آکادمی آموزش روزبه 📚

Public

نمی‌توانید بپیوندید؟ @roozbeh_learning

۳.۸k عضو

به‌روزرسانی شده: May 16, 2026 at 7:04 AM

آکادمی آموزش روزبه 📚

🍎آموزش و ترویج علمی فناوری اطلاعات ، امنیت و مدیریت پروژه های مرتبط 🍁 و کمی هم اخلاق و انسانیت Training of Information Technology, Cyber Security, Project Management, Ethics and Humanitarian ارتباط با مدیر کانال: @roozbehadm

Join @roozbeh_learning for exclusive management and roozbehadm content and discussions in 23

رتبه‌بندی

رتبه‌بندی جهانی

#456

رتبه‌بندی زبان

#45

رتبه‌بندی دسته‌بندی

#23

-1

رشد مشترکان (6 روز گذشته)

مجموع: 3.8K

رشد 24 ساعت: +0 0%

آخرین پست‌ها

آکادمی آموزش روزبه 📚

۳۱ اردیبهشت ۱۴۰۵، ۲۰:۳۳

📎 File

IR playbook

542

آکادمی آموزش روزبه 📚

۳۱ اردیبهشت ۱۴۰۵، ۲۰:۳۳

📎 File

2026 GLOBAL THREAT REPORT

461

آکادمی آموزش روزبه 📚

۳۱ اردیبهشت ۱۴۰۵، ۲۰:۳۳

وقتی رفتار عادی کاربر به Execution Path تبدیل می‌شود

برداشت من از مقاله لینک زیر

یکی از خطرناک‌ترین سوءبرداشت‌ها در امنیت سایبری این است که فقط رفتارهای «غیرعادی» یا ابزارهای پیچیده می‌توانند منجر به compromise شوند. در حالی‌که بسیاری از حملات مدرن دقیقاً از دل رفتارهای روزمره کاربران شکل می‌گیرند.
آسیب‌پذیری Command Injection در Context Menu ویندوز نمونه بسیار خوبی از این واقعیت است.
عملی کاملاً طبیعی مانند Shift + Right Click روی یک پوشه و انتخاب گزینه «Open PowerShell window here» می‌تواند به execution ناخواسته کد منجر شود. مسئله اصلی نه PowerShell است و نه حتی privilege escalation؛ بلکه این واقعیت است که یک interaction عادی کاربر، به execution path تبدیل شده است.
این دقیقاً همان بخشی است که در بسیاری از Threat Modelها نادیده گرفته می‌شود.
اغلب تیم‌ها هنگام طراحی دفاع امنیتی روی مواردی مانند malware execution، exploit chain یا persistence تمرکز می‌کنند؛ اما کمتر این سؤال را می‌پرسند:
«کدام رفتار عادی کاربر می‌تواند به surface اجرای کد تبدیل شود؟»
در دنیای واقعی، مهاجمان الزاماً به دنبال exploitهای پیچیده kernel نیستند. گاهی کافی است فرآیندی پیدا کنند که:
کاربر به آن اعتماد دارد،
به‌صورت روزمره استفاده می‌شود،
و در پشت‌صحنه command construction ناامن انجام می‌دهد.
همین mindset باعث شده در سال‌های اخیر تکنیک‌های Living-off-the-Land اهمیت بیشتری پیدا کنند؛ زیرا مهاجم از ابزارها و workflowهای legitimate سیستم علیه خود سیستم استفاده می‌کند.
نمونه ای که گفته شد یک درس مهم برای معماران امنیت، SOCها و حتی توسعه‌دهندگان دارد:
هر UI action، context menu، automation flow یا helper script می‌تواند عملاً بخشی از attack surface باشد؛ حتی اگر سال‌ها «قابلیت عادی سیستم‌عامل» تلقی شده باشد.
در امنیت مدرن، صرفاً بررسی executableها کافی نیست؛ باید مسیرهای تبدیل «رفتار عادی» به «execution» را هم مدل‌سازی کرد.



https://specterops.io/blog/2026/05/07/shift-happens-uncovering-two-built-in-command-injections-in-windows-context-menus/

آکادمی آموزش روزبه 📚

۳۱ اردیبهشت ۱۴۰۵، ۲۰:۳۳

سایت http://lolrmm.io/ یک منبع فوق‌العاده (و رایگان) برای مهندسان تشخیص (Detection Engineers) است تا بتوانند کشف های سفارشی ایجاد کنند که در صورت نصب هرگونه ابزار Remote Monitoring and Management (RMM) یا Remote Desktop / Remote Support روی دسکتاپ‌ها یا سرورهای شما، به SOC هشدار بدهد.
اگر در سازمان شما سیاستی وجود دارد که مشخص می‌کند چه ابزارهای ریموتی مجاز هستند و چگونه باید نصب شوند، این ابزار به شما کمک می‌کند هر زمان که مهاجمان از این ابزارها برای دسترسی به شبکه سوءاستفاده می‌کنند، آن را شناسایی کنید.
#تجربه
مهاجمان در سطح گسترده همچنان با نرخ بالایی از این ابزارهای RMM/RDS سوءاستفاده می‌کنند. بنابراین تمرکز روی طراحی و پیاده‌سازی این نوع دتکشن‌ها، هم ارزشمند است و هم استفاده‌ی بهینه‌ای از زمان محدود مهندسی تشخیص شما محسوب می‌شود.

