۱ مفاهیم اولیه، آمارهای تهدیدات و رویکرد هک اخلاقی
۱.۱ معرفی دوره و پیش‌نیازهای حوزه امنیت
تعریف ساده: دوره CEH (Certified Ethical Hacker) یکی از دوره‌های پایه‌ای و پیش‌نیازهای اصلی برای ورود به مسیرهای تخصصی امنیت سایبری (اعم از تیم‌های دفاعی Blue Team و تهاجمی Red Team) است.
توضیح مفهوم: این دوره به معرفی مقدمات حوزه امنیت، بررسی اتفاقات و تهدیدات پیرامونی، شناسایی مشکلات سازمان‌ها و نحوه تفکر یک نفوذگر می‌پردازد. هدف اولیه، آشنایی با مفاهیم کلی، فازهای مختلف جمع‌آوری اطلاعات (Footprinting & Reconnaissance)، اسکن (Scanning)، شناسایی آسیب‌پذیری‌ها (Vulnerability Analysis) و انومریشن (Enumeration) است.
۱.۲ آمارها و گزارش‌های تهدیدات شرکت CrowdStrike (سال 2024)
تعریف ساده: شرکت CrowdStrike یکی از قدرتمندترین شرکت‌های امنیت سایبری است که ابزار EDR آن به نام Falcon طبق گزارش شرکت پژوهشی Gartner به عنوان لیدر (Leader) حوزه شناسایی تهدیدات شناخته می‌شود.
توضیح مفهوم: بررسی آمارهای جهانی بر اساس گزارش این شرکت نشان‌دهنده تغییر رفتار مهاجمان و پیچیده‌تر شدن تکنیک‌های نفوذ است:
- تعداد گروه‌های مهاجم: شناسایی ۳۴ گروه مهاجم جدید توسط CrowdStrike که مجموع گروه‌های تحت نظر را به ۲۳۲ گروه سازمان‌یافته (از جمله گروه پیشرفته APT29) رسانده است.
- حملات مبتنی بر ابری (Cloud-conscious): افزایش ۱۱۰ درصدی موارد نفوذ به زیرساخت‌های ابری نسبت به سال قبل (YoY).
- سایت‌های افشای اطلاعات (eCrime Leak Sites): افزایش ۷۶ درصدی قربانیان نام‌برده‌شده در سایت‌های افشای اطلاعات.
- فروشندگان دسترسی (Access Brokers): افزایش ۵۰ درصدی تبلیغات مربوط به فروش دسترسی اولیه به شبکه‌ها در فروم‌های زیرزمینی.
- حملات مهندسی اجتماعی صوتی (Vishing): رشد ۴۴۲ درصدی حملات ویژینگ در نیمه دوم سال ۲۰۲۴.
- زمان گستردگی نفوذ (Breakout Time): میانگین زمان Breakout (زمان لازم برای مهاجم پس از نفوذ اولیه جهت حرکت عرضی و گسترش دسترسی در شبکه) به ۴۸ دقیقه کاهش یافته و سریع‌ترین مورد ثبت‌شده تنها ۵۱ ثانیه بوده است.
- حملات بدون بدافزار (Malware-free / LOLBins): در سال ۲۰۲۴ حدود ۷۹ درصد از نفوذهای شناسایی‌شده بدون استفاده از بدافزار فیزیکی و با بهره‌گیری از ابزارهای داخلی سیستم‌عامل (Living off the Land) انجام شده‌اند (در مقایسه با ۴۰ درصد در سال ۲۰۱۹).
| شاخص امنیت | آمار و میزان تغییر (YoY) | توضیحات فنی |
|---|---|---|
| CrowdStrike Tracked Adversaries | +34 new (Total 232) | شناسایی گروه‌های پیشرفته مانند APT29 |
| Cloud-conscious Cases | +110% YoY | افزایش حملات هدفمند به محیط‌های ابری |
| eCrime Leak Sites Victims | +76% YoY | افشای اطلاعات سازمان‌ها پس از باج‌گیری |
| Access Broker Ads | +50% YoY | خرید و فروش دسترسی‌های اولیه سازمان‌ها |
| Vishing Attacks | +442% YoY | جهش حملات فیشینگ صوتی و مهندسی اجتماعی |
| Average Breakout Time | 48 Minutes (Fastest: 51s) | کاهش زمان طلایی شناسایی و مهار مهاجم |
| Malware-free Detections | 79% (vs 40% in 2019) | استفاده از ابزارهای بومی سیستم‌عامل جهت عبور از EDR |
اجرای این تکنیک‌ها فقط روی آزمایشگاه شخصی یا سیستمی که مجوز کتبی داری مجاز است.
۱.۳ تغییر تکنیک‌های مهاجمان و استفاده از ابزارهای بومی (LOLBins)
تعریف ساده: مهاجمان امروزی به جای ابزارهای سنتی اسکن که به راحتی توسط آنتی‌ویروس و EDR کشف می‌شوند، از قابلیت‌ها و دستورات بومی سیستم‌عامل استفاده می‌کنند.
توضیح مفهوم: ابزارهایی مانند Nmap برای اسکن شبکه بسیار کاربردی هستند و در این دوره هم بررسی می‌شوند، اما اجرای مستقیم آن‌ها در محیط واقعی تست نفوذ یا حمله باعث شناسایی سریع توسط EDR و ابزارهای مانیتورینگ می‌شود. مهاجمان برای عبور از EDR:
- از اسکریپت‌های PowerShell برای اسکن پورت‌ها و اجرای دستورات استفاده می‌کنند.
- توابع داخلی سیستم‌عامل (Win32 APIs) را مستقیماً فراخوانی می‌کنند.
- مکانیزم‌های بومی سیستم‌عامل را جایگزین ابزارهای خارجی می‌سازند.
