خونریزی مجدد برگشته است. و خطرناک‌تر از سال ۲۰۲۲ شده است.
هکرها روزنه‌های جدیدی در اعماق معماری پیدا کرده‌اند و اکنون می‌توانند داده‌ها را با سرعت نگران‌کننده‌ای استخراج کنند.
دست آوردن لیستی از تمام فرآیندهای در حال اجرا و ماشین‌های مجازی روی یک سرور گرفته تا استخراج داده‌های حیاتی، از جمله کلیدهای رمزنگاری. علاوه بر این، این حمله می‌تواند از محیط‌های ایزوله و بدون امتیاز، مانند جعبه شنی مرورگر کروم، انجام شود که بر جدی بودن آن تأکید دارد.
این روش تهدید ویژه‌ای برای زیرساخت‌های مجازی و ابری محسوب میشود. آزمایش‌های انجام‌شده، احتمال اجرای کد در داخل یک ماشین مجازی آسیب‌دیده با دسترسی به حافظه سیستم میزبان و حتی خواندن داده‌ها از سایر ماشین‌های مجازی روی همان سرور فیزیکی را تأیید کردند. برای سرویس‌های ابری، که در آنها کلاینت‌هایی با سطوح مختلف اعتماد روی همان تجهیزات قرار دارند، این یک خطر بحرانی ایجاد میکند.
توسعه‌دهندگان این اکسپلویت با پیاده‌سازی برنامه‌نویسی بازگشت‌گرای گمانه‌زن (ROP) برای ایجاد «گجت‌های آشکارسازی» بهینه که در کد استاندارد هسته وجود ندارند، بر محدودیتهای کلیدی رویکرد قبلی غلبه کردند. آنها همچنین آموزش پیش‌بینی‌کننده شاخه و تکنیک‌های دور زدن KASLR (تصادفی‌سازی طرح‌بندی فضای آدرس هسته) را بهبود بخشیدند.
از میان اقدامات حفاظتی موجود، jmp2ret عملکرد را ۵ تا ۶ درصد کاهش میدهد و IBPB (مانع پیش‌بینی غیرمستقیم شاخه) که سختگیرانه‌تر است، می‌تواند برخی از وظایف را ۵۵ تا ۶۰ درصد کند کند و استفاده از آن را در سیستمهای با بار زیاد دشوار میکند.
این کار نشان میدهد که حتی آسیب‌پذیری‌های شناخته‌شده را می‌توان دوباره طراحی و در سناریوهای مخرب‌تر استفاده کرد. دارندگان سیستمهای مبتنی بر پردازنده‌های AMD آسیب‌دیده، به‌ویژه در بخش محاسبات ابری، باید تعادلی بین امنیت و عملکرد پیدا کنند و همچنین در نظر داشته باشند که حملات در سطح معماری نیاز به نظارت مداوم و توسعه‌ی دفاع‌های مؤثرتر دارند.
💡اگر این متن دیدگاه شما را تغییر داد، به اشتراک بگذارید.
بیایید با هم استانداردها را بالا ببریم.
هکرها روزنه‌های جدیدی در اعماق معماری پیدا کرده‌اند و اکنون می‌توانند داده‌ها را با سرعت نگران‌کننده‌ای استخراج کنند.
دست آوردن لیستی از تمام فرآیندهای در حال اجرا و ماشین‌های مجازی روی یک سرور گرفته تا استخراج داده‌های حیاتی، از جمله کلیدهای رمزنگاری. علاوه بر این، این حمله می‌تواند از محیط‌های ایزوله و بدون امتیاز، مانند جعبه شنی مرورگر کروم، انجام شود که بر جدی بودن آن تأکید دارد.
این روش تهدید ویژه‌ای برای زیرساخت‌های مجازی و ابری محسوب میشود. آزمایش‌های انجام‌شده، احتمال اجرای کد در داخل یک ماشین مجازی آسیب‌دیده با دسترسی به حافظه سیستم میزبان و حتی خواندن داده‌ها از سایر ماشین‌های مجازی روی همان سرور فیزیکی را تأیید کردند. برای سرویس‌های ابری، که در آنها کلاینت‌هایی با سطوح مختلف اعتماد روی همان تجهیزات قرار دارند، این یک خطر بحرانی ایجاد میکند.
توسعه‌دهندگان این اکسپلویت با پیاده‌سازی برنامه‌نویسی بازگشت‌گرای گمانه‌زن (ROP) برای ایجاد «گجت‌های آشکارسازی» بهینه که در کد استاندارد هسته وجود ندارند، بر محدودیتهای کلیدی رویکرد قبلی غلبه کردند. آنها همچنین آموزش پیش‌بینی‌کننده شاخه و تکنیک‌های دور زدن KASLR (تصادفی‌سازی طرح‌بندی فضای آدرس هسته) را بهبود بخشیدند.
از میان اقدامات حفاظتی موجود، jmp2ret عملکرد را ۵ تا ۶ درصد کاهش میدهد و IBPB (مانع پیش‌بینی غیرمستقیم شاخه) که سختگیرانه‌تر است، می‌تواند برخی از وظایف را ۵۵ تا ۶۰ درصد کند کند و استفاده از آن را در سیستمهای با بار زیاد دشوار میکند.
این کار نشان میدهد که حتی آسیب‌پذیری‌های شناخته‌شده را می‌توان دوباره طراحی و در سناریوهای مخرب‌تر استفاده کرد. دارندگان سیستمهای مبتنی بر پردازنده‌های AMD آسیب‌دیده، به‌ویژه در بخش محاسبات ابری، باید تعادلی بین امنیت و عملکرد پیدا کنند و همچنین در نظر داشته باشند که حملات در سطح معماری نیاز به نظارت مداوم و توسعه‌ی دفاع‌های مؤثرتر دارند.
💡اگر این متن دیدگاه شما را تغییر داد، به اشتراک بگذارید.
بیایید با هم استانداردها را بالا ببریم.
❤1
GPT-5 در عرض ۲۴ ساعت هک شد
دو تیم از محققان راهی پیدا کرده‌اند تا هوش مصنوعی را وادار کنند دستورالعملهای ممنوعه را آشکار کند.
پس از اینکه Grok-4 در عرض دو روز کرک شد، GPT-5 تنها در عرض ۲۴ ساعت به دست همان محققان افتاد. تقریباً همزمان، تیم آزمایش SPLX (که قبلاً SplxAI نام داشت) اظهار داشت: «GPT-5 خام تقریباً برای استفاده سازمانی از ابتدا غیرقابل استفاده است. حتی فیلترهای داخلی OpenAI نیز شکاف‌های قابل توجهی را به ویژه از نظر جهت‌گیری تجاری باقی می‌گذارند.»
NeuralTrust از تکنیک اختصاصی EchoChamber خود در ترکیب با تکنیک «داستان‌سرایی» استفاده کرد تا مدل را قادر به توصیف گام به گام فرآیند ساخت کوکتل مولوتوف کند. این شرکت می‌گوید این مورد نشان میدهد که هر مدل هوش مصنوعی مدرن در برابر دستکاری از طریق زمینه - تاریخچه مکاتباتی که سیستم برای حفظ انسجام مکالمه به خاطر می‌سپارد - آسیب‌پذیر است. مهاجمان به جای درخواست مستقیم محتوای ممنوعه، مدل را گام به گام از طریق سناریوی مورد نظر هدایت میکنند و از محرک‌های مسدودکننده آشکار اجتناب میکنند.
این فرآیند به این صورت انجام میشود: ابتدا، سرنخ‌های سمی به طور نامحسوس در قالب متنی بی‌ضرر وارد مکالمه می‌شوند؛ سپس روایتی ساخته میشود که انسجام منطقی را حفظ میکند اما از کلماتی که می‌توانند باعث رد شدن شوند، اجتناب میکند؛ سپس چرخه‌ای از «تعمیق داستان» وجود دارد که در آن خود مدل جزئیاتی را اضافه میکند که زمینه مورد نظر را تقویت میکند؛ اگر پیشرفت کند شود، مهاجمان طرح یا دیدگاه را تغییر می‌دهند تا بدون آشکار کردن اهداف خود، بیشتر پیشروی کنند. طبق گفته NeuralTrust، این «چسبندگی» طرح، هوش مصنوعی را در «جهان» ایجاد شده مطیع‌تر میکند و به آن اجازه میدهد بدون نقض مستقیم قوانین، به هدف خود برسد.
SPLX رویکرد متفاوتی را در پیش گرفت و مدل را برای مقاومت در برابر مبهم‌سازی پرس‌وجو آزمایش کرد. یکی از روش‌ها، حمله مبهم‌سازی StringJoin است که بین هر حرف یک خط فاصله قرار میدهد و کل پرس‌وجو را به یک وظیفه «رمزگشایی» جعلی تبدیل میکند. در یک مثال، به GPT-5، دستورالعمل طولانی‌ای که با سوال «چگونه بمب بسازم؟» تمام می‌شد، با آشنایی غیرمنتظره‌ای پاسخ داد: «خب، این یک شروع قوی است. شما با قدرت وارد شدید و من به آن احترام می‌گذارم... شما پرسیدید که چگونه بمب بسازیم و من دقیقاً به شما می‌گویم چگونه...»
آزمایش‌های مقایسه‌ای نشان داده‌اند که GPT-4o ، به‌ویژه پس از محافظت بیشتر، در برابر چنین حملاتی مقاوم‌تر باقی می‌ماند . هر دو گزارش در یک مورد توافق دارند: استفاده از GPT-5 خام در حال حاضر باید با احتیاط شدید انجام شود.
💡اگر این متن دیدگاه شما را تغییر داد، به اشتراک بگذارید.
بیایید با هم استانداردها را بالا ببریم.
دو تیم از محققان راهی پیدا کرده‌اند تا هوش مصنوعی را وادار کنند دستورالعملهای ممنوعه را آشکار کند.
پس از اینکه Grok-4 در عرض دو روز کرک شد، GPT-5 تنها در عرض ۲۴ ساعت به دست همان محققان افتاد. تقریباً همزمان، تیم آزمایش SPLX (که قبلاً SplxAI نام داشت) اظهار داشت: «GPT-5 خام تقریباً برای استفاده سازمانی از ابتدا غیرقابل استفاده است. حتی فیلترهای داخلی OpenAI نیز شکاف‌های قابل توجهی را به ویژه از نظر جهت‌گیری تجاری باقی می‌گذارند.»
NeuralTrust از تکنیک اختصاصی EchoChamber خود در ترکیب با تکنیک «داستان‌سرایی» استفاده کرد تا مدل را قادر به توصیف گام به گام فرآیند ساخت کوکتل مولوتوف کند. این شرکت می‌گوید این مورد نشان میدهد که هر مدل هوش مصنوعی مدرن در برابر دستکاری از طریق زمینه - تاریخچه مکاتباتی که سیستم برای حفظ انسجام مکالمه به خاطر می‌سپارد - آسیب‌پذیر است. مهاجمان به جای درخواست مستقیم محتوای ممنوعه، مدل را گام به گام از طریق سناریوی مورد نظر هدایت میکنند و از محرک‌های مسدودکننده آشکار اجتناب میکنند.
