انجام تست نفوذ: برای شروع جمع‌آوری اطلاعات می‌کنم، سپس به اسکن آسیب‌پذیری، اکسپلویت، فعالیت‌های پس از اکسپلویت و در انتها گزارش نویسی.

رویکردهای تست نفوذ: جعبه سیاه ، جعبه سفید و جعبه خاکستری است. تست‌های جعبه سیاه مشابه حمله هکر، جعبه سفید دسترسی کامل به محیطی که قرار تست شود وجود دارد و جعبه خاکستری در واقع دانش ناقص و به صورت کامل مثل جعبه سفید نیست

اولویت‌بندی آسیب‌پذیری‌ها: من از تکنیک‌های ارزیابی ریسک مانند CVSS، با در نظر گرفتن تأثیر و قابلیت اکسپلویت روی آسیب‌پذیری ها کشف شده استفاده می‌کنم.

من به خاطر وجود Trust بین شبکه های Active تونستم pivot بزنم به شبکه با رنج کلاینت های دیگر!

من از روش های جا زدن خودم به جای بخش IT support برای دسترسی به شبکه استفاده می کنم.

پست اکسپلویت : پس از هک شدن یک سیستم، ابتدا بالا بردن سطح دسترسی ، سپس قرار دادن بک دور، خارج کردن داده های شبکه و پاک کردن رد پا جزوی از فعالیت پست اکسپلویت می باشد.

من در طول تست نفوذ اگر به آسیب پذیری 0day برخورد کنم حتما آن را به vendor مربوطه گزارش می کنم و تا پچ نشدن آن هیچ گونه اطلاعات از آن در اینترنت پخش نمی کنم.

سیستم تشخیص حمله یا نفوذ intrusion detection system و سیستم جلوگیری از نفوذ intrusion prevention system دوتا از سیستم های دفاعی در شبکه ها هستند که با روش های مختلف حملات را شناسایی و از آن ها جلوگیری می کنند .

دفاع در عمق: این یک رویکرد امنیتی لایه ای است. لایه ها می توانند شامل فایروال ها، IDS، سیستم Endpoint protection و آموزش آگاهی کاربرها باشند.

نظارت و تشخیص: من از سیستم‌های تشخیص نفوذ، تجزیه و تحلیل گزارش و تشخیص ناهنجاری برای شناسایی فعالیت‌های مشکوک استفاده می‌کنم.

سیستم SIEM یا security information and event management system در واقع یک سیستم برای مجتمع سازی رویدادهای شبکه است و توسط آن میتوان تمام این اتفاقات در یک پنل دید.

چارچوب MITER ATT&CK یا TTP شامل تاکتیک تکنیک و روش هایی هست که گروه APT از آن ها استفاده می کنند و تیم آبی به کمک آن ها می تواند نفوذ را تشخیص دهد و یا در برابر آن ها دفاع کند.

مراحل واکنش به حادثه: شناسایی، مهار، ریشه کنی، بازیابی و تجزیه و تحلیل پس از حادثه برای جلوگیری از وقوع در آینده.

رول ها شناسایی را بازنگری کردم تا False positive را کاهش دهم.

هدف تیم بنفش افزایش امنیت با هماهنگی تیم‌های قرمز و آبی و بهبود انعطاف‌پذیری کلی است.

ارتباط بین تیم‌های قرمز و آبی: جلسات منظم، اشتراک‌گذاری اطلاعات تهدید و تمرین‌های مشترک ، درک را بهبود می‌بخشد.

به کارگیری اصول تیم بنفش در حوادث: من attack vector ها را تجزیه و تحلیل می‌کنم، تیم‌های قرمز و آبی را درگیر می‌کنم و با استفاده از درس‌های آموخته شده، دفاع را اصلاح می‌کنم.

بهداشت امنیتی: این روش‌های امنیتی ثابت مانند پچ کردن ، کنترل‌های دسترسی و آموزش کاربر هستند که به طور جمعی خطر را کاهش می‌دهند.

نقش تمرینات تیم بنفش: آنها شکاف ها را با شبیه سازی حملات دنیای واقعی شناسایی می کنند و اثربخشی اقدامات تدافعی و تهاجمی را ارزیابی می کنند.

اهمیت اطلاعات تهدید: به پیش بینی تهدیدها، تنظیم دفاعیات و درک تاکتیک های دشمنان کمک می کند.

تهدیدات داخلی بسیار مهم هستند. من از همکاری تیم بنفش برای رسیدگی موثر به آنها استفاده خواهم کرد.

چالش چالش برانگیز تست نفوذ: در یک تعامل اخیر، با یک شبکه بسیار تقسیم‌بندی (network segmentation) شده با قوانین سختگیرانه فایروال مواجه شدم. برای غلبه بر این، من ترکیبی از تکنیک‌های پیشرفته تونل‌زنی و اکسپلویت آسیب‌پذیری‌های که روی برنامه‌های شخص ثالث بود به کار بردم تا بتوانم به سیستم‌های هدف در نهایت دسترسی پیدا کنم.

ایجاد اکسپلویت‌های سفارشی: هنگام مواجهه با آسیب‌پذیری‌های جدید، با درک کامل فناوری شروع می‌کنم. سپس با استفاده از زبان های برنامه نویسی مانند پایتون و روبی، اکسپلویت های سفارشی را توسعه می دهم. علاوه بر این، من از چارچوب هایی مانند Metasploit برای افزایش اثربخشی حمله استفاده می کنم.

