ک
تهدید_سایبری_شماره_۱۰ | Model Poisoningوقتی هوش مصنوعی از همان روز اول، چیزهای اشتباه یاد میگیرد
فرض کنید به یک کودک در حال یادگیری، هزاران جمله درست آموزش دهید؛ اما داخل آنها چند جمله اشتباه و هدفمند هم قرار دهید. احتمالاً آن کودک بعضی از همان اطلاعات اشتباه را بهعنوان حقیقت یاد میگیرد.
Model Poisoning تقریباً همین اتفاق در دنیای هوش مصنوعی است.
در این نوع حمله، مهاجم بهجای نفوذ مستقیم به سیستم، دادههای آموزشی مدل را دستکاری میکند. شاید فقط تعداد بسیار کمی از دادهها تغییر کنند، اما همان مقدار کم میتواند رفتار مدل را در آینده تغییر دهد.
مدل در ظاهر کاملاً عادی کار میکند:
پاسخ میدهد تستها را رد میکند مشکل خاصی دیده نمیشوداما در شرایط خاص ممکن است:
اطلاعات نادرست تولید کند تصمیم اشتباه بگیرد نتایج گمراهکننده ارائه دهد یا حتی رفتار مخفی از خود نشان دهدخطرناکترین بخش ماجرا اینجاست که این حمله معمولاً از داخل زنجیره تأمین AI اتفاق میافتد؛ یعنی از طریق:
Datasetهای عمومی مدلهای Open-source منابع شخص ثالث یا فرآیندهای Fine-tuningوقتی مدل یادگیری اشتباه را شروع کند، پیدا کردن مشکل همیشه ساده نیست.
برای کاهش ریسک: منبع دادهها را اعتبارسنجی کنید Datasetهای ناشناس را مستقیم استفاده نکنید رفتار مدل را مداوم مانیتور کنید روی تغییرات غیرعادی مدل حساس باشید در یک جمله:*Model Poisoning یعنی خراب کردن تصمیمهای آینده هوش مصنوعی، از طریق آلوده کردن گذشته آن.*
--------------
برای محتوای تخصصی SOC، Threat Hunting، SIEM و تهدیدات AI: ID: @SOCLIB-------------۱۳۲کتابخانه عملیات امنیت سایبری تهدید_سایبری_شماره_۱۰ | Model Poisoning وقتی هوش مصنوعی از همان روز اول، چیزهای اشتباه یاد میگیرد فرض کنید به یک کودک در حال یادگیری، هزاران جمله درست آموزش دهید؛ اما داخل آنها چند جمله اشتباه و هدفمند هم قرار دهید. احتمالاً آن کودک بعضی از همان اطلاعات اشتباه را بهعنوان حقیقت یاد میگیرد. Model Poisoning تقریباً همین اتفاق در دنیای هوش مصنوعی است. در این نوع حمله، مهاجم بهجای نفوذ مستقیم به سیستم، دادههای آموزشی مدل را دستکاری میکند. شاید فقط تعداد بسیار کمی از دادهها تغییر کنند، اما همان مقدار کم میتواند رفتار مدل را در آینده تغییر دهد. مدل در ظاهر کاملاً عادی کار میکند: پاسخ میدهد تستها را رد میکند مشکل خاصی دیده نمیشود اما در شرایط خاص ممکن است: اطلاعات نادرست تولید کند تصمیم اشتباه بگیرد نتایج گمراهکننده ارائه دهد یا حتی رفتار مخفی از خود نشان دهد خطرناکترین بخش ماجرا اینجاست که این حمله معمولاً از داخل زنجیره تأمین AI اتفاق میافتد؛ یعنی از طریق: Datasetهای عمومی مدلهای Open-source منابع شخص ثالث یا فرآیندهای Fine-tuning وقتی مدل یادگیری اشتباه را شروع کند، پیدا کردن مشکل همیشه ساده نیست. برای کاهش ریسک: منبع دادهها را اعتبارسنجی کنید Datasetهای ناشناس را مستقیم استفاده نکنید رفتار مدل را مداوم مانیتور کنید روی تغییرات غیرعادی مدل حساس باشید در یک جمله: *Model Poisoning یعنی خراب کردن تصمیمهای آینده هوش مصنوعی، از طریق آلوده کردن گذشته آن.* -------------- برای محتوای تخصصی SOC، Threat Hunting، SIEM و تهدیدات AI: ID: @SOCLIB -------------
