حمله DCSync چیست؟ پیاده سازی, شناسایی و جلوگیری

یکی از حملات پر استفاده و رایج بر روی بستر Active Directory و Domain Controller حمله DCSync میباشد که به واسطه این حمله فرد مهاجم توانایی دریافت اطلاعات مربوط به یک نام کاربری بر روی DC را دارد که این اطلاعات شامل اطلاعات حساس مانند مقدار Hash رمز عبور می‌شود. حمله DCSync با تکیه بر روی دستورات پروتکل MS-DRSR حمله خود را پیاده سازی میکند.

توجه داشته باشید که امروزه در سازمانها دیگر یک DC یا به اصطلاح یک Domain Controller وجود ندارد و از همین بابت در یک سازمان میتواند چندین Domain Controller وجود داشته باشد که اطلاعات این Domain Controller ها با یک دیگر همسان سازی شود و این DC ها به اصطلاح Replicate شده باشند

از همین جهت ما میتوانیم از طریق MS-DRSR یا همان Microsoft - Directory Replicate Service نقش یک DC را در شبکه برای دیگر DC ها بازی کنیم و از آنها بخواهیم که داده هایشان را همسان سازی کنند و داده های مورد نیازمان را از آنها استخراج کنیم

این همسان سازی موجب این میشود که ما یک نام کاربری که به اصطلاح کاربری باشد که Replicate شده باشد را اطلاعات حساس آن مانند مقدار Hash مربوط به Password آن را به دست بیاوریم و در حملاتی مانند شکستن پسورد و حملات پیشرفته تر مانند PassTheHash استفاده کنیم.

حمله DCSync یک روش پیشرفته در هک اکتیودایرکتوری است که در آن مهاجم با جعل هویت یک Domain Controller (DC)، از پروتکل MS-DRSR برای همگام‌سازی اطلاعات کاربران و دریافت هش رمزهای عبور استفاده می‌کند. در آموزش هک، این حمله معمولاً با ابزارهایی مانند Mimikatz انجام می‌شود و به مهاجم امکان سرقت رمزهای عبور ادمین را می‌دهد. برای شناسایی این حمله، می‌توان رویدادهای لاگ 4662 و 4742 را در Event Viewer بررسی کرد. جهت جلوگیری، باید حساب‌های حساس را از گروه Replication Permissions حذف کرده و LAPS، Logging و Monitoring را در شبکه فعال کرد. این حمله می‌تواند کل امنیت دامنه را به خطر بیندازد، بنابراین شناسایی و جلوگیری از آن بسیار حیاتی است.

چه امتیازی برای کاربری که قصد داریم اطلاعات حساس آن را به دست بیاوریم نیاز است؟

توجه کنید که برای اینکه بتوانید نقش یک DC را بازی کنید و اطلاعات کاربر مورد نظر را به دست بیاورید باید همونطور که در بالا هم اشاره کردیم کاربر دسترسی های ممتاز Replicate را داشته باشد.

این حمله جزوه حملاتی است که معمولا در اواخر حمله و گرفتن دسترسی نمیتواند کاربری باشد تا زمانی که کاربر مورد نظر را پیدا نکرده ایم زیرا برای به دست اوردن این امتیازات و این کاربر با این سطح دسترسی نیاز به وقت داریم
به صورت کلی دسترسی های که یک کاربر باید داشته باشد به شکل زیر هستند:

  • Replicating Directory Changes
  • Replicating Directory Changes All
  • Replicating Directory Changes In Filtered Set

بیشتر ببینید: دوره SANS Security 573 | خودکارسازی امنیت اطلاعات با Python

نحوه کار حمله DCSync به چه شکل میباشد؟

توجه داشته باشید که همانطور که عنوان کردیم‌ DCSync حمله ای است که بر پایه MS-DRSR عمل میکند و نقش یک DC را برای دیگر DC های Replicate شده بازی میکند در اینجا فرآیند اینکه فرد بخواهد درخواست Replication برای یک‌ کاربر که با دیگر DC ها اطلاعات اون Replicate و همسان سازی شده بکند باید سه مرحله زیر را طی کند:

مرحله اول - شناسایی DC ها و ارسال Replication Requests

مرحله دوم - درخواست Replication و همسازی اطلاعات مربوط به کاربری که سطح امتیاز Replicate را دارد ( سه امتیاز عنوان شده در بالا )

نکته: این مرحله از طریق تابع GetNCChange انجام میشود.

مرحله سوم - دریافت اطلاعات مربوط به مربوط به کاربری که سطح امتیاز Replicate را دارد از جمله اطلاعات مربوط به Hash رمز عبور این کاربر

چگونه حمله DCSync را پیاده سازی کنیم؟

توجه کنید که این حمله در دوره آموزشی SANS SEC560 | تست نفوذ به زیرساخت و شبکه‌های کامپیوتری پیاده سازی شده است اما در این دوره ما به پیاده سازی آن از طریق روش دیگری به واسطه Impact Framework پرداختیم و در این مقاله قصد داریم به واسطه Mimikatz که یکی از ابزارهای محبوب و پراستفاده در بحث فرآیند های پس از گرفتن دسترسی ( Post Exploitation ) میباشد.

پیاده سازی این حمله بسیار سادست فقط کافیست که Mimikatz را بر روی سیستم مقابل اجرا سازی کنید و از دستور زیر استفاده کنید.

lsadump::dcsync /domain:tosinso.local /user:Username

نکته: در دستور بالا باید در مقابل Domain نام دامنه را وارد کنید و در مقابل UserName نیز نام کاربری که قرار است اطلاعات آن از جمله Hash مربوط به رمز عبور آن را دریافت کنید را قرار بدهید.

چگونه حمله DCSync را شناسایی کنیم؟

توجه کنید که شناسایی و جلوگیری از این حمله کمی نسبتی سخت میباشد اما راه های زیادی برای این موضوع وجود دارد که آنهارا بررسی میکنیم

راهکار اول: نظارت (Monitoring) بر روی ترافیک های شبکه

یکی از راه ها جهت تشخیص این حمله نظارت و Monitoring بر روی ترافیک های شبکه DC میباشد که برای این موضوع ما باید در ابتدا لیستی از دامنه های مشخص داشته باشیم و تمرکز و‌ نگاهمان بر روی ترافیک های مربوط به DRSUAPI RPC به جهت عملیات استفاده از GetNCChange باشد و از این جهت با لیستی که از DC ها در دست داریم بررسی میکنیم که اگر یک درخواست جهت عملیات GetNCChange ارسال شده است که در لیست ما قرار ندارد آن Host و آدرس، از اینجا متوجه میشویم که حمله DCSync درحال رخ دادن است و این یک ترافیک مخرب میباشد.

