با حوصله بخوان، مثال‌ها را تحلیل کن و تمرین‌ها را انجام بده؛ هدف حفظ کردن تعریف‌ها نیست
Antivirus تهدیدهای شناخته‌شده را شناسایی می‌کند
Antivirus فایل و رفتار را با Signature و روش‌های تشخیصی بررسی می‌کند؛ EDR دید عمیق‌تری از Process و رخداد Endpoint برای بررسی رخداد می‌دهد برای اینکه این مفهوم در محیط واقعی قابل استفاده شود، در رخداد امنیتی مشکوک، اقدام عجولانه می‌تواند شواهد را از بین ببرد یا دامنه اثر را بیشتر کند؛ زمان، User، Device، IP، Alert و تغییرات اخیر ثبت شوند و بر اساس رویه سازمان Escalation انجام شود؛ اگر لازم است دسترسی محدود شود، این کار باید هدفمند و قابل ثبت باشد و بعد از مهار، بازیابی و بررسی علت ادامه پیدا کند برای اینکه این مفهوم در محیط واقعی قابل استفاده شود، امنیت عملی برای پشتیبان یعنی کاهش سطح حمله در کار روزمره؛ MFA، Patch Management، اصل حداقل دسترسی، جداسازی حساب مدیریتی، Backup قابل بازیابی و Logging اجزای مکمل هستند؛ هیچ کنترل واحدی همه تهدیدها را متوقف نمی‌کند و دفاع لایه‌ای باعث می‌شود شکست یک کنترل مستقیماً به دسترسی کامل منجر نشود برای کامل شدن تصویر این موضوع، در این درس هدف ساختن عادت‌های امنیتی قابل اجرا برای کارشناس پشتیبانی است؛ بسیاری از رخدادها از حساب کاربری، سیستم به‌روزرسانی‌نشده، دسترسی بیش از حد، فیشینگ یا نبود Logging و Backup مناسب شروع می‌شوند؛ باید بتوانی نشانه مشکوک را تشخیص بدهی، دامنه اثر را محدود کنی، شواهد را حفظ کنی و طبق رویه سازمان موضوع را به سطح مناسب ارجاع بدهی
EDR رفتار Endpoint را تحلیل می‌کند
EDR رفتار Endpoint را ثبت و برای کشف و پاسخ به تهدیدها تحلیل می‌کند؛ Alert را با Process، کاربر، زمان و شبکه Connection مرتبط کن Quarantine یا حذف بدون شناخت اثر روی سیستم حساس می‌تواند اختلال ایجاد کند اگر بخواهی این بخش را از حالت تعریف به مهارت عملی تبدیل کنی، امنیت عملی برای پشتیبان یعنی کاهش سطح حمله در کار روزمره؛ MFA، Patch Management، اصل حداقل دسترسی، جداسازی حساب مدیریتی، Backup قابل بازیابی و Logging اجزای مکمل هستند؛ هیچ کنترل واحدی همه تهدیدها را متوقف نمی‌کند و دفاع لایه‌ای باعث می‌شود شکست یک کنترل مستقیماً به دسترسی کامل منجر نشود اگر بخواهی این بخش را از حالت تعریف به مهارت عملی تبدیل کنی، در رخداد امنیتی مشکوک، اقدام عجولانه می‌تواند شواهد را از بین ببرد یا دامنه اثر را بیشتر کند؛ زمان، User، Device، IP، Alert و تغییرات اخیر ثبت شوند و بر اساس رویه سازمان Escalation انجام شود؛ اگر لازم است دسترسی محدود شود، این کار باید هدفمند و قابل ثبت باشد و بعد از مهار، بازیابی و بررسی علت ادامه پیدا کند
Quarantine فایل را جدا می‌کند
