💠 در تابستان ۲۰۱۵، دو هکر آمریکایی توانستند کنترل یک ماشین را از راه دور بهدست بگیرند. آنها به قسمتهای مهمی مثل موتور و ترمز دسترسی پیدا کردند. نکته مهم این بود که دیگر نیازی به دسترسی فیزیکی به ماشین نبود. این کار از طریق شبکه موبایل انجام شد. این موضوع باعث نگرانی است. سوال اصلی این است که آیا شرکتهای خودروسازی به اندازه کافی برای امنیت سایبری تلاش میکنند؟ اگر نه، آیا قانونگذاری لازم است؟ و اگر لازم است، چه نوع قانونی باید گذاشته شود؟
💠 در ژوئیه ۲۰۱۵، دو هکر به نامهای "محسی" و "راجرز" اعلام کردند که توانستند یک ماشین جیپ چروکی را هک کنند. آنها گفتند که میتوانند ماشین را از راه دور و با استفاده از شبکه موبایل کنترل کنند. برای اثبات حرفشان، از یک خبرنگار به نام اندی گرینبرگ خواستند که با ماشین رانندگی کند، در حالی که هکرها از خانهشان ماشین را کنترل کردند. وقتی ماشین در اتوبان در حال حرکت بود، آنها دنده را خلاص کردند و ماشین در میان ترافیک گیر افتاد. تصور اینکه چنین چیزی اگر دست افراد خطرناک بیفتد، چقدر خطرناک است، سخت نیست.
💠 در گذشته، سیستمهای داخلی ماشین به دنیای بیرون متصل نبودند. اما حالا ماشینها بیشتر به صورت بیسیم به اینترنت وصل میشوند. این یعنی امنیت سایبری برای ماشینها مهم شده است. با اینکه درباره امنیت سایبری در زیرساختهای مهم زیاد صحبت شده، ولی امنیت ماشینها زیاد مورد توجه نبوده. هنوز حادثهای به خاطر این نوع هکها اتفاق نیفتاده، اما اگر بیفتد، میتواند بسیار خطرناک باشد. در این پست گفته شده که باید برای جلوگیری از این حوادث بیشتر تلاش شود و شرکتهای خودروسازی باید ماشینها را مقاومتر بسازند. حالا سوال این است که آیا شرکتها باید این کار را داوطلبانه انجام دهند یا اینکه باید قانونی برایشان گذاشته شود؟ماشین ها نسبت به سالهای گذشته بسیار پیشرفتهتر شدهاند. حالا تقریباً همه قسمتهای مکانیکی ماشین توسط کامپیوترهای کوچکی به نام ECU کنترل میشوند. این کامپیوترها مسئول قسمتهایی مثل موتور، ترمز، دنده و قفلها هستند. همه این ECUها از طریق شبکهای مثل CAN BUS به هم وصل میشوند.کاملاً روشن است که هک کردن ماشینها میتواند خطرناک باشد. البته هک کردن غیرقانونی است. کسانی که چنین کارهایی میکنند، معمولاً قوانین بینالمللی مانند کنوانسیون جرایم سایبری یا دستورالعمل حملات به سیستمهای اطلاعاتی را نقض میکنند.در این بخش بررسی میشود که چگونه میتوان با استفاده از قانون، از تهدیدات امنیتی در دنیای خودروها جلوگیری کرد. قانونگذاری در این زمینه کار راحتی نیست و هنوز سوالهای بیپاسخ زیادی وجود دارد.
💠 اول، لایحهای که دو سناتور آمریکایی معرفی کردهاند بررسی میشود. این لایحه شامل یکسری استانداردهای امنیت سایبری برای خودروسازها است. این لایحه میتواند کمک کند بفهمیم چه موضوعاتی باید در قوانین اروپا هم بررسی شود.هکهای اخیر نشان دادهاند که از نظر فنی، امکان هک کردن ماشینها وجود دارد. بنابراین، باید بررسی شود که آیا به قانونگذاری نیاز داریم و اگر بله، چگونه باید این قانونها تنظیم شوند. این پست میگوید که برخی از امکاناتی که باعث هک میشوند، در واقع میتوانند برای حل مشکلات اجتماعی مثل آلودگی یا ترافیک مفید باشند. اما با این حال، امنیت نباید نادیده گرفته شود. در پست بعدی لایحه دو سناتور بررسی می شود
✍ نویسنده
@TryHackBoxStory | arian momeni
💠 در ژوئیه ۲۰۱۵، دو هکر به نامهای "محسی" و "راجرز" اعلام کردند که توانستند یک ماشین جیپ چروکی را هک کنند. آنها گفتند که میتوانند ماشین را از راه دور و با استفاده از شبکه موبایل کنترل کنند. برای اثبات حرفشان، از یک خبرنگار به نام اندی گرینبرگ خواستند که با ماشین رانندگی کند، در حالی که هکرها از خانهشان ماشین را کنترل کردند. وقتی ماشین در اتوبان در حال حرکت بود، آنها دنده را خلاص کردند و ماشین در میان ترافیک گیر افتاد. تصور اینکه چنین چیزی اگر دست افراد خطرناک بیفتد، چقدر خطرناک است، سخت نیست.
💠 در گذشته، سیستمهای داخلی ماشین به دنیای بیرون متصل نبودند. اما حالا ماشینها بیشتر به صورت بیسیم به اینترنت وصل میشوند. این یعنی امنیت سایبری برای ماشینها مهم شده است. با اینکه درباره امنیت سایبری در زیرساختهای مهم زیاد صحبت شده، ولی امنیت ماشینها زیاد مورد توجه نبوده. هنوز حادثهای به خاطر این نوع هکها اتفاق نیفتاده، اما اگر بیفتد، میتواند بسیار خطرناک باشد. در این پست گفته شده که باید برای جلوگیری از این حوادث بیشتر تلاش شود و شرکتهای خودروسازی باید ماشینها را مقاومتر بسازند. حالا سوال این است که آیا شرکتها باید این کار را داوطلبانه انجام دهند یا اینکه باید قانونی برایشان گذاشته شود؟ماشین ها نسبت به سالهای گذشته بسیار پیشرفتهتر شدهاند. حالا تقریباً همه قسمتهای مکانیکی ماشین توسط کامپیوترهای کوچکی به نام ECU کنترل میشوند. این کامپیوترها مسئول قسمتهایی مثل موتور، ترمز، دنده و قفلها هستند. همه این ECUها از طریق شبکهای مثل CAN BUS به هم وصل میشوند.کاملاً روشن است که هک کردن ماشینها میتواند خطرناک باشد. البته هک کردن غیرقانونی است. کسانی که چنین کارهایی میکنند، معمولاً قوانین بینالمللی مانند کنوانسیون جرایم سایبری یا دستورالعمل حملات به سیستمهای اطلاعاتی را نقض میکنند.در این بخش بررسی میشود که چگونه میتوان با استفاده از قانون، از تهدیدات امنیتی در دنیای خودروها جلوگیری کرد. قانونگذاری در این زمینه کار راحتی نیست و هنوز سوالهای بیپاسخ زیادی وجود دارد.
💠 اول، لایحهای که دو سناتور آمریکایی معرفی کردهاند بررسی میشود. این لایحه شامل یکسری استانداردهای امنیت سایبری برای خودروسازها است. این لایحه میتواند کمک کند بفهمیم چه موضوعاتی باید در قوانین اروپا هم بررسی شود.هکهای اخیر نشان دادهاند که از نظر فنی، امکان هک کردن ماشینها وجود دارد. بنابراین، باید بررسی شود که آیا به قانونگذاری نیاز داریم و اگر بله، چگونه باید این قانونها تنظیم شوند. این پست میگوید که برخی از امکاناتی که باعث هک میشوند، در واقع میتوانند برای حل مشکلات اجتماعی مثل آلودگی یا ترافیک مفید باشند. اما با این حال، امنیت نباید نادیده گرفته شود. در پست بعدی لایحه دو سناتور بررسی می شود
✍ نویسنده
@TryHackBoxStory | arian momeni
❤1
💠 لایحهای که دو سناتور آمریکایی معرفی کردند، معروف به "Security and Privacy in Your Car Act of 2015" یا به اختصار SPY Car Act of 2015 است. این لایحه توسط سناتور ادوارد مارکی (Edward Markey - D-MA) و سناتور ریچارد بلومنتال (Richard Blumenthal - D-CT) ارائه شد و هدف آن وضع استانداردهای امنیت سایبری و حریم خصوصی برای خودروهایی است که در ایالات متحده فروخته میشوند در این لایحه نکات زیادی مطرح می شود اما مهمترین نکات ان در زیر اورده شده است :
1.استانداردهایی توسط NHTSA و FTC برای محافظت از سیستمهای حیاتی نرمافزاری خودروها تعریف میشود، بهویژه جداسازی سیستمهای حساس از سیستمهای غیرحساس (Isolation)
2.باید تدابیری مانند penetration testing برای شناسایی و برطرف کردن آسیبپذیریها اجرا شود
3.خودروها باید به سیستمهایی تجهیز شوند که قابلیت شناسایی، گزارش و توقف تلاشهای هک را به صورت بلادرنگ داشته باشند
4.سازندگان خودرو باید شفافسازی کامل درباره انواع دادههایی که از کاربران جمعآوری، انتقال یا ذخیره میکنند ارائه دهند.