راهکار دوم: استفاده از EventLog

یکی دیگر از راهکار های ما استفاده از بستر EventLog میباشد که به واسطه این موضوع ما باید بر روی EventID 4662 تمرکز داشته باشیم که زیرمجموعه Audit Directory Services Access میشود.

راهکار سوم: شناسایی از طریق Splunk

توجه کنید که برای شناسایی این حمله میتوانید از سرچ زیر استفاده کنید که متکی بر اطلاعات EventLog میباشد:

source = XmlWinEventLog : Security EventCode =4624
[ search source = XmlWinEventLog : Security EventCode =4662
Properties ="*1131 f6aa -9 c07 -11 d1 - f79f -00 c04fc2dcd2 *" OR
Properties ="*1131 f6ad -9 c07 -11 d1 - f79f -00 c04fc2dcd2 *" OR
Properties ="*1131 f6ab -9 c07 -11 d1 - f79f -00 c04fc2dcd2 *"
| fields SubjectLogonId
| rename SubjectLogonId AS TargetLogonId ] NOT
[ inputlookup domain_controllers . csv
| fields ip
| rename ip AS IpAddress ]

چگونه جلوی حمله DCSync را بگیریم؟

بحث Replication در DC یک امر بسیار عادی میباشد و نیازی به بررسی و توجه چندانی به این بخش جهت اینکه جلوگیری کنیم از ایت حمله نیست بلکه توجه ما باید بر روی سطح دسترسی و امتیازات Replicate برای کاربران باشد !

  • نکته اول: ممیزی بر روی سطح دسترسی کاربران حدالامکان برای کاربرانی که مجوز Replicate وجود دارد از ویژگی های امنیتی اضافی جهت تایید آنها استفاده شود.
  • نکته دوم: دسترسی سطح بالا و توانایی استفاده از آن سطح دسترسی در تمام نقاط سیستم و بخش های شبکه را به کاربران ندهید این موضوع خطر رخ دادن این‌ حمله را کاهش میدهد.

کاملترین پکیج دوره آموزشی SANS Security Pack | شامل 9 دوره SANS

سنس سکیوریتی ( SANS Security ) چیست؟ معرفی شرکت SANS

انیستیتو SANS ( سنس یا سنز ) یک مرکز آموزشهای تخصصی امنیت سایبری و تست نفود در ایالات متحده آمریکاست که بصورت یک شرکت آموزشی فوق تخصصی در زمینه آموزش هک و نفوذ  در دنیا فعالیت می کند. انیستیتو SANS Security Institute فعالیت خودش را از سال 1989 در زمینه آموزش امنیت اطلاعات ، آموزش امنیت سایبری و ارائه گواهینامه های امنیت اطلاعات در حوزه آموزش آغاز کرده است.

مهمترین عناوینی که شرکت سنز سکیوریتی در آموزشهای خود در نظر گرفته است به ترتیب آموزشهای فوق تخصصی حوزه امنیت تدافعی شبکه ، امنیت تدافعی سایبری ، تست های نفوذ سنجی ، پاسخگویی به حملات و حوادث سایبری ، کشف جرایم رایانه ای و البته بازرسی های امنیت اطلاعات متمرکز می شود.

دوره های تخصصی امنیت اطلاعاتی که توسط SANS Security تهیه و تدوین می شوند معمولا مخاطبین خاص خودشان را دارند که فعالیتی مرتبط در حوزه امنیت دارند که به ترتیب می توان از مدیران شبکه ، مدیران امنیت ، متخصصین امنیت اطلاعات و تست نفوذسنجی و هکرهای قانونمند را عنوان کرد.

بد نیست بدانید که نام انیستیتو SANS در واقع برگرفته ای  از طیف مخاطبین دوره های آموزشی امنیت اطلاعات این شرکت است که به ترتیب SysAdmins ها ، Auditor ها ، Network Engineer ها و Security Officer ها را شامل می شوند.  مهمترین دوره های تخصصی SANS Security که می توانید به زبان فارسی از آنها نهایت استفاده را بکنید را در ادامه به شما معرفی می کنیم.

آیا دوره های SANS Security همان دوره های هک قانونمند است؟

هر چند که دوره های SANS هم برای انجام تست های نفوذ و هک های قانونمند است اما دوره با عنوان Ethical Hacking یا CEH یا دوره Certified Ethical Hacking مختص کمپانی EcCouncil است ، پیشنهاد می کنم مطالب زیر را نیز مطالعه کنید :

  1. CEH چیست؟ معرفی دوره هک قانومند به زبان بسیار ساده
  2. هک قانونمند چیست؟ آشنایی با Ethical Hacking به زبان بسیار ساده
  3. تفاوت دوره CEH و SANS 560 در چیست؟ مقایسه SANS 560 و CEH
  4. مطالعه این مطلب توصیه می شود : چگونه هکر شویم؟ 50 نکته محرمانه از 0 تا 100 تبدیل شدن به یک هکر

دوره آموزشی SANS SEC542 (Web Application Penetration Tester )

در دوره SANS 542 یا تست نفوذ اپلیکیشن های تحت وب شما با هنر نفوذ و هک کردن نرم افزارهای تحت وب و پیدا کردن آسیب پذیری های امنیتی وب سایتها ها در سازمان خود آشنا خواهید شد. شما با ابزارها و روشهایی که هکرها برای نفوذ به وب سایت های شما استفاده می کنند آشنا خواهید شد و با این آشنایی ، تبدیل به یک مدافع بسیار خوب در حوزه امنیت خواهید شد.