663

آکادمی آموزش روزبه 📚

۳۱ اردیبهشت ۱۴۰۵، ۲۰:۳۳

برنامه CI Fortify از سوی Cybersecurity and Infrastructure Security Agency نشان‌دهنده یک تغییر پارادایم مهم در امنیت زیرساخت‌های حیاتی است؛ تغییری از تمرکز صرف بر «پیشگیری از نفوذ» به سمت «تاب‌آوری در شرایط نفوذ». این رویکرد به‌ویژه در حوزه Industrial Control Systems اهمیت دارد، جایی که اختلال در سرویس می‌تواند پیامدهای فیزیکی و اجتماعی گسترده‌ای ایجاد کند.

مقوله CI Fortify بر این فرض استوار است که در سناریوهای واقعی - به‌خصوص در بحران‌های ژئوپلیتیکی- مهاجمان ممکن است از قبل در شبکه حضور داشته باشند و ارتباطات خارجی نیز ناپایدار یا قطع شوند. بنابراین، سازمان‌ها باید معماری خود را به‌گونه‌ای طراحی کنند که حتی در شرایط compromise نیز بتوانند خدمات حیاتی را ادامه دهند. این شامل ایزوله‌سازی سیستم‌های حساس، کاهش وابستگی به سرویس‌های بیرونی و طراحی برای «عملیات در حالت کاهش‌یافته» است.

از منظر عملیاتی، این رویکرد با مفاهیمی مانند Cyber Resilience و طراحی مبتنی بر failure هم‌راستا است. در این مدل، موفقیت امنیتی نه در جلوگیری کامل از نفوذ، بلکه در توانایی حفظ عملکرد و بازیابی سریع تعریف می‌شود. در نهایت، CI Fortify سازمان‌ها را وادار می‌کند که امنیت را نه به‌عنوان یک لایه دفاعی، بلکه به‌عنوان بخشی از طراحی سیستم و تداوم کسب‌وکار ببینند.

https://www.cisa.gov/topics/industrial-control-systems/ci-fortify

608

آکادمی آموزش روزبه 📚

۳۱ اردیبهشت ۱۴۰۵، ۲۰:۳۳

📎 File

Crowdstrike threat hunting report 2025

502

آکادمی آموزش روزبه 📚

۳۱ اردیبهشت ۱۴۰۵، ۲۰:۳۳

📎 File

یک کتابچه عملیاتی برای ساخت هوش مصنوعی عامل‌گرا (Agentic AI) در حوزه امنیت سایبری است. این راهنما با کنار گذاشتن فریم‌ورک‌های قدیمی‌تر مانند LangChain، منحصراً بر استفاده از پایتون، Claude Agent SDK و پروتکل MCP تمرکز دارد.

هدف اصلی سند، آموزش توسعه ایجنت‌های هوشمند برای اجرای وظایف واقعی امنیتی مانند ارزیابی آسیب‌پذیری‌ها، تریاژ تهدیدات و پاسخ به حوادث (IR) است. علاوه بر توسعه، این کتابچه اهمیت ویژه‌ای به امنیتِ خود ایجنت‌ها داده و نحوه مقابله با حملات اختصاصی هوش مصنوعی نظیر Prompt Injection و مسموم‌سازی ابزارها را آموزش می‌دهد.

650

آکادمی آموزش روزبه 📚

۳۱ اردیبهشت ۱۴۰۵، ۲۰:۳۳

تبعات لو رفتن کد منبع Trellix

لو رفتن کد منبع یکی از شرکت‌های امنیتی مانند Trellix می‌تواند پیامدهای جدی و بحرانی برای امنیت سایبری و اعتبار شرکت داشته باشد. در زیر به برخی از تبعات اصلی این موضوع اشاره می‌شود:
1. بروز آسیب‌پذیری‌ها

کد منبع لو رفته به هکرها و مجرمان سایبری این امکان را می‌دهد که نقاط ضعف را شناسایی کرده و از آن‌ها سوءاستفاده کنند. این موضوع می‌تواند منجر به گسترش حملات مبتنی بر آسیب‌پذیری‌های موجود در نرم‌افزار شود.
2. خطر تقلب و جعل

مهاجمان می‌توانند از کد لو رفته برای تولید نسخه‌های جعلی محصول استفاده کنند، که می‌تواند به کاربران آسیب برساند و به اعتبار برند لطمه بزند.
3. از دست رفتن اعتماد

این حادثه می‌تواند اعتماد مشتریان و شرکا را به شدت کاهش دهد. رابطه‌ی طولانی‌مدت شرکت با مشتریان ممکن است به خطر بیفتد و این امر می‌تواند به کاهش فروش و درآمد منجر شود.
4. مسائل قانونی

بسته به نوع اطلاعاتی که در کد وجود دارد، این لو رفتن می‌تواند تبعات قانونی به همراه داشته باشد، نظیر دعاوی حقوقی از سوی مشتریان یا شرکای تجاری.
5. نیاز به پشتیبانی فوری

شرکت ممکن است نیاز به اجرای تغییرات حاد و فوری برای مقابله با تبعات این حادثه داشته باشد، از جمله به‌روزرسانی نرم‌افزارها، اعلام خطر به مشتریان، و اجرای برنامه‌های امنیتی جدید.
6. مسایل مالی

اشکال در اعتبار و کاهش فروش می‌تواند منجر به هزینه‌های مالی چشمگیری برای شرکت شود، زیرا آنها ناچار به سرمایه‌گذاری در امنیت و تبلیغات مجدد برند خواهند بود.