این فرآیند به این صورت انجام میشود: ابتدا، سرنخ‌های سمی به طور نامحسوس در قالب متنی بی‌ضرر وارد مکالمه می‌شوند؛ سپس روایتی ساخته میشود که انسجام منطقی را حفظ میکند اما از کلماتی که می‌توانند باعث رد شدن شوند، اجتناب میکند؛ سپس چرخه‌ای از «تعمیق داستان» وجود دارد که در آن خود مدل جزئیاتی را اضافه میکند که زمینه مورد نظر را تقویت میکند؛ اگر پیشرفت کند شود، مهاجمان طرح یا دیدگاه را تغییر می‌دهند تا بدون آشکار کردن اهداف خود، بیشتر پیشروی کنند. طبق گفته NeuralTrust، این «چسبندگی» طرح، هوش مصنوعی را در «جهان» ایجاد شده مطیع‌تر میکند و به آن اجازه میدهد بدون نقض مستقیم قوانین، به هدف خود برسد.
SPLX رویکرد متفاوتی را در پیش گرفت و مدل را برای مقاومت در برابر مبهم‌سازی پرس‌وجو آزمایش کرد. یکی از روش‌ها، حمله مبهم‌سازی StringJoin است که بین هر حرف یک خط فاصله قرار میدهد و کل پرس‌وجو را به یک وظیفه «رمزگشایی» جعلی تبدیل میکند. در یک مثال، به GPT-5، دستورالعمل طولانی‌ای که با سوال «چگونه بمب بسازم؟» تمام می‌شد، با آشنایی غیرمنتظره‌ای پاسخ داد: «خب، این یک شروع قوی است. شما با قدرت وارد شدید و من به آن احترام می‌گذارم... شما پرسیدید که چگونه بمب بسازیم و من دقیقاً به شما می‌گویم چگونه...»
آزمایش‌های مقایسه‌ای نشان داده‌اند که GPT-4o ، به‌ویژه پس از محافظت بیشتر، در برابر چنین حملاتی مقاوم‌تر باقی می‌ماند . هر دو گزارش در یک مورد توافق دارند: استفاده از GPT-5 خام در حال حاضر باید با احتیاط شدید انجام شود.
💡اگر این متن دیدگاه شما را تغییر داد، به اشتراک بگذارید.
بیایید با هم استانداردها را بالا ببریم.
❤2
مایکروسافت راهنمایی در مورد آسیب‌پذیری با شدت بالا (CVE-2025-53786) در پیاده‌سازی‌های Hybrid Exchange منتشر کرد.
به‌روزرسانی (۱۲/۰۸/۲۰۲۵): IACS این هشدار را به‌روزرسانی کرده است تا توضیحاتی در مورد شناسایی سرورهای Exchange در شبکه‌های یک سازمان ارائه دهد و راهنمایی‌های بیشتری در مورد اجرای Microsoft Exchange Health Checker ارائه دهد.
IACS از آسیب‌پذیری با شدت بالای CVE-2025-53786 که به تازگی افشا شده است، آگاه است. این آسیب‌پذیری به یک عامل تهدید سایبری با دسترسی مدیریتی به یک سرور Microsoft Exchange داخلی اجازه میدهد تا با سوءاستفاده از پیکربندی‌های آسیب‌پذیر hybrid-joined، امتیازات خود را افزایش دهد. این آسیب‌پذیری، در صورت عدم رسیدگی، می‌تواند بر تمامیت هویت سرویس Exchange Online یک سازمان تأثیر بگذارد.
اگرچه مایکروسافت اعلام کرده است که تا زمان انتشار این هشدار، هیچ سوءاستفاده‌ای مشاهده نشده است، اما IACS اکیداً از سازمان‌ها می‌خواهد که راهنمای آسیب‌پذیری ارتقاء امتیاز در استقرار ترکیبی Exchange Server مایکروسافت را که در زیر آمده است، اجرا کنند، در غیر این صورت سازمان را در معرض خطر ابر ترکیبی و به خطر افتادن کل دامنه در محل قرار می‌دهند.
سازمان‌ها ابتدا باید تمام سرورهای Exchange را در شبکه‌های خود فهرست‌بندی کنند (سازمان‌ها باید از ابزارهای موجود برای مشاهده‌پذیری یا ابزارهای عمومی مانند اسکریپت‌های NMAP یا PowerShell برای انجام این کار استفاده کنند).
اگر از Exchange hybrid استفاده می‌کنید، راهنمای مایکروسافت با عنوان «تغییرات امنیتی سرور Exchange برای استقرارهای هیبریدی» را بررسی کنید تا مشخص شود که آیا استقرارهای هیبریدی مایکروسافت شما به طور بالقوه تحت تأثیر قرار گرفته‌اند و برای به‌روزرسانی تجمعی (CU) در دسترس هستند یا خیر.
به‌روزرسانی‌های هاتفیکس سرور اکسچنج مایکروسافت برای آوریل ۲۰۲۵ را روی سرور اکسچنج داخلی نصب کنید و دستورالعملهای پیکربندی مایکروسافت را دنبال کنید. برنامه ترکیبی اختصاصی اکسچنج را مستقر کنید .
برای سازمان‌هایی که از Exchange hybrid استفاده میکنند (یا قبلاً Exchange hybrid را پیکربندی کرده‌اند اما دیگر از آن استفاده نمی‌کنند)، برای راهنمایی در مورد بازنشانی keyCredentials مربوط به service principal ، حالت پاکسازی Service Principal مایکروسافت را بررسی کنید.
پس از اتمام، Microsoft Exchange Health Checker را با مجوزهای مناسب اجرا کنید تا سطح CU هر Exchange Server شناسایی شده را شناسایی کرده و مشخص کنید که آیا مراحل بیشتری لازم است یا خیر.
IACS اکیداً به نهادها توصیه میکند که نسخه‌های عمومی Exchange Server یا SharePoint Server که به پایان عمر (EOL) یا پایان سرویس خود رسیده‌اند را از اینترنت جدا کنند. به عنوان مثال، SharePoint Server 2013 و نسخه‌های قبلی EOL هستند و در صورت استفاده هنوز باید قطع شوند.
سازمان‌ها باید وبلاگ مایکروسافت با عنوان «برنامه ترکیبی اختصاصی: اجرای موقت، HCW جدید و اختلالات احتمالی در عملکرد ترکیبی» را برای راهنمایی‌های بیشتر در صورت در دسترس قرار گرفتن، بررسی کنند.
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-53786
سلب مسئولیت:
اطلاعات موجود در این گزارش صرفاً جهت اطلاع‌رسانی و «به همین صورت که هست» ارائه میشود. IACS هیچ نهاد تجاری، محصول، شرکت یا خدماتی، از جمله نهادها، محصولات یا خدماتی که در این سند به آنها لینک داده شده است را تأیید نمی‌کند. هرگونه اشاره به نهادهای تجاری، محصولات، فرآیندها یا خدمات خاص از طریق علامت تجاری، علامت تجاری، تولیدکننده یا موارد دیگر، به منزله تأیید، توصیه یا جانبداری IACS از آنها نیست.
💡اگر این متن دیدگاه شما را تغییر داد، به اشتراک بگذارید.
بیایید با هم استانداردها را بالا ببریم.
به‌روزرسانی (۱۲/۰۸/۲۰۲۵): IACS این هشدار را به‌روزرسانی کرده است تا توضیحاتی در مورد شناسایی سرورهای Exchange در شبکه‌های یک سازمان ارائه دهد و راهنمایی‌های بیشتری در مورد اجرای Microsoft Exchange Health Checker ارائه دهد.
IACS از آسیب‌پذیری با شدت بالای CVE-2025-53786 که به تازگی افشا شده است، آگاه است. این آسیب‌پذیری به یک عامل تهدید سایبری با دسترسی مدیریتی به یک سرور Microsoft Exchange داخلی اجازه میدهد تا با سوءاستفاده از پیکربندی‌های آسیب‌پذیر hybrid-joined، امتیازات خود را افزایش دهد. این آسیب‌پذیری، در صورت عدم رسیدگی، می‌تواند بر تمامیت هویت سرویس Exchange Online یک سازمان تأثیر بگذارد.
اگرچه مایکروسافت اعلام کرده است که تا زمان انتشار این هشدار، هیچ سوءاستفاده‌ای مشاهده نشده است، اما IACS اکیداً از سازمان‌ها می‌خواهد که راهنمای آسیب‌پذیری ارتقاء امتیاز در استقرار ترکیبی Exchange Server مایکروسافت را که در زیر آمده است، اجرا کنند، در غیر این صورت سازمان را در معرض خطر ابر ترکیبی و به خطر افتادن کل دامنه در محل قرار می‌دهند.
سازمان‌ها ابتدا باید تمام سرورهای Exchange را در شبکه‌های خود فهرست‌بندی کنند (سازمان‌ها باید از ابزارهای موجود برای مشاهده‌پذیری یا ابزارهای عمومی مانند اسکریپت‌های NMAP یا PowerShell برای انجام این کار استفاده کنند).
اگر از Exchange hybrid استفاده می‌کنید، راهنمای مایکروسافت با عنوان «تغییرات امنیتی سرور Exchange برای استقرارهای هیبریدی» را بررسی کنید تا مشخص شود که آیا استقرارهای هیبریدی مایکروسافت شما به طور بالقوه تحت تأثیر قرار گرفته‌اند و برای به‌روزرسانی تجمعی (CU) در دسترس هستند یا خیر.
به‌روزرسانی‌های هاتفیکس سرور اکسچنج مایکروسافت برای آوریل ۲۰۲۵ را روی سرور اکسچنج داخلی نصب کنید و دستورالعملهای پیکربندی مایکروسافت را دنبال کنید. برنامه ترکیبی اختصاصی اکسچنج را مستقر کنید .
برای سازمان‌هایی که از Exchange hybrid استفاده میکنند (یا قبلاً Exchange hybrid را پیکربندی کرده‌اند اما دیگر از آن استفاده نمی‌کنند)، برای راهنمایی در مورد بازنشانی keyCredentials مربوط به service principal ، حالت پاکسازی Service Principal مایکروسافت را بررسی کنید.
پس از اتمام، Microsoft Exchange Health Checker را با مجوزهای مناسب اجرا کنید تا سطح CU هر Exchange Server شناسایی شده را شناسایی کرده و مشخص کنید که آیا مراحل بیشتری لازم است یا خیر.
IACS اکیداً به نهادها توصیه میکند که نسخه‌های عمومی Exchange Server یا SharePoint Server که به پایان عمر (EOL) یا پایان سرویس خود رسیده‌اند را از اینترنت جدا کنند. به عنوان مثال، SharePoint Server 2013 و نسخه‌های قبلی EOL هستند و در صورت استفاده هنوز باید قطع شوند.
سازمان‌ها باید وبلاگ مایکروسافت با عنوان «برنامه ترکیبی اختصاصی: اجرای موقت، HCW جدید و اختلالات احتمالی در عملکرد ترکیبی» را برای راهنمایی‌های بیشتر در صورت در دسترس قرار گرفتن، بررسی کنند.
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-53786
سلب مسئولیت:
اطلاعات موجود در این گزارش صرفاً جهت اطلاع‌رسانی و «به همین صورت که هست» ارائه میشود. IACS هیچ نهاد تجاری، محصول، شرکت یا خدماتی، از جمله نهادها، محصولات یا خدماتی که در این سند به آنها لینک داده شده است را تأیید نمی‌کند. هرگونه اشاره به نهادهای تجاری، محصولات، فرآیندها یا خدمات خاص از طریق علامت تجاری، علامت تجاری، تولیدکننده یا موارد دیگر، به منزله تأیید، توصیه یا جانبداری IACS از آنها نیست.