در دوره آموزش هک وب سایت ها یا SANS 542 شما با جزئیات و بصورت کاملا عملی با تمرین های متنوع و راهنمایی های مدرس می توانید مراحل چهارگانه تست نفوذ به نرم افزارهای تحت وب و وب سایت ها را به خوبی یاد بگیرید. بسیاری از حملات قدرتمند حوزه وب از جمله SQL Injection برای دسترسی و نفوذ به بانک های اطلاعاتی وب سایت ها گرفته تا دسترسی به اطلاعات حساس و البته حملات Cross Site Scripting را همگی آموزش خواهید دید.

در عین حال با تکنیک های جستجو و پیدا کردن ساختار آسیب پذیری های وب نیز آشنا خواهید شد. این دوره آموزشی SANS SEC542 برای اولین بار در ایران بصورت ویدیویی و آنلاین در وب سایت توسینسو بصورت کامل و جامع و با جدیدترین به روز رسانی ها در ادامه در دسترس شما عزیزان است.

سرفصل های دوره SANS 542 ( آموزش تست نفوذ وب )

542.1 : Introduction and Information Gathering
542.2 : Configuration, Identity, and Authentication Testing
542.3 : Injection
542.4 : JavaScript and XSS
542.5 : CSRF, Logic Flaws, and Advanced Tools
542.6 : Capture the Flag

مخاطبین دوره SANS 542 ( آموزش تست نفوذ وب ) چه کسانی هستند؟

  • علاقمندان به دوره های تخصصی و تست نفوذ وب سایت ها و Web Application
  • برنامه نویسان وب سایت ها ، سامانه ها و Web Application ها
  • مدیران شبکه ، متخصصین شبکه و امنیت شبکه
  • مدیران امنیت و فناوری اطلاعات سازمان ها و شرکت ها
  • مدیران و متخصصان امنیت اطلاعات
  • افسران امنیت اطلاعات و پلیس های سایبری
  • مهندسین امنیت سیستم های اطلاعاتی
  • تحلیلگران ریسک ، تهدیدات و آسیب پذیری
  • مدیران امنیت شبکه و سرور
  • متخصصین فناوری اطلاعات
  • متخصصین و مشاورین امنیت
  • کارشناسان تست نفوذسنجی
  • دانشجویان فناوری اطلاعات و کامپیوتر
  • تجزیه و تحلیلگران امنیت اطلاعات
  • ممیزان و سرممیزان امنیت سایبری
  • متخصصین مراکز عملیات امنیت | SOC

چه چیزی در دوره SANS 542 یاد میگیریم؟

  • چگونگی شناسایی و Exploit کردن ضعف ها و آسیب پذیری های Web Application
  • چگونگی تشریح تهدیدات و آسیب پذیری های وب سایت های و Web Application ها
  • شناخت و معرفی و چگونگی استفاده از انواع ابزار های تست نفوذ وب سایت ها و Web Application ها
  • آشنایی کامل با انواع آسیب پذیر های وب مانند sqlinjection , XSS, LFI,RFI , Apath injection, XXE , Html Injection به صورت عملی و بر اساس لابراتورا های آسیب پذیر
  • آشنایی با اکسپلویت نویسی به زبان هاب javascript, php و Python
  • آشنایی با نحوه کد نویسی امن و Secure وب سایت ها و Web Application ها
  • بیان راه های مقابله با آسیب پذیری های تحت وب بر اسا کد نویسی
  • ارائه تکنیک ها و روش های دور زدن و Bypass کردن مکانیزم ها و کد نویسی های امن و Secure

دوره آموزشی SANS SEC503 ( Intrusion Detection In-Depth )

در دوره آموزشی SANS 503 شما با مفاهیم ، دانش و روشهای فنی تشخیص نفوذ و جلوگیری از حملات بصورت کاملا عملی آشنا می شوید و روشهای دفاع در برابر تهاجم به روش تشخیص نفوذ با IDS و IPS را به خوبی یاد می گیرید. در این دوره آموزشی تشخیص نفوذ در عمق ، شما با پروتکل ها و نحوه عملکرد آنها در شبکه بصورت کاملا کاربردی آشنا می شوید و به درستی مفاهیم و عملکرد TCP/IP را خواهید شناخت ، پس از یادگیری این دوره آموزشی شما می توانید ترافیک شبکه را تجزیه و تحلیل و از درون این ترافیک بصورت کاملا هوشمندانه ، حملات و خرابکاری ها را شناسایی کنید .

سرفصل های دوره SANS 503 ( آموزش تشخیص نفوذ حرفه ای )

503.1: Introduction to Wireshark
503.2: Writing tcpdump filters
503.3: IDS/IPS evasion theory
503.4: Snort rules
503.5: Analysis of three separate incident scenarios
503.6: The entire day is spent engaged in the NetWars: IDS Version challenge

مخاطبین دوره SANS 503 ( آموزش تشخیص نفوذ حرفه ای )

  • متخصصین امنیت شبکه و شبکه
  • فعالان عرصه امنیت سایبری
  • فعالان و دانشجویان عرصه امنیت اطلاعات
  • افراد علاقمند به ارتقا دانش خود به سطح SANS 503
  • و تمامی افرادی که در حوزه امنیت و شبکه های کامپیوتری فعالیت میکنند

چه چیزی در دوره SANS 503 یاد میگیریم؟

  • تسلط کافی بر روی TCP/IP و اجزا آن
  • تسلط و آشنایی بر روی مکانیزم و نحوه پیاده سازی حملات مختلف و خطرناک شبکه های کامپیوتری
  • تسلط بر روی نحوه Exploit نویسی برای حملات مختلف تحت شبکه
  • تسلط بر روی کشف حملات با درک مکانیزم آن‌ها
  • تسلط بر روی تجزیه و تحلیل داده ها
  • تسلط بر روی IDS/IPS ها و نحوه کار با آن‌ها

دوره آموزشی SANS SEC560 ( Network Penetration Testing and Ethical Hacking )

در دوره آموزشی SANS 560 شما با انجام درست و حرفه ای پروژه های تست نفوذ موفق و هک قانونمند آشنا خواهید شد. شما نحوه انجام دقیق و درست عملیات شناسایی ، نفوذ به سیستم های هدف نفوذ ، دسترسی پیدا کردن به اطلاعات هدف نفوذ ، اندازه گیری میزان ریسک موجود در آسیب پذیری در دنیای واقعی ، اسکن کردن حرفه ای شبکه با استفاده از ابزارهای حرفه ای و انجام تمرین های دنیای واقعی هک و نفوذ به شبکه را آموزش خواهید دید.

