✍️ جدول ترکیب چند ماژول مدیریتی در یک Instance اسپلانک

گاهی اوقات در محیط کلاستر شرایط به گونه‌ای است که نیاز است روی یک instance از اسپلانک دو ماژول مدیریتی یا یک ماژول مدیریتی و یک ماژول پردازشی به طور همزمان راه‌اندازی شوند. حتی ممکن است بیش از دو ماژول با هم ترکیب شوند، هر چند این روش توصیه نمی‌شود. با این حال اگر لزومی به استفاده ترکیبی از چند ماژول در یک instance شد، بهتر است بطور دائم منابع مصرفی مانیتور گردند تا overload رخ ندهد.

جدول فوق ماژول‌هایی که می‌توانند با هم ترکیب شوند را نشان می‌دهد. همانطور که مشاهده می‌شود لایسنس سرور، می‌تواند با هر نود دیگری ترکیب شود ولی مستر نود باید مستقل از کلاستر search headها و ایندکسرها راه‌اندازی گردد و همچنین نباید با ماژول deployment server ترکیب شود.
از طرفی deployment server و cluster manager هم باید روی دو instance مختلف اجرا گردند.

#اسپلانک
♻️ @HyperSec

✍سطوح بلوغ امنيتي طبق طرح امن سازي افتا

#سطوح_امنيت
#طرح_جامع_امن_سازی_مرکز_افتا
♻️@HyperSec

✍ اسلاید وبینار نحوه شناسایی تهدیدات با اسپلانک
♻️ @HyperSec

✍ فیلم وبینار نحوه شناسایی تهدیدات با اسپلانک

https://aparat.com/v/RTHNV
دوستان میتونن از طریق این لینک، ویدیوی وبینار نحوه شناسایی تهدیدات با اسپلانک رو مشاهده و دانلود کنند.

♻️ @HyperSec

✍️ تجزیه URL از طریق ابزار URL Toolbox

یکی از فیلدهای مهم که در لاگ‌های وب اسپلانک همواره مورد توجه تحلیل‌گران قرار می‌گیرد فیلد URL است. گاهی تجزیه و تحلیل دقیق دامنه‌ها به دلیل پیچیده بودن URLها و نیاز به داشتن دانش در مورد تمامی TLDها کار دشواری است.
ابزارهای مختلفی جهت تسهیل در تجزیه و تحلیل URL وجود دارند. یکی از این ابزارها URL Toolbox می‌باشد که در قالب app در اسپلانک قابل نصب است.

یکی از دستورات پرکاربرد در این app، ماکروی ut_parse_extended(2) است.
همانطور که در شکل فوق مشاهده می‌شود این دستور شامل دو ورودی می‌باشد؛ دامنه و کاتالوگی از TLDهای مختلف که در این مثال از کاتالوگ Mozilla استفاده شده است. پس از اجرای این دستور، تمامی بخش‌های مختلف URL تجزیه شده و هر کدام در قالب فیلدهای مختلف در خروجی قرار می‌گیرند.

#اسپلانک
#url_toolbox
♻️ @HyperSec

✍️معرفي Wazuh

راهکار Wazuh یک پلتفرم رایگان و متن باز بوده که دارای قابلیت‌‌های مختلفی نظیر پیشگیری، شناسایی و پاسخگویی به تهدیدات است.

این پلتفرم توانایی محافظت از محیط‌های مختلفی مانند شبکه‌های داخلی، شبکه‌های مجازی سازی شده (Virtualization)، کانتینرهای داکر و محیط‌های ابری را در خود دارد.
#wazuh

♻️@Hypersec

✍️معرفي راهكار Splunk Phantom

خودکار سازی کارهای تکراری منجر به رسیدگی سریعتر به رخدادهای امنیتی با کمک تشخیص، تنظیم و پاسخ از پیش تعیین شده خواهد شد.

با کمک Splunk Phantom می توانید بار کاری تیم SOC را کم کرده و بسیاری از عملیات تکراری را خودکار نمود. بنابراین تیم SOC صرفا وظیفه رسیدگی به تهدیدات جدید و یا تایید و پیگیری بخشی از مهم ترین تهدیدات تکراری را برعهده دارد.

فانتوم با خودکار سازی، تنظیم و پاسخ سریع به تهدیدات به کمک تیم SOC آمده و آن را تقویت می کند. به کمک فانتوم، تیم SOC میتواند به جای اقدامات طاقت فرسا به کارهای هوشمندانه تر بپردازد.

برای دریافت اطلاعات تکمیلی به این لینک در وبلاگ سورین مراجعه نمایید.
#Phantom #اسپلانک #SOAR

♻️@Hypersec

✍ وبینار خودکارسازی، هماهنگ سازی و پاسخ به رخدادهای امنیتی با Splunk Phantom

هدف از این وبینار، آشنایی مخاطبان با اپلیکیشن Splunk Phantom به عنوان یک راهکار SOAR (پاسخگویی خودکار و هماهنگ سازی عملیات امنیت) است.
هدف از این وبینار، ارایه راهکاری است که بتوان به واسطه آن فعالیت های تکراری و روتین در مرکز عملیات امنیت را حذف و مولفه های مختلف را جهت بهره وری بیشتر با هم هماهنگ کرد.