# نمونه اسکریپت ساده PowerShell جهت اسکن پورت بدون نیاز به ابزار خارجی Nmap
Test-NetConnection -ComputerName 192.168.1.1 -Port 80۱.۴ بررسی دمو و نمونه حمله ۴ دقیقه‌ای (Curly Spider Case Study)
توضیح مفهوم: بر اساس تحلیل سناریوی حمله واقعی گروه Curly Spider، کل فرایند نفوذ از فیشینگ تا ایجاد حساب کاربری بک‌دور کمتر از ۴ دقیقه به طول می‌انجامد:
curl جهت دانلود اسکریپت‌های مخرب.۱.۵ واژهنامه تخصصی فصل اول
| Term | معنی |
|---|---|
| EDR (Endpoint Detection and Response) | سیستم هوشمند شناسایی و پاسخ به تهدیدات در نقاط پایانی. |
| Falcon | پلتفرم EDR معروف شرکت CrowdStrike. |
| Breakout Time | زمان طی‌شده از نفوذ اولیه مهاجم تا شروع حرکت عرضی در شبکه. |
| LOLBins (Living off the Land) | استفاده از ابزارهای قانونی سیستم‌عامل جهت مخفی‌کاری در حمله. |
| Vishing | حملات فیشینگ از طریق تماس تلفنی و مهندسی اجتماعی صوتی. |
طبق اصل بنیادی دوره CEH: "To beat a hacker, you need to think like one!" (برای مقابله با یک هکر، باید مثل او فکر کنید). هدف هک اخلاقی، شبیه‌سازی دقیق روش‌ها و ابزارهای مهاجمان برای کشف و رفع نقاط ضعف پیش از سوءاستفاده غیرقانونمند است.
- دوره CEH پیش‌نیاز ورود به حوزه‌های اتک (Red Team) و دفاع (Blue Team) است.
- آمارهای CrowdStrike 2024 نشان‌دهنده کاهش زمان Breakout به ۴۸ دقیقه و رشد ۷۹ درصدی حملات بدون بدافزار است.
- مهاجمان به جای ابزارهای پر سر و صدا مثل Nmap، از APIها و PowerShell بومی سیستم‌عامل استفاده می‌کنند.
- فلسفه اصلی هک اخلاقی، تفکر و عمل مانند هکرها جهت ایمن‌سازی زیرساخت است.
سؤالات مرور فصل اول
سؤال ۱: شاخص Breakout Time به چه معناست و میانگین آن در سال ۲۰۲۴ چقدر ثبت شده است؟
پاسخ: به مدت‌زمانی اشاره دارد که مهاجم پس از نفوذ اولیه برای گسترش دسترسی خود در شبکه نیاز دارد. میانگین آن ۴۸ دقیقه و سریع‌ترین زمان ثبت‌شده ۵۱ ثانیه بوده است.
سؤال ۲: چرا مهاجمان امروزی ترجیح می‌دهند به جای Nmap از PowerShell استفاده کنند؟
پاسخ: زیرا Nmap توسط ابزارهای امنیتی و EDR به راحتی شناسایی می‌شود، اما PowerShell ابزار رسمی سیستم‌عامل است و ترافیک آن شبیه فعالیت‌های عادی ادمین شبکه به نظر می‌رسد.
سؤال ۳: به چه علت ۷۹ درصد حملات سال ۲۰۲۴ به صورت Malware-free ثبت شده‌اند؟
پاسخ: مهاجمان برای پنهان ماندن از دید آنتی‌ویروس‌ها و سیستم‌های EDR، از قابلیت‌های بومی و ابزارهای داخلی سیستم‌عامل (LOLBins) استفاده می‌کنند.
۲ گواهینامه‌ها، مفاهیم پایه امنیت و طبقه‌بندی هکرها
۲.۱ معرفی دوره‌ها و موسسات بین‌المللی امنیت
تعریف ساده: دوره‌های آموزشی امنیت سایبری توسط موسسات مختلفی مانند EC-Council و SANS ارائه می‌شوند که هر کدام روی گرایش خاصی تمرکز دارند.
توضیح مفهوم:
- موسسه EC-Council:
- CEH (Certified Ethical Hacker): دوره پایه‌ای با دیدگاه تهاجمی و آشنایی کلی با مفاهیم هک و امنیت.
- CHFI (Computer Hacking Forensic Investigator): دوره پایه‌ای جرم‌یابی دیجیتال با دیدگاه فارنزیک و بررسی لاگ‌ها جهت کشف نحوه وقوع نفوذ.
- CPENT (Certified Penetration Testing Professional): دوره پیشرفته تست نفوذ که جایگزین دوره قدیمی ECSA شده است.
- موسسه SANS:
- SEC 504: ابزارها، تکنیک‌ها و رسیدگی به حوادث (بسیار شبیه به دوره CEH).
- SEC 560: تست نفوذ شبکه (Network Penetration Testing).
- SEC 660: تست نفوذ و اکسپلویت پیشرفته شبکه.
- SEC 542: تست نفوذ وب‌اپلیکیشن.
- SEC 642: تست نفوذ پیشرفته وب.
- FOR 500: جرم‌یابی و فارنزیک سیستم‌عامل ویندوز.
- FOR 572: جرم‌یابی و فارنزیک شبکه.
- FOR 526: فارنزیک حافظه اصلی (Memory Forensics).
۲.۲ قانون جرائم رایانه‌ای ایران (ماده ۱)
تعریف ساده: قانون جرائم رایانه‌ای چارچوب حقوقی برخورد با دسترسی‌های غیرمجاز را در کشور تعیین می‌کند.
توضیح مفهوم:
ماده ۱: هرکس به طور غیرمجاز به داده‌ها یا سیستم‌های رایانه‌ای یا مخابراتی که به وسیله تدابیر امنیتی حفاظت شده است دسترسی یابد، به حبس از نود و یک روز تا یک سال یا جزای نقدی از ۲۰ تا ۵۰ میلیون ریال یا هر دو مجازات محکوم خواهد شد.
۲.۳ مفاهیم پایه: آسیب‌پذیری، تهدید و حمله
تعریف ساده: آسیب‌پذیری نقطه‌ضعف سیستم است، تهدید خطری است که سیستم را تهدید می‌کند و حمله اجرای عملی سوءاستفاده است.
توضیح مفهوم:
- آسیب‌پذیری (Vulnerability): یک نقص یا ضعف امنیتی در سیستم‌عامل، نرم‌افزار یا پروتکل که امکان سوءاستفاده را فراهم می‌کند.