5.راننده حق غیرفعالسازی (opt‑out) جمعآوری برخی دادهها را داشته باشد و استفاده از دادهها برای تبلیغات تنها با اجازه صریح مصرفکننده مجاز باشد
💠 متاسفانه این لایحه از تاریخ 2015 به جریان افتاد اما تصویت نشد ، بعد ها در سال 2017 دستور مطالعه صادر شد اما باز هم تصویب نشد ، و در نهایت در سال 2019 معرفی شد اما باز هم تصویب نشد .
💠 لازم به ذکر است که در نهایت مجمع جهانی هماهنگسازی مقررات وسایل نقلیه وابسته به کمیسیون اقتصادی سازمان ملل برای اروپا معرفی شد و در سال 2020 کشورهایی مثل ژاپن، اتحادیه اروپا، کره جنوبی، هند، انگلستان و سایر اعضا، اجرای این قوانین رو اجباری کردن.
✍ نویسنده
@TryHackBoxStory | arian momeni
1.استانداردهایی توسط NHTSA و FTC برای محافظت از سیستمهای حیاتی نرمافزاری خودروها تعریف میشود، بهویژه جداسازی سیستمهای حساس از سیستمهای غیرحساس (Isolation)
2.باید تدابیری مانند penetration testing برای شناسایی و برطرف کردن آسیبپذیریها اجرا شود
3.خودروها باید به سیستمهایی تجهیز شوند که قابلیت شناسایی، گزارش و توقف تلاشهای هک را به صورت بلادرنگ داشته باشند
4.سازندگان خودرو باید شفافسازی کامل درباره انواع دادههایی که از کاربران جمعآوری، انتقال یا ذخیره میکنند ارائه دهند.
5.راننده حق غیرفعالسازی (opt‑out) جمعآوری برخی دادهها را داشته باشد و استفاده از دادهها برای تبلیغات تنها با اجازه صریح مصرفکننده مجاز باشد
💠 متاسفانه این لایحه از تاریخ 2015 به جریان افتاد اما تصویت نشد ، بعد ها در سال 2017 دستور مطالعه صادر شد اما باز هم تصویب نشد ، و در نهایت در سال 2019 معرفی شد اما باز هم تصویب نشد .
💠 لازم به ذکر است که در نهایت مجمع جهانی هماهنگسازی مقررات وسایل نقلیه وابسته به کمیسیون اقتصادی سازمان ملل برای اروپا معرفی شد و در سال 2020 کشورهایی مثل ژاپن، اتحادیه اروپا، کره جنوبی، هند، انگلستان و سایر اعضا، اجرای این قوانین رو اجباری کردن.
✍ نویسنده
@TryHackBoxStory | arian momeni
TryHackBox Story
مهندسی اجتماعی - مقدمه #SE@TryHackBoxStory مقدمه: ظهور مهندسی اجتماعی توده محور و شخصی - بخش دوم چرا «مهندسی اجتماعی» عنوان مناسبی است ما تنها کسانی نیستیم که بابت دستکاری رسانه ای نگرانیم. خیلی ها سعی دارند این شکل های جدید اطلاعات نادرست و گمراه کننده…
مهندسی اجتماعی - مقدمه
#SE@TryHackBoxStory
مقدمه: ظهور مهندسی اجتماعی توده محور و شخصی - بخش دوم
اما استفاده از برچسب هایی مثل «جعلی» یا «دروغ» انگار عمق پیچیدگی ارتباطات دستکاری شده را نشان نمیدهد. «اخبار جعلی» همانطور که بسیاری اشاره کرده اند، همه چیز را بیش از حد به دوگانه درست/غلط تقلیل میدهد. همین موضوع در مورد مفهوم «دروغ سازها» هم صدق میکند.
آدم یاد شبکه عظیمی از رباتها و ترول ها می افتد که مدام دروغ میسازند. اگر واقعاً ارتباطات دستکاری شده فقط به معنی گفتن دروغ خالص بود، افشای دروغها و آشکار کردن حقیقت کار راحتی میبود. ولی با وجود این همه راستی آزمایی و افشاگر، باز هم دستکاری ادامه دارد.
علاوه بر این، تقسیم بندی صرف به درست/غلط خیلی وقتها به واقعیت ارتباطات دستکاری شده نمیخورد. مثلاً یک پیام برای برانگیختن حس همدلی تو، «دروغ» محسوب میشود؟ یک میم بامزه حتماً نادرسته؟ پست تبلیغاتی که دوستت هم آن را تأیید کرده، الزاماً غیرواقعی است؟
«پروپاگاندا» (تبلیغات سیاسی) هم واژه بدیهی برای این موقعیت به نظر میاد، حتی اگر معنای آن در طول سالها کمرنگ و مبهم شده باشد. یک کتاب جدید به نام «پروپاگاندای محاسباتی» سعی میکند این واژه را برای عصر دیجیتال بروزرسانی کند و کاربرد الگوریتم ها و خودکارسازی برای دستکاری ارتباطی را توضیح دهد. با این حال، پروپاگاندا که الان بیشتر «روابط عمومی» هم خوانده میشود فقط بخش جمعی ارتباطات را در ذهن مخاطب تداعی میکند. جالب اینکه یک پژوهش تازه با عنوان «پروپاگاندای شبکه ای» حتی دستکاری فرد به فرد را جدا از پروپاگاندا میداند، و بنابراین تعداد زیادی از تعاملات دستکاری شده شخصی که الان در شبکه های اجتماعی ممکن شده را کنار میگذارد.
واژهای که به هدف نزدیکتر است، شاید «هک کردن» باشد. بعد از انتخابات ۲۰۱۶ و در آستانه انتخابات ۲۰۲۰ آمریکا، عباراتی مثل «روس ها سعی دارند انتخابات را هک کنند» زیاد شنیده شد. اما این واژه هم کافی نیست؛ چون واژه «هک» ذهن آدم را میبرد سراغ یک فرد منزوی، با هودی، که بالای یک کیبورد شبتاب نشسته و به شدت مشغول هک کردن است...
خب دقیقاً چی را؟ ایمنی ماشین های رأی گیری دیجیتال مدتهاست دغدغه است، اما آنچه در ۲۰۱۶ و دوباره در ۲۰۲۰ رخ داد، در واقع ربطی به هک کردن ماشین های رأی نداشت هرچند تلاشهایی هم صورت گرفت. به همین دلیل، مفسران حالا عبارت «هک ذهنی» یا «هک شناختی» را استفاده میکنند. این توصیف به مفهوم مهندسی اجتماعی توده ای شخصی نزدیکتر است؛ برای نمونه، Cambridge Analytica مدعی بود که هزاران داده درباره هر رأی دهنده آمریکایی دارد و به همین دلیل میتواند اهرم های ذهنی ظریفی را شناسایی کند تا دیدگاه افراد را شکل دهد.
@TryHackBoxStory
#SE@TryHackBoxStory
مقدمه: ظهور مهندسی اجتماعی توده محور و شخصی - بخش دوم
اما استفاده از برچسب هایی مثل «جعلی» یا «دروغ» انگار عمق پیچیدگی ارتباطات دستکاری شده را نشان نمیدهد. «اخبار جعلی» همانطور که بسیاری اشاره کرده اند، همه چیز را بیش از حد به دوگانه درست/غلط تقلیل میدهد. همین موضوع در مورد مفهوم «دروغ سازها» هم صدق میکند.
آدم یاد شبکه عظیمی از رباتها و ترول ها می افتد که مدام دروغ میسازند. اگر واقعاً ارتباطات دستکاری شده فقط به معنی گفتن دروغ خالص بود، افشای دروغها و آشکار کردن حقیقت کار راحتی میبود. ولی با وجود این همه راستی آزمایی و افشاگر، باز هم دستکاری ادامه دارد.
علاوه بر این، تقسیم بندی صرف به درست/غلط خیلی وقتها به واقعیت ارتباطات دستکاری شده نمیخورد. مثلاً یک پیام برای برانگیختن حس همدلی تو، «دروغ» محسوب میشود؟ یک میم بامزه حتماً نادرسته؟ پست تبلیغاتی که دوستت هم آن را تأیید کرده، الزاماً غیرواقعی است؟
«پروپاگاندا» (تبلیغات سیاسی) هم واژه بدیهی برای این موقعیت به نظر میاد، حتی اگر معنای آن در طول سالها کمرنگ و مبهم شده باشد. یک کتاب جدید به نام «پروپاگاندای محاسباتی» سعی میکند این واژه را برای عصر دیجیتال بروزرسانی کند و کاربرد الگوریتم ها و خودکارسازی برای دستکاری ارتباطی را توضیح دهد. با این حال، پروپاگاندا که الان بیشتر «روابط عمومی» هم خوانده میشود فقط بخش جمعی ارتباطات را در ذهن مخاطب تداعی میکند. جالب اینکه یک پژوهش تازه با عنوان «پروپاگاندای شبکه ای» حتی دستکاری فرد به فرد را جدا از پروپاگاندا میداند، و بنابراین تعداد زیادی از تعاملات دستکاری شده شخصی که الان در شبکه های اجتماعی ممکن شده را کنار میگذارد.
