آموزش Cobalt Strike برای Red Teamers
مدرس: علی سلطانی
Cobalt Strike for Red Teamers با تدریس علی سلطانی، کار با این پلتفرم را در قالب یک عملیات ردتیم برنامه‌ریزی‌شده بررسی می‌کند. از معماری Team Server و Client تا Listener، Beacon و مدیریت نشست، هر قابلیت در ارتباط با هدف تمرین، محدودیت دامنه و شواهدی که در Endpoint و شبکه تولید می‌کند خوانده می‌شود.
مسیر فنی دوره شامل تنظیم محیط آزمایشگاهی، مدیریت نقش اپراتورها، شناخت چرخه Task و Callback، تحلیل گزینه‌های ارتباطی و ساختار Malleable C2 است. سپس قابلیت‌های توسعه‌پذیری مانند Aggressor Script و Beacon Object File از نظر ساختار، ورودی/خروجی، سازگاری و پایداری بررسی می‌شوند. طراحی ارتباط یا تغییر Profile به‌خودی‌خود به معنی عبور از کنترل امنیتی نیست؛ نتیجه باید با لاگ، Capture و مشاهده رفتار در محیط مقصد سنجیده شود.
در بخش عملیاتی، Context کاربر و پردازش، مدیریت نشست‌های چندمیزبانی، Pivot و محدودیت ارتباط داخلی، مستندسازی فعالیت اپراتور و تحویل شواهد تمرین بررسی می‌شوند. بخش Purple Team، رفتار شبیه‌سازی‌شده را با Sysmon، Windows Security و داده شبکه تطبیق می‌دهد تا شکاف Detection مشخص شود. خروجی، توانایی اجرای یک سناریوی قابل کنترل و بازبینی با Timeline، نگاشت ATT&CK و برنامه پاک‌سازی و خاتمه تمرین است.
مهارت‌هایی که در این دوره دنبال می‌کنید
- راه‌اندازی و مدیریت محیط Team Server و Client
- درک چرخه Listener، Beacon، Task و Callback
- تحلیل Profile و ویژگی‌های ترافیک Malleable C2
- شناخت ساختار Aggressor Script و BOF
- مدیریت Context، Session و Pivot در سناریوی آزمایشگاهی
- ثبت Timeline و ارزیابی شواهد تمرین برای تیم دفاع
پیش‌نیازهای فنی
- دانش عملی Windows، Active Directory و TCP/IP
- تجربه مقدماتی تست نفوذ و مفهوم Red Team Operation
- توانایی خواندن PowerShell و کد C در سطح مقدماتی
- محیط آزمایشگاهی و دسترسی مجاز به نسخه دارای مجوز Cobalt Strike
ابزارها و منابع فنی مسیر آموزش
- Cobalt Strike با مجوز مستقل و محیط آزمایشگاهی
- Team Server، Client، Listener و Beacon
- Aggressor Script و Beacon Object File
- Wireshark، Sysmon و Windows Event Logs
- MITRE ATT&CK برای گزارش رفتار تمرین
برنامه آموزشی و سرفصل‌های تخصصی
1. طراحی عملیات و معماری Cobalt Strike
- تعیین هدف، Scope و قواعد تعامل تمرین
- نقش Team Server، Client و Operator
- مدیریت دسترسی و تفکیک محیط آزمایشگاهی
- ثبت فعالیت، زمان و الزامات خاتمه عملیات
2. راه‌اندازی آزمایشگاه و مدیریت Team Server
- پیش‌نیاز ارتباط، Name Resolution و Certificate
- مدیریت Client و همکاری چند اپراتور
- بررسی لاگ‌ها، Export و نگهداری داده عملیات
- تعیین Snapshot و روش بازگردانی محیط
3. Listener و مدل ارتباط Beacon
- تفاوت Channelهای ارتباطی در سطح معماری