https://thehackernews.com/2026/05/trellix-confirms-source-code-breach.html?m=1

723

آکادمی آموزش روزبه 📚

۳۱ اردیبهشت ۱۴۰۵، ۲۰:۳۳

#استخدام

کارشناس امنیت شبکه

تسلط بر فورتی گیت و R&S

ارسال رزومه [email protected]

لطفا ارسال کنید تا به دوستان بیشتری برسد

670

آکادمی آموزش روزبه 📚

۳۱ اردیبهشت ۱۴۰۵، ۲۰:۳۳

استویج و مجازی سازی -- فوق ارشد

دریافتی: 120 م خالص

[email protected]

655

آکادمی آموزش روزبه 📚

۱۷ اردیبهشت ۱۴۰۵، ۰۷:۲۷

موضوع تز کارشناسی ارشد

با توجه به قطعی اینترنت مجبور شدم کمک بیشتری به دانشجویانم در مقطع کارشناسی ارشد داشته باشم . در خلال این موارد ، موضوعات مختلفی برای تز رو بررسی کردیم . اونهایی که دانشجوها بنا به دلیلی انتخاب نکردن رو اینجا میگذارم

تشخیص حملات پیشرفته پایدار (APT) با استفاده از مدل‌سازی گراف رفتاری و ترکیب Graph Neural Networks و مدل‌های زبانی بزرگ

در این پژوهش، هدف توسعه یک سیستم پیشرفته برای شناسایی حملات پیچیده و APT با ترکیب تحلیل گراف و مدل‌های زبانی بزرگ است. سامانه‌های امنیتی سنتی معمولاً رویدادها را جداگانه تحلیل می‌کنند و به همین دلیل در برابر حملاتی که به‌صورت تدریجی، پنهان و بدون شاخص‌های واضح انجام می‌شوند ناکارآمد هستند. در این تحقیق، به‌جای تحلیل Eventهای مستقل، رفتار مهاجم به‌صورت گراف رفتاری (Behavior Graph) مدل‌سازی می‌شود؛ گرافی که در آن رابطه میان پردازش‌ها، فایل‌ها، جریان‌های شبکه و فعالیت کاربران به‌صورت ساختاری نمایش داده می‌شود. سپس با استفاده از شبکه‌های عصبی گرافی (GNN) الگوهای پنهان استخراج می‌گردد و مدل قادر می‌شود رفتارهای مشکوک و مشابه حملات Zero-Day را تشخیص دهد. در ادامه، یک مدل زبانی بزرگ (LLM) خروجی تحلیل گراف را تفسیر کرده و تاکتیک‌های احتمالی مهاجم را بر اساس MITRE ATT&CK مشخص می‌کند و حتی مسیر احتمالی ادامه حمله را پیش‌بینی می‌نماید. نوآوری این پژوهش در ترکیب هم‌زمان GNN و LLM و تمرکز بر «تحلیل رفتار» به‌جای «رویداد» است، که آن را در سطح تحقیقات دانشگاه‌های عالی قرار می‌دهد. این مدل می‌تواند مبنای سیستم‌های هوشمند آینده در حوزه Threat Hunting و Forensics باشد.

432

آکادمی آموزش روزبه 📚

۱۷ اردیبهشت ۱۴۰۵، ۰۷:۲۷

«آخرالزمان امنیت سایبری» یا آغاز یک عصر جدید؟ نگاهی به حملات Agentic و صنعتی‌شدن Exploitation

در سال‌های اخیر، امنیت سایبری وارد مرحله‌ای شده که برخی آن را با عنوان «آخرالزمان امنیت سایبری» توصیف می‌کنند؛ اما واقعیت دقیق‌تر این است که ما با یک تغییر پارادایم در مدل حمله و دفاع مواجه هستیم، نه پایان امنیت.

مفهوم جدیدی که در ادبیات امنیتی مطرح شده، Industrialized Exploitation و Agentic Offensive Security است. در این مدل، هوش مصنوعی دیگر فقط یک ابزار کمکی برای مهاجمان نیست، بلکه به یک «عامل مستقل» تبدیل می‌شود که می‌تواند چرخه کامل حمله را مدیریت کند: از شناسایی هدف و کشف آسیب‌پذیری تا اجرای حمله و استخراج داده.

این تحول چند پیامد مهم دارد:

اول اینکه، هزینه ورود به دنیای حملات سایبری به شدت کاهش می‌یابد. مهاجمان کم‌مهارت نیز با دسترسی به ابزارهای هوشمند می‌توانند حملاتی در سطح حرفه‌ای اجرا کنند. دوم اینکه، سرعت حملات افزایش می‌یابد؛ به‌طوری‌که فاصله بین کشف آسیب‌پذیری و بهره‌برداری از آن می‌تواند به حداقل برسد.

اما مهم‌ترین تغییر، مقیاس‌پذیری حملات است. در گذشته، یک مهاجم محدود به توان انسانی خود بود، اما اکنون یک Agent می‌تواند هزاران هدف را به‌صورت همزمان بررسی و علیه آن‌ها اقدام کند. این موضوع، مفهوم «حمله صنعتی» را واقعی می‌کند.

با این حال، این وضعیت به معنای فروپاشی امنیت نیست. همان‌طور که حمله هوشمندتر شده، دفاع نیز در حال تحول است. سازمان‌ها به سمت دفاع مبتنی بر AI، اتوماسیون SOC، و سیستم‌های تصمیم‌گیری خودکار حرکت می‌کنند. در واقع، آینده امنیت سایبری به سمت یک رقابت Agent علیه Agent پیش می‌رود.

