روشهای_مدیریت_مخاطرات_امنیت_اطلاعات.pdf
14.3 MB
کتاب روشهای مدیریت و ارزیابی مخاطرات امنیت اطلاعات
(کتابی عالی در ضمینه مقایسه روشها و مدلهای ارزیابی ریسک امنیت اطلاعات - سال انتشار ۱۴۰۰)
@Engineer_Computer
#Risk
#ریسک #کتاب
(کتابی عالی در ضمینه مقایسه روشها و مدلهای ارزیابی ریسک امنیت اطلاعات - سال انتشار ۱۴۰۰)
@Engineer_Computer
#Risk
#ریسک #کتاب
در این حمله چین تارگت شد.
لینک گزارش حمله در زیر
مطالعه گزارش رو برای سطح ۲ مرکز عملیات امنیت توصیه میکنم
https://www.trendmicro.com/en_no/research/24/i/earth-baxia-spear-phishing-and-geoserver-exploit.html
**از جایی به بعد دوره رفتن کمتر لازمه و بهتره چنین گزارش هایی دائم پیگیری بشه
#cybersecurity #threathunting #securityawareness #risk
@Engineer_Computer
لینک گزارش حمله در زیر
مطالعه گزارش رو برای سطح ۲ مرکز عملیات امنیت توصیه میکنم
https://www.trendmicro.com/en_no/research/24/i/earth-baxia-spear-phishing-and-geoserver-exploit.html
**از جایی به بعد دوره رفتن کمتر لازمه و بهتره چنین گزارش هایی دائم پیگیری بشه
#cybersecurity #threathunting #securityawareness #risk
@Engineer_Computer
❤1👍1
پاسخ به یک سوال مهم :
پیرو حادثه crowdstrike و مشکل درایور این محصول که منجر به بلو اسکرین در سراسر جهان شد سوالی به میان میاید :
ویندوز با Patchguard که از انتهای ویندوز xp ارائه کرد دیگر اجازه نمیدهد هر کسی در کرنل دستکاری کند ، اما EDR و XDR ها ادعا میکنند توسط درایور ها در تعامل با کرنل هستند . حد این تعامل چیست که حادثه ای چون CrowdStrike رخ میدهد؟ و اینکه چرا مایکروسافت اخیرا جلسه ای بدون حضور خبرنگاران با اصحاب تولید کننده محصولاتی چون XDR و EDR گذاشته تا ایشان را از کرنل بیرون کند؟!!
من تعاملی با ChatGPT داشتم به جواب زیر رسیدم
Windows PatchGuard (also known as Kernel Patch Protection or KPP) is a security feature introduced by Microsoft to prevent unauthorized code from patching or modifying the Windows kernel on 64-bit systems. Its main goal is to maintain kernel integrity by ensuring that only trusted and signed code operates within the kernel space, protecting against malicious attacks, rootkits, or unauthorized kernel modifications.
### Relation Between Windows PatchGuard and EDR Drivers
#### 1. Kernel-Level Drivers and PatchGuard
- EDR Driver Requirements: Many EDR (Endpoint Detection and Response) solutions require kernel-level drivers to monitor system events, processes, and behavior in real time. These drivers operate in kernel mode, where they have higher privileges to access and monitor sensitive operations (file access, memory usage, etc.). However, PatchGuard enforces strict rules on what can and cannot interact with or modify the kernel.
- PatchGuard Restrictions: PatchGuard specifically blocks unauthorized drivers or software from modifying critical parts of the Windows kernel, such as:
- System Service Descriptor Table (SSDT) hooks
- Interrupt Descriptor Table (IDT) hooks
- Kernel Object Manipulation
- Modification of the Kernel Debugger
This ensures that the kernel remains in a known, stable state, preventing malware or poorly written drivers from tampering with it. Thus, any legitimate EDR driver must respect PatchGuard's restrictions, meaning that it cannot perform kernel patching or directly modify protected kernel structures.
#### 2. Signed Drivers and PatchGuard Compliance
- Driver Signing: For EDR drivers to function within the constraints of PatchGuard, they must be properly signed with a valid digital signature. Microsoft enforces driver signing to ensure that only trusted drivers are loaded into kernel space. Drivers that attempt to bypass or disable PatchGuard violate this trust model and are blocked by the system.