واژهای که به هدف نزدیکتر است، شاید «هک کردن» باشد. بعد از انتخابات ۲۰۱۶ و در آستانه انتخابات ۲۰۲۰ آمریکا، عباراتی مثل «روس ها سعی دارند انتخابات را هک کنند» زیاد شنیده شد. اما این واژه هم کافی نیست؛ چون واژه «هک» ذهن آدم را میبرد سراغ یک فرد منزوی، با هودی، که بالای یک کیبورد شبتاب نشسته و به شدت مشغول هک کردن است...
خب دقیقاً چی را؟ ایمنی ماشین های رأی گیری دیجیتال مدتهاست دغدغه است، اما آنچه در ۲۰۱۶ و دوباره در ۲۰۲۰ رخ داد، در واقع ربطی به هک کردن ماشین های رأی نداشت هرچند تلاشهایی هم صورت گرفت. به همین دلیل، مفسران حالا عبارت «هک ذهنی» یا «هک شناختی» را استفاده میکنند. این توصیف به مفهوم مهندسی اجتماعی توده ای شخصی نزدیکتر است؛ برای نمونه، Cambridge Analytica مدعی بود که هزاران داده درباره هر رأی دهنده آمریکایی دارد و به همین دلیل میتواند اهرم های ذهنی ظریفی را شناسایی کند تا دیدگاه افراد را شکل دهد.
@TryHackBoxStory
مهندسی اجتماعی - مقدمه
#SE@TryHackBoxStory
مقدمه: ظهور مهندسی اجتماعی توده محور و شخصی - بخش دوم
حتی اگر Cambridge Analytica در مورد توانمندی هایش اغراق کرده باشد، این نوع هدف گیری خرد اکنون بخشی ثابت از ارتباطات سیاسی مدرن شده است.
با این حال، «هک» کردن هم واژهای بیش از حد ابزاری است. مثل «دروغ سازها»، این واژه هم همه چیز را خیلی دوگانه و ساده نشان میدهد؛ برای مثال، اگر یک هکر بدافزار دسترسی روت به کامپیوتر بگیرد یعنی کنترل کامل دارد، اما این تصور با دستکاری های ریز و پنهانی انتخابات ۲۰۱۶ و بعد از آن تطابق ندارد. هیچکس دسترسی روت به ذهن دیگران پیدا نمیکند حتی اگر هزاران داده از هر نفر داشته باشد، Cambridge Analytica هم نمیتوانست ذهن کسی را کاملاً کنترل کند. ارتباطات این فرایند شلوغ و اشتراکی ساختن واقعیت بین انسانها را نمیتوان فقط به یک استعاره رایانه ای تقلیل داد.
«جنگ سایبری» هم واژه دیگری است که مثلاً پژوهشگر حوزه ارتباطات، Kathleen Hall Jamieson، در عنوان کتابش از آن استفاده کرده: «جنگ سایبری: چگونه هکرها و ترول های روسی به انتخاب یک رئیس جمهور کمک کردند». جمیزون استدلال میکند چون فعالیت آژانس تحقیقات اینترنتی روسیه ازطرف یک دولت و علیه دولت دیگر (آمریکا) و با هدف دخالت در فرایند سیاسی بوده، این اقدام را باید نوعی عملیات جنگی بدانیم و واکنش متناسب نشان دهیم.
در نتیجه، برخلاف «هک کردن انتخابات» که ذهن را به سمت هکرهای جداگانه و دستکاری ماشینها یا افراد می برد، برداشت جمیزون بر ابعاد اجتماعی و سیاسی تأکید دارد و تداوم تلاش روسیه برای دخالت در بحث های دموکراتیک را یک مسئله کلان میبیند.
هرچند «جنگ سایبری» برای عملیات دولتی روسیه وسوسه برانگیز است، ما فکر میکنیم نه برای اقدامات روسیه و نه شرکت هایی مثل Cambridge Analytica واژه دقیقی نیست. ادعای اینکه عملیات سایبری روسیه در ۲۰۱۶ نوعی «جنگ» است، در حقوق و پژوهش های موجود درباره درگیری های سایبری پشتوانه محکمی ندارد. حتی اگر چنین برچسبی را برای اقدامات روسیه در انتخابات ۲۰۱۶، ۲۰۱۸ و ۲۰۲۰ بپذیریم، پس حملات مشابه Cambridge Analytica یا بازیگران داخلی را چه باید نامید؟ آیا شرکت مشاورهای مثل Cambridge Analytica که در نهایت توسط کمپین ترامپ استخدام شده بود یک بازیگر دولتی است؟ یا شرکت آمریکایی Phunware که با کمپین ترامپ ۲۰۲۰ همکاری داشت، واقعاً «جنگ» راه انداخته؟
@TryHackBoxStory
#SE@TryHackBoxStory
مقدمه: ظهور مهندسی اجتماعی توده محور و شخصی - بخش دوم
حتی اگر Cambridge Analytica در مورد توانمندی هایش اغراق کرده باشد، این نوع هدف گیری خرد اکنون بخشی ثابت از ارتباطات سیاسی مدرن شده است.
با این حال، «هک» کردن هم واژهای بیش از حد ابزاری است. مثل «دروغ سازها»، این واژه هم همه چیز را خیلی دوگانه و ساده نشان میدهد؛ برای مثال، اگر یک هکر بدافزار دسترسی روت به کامپیوتر بگیرد یعنی کنترل کامل دارد، اما این تصور با دستکاری های ریز و پنهانی انتخابات ۲۰۱۶ و بعد از آن تطابق ندارد. هیچکس دسترسی روت به ذهن دیگران پیدا نمیکند حتی اگر هزاران داده از هر نفر داشته باشد، Cambridge Analytica هم نمیتوانست ذهن کسی را کاملاً کنترل کند. ارتباطات این فرایند شلوغ و اشتراکی ساختن واقعیت بین انسانها را نمیتوان فقط به یک استعاره رایانه ای تقلیل داد.
«جنگ سایبری» هم واژه دیگری است که مثلاً پژوهشگر حوزه ارتباطات، Kathleen Hall Jamieson، در عنوان کتابش از آن استفاده کرده: «جنگ سایبری: چگونه هکرها و ترول های روسی به انتخاب یک رئیس جمهور کمک کردند». جمیزون استدلال میکند چون فعالیت آژانس تحقیقات اینترنتی روسیه ازطرف یک دولت و علیه دولت دیگر (آمریکا) و با هدف دخالت در فرایند سیاسی بوده، این اقدام را باید نوعی عملیات جنگی بدانیم و واکنش متناسب نشان دهیم.
در نتیجه، برخلاف «هک کردن انتخابات» که ذهن را به سمت هکرهای جداگانه و دستکاری ماشینها یا افراد می برد، برداشت جمیزون بر ابعاد اجتماعی و سیاسی تأکید دارد و تداوم تلاش روسیه برای دخالت در بحث های دموکراتیک را یک مسئله کلان میبیند.
هرچند «جنگ سایبری» برای عملیات دولتی روسیه وسوسه برانگیز است، ما فکر میکنیم نه برای اقدامات روسیه و نه شرکت هایی مثل Cambridge Analytica واژه دقیقی نیست. ادعای اینکه عملیات سایبری روسیه در ۲۰۱۶ نوعی «جنگ» است، در حقوق و پژوهش های موجود درباره درگیری های سایبری پشتوانه محکمی ندارد. حتی اگر چنین برچسبی را برای اقدامات روسیه در انتخابات ۲۰۱۶، ۲۰۱۸ و ۲۰۲۰ بپذیریم، پس حملات مشابه Cambridge Analytica یا بازیگران داخلی را چه باید نامید؟ آیا شرکت مشاورهای مثل Cambridge Analytica که در نهایت توسط کمپین ترامپ استخدام شده بود یک بازیگر دولتی است؟ یا شرکت آمریکایی Phunware که با کمپین ترامپ ۲۰۲۰ همکاری داشت، واقعاً «جنگ» راه انداخته؟
@TryHackBoxStory
مهندسی اجتماعی - مقدمه
#SE@TryHackBoxStory
مقدمه: ظهور مهندسی اجتماعی توده محور و شخصی - پایان بخش دوم
مفسران مطرح کرده اند که شرکت هایی مثل Cambridge Analytica «داده ها را به عنوان سلاح» به کار میبرند. اما نمیتوانیم صرفاً بر اساس استعاره جنگ، جنگ اعلام کنیم. اینکه هر عمل مخرب آنلاین را «جنگ سایبری» بنامیم، فقط باعث نظامی تر شدن بیشتر اینترنت میشود.