مخاطبین این وبینار، تمام علاقه مندان به حوزه امنیت، مدیران و کارشناسان SOC و همچنین مدیران بخش های امنیت شبکه سازمان ها و شرکت ها است.

#وبینار #اسپلانک
#Phantom #SOAR

https://evnd.co/fqDrx

♻️ @HyperSec

✍🏻معرفی ماژول FIM (File Integrity Monitoring) در Wazuh

همانطور که از نام آن مشخص است، این ماژول وظیفه‌ی نظارت بر یکپارچگی فایل ها را دارد و با بررسی مداوم فایل ها و مسیرهای مختلف به محققان و کارشناسان امنیتی کمک می‌کند تا اگر تغییری بر روی یک سیستم اعم از تغییر محتوای یک فایل، حذف یک فایل و ... رخ دهد، آنرا شناسایی و بررسی نمایند.

راهكار Wazuh به این صورت عمل می‌کند که در ابتدا، سایز فایل، مجوزها، مالک، زمان آخرین تغییر و هش ها (MD5، SHA1، SHA256) را با Scan اولیه در خود ذخیره می‌کند و هر بار تغییری رخ دهد، با بررسی دوباره، مواردی را که مقدار آنها عوض شده باشد را شناسایی کرده و گزارش می‌دهد.
برای دریافت اطلاعات بیشتر درباره ی زير ماژول هایی که FIM در Wazuh از آنها بهره می‌برد به وبلاگ سورین مراجعه نمایید.

#Wazuh
#FIM
#File_Integrity_Monitoring

♻️@HyperSec

✍🏻بررسی یکی از Playbookهای Phantom (بخش اول)

📩 موضوع: وجود فایل پیوستی آلوده در ایمیل دریافتی


1) دریافت ایمیل (شامل Header و Attachment) از میل سرور به کمک فیلد message_id در دیتامدل Email اسپلانک

2) استخراج جزییات ایمیل همچون نام فایل پیوستی

3) بررسی فایل در سندباکس (بصورت پیش فرض cuckoo)

4) بررسی آلودگی URL احتمالی مرتبط (بصورت پیش فرض در Virustotal و Phishtank)

اگر امتیاز آلودگی از حد آستانه بیشتر شود (مثلا بیش از 3 منبع الودگی را تایید کنند):
بررسی ارتباط کاربران با URL آلوده بوسیله کوئری اسپلانک
| datamodel Web search | search Web.url="{0}"

تبدیل کردن HTTP به HxxP برای جلوگیری از کلیک اشتباه بر روی آدرس آلوده توسط تحلیلگر


#Phantom #SOAR #Splunk

♻️ @HyperSec

✍🏻بررسی یکی از Playbookهای Phantom (بخش دوم)

5) بررسی آلودگی IP احتمالی مرتبط (بصورت پیش فرض در symantec_deepsight)

اگر IP در منابع داده ای آلوده پیدا شد:
بررسی وجود ارتباط کاربران با IP آلوده بوسیله کوئری اسپلانک
| datamodel Network_Resolution search | search DNS.answer="{0}"

6) مهلت 30 دقیقه ای به تحلیلگر برای تعیین اینکه آیا ایمیل آلوده از Mailbox پاک شود یا خیر

اگر پاسخ مثبت بود:
ایمیل پاک میشود
پیغام پاک شدن ایمیل برای دریافت کننده ارسال میشود

#Phantom #SOAR #Splunk

♻️ @HyperSec

✍ اسلاید وبینار Splunk Phantom

♻️ @HyperSec

✍️وبينار استفاده از WAZUH به عنوان EDR

هدف از برگزاری این وبینار بررسی راهکار Wazuh به عنوان یک EDR میباشد که به تحلیل ماژول های مختلف آن پرداخته میشود. در این وبینار ماژول های زیر مورد تست و بررسی قرار میگیرد.
1- Anomaly and Malware Detection
2- File Integrity Monitoring
3- Active Response

مخاطبین این وبینار، تمام علاقه مندان به حوزه امنیت، مدیران و کارشناسان SOC و همچنین مدیران بخش های امنیت شبکه سازمان ها و شرکت ها است.

#WAZUH #FIM #EDR
ثبت نام:
https://evnd.co/VcBXZ

♻️ @HyperSec

✍ شرکت فناوری راه سورین و آکادمی راوین با مشارکت کارشناسان در کلاب هاوس برگزار می‌کنند:
🔘 مدیریت و پاسخ به حوادث سایبری
(با محوریت بررسی حملات اخیر)

☑️محورهای بحث:
➖مدیریت بحران در زمان حمله
➖بررسی حمله سایبری به راه آهن و وزارت راه
➖روش های تشخیص حمله مربوطه
➖اشتراک گذاری نشانه های نفوذ

⏰زمان: پنجشنبه ۲۱ مرداد
🕔 ساعت: ۱۷ الی ۱۸:۳۰
🔗لینک اتاق در کلاب هاوس:
https://www.clubhouse.com/join/ping-channel/yQceV0Pa/xVK9bGBQ

✍ فیلم وبینار استفاده از WAZUH به عنوان EDR

https://www.aparat.com/v/LRkq6/وبینار_استفاده_از_قابلیت_های_Wazuh_به_عنوان_EDR

از طریق این لینک، میتوان ویدیوی وبینار مربوطه را مشاهده و دانلود کرد.