تهدید_سایبری_شماره_۱۰ | Model Poisoning وقتی هوش مصنوعی از همان روز اول، چیزهای اشتباه یاد میگیرد فرض کنید به یک کودک در حال یادگیری، هزاران جمله درست آموزش دهید؛ اما داخل آنها چند جمله اشتباه و هدفمند هم قرار دهید. احتمالاً آن کودک بعضی از همان اطلاعات اشتباه را بهعنوان حقیقت یاد میگیرد. Model Poisoning تقریباً همین اتفاق در دنیای هوش مصنوعی است. در این نوع حمله، مهاجم بهجای نفوذ مستقیم به سیستم، دادههای آموزشی مدل را دستکاری میکند. شاید فقط تعداد بسیار کمی از دادهها تغییر کنند، اما همان مقدار کم میتواند رفتار مدل را در آینده تغییر دهد. مدل در ظاهر کاملاً عادی کار میکند: پاسخ میدهد تستها را رد میکند مشکل خاصی دیده نمیشود اما در شرایط خاص ممکن است: اطلاعات نادرست تولید کند تصمیم اشتباه بگیرد نتایج گمراهکننده ارائه دهد یا حتی رفتار مخفی از خود نشان دهد خطرناکترین بخش ماجرا اینجاست که این حمله معمولاً از داخل زنجیره تأمین AI اتفاق میافتد؛ یعنی از طریق: Datasetهای عمومی مدلهای Open-source منابع شخص ثالث یا فرآیندهای Fine-tuning وقتی مدل یادگیری اشتباه را شروع کند، پیدا کردن مشکل همیشه ساده نیست. برای کاهش ریسک: منبع دادهها را اعتبارسنجی کنید Datasetهای ناشناس را مستقیم استفاده نکنید رفتار مدل را مداوم مانیتور کنید روی تغییرات غیرعادی مدل حساس باشید در یک جمله: *Model Poisoning یعنی خراب کردن تصمیمهای آینده هوش مصنوعی، از طریق آلوده کردن گذشته آن.* -------------- برای محتوای تخصصی SOC، Threat Hunting، SIEM و تهدیدات AI: ID: @SOCLIB ------------- فلش کنار پست رو بزنید حمایت کنید۴۱
زمان شروع دوره *Splunk Enterprise Clustering نزدیکه...خیلی از تیمها Splunk را نصب میکنند، Dashboard میسازند و لاگ جمعآوری میکنند؛ اما وقتی حجم دادهها افزایش پیدا میکند، کاربران بیشتر میشوند یا Availability اهمیت پیدا میکند، تازه چالشهای واقعی شروع میشوند:
Searchهای کند Replication Failure Bottleneck شدن Search Headها مشکلات High Availability و طراحی Disaster Recoveryدر محیطهای واقعی SOC، معماری درست فقط یک انتخاب نیست؛ یک نیاز است
در دوره جامع Splunk Enterprise Clustering* بهصورت کاملاً عملی و پروژهمحور روی:
Indexer Clustering (Single & Multisite) Search Head Clustering (SHC) مدیریت Forwarderها در مقیاس بالا KV Store و Lookupها معماری High Availability و Disaster Recoveryکار خواهیم کرد.
فقط چند روز تا شروع دوره باقی مانده است مناسب برای: Splunk Adminها تحلیلگران SOC مهندسین زیرساخت تیمهای امنیت کد تخفیف ثبتنام: soclib-group ثبتنام و مشاهده سرفصلها:https://evnd.co/HC7e6 @SOCLIB#Splunk #SIEM #SOC #CyberSecurity #SplunkEnterprise #Clustering #ThreatHunting
۳
یک هشدار ساده که تبدیل به Incident شد...ساعت 02:17 بامداد، SIEM چندین رویداد *4625 (Failed Logon) را از یک سرور مالی ثبت کرد.
در نگاه اول چیز خاصی نبود؛ چند تلاش ناموفق برای ورود.
اما چند دقیقه بعد یک 4624 (Successful Logon) از همان Source IP مشاهده شد.
تحلیلگر SOC تصمیم گرفت بررسی را ادامه دهد...