- تهدید (Threat): خطرات بالقوه‌ای که در صورت اکسپلویت شدن آسیب‌پذیری رخ می‌دهند (مانند افشای اطلاعات، دسترسی غیرمجاز یا از کار افتادن سیستم).
- حمله (Attack): بالفعل شدن تهدید از طریق سوءاستفاده عملی از آسیب‌پذیری.
Attack = Motive (Goal) + Method (TTPs) + Vulnerability
۲.۴ انواع حملات (Attack Types)
توضیح مفهوم: حملات بر اساس نحوه تعامل مهاجم با هدف به دسته‌های زیر تقسیم می‌شوند:
۲.۵ طبقه‌بندی هکرها و کلاه‌ها
تعریف ساده: هکرها بر اساس دانش، انگیزه و مجوز قانونی به دسته‌های مختلفی تقسیم می‌شوند.
توضیح مفهوم:
- هکر کلاه سفید (White Hat): هکر اخلاقی که با مجوز، قرارداد و هدف ارتقای امنیت به ارزیابی سیستم‌ها می‌پردازد.
- هکر کلاه سیاه (Black Hat): نفوذگر غیرقانونی که با هدف تخریب، سرقت یا سود مالی حمله می‌کند.
- هکر کلاه خاکستری (Gray Hat): فردی بین کلاه سفید و سیاه که بدون مجوز قبلی اقدام به تست می‌کند اما قصد تخریب ندارد.
- اسکریپت‌کیدی (Script Kiddies): افراد با دانش فنی کم که تنها از ابزارهای آماده دیگران بدون درک عمیق مکانیزم پشت‌پرده استفاده می‌کنند.
- هکتیویست (Hacktivist): هکرهایی با انگیزه‌های سیاسی یا اجتماعی.
- جاسوسان سایبری (Cyber Spies) و تروریست‌های سایبری (Cyber Terrorists): گروه‌های وابسته به دولت‌ها یا سازمان‌های مخرب برای جاسوسی و تخریب زیرساخت‌ها.
۲.۶ واژهنامه تخصصی فصل دوم
| Term | معنی |
|---|---|
| Vulnerability | آسیب‌پذیری یا نقص فنی موجود در نرم‌افزار یا سیستم. |
| Threat | تهدید؛ خطر بالقوه سوءاستفاده از آسیب‌پذیری. |
| Passive Attack | حمله غیرفعال بدون دستکاری داده‌ها (نظیر شنود). |
| Active Attack | حمله فعال همراه با دستکاری داده‌ها یا قطع سرویس. |
| Insider Attack | حمله توسط کارکنان یا افراد دارای دسترسی داخلی سازمان. |
- دوره‌های EC-Council (مانند CEH و CHFI) و SANS (مانند SEC504 و SEC560) استانداردهای اصلی آموزش امنیت هستند.
- طبق ماده ۱ قانون جرائم رایانه‌ای، هرگونه دسترسی غیرمجاز جرم بوده و مجازات حبس یا جزای نقدی دارد.
- فرمول حمله عبارت است از: انگیزه + متد + آسیب‌پذیری.
- حملات به دسته‌های Passive، Active، Close-in، Insider و Distribution تقسیم می‌شوند.
سؤالات مرور فصل دوم
سؤال ۱: تفاوت اصلی دوره CEH و CHFI از نظر دیدگاه چیست؟
پاسخ: دوره CEH دیدگاه تهاجمی (Attacker/Offensive) دارد و بر نحوه انجام تست نفوذ تمرکز می‌کند، اما CHFI دیدگاه جرم‌یابی و فارنزیک (Forensic) دارد و به شناسایی ردپای مهاجم و لاگ‌ها می‌پردازد.
سؤال ۲: فرمول تشکیل‌دهنده یک حمله (Attack) چیست؟
پاسخ: انگیزه/هدف (Motive) + روش/تکنیک (Method/TTPs) + آسیب‌پذیری (Vulnerability).
سؤال ۳: حمله Close-in چیست و شامل چه مواردی می‌شود؟
پاسخ: حملاتی که در مجاورت فیزیکی سیستم یا سازمان اتفاق می‌افتند، مانند تکنیک‌های مهندسی اجتماعی، Shoulder Surfing و Dumpster Diving.
۳ اصول هک اخلاقی، فرایند تست نفوذ و مفاهیم نفوذ
۳.۱ تعهدات هکر اخلاقی و سند NDA
تعریف ساده: هکر اخلاقی تمام مراحل نفوذ را با مجوز رسمی، اطلاع سازمان و تحت قراردادهای حقوقی مشخص انجام می‌دهد.
توضیح مفهوم: هکر اخلاقی متعهد است که اطلاعات کشف‌شده را محرمانه نگه دارد و برای این منظور قرارداد عدم افشای اطلاعات (NDA - Non-Disclosure Agreement) امضا می‌کند. در توافق‌نامه تست نفوذ، موارد زیر به طور دقیق مشخص می‌شوند:
- اهداف مورد ارزیابی (سایت‌ها، سرورها، محدوده IPها).
- افراد و کارمندان درگیر در ارزیابی.
- نوع سرویس‌ها و ابزارهای مورد ارزیابی.
- مدل تست نفوذ (تست از بیرون External یا تست از داخل Internal).
۳.۲ مهارت‌های مورد نیاز یک هکر اخلاقی
توضیح مفهوم: یک هکر اخلاقی برای موفقیت باید مباحث زیر را به طور عمقی فرا گیرد:
- دانش شبکه: تسلط بر سرویس‌ها و پروتکل‌های شبکه (دوران گذرانده‌شده MCSE/MCITP و CCNA).
- آشنایی با سیستم‌عامل‌ها: تسلط بر مدیریت و مکانیزم‌های داخلی ویندوز (Windows Internals) و لینوکس.
- شناخت آسیب‌پذیری‌ها: متابعت از اخبار امنیت، کدهای اکسپلویت و سایت‌های مرجع آسیب‌پذیری (مانند Exploit-DB و CVE).
- ارائه راهکارهای امنیتی (Countermeasures): توانایی ارائه راهکارها و تنظیمات امنیتی (Hardening) جهت رفع مشکلات، نه صرفاً ارائه گزارش آسیب‌پذیری.