Quarantine معمولاً فایل مشکوک را از محل عادی خارج و دسترسی به آن را محدود می‌کند تا اجرا نشود؛ قبل از Restore از Quarantine مطمئن شو هشدار False Positive است و منبع فایل شناخته شده نکته‌ای که هنگام پشتیبانی نباید از آن عبور کنی این است که امنیت عملی برای پشتیبان یعنی کاهش سطح حمله در کار روزمره؛ MFA، Patch Management، اصل حداقل دسترسی، جداسازی حساب مدیریتی، Backup قابل بازیابی و Logging اجزای مکمل هستند؛ هیچ کنترل واحدی همه تهدیدها را متوقف نمی‌کند و دفاع لایه‌ای باعث می‌شود شکست یک کنترل مستقیماً به دسترسی کامل منجر نشود برای عیب‌یابی درست، این بخش را فقط به‌عنوان یک اصطلاح حفظ نکن و توجه داشته باش که در رخداد امنیتی مشکوک، اقدام عجولانه می‌تواند شواهد را از بین ببرد یا دامنه اثر را بیشتر کند؛ زمان، User، Device، IP، Alert و تغییرات اخیر ثبت شوند و بر اساس رویه سازمان Escalation انجام شود؛ اگر لازم است دسترسی محدود شود، این کار باید هدفمند و قابل ثبت باشد و بعد از مهار، بازیابی و بررسی علت ادامه پیدا کند
Alert با Severity و شرایط بررسی شود
هشدار پیامی است که سامانه پایش پس از برآورده شدن یک شرط مهم تولید می‌کند؛ هشدار خوب مشخص می‌کند چه چیزی، کجا و از چه زمانی غیرعادی شده است هشدار زیاد و بی‌ارزش باعث می‌شود هشدار واقعی نادیده گرفته شود در یک شبکه یا سیستم واقعی، این موضوع زمانی روشن می‌شود که امنیت عملی برای پشتیبان یعنی کاهش سطح حمله در کار روزمره؛ MFA، Patch Management، اصل حداقل دسترسی، جداسازی حساب مدیریتی، Backup قابل بازیابی و Logging اجزای مکمل هستند؛ هیچ کنترل واحدی همه تهدیدها را متوقف نمی‌کند و دفاع لایه‌ای باعث می‌شود شکست یک کنترل مستقیماً به دسترسی کامل منجر نشود برای اینکه این مفهوم در محیط واقعی قابل استفاده شود، در رخداد امنیتی مشکوک، اقدام عجولانه می‌تواند شواهد را از بین ببرد یا دامنه اثر را بیشتر کند؛ زمان، User، Device، IP، Alert و تغییرات اخیر ثبت شوند و بر اساس رویه سازمان Escalation انجام شود؛ اگر لازم است دسترسی محدود شود، این کار باید هدفمند و قابل ثبت باشد و بعد از مهار، بازیابی و بررسی علت ادامه پیدا کند
خاموش کردن محافظت باید استثنایی باشد
خاموش کردن محافظت باید استثنایی باشد خاموش کردن Antivirus یا EDR برای رفع مشکل فقط با دلیل، زمان محدود و کنترل جبرانی قابل قبول است؛ بهتر است Exclusion دقیق و مستند را بررسی کنی نکته‌ای که هنگام پشتیبانی نباید از آن عبور کنی این است که در رخداد امنیتی مشکوک، اقدام عجولانه می‌تواند شواهد را از بین ببرد یا دامنه اثر را بیشتر کند؛ زمان، User، Device، IP، Alert و تغییرات اخیر ثبت شوند و بر اساس رویه سازمان Escalation انجام شود؛ اگر لازم است دسترسی محدود شود، این کار باید هدفمند و قابل ثبت باشد و بعد از مهار، بازیابی و بررسی علت ادامه پیدا کند در کار روزمره بهتر است این موضوع را این‌طور بررسی کنی: امنیت عملی برای پشتیبان یعنی کاهش سطح حمله در کار روزمره؛ MFA، Patch Management، اصل حداقل دسترسی، جداسازی حساب مدیریتی، Backup قابل بازیابی و Logging اجزای مکمل هستند؛ هیچ کنترل واحدی همه تهدیدها را متوقف نمی‌کند و دفاع لایه‌ای باعث می‌شود شکست یک کنترل مستقیماً به دسترسی کامل منجر نشود برای کامل شدن تصویر این موضوع، در این درس هدف ساختن عادت‌های امنیتی قابل اجرا برای کارشناس پشتیبانی است؛ بسیاری از رخدادها از حساب کاربری، سیستم به‌روزرسانی‌نشده، دسترسی بیش از حد، فیشینگ یا نبود Logging و Backup مناسب شروع می‌شوند؛ باید بتوانی نشانه مشکوک را تشخیص بدهی، دامنه اثر را محدود کنی، شواهد را حفظ کنی و طبق رویه سازمان موضوع را به سطح مناسب ارجاع بدهی
