گزارش مشکلات و ارسال مطلب سوالات تست نفوذ وب سوالات تست نفوذ شبکه سوالات تست نفوذ موبایل سوالات تست رد تیم
نمونه سوالات مصاحبه Blue Team
سازمان ها برای دفاع از دارایی هایشان نیازمند استراتژی جهت جلوگیری از مشکلات امنیتی هستند اما باید در نظر گرفت فرآیند هاردنینگ (امن سازی) تا جایی کارساز هست و هیچ گاه این فرآیند 100 درصد نیست لذا باید مانیتورینگ قوی در شبکه داشت تا هر گونه فعالیت مشکوک را شناسایی کرد هر چقدر مانیتورینگ قوی تر عمل کند شناسایی نقض داده بسیار سریع تر و دقیق تر است و از بروز مشکلات امنیتی جلوگیری خواهد شد. بلوتیم یکی از کاربردی ترین تمرین های امنیتی مقابل ردتیم می باشد و بر اساس TTP های فریمورک MITRE ATTACK می توان Rule شناسایی را در SIEM ها پیاده سازی کرد همچنین یکی دیگر از فریمورک های Def3nd شرکت MITRE هست 5 گام اصلی Hardening ، Detect ، Isolate ، decoy ، Evict تشکیل شده است.
Defend MITRE فریم ورک بلو تیم
[!IMPORTANT]
- Hardening
- Application Hardening
- Credential Hardening
- Message Hardening
- Platform Hardening
- Detect
- File Analysis
- Identifier Analysis
- Message Analysis
- Network Traffic Analysis
- Platform Monitoring
- Process Analysis
- User behavior Analysis
- Isolate
- Execution Isolation
- Network Isolation
- Decoy
- Decoy Environment
- Decoy Object
- Evict
- Credential Eviction
- File Eviction
- Process Eviction
لیست برخی از ابزارهای Blue Teaming :
[!IMPORTANT]
- Splunk
- ELK Stack
- IBM QRadar
- ArcSight
- Snort
- Suricata
- Bro/Zeek
- Nessus
- OpenVAS
- Qualys
- Demisto XDR
- Phantom XDR
- TheHive XDR
- Carbon Black EDR
- CrowdStrike EDR
- SentinelOne EDR
- CrowdStrike Falcon EPP
- Microsoft Defender Endpoint
- Carbon Black Endpoint
- Darktrace
- Stealthwatch
- Palo Alto Networks PAN-OS
- Check Point IPS
- Tenable Nessus
- Rapid7 InsightVM
- CIS-CAT
- SecurityCenter
- Microsoft Baseline Security Analyzer
- Sysmon
- Osquery
- ModSecurity WAF
- Fortinet FortiWeb
- Symantec DLP
- McAfee DLP
- Forcepoint DLP
- Demisto IRP
- IBM Resilient IRP
- Microsoft Azure Sentinel
- McAfee MVISION EDR
- RSA NetWitness
- Cisco Identity Services Engine (ISE)
- Aruba ClearPass
- Microsoft Azure Active Directory
- Okta
- Incident Response Playbooks and Documentation
اقدامات امنیتی پیشگیرانه شامل اقدامات برای جلوگیری از حوادث، مانند اجرای کنترل های دسترسی قوی و انجام ارزیابی های امنیتی منظم است. اقدامات واکنشی، واکنش هایی هستند که پس از وقوع یک حادثه انجام می شود، مانند واکنش به حادثه و تلاش های بازیابی.
شکار تهدید شامل جستجوی proActive برای تهدیدات امنیتی است که ممکن است از روشهای تشخیص سنتی پیدا نشده باشند. این می‌تواند شامل انجام جستجوهای هدفمند، تجزیه و تحلیل گزارش‌ها و استفاده از اطلاعات هوش تهدید برای یافتن نشانه‌های احتمالی نفوذ باشد یا ساده تر استفاده از گزارش های هوش تهدید استخراج ردپای هکر IOC ها و Artifact ها و تطبیق آن ها در ترافیک ها و لاگ ها شبکه داخلی و کشف نقض داده می باشد.
ابزارهای SIEM به متمرکز کردن و تجزیه و تحلیل گزارش‌های امنیتی و رویدادها کمک می‌کنند. من از آنها برای شناسایی الگوها، ناهنجاری‌ها و حوادث احتمالی امنیتی استفاده میکنم و فرآیند واکنش به حادثه IR را ساده میکنم.
همکاری شامل به اشتراک گذاری اطلاعات، بینش ها و درس های آموخته شده از حوادث امنیتی است. من از نزدیک با تیم Red برای درک تکنیک های حمله جلسه برگزار می کنم و با کمک آن ها Rule ها را به روز رسانی می کنم.
و با IT و DevOps برای اجرای روش های امن سازی جلسه برگزار می کنم.
هر صنعتی دارای استانداردهای امنیتی هست که توسط شرکت های امنیتی در بهترین حالت وضع شده است و من به صورت دوره ای سعی می کنم با توجه به صنعتی که در آن فعالیت می کند یا اقدام به امن سازی میکنم استاندارد ها را مطالعه کنم و طبق بهترین تلاش ها یا Best Practice ها امن سازی را انجام دهم.