۳.۳ مراحل اجرای فرایند هک اخلاقی و تست نفوذ
توضیح مفهوم: فرایند تست نفوذ شامل گام‌های زیر به ترتیب است:
۳.۴ اصطلاحات کلیدی نفوذ: اکسپلویت، شل، وب‌شل و Zero-Day
تعریف ساده: ابزارها و کدهایی که برای سوءاستفاده از ضعف سیستم و گرفتن دسترسی استفاده می‌شوند.
توضیح مفهوم:
- اکسپلویت (Exploit): یک قطعه کد، دستور یا ابزار که از یک آسیب‌پذیری سوءاستفاده کرده و امکان دسترسی را فراهم می‌سازد.
- تارگت (Target): سیستم، سرور یا وب‌سایتی که هدف تست قرار گرفته است.
- داکسینگ (Doxing): جمع‌آوری و دسته‌بندی اطلاعات شخصی یا سازمانی هدف از منابع عمومی.
- شل (Shell): دسترسی به خط فرمان سیستم هدف (CMD در ویندوز یا Terminal در لینوکس) پس از اجرای موفق اکسپلویت.
- وب‌شل (Web Shell): کدی (مانند اسکریپت PHP یا ASP) که از طریق آسیب‌پذیری آپلود شده و امکان دسترسی به کل سرور وب را از طریق مرورگر فراهم می‌کند.
- روز صفر (Zero-Day): آسیب‌پذیری ناشناخته‌ای که هنوز توسط تولیدکننده شناسایی یا پچ نشده و تنها مهاجم از آن مطلع است.
۳.۵ نمودار دانش مهاجم در برابر پیچیدگی حملات (تغییر از دهه 1980 تا کنون)
توضیح مفهوم: بررسی سیر تاریخی امنیت نشان می‌دهد:
- دهه ۱۹۸۰: برای اجرای یک حمله ساده (مانند حدس زدن پسورد)، مهاجم نیاز به دانش بسیار عمیقی از سیستم‌عامل و برنامه‌نویسی داشت.
- عصر حاضر: با پیدایش ابزارهای خودکار و هوش مصنوعی (ChatGPT، DeepSeek و Grok)، دانش فنی مورد نیاز مهاجم برای وارد کردن ضربات سنگین کاهش یافته است (سطح بالای پیچیدگی حمله با دانش ورودی کم).
۳.۶ واژهنامه تخصصی فصل سوم
| Term | معنی |
|---|---|
| NDA | قرارداد عدم افشای اطلاعات بین پنتستر و مشتری. |
| Exploit | کد یا ابزار سوءاستفاده از آسیب‌پذیری امنیتی. |
| Shell | دسترسی تعاملی به خط فرمان سیستم هدف. |
| Web Shell | اسکریپت مخرب آپلودشده روی وب‌سرور جهت مدیریت سرور. |
| Zero-Day | آسیب‌پذیری ناشناخته که هنوز وصله امنیتی برای آن ارائه نشده است. |
- هکر اخلاقی بر اساس قرارداد و NDA محرمانه، مسئولیت ارزیابی قانونی شبکه را بر عهده دارد.
- مراحل تست نفوذ از دریافت Questionnaire و امضای NDA آغاز شده و به گزارش‌دهی ختم می‌شود.
- شل به معنای دسترسی تعاملی به خط فرمان، و وب‌شل اسکریپت آپلودشده روی وب‌سرور است.
- با پیشرفت هوش مصنوعی، سطح دانش مورد نیاز برای اجرای حملات پیچیده کاهش یافته است.
سؤالات مرور فصل سوم
سؤال ۱: سند NDA چیست و چه نقشی در هک اخلاقی دارد؟
پاسخ: سند Non-Disclosure Agreement (تفاهم‌نامه عدم افشای اطلاعات) سری ماندن تمام داده‌ها و آسیب‌پذیری‌های کشف‌شده در طول تست نفوذ را تضمین می‌کند.
سؤال ۲: مفهوم Web Shell را توضیح دهید.
پاسخ: اسکریپتی مخرب (مانند PHP یا ASP) که پس از سوءاستفاده از آسیب‌پذیری آپلود روی سرور وب قرار گرفته و دسترسی خط فرمان به سرور را فراهم می‌کند.
سؤال ۳: اصطلاح Zero-Day به چه نوع آسیب‌پذیری اطلاق می‌شود؟
پاسخ: آسیب‌پذیری که تنها دست مهاجم یا یابنده آن است، عمومی نشده و هنوز هیچ وصله امنیتی (Patch) برای آن ارائه نشده است.
۴ مثلث‌های امنیت، اتک وکتورها و فریم‌ورک‌های حمله
۴.۱ مثلث CIA و مفاهیم Authenticity و Non-Repudiation
تعریف ساده: سه اصل بنیادی امنیت شامل محرمانگی، یکپارچگی و دسترس‌پذیری است.
توضیح مفهوم:
- محرمانگی (Confidentiality): حفظ داده‌ها از دسترسی افراد غیرمجاز (با رمزنگاری و احراز هویت).
- یکپارچگی (Integrity): اطمینان از صحت داده‌ها و عدم دستکاری آن‌ها در حالت ذخیره یا انتقال.
- دسترس‌پذیری (Availability): در دسترس بودن سیستم‌ها و داده‌ها برای کاربران مجاز در زمان نیاز.
- اصالت (Authenticity): اطمینان از هویت واقعی فرستنده داده.
- عدم انکار (Non-Repudiation): اثبات ارسال داده توسط فرستنده به طوری که نتواند آن را انکار کند.
۴.۲ مثلث تعادل امنیت (Security, Functionality, Ease of Use)
تعریف ساده: امنیت، عملکرد و راحتی استفاده در یک مثلث تعادلی قرار دارند و افزایش بیش از حد یکی باعث کاهش دیگری می‌شود.
توضیح مفهوم:
- اگر امنیت به ۱۰۰٪ نزدیک شود، راحتی استفاده کاربر (Ease of Use) و عملکرد (Functionality) دچار اختلال شدید می‌شود.