در ادامه لاگها مشخص شد که بلافاصله پس از ورود موفق، یک رویداد 4672 (Special Privileges Assigned)* برای همان حساب ثبت شده است.یعنی کاربر با دسترسیهای سطح بالا وارد سیستم شده بود.
چند دقیقه بعد:
Event ID 4698یک Scheduled Task جدید ایجاد شد.سپس:
Event ID 4688فرآیند PowerShell اجرا شد.و در نهایت:
Event ID 4104Script Block Logging نشان داد که PowerShell با دستورات مشکوک برای دانلود و اجرای فایل از یک منبع خارجی اجرا شده است.در کمتر از ۱۰ دقیقه، مهاجم:
دسترسی گرفت دسترسی سطح بالا دریافت کرد Persistence ایجاد کرد اقدام به اجرای Payload نمود---
اگر بخواهیم این سناریو را به یک Correlation Rule تبدیل کنیم:4625 (Multiple Failed Logons)
4624 (Successful Logon)4672 (Privileged Logon)4698 (Scheduled Task Creation)4688 / 4104 (PowerShell Execution) Alert: Potential Initial Access + Persistence + Execution Chainنکته جالب اینجاست که هیچ Malware Detection یا EDR Alert خاصی وجود نداشت؛ تنها با کنار هم قرار دادن چند Event ID ویندوز میشد کل زنجیره حمله را مشاهده کرد.
@SOCLIB#SOC #ThreatHunting #DetectionEngineering #WindowsSecurity #Sysmon #BlueTeam #IncidentResponse #CyberSecurity #SIEM #Splunk
۳کتابخانه عملیات امنیت سایبری یک هشدار ساده که تبدیل به Incident شد... ساعت 02:17 بامداد، SIEM چندین رویداد *4625 (Failed Logon) را از یک سرور مالی ثبت کرد. در نگاه اول چیز خاصی نبود؛ چند تلاش ناموفق برای ورود. اما چند دقیقه بعد یک 4624 (Successful Logon) از همان Source IP مشاهده شد. تحلیلگر SOC تصمیم گرفت بررسی را ادامه دهد... در ادامه لاگها مشخص شد که بلافاصله پس از ورود موفق، یک رویداد 4672 (Special Privileges Assigned)* برای همان حساب ثبت شده است. یعنی کاربر با دسترسیهای سطح بالا وارد سیستم شده بود. چند دقیقه بعد: Event ID 4698 یک Scheduled Task جدید ایجاد شد. سپس: Event ID 4688 فرآیند PowerShell اجرا شد. و در نهایت: Event ID 4104 Script Block Logging نشان داد که PowerShell با دستورات مشکوک برای دانلود و اجرای فایل از یک منبع خارجی اجرا شده است. در کمتر از ۱۰ دقیقه، مهاجم: دسترسی گرفت دسترسی سطح بالا دریافت کرد Persistence ایجاد کرد اقدام به اجرای Payload نمود --- اگر بخواهیم این سناریو را به یک Correlation Rule تبدیل کنیم: 4625 (Multiple Failed Logons) 4624 (Successful Logon) 4672 (Privileged Logon) 4698 (Scheduled Task Creation) 4688 / 4104 (PowerShell Execution) Alert: Potential Initial Access + Persistence + Execution Chain نکته جالب اینجاست که هیچ Malware Detection یا EDR Alert خاصی وجود نداشت؛ تنها با کنار هم قرار دادن چند Event ID ویندوز میشد کل زنجیره حمله را مشاهده کرد. @SOCLIB #SOC #ThreatHunting #DetectionEngineering #WindowsSecurity #Sysmon #BlueTeam #IncidentResponse #CyberSecurity #SIEM #Splunk
