Mapping MITRE ATT&CK with Window Event Log IDs

🔍 برای نگاشت Windows Event IDها به تاکتیک‌ها و تکنیک‌های MITRE ATT&CK یه مرجع فوق‌العاده منتشر شده.
این جدول می‌تونه توی Threat Hunting و طراحی رول های SIEM خیلی کاربردی باشه :

🔏مطالعه در SOC Investigation

تیم سورین

💢سرفصل های دوره :
Splunk Clustering & Administrator
زمان دوره :‌۴۸ ساعت


1. Introduction
2. Deploying Splunk
3. Splunk Installation
4. Secure Splunk Enterprise
5. Manage Users & Roles
6. Monitoring Splunk
7. Licensing Splunk
8. Configuration File & Directory Structure
9. Manage indexes
10. Manage ClusterMaster & indexers
11. Create indexes.conf
12. Customize Limits.conf & Servers.conf & …
13. Introduction of Buckets
14. Manage Deployment
Server
15. Configure Basic Forwarding
16. Configure data inputs
17. Configure Search head Cluster & Deployer
18. Install Splunk App & addons in cluster Structure
19. Add Users and Configure
Roles in Cluster Structure
20. Configure Heavy
Forwarder HA
21. Install & Configure
Stream App
22. Splunk Multisite Structure
23. Splunk SmartStore Structure

مدرس : احمرضا نوروزی

تیم سورین

🔍 کارگاه Silence & Kill EDR – DEF CON 33

در این پروژه عملی از DEF CON 33 یاد می‌گیرید چطور Agentهای EDR را شناسایی کرده
(هوک‌ها، لاگ‌ها، ارتباطات) و با تکنیک‌های واقعی آن‌ها را Kill یا Silencing کنید.
همچنین آموزش توسعه ابزار سفارشی (C/C++، BYOVD) در محیط امن و کنترل‌شده ارائه شده است.

مناسب برای Red/Blue Team و Threat Hunters

لینک پروژه:
https://github.com/arosenmund/defcon33_silence_kill_edr

تیم سورین

📢✨ برگزاری دوره تخصصی Splunk Enterprise Security

با تدریس مهندس آهنگری در آموزشگاه نورانت

🔹 یادگیری کامل مفاهیم SIEM و Splunk ES
🔹 پیاده‌سازی یوزکیس‌ها و قوانین امنیتی پیشرفته
🔹 تحلیل رخدادها براساس چارچوب MITRE ATT&CK
🔹 مناسب برای کارشناسان SOC، مدیران امنیت و علاقه‌مندان به حوزه مانیتورینگ و تهدیدیابی

📅 برای مشاهده جزئیات دوره و ثبت‌نام:
🔗 مشاهده دوره در سایت نورانت

تیم سورین

Non-Malware and Living-off-the-Land Tactics in Modern Cyber Operations

«حملات بدون بدافزار و بهره‌برداری از ابزارهای سیستمی در عملیات سایبری مدرن

مهاجمان گاهی از ابزارهای قانونی سیستم (مثل PowerShell, certutil, regsvr32, mshta, PsExec, ProcDump) برای انجام کارهای مخرب استفاده می‌کنند تا ردپای بدافزار جدید نگذارند.

مهاجم‌ها ممکن است بدافزار نسازند و به‌جای آن از ابزارهای قانونی سیستم استفاده ‌کنند. تمرکز ما باید روی «رفتار غیرعادی» این ابزارها باشد.