- هدف برنامه‌ریزی امنیتی، ایجاد تعادل متناسب در مرکز این مثلث است. امنیت ۱۰۰٪ وجود ندارد.
۴.۳ مسیرهای حمله (Attack Vectors) و ۴ دسته‌بندی اصلی حملات
تعریف ساده: راه یا مسیری که مهاجم برای نفوذ به سیستم از آن استفاده می‌کند، Attack Vector نامیده می‌شود.
توضیح مفهوم: تمامی حملات در یکی از ۴ دسته زیر جای می‌گیرند:
برای جلوگیری از حملات Misconfiguration، سازمان‌ها باید مستندات ایمن‌سازی استاندارد مانند CIS (Center for Internet Security) را روی تمامی تجهیزات و سیستم‌عامل‌ها پیاده‌سازی کنند.
۴.۴ فریم‌ورک Cyber Kill Chain شرکت Lockheed Martin (۷ مرحله)
تعریف ساده: متدولوژی ۷ مرحله‌ای جهت تشریح و تحلیل نحوه نفوذ مهاجم از ابتدا تا هدف نهایی.
توضیح مفهوم:
۴.۵ نشانه‌های نفوذ (Indicators of Compromise - IoCs)
توضیح مفهوم: سرنخ‌ها و داده‌های فارنزیکی که نشان‌دهنده وقوع نفوذ در شبکه یا سیستم هستند و به ۴ دسته تقسیم می‌شوند:
- Email Indicators: فرستنده مشکوک، موضوع ایمیل و هش فایل ضمیمه.
- Network Indicators: آدرس‌های IP مشکوک، دامنه‌های مخرب و تونل‌زنی DNS.
- Host-Based Indicators: کلیدهای رجیستری تغییریافته، هش فایل‌ها، نام DLLها.
- Behavioral Indicators: اجرای غیرعادی اسکریپت‌های PowerShell یا کدهای از راه دور.
۴.۶ فازهای ۵گانه CEH در برابر Cyber Kill Chain
| ویژگی | فریم‌ورک CEH | فریم‌ورک Cyber Kill Chain |
|---|---|---|
| نوع فریم‌ورک | آموزشی - عملیاتی (Blue/Red Team) | تحلیلی - تدافعی (Red Team Analysis) |
| تمرکز اصلی | تست نفوذ و ارزیابی تهاجمی | شناسایی، پاسخ و مهار تهدیدات |
| توسعه‌دهنده | EC-Council | Lockheed Martin |
| مخاطب اصلی | هکرهای اخلاقی و پنتسترها | تحلیل‌گران مرکز عملیات امنیت (SOC) |
| فازها | 1. Reconnaissance 2. Vulnerability Scanning 3. Gaining Access 4. Maintaining Access 5. Clearing Tracks | 1. Reconnaissance 2. Weaponization 3. Delivery 4. Exploitation 5. Installation 6. Command & Control 7. Actions on Objectives |
۴.۷ فریم‌ورک MITRE ATT&CK و ماتریس TTPs
تعریف ساده: ماتریس جامع تاکتیک‌ها، تکنیک‌ها و رویه‌ها (TTPs) که رفتار گروه هکری را تشریح می‌کند.
توضیح مفهوم: فریم‌ورک MITRE ATT&CK شامل ۱۴ تاکتیک (مانند Initial Access، Execution، Persistence، Privilege Escalation، Defense Evasion، Credential Access، Discovery، Lateral Movement، Exfiltration و C2) است. برای هر تاکتیک، تکنیک‌ها و روش‌های اجرای دقیق ثبت شده است.
۴.۸ واژهنامه تخصصی فصل چهارم
| Term | معنی |
|---|---|
| CIA Triad | سه اصل محرمانگی، یکپارچگی و دسترس‌پذیری در امنیت. |
| Attack Vector | مسیر یا کانال ورود مهاجم به سیستم اطلاعاتی. |
| Cyber Kill Chain | فریم‌ورک ۷ مرحله‌ای لاکهید مارتین برای تحلیل نفوذ. |
| IoC | نشانه‌ها و داده‌های ثبت‌شده نشان‌دهنده وقوع نفوذ. |
| MITRE ATT&CK | ماتریس جامع تاکتیک‌ها، تکنیک‌ها و رویه‌های مهاجمان. |
- سه اصل CIA به همراه Authenticity و Non-Repudiation پایه امنیت اطلاعات را تشکیل می‌دهند.
- پیکربندی نادرست (Misconfiguration) شایع‌ترین عامل نفوذ به سیستم‌هاست.
- فریم‌ورک Cyber Kill Chain شامل ۷ مرحله از شناسایی تا اجرای هدف است.
- نشانه‌های نفوذ (IoC) به ۴ دسته Email، Network، Host و Behavioral تقسیم می‌شوند.
- فریم‌ورک MITRE ATT&CK رفتار مهاجمان را در قالب ۱۴ تاکتیک و TTPs مدلسازی می‌کند.
سؤالات مرور فصل چهارم
سؤال ۱: شایع‌ترین دسته‌بندی حملات بر اساس تجربه عملیاتی چیست؟
پاسخ: حملات ناشی از پیکربندی نادرست (Misconfiguration Attacks) مانند استفاده از پسوردهای پیش‌فرض و عدم ایمن‌سازی.
سؤال ۲: ۷ مرحله فریم‌ورک Cyber Kill Chain را نام ببرید.
پاسخ: ۱. Reconnaissance ۲. Weaponization ۳. Delivery ۴. Exploitation ۵. Installation ۶. Command & Control ۷. Actions on Objectives.
سؤال ۳: تفاوت اصلی فریم‌ورک CEH و Cyber Kill Chain چیست؟
پاسخ: فریم‌ورک CEH جنبه آموزشی و عملیاتی تست نفوذ دارد، اما Cyber Kill Chain جنبه تحلیلی، تدافعی و مهار حمله در SOC را داراست.
۵ مدل‌های تحلیل نفوذ، دفاع در عمق و هوش تهدیدات
۵.۱ مدل الماس در تحلیل نفوذ (Diamond Model of Intrusion Analysis)
تعریف ساده: مدلی برای نگاشت و تحلیل رخدادهای امنیتی بر اساس ۴ راس متصل به‌هم.