جمع‌بندی این است که «آخرالزمان امنیت سایبری» تعبیر دقیقی نیست؛ بلکه ما وارد دوره‌ای شده‌ایم که در آن سرعت، مقیاس و هوشمندی، قواعد بازی امنیت را بازنویسی می‌کنند. سازمان‌هایی موفق خواهند بود که این تغییر را نه تهدید، بلکه یک بازطراحی بنیادی در مدل دفاعی خود ببینند.

361

آکادمی آموزش روزبه 📚

۱۷ اردیبهشت ۱۴۰۵، ۰۷:۲۷

اهمیت سرویس‌های Threat Intelligence در شناسایی تهدیدات اسکریپتی

در سال‌های اخیر، بدافزارهای اسکریپتی مانند PowerShell و VBScript به یکی از رایج‌ترین ابزارهای مهاجمان سایبری تبدیل شده‌اند. این نوع تهدیدات اغلب با تکنیک‌های پیچیده پنهان‌سازی اجرا می‌شوند و شناسایی آن‌ها تنها با ابزارهای سنتی امنیتی ممکن نیست. تصور کنید تیم امنیتی یک سازمان در لاگ‌های سیستم، اجرای یک فرمان PowerShell رمزگذاری‌شده را مشاهده کند. پس از رمزگشایی، مشخص می‌شود که فرمان قصد دارد اسکریپتی را از یک سایت ناشناس دانلود کند. با وجود این شواهد، هنوز پرسش‌های مهمی بی‌پاسخ می‌مانند: آیا این دامنه قبلاً در حملات استفاده شده است؟ آیا این رفتار نشانه یک کمپین گسترده است؟ آیا سیستم‌های دیگر نیز در معرض خطر قرار گرفته‌اند؟

در چنین شرایطی، نقش سرویس‌های Threat Intelligence مانند Google Threat Intelligence آشکار می‌شود. با جستجوی ساده دامنه یا بخشی از کد، این سرویس می‌تواند اطلاعات دقیقی از سوابق حملات مرتبط، زیرساخت‌های مهاجم، نسخه‌های مشابه بدافزار و دامنه‌های جایگزین ارائه دهد. این سطح از دید، امکان تحلیل سریع، دقیق و مبتنی بر داده را فراهم می‌کند و زمان تشخیص و پاسخ به حادثه را به‌طور چشمگیری کاهش می‌دهد.

بنابراین، استفاده از یک سرویس TI تنها یک گزینه تکمیلی نیست؛ بلکه بخشی حیاتی از راهبرد امنیت سایبری هر سازمان است. در برابر تهدیداتی که هر روز پیچیده‌تر می‌شوند، داشتن اطلاعات لحظه‌ای و معتبر از چشم‌انداز تهدیدات جهانی، تنها راه باقی‌مانده برای محافظت مؤثر از شبکه‌ها و داده‌هاست.

Solution to approach realtime and accurate detection for new attack

359

آکادمی آموزش روزبه 📚

۱۷ اردیبهشت ۱۴۰۵، ۰۷:۲۷

#تجربه

آخر هفته پیش در حال مرور فید لینکدین بودم که چندین پست درباره سختی تشخیص نفوذها، به‌خصوص حملات باج‌افزاری، دیدم. در بیشتر این پست‌ها گفته می‌شد چون مهاجمان از ابزارهای «معتبر» سیستم‌عامل یا همان LOLBins استفاده می‌کنند، شناسایی آن‌ها بسیار دشوار است. معمولاً مثال‌هایی مثل powershell.exe یا bitsadmin.exe هم مطرح می‌شود. اما تجربه‌ای که در یکی از بررسی‌های Incident داشتم باعث شد نگاه متفاوتی به این موضوع پیدا کنم.

در آن بررسی متوجه شدیم از powershell برای دانلود و اجرای یک فایل مشکوک استفاده شده است. در نگاه اول ممکن است تصور شود چون این ابزار بخشی از خود ویندوز است، تشخیص سوءاستفاده از آن کار سختی است. اما من معمولاً تحلیل را با یک سؤال ساده شروع می‌کنم: آیا اصلاً در زیرساخت‌مان از این ابزار استفاده می‌کنیم؟

اگر پاسخ «خیر» باشد، کار خیلی ساده می‌شود. اجرای ابزاری که در فرآیندهای عادی سازمان استفاده نمی‌شود، به‌تنهایی می‌تواند یک نشانه مهم برای بررسی باشد. اما اگر پاسخ «بله» باشد، باز هم موضوع غیرقابل تشخیص نیست؛ فقط باید دقیق‌تر نگاه کنیم. باید بدانیم چه کسانی از این ابزار استفاده می‌کنند، در چه سناریوهایی، روی کدام سیستم‌ها و با چه الگوی رفتاری.

برای مثال، اگر bitsadmin فقط روی چند سرور مشخص برای انتقال فایل‌های داخلی استفاده می‌شود، اجرای همان ابزار روی سیستم یک کاربر عادی باید فوراً توجه تیم امنیت را جلب کند. در واقع مسئله این نیست که ابزار «معتبر» است یا نه؛ مسئله این است که آیا استفاده از آن با الگوی معمول سازمان همخوانی دارد یا خیر.

در تجربه من، مهم‌ترین عامل در تشخیص بسیاری از تهدیدها شناخت دقیق رفتار نرمال زیرساخت است. وقتی بدانیم چه چیزی در محیط ما طبیعی است، هر رفتار غیرعادی- حتی اگر با ابزارهای کاملاً قانونی انجام شود-خیلی سریع قابل شناسایی خواهد بود.