بیشتر مفاهیمی که برای فهم ارتباطات دستکاری شده استفاده شده اند، ناکافی اند. اما یک واژه هست که اگرچه کمتر از «اخبار جعلی»، «دروغ سازها»، «تبلیغات»، «هک شناختی» یا «جنگ سایبری» استفاده شده، ولی به قدر کافی پیچیده و منعطف است تا شکل جدیدی از ارتباطات دستکاری شده که از ۲۰۱۶ شروع شده و امروز در فضای دیجیتال رواج دارد را توصیف کند.
آن واژه «مهندسی اجتماعی» است.
این کلمه به تنهایی، بدون تعریف مشخص، بار معنایی فراوانی دارد: مهندسی کردن اجتماعی، شکل دادن به تعاملات اجتماعی با استفاده از تکنیک های نظام مند. این واژه اشاره دارد به یک رویا: اگر تکنیک هایی وجود داشت که بتوانیم ذات انسانی را کنترل کنیم، درست مثل اینکه طبیعت را با مهندسی کنترل میکنیم؟ در واقع، این واژه به آن شیوه ها هم اشاره دارد، همانطور که بعداً نشان خواهیم داد. اما «مهندسی اجتماعی» فقط یک واژه کنایی نیست؛ تاریخچه عمیقی دارد که فراتر از دنیای هکرهای امنیتی و تبلیغات چی های سیاست است، فراتر از هدف گیری افراد برای کلاهبرداری و هدف شکل دادن به آگاهی یک ملت، و در مرزهای مبهم حقیقت و دروغ، دوستی و خصومت، نیک خواهی واقعی و فرصت طلبی بدبینانه، و فهم ساده و پیچیده از ارتباطات حرکت میکند.
@TryHackBoxStory
#SE@TryHackBoxStory
مقدمه: ظهور مهندسی اجتماعی توده محور و شخصی - پایان بخش دوم
مفسران مطرح کرده اند که شرکت هایی مثل Cambridge Analytica «داده ها را به عنوان سلاح» به کار میبرند. اما نمیتوانیم صرفاً بر اساس استعاره جنگ، جنگ اعلام کنیم. اینکه هر عمل مخرب آنلاین را «جنگ سایبری» بنامیم، فقط باعث نظامی تر شدن بیشتر اینترنت میشود.
بیشتر مفاهیمی که برای فهم ارتباطات دستکاری شده استفاده شده اند، ناکافی اند. اما یک واژه هست که اگرچه کمتر از «اخبار جعلی»، «دروغ سازها»، «تبلیغات»، «هک شناختی» یا «جنگ سایبری» استفاده شده، ولی به قدر کافی پیچیده و منعطف است تا شکل جدیدی از ارتباطات دستکاری شده که از ۲۰۱۶ شروع شده و امروز در فضای دیجیتال رواج دارد را توصیف کند.
آن واژه «مهندسی اجتماعی» است.
این کلمه به تنهایی، بدون تعریف مشخص، بار معنایی فراوانی دارد: مهندسی کردن اجتماعی، شکل دادن به تعاملات اجتماعی با استفاده از تکنیک های نظام مند. این واژه اشاره دارد به یک رویا: اگر تکنیک هایی وجود داشت که بتوانیم ذات انسانی را کنترل کنیم، درست مثل اینکه طبیعت را با مهندسی کنترل میکنیم؟ در واقع، این واژه به آن شیوه ها هم اشاره دارد، همانطور که بعداً نشان خواهیم داد. اما «مهندسی اجتماعی» فقط یک واژه کنایی نیست؛ تاریخچه عمیقی دارد که فراتر از دنیای هکرهای امنیتی و تبلیغات چی های سیاست است، فراتر از هدف گیری افراد برای کلاهبرداری و هدف شکل دادن به آگاهی یک ملت، و در مرزهای مبهم حقیقت و دروغ، دوستی و خصومت، نیک خواهی واقعی و فرصت طلبی بدبینانه، و فهم ساده و پیچیده از ارتباطات حرکت میکند.
@TryHackBoxStory
مهندسی اجتماعی - مقدمه
#SE@TryHackBoxStory
مقدمه: ظهور مهندسی اجتماعی توده محور و شخصی - بخش سوم
درباره مهندسی اجتماعی
بیایید اول نگاهی به بعضی از صاحب نظرانی بیندازیم که ارتباط بین ارتباطات دستکاری شده جدید و مفهوم مهندسی اجتماعی را مطرح کرده اند.
یکی از این پیوندها بین مهندسی اجتماعی و عملیات دخالت انتخاباتی روسیه، توسط کوین میتنیک، مشاور امنیتی، ایجاد شده است. او که خود را «معروف ترین هکر جهان» معرفی میکند، نقش پررنگی در صفحات کتاب ما خواهد داشت. میتنیک بیشتر به خاطر روش خاصش که استفاده از فریب برای دسترسی به سامانه های کامپیوتری محدودشده بود شناخته میشود. به جای حمله فنی به شبکه مثلاً تلاش برای شکستن رمزنگاری یا حدس زدن رمزعبور میتنیک سراغ انسانها میرفت:
به اپراتور زنگ میزد و خیلی ساده رمز عبور را میپرسید!
او اسم این روش را «مهندسی اجتماعی» گذاشت، اصطلاحی که هکرها از اواسط دهه ۱۹۷۰ استفاده میکنند. به گفته شارون کانهدی (مشاور امنیتی)، «مهندسی اجتماعی هکری شامل قانع کردن افراد برای انجام دادن کارهاییست که به طور عادی انجام نمیدهند.» این کارها شامل لو دادن رمز عبور، اجازه دادن به افراد برای تردد در مناطق محدود شرکت، دادن دسترسی به اطلاعات محرمانه یا مالی یا ورود به یک وبسایت آلوده است.
برای هکرهای مهندس اجتماعی، هدف این تکنیک، خود فرد است: منشی، کارمند IT، مدیرعامل، یا کارکنان یک کمپین سیاسی.
@TryHackBoxStory
#SE@TryHackBoxStory
مقدمه: ظهور مهندسی اجتماعی توده محور و شخصی - بخش سوم
درباره مهندسی اجتماعی
بیایید اول نگاهی به بعضی از صاحب نظرانی بیندازیم که ارتباط بین ارتباطات دستکاری شده جدید و مفهوم مهندسی اجتماعی را مطرح کرده اند.
یکی از این پیوندها بین مهندسی اجتماعی و عملیات دخالت انتخاباتی روسیه، توسط کوین میتنیک، مشاور امنیتی، ایجاد شده است. او که خود را «معروف ترین هکر جهان» معرفی میکند، نقش پررنگی در صفحات کتاب ما خواهد داشت. میتنیک بیشتر به خاطر روش خاصش که استفاده از فریب برای دسترسی به سامانه های کامپیوتری محدودشده بود شناخته میشود. به جای حمله فنی به شبکه مثلاً تلاش برای شکستن رمزنگاری یا حدس زدن رمزعبور میتنیک سراغ انسانها میرفت:
به اپراتور زنگ میزد و خیلی ساده رمز عبور را میپرسید!
او اسم این روش را «مهندسی اجتماعی» گذاشت، اصطلاحی که هکرها از اواسط دهه ۱۹۷۰ استفاده میکنند. به گفته شارون کانهدی (مشاور امنیتی)، «مهندسی اجتماعی هکری شامل قانع کردن افراد برای انجام دادن کارهاییست که به طور عادی انجام نمیدهند.» این کارها شامل لو دادن رمز عبور، اجازه دادن به افراد برای تردد در مناطق محدود شرکت، دادن دسترسی به اطلاعات محرمانه یا مالی یا ورود به یک وبسایت آلوده است.
برای هکرهای مهندس اجتماعی، هدف این تکنیک، خود فرد است: منشی، کارمند IT، مدیرعامل، یا کارکنان یک کمپین سیاسی.
@TryHackBoxStory
🔐 هشدار امنیتی: سوءاستفاده از آسیبپذیریهای CyberArk و HashiCorp Vault
📅 گزارش از The Hacker News – آگوست ۲۰۲۵
🚨 خلاصه حمله:
مهاجمان با سوءاستفاده از ۱۴ آسیبپذیری کشفشده در سیستمهای مدیریت اسرار CyberArk و HashiCorp Vault میتوانند بدون نیاز به رمز عبور به اطلاعات محرمانه سازمانها دسترسی پیدا کنند.