توضیح مفهوم: این مدل ارتباط بین چهار عنصر اصلی را بررسی می‌کند:
ویژگی‌های متاداده (Meta-Features): شامل زمان دقیق (Timestamp)، فاز حمله (Phase)، نتیجه (Result)، مسیر (Direction)، متدولوژی (Methodology) و منابع (Resources).
۵.۲ مدل امنیت تطبیقی (Adaptive Security Strategy - Gartner)
تعریف ساده: یک چرخه دائمی و چهار مرحله‌ای برای دفاع پیشگیرانه و واکنشی در سازمان.
توضیح مفهوم:
- Predict (پیش‌بینی): ارزیابی ریسک، ارزیابی آسیب‌پذیری و هوش تهدید قبل از حمله.
- Protect (محافظت): پیاده‌سازی دفاع در عمق، امن‌سازی نقاط پایانی و رمزنگاری.
- Detect (شناسایی): مانیتورینگ مداوم تهدیدات در حین حمله.
- Respond (پاسخگویی): واکنش به حوادث و مهار آن پس از شناسایی.
۵.۳ استراتژی دفاع در عمق (Defense-in-Depth)
تعریف ساده: عدم اتکا به یک لایه امنیتی و پیاده‌سازی کنترل‌های چندلایه جهت حفاظت از داده‌ها.
توضیح مفهوم: اگر مهاجم از دیوار فایروال لبه شبکه عبور کند، لایه‌های بعدی (زون‌بندی شبکه Segmentation، آنتی‌ویروس، کنترل دسترسی به دیتابیس، رمزنگاری و DLP) مانع دسترسی کامل او به اطلاعات حساس می‌شوند.
۵.۴ هوش تهدیدات سایبری (Cyber Threat Intelligence - CTI)
تعریف ساده: جمع‌آوری و تحلیل اطلاعات مربوط به تهدیدات برای تبدیل تهدیدات ناشناخته به شناخته‌شده.
توضیح مفهوم: CTI در ۴ سطح ارائه می‌شود:
- Strategic CTI: اطلاعات کلان مدیریتی جهت تصمیم‌گیری‌های استراتژیک (برای مدیران ارشد).
- Tactical CTI: روش‌ها، تکنیک‌ها و TTPهای مهاجمان (برای مدیران IT و SOC).
- Operational CTI: اطلاعات مربوط به حملات خاص در حال وقوع (برای مدافعان شبکه).
- Technical CTI: شاخص‌های فنی نفوذ مانند IPها، هش بدافزار و IoCها (برای تیم‌های IR و SOC).
چرخه حیات هوش تهدید (Threat Intelligence Lifecycle - 5 Steps):
۵.۵ واژهنامه تخصصی فصل پنجم
| Term | معنی |
|---|---|
| Diamond Model | مدل تحلیلی رخداد نفوذ مبتنی بر ۴ راس مهاجم، زیرساخت، قابلیت و قربانی. |
| Defense-in-Depth | پیاده‌سازی لایه‌های امنیتی متعدد برای جلوگیری از تک‌نقطه شکست. |
| CTI | هوش تهدیدات سایبری جهت تحلیل رفتار و شاخص‌های مهاجمان. |
| OSINT | جمع‌آوری اطلاعات از منابع عمومی و آزاد اینترنتی. |
| HUMINT | هوش و جمع‌آوری اطلاعات از طریق منابع انسانی. |
- مدل الماس رخدادها را حول ۴ راس مهاجم، زیرساخت، قابلیت و قربانی تحلیل می‌کند.
- مدل امنیت تطبیقی گارتنر شامل ۴ چرخه Predict، Protect، Detect و Respond است.
- دفاع در عمق حاصل پیاده‌سازی لایه‌های امنیتی متعدد متصل به یکدیگر است.
- هوش تهدید (CTI) به ۴ سطح استراتژیک، تاکتیکی، عملیاتی و فنی تقسیم می‌شود.
سؤالات مرور فصل پنجم
سؤال ۱: ۴ راس اصلی در Diamond Model را نام ببرید.
پاسخ: Adversary (مهاجم)، Infrastructure (زیرساخت)، Capability (قابلیت)، Victim (قربانی).
سؤال ۲: ۴ سطح هوش تهدید (CTI) را نام برده و مخاطب سطح Strategic را مشخص کنید.
پاسخ: Strategic، Tactical، Operational، Technical. مخاطب سطح استراتژیک مدیران ارشد سازمان هستند.
سؤال ۳: سه منبع جمع‌آوری داده در مرحله Collection چرخه CTI چیست؟
پاسخ: OSINT (اطلاعات منابع باز)، HUMINT (اطلاعات انسانی) و IMINT (اطلاعات تصویری).
۶ مدیریت حوادث امنیتی و نقش هوش مصنوعی در امنیت
۶.۱ چرخه پاسخگویی به حوادث (Incident Response Lifecycle)
تعریف ساده: روال گام‌به‌گام مقابله با حوادث امنیتی از لحظه وقوع تا بازگشت به حالت عادی.
توضیح مفهوم:
۶.۲ نقش هوش مصنوعی و یادگیری ماشین (AI / ML) در دفاع سایبری
تعریف ساده: بهره‌گیری از الگوریتم‌های هوشمند جهت ارتقای سرعت کشف و پاسخ به تهدیدات.
توضیح مفهوم: کاربردهای هوش مصنوعی در بخش دفاعی (Blue Team):
- Real-time Anomaly Detection: شناسایی رفتارهای غیرعادی در لحظه.
- کاهش False Positives: کاهش هشدارهای اشتباه و سبک کردن بار کاری تیم‌های SOC.
- Backtracking: تحلیل مسیر حرکت افقی مهاجم و یافتن اولین نقطه‌تلاقی آلودگی.
- کاربرد در محافظت از پسورد، شناسایی فیشینگ، رفتارشناسی و مقابله با بات‌نت‌ها.
۶.۳ ابزارهای هوش مصنوعی مبتنی بر ChatGPT در هک اخلاقی
توضیح مفهوم: دستیارهای هوش مصنوعی به پنتسترها در سرعت‌بخشی به اسکریپت‌نویسی، تحلیل کد و تست نفوذ کمک می‌کنند:
- ابزارهای عمومی و تخصصی: ShellGPT، AutoGPT، FreedomGPT، PentestGPT، HackerGPT، BugBountyGPT و Ethical Hacker GPT.
