پرونده این هفته

بررسی نحوه حکمرانی امنیت سایبری در چین ،قوانین سایبری و دلایل دستکاری در اعلامیه آسیب پذیری ها در دیتابیس ملی آن کشور

امشب ساعت ۲۱
کانال آکادمی آموزش روزبه

@roozbeh_learning 👈🏼

لینک دانلود نسخه کامل ولی ۳۰ روزه برترین نرم افزاز مدیریت ریسک آسیب پذیری از نظر فورستر؛ بنام Rapid7

* قندشکن لازم
https://goo.gl/xmganz
@roozbeh_learning 👈🏼

😢وقتی SAP پس از ۱۴ سال تازه آسیب پذیری های مهمی را پچ میکند، دیگر از بقیه چه انتطاری میشه داشت ؟! امنیت در نرم افرارها جدی گرفته نمیشود.😐
https://goo.gl/hZv6ve
@roozbeh_learning 👈🏼

🕹📚📚📚🖌🖌شروع بررسی پرونده هفته 👇👇

🔹🔮پرونده هفته :

🖌🖌🖌📚📚📚

دستکاری چین در اطلاعات دیتابیس ملی اطلاعات آسیب پذیری


قدم اول :
آشنایی با NVD و CNNVD

کشور چین برای خود یک دیتابیس آسیب پذیری دارد به نام CNNVD که معادل NVD در امریکا است . در این دیتابیس ، آسیب پذیری های کشف شده همراه با درجه خطر و کلیه مشخصات ، درج میگردند و سارمانها و افرادبا مراجعه به این نوع دیتابیس ها؛ از پیدا شدن آسیب پذیری ها مطلع شده و راهکار پیشنهادی برای مقابله را یادمیگیرند یا خود اقدام به تعبیه راهکار میکنند.

برای مثال؛ از NVD یکی از آسیب پدیری ها را میبینیم

https://nvd.nist.gov/vuln/detail/CVE-2017-6737

شماره آسیب پذیری
CVE-2017-6737
درجه اهمیت بالا
وکتور های مختلف اثر رو در لینک میبینید
منابع برای اطلاعات بیشتر و درک روش مقابله هم در لینک امده است .
@roozbeh_learning 👈🏼
لینک همین آسیب پذیری محصول سیسکو را در دیتابیس آسیب پذیری ملی چین میبینیم که همان اطلاعات را دارد .

http://www.cnnvd.org.cn/web/xxk/ldxqById.tag?CNNVD=CNNVD-201706-1230

📚همیشه بخوان

سایت اعلام اسیب پذیری ملی چین
@roozbeh_learning 👈🏼

سایت اعلام اسیب پذیری امریکا
@roozbeh_learning 👈🏼

سایت CNNVD

صفحه اعلام آسیب پذیری مورد اشاره درخصوص سیسکو در سایت CNNVD
@roozbeh_learning 👈🏼

قدم دوم :

مساله از کجا شروع شد ؟

در بررسی هایی که منابع اینترنتی انجام داده اند مشاهده شده است که رکورد هایی در دیتابیس CNNVD؛ تاریخ زمانی یکسانی با رکورد هم نام در دیتابیس NVD ندارد .

این محققان بمدت دوسال این عدم همخوانی را بررسی و مورد پیجویی قراردادند و متوجه شدند این عدم تطابق در مورد آسیب پذیری های از جنس " بالا و خطرناک" اتفاق میافتد.
در نتیجه بررسی مشخص شد اگر چه انومالی هایی دیده میشود، ولی اصولا دیتابیس CNNVD آسیب پدیری های سطح بالا را دیرتر درج میکند اما بعدا تاریخ آنرا با تاریخ NVDهمسان میسازد .
@roozbeh_learning 👈🏼

قدم سوم :
بررسی تولی گری آسیب پذیری ها در امریکا و چین

با اینکه در چین به صراحت عنوان نشده است اما محققان دریافته اند CNNVD که توسط CNITSEC ( مرکز ارزیابی امنیت ) مدیریت میشود؛ اصولا تحت نظر سازمان اطلاعات برون مرزی آن کشور است(MSS) ، چیزی مشابه CIA در امریکا .
با تحقیقات بیشتر مشخص شده است که مسوولیت اطلاعات داخلی نیز با همین سازمان MSS است . شایان ذکر است CNITSEC در جایی به ارتباط خود با MSS اشاره ای نکرده است .

از سوی دیگر در امریکا NVD تحت مدیریت سازمان استاندارد امریکا است که البته پشتیبان NVD به صراحت دپارتمان امنیت ملی امریکا نام برده شده است .( در تصاویر میبینید )
دپارتمان DHS ( امنیت ملی ) وظیفه دفاع از کشور و شهروندان در مقابل تهدیدات و بحران ها را دارد و ذات وظایف آن با CIA که مسوول حفاظت از کشور از طریق جاسوسی در کشور های دیگر است ، فرق میکند .

@roozbeh_learning 👈🏼

تحلیل منابع اینترنتی از ارتباطات

اسکرین شات سایت NVD

ارتباط MSS با APTها

در منابع اینتزنتی از APT هایی نام برده شده است که مرتبط با MSS است ؛ کارهایی مشابه اعمال CIA .

در این خصوص در آینده مینگاریم .
@roozbeh_learning 👈🏼

📚در حال بررسی پرونده هفته هستیم 👇👆

✅نتیجه گیری :

با توجه به ساختار مدیریت CNNVD که تحت نظر یک سیستم جاسوسی است( که سابقه ای هم در تولید APT دارد )نتیجه گرفته شده است که دستکاری در تاریخ های آسیب پدیری ها برای استفاده از اکسپلویت انها بوده است .

توضیح :

دیتابیس CNNVD در چین مرجع اعلام اسیب پذیری ها در داخل چین است و اگر آسیب پدیری و روش برخورد و پچ آن اعلام نگردد ، آن گروه که از آسیب پذیری اگاه است میتواند از ان استفاده لازم را ببرد .
لذا محققان نتیجه گرفته اند اعلام دیر هنگام آسیب پدیری های سطح بالا و دستکاری در تاریخ درج آنها به این دلیل بوده است که MSS قصد داشته است اگر میتواند اول از ان اسیب پدیری ها استفاده کرده و سپس اعلام عمومی شود.

@roozbeh_learning 👈🏼

⏺باتوجه به محدودیت زمانی ، بررسی قوانین این کشور در حوزه سایبری و نحوه عمل و برخود با شرکت های بین المللی به زمانی دیگر موکول میگردد.

موفق ، شاد و سربلند باشید

🌺اکادمی اموزش روزبه ، آخرین پنج شنبه و جمعه خوشی را در سال ۹۶ برای شما ارزومند است
@roozbeh_learning 👈🏼

👆👆🕹📚📚📚🖌🖌پایان بررسی پرونده هفته

محققان یافتند: ۲۹ روش برای نفوذ به کامپیوتر کاربران با USB
جزییات:
https://goo.gl/wEXcmc
@roozbeh_learning 👈🏼

@KasysCo
@roozbeh_learning 👈🏼

💰💰جدول جایزه های اپل برای یافتن آسیب پذیری در محصولاتش

از ۲۵ هزار تا ۲۰۰ هزار دلار

🎊🎉یک باگ در کمپوننت های فریم ور بوت امن پیدا کن ، تا یک میلیارد تومن جایزه بگیر
@roozbeh_learning 👈🏼