- Windows Hardware Quality Labs (WHQL) Certification: Most reputable EDR vendors will seek WHQL certification for their drivers, ensuring that they operate within Microsoft's guidelines for kernel interaction. This certification process ensures that the driver respects PatchGuard’s policies and doesn’t introduce instability or security vulnerabilities.
#### 3. Driver Operation Without Violating PatchGuard
- Non-Patching Approach: EDR drivers must monitor and respond to system events without directly modifying kernel structures or patching kernel code, which would violate PatchGuard. Instead, they:
- Hook into legitimate, documented APIs that provide system monitoring capabilities.
- Rely on Windows Filtering Platform (WFP), ETW (Event Tracing for Windows), or Hypervisor-protected Code Integrity (HVCI) for monitoring low-level events.
- Use legitimate kernel interfaces to gather data about processes, network activity, and file operations without modifying protected kernel data structures.
- User Mode and Kernel Mode Balance: Some EDR solutions split their functionality between user-mode agents and kernel-mode drivers. The driver performs low-level monitoring, while the user-mode components handle less sensitive tasks, ensuring that EDR solutions work effectively within the boundaries set by PatchGuard.
ادامه در پست بعد
@Engineer_Computer
#cybersecurity #threathunting #cyberforensics #Stuxnet #risk #edr #xdr
پیرو حادثه crowdstrike و مشکل درایور این محصول که منجر به بلو اسکرین در سراسر جهان شد سوالی به میان میاید :
ویندوز با Patchguard که از انتهای ویندوز xp ارائه کرد دیگر اجازه نمیدهد هر کسی در کرنل دستکاری کند ، اما EDR و XDR ها ادعا میکنند توسط درایور ها در تعامل با کرنل هستند . حد این تعامل چیست که حادثه ای چون CrowdStrike رخ میدهد؟ و اینکه چرا مایکروسافت اخیرا جلسه ای بدون حضور خبرنگاران با اصحاب تولید کننده محصولاتی چون XDR و EDR گذاشته تا ایشان را از کرنل بیرون کند؟!!
من تعاملی با ChatGPT داشتم به جواب زیر رسیدم
Windows PatchGuard (also known as Kernel Patch Protection or KPP) is a security feature introduced by Microsoft to prevent unauthorized code from patching or modifying the Windows kernel on 64-bit systems. Its main goal is to maintain kernel integrity by ensuring that only trusted and signed code operates within the kernel space, protecting against malicious attacks, rootkits, or unauthorized kernel modifications.
### Relation Between Windows PatchGuard and EDR Drivers
#### 1. Kernel-Level Drivers and PatchGuard
- EDR Driver Requirements: Many EDR (Endpoint Detection and Response) solutions require kernel-level drivers to monitor system events, processes, and behavior in real time. These drivers operate in kernel mode, where they have higher privileges to access and monitor sensitive operations (file access, memory usage, etc.). However, PatchGuard enforces strict rules on what can and cannot interact with or modify the kernel.
- PatchGuard Restrictions: PatchGuard specifically blocks unauthorized drivers or software from modifying critical parts of the Windows kernel, such as:
- System Service Descriptor Table (SSDT) hooks
- Interrupt Descriptor Table (IDT) hooks
- Kernel Object Manipulation
- Modification of the Kernel Debugger
This ensures that the kernel remains in a known, stable state, preventing malware or poorly written drivers from tampering with it. Thus, any legitimate EDR driver must respect PatchGuard's restrictions, meaning that it cannot perform kernel patching or directly modify protected kernel structures.
#### 2. Signed Drivers and PatchGuard Compliance
- Driver Signing: For EDR drivers to function within the constraints of PatchGuard, they must be properly signed with a valid digital signature. Microsoft enforces driver signing to ensure that only trusted drivers are loaded into kernel space. Drivers that attempt to bypass or disable PatchGuard violate this trust model and are blocked by the system.
- Windows Hardware Quality Labs (WHQL) Certification: Most reputable EDR vendors will seek WHQL certification for their drivers, ensuring that they operate within Microsoft's guidelines for kernel interaction. This certification process ensures that the driver respects PatchGuard’s policies and doesn’t introduce instability or security vulnerabilities.
#### 3. Driver Operation Without Violating PatchGuard
- Non-Patching Approach: EDR drivers must monitor and respond to system events without directly modifying kernel structures or patching kernel code, which would violate PatchGuard. Instead, they:
- Hook into legitimate, documented APIs that provide system monitoring capabilities.