⚠️ نحوه اجرای حمله:
شناسایی سیستمهای آسیبپذیر:
اسکن شبکه برای یافتن نسخههای قدیمی CyberArk/HashiCorp
اتصال به APIهای مدیریتی:
سوءاستفاده از باگهای احراز هویت برای دسترسی غیرمجاز
دور زدن مکانیزمهای امنیتی:
استفاده از آسیبپذیریهای زنجیرهای برای افزایش دسترسی
سرقت اسرار سازمانی:
استخراج رمزهای عبور، کلیدهای API و گواهیهای دیجیتال
🎯 اهداف حمله:
دسترسی به زیرساختهای حیاتی سازمان
سرقت اطلاعات حساس کسبوکارها
انجام حملات گستردهتر مانند جعل هویت دیجیتال
✍️نویسنده
@TryHackBoxStory | The Chaos
#CyberArk #HashiCorp #News
📅 گزارش از The Hacker News – آگوست ۲۰۲۵
🚨 خلاصه حمله:
مهاجمان با سوءاستفاده از ۱۴ آسیبپذیری کشفشده در سیستمهای مدیریت اسرار CyberArk و HashiCorp Vault میتوانند بدون نیاز به رمز عبور به اطلاعات محرمانه سازمانها دسترسی پیدا کنند.
⚠️ نحوه اجرای حمله:
شناسایی سیستمهای آسیبپذیر:
اسکن شبکه برای یافتن نسخههای قدیمی CyberArk/HashiCorp
اتصال به APIهای مدیریتی:
سوءاستفاده از باگهای احراز هویت برای دسترسی غیرمجاز
دور زدن مکانیزمهای امنیتی:
استفاده از آسیبپذیریهای زنجیرهای برای افزایش دسترسی
سرقت اسرار سازمانی:
استخراج رمزهای عبور، کلیدهای API و گواهیهای دیجیتال
🎯 اهداف حمله:
دسترسی به زیرساختهای حیاتی سازمان
سرقت اطلاعات حساس کسبوکارها
انجام حملات گستردهتر مانند جعل هویت دیجیتال
✍️نویسنده
@TryHackBoxStory | The Chaos
#CyberArk #HashiCorp #News
🔥2
🔥 مدل GPT-5 هک شد: تکنیکهای "Echo Chamber" و روایتگری آن را فریب داد
📅 گزارش اختصاصی – آگوست ۲۰۲۵
🚨 هشدار امنیتی:
مدل جدید مورد اعتماد نیست
🧠 مدل GPT-5: یک دلفین باهوش اما گمراهکننده!
مدل جدید مانند "دلفینی با ضریب هوشی بالا اما بیدرک از معنای واقعی کلمات" عمل میکند:
میتواند متنهای پیچیده تولید کند
اما درک واقعی از خطرات امنیتی محتوای تولیدشده ندارد
به راحتی با تکنیکهای مهندسی اجتماعی فریب میخورد
⚠️ حملات کشفشده:
حمله Zero-Click Prompt Injection:
- سرقت داده از گوگل درایو، جیرا، Microsoft Copilot Studio
- نشت مکالمات محرمانه کاربران
- حتی هک خانههای هوشمند از طریق یک دستور متنی!
دور زدن محدودیتها با تکنیکهای خلاقانه:
- استفاده از استعارههای ادبی برای پوشش دستورات خطرناک
- ساخت داستانهای پیچیده که در نهایت کد مخرب ارائه میدهند
- روش "Echo Chamber": تکرار و بازخورد دادن پاسخهای مدل به خودش تا محدودیتها را بشکند
✍️نویسنده
@TryHackBoxStory | The Chaos
#Echo_Chamber #GPT5 #News
📅 گزارش اختصاصی – آگوست ۲۰۲۵
🚨 هشدار امنیتی:
مدل جدید مورد اعتماد نیست
🧠 مدل GPT-5: یک دلفین باهوش اما گمراهکننده!
مدل جدید مانند "دلفینی با ضریب هوشی بالا اما بیدرک از معنای واقعی کلمات" عمل میکند:
میتواند متنهای پیچیده تولید کند
اما درک واقعی از خطرات امنیتی محتوای تولیدشده ندارد
به راحتی با تکنیکهای مهندسی اجتماعی فریب میخورد
⚠️ حملات کشفشده:
حمله Zero-Click Prompt Injection:
- سرقت داده از گوگل درایو، جیرا، Microsoft Copilot Studio
- نشت مکالمات محرمانه کاربران
- حتی هک خانههای هوشمند از طریق یک دستور متنی!
دور زدن محدودیتها با تکنیکهای خلاقانه:
- استفاده از استعارههای ادبی برای پوشش دستورات خطرناک
- ساخت داستانهای پیچیده که در نهایت کد مخرب ارائه میدهند
- روش "Echo Chamber": تکرار و بازخورد دادن پاسخهای مدل به خودش تا محدودیتها را بشکند
✍️نویسنده
@TryHackBoxStory | The Chaos
#Echo_Chamber #GPT5 #News
❤2👍1
🖼Pic of the Day
🖼تصویر امروزمون
امیدوارم خنده به لباتون اومده باشه ولی مشکلات عمده ای هستند که ما باید با هم بررسی شون کنیم خارج از شوخی تا بتونیم شرکت هامون و دفتر هامون رو امن نگه داریم
✍️نویسنده
@TryHackBoxStory | The Chaos
🖼تصویر امروزمون
امیدوارم خنده به لباتون اومده باشه ولی مشکلات عمده ای هستند که ما باید با هم بررسی شون کنیم خارج از شوخی تا بتونیم شرکت هامون و دفتر هامون رو امن نگه داریم
✍️نویسنده
@TryHackBoxStory | The Chaos
🔐"یواسبی گمشده و درس امنیتی برای کسبوکارها"
📌 کشف تصادفی
"محمد، کارمند بخش مالی یک شرکت، در پارکینگ شرکت یک فلشدرایو براق روی زمین دید. با خودش فکر کرد: 'شاید اطلاعات مهمی توش باشه! بیایم ببینیم چی داخلشه...'"
💥 نقطه بحرانی:
- او فلش را به کامپیوتر بدون آنتیویروس متصل کرد
- ناگهان کل سیستم قفل شد
- تمام فایلهای مالی شرکت رمزنگاری شدند
🔍 تحلیل امنیتی:
این یک حمله مهندسی اجتماعی کلاسیک بود:
- هکرها عمداً فلشدرایوهای آلوده را در محیطهای کاری میاندازند
- 68% افراد کنجکاو، آنها را به سیستم متصل میکنند (آمار 2025)
🎯 درسهای کلیدی برای کسبوکارها:
1. امنیت فقط وظیفه آیتی نیست:
- هر کارمند یک "خط مقدم دفاع سایبری" است
- آموزش ماهانه امنیت سایبری اجباری باشد
2. سیاستهای سختگیرانه:
- ممنوعیت کامل استفاده از حافظههای خارجی ناشناس
- اجرای دسترسی ابری امن به جای USB
3. واکنش سریع:
- ایجاد تیم پاسخگویی به حوادث در هر بخش
- شبیهسازی حملات فیشینگ هر فصل
💡 جمله اثرگذار:
"در دنیای امروز، یک فلشدرایو بیصاحب میتواند خطرناکتر از یک اسلحه پر باشد!"
نکته نهایی:
کسبوکارهایی که فرهنگ امنیتی را در تمام سطوح گسترش ندهند،
به زودی قربانی سادهترین ترفندهای هکری خواهند شد!
✍️نویسنده
@TryHackBoxStory | The Chaos
📌 کشف تصادفی
"محمد، کارمند بخش مالی یک شرکت، در پارکینگ شرکت یک فلشدرایو براق روی زمین دید. با خودش فکر کرد: 'شاید اطلاعات مهمی توش باشه! بیایم ببینیم چی داخلشه...'"
💥 نقطه بحرانی:
- او فلش را به کامپیوتر بدون آنتیویروس متصل کرد
- ناگهان کل سیستم قفل شد
- تمام فایلهای مالی شرکت رمزنگاری شدند
🔍 تحلیل امنیتی:
این یک حمله مهندسی اجتماعی کلاسیک بود:
- هکرها عمداً فلشدرایوهای آلوده را در محیطهای کاری میاندازند
- 68% افراد کنجکاو، آنها را به سیستم متصل میکنند (آمار 2025)
🎯 درسهای کلیدی برای کسبوکارها:
1. امنیت فقط وظیفه آیتی نیست:
- هر کارمند یک "خط مقدم دفاع سایبری" است
- آموزش ماهانه امنیت سایبری اجباری باشد
2. سیاستهای سختگیرانه:
- ممنوعیت کامل استفاده از حافظههای خارجی ناشناس
- اجرای دسترسی ابری امن به جای USB
3. واکنش سریع:
- ایجاد تیم پاسخگویی به حوادث در هر بخش
- شبیهسازی حملات فیشینگ هر فصل
💡 جمله اثرگذار:
"در دنیای امروز، یک فلشدرایو بیصاحب میتواند خطرناکتر از یک اسلحه پر باشد!"
نکته نهایی:
کسبوکارهایی که فرهنگ امنیتی را در تمام سطوح گسترش ندهند،
به زودی قربانی سادهترین ترفندهای هکری خواهند شد!