**نام ابزارها عوض شده است.

433

آکادمی آموزش روزبه 📚

۱۷ اردیبهشت ۱۴۰۵، ۰۷:۲۷

📎 File

سوء استفاده ها از DNS گزارش روز

330

آکادمی آموزش روزبه 📚

۱۷ اردیبهشت ۱۴۰۵، ۰۷:۲۷

infoblox-2025-dns-threat-landscape-reportpdf.pdf

385

آکادمی آموزش روزبه 📚

۱۷ اردیبهشت ۱۴۰۵، ۰۷:۲۷

📎 File

مایند مپ مدیر امنیت

ثبت نام دوره مدیر امنیت 09902857290

452

آکادمی آموزش روزبه 📚

۱۷ اردیبهشت ۱۴۰۵، ۰۷:۲۷

مقایسه تحلیلی fast16 و Stuxnet در تکامل خرابکاری سایبری

بدافزار fast16 را می‌توان یکی از نخستین نمونه‌های «خرابکاری دقیق» در فضای سایبری دانست که حدود پنج سال پیش از استاکس‌نت ظهور کرد. این ابزار با تمرکز بر دستکاری محاسبات مهندسی، به‌جای تخریب مستقیم سیستم، «درستی داده‌ها» را هدف قرار می‌دهد. در مقابل، استاکس‌نت با عبور از لایه نرم‌افزار، به کنترل مستقیم فرآیندهای صنعتی و تجهیزات فیزیکی می‌رسد. این تفاوت، نشان‌دهنده گذار مهمی از حملات مبتنی بر اختلال در ادراک به حملات تأثیرگذار بر دنیای واقعی است.
از منظر رفتاری، fast16 با patch کردن توابع محاسباتی و ایجاد خطاهای subtle، خروجی‌هایی تولید می‌کند که ظاهراً معتبر اما در واقع نادرست هستند. این خطاها حتی در صورت بررسی متقاطع نیز پایدار می‌مانند. در مقابل، استاکس‌نت با جعل داده‌های سنسوری و پنهان‌سازی رفتار واقعی، اپراتورها را فریب می‌دهد در حالی که تجهیزات در حال آسیب دیدن هستند.
از نظر تکاملی، fast16 را می‌توان مرحله‌ای اولیه در توسعه حملات سایبری پیشرفته دانست که تمرکز آن بر تخریب «مدل ذهنی» تحلیل‌گران است، در حالی که استاکس‌نت این رویکرد را به سطح «تخریب فیزیکی» ارتقا می‌دهد. در مجموع، این دو نمونه نشان می‌دهند که تهدیدات مدرن نه‌تنها زیرساخت‌ها، بلکه اعتماد به داده و تصمیم‌گیری انسانی را نیز هدف قرار می‌دهند.

404

آکادمی آموزش روزبه 📚

۱۷ اردیبهشت ۱۴۰۵، ۰۷:۲۷

🎯 بحث Detection Logic حرفه‌ای: توازن میان هزینه و ریسک

در بسیاری از مراکز عملیات امنیت (SOC)، تمرکز بیش از حد بر کاهش False Positive (FP) به یک رویکرد غالب تبدیل شده است. این تمرکز، اگرچه با هدف کاهش فشار عملیاتی بر تحلیلگران انجام می‌شود، اما یک ریسک پنهان ایجاد می‌کند: افزایش احتمال False Negative (FN). در عمل، FP صرفاً به معنای هزینه عملیاتی بیشتر است، اما FN می‌تواند به یک breach واقعی منجر شود.

مسئله کلیدی این است که حذف کامل FP نه ممکن است و نه مطلوب. بسیاری از رفتارهای مخرب شباهت زیادی به فعالیت‌های عادی دارند و حذف این سیگنال‌ها به معنای از دست دادن دید نسبت به تهدیدات است. Detection Logic حرفه‌ای این واقعیت را می‌پذیرد و به‌جای حذف FP، آن‌ها را contextualize می‌کند.

در این رویکرد، هر alert در بستر اطلاعاتی گسترده‌تری تحلیل می‌شود: نوع کاربر، حساسیت سیستم، رفتارهای پیشین و ارتباط با سایر رویدادها. به این ترتیب، FPها به سیگنال‌هایی با وزن مشخص در یک مدل تصمیم‌گیری مبتنی بر ریسک تبدیل می‌شوند.

این نگرش با چارچوب‌هایی مانند MITRE ATT&CK هم‌راستا است، زیرا تمرکز آن بر رفتار مهاجم و زنجیره حمله است، نه صرفاً رویدادهای منفرد. در نهایت، SOC بالغ سیستمی است که به‌جای حذف نویز، آن را به دانش قابل تصمیم‌گیری تبدیل می‌کند.

497

آکادمی آموزش روزبه 📚

۱۷ اردیبهشت ۱۴۰۵، ۰۷:۲۷

#استخدام

فوری

برنامه نویس Microsoft Dynamics

برای توسعه پرتال مشتریان

فول تایم حضوری تهران
ارسال رزومه به [email protected]

لطفا برای دوستان بفرستید

505

آکادمی آموزش روزبه 📚

۱۱ اردیبهشت ۱۴۰۵، ۱۲:۰۳

گزارش VulnCheck Exploit Intelligence 2026 تحلیلی جامع از وضعیت آسیب‌پذیری‌ها و بهره‌برداری‌های امنیتی در سال 2025 ارائه می‌دهد و تلاش می‌کند فاصله میان حجم عظیم CVEها و واقعیت بهره‌برداری در دنیای واقعی را روشن کند. طبق داده‌ها، در سال 2025 بیش از 14,400 اکسپلویت شناسایی شده که 10,480 آسیب‌پذیری را هدف گرفته‌اند؛ با وجود این گستردگی، تنها حدود 1 درصد از CVEهای سال 2025 واقعاً در محیط عملیاتی مورد سوءاستفاده قرار گرفته‌اند. این نشان می‌دهد که تعداد بالا همیشه بیانگر ریسک واقعی نیست و اولویت‌بندی بر اساس شواهد بهره‌برداری اهمیت بیشتری دارد.