یک هشدار ساده که تبدیل به Incident شد... ساعت 02:17 بامداد، SIEM چندین رویداد *4625 (Failed Logon) را از یک سرور مالی ثبت کرد. در نگاه اول چیز خاصی نبود؛ چند تلاش ناموفق برای ورود. اما چند دقیقه بعد یک 4624 (Successful Logon) از همان Source IP مشاهده شد. تحلیلگر SOC تصمیم گرفت بررسی را ادامه دهد... در ادامه لاگها مشخص شد که بلافاصله پس از ورود موفق، یک رویداد 4672 (Special Privileges Assigned)* برای همان حساب ثبت شده است. یعنی کاربر با دسترسیهای سطح بالا وارد سیستم شده بود. چند دقیقه بعد: Event ID 4698 یک Scheduled Task جدید ایجاد شد. سپس: Event ID 4688 فرآیند PowerShell اجرا شد. و در نهایت: Event ID 4104 Script Block Logging نشان داد که PowerShell با دستورات مشکوک برای دانلود و اجرای فایل از یک منبع خارجی اجرا شده است. در کمتر از ۱۰ دقیقه، مهاجم: دسترسی گرفت دسترسی سطح بالا دریافت کرد Persistence ایجاد کرد اقدام به اجرای Payload نمود --- اگر بخواهیم این سناریو را به یک Correlation Rule تبدیل کنیم: 4625 (Multiple Failed Logons) 4624 (Successful Logon) 4672 (Privileged Logon) 4698 (Scheduled Task Creation) 4688 / 4104 (PowerShell Execution) Alert: Potential Initial Access + Persistence + Execution Chain نکته جالب اینجاست که هیچ Malware Detection یا EDR Alert خاصی وجود نداشت؛ تنها با کنار هم قرار دادن چند Event ID ویندوز میشد کل زنجیره حمله را مشاهده کرد. @SOCLIB #SOC #ThreatHunting #DetectionEngineering #WindowsSecurity #Sysmon #BlueTeam #IncidentResponse #CyberSecurity #SIEM #Splunk همه چیز با یک ایمیل ساده شروع شد...صبح دوشنبه بود.
یکی از کارمندهای بخش مالی یک ایمیل دریافت کرد که ظاهراً از طرف واحد منابع انسانی شرکت ارسال شده بود.
موضوع ایمیل:
«نسخه جدید فیش حقوقی آماده مشاهده است»همه چیز عادی به نظر میرسید:
لوگوی شرکت وجود داشت امضای ایمیل معتبر بود حتی نام کارمند هم داخل متن نوشته شده بودکارمند روی لینک کلیک کرد.
صفحهای باز شد که دقیقاً شبیه صفحه ورود Microsoft 365 بود.
او هم بدون شک کردن، نام کاربری و رمز عبورش را وارد کرد...
و همین.
هیچ ویروسی نصب نشد.هیچ فایل مشکوکی دانلود نشد.هیچ هشدار امنیتی هم نمایش داده نشد.
اما مهاجم حالا به حساب ایمیل او دسترسی داشت.
---
چند ساعت بعد...
مهاجم وارد صندوق ایمیل شد و شروع به بررسی مکاتبات مالی شرکت کرد.
او متوجه شد که شرکت قرار است چند روز بعد مبلغ قابل توجهی به یکی از تأمینکنندگان پرداخت کند.
مهاجم صبر کرد.
روز پرداخت، از همان حساب ایمیل واقعی برای واحد مالی پیام فرستاد:
"شماره حساب تأمینکننده تغییر کرده است. لطفاً پرداخت به حساب جدید انجام شود."
از آنجایی که ایمیل از حساب واقعی ارسال شده بود، هیچکس شک نکرد.
پول انتقال داده شد.
اما نه به تأمینکننده...
بلکه به حساب مهاجم.
---
چند روز بعد، وقتی تأمینکننده اعلام کرد که هنوز پولی دریافت نکرده، تازه همه متوجه شدند چه اتفاقی افتاده است.
نکته ترسناک ماجرا؟این حادثه نه با بدافزار شروع شد،نه با هک پیچیده،نه با آسیبپذیری روز صفر.
فقط با یک کلیک روی یک لینک جعلی.
به همین دلیل هنوز هم فیشینگ یکی از موفقترین روشهای حمله در دنیا محسوب میشود.اگر یک ایمیل از شما بخواهد وارد حساب کاربری خود شوید، قبل از کلیک روی لینک، آدرس فرستنده و دامنه مقصد را دوباره بررسی کنید.