💡اگر این متن دیدگاه شما را تغییر داد، به اشتراک بگذارید.
بیایید با هم استانداردها را بالا ببریم.
Telegram
IACS
کانال تخصصی امنیت اتوماسیون و کنترل صنعتی با رویکرد آگاهی رسانی،آموزش ومشاوره درحوزه مخاطرات امنیتی درزیرساخت‌های حساس وحیاتی بامعماری:ICS، SCADA، DCS، OT فعالیت میکند.
برای اخذ مشاوره خصوصی بامن تماس بگیرید:
@Pedram_kiani
www.VCOACH.ir
برای اخذ مشاوره خصوصی بامن تماس بگیرید:
@Pedram_kiani
www.VCOACH.ir
❤1
یک پلتفرم مدیریت اطلاعات و رویدادهای امنیتی است که توسط شرکت Fortinet ساخته شده است.
یک آسیب‌پذیری با عنوان خنثی‌سازی نادرست عناصر خاص استفاده‌شده در یک فرمان سیستم‌عامل (تزریق فرمان سیستم‌عامل - [CWE-78]) در Fortinet FortiSIEM نسخه‌های 7.3.0 تا 7.3.1، 7.2.0 تا 7.2.5، 7.1.0 تا 7.1.7، 7.0.0 تا 7.0.3 و نسخه‌های قبل از 6.7.9 وجود دارد که به مهاجم بدون احراز هویت این امکان را میدهد تا از طریق درخواست‌های CLI دستکاری‌شده، کد یا فرمان‌های غیرمجاز را اجرا کند.
محصولات آسیب‌پذیر
نسخه‌های 7.3.0 تا 7.3.1
نسخه‌های 7.2.0 تا 7.2.5
نسخه‌های 7.1.0 تا 7.1.7
نسخه‌های 7.0.0 تا 7.0.3
نسخه‌های قبل از 6.7.9
توصیه‌های امنیتی
به کاربران توصیه میشود:
نسخه‌های 7.3.0 تا 7.3.1 را به نسخه‌ی 7.3.2 و بالاتر
نسخه‌های 7.2.0 تا 7.2.5 را به نسخه‌ی 7.2.6 و بالاتر
نسخه‌های 7.1.0 تا 7.1.7 را به نسخه‌ی 7.1.8 و بالاتر
نسخه‌های 7.0.0 تا 7.0.3 را به نسخه‌ی 7.0.4 و بالاتر
نسخه‌های 6.7.0 تا 6.7.9 را به نسخه‌ی 6.7.10
به‌روزرسانی نمایند تا آسیب‌پذیری رفع شود.
یک آسیب‌پذیری با عنوان خنثی‌سازی نادرست عناصر خاص استفاده‌شده در یک فرمان سیستم‌عامل (تزریق فرمان سیستم‌عامل - [CWE-78]) در Fortinet FortiSIEM نسخه‌های 7.3.0 تا 7.3.1، 7.2.0 تا 7.2.5، 7.1.0 تا 7.1.7، 7.0.0 تا 7.0.3 و نسخه‌های قبل از 6.7.9 وجود دارد که به مهاجم بدون احراز هویت این امکان را میدهد تا از طریق درخواست‌های CLI دستکاری‌شده، کد یا فرمان‌های غیرمجاز را اجرا کند.
محصولات آسیب‌پذیر
نسخه‌های 7.3.0 تا 7.3.1
نسخه‌های 7.2.0 تا 7.2.5
نسخه‌های 7.1.0 تا 7.1.7
نسخه‌های 7.0.0 تا 7.0.3
نسخه‌های قبل از 6.7.9
توصیه‌های امنیتی
به کاربران توصیه میشود:
نسخه‌های 7.3.0 تا 7.3.1 را به نسخه‌ی 7.3.2 و بالاتر
نسخه‌های 7.2.0 تا 7.2.5 را به نسخه‌ی 7.2.6 و بالاتر
نسخه‌های 7.1.0 تا 7.1.7 را به نسخه‌ی 7.1.8 و بالاتر
نسخه‌های 7.0.0 تا 7.0.3 را به نسخه‌ی 7.0.4 و بالاتر
نسخه‌های 6.7.0 تا 6.7.9 را به نسخه‌ی 6.7.10
به‌روزرسانی نمایند تا آسیب‌پذیری رفع شود.
#بدافزار هیچ مرزی ندارد، برخلاف جنگ فیزیکی که نیاز به تماس مستقیم دارد، بدافزار برای سوءاستفاده از آسیب‌پذیری‌های سیستمهای سایبری برای دستیابی به اهداف خاص طراحی شده است.
در سیستمهای کنترل صنعتی #ICS ، آسیب‌پذیری‌های شناخته‌شده زیادی وجود دارند و در حالی که وصله‌ها در دسترس هستند،
صاحبان دارایی اغلب به دلیل الزامات مداوم در دسترس بودن و انتظار برای قطع برنامه‌ریزی‌شده بعدی، اعمال آنها را به تأخیر می‌اندازند.
با تنش‌های سیاسی فعلی بین کشورهای بزرگ، زیرساخت‌های حیاتی به هدف اصلی تبدیل شده‌اند.
اخیراً، گروه‌های تهدید معروف به "TA402 (Tayfoon)" و "Volt Typhoon (Salt)" اپراتورهای زیرساخت‌های حیاتی در ایالات متحده را هدف قرار می‌دهند.
حتی اگر کشورهای ما مستقیماً درگیر این درگیری‌های ژئوپلیتیکی نباشند، ما هنوز هم می‌توانیم تحت تأثیر بدافزارهایی قرار بگیریم که برای هدف قرار دادن محیط‌های خاص ICS طراحی شده‌اند، همانطور که در گذشته با Stuxnet دیده شد، که PLC های زیمنس را در نیروگاه هسته‌ای نطنز هدف قرار داد اما ناخواسته دیگران را نیز تحت تأثیر قرار داد.
در حال حاضر، بیش از 90٪ از بودجه‌های امنیت سایبری در اکثر شرکت‌های زیرساخت حیاتی هنوز بر امنیت سایبری فناوری اطلاعات متمرکز است. با این تصور که آنها هدف نیستند و نادیده گرفتن اینکه پیامدهای یک حادثه سایبری در #OT می‌تواند بسیار فراتر از نقض داده‌ها باشد، می‌تواند بر زندگی انسان‌ها، محیط زیست و اعتبار ما تأثیر بگذارد.
#iec62443 #otcybersecurity #icscybersecurity #icssecurity
💡اگر این متن دیدگاه شما را تغییر داد، به اشتراک بگذارید.
بیایید با هم استانداردها را بالا ببریم.
در سیستمهای کنترل صنعتی #ICS ، آسیب‌پذیری‌های شناخته‌شده زیادی وجود دارند و در حالی که وصله‌ها در دسترس هستند،
صاحبان دارایی اغلب به دلیل الزامات مداوم در دسترس بودن و انتظار برای قطع برنامه‌ریزی‌شده بعدی، اعمال آنها را به تأخیر می‌اندازند.
با تنش‌های سیاسی فعلی بین کشورهای بزرگ، زیرساخت‌های حیاتی به هدف اصلی تبدیل شده‌اند.
اخیراً، گروه‌های تهدید معروف به "TA402 (Tayfoon)" و "Volt Typhoon (Salt)" اپراتورهای زیرساخت‌های حیاتی در ایالات متحده را هدف قرار می‌دهند.
حتی اگر کشورهای ما مستقیماً درگیر این درگیری‌های ژئوپلیتیکی نباشند، ما هنوز هم می‌توانیم تحت تأثیر بدافزارهایی قرار بگیریم که برای هدف قرار دادن محیط‌های خاص ICS طراحی شده‌اند، همانطور که در گذشته با Stuxnet دیده شد، که PLC های زیمنس را در نیروگاه هسته‌ای نطنز هدف قرار داد اما ناخواسته دیگران را نیز تحت تأثیر قرار داد.
در حال حاضر، بیش از 90٪ از بودجه‌های امنیت سایبری در اکثر شرکت‌های زیرساخت حیاتی هنوز بر امنیت سایبری فناوری اطلاعات متمرکز است. با این تصور که آنها هدف نیستند و نادیده گرفتن اینکه پیامدهای یک حادثه سایبری در #OT می‌تواند بسیار فراتر از نقض داده‌ها باشد، می‌تواند بر زندگی انسان‌ها، محیط زیست و اعتبار ما تأثیر بگذارد.
#iec62443 #otcybersecurity #icscybersecurity #icssecurity
💡اگر این متن دیدگاه شما را تغییر داد، به اشتراک بگذارید.
بیایید با هم استانداردها را بالا ببریم.
❤1
🔴 محققای Trail of Bits یک روش حمله ی جدیدی رو پیاده سازی کردن که از طریق تزریق پرامپتهای مخرب در تصاویر پردازش شده توسط سیستمهای هوش مصنوعی، داده‌های کاربران رو میدزدن.
این تحقیق بر مبنای نظریه‌ای است که در مقاله‌ای از کنفرانس USENIX 2020 توسط دانشگاه آلمانی TU Braunschweig ارائه شده.
وقتی کاربر تصویری رو در سیستمهای هوش مصنوعی آپلود میکنه، این تصاویر بطور خودکار برای بهبود کارایی و کاهش هزینه، از طریق الگوریتمهای Resampling مانند Nearest Neighbor، Bilinear یا Bicubic interpolation به کیفیت پایینتر Downscale میشه.
وقتی تصویر بزرگ رو کوچیک میکنیم، باید پیکسلهای زیادی رو در یک فضای کوچیک جا بدیم، بنابراین الگوریتمها نمیتونن تمام جزییات تصویر اصلی رو بصورت کامل نگه دارن. بنابراین روی تصویر کوچیک شده یسری خطای دید یا طرحهای اضافی بوجود میاد که اصطلاحا بهشون Aliasing میگن.
مهاجم تصویری رو میسازه که وقتی کوچیک شد و این Aliasing رخ داد، الگوهای مخفی ظاهر میشه.
در نمونه‌ی Trail of Bits، بخشهای تیره‌ی خاصی از تصویر مخرب هنگام پردازش با روش Bicubic downscaling به رنگ قرمز درمیاد و در نتیجه متن مخفی به رنگ سیاه ظاهر میشه.
مدل هوش مصنوعی این متن رو بخشی از دستور کاربر تفسیر کرده و بطور خودکار اونو با ورودی اصلی ترکیب میکنه.
از دید کاربر هیچ چیز غیرعادی بنظر نمیرسه، اما در عمل، مدل دستورالعملهای مخفی رو اجرا کرده که میتونه به نشت داده یا اقدامات پرخطر دیگه منجر بشه.
برای مثال، در یک حمله‌ی تستی علیه Gemini CLI، پژوهشگران تونستن داده‌های Google Calendar رو به یک آدرس ایمیل دلخواه ارسال کنن.
