Threat Hunting

آموزش Threat Hunting و شکار تهدید

مدرس: علی سلطانی

Threat Hunting جست‌وجوی بدون هدف در لاگ‌ها یا جست‌وجوی یک Hash نیست. در این دوره با تدریس علی سلطانی، شکار تهدید را به یک چرخه فنی تبدیل می‌کنیم: تعریف فرضیه، تعیین داده لازم، طراحی جست‌وجو، بررسی موجودیت‌های مرتبط، آزمون توضیح‌های جایگزین و ثبت نتیجه. نقطه شروع می‌تواند یک گزارش Threat Intelligence، شکاف شناسایی یا رفتاری غیرمعمول در محیط سازمان باشد.

داده‌های اصلی شامل Process Creation، Network Connection، Registry، File، Windows Security و PowerShell هستند. برای هر سناریو ابتدا بررسی می‌کنیم آیا Telemetry موجود واقعاً مشاهده رفتار موردنظر را ممکن می‌کند یا خیر. سپس Baseline، Rare Event Analysis، نسبت‌ها، توالی زمانی و روابط Parent/Child برای اولویت‌بندی سرنخ‌ها به کار می‌روند. این رویکرد، تفاوت یک رویداد نادر با یک رفتار مخرب را روشن‌تر می‌کند.

سناریوهای فنی شامل اجرای غیرعادی LOLBins، PowerShell مشکوک، Persistence با Service و Scheduled Task، دسترسی حساس به پردازش، حرکت جانبی و الگوهای C2 است. رفتارها با MITRE ATT&CK دسته‌بندی می‌شوند و خروجی شکار به Query قابل تکرار، Detection Candidate، پیشنهاد جمع‌آوری داده و در صورت تناسب به Rule مبتنی بر Sigma تبدیل می‌شود. معیار موفقیت صرفاً تعداد هشدار نیست؛ کیفیت فرضیه، قابلیت بازتولید تحلیل و کاهش شکاف دید نیز ارزیابی می‌شوند.

مهارت‌هایی که در این دوره دنبال می‌کنید

• تبدیل TTP و اطلاعات تهدید به فرضیه قابل آزمون
• تعریف Data Requirement و کشف شکاف Telemetry
• طراحی جست‌وجوی مبتنی بر موجودیت، رفتار و توالی
• تحلیل Process Tree و ارتباط رویدادهای Endpoint و Network
• تدوین Sigma و برنامه اعتبارسنجی False Positive
• ساخت Hunt Report و Backlog مهندسی شناسایی

پیش‌نیازهای فنی

• آشنایی با فرایند SOC، Triage و Incident Response
• شناخت Process Tree، Registry، Service و Windows Event Logs
• تسلط مقدماتی به TCP/IP، DNS و احراز هویت ویندوز
• توانایی فیلتر و تجمیع داده با یک زبان جست‌وجو یا SQL

ابزارها و منابع فنی مسیر آموزش

• MITRE ATT&CK و الگوی TTP
• Sysmon، Windows Security و PowerShell Logging
• Sigma و نگاشت فیلدهای Detection
• Query، Regex، Aggregation و تحلیل Timeline

برنامه آموزشی و سرفصل‌های تخصصی

1. چرخه شکار تهدید؛ Hypothesis و Hunt Plan

• تفکیک IOC Hunting، TTP Hunting و Anomaly Hunting
• انتخاب دامنه، فرضیه و معیار پایان شکار
• تبدیل گزارش Threat Intelligence به سؤال داده‌ای
• ثبت فرضیات و عوامل ایجاد False Positive

2. MITRE ATT&CK و مدل‌سازی رفتار مهاجم

• تفکیک Tactic، Technique و Procedure
• نگاشت رفتار مشاهده‌شده به Technique مناسب
• استفاده از زنجیره رفتار برای تعیین Pivot بعدی
• پرهیز از ادعای پوشش صرفاً با فهرست Techniqueها

3. Telemetry Engineering و آمادگی داده

• بررسی Process، File، Registry و Network Event
• پیکربندی مفهومی Sysmon و پوشش Event Type
• ارزیابی Timestamp، Host ID، User ID و Command Line
• کشف شکاف Collection، Parsing و Retention

