✍️ یوزکیس اسپلانک برای شناسایی نسخه ایرانی بدافزار Agent Tesla

طبق گزارش منتشرشده از سوی مرکز افتا در تاریخ 5 تیرماه 1400، سازمان‌های زیادی در ایران، هدف بدافزار Agent Tesla قرار گرفته‌اند. معمولا منشا آلودگی، ایمیل‌های جعلی با ظاهر و محتوای قابل باور و حتی محتوای فارسی می‌باشد که خود احتمال به دام افتادن کاربران ایرانی را افزایش می‌دهد.

قابلیت‌های مختلف این بدافزار به تکنیک‌های MITRE ATT&CK نگاشت شده است که از طریق پیاده‌سازی Use Caseهای مرتبط با این تکنیک، می‌توان شناسایی دقیق‌تری از این بدافزار داشت.

در مستند پیوست شده سعی بر آن بوده که یوزکیس اسپلانک متناسب با شواهد متنوع این بدافزار آورده شود. لازم به ذکر است که برای کاهش False Positive، بهتر است بازه زمانی جستجو را از نیمه ی خرداد به بعد درنظر بگیرید.

نمونه قوانین شناسایی اسپلانک:

index="stream-index" sourcetype="stream:smtp" attach_filename{}="KAS-970800-pdf.7z" | table src_ip,sender,receiver{}

index="windows-index" sourcetype="wineventlog*" EventCode=7045 service_name="*tor*" | stats values(service_Name),values(Service_File_Name) by ComputerName

برای دریافت توضیحات و قوانین بیشتر به فایل پیوستی مراجعه نمایید.
#یوزکیس
#شکار_تهدید
♻️ @HyperSec

گزارش شکار نسخه ایرانی بدافزار Agent Tesla

♻️ @HyperSec

✍️ حمله Path Traversal

شکل فوق بخشی از رویداد ثبت شده از حمله path traversal در اسپلانک را نشان می‌دهد. حمله path traversal از جمله حملات تحت وبی است که هدف آن دستیابی به فایل‌ها و دایرکتوری‌های ذخیره شده در خارج از پوشه root وب است که با دستکاری متغیرهای ارجاع داده شده به فایل‌ها از طریق توالی "/.." یا آدرس‌دهی مطلق به مسیر فایل‌ها صورت می‌گیرد. این حمله با نام‌های دیگری چون dot-dot-slash، directory traversal، directory climbing و backtracking نیز شناخته می‌شود.
در مجموعه قوانین ET Pro، چندین قواعد برای شناسایی این حمله وجود دارد که یک نمونه از آن‌ها در زیر مشاهده می‌شود:

alert http $EXTERNAL_NET any -> $HTTP_SERVERS any (msg:"GPL EXPLOIT unicode directory traversal attempt"; flow:to_server,established; content:"/..%c0%af../"; http_raw_uri; nocase; reference:bugtraq,1806; reference:cve,2000-0884; reference:nessus,10537; classtype:web-application-attack; sid:2100981; rev:14;)


#path_traversal_attack
♻️ @HyperSec

✍️ یوزکیس اسپلانک برای شناسایی اکسپلویت CVE-2021-1675

آسیب پذیری PrintNightmare با شناسه CVE-2021-1675 این اجازه را به مهاجم میدهد که با داشتن یک اکانت با سطح دسترسی عادی، بر روی ماشینی که سرویس "Windows Print Spooler" فعال است دسترسی در سطح System بگیرد. Print Spooler یک سرویس ویندوزی است که مدیریت jobهای پرینت را برعهده دارد و بطور پیش فرض بر روی تمام کلاینت و سرورهای ویندوزی (به عنوان مثال Domain Controller) فعال است.

به عبارت دیگر اگر در حال حاضر این سرویس را در شبکه ی خود غیرفعال نکرده باشید هر کدام از کاربران عادی موجود در دامنه، میتوانند سرور DC را بطور کامل در اختیار بگیرد. بنابراین فقط کافیست مهاجم به سیستم یکی از کاربران نفوذ کند (دسترسی فیزیکی، فیشینگ و ...)!