- Rely on Windows Filtering Platform (WFP), ETW (Event Tracing for Windows), or Hypervisor-protected Code Integrity (HVCI) for monitoring low-level events.
- Use legitimate kernel interfaces to gather data about processes, network activity, and file operations without modifying protected kernel data structures.
- User Mode and Kernel Mode Balance: Some EDR solutions split their functionality between user-mode agents and kernel-mode drivers. The driver performs low-level monitoring, while the user-mode components handle less sensitive tasks, ensuring that EDR solutions work effectively within the boundaries set by PatchGuard.
ادامه در پست بعد
@Engineer_Computer
#cybersecurity #threathunting #cyberforensics #Stuxnet #risk #edr #xdr
ادامه از پست قبل 👆👆
#### 4. Is Using a Driver a Violation?
- No, It’s Not a Violation (When Done Correctly): Using a kernel driver in EDR solutions is not inherently a violation of PatchGuard. It’s only a violation if the driver attempts to patch or modify the kernel in ways that violate Windows security policies. Well-designed EDR solutions comply with PatchGuard by using standard APIs and legitimate kernel interfaces to achieve monitoring and protection goals.
- Working Within Kernel Mode: The EDR driver operates *within* the kernel, but it doesn’t modify or patch critical parts of the kernel itself. Instead, it monitors and reports events while respecting PatchGuard's restrictions. This allows it to maintain visibility into the system without breaching the kernel's integrity or violating Windows security rules.
### Summary
- Windows PatchGuard prevents unauthorized modifications to the Windows kernel, ensuring that the system's core remains intact and protected.
- EDR drivers operate within kernel mode but must comply with PatchGuard rules, meaning they cannot modify or patch the kernel directly.
- No violation occurs if the EDR driver is properly signed, respects PatchGuard’s limitations, and uses legitimate kernel monitoring techniques rather than trying to alter or bypass kernel protections.
@Engineer_Computer
#cybersecurity #threathunting #cyberforensics #Stuxnet #risk #edr #xdr
#### 4. Is Using a Driver a Violation?
- No, It’s Not a Violation (When Done Correctly): Using a kernel driver in EDR solutions is not inherently a violation of PatchGuard. It’s only a violation if the driver attempts to patch or modify the kernel in ways that violate Windows security policies. Well-designed EDR solutions comply with PatchGuard by using standard APIs and legitimate kernel interfaces to achieve monitoring and protection goals.
- Working Within Kernel Mode: The EDR driver operates *within* the kernel, but it doesn’t modify or patch critical parts of the kernel itself. Instead, it monitors and reports events while respecting PatchGuard's restrictions. This allows it to maintain visibility into the system without breaching the kernel's integrity or violating Windows security rules.
### Summary
- Windows PatchGuard prevents unauthorized modifications to the Windows kernel, ensuring that the system's core remains intact and protected.
- EDR drivers operate within kernel mode but must comply with PatchGuard rules, meaning they cannot modify or patch the kernel directly.
- No violation occurs if the EDR driver is properly signed, respects PatchGuard’s limitations, and uses legitimate kernel monitoring techniques rather than trying to alter or bypass kernel protections.
@Engineer_Computer
#cybersecurity #threathunting #cyberforensics #Stuxnet #risk #edr #xdr
#امنیت_به_زبان_ساده
در مورد حملات در حوزه COM object ها شنیده ایم مثلا هایجک کردن کام آبجکت ها .
بحث در مورد این نوع حملات مفصل است . که در مورد آنها در پست های آتی خواهم نوشت
اما بیاییم ساده ببینیم کام آبجکت چیست ؟
از طریق کام آبجکت ها دو برنامه کامپیوتری با هم ارتباط میگیرند. اما از چه طریق ؟ یکسری کمپوننت هایی که توسط سایر برنامه ها هم میشه فراخوانی بشه.
مقایسه : کام آبجکت مانند کنترل تلویزیون شما باشد . اما برنامه اصلی که میخواهید از آن استفاده کنید تلویزیون است بدون آنکه بدانید چگونه کار میکند. شما کانال رو عوض میکنید و صدا رو کم و زیاد میکنید بدون اطلاع از عملکرد داخلی تلویزیون.
