♦️Six step incedent response process

🐍-سلام‌امروز قراره راجب ۶ تا مرحله و فرایندی که باید طی بشه تا به یه حادثه امنیتی  پاسخ داده بشه صحبت بکنم.

خب اول از همه بهتره بدونیم که پاسخ به یه رخداد امنیتی یعنی چی؟
پاسخ به یه رخداد امنیتی یعنی مجموعه ای از فرایند ها و رویه ها که ما انجام میدیم تا باعث
Identification incident
containment  incident
Eradication incident
Recovery
و درنهایت
Post-incident-analysis

اون حادثه امنیتی بشه .
برای مثال ؛

فرض کنید یه گزارشی از تیم نتورک دریافت کردید مبنی بر infect شدن یه سیستم توسط یه malwear  یا تیم امنیتی تشخیص داده که dns tunneling صورت گرفته و درحال exfilter data هستش خب 🔥
وظیفه تیم incident respons  اینه که به اون incident رخ داده پاسخ بده و دراین شرایط پاسخ به یه رخداد به شکل زیر ادامه پیدا میکنه؛


1.آمادگی ( preparation):
این مرحله قبل از وقوع یه رخداد امنیتی هستش
ما باید تیم رو اماده کنیم ، وظیفه هر شخص توی تیم مشخص بشه ، چک لیست داشته باشیم ، از قبل مانور ها و تمرین هایی کرده باشه تیم،
و از همه مهم تر از قبل باید ابزار هامون اماده باشه

و یه نکته ما بلخره باید از یه جایی متوجه بشم که یه incident رخ داده ما باید تمام اون ابزار های ditection و نیرو( soc ) رو شبکمون داشته باشه تا به بهترین شکل یه رخداد امنیتی را تشخیص بدیم

2. شناسایی (Identification):
توی این مرحله ما اول باید برسی بکنیم اون گزارش false positive یا true positive که با بررسی لاگ‌ها، ترافیک شبکه، و سیستم آلوده برای تأیید حمله
و بعد از اون باید scoping تعیین دقیق محدوده‌ی رخداد صورت بگیره مثال؛
چقدر حادثه بزرگ بوده تا کجا ها پیش رفته و الان درچه مرحله ای هست ( طبق فریم ورک mitr&Attacks ) و چه سیستم های infect شدن و کدوما نشدن کدوما اولیت پاسخ دهی بالایی دارن ، تخمین خسارت و.. که باعث جمع اوری data and evidence ها میشه که بهتر بشناسیم فعالیت ها و رفتار های مخرب رو

3. مهار (Containment):
قرنطینه کردن سیستم آلوده، قطع ارتباط با اینترنت یا DNS خارجی برای جلوگیری از نشت بیشتر داده‌ها ، درواقع ما توی این مرحله تاثیر حمله رو کم میکنیم تا باعث جلوگیری از پیشرفت هکر توی شبکه بشه
که به دوصورت
Short term ;
محار کوتاه مدت مثل  قط ارتباط - مسدود کردن - محدود کردن - که توی کوتاه مدت جلوگیری کنیم از گسترش
Long term ;
محار بلند مدت مثل پچ کردن بازنگری و..

4. پاک‌سازی (Eradication):
حذف بدافزار، بستن آسیب‌پذیری‌ها، و حذف مسیرهای ارتباطی مهاجم مثل دامنه‌های مخرب اگه یوزری ساخته پاک بشه اگه بکدوری هست از بین بره
درواقع remediation هدف بازیابی کامل سیستم و رفع ریشه ای اون حادثه و اسیب پذیری هستش


5. بازیابی (Recovery):
بازگرداندن سیستم به وضعیت پایدار، بررسی کامل برای اطمینان از حذف تهدید
نکته ؛ بکاپ بازگردانده شده برسی بشه که الوده نباشه

6. تحلیل نهایی (Lessons Learned):
مستندسازی حادثه، بررسی نقاط ضعف، و تقویت سیستم‌ها برای جلوگیری از رخدادهای مشابه در آینده



ممنون میشم اگه موردی موندش داخل کامنت ها بهم بگین

چنل تلگرام؛
https://news.1rj.ru/str/ViperNull

چندروز پیش دوباره بحث "شدیدترین حمله سایبری تاریخ ایران" داغ شد و گفتن #اینترنت دیشب به خاطر همین حمله‌ها مختل شده. ولی یه نگاه به آمار رسمی سامانه AI4Pro (از سایت ddos.tic.ir) نشون میده که خیلی از این حرف‌ها بیشتر جنبه تبلیغاتی یا توجیهی داره تا واقعیت!