در سال 2025 تعداد 884 آسیب‌پذیری وارد فهرست KEV شده‌اند که نزدیک به نیمی از آن‌ها مربوط به همان سال بوده است؛ بنابراین مهاجمان به‌سرعت آسیب‌پذیری‌های جدید را weaponize می‌کنند. روندهای تهدید نشان می‌دهد که تعداد آسیب‌پذیری‌های مرتبط با باج‌افزار 25 درصد کاهش داشته، اما بیش از نیمی از آن‌ها حاصل بهره‌برداری روز صفر بوده‌اند. فعالیت گروه‌های APT نیز کاهش کلی داشته، اما گروه‌های منتسب به چین افزایش حضور داشته‌اند.

جمع‌بندی گزارش تأکید می‌کند که سازمان‌ها باید به‌جای تمرکز بر حجم CVEها، روی اطلاعات بهره‌برداری واقعی، سرعت واکنش، و تحلیل داده‌محور تمرکز کنند تا بتوانند ریسک‌های مؤثر را مدیریت کرده و از هزینه‌های بالای حملات جلوگیری کنند.

606

آکادمی آموزش روزبه 📚

۱۱ اردیبهشت ۱۴۰۵، ۱۲:۰۳

دوره آموزشی رایگان

https://xmcyber.com/exposure-management-course/?utm_source=csh&utm_medium=social&utm_content=emcourse

374

آکادمی آموزش روزبه 📚

۱۱ اردیبهشت ۱۴۰۵، ۱۲:۰۳

چارچوب MITRE F3 برای مقابله با کلاهبرداری

چارچوب MITRE Fight Fraud Framework (F3) که توسط MITRE و مرکز Center for Threat-Informed Defense توسعه یافته، یک مدل ساختاریافته برای تحلیل، شناسایی و مقابله با کلاهبرداری‌های مالی در بسترهای دیجیتال است. این چارچوب با الهام از MITRE ATT&CK طراحی شده، اما تمرکز آن به‌جای نفوذ سایبری صرف، بر زنجیره کامل حملات Fraud از مرحله شناسایی تا برداشت مالی (cash-out) است.

در F3، رفتار مهاجمان بر اساس تاکتیک‌ها و تکنیک‌ها (TTPs) مدل‌سازی می‌شود. تاکتیک‌هایی مانند Reconnaissance، Initial Access و Defense Evasion مشابه دنیای سایبری هستند، اما مفاهیم کلیدی جدیدی مانند Positioning (ایجاد موقعیت برای سوءاستفاده مالی) و Monetization (تبدیل دسترسی به پول) اضافه شده‌اند. این رویکرد کمک می‌کند تا شکاف بین تیم‌های امنیت سایبری (SOC/DFIR) و تیم‌های کشف تقلب مالی برطرف شود.

اهمیت F3 در ایجاد یک زبان مشترک عملیاتی است که امکان همبستگی بین لاگ‌های فنی و رخدادهای مالی را فراهم می‌کند. در نتیجه، سازمان‌ها می‌توانند از حالت واکنشی خارج شده و با طراحی Use Caseهای دقیق‌تر، تهدیدات Fraud را پیش از تحقق زیان مالی شناسایی و مهار کنند.