فرض کن در زیرساخت امنیتی شرکت مشکلی گزارش شده و احتمال می‌دهی به Antivirus و EDR مربوط باشد. قبل از تغییر، وضعیت فعلی را با Event Viewer، Firewall، آنتی‌ویروس و Logهای امنیتی بررسی می‌کنی و نتیجه را با یک حالت سالم یا مستند معتبر مقایسه می‌کنی. اگر شواهد فرضیه را تأیید کردند، فقط همان بخش مرتبط را تغییر می‌دهی و بعد همان تست را دوباره اجرا می‌کنی تا مطمئن شوی مشکل واقعاً برطرف شده است
این اشتباه‌ها را تکرار نکن
- Quarantine معمولاً فایل مشکوک را از محل عادی خارج و دسترسی به آن را محدود می‌کند تا اجرا نشود. قبل از Restore از Quarantine مطمئن شو هشدار False Positive است و منبع فایل شناخته شده
- هشدار پیامی است که سامانه پایش پس از برآورده شدن یک شرط مهم تولید می‌کند؛ هشدار خوب مشخص می‌کند چه چیزی، کجا و از چه زمانی غیرعادی شده است
- تغییر دادن تنظیمات مرتبط با Antivirus و EDR قبل از اینکه مطمئن شوی مشکل واقعاً به همین بخش مربوط است
حالا خودت انجام بده
- در یک نمونه آزمایشی مرتبط با Antivirus و EDR، فقط وضعیت فعلی را مشاهده کن و سه نکته‌ای را که برای تشخیص حالت سالم مهم‌اند یادداشت کن
- با Event Viewer، Firewall، آنتی‌ویروس و Logهای امنیتی وضعیت مرتبط با Antivirus و EDR را بدون تغییر بررسی کن، سه داده واقعی جمع کن و توضیح بده هرکدام چه چیزی به تو می‌گویند
- یک خطای فرضی مرتبط با Antivirus و EDR بنویس و مشخص کن اولین تست کم‌خطر تو چیست و چه نتیجه‌ای فرضیه‌ات را رد می‌کند
نکته‌هایی که باید با خودت ببری
- Antivirus تهدیدهای شناخته‌شده را شناسایی می‌کند
- EDR رفتار Endpoint را تحلیل می‌کند
- Quarantine فایل را جدا می‌کند
- Alert با Severity و شرایط بررسی شود
- خاموش کردن محافظت باید استثنایی باشد
- برای رفع سریع مشکل، کنترل امنیتی را بی‌دلیل خاموش نکن
قبل از رفتن به درس بعد، جواب را برای خودت توضیح بده
این نکته را با یک مثال توضیح بده: Antivirus تهدیدهای شناخته‌شده را شناسایی می‌کند. بعد بگو در عمل چطور آن را بررسی می‌کنی.
Antivirus فایل و رفتار را با Signature و روش‌های تشخیصی بررسی می‌کند؛ EDR دید عمیق‌تری از Process و رخداد Endpoint برای بررسی رخداد می‌دهد
این نکته را با یک مثال توضیح بده: EDR رفتار Endpoint را تحلیل می‌کند. بعد بگو در عمل چطور آن را بررسی می‌کنی.
EDR رفتار Endpoint را ثبت و برای کشف و پاسخ به تهدیدها تحلیل می‌کند؛ Alert را با Process، کاربر، زمان و شبکه Connection مرتبط کن
این نکته را با یک مثال توضیح بده: Quarantine فایل را جدا می‌کند. بعد بگو در عمل چطور آن را بررسی می‌کنی.
Quarantine معمولاً فایل مشکوک را از محل عادی خارج و دسترسی به آن را محدود می‌کند تا اجرا نشود. قبل از Restore از Quarantine مطمئن شو هشدار False Positive است و منبع فایل شناخته شده
برای ذخیره پیشرفت، دوره را رسمی شروع کن
با ثبت‌نام، تکمیل درس‌ها و نمره آزمون روی حساب ذخیره می‌شود