شما یا اطرافیانتان تا به حال با چنین ایمیلهایی مواجه شدهاید؟
@SOCLIB#CyberSecurity #Phishing #SecurityAwareness #SOC #BlueTeam #ThreatHunting #Infosec
۷🥳۲
تنظیم معیارهای موفقیت (Setting Success Metrics)سلام دوستان در مراحل قبلی درباره Operating Framework و ساختار عملیاتی صحبت کردیم.اما یک سؤال مهم باقی میماند:از کجا بفهمیم پیادهسازی Splunk ما واقعاً موفق بوده است؟اینجاست که Success Metrics وارد میشوند.https://soclib.ir/?p=15919
۴
خیلی از پروژههای Splunk به خاطر کمبود Data یا ضعف تکنولوژی شکست نمیخورند...بلکه چون هیچکس از ابتدا مشخص نکرده:«موفقیت این پروژه دقیقاً چه شکلی است؟»در بسیاری از سازمانها ماهها زمان صرف میشود برای:
نصب Splunk جمعآوری لاگها ساخت Dashboardها طراحی Use Caseهااما وقتی زمان ارزیابی پروژه میرسد، یک سؤال مهم مطرح میشود:
آیا واقعاً ارزش ایجاد کردهایم؟اینجاست که مفهوم Success Metrics اهمیت پیدا میکند.اگر نتوانید موفقیت را اندازهگیری کنید، بهینهسازی آن هم تقریباً غیرممکن خواهد بود.
برخی از مهمترین معیارهایی که باید در پیادهسازی Splunk زیر نظر داشته باشید:
User Adoption Search Volume Data Ingestion Trends Hardware Utilization Detection Coverage MTTD / MTTR Alert Quality & False Positive Rateیک SIEM موفق فقط لاگ جمعآوری نمیکند؛باید بتواند ارزش عملیاتی، امنیتی و حتی تجاری ایجاد کند.به همین دلیل تیمهای حرفهای علاوه بر معماری و Deployment، روی KPIها، Monitoring Dashboardها و تحلیل رفتار کاربران نیز تمرکز میکنند.
اگر میخواهید با مفهوم Success Metrics در Splunk بیشتر آشنا شوید و بدانید چگونه موفقیت یک پروژه SIEM را بهصورت عملی اندازهگیری کنید، مقاله کامل را در سایت SOCLIB مطالعه کنید: https://soclib.ir/چارچوب-موفقیت-اسپلانک-تنظیم-معیارهای/ @SOCLIB۵۲
بسیاری از تیمهای SOC روزانه دهها IOC از منابع مختلف دریافت میکنند...IPهای مخرب،دامنههای آلوده،URLهای فیشینگ،Hashهای بدافزار و دهها شاخص دیگر.
اما یک سؤال مهم وجود دارد:
آیا این IOCها واقعاً وارد فرآیند Detection و Investigation شما میشوند؟در بسیاری از سازمانها Threat Intelligence فقط در قالب فایل Excel یا گزارشهای PDF باقی میماند و هرگز به Detection عملیاتی تبدیل نمیشود.
اینجاست که Splunk Enterprise Security وارد عمل میشود.
با اتصال منابع Threat Intelligence به Splunk ES میتوان:
IOCها را بهصورت خودکار دریافت و بهروزرسانی کرد لاگهای سازمان را با شاخصهای آلودگی تطبیق داد Correlation Searchهای مبتنی بر Threat Intelligence ایجاد کرد Context بیشتری در اختیار تحلیلگران SOC قرار داد زمان شناسایی تهدیدات را کاهش دادThreat Intelligence زمانی ارزشمند است که از یک گزارش خواندنی به یک قابلیت عملیاتی در SOC تبدیل شود.
در مقاله جدید SOCLIB، فرآیند اتصال Threat Intelligence در Splunk ES به پورتال شاخصهای آلودگی و نحوه استفاده از IOCها در عملیات امنیتی را بررسی کردهایم.
مطالعه مقاله:https://soclib.ir/اتصال-threat-intelligence-در-splunk-es-به-پورتال-شاخصهای-آلود/
@SOCLIB https://t.me/soclibrary#Splunk #SplunkES #ThreatIntelligence #SOC #SIEM #ThreatHunting #DetectionEngineering #CyberSecurity #BlueTeam #SOCLIB
۳
یکی از بزرگترین مشکلات حوزه امنیت سایبری در ایران، کمبود نیرو نیست...بلکه «نبود زبان مشترک» برای تعریف نقشها و مسیرهای شغلی است.