✍️نویسنده
@TryHackBoxStory | The Chaos
❤3
چرا کالی لینوکس دیگه اون قدرت سابق رو نداره؟ 🐉
یه سوال که این روزها خیلی میپرسن: "کالی مُرد؟" یا "چرا همه از کالی میرن؟"
جواب ساده نیست، ولی چند عامل اصلی وجود داره:
𝟭. 𝗠𝗮𝗻𝘁𝗲𝗻𝗮𝗻𝗰𝗲 𝗛𝗲𝗹𝗹 (دوزخ نگهداری!) 🔥
کالی یه کشتی غولپیکره. با کلی ابزار پیشنصب شده میاد که ۹۰٪شون رو اکثرا حتی یه بار هم اجرا نمیکنن. این حجم بیهوده، سیستم رو سنگین، آپدیت رو کُند و مصرف منابع رو دیوانهوار میکنه.
𝟮. 𝗗𝗿𝗶𝘃𝗲𝗿 𝗗𝗶𝘀𝗮𝘀𝘁𝗲𝗿 (فاجعه درایورها) 💀
مشکل درایور مخصوصا برای کارتهای وایرلس و گرافیک (مثل انویدیا) یه کابوس همیشگیه. خیلیها بعد از کلی جنگیدن با درایورها، توزیعهای پایدارتری مثل اوبونتو یا فدورا رو ترجیح میدن.
𝟯. 𝗧𝗼𝗼𝗹 𝗦𝘁𝗮𝗴𝗻𝗮𝘁𝗶𝗼𝗻 (رکود ابزارها) 🧰
خیلی از ابزارهای داخل کالی دیگه منسوخ یا بهروزرسانی نشدن. متخصصان واقعی ترجیح میدن آخرین نسخه یه ابزار رو خودشون از گیتهاب بِکشن تا باگهاش Fix شده باشه، نه اینکه به نسخه قدیمی پیشفرض کالی بسنده کنن.
𝟰. 𝗧𝗵𝗲 𝗙𝗮𝗸𝗲 𝗛𝗮𝗰𝗸𝗲𝗿 𝗔𝘂𝗿𝗮 (هاله مُدساز هکرهای قلابی) 🎬
متاسفانه کالی برای یه عده صرفا یه اکسسوری برای دیده شدن تو استوری اینستا شده! این تصور غلط که "هکر = کالی" باعث شده تازهکارها بدون دانش کافی به سمتش هجوم بیارن و بعد از شکست خوردن، کل اکوسیستم لینوکس رو کنار بذارن.
پس چی کار کنیم؟ 🤔
یادت باشه: #کالی فقط یه ابزاره. نه بیشتر، نه کمتر.
همون قدر که یه مکانیک حرفهای ممکنه یه آچارفرانسه خاص رو دوست داشته باشه، یه متخصص امنیت هم ممکنه کالی رو ترجیح بده. اما نکته کلیدی اینه:
شما هر توزیع لینوکسی رو میتونید شخصیسازی و برای نیاز خودت بهینه کنید.
• یه #اوبونتو یا #فدورا رو بردار و فقط ابزارهای مورد نیازت رو نصب کن.
• از #آرچ لینوکس استفاده کن و از پایه فقط چیزی که میخوای رو سوار کن.
• یا حتی بری توی مسیر #Docker و ابزارها رو ایزوله شده اجرا کن.
هدف تسلط بر ابزارهاست، نه اینکه خودت رو با یک توزیع خاص محدود کنی.
مهم اینه که بتونی کارت رو انجام بدی، نه لوازم کارت! 🧠
✍️نویسنده
@TryHackBoxStory | The Chaos
یه سوال که این روزها خیلی میپرسن: "کالی مُرد؟" یا "چرا همه از کالی میرن؟"
جواب ساده نیست، ولی چند عامل اصلی وجود داره:
𝟭. 𝗠𝗮𝗻𝘁𝗲𝗻𝗮𝗻𝗰𝗲 𝗛𝗲𝗹𝗹 (دوزخ نگهداری!) 🔥
کالی یه کشتی غولپیکره. با کلی ابزار پیشنصب شده میاد که ۹۰٪شون رو اکثرا حتی یه بار هم اجرا نمیکنن. این حجم بیهوده، سیستم رو سنگین، آپدیت رو کُند و مصرف منابع رو دیوانهوار میکنه.
𝟮. 𝗗𝗿𝗶𝘃𝗲𝗿 𝗗𝗶𝘀𝗮𝘀𝘁𝗲𝗿 (فاجعه درایورها) 💀
مشکل درایور مخصوصا برای کارتهای وایرلس و گرافیک (مثل انویدیا) یه کابوس همیشگیه. خیلیها بعد از کلی جنگیدن با درایورها، توزیعهای پایدارتری مثل اوبونتو یا فدورا رو ترجیح میدن.
𝟯. 𝗧𝗼𝗼𝗹 𝗦𝘁𝗮𝗴𝗻𝗮𝘁𝗶𝗼𝗻 (رکود ابزارها) 🧰
خیلی از ابزارهای داخل کالی دیگه منسوخ یا بهروزرسانی نشدن. متخصصان واقعی ترجیح میدن آخرین نسخه یه ابزار رو خودشون از گیتهاب بِکشن تا باگهاش Fix شده باشه، نه اینکه به نسخه قدیمی پیشفرض کالی بسنده کنن.
𝟰. 𝗧𝗵𝗲 𝗙𝗮𝗸𝗲 𝗛𝗮𝗰𝗸𝗲𝗿 𝗔𝘂𝗿𝗮 (هاله مُدساز هکرهای قلابی) 🎬
متاسفانه کالی برای یه عده صرفا یه اکسسوری برای دیده شدن تو استوری اینستا شده! این تصور غلط که "هکر = کالی" باعث شده تازهکارها بدون دانش کافی به سمتش هجوم بیارن و بعد از شکست خوردن، کل اکوسیستم لینوکس رو کنار بذارن.
پس چی کار کنیم؟ 🤔
یادت باشه: #کالی فقط یه ابزاره. نه بیشتر، نه کمتر.
همون قدر که یه مکانیک حرفهای ممکنه یه آچارفرانسه خاص رو دوست داشته باشه، یه متخصص امنیت هم ممکنه کالی رو ترجیح بده. اما نکته کلیدی اینه:
شما هر توزیع لینوکسی رو میتونید شخصیسازی و برای نیاز خودت بهینه کنید.
• یه #اوبونتو یا #فدورا رو بردار و فقط ابزارهای مورد نیازت رو نصب کن.
• از #آرچ لینوکس استفاده کن و از پایه فقط چیزی که میخوای رو سوار کن.
• یا حتی بری توی مسیر #Docker و ابزارها رو ایزوله شده اجرا کن.
هدف تسلط بر ابزارهاست، نه اینکه خودت رو با یک توزیع خاص محدود کنی.
مهم اینه که بتونی کارت رو انجام بدی، نه لوازم کارت! 🧠
✍️نویسنده
@TryHackBoxStory | The Chaos
👍6
Forwarded from TryHackBox
همکاری با تیم امنیتی ما
ما در حال راهاندازی یک تیم پویا و نوپا در حوزه امنیت سایبری هستیم که بر روی عملیات ردتیم (Red Team)، تست نفوذ، تولید محتوای آموزشی پیشرفته و توسعه ابزارهای امنیتی تمرکز دارد. هدف ما ارائه خدمات مشاورهای، آموزشهای عملی و خلق محتوای جذاب برای جامعه امنیتی است.
اگر علاقهمند به پیوستن به تیمی هستید این فرصت را از دست ندهید!
موقعیتهای مورد نیاز:
1. مدرسین حوزه تست نفوذ (وب و شبکه و مهندسی معکوس و انالیز بدافزار)
> توانایی طراحی دورههای عملی و پروژه محور.
2. ادمینهای تولید محتوا (اینستاگرام، تلگرام و سایر پلتفرمها)
> توانایی ساخت پستهای جذاب، اینفوگرافیکها و ویدیوهای کوتاه آموزشی.
> آشنایی با ترندهای محتوایی در حوزه امنیت.
3. تیم پادکست
> مسئولیت ضبط و تدوین پادکست های امنیتی.
> برگزاری لایوهای تعاملی با موضوعات روز امنیتی.
4. توسعهدهندگان نرمافزار و ابزارهای امنیتی
5. محققان امنیتی (Security Researchers)
> تمرکز بر کشف آسیبپذیریهای جدید Zero-Day Research
> انتشار مقالات فنی و تحقیقات .
6. کارآموزان و تازه واردان به حوزه امنیت
> فرصت یادگیری عملی تحت نظر متخصصان!
> آموزش گام به گام تست نفوذ
7. مترجمان برای کتابهای تخصصی و مقالات
> ترجمه کتاب های تخصصی و مقالات و کتابچه های امنیتی
چرا به ما بپیوندید؟
کار در یک تیم جوان و نوآور با فضایی پویا و چالشبرانگیز.
دسترسی به منابع آموزشی و پروژههای واقعی برای رشد حرفهای.
فرصت همکاری با متخصصان باتجربه و شبکهسازی در صنعت امنیت.