در این دوره شما فقط با چهره و قابلیت ها و تنظیمات ابزارها آشنا نمی شوید ، بلکه با استفاده حرفه ای و به روز از ابزارها آشنا خواهید شد . در این دوره شما با لابراتوارهای واقعی دنیای هک ، تمرین های فتح پرچم یا Capture The Flag در تست نفوذ آشنا می شوید و با این روش دانش خود در زمینه هک قانونمند را بسیار حرفه ای تر می کنید.

سرفصل های دوره SANS 560 ( آموزش تست نفوذ شبکه )

560.1 : Comprehensive Pen Test Planning, Scoping, and Recon
560.2: In-Depth Scanning
560.3: Exploitation
560.4: Password Attacks and Merciless Pivoting
560.5: Domain Domination and Web App Pen Testing
560.6: Penetration Test and Capture-the-Flag Workshop

مخاطبین دوره SANS 560 ( آموزش تست نفوذ شبکه )

  • متخصصین امنیت شبکه و شبکه
  • کارشناسان شبکه و زیرساخت
  • کارشناسان SoC
  • فعالان و متخصصین و دانشجویان عرصه امنیت سایبری
  • فعالان و متخصصین و دانشجویان عرصه امنیت اطلاعات
  • افراد علاقمند به ارتقا دانش خود به سطح SANS 560
  • و تمامی افرادی که در حوزه امنیت و شبکه های کامپیوتری فعالیت میکنند

چه چیزی در دوره SANS 560 یاد میگیریم؟

  • تسلط و آشنایی کامل با مراحل تست نفوذ در سطح سازمانی براساس استانداردهای بین المللی
  • تسلط بر روی تکنیک های Reconnaissance
  • تسلط بر روی تکنیک های مختلف بررسی و اسکن و آنالیز ترافیک های شبکه
  • تسلط بر روی پیاده سازی تکنیک های Exploitation و گرفتن دسترسی
  • تسلط بر روی پیاده سازی تکنیک های Post Exploitation و دور زدن مکانیزم های امنیتی
  • تسلط و آشنایی بر روی حملات Password و حمله به پروتکل های احراز هویت تحت شبکه مانند Kerberos و NTLM
  • تسلط و آشنایی با حملات Domain Controller و گرفتن دسترسی از آن
  • تسلط و آشنایی بر روی مباحث Cloud و استراتژی های امنیتی Cloud Provider ها
  • تسلط بر روی تکنیک ها و حملات پیشرفته زیرساختی
  • و مباخث دیگری که در این دوره آموزشی گفته شده است

دوره آموزشی SANS SEC580 ( Metasploit Kung Fu for Enterprise Pen Testing )

در دوره آموزشی SANS 580 شما تبدیل به یک غول در استفاده از فریمورک متاسپلویت ( Metasploit ) می شود و از قابلیت های شگفت انگیزی که در این ابزار وجود دارد در حوزه تست نفوذ و ارزیابی آسیب پذیری های امنیتی استفاده خواهید کرد. در این دوره شما با نحوه استفاده از متااسپلویت بصورت روزمره در فرآیند های تست نفوذ آشنا می شوید ، دانش عمیقی نسبت به فریمورک متاسپلویت به دست خواهید آورد و نحوه اکسپلویت کردن انواع آسیب پذیری ها را آموزش خواهید دید.

بصورت مفصل در خصوص فرآیند اکسپلویت کردن ، شناسایی های قبل از استفاده از اکسپلویت ، دستکاری کردن Token ها ، حملات Spear Phishing و بصورت ویژه کار کردن با قابلیت های پیشرفته Meterpreter و دلخواه سازی این Shell برای حملات هدفمند آشنا خواهید شد.

سرفصل های دوره SANS 580 ( آموزش متاسپلویت )

580.1 :Guided Overview of Metasploit's Architecture and Components
580.2 :Deep Dive into the Msfconsole Interface, including Logging and Session Manipulation
580.3 :Careful and Effective Exploitation
580.4 :The Ultimate Payload: The Metasploit Meterpreter In-Depth
580.5 :Metasploit's Integration into a Professional Testing Methodology
580.6 :Automation with Meterpreter Scripts to Achieve More in Less Time with Consistency
580.7 :It's Not All Exploits - Using Metasploit as a Recon Tool
580.8 :Using Auxiliary Modules to Enhance your Testing
580.9 :Ultra-Stealthy Techniques for Bypassing Anti-Virus Tools
580.10 :Client-Side Attacks - Using One-Liners instead of Executables
580.11 :Port and Vulnerability Scanning with Metasploit, Including Integration with Nmap, Nessus, and Qualys
580.12 :Capturing SMB Credentials and Metasploit's awesome PowerShell integration
580.13 :Merciless Pivoting: Routing Through Exploited Systems
580.14 :Exposing Metasploit's Routing Using SOCKS Proxies
580.15 :Privilege Escalation Attacks
580.16 :Metasploit Integration with Other Tools
580.17 :Making the Most of Windows Payloads
580.18 :Advanced Pillaging - Gathering Useful Data from Compromised Machines
580.19 :Evading Countermeasures to Mimic Sophisticated Attackers
580.20 :Scripting Up the Meterpreter to Customize Your Own Attacks
580.21 :Persisting Inside an Environment
580.22 :Carefully Examining Your Attack's Forensic Artifacts
580.23 :Integration with CrackMapExec, a Stand-alone Testing Tool

مخاطبین دوره SANS 580 ( آموزش متاسپلویت )

  • متخصصین و مهندسین حوزه امنیت شبکه و فناوری اطلاعات
  • کارشناسان تست نفوذ سنجی و هک قانونمند
  • مشاورین امنیت اطلاعات و ارتباطات
  • کارشناسان ارزیابی آسیب پذیری و مدیریت آسیب پذیری
  • متخصصین مراکز SOC ( مرکز مدیریت عملیات امنیت )
  • بازرس های امنیت اطلاعات و کارشناسان جرایم رایانه ای
  • محققین حوزه امنیت اطلاعات
  • کلیه علاقه مندان به حوزه امنیت و هک و نفوذ