https://ctid.mitre.org/fraud#/

299

آکادمی آموزش روزبه 📚

۱۱ اردیبهشت ۱۴۰۵، ۱۲:۰۳

از «توضیح قابل‌قبول» تا «فرض حمله»: شکاف پنهان در تریاژ SOC


در اغلب مراکز عملیات امنیت (SOC)، تریاژ هشدارها تحت فشار شدید زمان، حجم بالا و محدودیت منابع انجام می‌شود. نتیجه این شرایط، شکل‌گیری یک الگوی ذهنی غالب است: تحلیل‌گر به‌دنبال نخستین توضیح «منطقی و بی‌خطر» برای یک هشدار می‌گردد و در صورت یافتن آن، پرونده را می‌بندد. این رویکرد که می‌توان آن را «Benign-first» نامید، اگرچه از نظر عملیاتی کارآمد به نظر می‌رسد، اما یک ضعف بنیادی دارد: منطقی بودن، معادل واقعی بودن نیست. مهاجمان حرفه‌ای دقیقاً از همین شکاف استفاده می‌کنند و رفتار خود را طوری طراحی می‌کنند که در چارچوب توضیحات عادی و قابل‌قبول قرار گیرد.
در مقابل، رویکرد «Adversarial Thinking» قرار دارد؛ پارادایمی که به‌جای تلاش برای اثبات بی‌خطر بودن یک رویداد، از این فرض شروع می‌کند که «این می‌تواند یک حمله باشد». در این مدل، تحلیل‌گر یا سیستم می‌پرسد: اگر این یک سناریوی نفوذ باشد، چه شواهدی باید در لاگ‌ها، رفتار کاربر یا فعالیت سیستم مشاهده شود؟ سپس به‌صورت فعال به‌دنبال تأیید یا رد این فرضیه می‌گردد. این تغییر ساده در زاویه نگاه، تأثیر عمیقی بر کیفیت تشخیص دارد، زیرا فرآیند را از تأیید سریع به سمت بررسی عمیق و مبتنی بر شواهد سوق می‌دهد.
با این حال، این نوع تفکر در اغلب SOCها رایج نیست. یکی از دلایل اصلی، «اقتصاد عملیات» است. ابزارهایی مانند Splunk حجم عظیمی از هشدار تولید می‌کنند و تیم‌ها ناچارند با شاخص‌هایی مانند سرعت پاسخ و تعداد تیکت‌های بسته‌شده ارزیابی شوند. در چنین محیطی، تحلیل عمیق و مبتنی بر فرضیه، به‌عنوان یک لوکس تلقی می‌شود. علاوه بر این، بایاس‌های شناختی مانند «Confirmation Bias» باعث می‌شود تحلیل‌گر ناخودآگاه به‌دنبال شواهدی بگردد که فرض اولیه بی‌خطر بودن را تأیید کند، نه اینکه آن را به چالش بکشد.
مشکل دیگر، طراحی ابزارهاست. SIEMها برای جمع‌آوری، جستجو و همبستگی داده‌ها ساخته شده‌اند، نه برای تفکر خصمانه یا استدلال مبتنی بر فرضیه. به‌عبارت دیگر، آن‌ها داده می‌دهند، اما نمی‌گویند چگونه باید به آن‌ها شک کرد. در نتیجه، حتی تحلیل‌گران باتجربه نیز در جریان تریاژ روزمره، به‌سمت تصمیم‌گیری سریع و سطحی سوق داده می‌شوند.
در این میان، رویکردهایی مانند آنچه در DeeperSplunk مطرح شده، تلاش می‌کنند این شکاف را در سطح سیستم برطرف کنند. با استفاده از مدل‌هایی مانند Claude، این ابزارها فرآیند تریاژ را به‌صورت پیش‌فرض «خصمانه» طراحی می‌کنند؛ یعنی فرض اولیه را بر وجود حمله می‌گذارند و تنها در صورتی آن را رد می‌کنند که شواهد کافی برای بی‌خطر بودن ارائه شود. همچنین، با الزام به استناد به جستجوهای واقعی در SIEM، از تصمیم‌گیری‌های حدسی جلوگیری می‌کنند و امکان ممیزی (auditability) را افزایش می‌دهند.
در نهایت، مسئله اصلی صرفاً نبود مهارت یا دانش نیست، بلکه به طراحی فرآیندها و مشوق‌های عملیاتی بازمی‌گردد. تا زمانی که موفقیت در SOC بر اساس سرعت و حجم خروجی سنجیده شود، «توضیح قابل‌قبول» جای «حقیقت» را خواهد گرفت. حرکت به‌سوی Adversarial Thinking، نیازمند بازتعریف این معیارها و ایجاد سازوکارهایی است که تحلیل عمیق، مبتنی بر شواهد و مقاوم در برابر فریب را ممکن و مقیاس‌پذیر کند.

آکادمی آموزش روزبه 📚

۱۱ اردیبهشت ۱۴۰۵، ۱۲:۰۳

📎 File

289

آکادمی آموزش روزبه 📚

۱۱ اردیبهشت ۱۴۰۵، ۱۲:۰۳

🔹 چرا ۶۷٪ از هشدارهای SIEM بررسی نمی‌شوند؟
و راه‌حل جدیدی به نام DeeperSplunk چه می‌کند؟

تیم‌های SOC امروز بیش از همیشه با انبوهی از هشدارهای اشتباه (False Positive) روبه‌رو هستند. طبیعی است: وقتی هر هشدار می‌تواند ده‌ها توضیح بی‌خطر داشته باشد، تحلیل‌گر معمولاً اولین توضیح منطقی را انتخاب می‌کند و کار را تمام‌شده می‌داند.
اما مشکل اینجاست: منطقی بودن یعنی قابل‌قبول بودن، نه الزاماً واقعی بودن. مهاجمان حرفه‌ای دقیقاً طراحی می‌کنند تا فعالیتشان بی‌خطر جلوه کند.

🔍راهکار DeeperSplunk چیست؟

راهکار DeeperSplunk یک پروژه متن‌باز است که تلاش می‌کند این مشکل را حل کند. این ابزار یک سرور MCP ارائه می‌دهد که به مدل Claude اجازه می‌دهد تریاژ خصمانه (Adversarial Triage) در برابر Splunk انجام دهد.

به زبان ساده:
برای هر هشدار، عامل هوشمند تلاش می‌کند ثابت کند مهاجم در حال برنده شدن است.
فقط وقتی تبرئه می‌کند که شواهد، فرضیه حمله را فعالانه رد کنند.


🔧 چه چیزی DeeperSplunk را متفاوت می‌کند؟

سه نوآوری کلیدی در طراحی آن وجود دارد:

1) استناد اجباری به شواهد
عامل نمی‌تواند ادعایی مطرح کند که خودش درباره آن جستجو نکرده باشد.
هر نتیجه باید به یک جستجوی واقعی در همان جلسه اشاره کند.

2) ارتقای خودکار بر اساس اعتماد (Confidence‑Based Auto‑Escalation)
اگر مدل برای رأی‌گیری (TP/FP) اعتماد کافی نداشته باشد، نتیجه فوراً به وضعیت
NEEDS_HUMAN_REVIEW
منتقل می‌شود.
هیچ رأیی بر اساس حدس صادر نمی‌شود.