#Wazuh
#EDR
♻️ @HyperSec

✍️بررسی ماژول Active Response در راهکار Wazuh

این ماژول یکی از بخش های تشکیل دهنده ی راهکار Wazuh می‌باشد که کمک می‌کند تا در صورت وقوع یک حادثه، Actionهای از پیش تعیین شده فعال و اعمال شود. این قابلیت که در فرآیند Incident Response مورد استفاده قرار می‌گیرد، به دو دسته Stateful و stateless تبدیل می‌شود.
در حالت Stateless، تنها یک بار Action مورد نظر اعمال می‌شود اما در حالت Stateful می‌توان مشخص کرد که در بازه زمانی مختلف این Action رخ دهد.

به عنوان مثال اگر یک IP به سیستم ما درخواست دهد و باعث ایجاد چندین Login Failed شود، در حال Stateful می‌توان مشخص کرد که پس از چندین Login Failed به مدت چند ساعت دسترسی آن IP را قطع کرده و سپس دوباره به آن اجازه اتصال دهد اما در حالت Stateless برای همیشه دسترسی آن IP به مقصد موردنظر بسته خواهد شد.

در پست های بعدی در رابطه با اسکریپت ها و Actionهای این ماژول بیشتر توضیح داده خواهد شد.
#Incident_Response
#Wazuh

♻️ @HyperSec

✍️بررسی Actionهای ماژول Active Response در راهکار Wazuh

همانطور که در پست قبلی اشاره شد، ماژولActive Response وظیفه اجرای Actionهای تعریف شده در صورت وقوع یک حادثه را برعهده دارد. این Actionها به صورت پیش‌فرض شامل اقداماتی نظیر بستن یک IP، غیرفعال کردن حساب یک کاربر، Restart کردن ماژولossec و غیره می‌باشد که این موارد در تصویر فوق مشخص شده است.
این Actionها در سیستم عامل هایی نظیر ویندوز و لینوکس کاربرد دارد که تعداد Scriptها در سیستم های لینوکسی، بیشتر از ویندوز می‌باشد اما قابلیت توسعه و یا تغییر آن‌ها با توجه به نیازهای کاربران امکان پذیر است.

لینک زیر توضیح دقیق تری از هر Action را ارائه می‌دهد.
https://documentation.wazuh.com/current/user-manual/capabilities/active-response/how-it-works.html

#Wazuh
#Active_Response

♻️@HyperSec

✍️ معرفی راهکار Velociraptor

راهکار Velociraptor به عنوان یک ابزار شکار تهدید، فارنزیک و پاسخ به حادثه محسوب میشود که اشراف شما را بر روی Endpointهای موجود در شبکه افزایش میدهد. Velociraptor، ترکیبی از دو ابزار GRR و OSQuery بوده و هر سه نوع پلتفرم Windows، Linux و macOS را پشتیبانی میکند.
جالب است بدانید که این پروژه ی متن باز چند ماه پیش، توسط Rapid7 خریداری شد.

این ابزار به کمک موتور VQL یا Velociraptor Query Language این امکان را به کاربر میدهد که عملیات جمع آوری و تحلیل شواهد بصورت یکپارچه در کل شبکه، با سرعتی بالا و با کمترین تاثیر منفی بر روی Endpoint انجام شود.

برای دریافت اطلاعات بیشتر در مورد این ابزار به وبلاگ سورین مراجعه نمایید.

#Velociraptor #Forensic #Threat_Hunting #Incident_Response

@HyperSec

✍️ماژول Vulnerability Detector در راهکار Wazuh

راهکار Wazuh با استفاده از ماژول Vulnerability Detector می‌تواند آسیب پذیری های برنامه های نصب شده بر روی Clientها را تشخیص و آنها را گزارش دهد. برای شناسایی این آسیب پذیری ها، ابتدا Agentهای Wazuh شروع به اسکن برنامه های نصب شده بر روی سیستم عامل میکنند و لیست آنها را به صورت دوره ای به سمت سرور Wazuh ارسال می‌کنند و این اطلاعات در یک پایگاه داده که از نوع Sqlite می‌باشد ذخیره می‌گردد. همچنین سرور Wazuh از طریق پایگاه داده های مختلف، لیستی از CVEها را جمع آوری و درون خود ذخیره می‌کند و به کمک آن، آسیب پذیری های موجود را شناسایی می­نماید. همچنین می­توان این پایگاه داده را به ­گونه ای پیکربندی نمود تا به صورت دوره ای و خودکار، به روز رسانی شده و جدید ترین CVE ها را دریافت کند.
برای خواندن ادامه مقاله و شناخت بیشتر این ماژول همراه با اطلاعات دقیق تر به وبلاگ سورین مراجعه فرمایید.
#Wazuh
#Vulnerability_Detection

♻️@HyperSec