چه چیزی در دوره SANS 580 یاد می گیریم؟

  • تبدیل به یک فوق تخصص در فریمورک متااسپلویت خواهید شد
  • به کلیه بخش ها ، قسمت ها و قابلیت های Metasploit مسلط می شوید
  • کار کردن با اسکریپت های متااسپلویت را بصورت کامل آموزش می بینید
  • می توانید حملات Client Side را به خوبی انجام دهید
  • ساختن انواع Payload با Metasploit را به خوبی یاد می گیرید
  • انواع حملات را می توانید براحتی بر روی هدف انجام دهید
  • بصورت کامل با Meterpreter آشنا خواهید شد
  • به ابزار Armitage مسلط می شوید

دوره آموزشی SANS SEC573 ( Automating Information Security with Python )

در دوره آموزشی SANS 573  هدف اصلی دوره حل کردن چالش های امنیتی حوزه فناوری اطلاعات با استفاده از اسکریپت های زبان پایتون است. اگر همیشه قرار است که منتظر بمانید که یک Vendor یا تولید کننده الزاما برای شما Patch امنیتی بسازد و ارائه بدهد ، یا راهکار امنیتی خاصی به شما ارائه کند

شما همیشه از مسیر و راه امنیت عقب هستید . در واقع این روزها ، کارشناسان حرفه ای حوزه امنیت اطلاعات باید بتوانند برای خودشان ابزارهای خاص منظوره طراحی و توسعه بدهند . در این دوره آموزشی شما توانایی استفاده و توسعه از اسکریپت های حوزه امنیت اطلاعات را پیدا می کنید.

سرفصل های دوره SANS 573 ( اتوماسیون امنیت اطلاعات با پایتون )

573.1: Essentials Workshop with pyWars
573.2: Essentials Workshop with MORE pyWars
573.3: Defensive Python
573.4: Forensics Python
573.5: Offensive Python
573.6: Capture-the-Flag Challenge

مخاطبین دوره SANS 573 ( اتوماسیون امنیت اطلاعات با پایتون )

  • متخصصان امنیتی که تمایل دارند کارهای روتین و روزانه خود را بصورت خودکار انجام دهند
  • کارشناسان کشف جرائم رایانه ای که میخواهند تجزیه و تحلیل خود را بصورت خودکار انجام دهند
  • متخصصان شبکه که تمایل دارند کارهای روزانه و تکراری خودرابصورت خودکارانجام دهند
  • تست نفوذگرانی که تمایل دارند به جای کاربا ابزارهای آماده (Script kiddie ) به سمت متخصص حرفه ای هک و نفوذ (هکر برنامه نویس) بروند
  • مشاوران امنیتی که قصد دارند ابزارهایی برای انواع راه حل های امنیتی بسازند

چه چیزی در دوره SANS 573 یاد می گیریم؟

  • تغییر ابزار های open source موجود و شخصی سازی آنها مطابق با نیاز خود و یا سازمان
  • دستکاری انواع log file ها با فرمت های مختلف به جهت سازگاری آنها با ابزارهای مختلف جمع آوری Log
  • ساخت ابزار های جدید آنالیز Log فایل ها و پکت های شبکه به منظور کشف هکرها در سازمان
  • توسعه ابزار های تخصصی کشف جرائم رایانه ای
  • خودکار سازی جمع آوری هوشمندانه اطلاعات به منظور افزایش سطح امنیت شما از منابع آنلاین
  • خودکار سازی استخراج داده های حیاتی در بحث کشف جرائم رایانه ای از رجیستری ویندوز و دیگر دیتابیس ها

دوره آموزشی SANS SEC504 ( Hacker Techniques )

هدف اصلی دوره آموزشی SANS 504 آماده شدن و توسعه مهارت های شما با محوریت پاسخگویی به رخدادهای امنیتی است. شما در این دوره آموزشی یاد می گیرید که چگونه برای مقابله با حملات سایبری و تهدیدات امنیت سایبری آماده شوید و نقشه مقابله مناسبی را برای دفاع در برابر این حملات طراحی کنید.  در این دوره آموزشی آخرین تهدیدات امنیتی سازمان ها از جمله تهدیدات سمت کاربر یا تهدیدات امنیتی سمت سرور تجزیه و تحلیل می شود و بر اساس آن راهکارهای امنیتی ارائه می شوند.

دوره SANS SEC504 به شما دانش این را می دهد که متوجه شوید هکرها چگونه اسکن می کنند ، چگونه از اکسپلویت ها استفاده می کنند ، چگونه ارتباطات دائمی با سیستم قربانی برقرار می کنند و اساسا تکنیک های خاص هکری که استفاده می کنند ، شامل چه چیزهایی می شود. بیش از 50 درصد زمان این دوره آموزشی مختص انجام داده تمرین های عملی و کارگاهی برای کار کردن با ابزارها و موضوع های مهم و پیچیده در بحث تکنیک های نفوذ است. یادگیری این دوره آموزشی به شدت به شما در راه اندازی تیم آبی و تیم قرمز در سازمان ها کمک می کند.

سرفصل های دوره SANS 504 ( آموزش تکنیک های پیشرفته هک و نفوذ )

504.1: Incident Handling Step-by-Step and Computer Crime Investigation
504.2: Recon, Scanning, and Enumeration Attacks
504.3: Password and Access Attacks
504.4: Public-Facing and Drive-By Attacks
504.5: Evasion and Post-Exploitation Attacks
504.6: Capture-the-Flag Event

مخاطبین دوره SANS 504 ( آموزش تکنیک های پیشرفته هک و نفوذ )

  • متخصصین امنیت شبکه و شبکه
  • فعالان عرصه امنیت سایبری
  • فعالان و دانشجویان عرصه امنیت اطلاعات
  • افراد علاقمند به ارتقا دانش خود به سطح SANS 504
  • و تمامی افرادی که در حوزه امنیت و شبکه های کامپیوتری فعالیت میکنند

چه چیزی در دوره SANS 504 یاد می گیریم ؟

  • نحوه مدیریت حوادث و پاسخ گویی براساس راهکار های بین اللملی
  • تسلط و آشنایی با حملات متنوع بستر سیستم ها و شبکه های کامپیوتری
  • تسلط و آشنایی بر روی تکنیک های متنوع جمع آوری اطلاعات
  • تسلط و آشنایی بر حملات و نحوه کشف آن‌ها در محیط های Web