طبق گزارش‌ها، یکی از حملات جدی که واقعاً ثبت شده مربوط به ۴۰ روز پیشه؛ حمله‌ای که فقط ۲ ساعت و ۳۹ دقیقه طول کشید، اما شدت فوق‌العاده بالایی داشت. تو همون بازه کوتاه، نزدیک به ۵ هزار حمله دفع شده و ۲۲۸ میلیارد بسته داده مسدود شده. پیک حمله هم به حدود ۸۸ گیگابیت بر ثانیه رسید. جالبه بدونین اون روز اصلاً اینترنت کشور محدود نشده بود و دیتاسنترها بدون فیلتر و قطع کار می‌کردن! یعنی شبکه کاملاً باز و آسیب‌پذیر بوده، ولی با اینحال کنترل اوضاع خیلی بهتر از دیشب بوده.

حالا برگردیم به دیشب. گزارش رسمی نشون میده حمله حدود ۲۲ ساعت طول کشیده، ولی فقط حدود ۳۹۰۰ حمله شناسایی شده و بسته‌های دفع‌شده هم حدود ۳۱۳ میلیارد بوده. یعنی تو مدت خیلی طولانی‌تر، تعداد حملات کمتر بوده. حجم پیک حمله هم هرچند بالا بوده (بیش از ۳۱۸ گیگابیت بر ثانیه)، اما وقتی نسبتش رو به کل مدت زمان بگیری، باز هم مشخصه که فشار اون حمله ۲ ساعته خیلی بیشتر بوده.

نوع حملات هم تفاوت خاصی نداشته؛ تو هر دو مورد بیشترش UDP NULL و DNS Amplification بوده، با کمی تفاوت جزئی. تو دیشب حملات متنوع‌تری مثل UDP Flood یا NTP Amplification دیده شده، ولی همچنان بیش از ۹۹٪ حملات از نوع UDP بودن، که قابل کنترل‌ترین نوع حمله محسوب می‌شند.

با همه‌ی این اوصاف، نکته مهم اینه که اون حمله‌ سنگین ۴۰ روز پیش فقط دو تا شرکت آسیاتک و مبین‌نت رو درگیر کرده بود، بدون اینکه اینترنت کشور دچار قطعی گسترده بشه. اما دیشب با وجود حمله‌ای که تو آمار رسمی هم "شگفت‌انگیز" نبوده، اینترنت تو خیلی از نقاط ایران افتضاح شد، طوری که انگار شبکه رو عمدا خفه کرده بودن!

پس اگه بخوایم منصفانه قضاوت کنیم، مشخصه که دیشب خبری از حمله سایبری عجیب‌وغریب نبوده. آمار رسمی هم اینو تأیید می‌کنه. حمله بوده؟ بله. ولی اینکه شدیدترین حمله تاریخ باشه؟ نه، اصلاً. بیشتر شبیه یه پوشش برای چیزی دیگه‌ست.

https://news.1rj.ru/str/ViperNull

xss.is
بسته شد🧨

این فروم خفن روسی که همه‌ی کرکرها و هکرهای درست‌درمون توش می‌چرخیدن و هرچی ابزار و دیتای هکی و اکسپلویت و اینا بود میذاشتن، الان دیگه نیستش. یه مدت پیش همون‌طور که خبر اومد، یکی از کله‌گنده‌هاش رو گرفتن، پلیس فرانسه و یوروپل ریختن سرشون، بعدش یا خودشون فرومو بستن که گیر نیفتن یا کلاً سرورها رو خوابوندن و کل اون جامعه‌ی زیرزمینی یه‌دفعه از هم پاشید.

🚨 CVE‑2025‑47175

📌 اجرای کد بدون کلیک تو PowerPoint: فقط با باز کردن یه فایل PPTX مخرب تو PowerPoint 2019 یا Office 365، مهاجم می‌تونه کنترل سیستم رو بگیره بدون نیاز به هیچ کار اضافه‌ای.

باگ از نوع Use-After-Free تو هندل کردن فایل‌های PowerPoint باعث این آسیب‌پذیری شده.
ترجیحا پاورپوینتتون اپدیت کنید.

⚔️ اکسپلویت:
https://www.exploit-db.com/exploits/52351

تحقیقات شبکه (Network Investigation) یکی از ارکان کلیدی در فرآیند شناسایی و مقابله با بدافزارها است. بدافزارها معمولاً برای برقراری ارتباط با سرورهای فرمان و کنترل (C\&C)، ارسال داده‌های سرقت شده، یا دریافت دستورات، نیازمند تعامل با شبکه هستند. در این مقاله، بر اساس سناریوی عملی، روش‌ها و ابزارهای کلیدی برای شناسایی رفتارهای مخرب از طریق تحلیل شبکه هستش

چرا تحقیقات شبکه مهمه؟

بررسی ترافیک شبکه به تحلیلگر کمک می‌کند فعالیت‌های مخفی بدافزار رو کشف بکنه ، حتی وقتی آنتی‌ویروس‌ها موفق به شناسایی نشن
تحلیل بسته‌های شبکه (Packet Analysis) اطلاعات دقیق درباره مقصد، نوع داده‌های رد و بدل شده، و پروتکل‌ها ارائه می‌دهد.
کشف الگوهای غیرعادی مثل ارتباط با آی‌پی‌های ناشناس، پورت‌های غیرمعمول و دامنه‌های مشکوک.