- بدافزارهای تولیدشده با AI (جنبه تهاجمی): ابزارهایی مانند FraudGPT و PoisonGPT که توسط مهاجمان برای تولید بدافزار استفاده می‌شوند.
۶.۴ واژهنامه تخصصی فصل ششم
| Term | معنی |
|---|---|
| Incident Response | روال واکنش و پاسخگویی به حوادث امنیتی. |
| Containment | فاز مهار حادثه جهت جلوگیری از گسترش آلودگی در شبکه. |
| Triage | مرحله ارزیابی اولیه و تعیین میزان اهمیت حادثه. |
| Anomaly Detection | کشف رفتارهای غیرعادی شبکه با هوش مصنوعی. |
| PentestGPT | دستیار هوش مصنوعی مخصوص تست نفوذ و هک اخلاقی. |
بهترین نتیجه امنیتی از ترکیب هوش انسانی (درک دیدگاه مهاجم و نقاط ورود) و سرعت هوش مصنوعی حاصل می‌شود. AI جایگزین انسان نیست، بلکه مکمل آن است.
- مراحل Incident Response شامل مهار، جمع‌آوری شواهد، پاکسازی و بازیابی است.
- مهار (Containment) مانع از گسترش آلودگی در شبکه می‌شود.
- هوش مصنوعی در شناسایی رفتارهای غیرعادی و کاهش False Positive نقش حیاتی دارد.
- ابزارهایی مانند PentestGPT فرایند هک اخلاقی را سرعت می‌بخشند.
سؤالات مرور فصل ششم
سؤال ۱: مرحله مهار (Containment) در پاسخگویی به حوادث چه هدفی دارد؟
پاسخ: کنترل وضعیت موجود و جلوگیری از انتشار آلودگی یا آسیب بیشتر به سایر بخش‌های شبکه.
سؤال ۲: دو فایده اصلی استفاده از ML در سیستم‌های مانیتورینگ SOC چیست؟
پاسخ: شناسایی ناهنجاری‌ها در لحظه (Real-time Anomaly Detection) و کاهش هشدارهای اشتباه (False Positives).
سؤال ۳: دلیل اهمیت فاز Post-Incident Activity چیست؟
پاسخ: مستندسازی درس‌های آموخته‌شده، تحلیل نقاط ضعف دفاعی و ارتقای دستورالعمل‌ها برای جلوگیری از تکرار حادثه.
۷ تهدیدات، سیاست‌های امنیتی، انواع تست نفوذ و ارزیابی
۷.۱ دسته‌بندی تهدیدات سایبری (Threat Categories)
تعریف ساده: خطراتی که امنیت فیزیکی و منطقی سازمان را تهدید می‌کنند.
توضیح مفهوم:
- تهدیدات طبیعی (Natural Threats): سیل، زلزله و آتش‌سوزی.
- تهدیدات فیزیکی (Physical Security Threats): ورود غیرمجاز، استراق سمع، دستکاری سخت‌افزارها و تجهیزات سرور.
- تهدیدات انسانی (Human Threats): عدم آگاهی کارکنان، حملات مهندسی اجتماعی و تهدیدات داخلی (Insiders).
- تهدیدات فنی: تهدیدات شبکه، سیستم‌عامل و اپلیکیشن‌ها.
۷.۲ سیاست‌های امنیتی (Security Policies)
تعریف ساده: مجموعه دستورالعمل‌ها، اسناد و سیاست‌های رسمی سازمان جهت تامین امنیت اطلاعات.
توضیح مفهوم: انواع سیاست‌های امنیتی:
- General Policy: سیاست‌های کلی سازمان.
- Issue-Specific Policy: سیاست‌های مربوط به موضوع خاص (مانند مدیریت پسورد یا پشتیبان‌گیری).
- User Policy: سیاست‌های مربوط به نحوه استفاده کاربران از منابع.
- Partner Policy: سیاست‌های ارتباط با پیمانکاران و شرکا.
۷.۳ مقایسه سه مفهوم: Security Audit، Vulnerability Assessment و Penetration Testing
توضیح مفهوم:
| شاخص مقایسه | ممیزی امنیت (Security Audit) | ارزیابی آسیب‌پذیری (Vulnerability Assessment) | تست نفوذ (Penetration Testing) |
|---|---|---|---|
| هدف | بررسی انطباق با استانداردها و رویه‌ها | شناسایی کل آسیب‌پذیری‌های موجود | اکسپلویت عملی آسیب‌پذیری‌ها و تعیین عمق نفوذ |
| رویکرد | بررسی چک‌لیست و سیاست‌ها | اسکن فعال/غیرفعال (با نسوز) | شبیه‌سازی حملات واقعی مهاجم |
| محدوده (Scope) | کل سازمان و اسناد | تمامی دارایی‌های ثبت‌شده | محدوده رندوم یا مشخص‌شده در قرارداد |
| خروجی | گزارش انطباق (Compliance) | لیست آسیب‌پذیری‌ها بدون اکسپلویت | گزارش عملی نفوذ و میزان دسترسی به داده‌ها |
۷.۴ انواع مدل‌های تست نفوذ (White Box, Gray Box, Black Box)
توضیح مفهوم:
- تست جعبه سیاه (Black Box): نفوذگر هیچ اطلاعات قبلی از شبکه و سورس‌کد ندارد (شبیه‌سازی مهاجم بیرونی).
- تست جعبه خاکستری (Gray Box): اطلاعات محدودی (مانند آدرس IPها یا دسترسی کاربر معمولی) در اختیار پنتستر قرار می‌گیرد.
- تست جعبه سفید (White Box): دسترسی کامل به تمام اطلاعات، سورس‌کدها، نقشه شبکه و پیکربندی‌ها در اختیار تیم قرار می‌گیرد.
۷.۵ تیم سرخ در برابر تیم آبی (Red Team VS Blue Team)
تعریف ساده: تیم سرخ شبیه‌سازی حمله را انجام می‌دهد و تیم آبی مسئولیت مانیتورینگ، شناسایی و دفاع را بر عهده دارد.