دوره آموزش SANS FOR500 و SANS FOR506 ( Windows and Linux Forensics )

دوره آموزش SANS FOR500 و دوره آموزشی SANS FOR506 دو دوره تخصصی سنز سکیوریتی در حوزه کشف جرایم رایانه ای از سیستم عامل های ویندوز و لینوکس می باشند . هدف از این دوره آموزشی تجزیه و تحلیل و احراز صحت داده های جمع آوری شده از سیستم عامل های خانواده ویندوز و لینوکس در جهت بدست آوردن اطلاعات دقیقتر می باشد. در این دوره ها به دانشجویان متدلوژی های مختلف کشف جرم در شکل ها و موقعیت های مختلف در دنیای واقعی آموزش داده می شود. این دوره ویژه کارشناسان امنیت و تیم های آبی و قرمز در سازمان های بزرگ است.

سرفصل های دوره SANS FOR500 و SANS FOR506

FOR500.1:Digital Forensics and Advanced Data Triage
FOR500.2:Shell Items and Removable Device Profiling
FOR500.3:Email Analysis,Windows Timeline,SRUM and Event Logs
FOR500.4:Web Browser Forensics
FOR500.5:Windows Forensics Challenge
FOR500.6:Registry Analysis,Application Execution and Cloud Storage Forensics

مخاطبین دوره SANS FOR500 SANS FOR506

  • پزشکان قانونی دیجیتال
  • فعالان و کارشناسان حوزه پزشکی قانونی دیجیتال و جرم شناسی دیجیتال
  • کارشناسان سطح 1 2 3 مرکز عملیات امنیتی (SoC)
  • متخصصین و فعالان عرصه امنیت سایبری
  • متخصصین و مهندسین عرصه امنیت اطلاعات
  • کارشناسان حوزه امنیت شبکه
  • افراد علاقمند به شروع و یادگیری مبحث کامپیوتر فارنزیک
  • (Computer Forensic) دانشجویان و علاقمندان حوزه فارنزیک ( Forensic )

چه چیزی در دوره SANS FOR500 SANS FOR506 یاد می گیریم؟

  • تسلط بر روی دوره SANS FOR500.1 و FOR500.2
  • تسلط بر روی دوره SANS SEC506.6
  • تسلط بر روی مباحث و اصول جرم شناسی دیجیتال سیستم ها و سرورهای ویندوزی
  • تسلط بر روی مباحث و اصول جرم شناسی دیجیتال سیستم ها و سرورهای لینوکسی
  • تسلط بر روی ابزار ها و تکنیک های جرم شناسی و یا فارنزیک سیستم ها و سرورهای ویندوزی و لینوکسی
  • تسلط کافی بر روی قسمت های حساس سیستم ها به منظور کشف شواهد جرم

بدافزار ماکرو macro چیست پیاده سازی و شناسایی

ماکروها (Macro) یکی از کاربردی ترین روش های مورد استفاده توسط هکرها جهت اجراسازی و توزیع کد های مخرب،بدافزارها، کرم ها و نقض های امنیتی میباشد که تاریخچه این موضوع به سال 1990 برمیگردد و در این سال بود که سو استفاده از ماکروها (Macro) شروع شد اما با گذشت زمان کوتاهی و آموزش کاربران برای مقابله با این نوع حملات به‌ راحتی جلوی این سو استفاده ها گرفته شد. دراصل این روش بدین شکل میباشد که با استفاده از زبان VBScript و و نوشتن ماکرو (Macro) در فایل های Microsoft Office (مانند فایل های Excel و Word) سبب انتشار و توزیع بد افزارها و کدهای مخرب میشوند.

امروزه با افزایش حملات سایبری و پیچیده تر شدن تکنیک‌های مورد استفاده و همچنین بکارگیری مواردی مانند Social Engineering یا همان مهندسی معکوس این نوع حملات دوباره روی کار آمده اند و بر روی بدافزارهای متنوعی استفاده از اینهارا میبینیم.

بدافزار ماکرو نرم‌افزاری مخرب است که از قابلیت‌های ماکرو در برنامه‌های آفیس مانند ورد و اکسل بهره می‌برد.با فریب کاربر جهت فعال کردن ماکرو، این بدافزار کدهای مخرب خود را اجرا می‌کند.پیاده‌سازی آن معمولاً از طریق فایل‌های مستند حاوی اسکریپت‌های پنهان صورت می‌گیرد.شناسایی آن نیازمند بررسی دقیق فایل‌ها و رفتارهای مشکوک در سیستم است.در آموزش هک، یادگیری نحوه تشخیص و بهره‌برداری از ضعف‌های موجود در این نوع بدافزار اهمیت ویژه‌ای دارد.

مفهوم ماکرو (Macro) چیست؟

توجه داشته باشید که خوده ویژگی ماکرو (Macro) یک ویژگی خوب در مجموعه نرم افزارهای Microsoft Office میباشد که به جهت جلوگیری از تکرار یک موضوع استفاده میشود بدین شکل که اگر قرار باشد یک فرآیند به واسطه موس و صفحه کلید انجام شود به جهت اینکه این فرآیند قرار است چندبار انجام شود به راحتی میتوانیم با نوشتن ماکرو (Macro) اینکار را ساده تر و خودکارسازی کنیم که نظیر استفاده از ماکرو (Macro) هارا در نرم افزارهای مانند Word و Excel میبینیم.

بدافزار ماکرو (Macro) چیست؟

توجه کنید زمانی که ماکرو (Macro) زمانی که به جای استفاده از موارد سالم از موارد ناسالم به جهت دانلود و راه اندازی یک بدافزار یا یک کرم استفاده شود یا به جهت اجرای یک فرآیند مخرب مورد استفاده قرار بگیرد به عنوان یک بدافزار ماکرو (Macro) شناسایی میشود.

این بدافزار ماکرو (Macro) به راحتی میتوانند در قالب فایل های Excel و Word بر روی سیستم شما قرار بگیرند و با دادن یک دسترسی اجرایی به راحتی فرآیند و عملیات مورد نظرشان را پیاده سازی کنند.

