مجموعه از طریق کانال بله نیز انجام می‌شود.

در صورت بروز هرگونه مشکل یا نیاز به پیگیری، لطفاً از طریق آی‌دی پشتیبانی اعلام‌شده در کانال بله با ما در ارتباط باشید.

از همراهی و صبوری شما سپاسگزاریم.

آدرس کانال بله:

https://ble.ir/soclib

🚨 یکی از بزرگ‌ترین مشکلات حوزه امنیت سایبری در ایران، کمبود نیرو نیست...

بلکه «نبود زبان مشترک» برای تعریف نقش‌ها و مسیرهای شغلی است.



چند بار آگهی استخدامی دیده‌ایم که برای یک SOC Analyst انتظار مهارت‌های Threat Hunter، Incident Responder، Detection Engineer و حتی Red Team را هم داشته باشد؟

یا چند بار از دانشجویان و افراد تازه‌وارد شنیده‌ایم:

❓ برای ورود به SOC چه چیزهایی باید یاد بگیریم؟

❓ مسیر Threat Hunting چیست؟

❓ تفاوت Red Team و Penetration Testing چیست؟

❓ برای تبدیل شدن به CISO چه مهارت‌هایی نیاز دارم؟

به همین دلیل انتشار «چارچوب ملی سرمایه انسانی امنیت سایبری ایران» را می‌توان یک گام مهم برای استانداردسازی نقش‌های امنیت سایبری دانست.



📌 برخی از نقش‌های تعریف شده در این چارچوب:

🔹 CISO (مدیر ارشد امنیت اطلاعات)

🔹 Cybersecurity Architect

🔹 General Security Specialist

🔹 Penetration Tester & Vulnerability Analyst

🔹 Threat Hunter

🔹 Red Team Specialist

🔹 Incident Responder & Digital Forensics

🔹 SOC Analyst (Level 1, 2, 3)

🔹 Security Auditor

🔹 OT Security Specialist

🔹 Cybersecurity Trainer



نکته جالب اینجاست که برای هر نقش، موارد زیر مشخص شده است:

✅ مأموریت شغلی

✅ وظایف اصلی

✅ دانش تخصصی موردنیاز

✅ مهارت‌های فنی موردنیاز

این دقیقاً همان چیزی است که سال‌ها در اکوسیستم امنیت سایبری کشور به آن نیاز داشتیم.



🎯 اگر این چارچوب به درستی توسط شرکت‌ها، مراکز آموزشی و متخصصان استفاده شود، می‌تواند فاصله بین آموزش، استخدام و نیاز واقعی بازار را تا حد زیادی کاهش دهد.



💬 به نظر شما در بازار کار امنیت سایبری ایران، کدام نقش بیشتر از همه دچار ابهام و سوءبرداشت شده است؟





آدرس کانال تخصصی SOC Library در پیامرسان بله:

https://ble.ir/soclib



کانال تخصصی SOC Library:

https://t.me/soclibrary



#CyberSecurity #SOC #ThreatHunting #RedTeam #BlueTeam #DFIR #SecurityArchitecture #CISO #SOCAnalyst #DetectionEngineering #IranCyberSecurity