چند بار آگهی استخدامی دیدهایم که برای یک SOC Analyst انتظار مهارتهای Threat Hunter، Incident Responder، Detection Engineer و حتی Red Team را هم داشته باشد؟
یا چند بار از دانشجویان و افراد تازهوارد شنیدهایم:
برای ورود به SOC چه چیزهایی باید یاد بگیریم؟ مسیر Threat Hunting چیست؟ تفاوت Red Team و Penetration Testing چیست؟ برای تبدیل شدن به CISO چه مهارتهایی نیاز دارم؟به همین دلیل انتشار «چارچوب ملی سرمایه انسانی امنیت سایبری ایران» را میتوان یک گام مهم برای استانداردسازی نقشهای امنیت سایبری دانست.
برخی از نقشهای تعریف شده در این چارچوب: CISO (مدیر ارشد امنیت اطلاعات) Cybersecurity Architect General Security Specialist Penetration Tester & Vulnerability Analyst Threat Hunter Red Team Specialist Incident Responder & Digital Forensics SOC Analyst (Level 1, 2, 3) Security Auditor OT Security Specialist Cybersecurity Trainerنکته جالب اینجاست که برای هر نقش، موارد زیر مشخص شده است:
مأموریت شغلی وظایف اصلی دانش تخصصی موردنیاز مهارتهای فنی موردنیازاین دقیقاً همان چیزی است که سالها در اکوسیستم امنیت سایبری کشور به آن نیاز داشتیم.
اگر این چارچوب به درستی توسط شرکتها، مراکز آموزشی و متخصصان استفاده شود، میتواند فاصله بین آموزش، استخدام و نیاز واقعی بازار را تا حد زیادی کاهش دهد. به نظر شما در بازار کار امنیت سایبری ایران، کدام نقش بیشتر از همه دچار ابهام و سوءبرداشت شده است؟آدرس کانال تخصصی SOC Library در پیامرسان بله:
https://ble.ir/soclib
کانال تخصصی SOC Library:
https://t.me/soclibrary
#CyberSecurity #SOC #ThreatHunting #RedTeam #BlueTeam #DFIR #SecurityArchitecture #CISO #SOCAnalyst #DetectionEngineering #IranCyberSecurity
۴
کارت بانکی شما هک نمیشود...بلکه کپی میشود!
خیلی از افراد تصور میکنند برای سرقت پول از حساب بانکی حتماً باید موبایل یا اینترنت بانکشان هک شود.
اما یکی از قدیمیترین و همچنان مؤثرترین روشهای کلاهبرداری، چیزی به نام *Skimming* است.
ماجرا از این قرار است:
مهاجم یک دستگاه کوچک روی کارتخوان یا خودپرداز نصب میکند.
وقتی کارت را وارد دستگاه میکنید، اطلاعات موجود روی نوار مغناطیسی کارت شما کپی میشود.
اگر رمز کارت هم به هر شکلی ثبت شود (مثلاً با دوربین مخفی یا صفحهکلید تقلبی)، مهاجم میتواند یک نسخه جعلی از کارت شما بسازد.
نکته جالب اینجاست:در بسیاری از موارد، قربانی تا زمانی که پیامک برداشت وجه را دریافت نکند، متوجه هیچ چیز نمیشود.
برای کاهش این خطر:
هنگام وارد کردن رمز، با دست صفحه کلید را بپوشانید. قبل از استفاده از خودپرداز یا کارتخوان، ظاهر آن را بررسی کنید. اگر قسمتی از دستگاه لق، غیرعادی یا چسبانده شده به نظر میرسد از آن استفاده نکنید. پیامک تراکنشهای بانکی را فعال نگه دارید. برای حسابهای اصلی، سقف برداشت روزانه را محدود کنید.امروزه بسیاری از سرقتهای بانکی با هک پیچیده انجام نمیشوند؛
بلکه با سوءاستفاده از چند ثانیه بیدقتی اتفاق میافتند.
امنیت فقط در فضای آنلاین نیست؛ گاهی روی همان دستگاه کارتخوانی است که هر روز از آن استفاده میکنیم. @SOCLIB#امنیت_سایبری #کارت_بانکی #اسکیمینگ #کلاهبرداری_بانکی #آگاهی_امنیتی
۱