در فرآیند IR ابزارهای زیادی دخیل و کاربردی هستند من از SIEM EDR NDR ها جهت شناسایی ناهنجاری استفاده کردم. ولی در پاسخ به حوادث یا IR که شامل Preparation ، Detection، Containment، Investigation، Remediation و Post-incident analysis می باشد من در شناسایی با کمک ابزارهایی که نام بردم فعالیت کردم.
من از نظارت بر رفتار، کنترل های دسترسی، راه حل های پیشگیری از دست دادن داده ها (DLP) و آموزش کاربر برای شناسایی و جلوگیری از تهدیدات داخلی استفاده می کنم همچنین از canary token ها جهت insider threat و نقض داده با توجه به نوع پیاده سازی network segmentation استفاده میکنم.
طبق تجربه به نکات زیر توجه می کنم:
رفتار یوزرها: زمان ورود، موقعیت جغرافیاییشان، داده ها که تلاش به دسترسی داشتند، تلاش های ناموفق ورود آنالیز بدافزار: من از IOC که در فید TI دارم تبدیل به Rule در SIEM میکنم تا بدافزارها رو شناسایی کنم معمولا ترافیک های مشکوک به راحتی از این راه کشف می شوند که عمدتا ترافیک های هستند که از شبکه بیرون متصل شده اند همان C2 ها و گاهی پیش می آید پراسس تلاش به تغییر در سیستم می کند که یک رد فلگ در جهت شناسایی بدافزار برای من محسوب می شود. آنالیز ترافیک شبکه: در آنالیز ترافیک دنبال IP های مشکوک هستم یا آپلودهای غیر معمول! یا ترافیک سنگین که مربوط به یک حمله brute force است. هوش تهدید: من از چندین TI feed پولی و رایگان استفاده می کنم و به صورت دوره ای رول ها را به کمک آن آپدیت میکنم تا تهدیدات را راحت تر شناسایی کنم. یکی کردن لاگ ها: بدون شک اگر چندین داشبورد تبدیل به یک داشبورد مجتمع از تمامی لاگ ها کنیم بسیار راحت تر می توان آنالیز را داشته باشیم و اگر در سازمانی مشغول به کار باشم که داشبورد لاگ ها یکی نباشد، اولین اقدام من یکی کردن داشبوردها می باشد. طبق تجربم تحلیل لاگ زمانی کاربری است که زمانی که نفوذ تشخیص داده شد IRP وجود داشته باشد و نقش هر کس مشخص باشد و در کوتاه ترین زمان ممکن بتوان به نفوذ رسیدگی کرد.
حملات APT نیازمند داشتن TTP ها و به روز بودن رول های SIEM می باشد در صورتی که بروز نباشد شناسایی این حملات امکان پذیر نمی باشد و ممکن است هفته ها ماه ها یا سال ها متوجه جاسوسی این گروه ها نشویم. همچنین IRP برای این حملات باید از قبل طراحی شده باشد تا به محض شناسایی پیاده سازی شود.
خط پایه امنیتی مجموعه ای از استانداردهای امنیتی است که حداقل الزامات امنیتی را برای سیستم ها و شبکه ها تعریف می کند. من به طور منظم خط پایه را بررسی و به روز می کنم، آن را از طریق اجرای خط مشی اجرا می کنم و سیستم ها را برای اطمینان از انطباق نظارت می کنم. مثال ساده اگر دولوپر از من یک سرور اوبونتو برای توسعه بخواهد من سرور را به صورتی امن سازی یا هاردنینگ میکنم که فقط برای توسعه قابل استفاده باشد و کلیه دسترسی ها دیگر و سرویس دیگر را غیر فعال میکنم و همچنین تا آخرین بروزرسانی های امنیتی را قبل از تحویل دادن به دولوپر انجام می دهم.
من ذینفعان را درگیر میکنم، بهترین شیوه‌ها را دنبال میکنم، و به‌طور منظم خط‌مشی‌ها را بررسی و به‌روزرسانی میکنم تا با تهدیدات در حال تحول همسو شوند.
اگر پرسیده شد ذینفعان چه کسانی هستند در هر ساختار فرق می کند ممکن است C level ها یا حتی کارشناس IT یا Devops باشد
من یک حمله باج افزار برخورد داشتم که خوشبختانه به دلیل ایزوله بودن شبکه فقط قسمتی از شبکه آلوده شده بود و درسی که از آن گرفتم تقویت network segmentation ، Access control وتقویت backup solution بود.
مؤلفه‌های کلیدی شامل محتوای مناسب، تمرین‌های فیشینگ شبیه‌سازی‌شده، به‌روزرسانی‌های منظم و معیارهای سنجش اثربخشی است. از gophish در سازمان های مختلف با طراحی فیشینگ کمپین به صورت دوره ای سعی در افزایش آگاهی امنیت سایبری داشتم
ابزارهای EDR زمانی می توانند موثر واقع شوند اولا باید به صورت درست طراحی شده باشند و سنسورها در مکان های درست قرار داده شده باشند و حتما امکان به روز رسانی وجود داشته باشد و امکان یکپارچه سازی EDR و SIEM وجود داشته باشد.
من به ارتباطات شفاف، به موقع و دقیق، ارائه به روز رسانی در مورد حادثه، اقدامات انجام شده و اقدامات پیشگیرانه آتی اعتقاد دارم یا به صورت ساده تر IRP را به صورت خیلی ساده برایشان شرح می دهم. و اگر نقض داده ای رخ داده باشد به صورت شفاف بازگو میکنم.