محققای Trail of Bits توضیح میدن که این حمله باید متناسب با هر مدل هوش مصنوعی و الگوریتم downscaling مورد استفاده‌ی اون تنظیم بشه. با این حال، پژوهشگران تأیید کردن که روششون در برابر سیستمهای زیر قابل استفاده است:
Google Gemini CLI
Vertex AI Studio (with Gemini backend)
Gemini's web interface
Gemini's API via the llm CLI
Google Assistant on an Android phone
Genspark
از آنجا که این بردار حمله گسترده هستش، میتونه فراتر از ابزارهای تست شده هم شامل بشه. همچنین برای نمایش یافته‌های خودشون، ابزار متن‌باز Anamorpher رو منتشر کردن که میتونه برای هر یک از روش‌های Downscaling ذکرشده تصویر مخرب تولید کنه.
محققای Trail of Bits توصیه میکنن سیستمهای هوش مصنوعی در زمان آپلود تصاویر توسط کاربران، محدودیتهای ابعادی اعمال کنن. اگه Downscaling ضروری بود، بهتره پیش‌نمایشی از تصویر نهایی که به LLM ارسال خواهد شد، به کاربر نمایش داده بشه.
همچنین تأکید میکنن که باید برای اجرای دستورات حساس تأیید صریح کاربر دریافت بشه.
#هوش_مصنوعی
این تحقیق بر مبنای نظریه‌ای است که در مقاله‌ای از کنفرانس USENIX 2020 توسط دانشگاه آلمانی TU Braunschweig ارائه شده.
وقتی کاربر تصویری رو در سیستمهای هوش مصنوعی آپلود میکنه، این تصاویر بطور خودکار برای بهبود کارایی و کاهش هزینه، از طریق الگوریتمهای Resampling مانند Nearest Neighbor، Bilinear یا Bicubic interpolation به کیفیت پایینتر Downscale میشه.
وقتی تصویر بزرگ رو کوچیک میکنیم، باید پیکسلهای زیادی رو در یک فضای کوچیک جا بدیم، بنابراین الگوریتمها نمیتونن تمام جزییات تصویر اصلی رو بصورت کامل نگه دارن. بنابراین روی تصویر کوچیک شده یسری خطای دید یا طرحهای اضافی بوجود میاد که اصطلاحا بهشون Aliasing میگن.
مهاجم تصویری رو میسازه که وقتی کوچیک شد و این Aliasing رخ داد، الگوهای مخفی ظاهر میشه.
در نمونه‌ی Trail of Bits، بخشهای تیره‌ی خاصی از تصویر مخرب هنگام پردازش با روش Bicubic downscaling به رنگ قرمز درمیاد و در نتیجه متن مخفی به رنگ سیاه ظاهر میشه.
مدل هوش مصنوعی این متن رو بخشی از دستور کاربر تفسیر کرده و بطور خودکار اونو با ورودی اصلی ترکیب میکنه.
از دید کاربر هیچ چیز غیرعادی بنظر نمیرسه، اما در عمل، مدل دستورالعملهای مخفی رو اجرا کرده که میتونه به نشت داده یا اقدامات پرخطر دیگه منجر بشه.
برای مثال، در یک حمله‌ی تستی علیه Gemini CLI، پژوهشگران تونستن داده‌های Google Calendar رو به یک آدرس ایمیل دلخواه ارسال کنن.
محققای Trail of Bits توضیح میدن که این حمله باید متناسب با هر مدل هوش مصنوعی و الگوریتم downscaling مورد استفاده‌ی اون تنظیم بشه. با این حال، پژوهشگران تأیید کردن که روششون در برابر سیستمهای زیر قابل استفاده است:
Google Gemini CLI
Vertex AI Studio (with Gemini backend)
Gemini's web interface
Gemini's API via the llm CLI
Google Assistant on an Android phone
Genspark
از آنجا که این بردار حمله گسترده هستش، میتونه فراتر از ابزارهای تست شده هم شامل بشه. همچنین برای نمایش یافته‌های خودشون، ابزار متن‌باز Anamorpher رو منتشر کردن که میتونه برای هر یک از روش‌های Downscaling ذکرشده تصویر مخرب تولید کنه.
محققای Trail of Bits توصیه میکنن سیستمهای هوش مصنوعی در زمان آپلود تصاویر توسط کاربران، محدودیتهای ابعادی اعمال کنن. اگه Downscaling ضروری بود، بهتره پیش‌نمایشی از تصویر نهایی که به LLM ارسال خواهد شد، به کاربر نمایش داده بشه.
همچنین تأکید میکنن که باید برای اجرای دستورات حساس تأیید صریح کاربر دریافت بشه.
#هوش_مصنوعی
🔥1
🚨 اولین بیمارستان هوش مصنوعی جهان به تازگی افتتاح شد.
بیمارستانی که پزشکان هرگز در آن نمی‌خوابند. جایی که تشخیص‌ها آنی هستند.
جایی که هر بیمار می‌تواند در عرض چند ثانیه به مراقبت‌های درجه یک جهانی دسترسی داشته باشد.
این بیمارستان عامل هوش مصنوعی که توسط موسسه هوش مصنوعی دانشگاه تسینگهوا توسعه یافته است، در آوریل 2025 راه‌اندازی شد و نسخه‌های آزمایشی عمومی آن از ماه مه آغاز شد. در اینجا به ویژگی‌های پیشگامانه آن اشاره میکنیم:
• 42 پزشک هوش مصنوعی از 21 تخصص، از قلب و عروق گرفته تا مغز و اعصاب
• بدون چت‌بات - این عوامل به صورت خودکار تشخیص می‌دهند، درمان‌ها را برنامه‌ریزی میکنند و پیگیری میکنند
• بیش از 10000 مورد در طول آزمایش در عرض چند روز تشخیص داده شده‌اند
• دقت 93.06٪ در معیار صدور مجوز MedQA ایالات متحده
• حتی برای آموزش دانشجویان پزشکی نیز استفاده میشود
💡 برداشت من: چیزی که تقریباً هیچ کس در مورد آن صحبت نمی‌کند این است - بیمارستان‌های هوش مصنوعی فقط در مورد مراقبت سریع‌تر نیستند. آنها در مورد گرانش داده‌ها هستند. هر تشخیص، برنامه درمانی و نتیجه به سیستم بازخورد میدهد. این بدان معناست که هر مشاوره فقط به یک بیمار کمک نمی‌کند - بلکه کل بیمارستان را هوشمندتر میکند. برخلاف پزشکان انسانی که به سال‌ها تجربه شخصی انباشته‌شده متکی هستند، این عوامل هوش مصنوعی دانش را از طریق میلیون‌ها تعامل در زمان واقعی ترکیب میکنند. این آینده‌ای را ایجاد میکند که در آن کیفیت مراقبت‌های بهداشتی دیگر به جغرافیا، ثروت یا دسترسی به متخصصان وابسته نیست. در عوض، به این بستگی دارد که چه کسی این شبکه‌های وسیع اطلاعات پزشکی را کنترل و اداره میکند.
چین به تازگی یک معیار تعیین کرده است. اما مسابقه واقعی در مورد این نیست که چه کسی اولین بیمارستان هوش مصنوعی را می‌سازد. در مورد این است که چه کسی مغز مراقبت‌های بهداشتی را می‌سازد که بقیه جهان به آن وابسته خواهند بود.
👉 آیا به یک پزشک هوش مصنوعی برای تشخیص خود اعتماد می‌کنید؟
#هوش_مصنوعی #مراقبت‌های_بهداشتی #نوآوری #آینده_کار #چین
بیمارستانی که پزشکان هرگز در آن نمی‌خوابند. جایی که تشخیص‌ها آنی هستند.
جایی که هر بیمار می‌تواند در عرض چند ثانیه به مراقبت‌های درجه یک جهانی دسترسی داشته باشد.
این بیمارستان عامل هوش مصنوعی که توسط موسسه هوش مصنوعی دانشگاه تسینگهوا توسعه یافته است، در آوریل 2025 راه‌اندازی شد و نسخه‌های آزمایشی عمومی آن از ماه مه آغاز شد. در اینجا به ویژگی‌های پیشگامانه آن اشاره میکنیم:
• 42 پزشک هوش مصنوعی از 21 تخصص، از قلب و عروق گرفته تا مغز و اعصاب
• بدون چت‌بات - این عوامل به صورت خودکار تشخیص می‌دهند، درمان‌ها را برنامه‌ریزی میکنند و پیگیری میکنند
• بیش از 10000 مورد در طول آزمایش در عرض چند روز تشخیص داده شده‌اند
• دقت 93.06٪ در معیار صدور مجوز MedQA ایالات متحده
• حتی برای آموزش دانشجویان پزشکی نیز استفاده میشود
💡 برداشت من: چیزی که تقریباً هیچ کس در مورد آن صحبت نمی‌کند این است - بیمارستان‌های هوش مصنوعی فقط در مورد مراقبت سریع‌تر نیستند. آنها در مورد گرانش داده‌ها هستند. هر تشخیص، برنامه درمانی و نتیجه به سیستم بازخورد میدهد. این بدان معناست که هر مشاوره فقط به یک بیمار کمک نمی‌کند - بلکه کل بیمارستان را هوشمندتر میکند. برخلاف پزشکان انسانی که به سال‌ها تجربه شخصی انباشته‌شده متکی هستند، این عوامل هوش مصنوعی دانش را از طریق میلیون‌ها تعامل در زمان واقعی ترکیب میکنند. این آینده‌ای را ایجاد میکند که در آن کیفیت مراقبت‌های بهداشتی دیگر به جغرافیا، ثروت یا دسترسی به متخصصان وابسته نیست. در عوض، به این بستگی دارد که چه کسی این شبکه‌های وسیع اطلاعات پزشکی را کنترل و اداره میکند.
چین به تازگی یک معیار تعیین کرده است. اما مسابقه واقعی در مورد این نیست که چه کسی اولین بیمارستان هوش مصنوعی را می‌سازد. در مورد این است که چه کسی مغز مراقبت‌های بهداشتی را می‌سازد که بقیه جهان به آن وابسته خواهند بود.
👉 آیا به یک پزشک هوش مصنوعی برای تشخیص خود اعتماد می‌کنید؟
#هوش_مصنوعی #مراقبت‌های_بهداشتی #نوآوری #آینده_کار #چین
❤2
#مایکروسافت در ۱۴ اکتبر ۲۰۲۵ به طور رسمی #پشتیبانی از Windows 10 را پایان میدهد. پس از این تاریخ، دستگاه‌های دارای ویندوز 10 دیگر به‌روزرسانی‌های امنیتی را دریافت نخواهند کرد و در مقابل حملات سایبری ، بدافزارها و نقض داده‌ها بسیار آسیب‌پذیر خواهند بود. ارتقا به ویندوز ۱۱ فقط یک ارتقای فنی نیست - بلکه یک اقدام امنیتی پیشگیرانه برای محافظت از سازمان شما و جلوگیری از اختلالات عملیاتی است.
ما اکیداً توصیه میکنیم که مهاجرت خود را در اسرع وقت شروع کنید تا از #خطرات غیرضروری جلوگیری شود .
ما اکیداً توصیه میکنیم که مهاجرت خود را در اسرع وقت شروع کنید تا از #خطرات غیرضروری جلوگیری شود .
در حالی که ما عمدتاً در تلاشیم تا فرهنگ امنیت اطلاعات را در تیم‌ها نهادینه کنیم، در برخی جاها بشر گامی به جلو برداشته است – به نظر می‌رسد کارکنان خودشان کاملاً طرفدار امنیت اطلاعات شده‌اند. البته نه به خاطر شرایط خوب.