چگونه اقدام کنیم؟
رزومه، نمونهکارها (مقالات، پستهای آموزشی، کدهای GitHub و ...) و هرگونه سوال را به آدرس زیر ارسال کنید:
📧 ایمیل: tryhackbox@gmail.com
📱 پیام به پشتیبانی:
@ThbxSupport
ما منتظر استعدادهای پرانرژی مثل شما هستیم! 🔥
ما در حال راهاندازی یک تیم پویا و نوپا در حوزه امنیت سایبری هستیم که بر روی عملیات ردتیم (Red Team)، تست نفوذ، تولید محتوای آموزشی پیشرفته و توسعه ابزارهای امنیتی تمرکز دارد. هدف ما ارائه خدمات مشاورهای، آموزشهای عملی و خلق محتوای جذاب برای جامعه امنیتی است.
اگر علاقهمند به پیوستن به تیمی هستید این فرصت را از دست ندهید!
موقعیتهای مورد نیاز:
1. مدرسین حوزه تست نفوذ (وب و شبکه و مهندسی معکوس و انالیز بدافزار)
> توانایی طراحی دورههای عملی و پروژه محور.
2. ادمینهای تولید محتوا (اینستاگرام، تلگرام و سایر پلتفرمها)
> توانایی ساخت پستهای جذاب، اینفوگرافیکها و ویدیوهای کوتاه آموزشی.
> آشنایی با ترندهای محتوایی در حوزه امنیت.
3. تیم پادکست
> مسئولیت ضبط و تدوین پادکست های امنیتی.
> برگزاری لایوهای تعاملی با موضوعات روز امنیتی.
4. توسعهدهندگان نرمافزار و ابزارهای امنیتی
5. محققان امنیتی (Security Researchers)
> تمرکز بر کشف آسیبپذیریهای جدید Zero-Day Research
> انتشار مقالات فنی و تحقیقات .
6. کارآموزان و تازه واردان به حوزه امنیت
> فرصت یادگیری عملی تحت نظر متخصصان!
> آموزش گام به گام تست نفوذ
7. مترجمان برای کتابهای تخصصی و مقالات
> ترجمه کتاب های تخصصی و مقالات و کتابچه های امنیتی
چرا به ما بپیوندید؟
کار در یک تیم جوان و نوآور با فضایی پویا و چالشبرانگیز.
دسترسی به منابع آموزشی و پروژههای واقعی برای رشد حرفهای.
فرصت همکاری با متخصصان باتجربه و شبکهسازی در صنعت امنیت.
چگونه اقدام کنیم؟
رزومه، نمونهکارها (مقالات، پستهای آموزشی، کدهای GitHub و ...) و هرگونه سوال را به آدرس زیر ارسال کنید:
📧 ایمیل: tryhackbox@gmail.com
📱 پیام به پشتیبانی:
@ThbxSupport
ما منتظر استعدادهای پرانرژی مثل شما هستیم! 🔥
🔥1
🖼Pic of the Day
🖼تصویر امروزمون
⚡️ «نصیحت رایگان: اول شبکه یاد بگیر!»
اما چرا باید جدیاش گرفت؟
🔹 امنیت سایبری بدون درک عمیق از شبکه مثل رانندگی بدون شناخت جادهست.
🔹 بیشتر حملات (از اسنیفینگ تا DDoS و SQLi) ریشه در ضعف یا سوءاستفاده از پروتکلها و معماری شبکه دارن.
🔹 ابزارهای امنیتی مثل فایروال، IDS/IPS یا WAF عملاً روی بستر شبکه کار میکنن؛ پس بدون درک شبکه، استفاده از اونها سطحی و ناکارآمد میشه.
🔹 در Incident Response وقتی لاگها و ترافیک رو تحلیل میکنی، باید بدونی پشت هر پکت چه اتفاقی افتاده.
🎯 پس یادگیری Network فقط یه توصیه نیست، بلکه پایه و پیشنیاز ورود حرفهای به امنیت سایبریه.
✍️نویسنده
@TryHackBoxStory | The Chaos
🖼تصویر امروزمون
⚡️ «نصیحت رایگان: اول شبکه یاد بگیر!»
اما چرا باید جدیاش گرفت؟
🔹 امنیت سایبری بدون درک عمیق از شبکه مثل رانندگی بدون شناخت جادهست.
🔹 بیشتر حملات (از اسنیفینگ تا DDoS و SQLi) ریشه در ضعف یا سوءاستفاده از پروتکلها و معماری شبکه دارن.
🔹 ابزارهای امنیتی مثل فایروال، IDS/IPS یا WAF عملاً روی بستر شبکه کار میکنن؛ پس بدون درک شبکه، استفاده از اونها سطحی و ناکارآمد میشه.
🔹 در Incident Response وقتی لاگها و ترافیک رو تحلیل میکنی، باید بدونی پشت هر پکت چه اتفاقی افتاده.
🎯 پس یادگیری Network فقط یه توصیه نیست، بلکه پایه و پیشنیاز ورود حرفهای به امنیت سایبریه.
✍️نویسنده
@TryHackBoxStory | The Chaos
👍3
🔐مفاهیم Information Security، IT Security و Cybersecurity: تفاوت واقعی یا فقط بازی با واژهها؟
یکی از سردرگمیهای رایج برای افراد تازهوارد در حوزه امنیت اینه که این سه اصطلاح رو مدام بهجای هم میبینن. اما واقعیت اینه که همپوشانی زیادی دارن و همین باعث سوءتفاهم میشه.
✅ Information Security (InfoSec):
بهطور کلاسیک گفته میشه «حفاظت از تمام انواع اطلاعات» ـ چه کاغذی باشه چه دیجیتال. اما در عمل، امروز تقریباً همهچیز دیجیتالی شده و همین باعث میشه InfoSec خیلی وقتها عملاً با IT Security هممعنی دیده بشه.
✅ IT Security:
معمولاً به امنیت زیرساختهای دیجیتال اشاره داره؛ مثل سیستمعاملها، شبکهها، دیتابیسها. نقدی که اینجا وارده اینه که مرز مشخصی بین IT Security و Cybersecurity خیلی جاها محو شده.
✅ Cybersecurity:
بهطور دقیق یعنی حفاظت از سیستمهای متصل به اینترنت و مقابله با تهدیدات آنلاین. اما آیا در عمل میشه امنیت سایبری رو از امنیت IT جدا کرد؟ تقریباً نه. چون بیشتر داراییهای سازمانی امروزی به شبکههای متصل وابستهان.
✍️نویسنده
@TryHackBoxStory | The Chaos
یکی از سردرگمیهای رایج برای افراد تازهوارد در حوزه امنیت اینه که این سه اصطلاح رو مدام بهجای هم میبینن. اما واقعیت اینه که همپوشانی زیادی دارن و همین باعث سوءتفاهم میشه.
✅ Information Security (InfoSec):
بهطور کلاسیک گفته میشه «حفاظت از تمام انواع اطلاعات» ـ چه کاغذی باشه چه دیجیتال. اما در عمل، امروز تقریباً همهچیز دیجیتالی شده و همین باعث میشه InfoSec خیلی وقتها عملاً با IT Security هممعنی دیده بشه.
✅ IT Security:
معمولاً به امنیت زیرساختهای دیجیتال اشاره داره؛ مثل سیستمعاملها، شبکهها، دیتابیسها. نقدی که اینجا وارده اینه که مرز مشخصی بین IT Security و Cybersecurity خیلی جاها محو شده.
✅ Cybersecurity:
بهطور دقیق یعنی حفاظت از سیستمهای متصل به اینترنت و مقابله با تهدیدات آنلاین. اما آیا در عمل میشه امنیت سایبری رو از امنیت IT جدا کرد؟ تقریباً نه. چون بیشتر داراییهای سازمانی امروزی به شبکههای متصل وابستهان.
✍️نویسنده
@TryHackBoxStory | The Chaos
❤8
«لابراتوار_کاسپرسکی»_هکرها_به_شرکتهای_روسی_از_طریق_GitHub_و_شبکههای.pdf
263 KB
لابراتوار کسپرسکی: هکرها از طریق GitHub و شبکههای اجتماعی به شرکتهای روسی حمله میکنند و با استفاده از Cobalt Strike Beacon کدهای مخرب را منتشر میکنند.
@TryHackBoxStory | Github | YouTube | Group
@TryHackBoxStory | Github | YouTube | Group
❤6🔥1
حریم خصوصی (Privacy) یعنی دیگران بدانند شما کی هستید اما ندانند چه کاری انجام میدهید. ناشناسی (Anonymity) یعنی دیگران بدانند چه کاری انجام میدهید اما ندانند شما کی هستید.
@TryHackBoxStory
@TryHackBoxStory
👍5
فکر_میکردید_لینوکس_از_ویندوز_امنتر_است؟_هکرها_خلاف_این_موضوع_را.pdf
361.3 KB
فکر میکردید لینوکس از ویندوز امن تر است؟ هکرها در شرکتهای ژاپنی خلاف این را ثابت کردند.