متاسفانه کد اکسپلویت این آسیب پذیری بصورت عمومی در دسترس بوده و مایکروسافت هنوز این آسیب پذیری را وصله نکرده است. بطوریکه بر اساس آزمایش انجام شده، ویندوز سرور 2019 بروزرسانی شده، تحت تاثیر حمله قرار گرفت. بنابراین بهترین راهکار در حال حاضر غیرفعال کردن (disabled نه stopped) این سرویس در کل شبکه مخصوصا سرور و کلاینت های مهم است.
ادامه ...

#CVE_2021_1675 #یوزکیس #اسپلانک
♻️ @HyperSec

✍️ شناسایی سواستفاده از آسیب پذیری Print Spooler

#CVE_2021_1675 #یوزکیس #اسپلانک
♻️ @HyperSec

✍️ شناسایی سواستفاده از آسیب پذیری Print Spooler _ نسخه دوم
در مستند پیوست شده، نسخه دوم قوانین اسپلانک برای کمک به شناسایی PrintNightmare مبتنی بر لاگ های Sysmon و همچنین لاگ های غیر Sysmon آورده شده است.

#CVE_2021_34527 #CVE_2021_1675 #Use_Case #Splunk #print_spooler #PrintNightmare
♻️ @HyperSec

✍️ شناسایی سواستفاده از آسیب پذیری Print Spooler _ براساس ترافیک

شرکت های مختلف امنیتی قوانین خود را در چند روز گذشته منتشر کرده اند. در ادامه یکی از قوانین IDS نوشته شده توسط Proofpoint برای Suricata آورده شده است (مجموعه قوانین تجاری ET Pro):

alert tcp any any -> $Home_NET any (msg:'ETPRO POLICY Observed Windows Printer Spooler Activity Add Printer Driver'; flow:established,to_server; content:'|02|'; content:'|03|'; distance:0; within:5; content:'W|00|i|00|n|00|d|00|o|00|w|00|s|00|'; distance:0; content:'.|00|d|00|l|00|l|00|'; distance:0; content:'|00 00 00 10|'; distance:0; content:'|00 00 80 00|'; distance:0; within:20; content'|00 5c 00|s|00|p|00|o|00|o|00|l|00 5c 00|d|00|r|00|i|00|v|00|e|00|r|00|s|00 5c|'; fast_pattern; classtype:bad-unknown; sid:2849129; rev:2;)

#CVE_2021_34527 #CVE_2021_1675 #IDS #Print_Spooler #PrintNightmare
♻️ @HyperSec

✍️فیلتر کردن لاگ های نویزی در اسپلانک

یکی از مهم ترین بخش های راه اندازی یک SIEM بحث Tuning و کم کردن لاگ های نویزی می‌باشد زیرا که با انجام ندادن این کار، هم منابع زیادی از زیرساخت سازمان مصرف شده و هم کارشناسان و متخصصین واحد مرکز عملیات امنیت (SOC) با حجم زیادی از لاگ های کم اهمیت و بعضاً بی اهمیت مواجه می‌شوند که باعث کاهش تمرکز شده و False Positive ها را افزایش می‌دهد.

پس بهتر است برای بالا بردن دقت Splunk سازمان خود و همچنین بهبود وضعیت امنیت موجود، فرآیند Tuning جدی گرفته شود. یکی از بخش هایی که می‌توان این تغییرات را انجام داد و لاگ های نویزی را دور ریخت، کامپوننت HF یا Heavy Forwarder اسپلانک می‌باشد. مستند حاضر به بررسی این موضوع می پردازد.
#اسپلانک
#لاگ_نویزی
#Heavy_forwarder

♻️ @HyperSec

#اسپلانک
#لاگ_نویزی
#Heavy_forwarder
♻️ @HyperSec

✍️ استفاده از قابلیت Routing در اسپلانک

در پیاده سازی اسپلانک گاهی نیاز می‌شود داده ها را به سمت یک مقصد خاص بفرستیم که با توجه به سناریوهای موجود از دو روش Selective Indexing و Selective Forwarding می‌توان استفاده کرد.

حالت Selective Indexing زمانی اتفاق می‌افتد که به عنوان مثال لاگ ها در HF و یک ایندکس خاص مثل Main قرار دارد و ما می‌خواهیم Reindex کرده و این لاگ ها را در Indexer بر روی یک ایندکس دیگر مثل Test قرار دهیم.
حالت Selective Forwarding زمانی اتفاق می‌افتد که ما می‌خواهیم یک لاگ را با توجه به یک Source، SourceType یا Host فیلتر کرده و لاگ های فیلتر شده را به سمت Indexer های خاص بفرستیم.