مثال فنی :فرض کنید برنامه شما نیاز دارد شیت اکسل بسازد. بجای آنکه اکسل را تماما خودتان بنویسید شما از کام آبجکت های اکسل استفاده میکنید در این حالت کام آبجکت اجازه تعامل با اکسل را به شما میدهد. و درون برنامه خودتان شیت اکسل میسازید به کمک برنامه اکسل.
مثال دیگر فنی را میتون در اتوماتیک سازی تعامل با مرورگر دید. اگر میخواهید فعالیتی را در مرورگر اتوماتیک سازید کام آبجکتی برای تعامل با مرورگر استفاده میکنید . لذا برنامه شما میتواند فرم پر کند و دکمه ها را بزند بدون حضور شما.
مشکلات استفاده از کام آبجکت ها:
بهتر است اگر برنامه ای کام آبجکت ایجاد میکند تا میتواند از همان قبلی هایی که ساخته است استفاده کند و دائم درحال ساختن کام آبجکت نباشد چون به مشکلات پرفرمنس برمی خوریم.
اگر حافظه تخصیص یافته به کام آبجکت به درستی آزاد نشود دچار کمبود حافظه خواهیم شد.
اعمال کنترل های امنیتی در زمان دسترسی کام آبجکت ها به داده های حساس باید انجام پذیرد
همخوانی ورژن کام آبجکت با برنامه شما باید رعایت گردد( مدیریت ورژن )
استفاده از کام آبجکت ها در برخی موارد پروژه را دچار پیچیدگی میکند
بدون همسان سازی مناسب؛ استفاده از کام آبجکت ها در برنامه های مالتی ترد مشکل زا است
خطاهای کام آبجکت ها بایستی به درستی توسط برنامه نویس هندل شوند وگرنه برنامه به کار خود ادامه میدهد اما مشکلی کشف نشده رخ داده است.
در پست های بعد در خصوص مشکلات امنیتی در حوزه کام آبجکت ها صحبت خواهم کرد.
#امنیت_به_زبان_ساده
#آموزش
#cybersecurity #threathunting #securityawareness #risk #governance
🌱🌱 نشر دهید تا در اشتراک دانش سهیم باشید
@Engineer_Computer
در مورد حملات در حوزه COM object ها شنیده ایم مثلا هایجک کردن کام آبجکت ها .
بحث در مورد این نوع حملات مفصل است . که در مورد آنها در پست های آتی خواهم نوشت
اما بیاییم ساده ببینیم کام آبجکت چیست ؟
از طریق کام آبجکت ها دو برنامه کامپیوتری با هم ارتباط میگیرند. اما از چه طریق ؟ یکسری کمپوننت هایی که توسط سایر برنامه ها هم میشه فراخوانی بشه.
مقایسه : کام آبجکت مانند کنترل تلویزیون شما باشد . اما برنامه اصلی که میخواهید از آن استفاده کنید تلویزیون است بدون آنکه بدانید چگونه کار میکند. شما کانال رو عوض میکنید و صدا رو کم و زیاد میکنید بدون اطلاع از عملکرد داخلی تلویزیون.
مثال فنی :فرض کنید برنامه شما نیاز دارد شیت اکسل بسازد. بجای آنکه اکسل را تماما خودتان بنویسید شما از کام آبجکت های اکسل استفاده میکنید در این حالت کام آبجکت اجازه تعامل با اکسل را به شما میدهد. و درون برنامه خودتان شیت اکسل میسازید به کمک برنامه اکسل.
مثال دیگر فنی را میتون در اتوماتیک سازی تعامل با مرورگر دید. اگر میخواهید فعالیتی را در مرورگر اتوماتیک سازید کام آبجکتی برای تعامل با مرورگر استفاده میکنید . لذا برنامه شما میتواند فرم پر کند و دکمه ها را بزند بدون حضور شما.
مشکلات استفاده از کام آبجکت ها:
بهتر است اگر برنامه ای کام آبجکت ایجاد میکند تا میتواند از همان قبلی هایی که ساخته است استفاده کند و دائم درحال ساختن کام آبجکت نباشد چون به مشکلات پرفرمنس برمی خوریم.
اگر حافظه تخصیص یافته به کام آبجکت به درستی آزاد نشود دچار کمبود حافظه خواهیم شد.