3) حافظه رأی مبتنی بر SQLite
تمام تصمیم‌ها و بازبینی‌های انسانی ذخیره می‌شود تا هشدارهای آینده با موارد مشابه قبلی مقایسه شوند.


🧩 ویژگی‌های فنی و هدف پروژه

- قابل اجرا به‌صورت لوکال
- بر پایه Python 3.10
- دارای مجوز MIT
- طراحی‌شده به‌عنوان یک جایگزین متن‌باز برای ابزارهای تجاری مانند
D3 Morpheus و Cortex XSIAM

لینک پروژه:
https://github.com/iliasarmenakis/DeeperSplunk

283

آکادمی آموزش روزبه 📚

۳۱ فروردین ۱۴۰۵، ۱۰:۱۲

چرا درک روحیه و تفکر امنیتی برای برخی افراد دشوار است؟

مایندست ( تفکر و روحیه) امنیتی صرفاً مجموعه‌ای از دانش فنی یا ابزارهای کنترلی نیست، بلکه شیوه‌ای متفاوت از فکر کردن به سیستم‌ها، انسان‌ها و ریسک است. دشواری درک این مایندست از آن‌جا ناشی می‌شود که امنیت، برخلاف بسیاری از حوزه‌ها، برخلاف جریان طبیعی ذهن انسان حرکت می‌کند.

ذهن انسان عادت دارد به «کارکرد درست» فکر کند؛ این‌که یک سیستم چگونه طراحی شده تا به‌درستی عمل کند. اما ذهن امنیتی به‌دنبال کشف «نقطه شکست» است؛ این‌که سیستم چگونه، کِی و توسط چه کسی می‌تواند مورد سوءاستفاده قرار گیرد. این تغییر زاویه نگاه، برای بسیاری افراد ناخوشایند و حتی استرس‌زاست.

از سوی دیگر، امنیت با عدم قطعیت دائمی همراه است. در امنیت، پاسخ قطعی وجود ندارد؛ فقط احتمال، سناریو و ریسک وجود دارد. بسیاری از افراد ترجیح می‌دهند در چارچوب دستورالعمل‌های شفاف و خروجی‌های قابل اندازه‌گیری کار کنند، در حالی که موفقیت در امنیت اغلب به معنای «اتفاق نیفتادن» است؛ مفهومی که برای ذهن نتیجه‌محور رضایت‌بخش نیست.

مایندست و روحیه امنیتی همچنین مستلزم نوعی بی‌اعتمادی حرفه‌ای است؛ فرض بر این است که کاربر ممکن است خطا کند، سیستم ممکن است شکست بخورد و کنترل‌ها ممکن است دور زده شوند. این نگرش برای افرادی که به اعتماد پیش‌فرض عادت دارند، سخت و گاه منفی تلقی می‌شود.

در نهایت، درک امنیت بار مسئولیت ذهنی و اخلاقی به همراه دارد. کسی که ریسک را می‌بیند، دیگر نمی‌تواند آن را نادیده بگیرد. به همین دلیل، همه می‌توانند ابزار امنیتی یاد بگیرند، اما همه حاضر نیستند مایندست امنیتی را بپذیرند.

#آکادمی_روزبه
مرکز تخصصی آموزش و مهارت افزایی مدیر امنیت CISO

656

آکادمی آموزش روزبه 📚

۳۱ فروردین ۱۴۰۵، ۱۰:۱۲

📎 File

مستند IR

#آکادمی_روزبه

785

آکادمی آموزش روزبه 📚

۳۱ فروردین ۱۴۰۵، ۱۰:۱۲

📷 Photo

مراحل انجام پروژه ISMS

#آکادمی_روزبه

917

آکادمی آموزش روزبه 📚

۳۱ فروردین ۱۴۰۵، ۱۰:۱۲

https://andreafortuna.org/2026/02/04/ios-forensics-without-jailbreak-a-practical-guide-to-modern-mobile-evidence-acquisition

673

Showing 30 of 36 posts

رتبه‌بندی

ورود لازم است

نظرات کاربران (0)

هنوز هیچ نظری وجود ندارد. اولین نفری باشید که نظر خود را به اشتراک می‌گذارید!

کانال‌های تلگرام مرتبط

Loading recommended channels...

آکادمی آموزش روزبه 📚

آکادمی آموزش روزبه 📚

رتبه‌بندی

رشد مشترکان (6 روز گذشته)

آخرین پست‌ها

رتبه‌بندی

نظرات کاربران (0)

کانال‌های تلگرام مرتبط

👨🏻‍💻معلومات تقنية وأمن سيبراني 🖥💻

تعلم الأمن السيبراني

الرصد السيبراني | Cyber Recon

سپاه سایبری

𝕍𝕚𝕣𝕦𝕤 𝔼𝕝 𝕘𝕠𝕝𝕕

سپاه سایبری پاسداران IRGC 🏴

Palestine Online 🇵🇸🇵🇸

ديفانس لاين defenseliney

کانال‌های تلگرام مرتبط

👨🏻‍💻معلومات تقنية وأمن سيبراني 🖥💻

تعلم الأمن السيبراني

الرصد السيبراني | Cyber Recon

سپاه سایبری

𝕍𝕚𝕣𝕦𝕤 𝔼𝕝 𝕘𝕠𝕝𝕕

سپاه سایبری پاسداران IRGC 🏴

Palestine Online 🇵🇸🇵🇸

ديفانس لاين defenseliney

نظرات کاربران (0)

آخرین پست‌ها