کارکنان شرکت آمریکایی تولیدکننده اتوبوس و کامیون Navistar دادخواست جمعی علیه کارفرما به دلیل حفاظت ضعیف امنیت اطلاعات ارائه دادند. در ماه مه، مجرمان سایبری به این شرکت حمله کردند و در نتیجه پایگاه داده‌ای شامل ده‌ها هزار ردیف اطلاعات شخصی کارکنان سابق و فعلی و اعضای خانواده‌هایشان به صورت عمومی منتشر شد. آرشیو منتشر شده شامل نام‌ها، شماره‌های تأمین اجتماعی، شماره‌های گواهینامه رانندگی و اطلاعات پزشکی است. شرکت نه تنها نتوانست از حفظ داده‌های شخصی مراقبت کند، بلکه چندین ماه تلاش کرد تا نشت اطلاعات را پنهان کند. در حالی که Navistar سکوت کرده بود، کلاهبرداران می‌توانستند حساب‌های بانکی جعلی باز کنند، مزایای دولتی دریافت کنند یا اظهارنامه‌های مالیاتی جعلی ارائه دهند.
می‌بینید – امید هست، همه به امنیت اطلاعات ایمان خواهند آورد! فقط کاش به این قیمت نباشد...
💡اگر این متن دیدگاه شما را تغییر داد، به اشتراک بگذارید.
بیایید با هم استانداردها را بالا ببریم.
کارکنان شرکت آمریکایی تولیدکننده اتوبوس و کامیون Navistar دادخواست جمعی علیه کارفرما به دلیل حفاظت ضعیف امنیت اطلاعات ارائه دادند. در ماه مه، مجرمان سایبری به این شرکت حمله کردند و در نتیجه پایگاه داده‌ای شامل ده‌ها هزار ردیف اطلاعات شخصی کارکنان سابق و فعلی و اعضای خانواده‌هایشان به صورت عمومی منتشر شد. آرشیو منتشر شده شامل نام‌ها، شماره‌های تأمین اجتماعی، شماره‌های گواهینامه رانندگی و اطلاعات پزشکی است. شرکت نه تنها نتوانست از حفظ داده‌های شخصی مراقبت کند، بلکه چندین ماه تلاش کرد تا نشت اطلاعات را پنهان کند. در حالی که Navistar سکوت کرده بود، کلاهبرداران می‌توانستند حساب‌های بانکی جعلی باز کنند، مزایای دولتی دریافت کنند یا اظهارنامه‌های مالیاتی جعلی ارائه دهند.
می‌بینید – امید هست، همه به امنیت اطلاعات ایمان خواهند آورد! فقط کاش به این قیمت نباشد...
💡اگر این متن دیدگاه شما را تغییر داد، به اشتراک بگذارید.
بیایید با هم استانداردها را بالا ببریم.
👍2
Forwarded from امنیت سایبری | Cyber Security
نقش حیاتی متخصصان GRC در امنیت سایبری سازمان‌ها
در دنیای دیجیتال امروز، تهدیدات سایبری پیچیده‌تر از همیشه هستند و حفاظت از اطلاعات و دارایی‌های سازمان‌ها نیازمند رویکردی جامع و سازمان‌یافته است. اینجاست که متخصصان #GRC امنیت سایبری وارد می‌شوند. آنها نه تنها مسئول اجرای فناوری‌های امنیتی هستند، بلکه نقش پل میان مدیریت ریسک، انطباق با قوانین و اهداف کسب‌وکار را ایفا میکنند.
وظایف کلیدی متخصصان GRC شامل:
- توسعه و اجرای سیاست‌های امنیت سایبری مطابق با نیازهای سازمان
- همسوسازی استراتژی‌های امنیتی با اهداف کلان سازمان
- شناسایی، ارزیابی و مدیریت ریسک‌ها و تهدیدات سایبری
- طراحی برنامه‌های کاهش ریسک و استراتژی‌های بازیابی در شرایط بحران
- اطمینان از رعایت استانداردها و مقررات بین‌المللی مانند GDPR، HIPAA، PCI DSS و چارچوب‌های امنیتی NIST
- ارائه مشاوره امنیتی به مدیران ارشد برای اتخاذ تصمیمات هوشمندانه در زمینه امنیت و سرمایه‌گذاری
- انجام ممیزی‌های داخلی و تهیه گزارش‌های انطباق
- برقراری ارتباط موثر با ذی‌نفعان، مدیران و نهادهای قانونی
مهارت‌های ضروری متخصصان GRC:
- دانش فنی امنیت سایبری: پروتکل‌ها، رمزنگاری، فایروال‌ها، سیستمهای شناسایی نفوذ و زیرساخت‌های فناوری اطلاعات
- تحلیل و حل مسئله: توانایی بررسی چالش‌های پیچیده و ارائه راهکارهای عملی
- مدیریت ریسک و ارزیابی تهدیدات: شناسایی آسیب‌پذیری‌ها و طراحی استراتژی کاهش آنها
- آشنایی با مقررات و انطباق: تسلط بر استانداردها و چارچوب‌های قانونی بین‌المللی
- مهارت‌های ارتباطی و همکاری: توانایی تعامل مؤثر با تیم‌های داخلی، مدیران و نهادهای قانونی
💡 با حضور متخصصان GRC، سازمان‌ها قادرند ریسک‌های سایبری را مدیریت کنند، با استانداردهای جهانی همسو باشند و اعتماد مشتریان و شرکا را حفظ کنند. امنیت سایبری تنها یک الزام فنی نیست؛ بلکه یک سرمایه استراتژیک و مزیت رقابتی پایدار برای سازمان‌هاست.
✅ Channel
💬 Group
در دنیای دیجیتال امروز، تهدیدات سایبری پیچیده‌تر از همیشه هستند و حفاظت از اطلاعات و دارایی‌های سازمان‌ها نیازمند رویکردی جامع و سازمان‌یافته است. اینجاست که متخصصان #GRC امنیت سایبری وارد می‌شوند. آنها نه تنها مسئول اجرای فناوری‌های امنیتی هستند، بلکه نقش پل میان مدیریت ریسک، انطباق با قوانین و اهداف کسب‌وکار را ایفا میکنند.
وظایف کلیدی متخصصان GRC شامل:
- توسعه و اجرای سیاست‌های امنیت سایبری مطابق با نیازهای سازمان
- همسوسازی استراتژی‌های امنیتی با اهداف کلان سازمان
- شناسایی، ارزیابی و مدیریت ریسک‌ها و تهدیدات سایبری
- طراحی برنامه‌های کاهش ریسک و استراتژی‌های بازیابی در شرایط بحران
- اطمینان از رعایت استانداردها و مقررات بین‌المللی مانند GDPR، HIPAA، PCI DSS و چارچوب‌های امنیتی NIST
- ارائه مشاوره امنیتی به مدیران ارشد برای اتخاذ تصمیمات هوشمندانه در زمینه امنیت و سرمایه‌گذاری
- انجام ممیزی‌های داخلی و تهیه گزارش‌های انطباق
- برقراری ارتباط موثر با ذی‌نفعان، مدیران و نهادهای قانونی
مهارت‌های ضروری متخصصان GRC:
- دانش فنی امنیت سایبری: پروتکل‌ها، رمزنگاری، فایروال‌ها، سیستمهای شناسایی نفوذ و زیرساخت‌های فناوری اطلاعات
- تحلیل و حل مسئله: توانایی بررسی چالش‌های پیچیده و ارائه راهکارهای عملی
- مدیریت ریسک و ارزیابی تهدیدات: شناسایی آسیب‌پذیری‌ها و طراحی استراتژی کاهش آنها
- آشنایی با مقررات و انطباق: تسلط بر استانداردها و چارچوب‌های قانونی بین‌المللی
- مهارت‌های ارتباطی و همکاری: توانایی تعامل مؤثر با تیم‌های داخلی، مدیران و نهادهای قانونی
Please open Telegram to view this post
VIEW IN TELEGRAM
Forwarded from OnHex
🔴 چندین پکیج npm مربوط به CrowdStrike که توسط حساب crowdstrike-publisher در npm منتشر شده بود، آلوده شدن.
این موضوع به نظر میرسه ادامه ی کمپین مخرب زنجیره تأمین با عنوان Shai-Halud attack هستش که قبلا پکیج tinycolor و بیش از ۴۰ پکیج دیگه رو آلوده کرده بود.
بدافزار بکار رفته مشابه همون کمپین قبلیه و شامل یک اسکریپت bundle.js هستش که کارهای زیر رو انجام میده:
- دانلود و اجرای TruffleHog (یک ابزار قانونی برای اسکن اطلاعات حساس و کلیدها - افزونه)
- جستجوی سیستم میزبان برای یافتن توکن ها و اعتبارنامه های ابری
- اعتبارسنجی کلیدهای توسعه دهندگان و CI کشف شده
- ایجاد workflowهای غیرمجاز GitHub Actions درون مخازن (برای پرسیست)
- استخراج و ارسال داده‌های حساس به یک وب‌هوک (webhook) هاردکد شده
پکیجهای آلوده به سرعت توسط رجیستری npm حذف شدن.
همچنین بدافزار یک فایل workflow با نام shai-hulud.yaml داره که اشاره به کرم های شنی در رمان Dune داره. اگرچه این ارجاع منحصربه‌فرد نیست، اما وجود اون نشون میده که مهاجم عمداً این کمپین رو با نام Shai-Hulud برندگذاری کرده.
پکیجهای تحت تاثیر:
شرکت CrowdStrike اعلام کرده: پس از شناسایی چندین پکیج آلوده در رجیستری عمومی NPM، اونارو حذف کرده و کلیدهاشون رو در رجیستری های عمومی تغییر دادن. این پکیجها در Falcon Sensor استفاده نمیشن بنابراین این پلتفرم تحت تأثیر قرار نگرفته و مشتریان همچنان محافظت میشن. همچنان در حال همکاری با NPM و انجام یک بررسی جامع هستن.
#حملات_زنجیره_تامین
#CrowdStrike #NPM #SupplyShainAttack #ShaiHaludAttack
🆔 @onhex_ir
➡️ ALL Link
این موضوع به نظر میرسه ادامه ی کمپین مخرب زنجیره تأمین با عنوان Shai-Halud attack هستش که قبلا پکیج tinycolor و بیش از ۴۰ پکیج دیگه رو آلوده کرده بود.
بدافزار بکار رفته مشابه همون کمپین قبلیه و شامل یک اسکریپت bundle.js هستش که کارهای زیر رو انجام میده:
- دانلود و اجرای TruffleHog (یک ابزار قانونی برای اسکن اطلاعات حساس و کلیدها - افزونه)
- جستجوی سیستم میزبان برای یافتن توکن ها و اعتبارنامه های ابری
- اعتبارسنجی کلیدهای توسعه دهندگان و CI کشف شده
- ایجاد workflowهای غیرمجاز GitHub Actions درون مخازن (برای پرسیست)
- استخراج و ارسال داده‌های حساس به یک وب‌هوک (webhook) هاردکد شده
پکیجهای آلوده به سرعت توسط رجیستری npm حذف شدن.
همچنین بدافزار یک فایل workflow با نام shai-hulud.yaml داره که اشاره به کرم های شنی در رمان Dune داره. اگرچه این ارجاع منحصربه‌فرد نیست، اما وجود اون نشون میده که مهاجم عمداً این کمپین رو با نام Shai-Hulud برندگذاری کرده.