یک مثال استفاده از ماکرو (Macro) ها در بدافزار Ursnif

بدافزار Ursnif که به عنوان یک تروجان بانکی شناخته میشود در فرآیند توزیع و آلوده سازی سیستم یک سری مراحل را طی میکند که به اصطلاح به این مراحل میگیم Distribution Method که در تصویر زیر دارید میبینید:

اگر توجه کنید در تصویر بالا یک MalSpam (یک ایمیل Spam و مخرب) به کاربر ارسال میشود.

زمانی که این ایمیل ارسال میشود حاوی یک فایل Zip هست که با رمز عبور محافظت میشود.
در این فایل Zip یک فایل Excel وجود دارد زمانی که باز شود و ماکروهای (Macro) آن فعال شونددر این زمان شروع به زدن درخواست های جهت دریافت فایل Exe مربوط به Ursnif میکند. این درخواست ها و این ترافیک هارا در تصویر زیر میبینیم:

پیاده سازی حمله Office Macro

ساخت VBA Payload

برای پیاده سازی این حمله که دراصل به جهت ایجاد یک بدافزار ماکرو (Macro) میباشد ما به سراغ Metasploit میرویم و وارد ماژول Reverse HTTPS میشویم جهت ایجاد یک Payload از نوع Meterpreter

عبارت Show Options را مینویسیم و Enter میزنیم

در موارد بالا ما باید قسمت LHOST را برابر با آدرس IP سیستم لینوکسی خودمان و LPORT را برابر با یک Port دلخواه ( برای مثال 1234 یا 8888 ) قرار میدهیم و همچنین یک قابلیت Process Migration نیز پس از اجرا سازی به آن اضافه میکنیم

بعد از موارد بالا حالا فایل VBS خودمان را ایجاد میکنیم و در Desktop با عنوان Payload.vba ذخیره سازی میکنیم

راه اندازی Connection Handler

برای این مرحله وارد MultiHandler در Metasploit میشویم و LPORT و LHOST و Payload‌ که استفاده کردیم را برای این MultiHandler تنظیم میکنیم و عبارت run را مینویسیم و اجرا میکنیم.برای درک بیشتر مفاهیم و یادگیری تخصصی به دوره SANS Security 573 | خودکارسازی امنیت اطلاعات با Python مراجعه کنید

قرار دادن اسکریپت مخرب VBA در فایل Word

برای اینکار کافیست بر روی یک سیستم ویندوزی Word را اجرا سازی کنید و وارد مسیر View -> Macro شوید.

در مسیر بازشده برای Macro خود یک نام به دلخواه انتخاب کنید و بر روی گزینه Create کلیک کنید.


در صفحه بازشده محتویات VBA Payload که ایجاد کردید را وارد کنید.

حالا کافیست فایل به سمت Target ارسال شود و در هنگام بازشدن فایل کاربر بر روی گزینه Enable Content کلیک کند.

معرفی و کار با ابزار OlaVba جهت شناسایی ماکروهای (Macro) مخرب

یکی از ابزارهای پرکاربرد به که به زبان Python نوشته شده است و از طریق Python هم قابل تعامل میباشد Olevba میباشد. این ابزار یکی از ابزارهای بسیار کاربردی جهت تحلیل و بررسی Macro ها و کدهای مخرب درون این Macro های فایل Excel و Word میباشد. همچنین این ابزار از ویژگی های دیگری از جمله استخراج IOC ها و رمزگشایی تکنیک های مبهم سازی ( Obfuscation ) بدافزارها مانند Hex/Base64/StrReverse/Dridex را هم دارد.

آموزش نصب olevba

نصب این ابزار بسیار سادست و یک کلیک ساده مانند زیر از طریق Pip توانایی نصب آن را دارید:

  • نکته: برای نصب در سیستم های لینوکسی از دستور زیر استفاده کنید:
sudo -H pip install -U oletools

شروع کار با OleVba

برای کارکردن با این ابزار پس از نصب به راحتی با نوشتن عنوان olevba میتوانید Help آن را ببینید و مطمئن شوید که کاملا برایتان نصب شده است.

پس از اطمینان از نصب شدن به واسطه دستور زیر ابتدا نام olevba و بعد نام فایلتان را وارد میکنید که فرآیند تحلیل آن انجام شود.

در خروجی بالا فایل ما یک فایل Word کاملا سالم بود Macro خاصی در آن وجود نداشت.
اما خروجی فایل مخرب زیر را که باهم ایجاد کردیم را ببینید:

میبینید که این فایل را یک فایل مخرب شناسایی کرد و گزارش آن را برایمان نمایش داد.

  • نکته: از طریق OleVba به راحتی میتوانید محتویات Macro را در قالب فایل Text به OleVba ارائه کنید تا برایتان تحلیل آن را انجام بدهد.

Worm چیست؟ بررسی تفاوت ویروس و ورم (Worm) در بدافزارها

یکی از معروف ترین انواع بدافزار یا Malware به نام کرم یا Worm شناخته می شود. هر چند که اکثرا در مورد Worm ها بحثی شبیه به ویروس داریم اما اساسا این دو نوع بدافزار ، دو چیز کاملا متفاوت با ماهیتی متفاوت هستند. تنها وجه اشتراک بین Worm ها و Virus ها در بحث بدافزاری ، تلاش برای تکثیر شدن آنها در سیستم های مختلف است . اما تفاوت اصلی با ویروس در اینجاست که ویروس های کامپیوتری برای اینکه تکثیر شوند نیاز به انجام یک عملیات توسط کاربر دارند ، برای مثال اگر یک کاربر بر روی فایلی کلیک نکند یا DVD یا Flash ای را به سیستم خود نزند ممکن است به ویروس آلوده نشود اما در Worm ها به این شکل نیست و Worm در اصطلاح خودتکثیر یا Self-Replica است و نیازی به انجام کاری توسط کاربر برای تکثیر شدن ندارد .