شبیه سازی APT ها: در شبیه سازی APT ها، من بر persistence سپس lateral movement و خروج داده ها در دوره های طولانی تمرکز می کنم. من از تکنیک‌های پیشرفته‌ای مانند covert channels، تاکتیک‌های lolbas یا lolbins و فیشینگ هدفمند برای تقلید از APT گروه ها استفاده می‌کنم.

من به طور منظم تحقیقات امنیتی، وبلاگ ها را دنبال می کنم و در کنفرانس هایی مانند DEF CON و Black Hat شرکت می کنم(منظور مقاله و فیلم می بینیم!). اخیراً بدافزارهای fileless و supply chain attack را به دلیل شیوع روزافزون خود در پلن شبیه سازی خودم قرار دادم.

ارزیابی های فیزیکی نیازمند شناسایی دقیق و به دنبال آن بهره برداری از آسیب پذیری های انسانی است. برخی تکنیک ها

Tailgating, impersonation, social engineering

برای lateral movement در شبکه تقسیم‌بندی شده: در چنین سناریویی، من از پیکربندی‌های نادرست یا آسیب‌پذیری‌ها در مسیرهای ارتباطی مطمئن برای حرکت جانبی سوء استفاده می‌کنم. سپس بالا بردن سطح دسترسی می دهم و از تکنیک‌های مخفی مانند pass-the-hash برای استخراج داده‌ها استفاده می‌کردم.

در طول یک پروژه ، با تیم آبی همکاری نزدیک داشتم و روشهای را در مورد تاکتیک‌ها و تکنیک‌های مورد استفاده به اشتراک گذاشتم. این تعامل به آنها کمک کرد تا قوانین تشخیص را اصلاح کنند و قابلیت های واکنش به حادثه خود را بهبود بخشند.

تقسیم بندی شبکه موثر: من از رویکرد "zero Trust" استفاده می کنم و شبکه ها را بر اساس اصل حداقل امتیاز تقسیم بندی میکنم. فایروال ها، micro segmentation و Access control به شبکه، حرکت جانبی محدود را تضمین می کنند.

من از ابزارهای مثل honeypots, honey tokens یا breadcrumb tails استفاده کردم و مهم ترین نکته مانیتور به صورت دایمی این ابزارهاست!

کتاب‌های راهنما واکنش به حادثه: کتاب‌های راهنما روش‌های گام به گام را برای حوادث مختلف تشریح می‌کنند. آنها بر اساس چارچوب NIST و متناسب با محیط ما هستند. تمرینات منظم روی میز کارایی آنها را تضمین می کند.

ما از روش‌های زیرساخت به‌عنوان کد (IaC) برای اعمال کنترل‌های امنیتی در سرویس‌های ابری استفاده می‌کنیم. ابزارهای خودکار مانند AWS GuardDuty و Azure Security Center به ما کمک می کنند تا محیط ابری را نظارت و ایمن کنیم.

ارتباط منظم با ذینفعان تضمین می کند که اهداف امنیتی با اهداف تجاری همسو هستند. معیارهای امنیتی و بینش ما برای درک بهتر باید به زبان تجارت ترجمه شود تا هم ما حرف آن ها را بفهمیم و همچنین آن ها حرف ما را بفهمند.

انتخاب ابزارهای امنیتی جدید: انتخاب ابزار شامل ارزیابی نسخه ارزیابی ، ما راه حل هایی را اولویت بندی می کنیم که با ابزارهای دیگر در شبکه یکپارچه شوند.

در تمرین اخیر، ما برای شبیه سازی یک حمله باج افزار پیچیده همکاری کردیم. تیم قرمز حمله را اجرا کرد، در حالی که تیم آبی روی شناسایی، مهار و بازیابی کار می کرد. این به تأیید رویه‌های واکنش به حادثه ما کمک کرد.

من ارتباط مستقیم بین تیم‌های قرمز و آبی را تسهیل می‌کنم. آسیب‌پذیری‌های حیاتی کشف‌شده توسط تیم قرمز را بلافاصله برای تیم آبی اولویت‌بندی می کنم و به پچ آن ها کمک می کنم.

از طریق ارزیابی تیم بنفش، ما یک آسیب پذیری را در آموزش آگاهی امنیتی خود شناسایی کردیم. ما برای بهبود محتوای آموزشی و تعداد دفعات آموزش بالا بردیم و در نتیجه آگاهی کاربران بهتر شد.

ارتباط بینش فنی: برای ذینفعان غیر فنی، من از زبان مختصر و عاری از اصطلاحات تخصصی استفاده می کنم. کمک های بصری و مثال های دنیای واقعی به انتقال مفاهیم فنی به شیوه ای مرتبط کمک می کنند.

من درگیر یادگیری مستمر و شبکه های صنعتی هستم تا به روز بمانم. ارزیابی‌های منظم از شیوه‌های تیم بنفش ما به ما کمک می‌کند تا به طور مؤثر با تهدیدهای نوظهور سازگار شویم.

شکار تهدید پیشگیرانه است. این شامل تجزیه و تحلیل داده ها برای شناسایی نشانه های سازش است. با ترکیب Threat Intelligence با دانش محیطی خاص خود، تهدیدهای پنهان را کشف می کنیم.

من به اعضای جوان راهنمایی می کنم و آنها را تشویق می کنم که مهارت های تیم قرمز و آبی را یاد بگیرند جلسات منظم به اشتراک گذاری دانش، درک جامعی از امنیت سایبری را تقویت می کند.