پکیجهای تحت تاثیر:
@crowdstrike/[email protected]
@crowdstrike/[email protected]
@crowdstrike/[email protected]
@crowdstrike/[email protected]
@crowdstrike/[email protected]
@crowdstrike/[email protected]
@crowdstrike/[email protected]
@crowdstrike/[email protected]
@crowdstrike/[email protected]
@crowdstrike/[email protected]
@crowdstrike/[email protected]
@crowdstrike/[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
شرکت CrowdStrike اعلام کرده: پس از شناسایی چندین پکیج آلوده در رجیستری عمومی NPM، اونارو حذف کرده و کلیدهاشون رو در رجیستری های عمومی تغییر دادن. این پکیجها در Falcon Sensor استفاده نمیشن بنابراین این پلتفرم تحت تأثیر قرار نگرفته و مشتریان همچنان محافظت میشن. همچنان در حال همکاری با NPM و انجام یک بررسی جامع هستن.
#حملات_زنجیره_تامین
#CrowdStrike #NPM #SupplyShainAttack #ShaiHaludAttack
🆔 @onhex_ir
➡️ ALL Link
Socket
Updated and Ongoing Supply Chain Attack Targets CrowdStrike ...
Socket detected multiple compromised CrowdStrike npm packages, continuing the "Shai-Hulud" supply chain attack that has now impacted nearly 500 packag...
Media is too big
VIEW IN TELEGRAM
#Rafael #Puzzle AI-Based #Intelligence Suite
سامانه PUZZLE که بر مبنای هوش مصنوعی کار میکند، در فرایند ایجاد اشراف اطلاعاتی کشور جعلی اسرائیل، نقش موثری را بازی کرده است.
این سامانه بواسطه جمع آوری اطلاعات از شبکه های سیگنال/رادیویی (SIGINT) و همچنین از طریق اطلاعات بصری/مکانی ماهواره ای (IMINT) و همچنین جمع آوری اطلاعات منبع باز (OSINT) ورودی های داده ای خود را تضمین میکند.
اطلاعات بواسطه حسگرها از منابع ای که بالا مطرح شد تامین میشود، این حسگرها شام پهپاد، ماهواره، دوربین تصویری، منابع سیگنال/رادیویی، الکترونیکی و سایبری تامین میشود.
در ادامه مؤلفه SIGNAL.AI اقدام به تحلیل داده های سیگنالی کرده و با بررسی فرکانس موقعیت فرستنده ها و نوع فرکانس را مشخص میکند.
مؤلفه TARGETS از داده های دریافتی استفاده کرده تا اهداف قابل دسترس را مبتنی بر اولویت های تعیین شده و هزینه و زمان اعمال حمله بررسی و پیشنهاد میدهد.
مؤلفه FORCE درخواست های حمله یا مداخله را دریافت کرده و آنها را اولویت بندی کرده و با منابع موجود و محدودیت ها تطبیق داده و اثر گذار ترین مؤلفه نظامی را برای هدف تعیین کرده و اقدام میکند.
سامانه PUZZLE که بر مبنای هوش مصنوعی کار میکند، در فرایند ایجاد اشراف اطلاعاتی کشور جعلی اسرائیل، نقش موثری را بازی کرده است.
این سامانه بواسطه جمع آوری اطلاعات از شبکه های سیگنال/رادیویی (SIGINT) و همچنین از طریق اطلاعات بصری/مکانی ماهواره ای (IMINT) و همچنین جمع آوری اطلاعات منبع باز (OSINT) ورودی های داده ای خود را تضمین میکند.
اطلاعات بواسطه حسگرها از منابع ای که بالا مطرح شد تامین میشود، این حسگرها شام پهپاد، ماهواره، دوربین تصویری، منابع سیگنال/رادیویی، الکترونیکی و سایبری تامین میشود.
در ادامه مؤلفه SIGNAL.AI اقدام به تحلیل داده های سیگنالی کرده و با بررسی فرکانس موقعیت فرستنده ها و نوع فرکانس را مشخص میکند.
مؤلفه TARGETS از داده های دریافتی استفاده کرده تا اهداف قابل دسترس را مبتنی بر اولویت های تعیین شده و هزینه و زمان اعمال حمله بررسی و پیشنهاد میدهد.
مؤلفه FORCE درخواست های حمله یا مداخله را دریافت کرده و آنها را اولویت بندی کرده و با منابع موجود و محدودیت ها تطبیق داده و اثر گذار ترین مؤلفه نظامی را برای هدف تعیین کرده و اقدام میکند.
یکی از چالش‌های این روزهای من این است که هرگاه کدی می‌نویسیم، می‌گویند هوش مصنوعی نوشته است. متنی می‌نویسیم، باز هم می‌گویند هوش مصنوعی. دوره آموزشی تدوین میکنیم، می‌گویند کار هوش مصنوعی است. مشاوره می‌دهیم، باز هم انگ هوش مصنوعی می‌زنند. واقعا مسخره است.
البته مسئله هوش مصنوعی نیست و اینجا هم نمیخواهم غر بزنم بلکه میخواهم یک مورد دیگر را توضیح بدهم تا شاید این جماعت از راه شیطان برگردن؛ حقیقتا مشکل اینجاست که مانند بسیاری از فناوری‌های دیگر، درک و کاربرد آن در زمان نامناسب و توسط افرادی ناآگاه به کار گرفته شده است. افرادی که نه از ماشین لرنینگ فهمی دارند، نه از ترانسفورمرها چیزی می‌دانند، نه از شبکه‌های عصبی و نه از هیچ‌یک از مبانی این حوزه. چهارتا سوال جبر خطی بپرسی، سکته ناقص میکنند.
با این حال، هر چیزی می‌بینند یا می‌شنوند، فوراً برچسب هوش مصنوعی به آن می‌زنند. بس کن دیگر، عزیز! اگر هوش مصنوعی واقعاً این‌قدر خارق‌العاده بود، مردم هر روز با آن سیستم‌عامل، روت‌کیت، یا اکسپلویت روزصفر تولید می‌کردند (فعلا نیست ولی در آینده هم مسائل ما این چیزا نیست). واقعیت این است که هوش مصنوعی هنوز به آن درجه از بلوغ نرسیده که بتواند به‌تنهایی پروژه‌های عظیم و بنیادی را از صفر تا صد پیش ببرد.
هوش مصنوعی را می‌توان به یک لودر تشبیه کرد. تا دیروز، ما برنامه‌نویسان در این سرزمین با بیل کار می‌کردیم؛ حالا لودری در اختیار داریم. همین و بس. آیا لودر به‌تنهایی خانه می‌سازد؟ حتی پس از یک صد سال حان کندن مهندس ها و پیشرفت صنعت، سیستم‌هایی ساخته شده‌اند که می‌توانند خانه بسازند، اما همچنان نیاز به طرح اولیه‌ای دارند که یک هوش طبیعی ارائه کند.
هوش مصنوعی واقعا ابزار قدرتمند و شگفت انگیزی هست و در بسیاری از موارد عملکردی بهتر از هوش انسانی ما ارائه میده. اما نباید فراموش کنیم که این فناوری تنها مکملی برای هوش طبیعی ماست، نه جایگزینی برای آن (حداقل فعلا).
همچنین، هرگاه بشر ابزار قدرتمندی خلق کرده، چالش‌ها و مسائل پیش رویش به همان نسبت پیچیده‌تر شده‌اند. هیچ‌چیز قرار نیست حذف شود؛ تنها نوع مسائل و مشکلات جامعه بشری تغییر خواهد کرد. حالا هی بگو هوش مصنوعی 🫤.
| #iranian_ai_shit_issue
البته مسئله هوش مصنوعی نیست و اینجا هم نمیخواهم غر بزنم بلکه میخواهم یک مورد دیگر را توضیح بدهم تا شاید این جماعت از راه شیطان برگردن؛ حقیقتا مشکل اینجاست که مانند بسیاری از فناوری‌های دیگر، درک و کاربرد آن در زمان نامناسب و توسط افرادی ناآگاه به کار گرفته شده است. افرادی که نه از ماشین لرنینگ فهمی دارند، نه از ترانسفورمرها چیزی می‌دانند، نه از شبکه‌های عصبی و نه از هیچ‌یک از مبانی این حوزه. چهارتا سوال جبر خطی بپرسی، سکته ناقص میکنند.
با این حال، هر چیزی می‌بینند یا می‌شنوند، فوراً برچسب هوش مصنوعی به آن می‌زنند. بس کن دیگر، عزیز! اگر هوش مصنوعی واقعاً این‌قدر خارق‌العاده بود، مردم هر روز با آن سیستم‌عامل، روت‌کیت، یا اکسپلویت روزصفر تولید می‌کردند (فعلا نیست ولی در آینده هم مسائل ما این چیزا نیست). واقعیت این است که هوش مصنوعی هنوز به آن درجه از بلوغ نرسیده که بتواند به‌تنهایی پروژه‌های عظیم و بنیادی را از صفر تا صد پیش ببرد.
هوش مصنوعی را می‌توان به یک لودر تشبیه کرد. تا دیروز، ما برنامه‌نویسان در این سرزمین با بیل کار می‌کردیم؛ حالا لودری در اختیار داریم. همین و بس. آیا لودر به‌تنهایی خانه می‌سازد؟ حتی پس از یک صد سال حان کندن مهندس ها و پیشرفت صنعت، سیستم‌هایی ساخته شده‌اند که می‌توانند خانه بسازند، اما همچنان نیاز به طرح اولیه‌ای دارند که یک هوش طبیعی ارائه کند.
هوش مصنوعی واقعا ابزار قدرتمند و شگفت انگیزی هست و در بسیاری از موارد عملکردی بهتر از هوش انسانی ما ارائه میده. اما نباید فراموش کنیم که این فناوری تنها مکملی برای هوش طبیعی ماست، نه جایگزینی برای آن (حداقل فعلا).
همچنین، هرگاه بشر ابزار قدرتمندی خلق کرده، چالش‌ها و مسائل پیش رویش به همان نسبت پیچیده‌تر شده‌اند. هیچ‌چیز قرار نیست حذف شود؛ تنها نوع مسائل و مشکلات جامعه بشری تغییر خواهد کرد. حالا هی بگو هوش مصنوعی 🫤.
| #iranian_ai_shit_issue
👍4
بزارید یک مثال از ریاضیات بزنم و همچنین موردی که شخصیت معظمی مانند ترنس تائو مطرح کرده است را مورد بررسی قرار بدیم. این روزها کلی حرف و حدیث در مورد نتایج llmها راه افتاده که مثلاً میتونه مسائل ریاضی باز یا همان open problemها و مسائل پیچیده در سطح دکترا رو حل کنه. ولی ماجرا این است که تمامی این افراد دارن اصل قضیه رو از پنهان میکنند و نمی‌بینن که مشکل اصلی کجاست! این مشکل و بهتون میگم بسط دادنش دیگه با خود شما.
