دعوت به همکاری
#soc
#spluk
#soorin

یکی از پرکاربردترین ابزارهای مورد استفاده در شکار تهدیدات سایبری Sysmon نام دارد که به صورت سرویس یا درایور بر روی ویندوز نصب می‌شود.  با استقاده از این ابزار می‌توان وقایع سیستمی، رهگیری Processها، تغییرات روی فایل‌ها و ارتباطات شبکه‌ای را ثبت و به منظور تحلیل به SIEM ارسال کرد. لاگ‌های Sysmon با شناسه 27 و 28 اخیرا به لیست Sysmon اضافه شده است.
لاگ با شناسه 27 زمانی ایجاد می‌شود که Sysmon ایجاد فایل‌های اجرایی مشکوک را شناسایی و مسدود ‌کند.
لاگ با شناسه 28 زمانی ایجاد می‌شود که رفتار مخربی بر روی فایل به نام File Shredding رخ دهد.
تکنیک File Shredding جهت تکه کردن فایل است که پس از حذف تکه های ایجاد شده، امکان بازیابی فایل وجود ندارد.

#sysmon
#soorin
#soc
#security
@hypersec
شرکت دانش بنیان سورین
https://soorinsec.ir

سواستفاده از ابزارهای مجاز ویندوزی

یکی از راه‌های نفوذ مهاجمان به سازمان، استفاده از ابزارهای مجاز و رایج برای انجام عملیات مخرب و دور زدن مکانیزم های امنیتی است. از آنجایی که این ابزارها در White List قرار دارند و مجاز تلقی می‌شوند، مهاجمان می‌توانند به راحتی حساسیت کمتری نسبت به فعالیت های خود ایجاد کنند.
آنها می‌توانند از ابزارهایی مانند GMER، Process Hacker و PC Hunter  جهت مانیتورینگ Process های ویندوز و یافتن اطلاعات Processها با سطح دسترسی بالا استفاده کنند. همچنین، این ترفند، یعنی استفاده از ابزارهای مجاز، می‌تواند راهکاری برای حملات باج افزاری باشند. برای مثال، مهاجم می‌تواند با استفاده از ابزار GMER و PC Hunter ردپای اجرای باج افزار را حذف کند. علاوه بر این، مهاجم با استفاده از ابزار Process Hacker قادر به دستکاری DLL های ویندوزی است که موجب غیرفعال سازی مکانیزم های امنیتی می گردد.
#soorin
#securiry
#soc
#process
#DLL