برخلاف ویروس ها که بصورت خودکار روی یک سیستم تا می توانند تکثیر می شوند ( روی یک سیستم یک ویروس مثلا 100 بار تکثیر میشه ) ، Worm ها فقط یک نسخه از خودشان را بر روی یک سیستم تکثیر می کنند و به سراغ آلوده کردن سیستم بعدی می روند. به این حالت Worm در اصطلاح امنیت Standalone بودن بدافزار می گویند. ویروس ها معمولا از بیرون سیستم کنترل نمی شوند و یک سری وظیفه از قبل تعریف شده دارند اما Worm ها این قابلیت را دارند که توسط مهاجم از راه دور کنترل شوند یا در اصطلاح Remote Controlled شوند.

کته دیگر در خصوص تفاوت ویروس و Worm در نحوه تکثیر است . ویروس ها توسط رسانه ها یا Media هایی مثل Flash و DVD و ... منتقل می شوند یا پیوست ایمیل اما Worm ها توسط آسیب پذیری های موجود در نرم افزارها و سیستم عامل ها تکثیر می شوند و در شبکه تکثیر می شوند نه سیستم . Worm دارای ساختار پیچیده تری به نسب Virus است با توجه به اینکه یک آسیب پذیری را باید در سیستم عامل در شبکه شناسایی و به آن عملا نفوذ کند و به همین دلیل ترافیک و پهنای باند شبکه را در زمان آلودگی افزایش می دهد. Worm ها می توانند در نقش بدافزارهای دیگری مثل جاسوس افزارها ( Spyware ) ، بات ها و حتی تروجان و ... هم فعالیت کنند.میتوانید در دوره آموزش سکیوریتی پلاس بخوبی با بدافزارها Malwares آشنا شوید.این نکته قابل ذکر است که برای ورود به دوره سکیوریتی پلاس و آموزش هک  داشتن دانش لازم در حد دوره آموزش نتورک پلاس الزامی است .

Cryptomalware چیست ؟ معرفی باج افزار یا Ransomware به زبان ساده

وقتی صحبت از Cryptomalware می شود ، ابتدا دو کلمه را در کنار هم بخوانید Cryptography Malware که به ترتیب کلمات بدافزار رمزنگاری ترجمه می شود و به خوبی مفهوم را می رساند. قبلا در خصوص مفهومی به نام Cryptovirology صحبت کرده ایم که در واقع بدافزارهایی که در حوزه رمزنگاری کار می کنند زیر مجموعه این نوع علم بدافزاری هستند. بصورت کلی هر بدافزاری که با استفاده از رمزنگاری اطلاعات اقدام به سوء استفاده از افراد بکند به عنوان Cryptomalware یا بدافزار رمزنگاری ( ترجمه بهتر پیدا کردید Comment بزارید ) شناخته می شود.

باج افزار چیست؟ معرفی Ransomware به زبان ساده

معروف ترین نوع بدافزار رمزنگاری که در دنیا وجود دارد به عنوان باج افزار یا Ransomware شناخته می شود. مکانیزم کاری این نوع بدافزارها به نسبت ساده است ! آنها به سیستم قربانی نفوذ می کنند یا منتقل می شوند ، سپس اطلاعات یا فایل ها با پسوند های مشخصی مثل پسوند مستندات اداری ، عکس ها ، ویدیوها ، فایلهای بکاپ و ... را شناسایی می کنند و آنها را رمزنگاری می کنند و سپس پیامی روی تصویر قربانی درج می کنند که در صورت عدم پرداخت باج به این حساب های کاربری کلیه اطلاعات شما از بین خواهد رفت و بسیاری از کاربران قربانی مجبور به پرداخت این باج هستند تا کلید رمزگشایی را مهاجم در اختیار قربانی قرار بدهد.

به تصویر بالا دقت کنید ، اینجا یک مرکز پزشکی و درمانگاهی مهم در کشور است که به باج افزار آلوده شده است . فرض کنید که مدیر یک شبکه هستید و صبح اول وقت وقتی پای سیستم می نشینید با چنین صحنه ای مواجه شوید که کلیه فایل های شما شبیه چرخدنده و اجرایی شده اند و با کلیک کردن روی آنها پیامی مشابه تصویر بالا دریافت می کنید . این یعنی شما به باج افزار آلوده شده اید . محتوای پیام کاملا مشخص است .در پیامی که باج گیرنده در سیستم شما نمایش می دهد قطعا یک آدرس ایمیل موقتی وجود دارد که برای شما ایجاد شده است و البته یک شناسه منحصر به فرد برای کامپیوتر و یا شبکه شما که توسط آن کلید رمزگشایی توسط مهاجم طراحی شده است نیز در اختیار شما قرار می گیرد.

اگر می خواهید باج بدهید باید این ID را برای آن ایمیل ارسال کنید ، یک نمونه فایل برای رمزگشایی برای مهاجم ارسال کنید و فایل اصلی را دریافت کنید تا متوجه شوید که با هویت درستی برای باج دادن مواجه هستید . این روند کلی باجگیری اینترنتی در دنیاست . جالب است بدانید که در دنیا بیشتر از صدها میلیون دلار در سال از این طریق باجگیری می شود و با توجه به استفاده از مکانیزم های پرداخت بصورت رمزارز ( Cryptocurrency ) امکان پیگیری آنها تا حدی غیر ممکن است .

تجربه آلودگی به باج افزار ایرانی

به تصویر بالا دقت کنید ، این تصویر را شاید بتوانیم تاریخچه باج افزاری در ایران بدانیم . این تجربه من در یکی از سازمان های حیاتی در ایران در سال 1387 بود که آلوده به نوعی باج افزار ایرانی شده بودند که بصورت هدفمند این سازمان را مورد هدف قرار داده بودند و قصد اخاذی و باجگیری داشتند که خوشبختانه ما موفق شدیم این مشکل را حل کنیم . تصویر بالا در حال حاضر فاقد هرگونه ارزش امنیتی بوده و با توجه به گذشت 12 سال از این موضوع دیگر انتشار آن نیز اهمیتی ندارد و برای اولین بار در ایران این تصویر توسط بنده در اینترنت منتشر می شود .میتوانید در دوره آموزش سکیوریتی پلاس بخوبی با بدافزارها Malwares آشنا شوید.این نکته قابل ذکر است که برای ورود به دوره سکیوریتی پلاس و آموزش هک داشتن دانش لازم در حد دوره آموزش نتورک پلاس الزامی است .