در این بخش ما بر روی Selective Forward تمرکز می‌کنیم و در آینده به بخش Selective Indexing نیز اشاره خواهیم کرد.

#اسپلانک
#Routing
#Selective_Forwarding

♻️@HyperSec

#اسپلانک
#Routing
#Selective_Forwarding

♻️@HyperSec

✍️ارزیابی SOC به کمک SOC-CMM

یکی از مهمترین فرآیندهایی که توصیه میشود در دستور کار مراکز امنیت قرار بگیرد، ارزیابی SOC است که به بالا بردن کیفیت و کارایی یک مرکز عملیات امنیت کمک بسیاری میکند. SOC-CMM استانداردی میباشد که به کمک آن میتوان یک مرکز عملیات امنیت را از ابعاد مختلف ارزیابی کرد.

این فرآیند، بلوغ امنیت سازمان را از 5 دیدگاه بررسی می‌کند که شامل Business سازمان، نفرات موجود(People) ، فرآیندها و ارتباطات(Process) ، تکنولوژی های مورد استفاده (Technology) و سرویس هایی که در یک SOC ارائه می‌شود(Services) می‌باشد.

تمام این بررسی ها به صورت پرسش‌های چند گزینه ای بوده که در هر کدام از 5 دامنه، جزئیات تحلیل می‌گردد. در پست بعد، جزییات بیشتری از SOC-CMM آورده شده است.
#SOC_CMM
♻️@HyperSec

✍ وبینار شکار تهدیدات با اسپلانک

هدف از این وبینار، آشنایی مخاطبان با Splunk و همچنین آشنایی با تکنیک ها و روش های شناسایی و تحلیل تهدیدات سایبری با Splunk است.

در این وبینار، به برخی تکنیک های بررسی و تحلیل تهدیدات سایبری از نگاه یک شکارچی تهدید پرداخته می‌شود و مخاطبین آن، تمام علاقه مندان به حوزه امنیت، کارشناسان SOC، متخصصین حوزه Forensic و Hunting و همچنین مدیران امنیتی می‌باشد.

#وبینار #اسپلانک #شکار_تهدید

https://evnd.co/8BEtu

♻️ @HyperSec

✍️ طرح جامع امن سازی زیرساخت های حیاتی

طرح جامع امن سازی مرکز افتا، سازمان های کشور را در 10 دامنه بررسی کرده و سطح بلوغ آنها را در 4 سطح می‌سنجد.
سازمان ها میتوانند با کمک این طرح، سطح بلوغ امنیت خود را اندازه گیری کنند. در ادامه خلاصه ای از دامنه ها و سطوح بلوغ این طرح آورده شده است.

#طرح_جامع_امن_سازی_مرکز_افتا
♻️@HyperSec

✍️ جدول ترکیب چند ماژول مدیریتی در یک Instance اسپلانک

گاهی اوقات در محیط کلاستر شرایط به گونه‌ای است که نیاز است روی یک instance از اسپلانک دو ماژول مدیریتی یا یک ماژول مدیریتی و یک ماژول پردازشی به طور همزمان راه‌اندازی شوند. حتی ممکن است بیش از دو ماژول با هم ترکیب شوند، هر چند این روش توصیه نمی‌شود. با این حال اگر لزومی به استفاده ترکیبی از چند ماژول در یک instance شد، بهتر است بطور دائم منابع مصرفی مانیتور گردند تا overload رخ ندهد.

جدول فوق ماژول‌هایی که می‌توانند با هم ترکیب شوند را نشان می‌دهد. همانطور که مشاهده می‌شود لایسنس سرور، می‌تواند با هر نود دیگری ترکیب شود ولی مستر نود باید مستقل از کلاستر search headها و ایندکسرها راه‌اندازی گردد و همچنین نباید با ماژول deployment server ترکیب شود.
از طرفی deployment server و cluster manager هم باید روی دو instance مختلف اجرا گردند.

#اسپلانک
♻️ @HyperSec

✍سطوح بلوغ امنيتي طبق طرح امن سازي افتا

#سطوح_امنيت
#طرح_جامع_امن_سازی_مرکز_افتا
♻️@HyperSec

✍ اسلاید وبینار نحوه شناسایی تهدیدات با اسپلانک
♻️ @HyperSec