جمع‌آوری داده‌های شبکه (Data Collection)

Packet Capture:
ابزارهایی مثل Wireshark، tcpdump، یا Network Miner برای ضبط و تحلیل بسته‌های شبکه استفاده میشن
NetFlow/sFlow:
جمع‌آوری داده‌های خلاصه جریان شبکه برای مشاهده الگوهای رفتاری بدون نیاز به ذخیره بسته‌های کامل و سبک
Firewall & Proxy Logs:
ثبت لاگ‌های فایروال و پراکسی که معمولاً درخواست‌های خروجی و ورودی را ردیابی می‌کنن
DNS Logs:
لاگ‌های DNS می‌توانند کمک کنند تا دامنه‌های غیرمعمول یا دامنه‌های ایجاد شده (DGA) شناسایی بشن

شناسایی ترافیک مشکوک

پورت‌های غیرمعمول: در سناریوی ما، پورت‌های ۸۰ (HTTP)، ۸۰۹۰ و ۸۰۸۸ مورد استفاده قرار گرفته‌ان وجود ارتباط روی پورت‌های غیررایج هشداردهنده است
ارتباط با دامنه‌های ناشناس: آدرس‌هایی مثل www1-google-analytics.com:8088 و midnitemeerkats.com که شباهت به دامنه‌های معتبر ندارند.
ترافیک رمزگذاری شده و Base64: اگر داده‌ها رمزگذاری شده یا در قالب Base64 باشند، ممکن است تلاش برای پنهان‌سازی اطلاعات باشد.
فعالیت‌های اسکن یا ارتباطات غیرمعمول: حجم بالا یا درخواست‌های مکرر به سرورهای خارجی که مشکوک میتونه باشه


تحلیل عملی سناریو فرضی

در این سناریو، ترافیک مشکوک توسط بدافزار به چندین پورت متفاوت ارسال شد که نشان از چندکاناله بودن ارتباط یا تغییر مسیر (Fallback) رو داره
دامنه midnitemeerkats.com جهت نمایش یادداشت باج‌افزاری استفاده شده که می‌توانه نشانگر مرحله حمله باشه
استفاده از پورت‌های غیرمعمول مانند ۸۰۸۸ یک روش معمول برای مخفی نگه داشتن ارتباطات بدافزار است

ابزارهای کلیدی تحقیقات شبکه

Wireshark:
برای ضبط و بررسی بسته‌های شبکه، فیلترگذاری ترافیک و شناسایی ارتباطات مشکوک
tcpdump:
ابزار خط فرمانی سبک برای ضبط بسته‌ها در سیستم‌های یونیکس‌مانند.
Zeek (Bro):
تحلیلگر شبکه که قابلیت تشخیص حملات و رفتارهای غیرعادی رو داره
VirusTotal (Network Submission):
ارسال فایل‌ها یا آدرس‌های شبکه برای بررسی سریع توسط آنتی‌ویروس‌های متعدد.
Hybrid Analysis:
برای تحلیل رفتاری فایل‌ها در محیط‌های شبیه‌سازی شده و مشاهده ترافیک تولید شده.


نکات مهم برای SOC Tier 1 در تحقیقات شبکه

همیشه ابتدا رفتار ترافیک شبکه را بر اساس الگوهای معمول محیط کاری خود بشناسید تا بتوانید موارد غیرعادی رو تشخیص دهید.
فیلتر کردن ترافیک خروجی به سمت آدرس‌های خارجی ناشناس یا غیرعادی را به عنوان هشدار در نظر بگیرید.
ترکیب داده‌های لاگ‌ها و تحلیل بسته‌ها کمک می‌کند تا به درک دقیق‌تری از فعالیت مخرب برسید.
ارتباط با تیم‌های دیگر مثل Memory Investigation و Malware Investigation برای رسیدن به تصویر کامل حمله ضروریه
همیشه نمونه‌های مشکوک را در محیط‌های ایزوله یا ماشین‌های مجازی امن تحلیل کنید.



اقدامات پس از شناسایی بدافزار از طریق شبکه

مسدود کردن دامنه‌ها یا IPهای مشکوک در فایروال‌ها
قرنطینه سیستم‌های آلوده و قطع ارتباط آنها از شبکه
بررسی روندهای انتقال داده و توقف ارتباطات مخرب
تحلیل بیشتر با ابزارهای تخصصی و به‌روزرسانی قوانین سیستم‌های تشخیص نفوذ (IDS/IPS)
مستندسازی یافته‌ها و گزارش به تیم‌های بالاتر و مدیریت برای اقدامات بعدی



https://news.1rj.ru/str/ViperNull