توضیح مفهوم:
- Red Team: شامل تست نفوذ، هک اخلاقی و شبیه‌سازی حملات برای کشف نقاط ضعف.
- Blue Team: شامل مانیتورینگ ترافیک، تنظیمات فایروال، مدیریت لاگ‌ها با SIEM (مانند Splunk و ELK) و hardening.
"یک پلیس خوب زمانی موفق است که ابتدا یک دزد خوب باشد؛ یک مدافع خوب (Blue Team) باید تکنیک‌های تهاجمی (Red Team) را کاملاً بشناسد."
۷.۶ متدولوژی‌های استاندارد تست نفوذ
توضیح مفهوم: چارچوب‌های استاندارد جهانی برای ارزیابی امنیت عبارتند از:
- OWASP: استاندارد ارزیابی امنیت وب‌اپلیکیشن‌ها.
- OSSTMM: متدولوژی open-source تست امنیت عملیاتی.
- ISSAF / ECSA / LPT: چارچوب‌های ارزیابی و تست نفوذ موسسات بین‌المللی.
۷.۷ واژهنامه تخصصی فصل هفتم
| Term | معنی |
|---|---|
| Security Audit | ممیزی انطباق با استانداردها و اسناد امنیتی. |
| Vulnerability Assessment | ارزیابی و شناسایی آسیب‌پذیری‌ها بدون اکسپلویت. |
| Penetration Testing | تست نفوذ همراه با اکسپلویت عملی آسیب‌پذیری‌ها. |
| Red Team | تیم تهاجمی مسئول شبیه‌سازی حمله و پنتست. |
| Blue Team | تیم تدافعی مسئول مانیتورینگ و مهار حمله. |
| SIEM | پلتفرم متمرکز مدیریت لاگ‌ها و تحلیل امنیت (مانند Splunk). |
- سیاست‌های امنیتی (Security Policies) اسناد رسمی تعیین‌کننده رفتار امنیتی سازمان هستند.
- Vulnerability Assessment کشف آسیب‌پذیری است، اما Penetration Testing شامل اکسپلویت عملی آن است.
- مدل‌های تست نفوذ به سه دسته Black Box، Gray Box و White Box تقسیم می‌شوند.
- تیم آبی برای دفاع موفق باید تکنیک‌های تهاجمی تیم سرخ را درک کند.
سؤالات مرور فصل هفتم
سؤال ۱: تفاوت اصلی ارزیابی آسیب‌پذیری (VA) و تست نفوذ (PT) چیست؟
پاسخ: در ارزیابی آسیب‌پذیری تنها وجود باگ کشف می‌شود بدون اینکه سوءاستفاده (Exploit) شود، اما در تست نفوذ آسیب‌پذیری اکسپلویت شده و میزان نفوذ عملی بررسی می‌شود.
سؤال ۲: مدل تست نفوذ Gray Box را شرح دهید.
پاسخ: مدلی که در آن اطلاعات محدود و مشخصی (مانند آدرس IPها یا اکانت کاربر عادی) به پنتستر داده می‌شود.
سؤال ۳: ابزار معروف مدیریت لاگ‌ها (SIEM) که در تیم‌های SOC استفاده می‌شود چیست؟
پاسخ: نرم‌افزار Splunk (و همچنین پلتفرم ELK).
۸ واژهنامه
| Term | معنی |
|---|---|
| Ethical Hacker | هکر اخلاقی؛ فردی که با مجوز رسمی و قانونمند نقاط ضعف سیستم‌ها را کشف می‌کند. |
| Exploit | کد یا ابزاری که از آسیب‌پذیری برای گرفتن دسترسی سوءاستفاده می‌کند. |
| Vulnerability | آسیب‌پذیری یا ضعف موجود در نرم‌افزار، سیستم‌عامل یا پروتکل. |
| Threat | تهدید؛ خطرات بالقوه‌ای که می‌تواند باعث افشا یا تخریب اطلاعات شود. |
| Breakout Time | زمان طی‌شده از نفوذ اولیه مهاجم تا شروع حرکت عرضی (Lateral Movement) در شبکه. |
| LOLBins | ابزارهای بومی و قانونی سیستم‌عامل که مهاجمان برای مخفی‌کاری استفاده می‌کنند. |
| NDA | قرارداد عدم افشای اطلاعات که بین پنتستر و سازمان به امضا می‌رسد. |
| Zero-Day | آسیب‌پذیری ناشناخته‌ای که هنوز هیچ پچی برای آن ارائه نشده است. |
| Web Shell | اسکریپت مخرب آپلودشده روی وب‌سرور جهت دسترسی به خط فرمان. |
| Cyber Kill Chain | فریم‌ورک ۷ مرحله‌ای لاکهید مارتین برای تشریح فازهای نفوذ. |
| IoC | نشانه‌ها و داده‌های فارنزیکی ثبت‌شده که دال بر وقوع نفوذ است. |
| MITRE ATT&CK | ماتریس استاندارد TTPها برای نگاشت رفتارهای مهاجمان. |
| Defense-in-Depth | دفاع در عمق؛ پیاده‌سازی لایه‌های امنیتی متعدد متوالی. |
| CTI | هوش تهدیدات سایبری؛ جمع‌آوری و تحلیل داده‌ها درباره مهاجمان. |
| Triage | مرحله ارزیابی اولیه و تعیین سطح اهمیت حادثه امنیتی. |
| Containment | فاز مهار حادثه جهت جلوگیری از انتشار آلودگی در شبکه. |
| Black Box | تست نفوذ بدون داشتن هیچ‌گونه اطلاعات قبلی از هدف. |
| White Box | تست نفوذ با داشتن دسترسی کامل به اطلاعات و سورس‌کدها. |
| Red Team | تیم تهاجمی مسئول شبیه‌سازی حملات و تست نفوذ. |
| Blue Team | تیم تدافعی مسئول مانیتورینگ، کشف حمله و ایمن‌سازی. |
| SIEM | سیستم مدیریت و تحلیل متمرکز لاگ‌ها در مراکز SOC (مانند Splunk). |