ببینید تو این آزمایش‌ها، مثلا مورد gpt5 فقط بعضی از مسائل رو حل نکرده، بلکه همه‌شون رو امتحان کرده و جواب داده. اما گیر کار اینجاست که بعضی جواب‌هاش درست بودن و بعضی‌هاش غلط. حال ایراد این داستان کجاست؟ ایراد این مسئله اینجاست که وقتی شما برای یک پدیده لاینحل با هوش طبیعی، یک راه حل با هوش مصنوعی ارائه میدهی، چطوری می خواهی با هوش طبیعی که قابل درک براش نبوده، پاسخ رو ارزیابی کنی؟
ما هیچ راه ساده و سریعی نداریم که بفهمیم کدومش درسته و کدومش اشتباه (حداقل فعلا)! یعنی نمی‌تونی راحت چک کنی و مطمئن شی و بگی خب حله، این جواب درسته چون هوش مصنوعی ارائه کرده. چون این هوش مصنوعی‌ها اشتباهات عجیب و غریبی میکنن که آدم عادی متوجه‌شون نمی‌شه (ولی برنامه نویس ها این مورد و خیلی خوب درک میکنند، وقتی درگیر دیباگ کدهای llmها میشن).
در همین رابطه ترنس تائو گفته که مدل‌های زبانی بزرگ (مثل همین gpt) اشتباهاتشون تو اثبات‌های ریاضی کاملاً متفاوت و خاصه نسبت به اشتباهاتی که انسان‌ها معمولاً مرتکب میشن. یعنی انسان‌ها ممکنه تو محاسبات ساده یا مفاهیم پایه‌ای اشتباه کنن، اما این AIها گاهی تو جاهای خیلی تخصصی و ناشناخته خطا میدن که تشخیص‌شون سخته و نیاز به دانش عمیق داره.
پس حالا چطوری این نتایج رو بررسی و تأیید کنیم؟ خب، مجبوریم یه ریاضیدان در سطح دکترا بیاریم که با زحمت همه اثبات‌ها رو موبه‌مو چک کنه و ایرادها رو پیدا کنه. یعنی عملاً برمی‌گردیم سر خونه اول؟ 😅 یعنی همه این پیشرفت‌ها آخرش باز وابسته به انسان‌های متخصص میشه و نمی‌تونه کاملاً مستقل کار کنه! متوجه داستان شدید؟
| #ai_vs_iranian
ببینید تو این آزمایش‌ها، مثلا مورد gpt5 فقط بعضی از مسائل رو حل نکرده، بلکه همه‌شون رو امتحان کرده و جواب داده. اما گیر کار اینجاست که بعضی جواب‌هاش درست بودن و بعضی‌هاش غلط. حال ایراد این داستان کجاست؟ ایراد این مسئله اینجاست که وقتی شما برای یک پدیده لاینحل با هوش طبیعی، یک راه حل با هوش مصنوعی ارائه میدهی، چطوری می خواهی با هوش طبیعی که قابل درک براش نبوده، پاسخ رو ارزیابی کنی؟
ما هیچ راه ساده و سریعی نداریم که بفهمیم کدومش درسته و کدومش اشتباه (حداقل فعلا)! یعنی نمی‌تونی راحت چک کنی و مطمئن شی و بگی خب حله، این جواب درسته چون هوش مصنوعی ارائه کرده. چون این هوش مصنوعی‌ها اشتباهات عجیب و غریبی میکنن که آدم عادی متوجه‌شون نمی‌شه (ولی برنامه نویس ها این مورد و خیلی خوب درک میکنند، وقتی درگیر دیباگ کدهای llmها میشن).
در همین رابطه ترنس تائو گفته که مدل‌های زبانی بزرگ (مثل همین gpt) اشتباهاتشون تو اثبات‌های ریاضی کاملاً متفاوت و خاصه نسبت به اشتباهاتی که انسان‌ها معمولاً مرتکب میشن. یعنی انسان‌ها ممکنه تو محاسبات ساده یا مفاهیم پایه‌ای اشتباه کنن، اما این AIها گاهی تو جاهای خیلی تخصصی و ناشناخته خطا میدن که تشخیص‌شون سخته و نیاز به دانش عمیق داره.
پس حالا چطوری این نتایج رو بررسی و تأیید کنیم؟ خب، مجبوریم یه ریاضیدان در سطح دکترا بیاریم که با زحمت همه اثبات‌ها رو موبه‌مو چک کنه و ایرادها رو پیدا کنه. یعنی عملاً برمی‌گردیم سر خونه اول؟ 😅 یعنی همه این پیشرفت‌ها آخرش باز وابسته به انسان‌های متخصص میشه و نمی‌تونه کاملاً مستقل کار کنه! متوجه داستان شدید؟
| #ai_vs_iranian
❤3
🔺 آسیب‌پذیری‌های جدید قابل بهره‌برداری در دستگاه‌های Cisco
در پایان سپتامبر ۲۰۲۵، شرکت Cisco بولتن‌هایی درباره چندین آسیب‌پذیری بحرانی منتشر کرد. CVE‑2025‑20333، CVE‑2025‑20362 و CVE‑2025‑20352 هم‌اکنون در حملات مورد استفاده قرار می‌گیرند و CVE‑2025‑20363 به عنوان یک آسیب‌پذیری با ریسک بالا شناخته شده است و ممکن است به زودی توسط مهاجمان بهره‌برداری شود.
محصولات Cisco Secure Firewall ASA / FTD، Cisco IOS، IOS XE، IOS XR در معرض خطر هستند.
برای آگاهی از نشانه‌های دستگاه‌های احتمالا آسیب‌پذیر و نحوه محافظت در برابر این آسیب‌پذیری‌ها — در وب‌سایت سیسکو پیگیری کنید.
💡اگر این متن دیدگاه شما را تغییر داد، به اشتراک بگذارید.
بیایید با هم استانداردها را بالا ببریم.
در پایان سپتامبر ۲۰۲۵، شرکت Cisco بولتن‌هایی درباره چندین آسیب‌پذیری بحرانی منتشر کرد. CVE‑2025‑20333، CVE‑2025‑20362 و CVE‑2025‑20352 هم‌اکنون در حملات مورد استفاده قرار می‌گیرند و CVE‑2025‑20363 به عنوان یک آسیب‌پذیری با ریسک بالا شناخته شده است و ممکن است به زودی توسط مهاجمان بهره‌برداری شود.
محصولات Cisco Secure Firewall ASA / FTD، Cisco IOS، IOS XE، IOS XR در معرض خطر هستند.
برای آگاهی از نشانه‌های دستگاه‌های احتمالا آسیب‌پذیر و نحوه محافظت در برابر این آسیب‌پذیری‌ها — در وب‌سایت سیسکو پیگیری کنید.
💡اگر این متن دیدگاه شما را تغییر داد، به اشتراک بگذارید.
بیایید با هم استانداردها را بالا ببریم.
ابزار تست نفوذ به اسباب‌بازی محبوب مجرمان سایبری تبدیل شد
🤖 HexStrike AI — یک چارچوب تست نفوذ متن‌باز جدید — تقریباً بلافاصله پس از انتشار به دست مجرمان سایبری افتاد تقریباً بلافاصله. اکنون ساخت اکسپلویت برای آسیب‌پذیری‌های تازه مانند CVE-2025-7775 در Citrix NetScaler به جای هفته‌ها، در عرض چند دقیقه انجام میشود. هوش مصنوعی به طور خودکار زنجیره‌های حمله را تولید میکند و سیستمهای آسیب‌پذیر را پیدا میکند، کاری که زمانی نیازمند تجربه زیاد و زمان طولانی بود را به یک فرایند روتین تبدیل کرده است.
⚡️ سرعت افزایش تهدید شگفت‌انگیز است: تنها ۱۲ ساعت پس از افشای یک آسیب‌پذیری بحرانی در NetScaler، مهاجمان در فروم‌های دارک‌نت با حملات آماده خود خودنمایی کردند. قبلاً برای درک معماری سیستم، دور زدن محافظت و نوشتن اکسپلویت پایدار هفته‌ها مطالعه لازم بود. اکنون HexStrike با بیش از ۱۵۰ ابزار و ده‌ها عامل هوش مصنوعی یکپارچه شده است که تمام کارهای کثیف را به تنهایی انجام می‌دهند.
🔥 ما شاهد تغییر بنیادین در چشم‌انداز تهدیدات سایبری هستیم. مانع ورود به دنیای حملات جدی فرو ریخته است — اکنون نیازی نیست که استاد مهندسی معکوس باشید تا از آسیب‌پذیری‌های zero-day در سیستمهای سازمانی سوءاستفاده کنید. مدافعان باید رویکردهای خود را در واکنش به حوادث به طور اساسی تغییر دهند.
#هوش_مصنوعی #اکسپلویت #تست_نفوذ #خودکارسازی_حملات
💡اگر این متن دیدگاه شما را تغییر داد، به اشتراک بگذارید.
بیایید با هم استانداردها را بالا ببریم.
🤖 HexStrike AI — یک چارچوب تست نفوذ متن‌باز جدید — تقریباً بلافاصله پس از انتشار به دست مجرمان سایبری افتاد تقریباً بلافاصله. اکنون ساخت اکسپلویت برای آسیب‌پذیری‌های تازه مانند CVE-2025-7775 در Citrix NetScaler به جای هفته‌ها، در عرض چند دقیقه انجام میشود. هوش مصنوعی به طور خودکار زنجیره‌های حمله را تولید میکند و سیستمهای آسیب‌پذیر را پیدا میکند، کاری که زمانی نیازمند تجربه زیاد و زمان طولانی بود را به یک فرایند روتین تبدیل کرده است.
⚡️ سرعت افزایش تهدید شگفت‌انگیز است: تنها ۱۲ ساعت پس از افشای یک آسیب‌پذیری بحرانی در NetScaler، مهاجمان در فروم‌های دارک‌نت با حملات آماده خود خودنمایی کردند. قبلاً برای درک معماری سیستم، دور زدن محافظت و نوشتن اکسپلویت پایدار هفته‌ها مطالعه لازم بود. اکنون HexStrike با بیش از ۱۵۰ ابزار و ده‌ها عامل هوش مصنوعی یکپارچه شده است که تمام کارهای کثیف را به تنهایی انجام می‌دهند.
🔥 ما شاهد تغییر بنیادین در چشم‌انداز تهدیدات سایبری هستیم. مانع ورود به دنیای حملات جدی فرو ریخته است — اکنون نیازی نیست که استاد مهندسی معکوس باشید تا از آسیب‌پذیری‌های zero-day در سیستمهای سازمانی سوءاستفاده کنید. مدافعان باید رویکردهای خود را در واکنش به حوادث به طور اساسی تغییر دهند.
#هوش_مصنوعی #اکسپلویت #تست_نفوذ #خودکارسازی_حملات
💡اگر این متن دیدگاه شما را تغییر داد، به اشتراک بگذارید.
بیایید با هم استانداردها را بالا ببریم.