@TryHackBoxStory | Github | YouTube | Group
@TryHackBoxStory | Github | YouTube | Group
❤3
۵ ابزار ضروری که هر مدیر IT باید بشناسد 💻
اگه مدیر IT هستید یا دنبال این هستید که مدیریت زیرساختهای فناوری تو سازمانتون راحتتر و حرفهایتر بشه، آشنایی با ابزارهای درست واقعا کمککننده است. این ۵ ابزار کلیدی رو حتما باید بشناسید:
1️⃣ Nagios
– مانیتورینگ شبکه
با Nagios میتونید وضعیت سرورها، سرویسها و شبکه رو لحظهای چک کنید و اگه مشکلی پیش اومد، سریع حلش کنید.
2️⃣ Jira
– مدیریت پروژه و تیم
برای برنامهریزی پروژهها و پیگیری کارهای تیم، Jira یه همراه فوقالعاده است که همه چیز رو سر جای خودش نگه میداره.
3️⃣ Ansible
– اتوماسیون و پیکربندی
با Ansible میتونید سرورها و برنامهها رو خودکار پیکربندی کنید و از خطاهای انسانی جلوگیری کنید.
4️⃣ Splunk
– تحلیل دادهها و لاگها
Splunk کمک میکنه لاگها و دادههای شبکه و سرورها رو تحلیل کنید و مشکلات رو سریعتر پیدا و حل کنید.
5️⃣ Wireshark
– آنالیز شبکه
این ابزار عالیه برای بررسی ترافیک شبکه و پیدا کردن مشکلات ارتباطی و امنیتی.
💡 نکته آخر: وقتی با این ابزارها آشنا باشید، مدیریت IT هم راحتتر میشه و هم حرفهایتر و کمخطاتر.
@TryHackBoxStory
اگه مدیر IT هستید یا دنبال این هستید که مدیریت زیرساختهای فناوری تو سازمانتون راحتتر و حرفهایتر بشه، آشنایی با ابزارهای درست واقعا کمککننده است. این ۵ ابزار کلیدی رو حتما باید بشناسید:
1️⃣ Nagios
– مانیتورینگ شبکه
با Nagios میتونید وضعیت سرورها، سرویسها و شبکه رو لحظهای چک کنید و اگه مشکلی پیش اومد، سریع حلش کنید.
2️⃣ Jira
– مدیریت پروژه و تیم
برای برنامهریزی پروژهها و پیگیری کارهای تیم، Jira یه همراه فوقالعاده است که همه چیز رو سر جای خودش نگه میداره.
3️⃣ Ansible
– اتوماسیون و پیکربندی
با Ansible میتونید سرورها و برنامهها رو خودکار پیکربندی کنید و از خطاهای انسانی جلوگیری کنید.
4️⃣ Splunk
– تحلیل دادهها و لاگها
Splunk کمک میکنه لاگها و دادههای شبکه و سرورها رو تحلیل کنید و مشکلات رو سریعتر پیدا و حل کنید.
5️⃣ Wireshark
– آنالیز شبکه
این ابزار عالیه برای بررسی ترافیک شبکه و پیدا کردن مشکلات ارتباطی و امنیتی.
💡 نکته آخر: وقتی با این ابزارها آشنا باشید، مدیریت IT هم راحتتر میشه و هم حرفهایتر و کمخطاتر.
@TryHackBoxStory
👌1
پایان پشتیبانی مایکروسافت از Exchange 2016 و 2019: تیمهای فناوری اطلاعات اکنون چه باید بکنند؟
برای دههها، Microsoft Exchange ستون فقرات ارتباطات تجاری بوده است و ایمیل، برنامهریزی و همکاری را برای سازمانهای سراسر جهان فراهم میکند. چه به صورت محلی پیاده سازی شده باشد و چه در محیط های ترکیبی، شرکت ها در هر اندازهای برای ارتباطات داخلی و خارجی بدون مشکل به Exchange تکیه میکنند و اغلب آن را به طور عمیق با جریانهای کاری، سیاست های انطباق و فریم ورک های امنیتی خود ادغام می کنند.
https://thehackernews.com/2025/02/microsoft-end-of-support-for-exchange-2016-and-exchange-2019.html
@TryHackBoxStory
برای دههها، Microsoft Exchange ستون فقرات ارتباطات تجاری بوده است و ایمیل، برنامهریزی و همکاری را برای سازمانهای سراسر جهان فراهم میکند. چه به صورت محلی پیاده سازی شده باشد و چه در محیط های ترکیبی، شرکت ها در هر اندازهای برای ارتباطات داخلی و خارجی بدون مشکل به Exchange تکیه میکنند و اغلب آن را به طور عمیق با جریانهای کاری، سیاست های انطباق و فریم ورک های امنیتی خود ادغام می کنند.
https://thehackernews.com/2025/02/microsoft-end-of-support-for-exchange-2016-and-exchange-2019.html
@TryHackBoxStory
🔐 چرا حریم خصوصی در ایمیل اینقدر مهمه؟ (پارت ۱) 🔐
ایمیل یکی از شخصیترین قسمتهای زندگی دیجیتال ماست. اما چرا باید به حریم خصوصی اون اهمیت بدیم؟
✅ محافظت در برابر نظارت: بدون حریم خصوصی، هر ایمیل، چت و جستجوی شما میتونه توسط نهادهای مختلف رهگیری و ثبت بشه.
✅ امنیت دادههای حساس: اطلاعات بانکی، پزشکی، رمزعبورها و... در صورت لو رفتن میتونن منجر به کلاهبرداری مالی یا باجگیری بشن.
✅ آزادی بیان: حریم خصوصی این امکان رو به روزنامهنگاران، فعالان و افراد عادی میده تا بدون ترس از نظارت، نظر خودشون رو بیان کنن.
✅ کنترل روی اطلاعات شما: شرکتها با دادههای شما پروفایل میسازن و ازش برای تبلیغات هدفمند یا حتی تأثیرگذاری سیاسی استفاده میکنن (مثل ماجرای Cambridge Analytica).
✅ پیشگیری از تبعیض: اطلاعات شما میتونه مواردی مثل عقاید سیاسی یا مشکلات سلامتی رو فاش کنه و منجر به تبعیض در محل کار یا هدفگیری اجتماعی بشه.
✅ امنیت دیجیتال: ابزارهای حریم خصوصی مثل ایمیلهای رمزگذاری شده یا VPN، از شما در برابر مزاحمتهای سایبری محافظت میکنن.
✅ آرامش ذهنی: وقتی مطمئن باشیم اطلاعاتمون امنه، با خیال راحتتر از دنیای دیجیتال استفاده میکنیم.
📌 در پارت بعدی راههای انتخاب یک سرویس ایمیل امن و بهترین روشهای محافظت از ایمیل رو براتون میگیم!
🛡 حریم خصوصی حق شماست، از آن محافظت کنید.
✍️نویسنده
@TryHackBoxStory | The Chaos
#Email #Privacy #CyberSecurity
ایمیل یکی از شخصیترین قسمتهای زندگی دیجیتال ماست. اما چرا باید به حریم خصوصی اون اهمیت بدیم؟
✅ محافظت در برابر نظارت: بدون حریم خصوصی، هر ایمیل، چت و جستجوی شما میتونه توسط نهادهای مختلف رهگیری و ثبت بشه.
✅ امنیت دادههای حساس: اطلاعات بانکی، پزشکی، رمزعبورها و... در صورت لو رفتن میتونن منجر به کلاهبرداری مالی یا باجگیری بشن.
✅ آزادی بیان: حریم خصوصی این امکان رو به روزنامهنگاران، فعالان و افراد عادی میده تا بدون ترس از نظارت، نظر خودشون رو بیان کنن.
✅ کنترل روی اطلاعات شما: شرکتها با دادههای شما پروفایل میسازن و ازش برای تبلیغات هدفمند یا حتی تأثیرگذاری سیاسی استفاده میکنن (مثل ماجرای Cambridge Analytica).
✅ پیشگیری از تبعیض: اطلاعات شما میتونه مواردی مثل عقاید سیاسی یا مشکلات سلامتی رو فاش کنه و منجر به تبعیض در محل کار یا هدفگیری اجتماعی بشه.
✅ امنیت دیجیتال: ابزارهای حریم خصوصی مثل ایمیلهای رمزگذاری شده یا VPN، از شما در برابر مزاحمتهای سایبری محافظت میکنن.
✅ آرامش ذهنی: وقتی مطمئن باشیم اطلاعاتمون امنه، با خیال راحتتر از دنیای دیجیتال استفاده میکنیم.
📌 در پارت بعدی راههای انتخاب یک سرویس ایمیل امن و بهترین روشهای محافظت از ایمیل رو براتون میگیم!
🛡 حریم خصوصی حق شماست، از آن محافظت کنید.
✍️نویسنده
@TryHackBoxStory | The Chaos
#Email #Privacy #CyberSecurity
👍2