اعمال کنترل های امنیتی در زمان دسترسی کام آبجکت ها به داده های حساس باید انجام پذیرد
همخوانی ورژن کام آبجکت با برنامه شما باید رعایت گردد( مدیریت ورژن )
استفاده از کام آبجکت ها در برخی موارد پروژه را دچار پیچیدگی میکند
بدون همسان سازی مناسب؛ استفاده از کام آبجکت ها در برنامه های مالتی ترد مشکل زا است
خطاهای کام آبجکت ها بایستی به درستی توسط برنامه نویس هندل شوند وگرنه برنامه به کار خود ادامه میدهد اما مشکلی کشف نشده رخ داده است.
در پست های بعد در خصوص مشکلات امنیتی در حوزه کام آبجکت ها صحبت خواهم کرد.
#امنیت_به_زبان_ساده
#آموزش
#cybersecurity #threathunting #securityawareness #risk #governance
🌱🌱 نشر دهید تا در اشتراک دانش سهیم باشید
@Engineer_Computer
❤1👍1
an_ace_up_the_sleeve (2).pdf
5.7 MB
اگر میتوانی چیزی را تصور کنی ؛ احتمال زیاد اون حمله قبلا انجام شده است!!. پس سازمانت رو برای یافتن اثر رد پا بگرد .
Designing Active Directory DACL Backdoors
مستند فوق با تفکر اشاره شده در اول این پست تهیه شده است.نفوذی بدونه نیاز به بدافزار . security descriptor ها در اکتیو دایرکتوری توسط بسیاری از تیم های آبی و قرمز رها میشوند و به آنها توجهی نمیگردد. معمولا سخت است که بفهمیم که تنظیمات غلط یک AD Sec Desc به عمد بوده یا سهوی انجام شده است.
توسط مقاله ی فوق میتوانید به تکنیکی مسلط شوید که میتواند بعنوان بک دوری استفاده شود که سالها در سازمان شما باقی بماند.
امیدوارم با مطالعه این مستند ؛ محافظان امنیت و طراحان زیرساخت و تیم های دفاعی بتوانند این راهکار برای نفوذ را از بین ببرند یا نفوذ های کشف شده را خنثی سازند.
#threathunting #cyberforensics #Stuxnet #risk #governance #cyberforensics #activedirectory
@Engineer_Computer
Designing Active Directory DACL Backdoors
مستند فوق با تفکر اشاره شده در اول این پست تهیه شده است.نفوذی بدونه نیاز به بدافزار . security descriptor ها در اکتیو دایرکتوری توسط بسیاری از تیم های آبی و قرمز رها میشوند و به آنها توجهی نمیگردد. معمولا سخت است که بفهمیم که تنظیمات غلط یک AD Sec Desc به عمد بوده یا سهوی انجام شده است.
توسط مقاله ی فوق میتوانید به تکنیکی مسلط شوید که میتواند بعنوان بک دوری استفاده شود که سالها در سازمان شما باقی بماند.
امیدوارم با مطالعه این مستند ؛ محافظان امنیت و طراحان زیرساخت و تیم های دفاعی بتوانند این راهکار برای نفوذ را از بین ببرند یا نفوذ های کشف شده را خنثی سازند.
#threathunting #cyberforensics #Stuxnet #risk #governance #cyberforensics #activedirectory
@Engineer_Computer
اینم خدمت دوستانی که خیلی دوست دارند کاربرد واقعی و عملی NetFlow در کشف APT رو ببینن.
یک پیوست واسه درس سنز ۵۷۲ ( فارنزیک و هانت شبکه )
https://www.linkedin.com/posts/roozbehnoroozi_cybersecurity-threathunting-cyberforensics-activity-7260738737603547138-aDlC?utm_source=share&utm_medium=member_android
@Engineer_Computer
یک پیوست واسه درس سنز ۵۷۲ ( فارنزیک و هانت شبکه )
https://www.linkedin.com/posts/roozbehnoroozi_cybersecurity-threathunting-cyberforensics-activity-7260738737603547138-aDlC?utm_source=share&utm_medium=member_android
@Engineer_Computer
Linkedin
Real example of detecting APTs by NetFlow | Roozbeh Noroozi
Real example of detecting APTs by NetFlow
As an appendix to SANS FOR572 training.
#cybersecurity #threathunting #cyberforensics #risk
As an appendix to SANS FOR572 training.
#cybersecurity #threathunting #cyberforensics #risk