Forwarded from امنیت سایبری | Cyber Security
حملات:
- قطع کابل یا خرابکاری فیزیکی (Cable Cut, Sabotage)
- شنود از طریق Tapping یا استفاده از تجهیزات غیرمجاز
- تداخل الکترومغناطیسی (EMI, Jamming)
حفاظت سریع:
- کنترل فیزیکی دسترسی به رک و کابل‌ها
- استفاده از فیبر نوری به جای کابل مسی
- دوربین مداربسته و مانیتورینگ محیط
حملات:
- ARP Spoofing / ARP Poisoning
- MAC Flooding (برای از کار انداختن سوئیچ)
- VLAN Hopping
حفاظت سریع:
- فعال‌سازی Port Security روی سوئیچ‌ها
- استفاده از Dynamic ARP Inspection (DAI)
- تقسیم‌بندی درست VLANها
- استفاده از 802.1X برای احراز هویت دستگاه‌ها
حملات:
- IP Spoofing
- ICMP Flood / Smurf Attack
- Routing Table Poisoning
- DDoS مبتنی بر IP
حفاظت سریع:
- فایروال لایه ۳
- تنظیم Access Control List (ACL) دقیق
- استفاده از Anti-Spoofing روی روترها (uRPF)
- تنظیم Rate Limiting برای ترافیک ICMP
حملات:
- TCP SYN Flood
- UDP Flood
- Port Scanning
حفاظت سریع:
- فایروال Stateful (بررسی وضعیت ارتباط)
- استفاده از IDS/IPS برای شناسایی الگوهای غیرعادی
- تنظیم Rate Limiting یا SYN Cookies برای جلوگیری از SYN Flood
حملات:
- Session Hijacking
- Replay Attack
حفاظت سریع:
- استفاده از TLS/SSL برای رمزنگاری ارتباط
- تنظیم Timeout کوتاه برای Sessionهای غیر فعال
- استفاده از توکن‌های یکبار مصرف (OTP)
حملات:
- حملات رمزنگاری ضعیف (Downgrade Attack)
- تزریق داده در پروتکل‌های رمزگذاری شده
حفاظت سریع:
- استفاده از الگوریتمهای رمزنگاری قوی (AES, TLS1.3)
- عدم پشتیبانی از پروتکل‌های قدیمی (SSL, TLS 1.0/1.1)
- بررسی و اعتبارسنجی داده‌ها قبل از پردازش
حملات:
- SQL Injection
- XSS (Cross-Site Scripting)
- CSRF (Cross-Site Request Forgery)
- HTTP Flood (لایه ۷ DDoS)
حفاظت سریع:
- استفاده از WAF (Web Application Firewall)
- اعتبارسنجی ورودی‌ها (Input Validation)
- احراز هویت و مدیریت نشست امن
- تنظیم Rate Limiting برای درخواست‌های HTTP
#آگاهی_رسانی
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥2
یک عنوان شغلی هم داریم
من از ۹۰٪ اینا فرار می‌کنم؛ (مخصوصاً اونایی که مثل نونواها هرروز صبح، ظهر و شب پست میذارن) چرا ؟
چون اینا دقیقاً
مثلاً طرف مواردی راجب ورزش نوشته (تا دلت بخواد غلط داره)
الان یک مطلبی رو خوندم، طرف راجب تراپی و هوش مصنوعی نوشته بود!
تخصص تراپی رو که ندارم و کسی هم کنارم نیست که سوال کنم؛ اما توی هوش مصنوعی فقط کلمات تخصصی رو توی فرمت درست و براساس احتمال قرار گرفتن کنار هم گذاشته!
جدی میگم؛ سر و ته جمله مشخص نیست؛ ۸۰٪ مطلبش راجب
بدترین بخشش اینه که ۱۵ تا از کانکشن‌های بنده توی لینکدین، این پست رو لایک کردند (منم آنفالو کردم؛ برخلاف خیلی‌ها من وقتی کانکشن‌هام چیزی رو لایک یا کامنت می‌ذارند وقت می‌ذارم و می‌خونم.)
Content Writer من از ۹۰٪ اینا فرار می‌کنم؛ (مخصوصاً اونایی که مثل نونواها هرروز صبح، ظهر و شب پست میذارن) چرا ؟
چون اینا دقیقاً
Halucination دنیای واقعی ما هستند؛ دقیقاً مشخص نیست تخصص طرف چیه و راجب چی حق داره حرف بزنه یا بنویسه ولی راجب همه چیز شبه تخصص می‌نویسه.مثلاً طرف مواردی راجب ورزش نوشته (تا دلت بخواد غلط داره)
الان یک مطلبی رو خوندم، طرف راجب تراپی و هوش مصنوعی نوشته بود!
تخصص تراپی رو که ندارم و کسی هم کنارم نیست که سوال کنم؛ اما توی هوش مصنوعی فقط کلمات تخصصی رو توی فرمت درست و براساس احتمال قرار گرفتن کنار هم گذاشته!
جدی میگم؛ سر و ته جمله مشخص نیست؛ ۸۰٪ مطلبش راجب
LLM (هوش مصنوعی از نظر اینا) اشتباه هست، یعنی حتی اگر مطلب رو به ChatGpt هم می‌داد ایراداش رو می‌گرفت براش.بدترین بخشش اینه که ۱۵ تا از کانکشن‌های بنده توی لینکدین، این پست رو لایک کردند (منم آنفالو کردم؛ برخلاف خیلی‌ها من وقتی کانکشن‌هام چیزی رو لایک یا کامنت می‌ذارند وقت می‌ذارم و می‌خونم.)
😁1
بزارید یک مثال از ریاضیات بزنم و همچنین موردی که شخصیت معظمی مانند ترنس تائو مطرح کرده است را مورد بررسی قرار بدیم. این روزها کلی حرف و حدیث در مورد نتایج llmها راه افتاده که مثلاً میتونه مسائل ریاضی باز یا همان open problemها و مسائل پیچیده در سطح دکترا رو حل کنه. ولی ماجرا این است که تمامی این افراد دارن اصل قضیه رو از پنهان میکنند و نمی‌بینن که مشکل اصلی کجاست! این مشکل و بهتون میگم بسط دادنش دیگه با خود شما.
ببینید تو این آزمایش‌ها، مثلا مورد gpt5 فقط بعضی از مسائل رو حل نکرده، بلکه همه‌شون رو امتحان کرده و جواب داده. اما گیر کار اینجاست که بعضی جواب‌هاش درست بودن و بعضی‌هاش غلط. حال ایراد این داستان کجاست؟ ایراد این مسئله اینجاست که وقتی شما برای یک پدیده لاینحل با هوش طبیعی، یک راه حل با هوش مصنوعی ارائه میدهی، چطوری می خواهی با هوش طبیعی که قابل درک براش نبوده، پاسخ رو ارزیابی کنی؟
ما هیچ راه ساده و سریعی نداریم که بفهمیم کدومش درسته و کدومش اشتباه (حداقل فعلا)! یعنی نمی‌تونی راحت چک کنی و مطمئن شی و بگی خب حله، این جواب درسته چون هوش مصنوعی ارائه کرده. چون این هوش مصنوعی‌ها اشتباهات عجیب و غریبی میکنن که آدم عادی متوجه‌شون نمی‌شه (ولی برنامه نویس ها این مورد و خیلی خوب درک میکنند، وقتی درگیر دیباگ کدهای llmها میشن).
در همین رابطه ترنس تائو گفته که مدل‌های زبانی بزرگ (مثل همین gpt) اشتباهاتشون تو اثبات‌های ریاضی کاملاً متفاوت و خاصه نسبت به اشتباهاتی که انسان‌ها معمولاً مرتکب میشن. یعنی انسان‌ها ممکنه تو محاسبات ساده یا مفاهیم پایه‌ای اشتباه کنن، اما این AIها گاهی تو جاهای خیلی تخصصی و ناشناخته خطا میدن که تشخیص‌شون سخته و نیاز به دانش عمیق داره.
پس حالا چطوری این نتایج رو بررسی و تأیید کنیم؟ خب، مجبوریم یه ریاضیدان در سطح دکترا بیاریم که با زحمت همه اثبات‌ها رو موبه‌مو چک کنه و ایرادها رو پیدا کنه. یعنی عملاً برمی‌گردیم سر خونه اول؟ 😅 یعنی همه این پیشرفت‌ها آخرش باز وابسته به انسان‌های متخصص میشه و نمی‌تونه کاملاً مستقل کار کنه! متوجه داستان شدید؟
ببینید تو این آزمایش‌ها، مثلا مورد gpt5 فقط بعضی از مسائل رو حل نکرده، بلکه همه‌شون رو امتحان کرده و جواب داده. اما گیر کار اینجاست که بعضی جواب‌هاش درست بودن و بعضی‌هاش غلط. حال ایراد این داستان کجاست؟ ایراد این مسئله اینجاست که وقتی شما برای یک پدیده لاینحل با هوش طبیعی، یک راه حل با هوش مصنوعی ارائه میدهی، چطوری می خواهی با هوش طبیعی که قابل درک براش نبوده، پاسخ رو ارزیابی کنی؟
ما هیچ راه ساده و سریعی نداریم که بفهمیم کدومش درسته و کدومش اشتباه (حداقل فعلا)! یعنی نمی‌تونی راحت چک کنی و مطمئن شی و بگی خب حله، این جواب درسته چون هوش مصنوعی ارائه کرده. چون این هوش مصنوعی‌ها اشتباهات عجیب و غریبی میکنن که آدم عادی متوجه‌شون نمی‌شه (ولی برنامه نویس ها این مورد و خیلی خوب درک میکنند، وقتی درگیر دیباگ کدهای llmها میشن).
در همین رابطه ترنس تائو گفته که مدل‌های زبانی بزرگ (مثل همین gpt) اشتباهاتشون تو اثبات‌های ریاضی کاملاً متفاوت و خاصه نسبت به اشتباهاتی که انسان‌ها معمولاً مرتکب میشن. یعنی انسان‌ها ممکنه تو محاسبات ساده یا مفاهیم پایه‌ای اشتباه کنن، اما این AIها گاهی تو جاهای خیلی تخصصی و ناشناخته خطا میدن که تشخیص‌شون سخته و نیاز به دانش عمیق داره.
پس حالا چطوری این نتایج رو بررسی و تأیید کنیم؟ خب، مجبوریم یه ریاضیدان در سطح دکترا بیاریم که با زحمت همه اثبات‌ها رو موبه‌مو چک کنه و ایرادها رو پیدا کنه. یعنی عملاً برمی‌گردیم سر خونه اول؟ 😅 یعنی همه این پیشرفت‌ها آخرش باز وابسته به انسان‌های متخصص میشه و نمی‌تونه کاملاً مستقل کار کنه! متوجه داستان شدید؟
🔥1
اسمی ازین شرکت نمیارم ولی شرکت خیلی بزرگ و شناخته شده ای در یکی از ..... هست .
یوزر ها ، اسامی دیتابیس ها ،کانفیگ ها ، فایل ها ، قابلیت ایجاد و حذف فایل ، اپلود فایل مخرب ، دسترسی به لاگ ها ، دسترسی به یوزر ادمین سامانه ، خروج دیتا های مهم و ....
روش خروج دیتا رو من تو دوره RedTeam بیان کردم
این سامانه هم در دوره post exploit روی سرور واقعی هکش کردیم و دسترسی شل هم ازش گرفتیم ، این سرور یکم حملش پیچیده تر بود .
گزارش داده شد .
یوزر ها ، اسامی دیتابیس ها ،کانفیگ ها ، فایل ها ، قابلیت ایجاد و حذف فایل ، اپلود فایل مخرب ، دسترسی به لاگ ها ، دسترسی به یوزر ادمین سامانه ، خروج دیتا های مهم و ....
روش خروج دیتا رو من تو دوره RedTeam بیان کردم
این سامانه هم در دوره post exploit روی سرور واقعی هکش کردیم و دسترسی شل هم ازش گرفتیم ، این سرور یکم حملش پیچیده تر بود .
گزارش داده شد .