4. ساخت Baseline و تحلیل رویدادهای نادر

• مقایسه فراوانی بر اساس میزبان، کاربر و نقش دارایی
• بررسی Rare Parent/Child و Executable Path
• تفکیک نادر بودن از مخرب بودن
• تحلیل تغییر Baseline پس از تغییرات عملیاتی

5. Query Design؛ جست‌وجو، تجمیع و همبستگی

• طراحی فیلترهای قابل نگهداری و Regex هدفمند
• Group By، Count، Distinct و Time Bucketing
• همبستگی رویداد با Host، User و Process GUID
• کنترل هزینه جست‌وجو و خطاهای Normalization

6. Process Hunting؛ Parent/Child و اجرای غیرمعمول

• بررسی Office، Browser و Script Interpreter در Process Tree
• تحلیل مسیر اجرا، امضا و Command Line
• شناسایی نام مشابه ابزار سیستمی و مسیر غیرمنتظره
• همبستگی ایجاد فایل، اجرا و اتصال شبکه

7. شکار LOLBins، PowerShell و اجرای اسکریپت

• تحلیل کاربرد غیرمعمول ابزارهای Signed Binary
• بررسی Script Block و PowerShell Operational Log
• شناخت Encoded Command در زمینه پردازش
• تفکیک Automation مدیریت سیستم از اجرای مشکوک

8. شکار Persistence؛ Service، Task و Autostart

• بررسی ایجاد سرویس و تغییر ImagePath
• همبستگی Scheduled Task و حساب ایجادکننده
• تحلیل Registry Run Key و Startup Path
• اعتبارسنجی با Change Record و Software Deployment

9. شکار رفتارهای حساس حافظه و Credential Access

• بررسی شواهد Process Access و Target Process
• تحلیل زنجیره اجرا در اطراف دسترسی به LSASS
• همبستگی File Creation و ابزارهای Dump
• شناخت محدودیت Telemetry در اثبات دسترسی به Credential

10. Lateral Movement و رفتارهای هویتی

• همبستگی Logon Type، Source Host و حساب
• بررسی Remote Service، WinRM و SMB در زمینه رخداد
• تحلیل Explicit Credential و نشست مدیریتی
• Pivot از یک حساب به میزبان‌های مرتبط

11. شکار C2 و شبکه با اتصال شواهد Endpoint

• تحلیل ارتباط دوره‌ای و دامنه نادر
• بررسی DNS و نسبت ارسال/دریافت
• پیوند مقصد شبکه با پردازش ایجادکننده
• ارزیابی توضیح جایگزین مانند Update و Monitoring

12. تبدیل Hunt به Detection؛ Sigma و اعتبارسنجی

• تعریف Logsource، Selection و Condition
• ثبت Field Mapping و وابستگی داده
• آزمون روی نمونه مثبت و فعالیت عادی
• تنظیم Exclusion و بررسی خطر Overfitting

13. Hunt Report، پوشش و انتقال به تیم پاسخ

• ثبت Query، بازه زمان و مجموعه داده
• تهیه Evidence Matrix و نتیجه هر فرضیه
• تبدیل یافته تأییدشده به Incident یا Detection Task
• ثبت Hunt Coverage، شکاف داده و اقدام بعدی

سناریوی تمرین و خروجی فنی

برای یک فرضیه درباره اجرای غیرعادی PowerShell و جابه‌جایی بین میزبان‌ها، Hunt Plan تدوین می‌شود. خروجی شامل Queryهای قابل تکرار، Timeline چندمیزبانی، تحلیل نمونه‌های عادی و مشکوک، نگاشت ATT&CK و یک Detection Candidate همراه با شرایط False Positive و نیازمندی داده است.

شیوه ارائه و برنامه‌ریزی یادگیری

شیوه ارائه این دوره ضبط‌شده / آنلاین است. سرفصل‌ها و زمان‌بندی جلسات، برنامه آموزشی دوره را نشان می‌دهند؛ دسترسی به محتوای جلسات پس از فعال‌شدن ثبت‌نام ارائه می‌شود.