- بررسی Host، Port و مسیر دسترسی شبکه
- شناخت Staged و Stageless در چرخه اجرا
- تحلیل عوامل ایجاد خطا در برقراری Callback
4. Beacon Lifecycle؛ Session، Task و Callback
- شناخت شناسه، Metadata و Context نشست
- بررسی Sleep، Jitter و زمان‌بندی ارتباط
- مدیریت Task و خواندن نتیجه و خطا
- تفکیک قطع ارتباط، خاتمه و Crash پردازش
5. Malleable C2؛ ساختار Profile و اعتبارسنجی
- شناخت بخش‌های Profile و تبدیل داده
- بررسی Header، URI و ویژگی‌های مشاهده‌پذیر ترافیک
- اعتبارسنجی Profile و محدودیت تغییرات
- مقایسه Capture قبل و بعد از تنظیم
6. Context کاربر، پردازش و دسترسی
- خواندن اطلاعات نشست و سطح اجرای پردازش
- شناخت Token و محدودیت دسترسی در ویندوز
- بررسی رابطه عملیات و Process Tree
- تعیین Preconditions هر اقدام در سناریو
7. مدیریت فایل، اجرا و آثار عملیاتی
- بررسی مسیر و ورودی/خروجی فعالیت مجاز
- ثبت فایل و پردازش ایجادشده در تمرین
- تحلیل Command Execution و روش جمع‌آوری خروجی
- مدیریت خطا و جلوگیری از باقی‌ماندن Artifact ناخواسته
8. Pivot و مدیریت ارتباط در شبکه داخلی
- شناخت مسیر ارتباط و محدودیت Segmentation
- بررسی نقش Relay و نشست‌های چندمیزبانی در آزمایشگاه
- مدیریت Port Forward و مسیر ابزار ارزیابی
- ثبت وابستگی نشست‌ها و اثر قطع یک مسیر
9. Aggressor Script و خودکارسازی جریان اپراتور
- شناخت Event، Alias و رابط تعامل
- مدیریت ورودی، خروجی و خطای Script
- افزودن گردش کار تکرارپذیر آزمایشگاهی
- بررسی سازگاری و محدودیت API نسخه ابزار
10. BOF؛ ساختار، ورودی و ملاحظات پایداری
- شناخت مدل Beacon Object File و تفاوت آن با PE اجرایی
- بررسی Argument Parsing و Dependency
- مدیریت Memory و خطا در نمونه آموزشی
- آزمون پایداری و ثبت اثر در پردازش میزبان
11. Purple Team؛ مشاهده Beacon در Endpoint و Network
- همبستگی Task با Process و Network Event
- بررسی الگوی Callback و شواهد شبکه
- تحلیل پوشش Detection و دلیل شکاف مشاهده
- تهیه جدول رفتار، داده لازم و نتیجه شناسایی
12. گزارش عملیات، ATT&CK و خاتمه تمرین
- ساخت Timeline اپراتور و هدف سناریو
- نگاشت رفتار اجراشده به Technique
- ثبت فایل، حساب و تغییرات نیازمند پاک‌سازی
- تحویل گزارش، Lessons Learned و تأیید پایان تمرین
سناریوی تمرین و خروجی فنی
یک سناریوی چندمرحله‌ای در محیط آزمایشگاهی با هدف مشخص اجرا و هم‌زمان شواهد Endpoint و Network جمع‌آوری می‌شود. خروجی شامل برنامه عملیات، تنظیمات مستند، Timeline فعالیت اپراتور، نگاشت ATT&CK، ارزیابی Detection و فهرست کنترل خاتمه و پاک‌سازی است.
شیوه ارائه و برنامه‌ریزی یادگیری
شیوه ارائه این دوره ضبط‌شده / آنلاین است. سرفصل‌ها و زمان‌بندی جلسات، برنامه آموزشی دوره را نشان می‌دهند؛ دسترسی به محتوای جلسات پس از فعال‌شدن ثبت‌نام ارائه می‌شود.