تیم سورین

Module 1 – Introduction, Installation & Configuration of Splunk ES
1. Introduction to Splunk ES
○ Splunk ES overview
○ Splunk ES architecture and key modules
○ Splunk ES requirements
2. Installation and Configuration of Splunk ES
○ Installing Splunk Enterprise Security
○ General Settings
○ Data Normalization
○ CIM (Common Information Model)
○ Datamodel and Datasets
○ Data Validation
3. Exploring Splunk ES
○ Incident Review Dashboard
○ Security Posture Dashboard
○ Threat Intelligence Framework
○ Identity and Asset Framework
○ Risk-based Analytics Framework
Module 2 – Threat Analysis & Security Content in ES
1. Working with Security Content (Detection Rules)
○ Understanding use cases in ES
○ Enabling ES detection rules
○ Out-of-the-box detection rules
○ Customizing and developing new detection rules
○ Notable Events and Incident Workflow
○ Notable Event investigation scenarios
2. Threat Intelligence in Splunk ES
○ Introduction to the Threat Intelligence Management framework
○ Importing/Exporting TI feeds (STIX, TAXII, etc.)
○ Creating and managing threat artifacts
3. Dashboard-Based Analysis
○ Reviewing security indicators in ES dashboards
○ Using Kill Chain and MITRE ATT&CK mappings
○ Building custom dashboards for SOC teams
Module 3 – Advanced Threat Analysis & Threat Hunting with ES
1. Analyzing Common Attacks in ES
○ Advanced SPL queries for hunting
○ Detecting and analyzing privilege escalation
○ Detecting and analyzing lateral movement
○ Detecting and analyzing data exfiltration
○ Identifying suspicious user behavior
2. Threat Hunting with MLTK (Machine Learning Toolkit)
○ Introduction to MLTK and concepts
○ Using Machine Learning (ML) to threat detection
○ training and applying MLTK models
3. Automation and Integration
○ Integrating Splunk ES with SOAR (e.g., Phantom)
○ Designing playbooks for automated response
○ APIs and integrations with other security tools

🖥 مخزن آموزشی: Awesome Cyber Security University
🎓 دانشگاه امنیت سایبری – یادگیری رایگان و عملی امنیت اطلاعات

این پروژه در گیت‌هاب مجموعه‌ای از بهترین و رایگان‌ترین منابع آموزشی امنیت سایبری را گردآوری کرده است که تمرکز اصلی آن بر یادگیری عملی و پروژه‌محور است.

🔹 ساختار دوره شامل ۶ بخش اصلی است:
1️⃣ مقدمه و مبانی امنیت
2️⃣ مسیر رایگان آموزش تیم قرمز (Red Team) برای مبتدیان
3️⃣ مسیر رایگان آموزش تیم آبی (Blue Team) برای مبتدیان
4️⃣ تمرین‌ها و چالش‌های تکمیلی
5️⃣ جدیدترین آسیب‌پذیری‌ها (CVEها)
6️⃣ چالش‌های سخت و تخصصی – با ترتیب افزایشی سطح دشواری

📎 لینک گیت‌هاب:
github.com/brootware/awesome-cyber-security-university

#CyberSecurity #GitHub #RedTeam #BlueTeam #CVE #SoorinSec #ThreatHunting

تیم سورین

OWASP Smart Contract Top 10 Vulnerabilities (https://github.com/OWASP/www-project-smart-contract-top-10)

]-> OWASP Smart Contract Security Verification Standard (https://owasp.org/www-project-smart-contract-security-verification-standard/)
]-> OWASP Smart Contract Security Testing Guide (https://owasp.org/www-project-smart-contract-security-testing-guide/)

تیم سورین

⚠️ هشدار امنیتی —
PoC برای CVE-2025-56383 (Notepad++ DLL Hijacking)

مخزن عمومی «CVE-2025-56383-Proof-of-Concept» توسط کاربر zer0t0 منتشر شده که یک PoC به زبان C برای بهره‌برداری از ضعف DLL hijacking در Notepad++ (مثال: npp.8.8.3) ارائه می‌کند. روش نمایش‌داده‌شده جایگزینی یک DLL معتبر (مثلاً NppExport.dll) با نسخهٔ جعل‌شده‌ای است که سپس کد دلخواه را اجرا می‌کند — بدیهی است که این رفتار می‌تواند به اجرای کد از راه دور/محلی منجر شود اگر مهاجم به مسیر نصب دسترسی نوشتن داشته باشد.

👨‍💻 نکات مهم و فوری:
• بررسی کنید آیا در شبکه/سرورهای شما Notepad++ نصب است (نسخه‌ها و مسیر نصب).
• دسترسی نوشتن به پوشهٔ نصب را برای کاربران غیرمجاز قطع کنید (Least Privilege).
• checksum/ hash فایل‌های DLL حساس را اعتبارسنجی کنید و تغییرات ناگهانی را لاگ و بررسی کنید.
• اگر امکانش هست، برنامه را به نسخهٔ وصله‌شده ارتقا دهید یا تا رفع رسمی از اجرای بسته‌های نصب محلی خودداری کنید.
• مانیتورینگ: دنبال تغییر روی DLLها و spawn شدن پروسس‌های ناگهانی از طریق Notepad++ باشید.

📌 مرجع:

https://github.com/zer0t0/CVE-2025-56383-Proof-of-Concept

تیم سورین