😍 تحقیق "چگونه استراتژی های CISO تغییر کرده اند": در مورد CISO و برای CISO

تیم تحلیلی Infosystems Jet یک مطالعه مشاوره ای بزرگ را با عنوان "دوره تاب آوری سایبری: چگونه استراتژی های CISO تغییر کرده اند" آماده کرد. سال گذشته این مطالعه برای اولین بار منتشر شد، اکنون ما آن را به یک رویداد سالانه تبدیل کرده ایم. این گزارش بر اساس نتایج نظرسنجی از مدیران امنیت اطلاعات (مصاحبه و پرسشنامه های حضوری) و همچنین داده های تاریخی انباشته شده در مورد نتایج پروژه های امنیت اطلاعات تهیه شده است. مجموع تجمعی برای دو سال بیش از 160 پاسخ دهنده است، پاسخ دهندگان اصلی مطالعه (75٪) شرکت های بزرگ با کارکنان 500 تا 2000 نفر هستند.

این مطالعه حوزه های کلیدی مورد علاقه مدیران امنیت اطلاعات را پوشش می دهد:
🔹 مدیریت استراتژیک (تعیین و تنظیم اهداف، تشکیل و حفاظت از بودجه امنیت اطلاعات)
🔹 مدیریت موثر، استفاده از خدمات و اتوماسیون
🔹 سازماندهی خدمات امنیت اطلاعات، جستجو و توسعه پرسنل
🔹 مدیریت ریسک امنیت اطلاعات
🔹 حفظ انعطاف پذیری سایبری و تضمین تداوم کسب و کار
🔹 ارزیابی و گزارش سطح امنیت اطلاعات
🔹 فرهنگ سایبری

برخی از ارقام و نتایج جالب از این گزارش:
🔹 برنامه ریزی پنج ساله در امنیت اطلاعات عملاً در حال از بین رفتن است: شرکت ها به طور فزاینده ای برنامه ریزی برای دوره های زمانی کوتاه (دو ساله) را انتخاب می کنند و 4٪ از شرکت ها به برنامه ریزی تا یک سال روی آورده اند.
🔹 مدیران IS همچنان به انتخاب روش "محتاطانه" برنامه ریزی استراتژیک ادامه می دهند و به استراتژی بهبود تدریجی ترجیح می دهند. تعداد شرکت هایی که به دنبال تغییرات اساسی ("استراتژی های نوآوری") هستند از 23٪ به 5٪ کاهش یافت.
🔹 شرکت ها هنوز مدل قدیمی «قلعه و خندق» و مدل «دفاع طبقه ای» را ترجیح می دهند. شرکت‌ها به‌طور فزاینده‌ای در حال طراحی معماری‌های ترکیبی (انتقالی) هستند و روش‌های ZT و انعطاف‌پذیری سایبری را به لایه‌های ثابت دفاع اضافه می‌کنند.
🔹 14٪ از شرکت ها یک رویکرد خدمات را اجرا کرده اند، 11٪ در حال اجرای شیوه های فردی هستند: تعریف خدمات اولیه و اختیاری، توسعه یک سیستم قیمت گذاری، انتخاب ابزار مدیریت خدمات، توسعه یک پایه روش شناختی برای یک مدل خدمات.
🔹 از پایان سال 2023، روندی به سمت توزیع مجدد جزئی بودجه از عملکرد "پیشگیری" (پیشگیری) به "تشخیص سریع تهدید" (تشخیص و پاسخ) وجود داشته است. اقدامات "پیشگیری" همچنان شاهد سهم بالایی از بودجه بندی است زیرا شرکت ها همچنان به راه حل های داخلی مانند امنیت شبکه مهاجرت می کنند.
🔹 تعداد شرکت‌هایی که کارگر امنیت اطلاعات ندارند در مقایسه با سال 2023 به میزان قابل توجهی کاهش یافته است - تنها 6 درصد در مقابل 13 درصد در سال 2024.
🔹 از اواسط سال 2024، افزایش تقاضا برای حالت های امنیتی اطلاعات با دید هلیکوپتر ("ممیزی سریع") با استفاده از مدل های ارزیابی سطح بلوغ (CMMI و موارد مشابه) وجود داشته است.

این مطالعه برای مدیران امنیت اطلاعات و فناوری اطلاعات و همچنین مشاوران و کارشناسان امنیت اطلاعات مفید خواهد بود

👾 ماندگارترین بدافزار

• در سال 2008 ، کرمی به نام Conficker در سراسر جهان گسترش یافت. با سوء استفاده از یک آسیب پذیری حیاتی در سیستم عامل، رایانه هایی را که دارای ویندوز XP هستند، هدف قرار داد.

• کل موضوع این بود که حتی قبل از شروع گسترش کرم، مایکروسافت به روز رسانی امنیتی MS08-067 را منتشر کرد که آسیب پذیری سیستم عامل را بسته و از آلوده شدن سیستم به بدافزار جلوگیری کرد. در نتیجه آن دسته از کاربرانی که این آپدیت را نصب نکرده بودند دچار حمله کرم شدند.

• تخمین تعداد کل دستگاه های آلوده به Conficker دشوار است. تنها در ژانویه 2009، بر اساس برآوردهای مختلف، تعداد آنها از 9 تا 15 میلیون متغیر بود. این کرم همچنین از ویژگی بارگذاری خودکار استفاده کرده و سیستم های تمیز شده را مجدداً آلوده کرد.

• به علاوه، این کرم به معنای واقعی کلمه همه جا حاضر بود. این بدافزار حتی در یک نیروگاه هسته‌ای در آلمان نیز یافت شد و این کرم در حداقل 18 دستگاه ذخیره‌سازی موبایل، عمدتاً USB و رایانه‌های اداری، که جدا از سیستم‌های اصلی نیروگاه استفاده می‌شدند، یافت شد. همچنین خبری منتشر شد مبنی بر اینکه دوربین هایی که پلیس در ایالات متحده روی لباس خود می پوشد نیز به کرم آلوده است. علاوه بر این، کرم از تولید این دستگاه‌ها به آنجا می‌رسد و در صورت اتصال دوربین به رایانه شخصی، در سراسر شبکه پخش می‌شود.

• با دور شدن افراد از سیستم عامل قدیمی، تعداد دستگاه های آلوده کاهش یافت. با این حال، در سال 2019 (10 سال پس از اولین قسمت!)، یک مقاله نیویورک تایمز نشان داد که حدود 500000 دستگاه هنوز آلوده هستند و در سال 2021 (12 سال پس از اولین آلودگی)، کارشناسان BitDefender بدافزار را در 150000 دستگاه پیدا کردند .

• نیروی دریایی فرانسه (Intrama) مجبور شد پروازهای خود را در چندین پایگاه هوایی خود به دلیل وجود این کرم متوقف کند. قطع شبکه ناشی از این کرم برای شورای شهر منچستر 1.5 میلیون پوند هزینه داشت. McAfee خسارت جهانی Conficker را 9.1 میلیارد دلار تخمین زد.

شصت سال پیش در چنین ماهی، الگوریتم تبدیل فوریه سریع (FFT) توسط کولی و توکی (۱۹۶۵) معرفی شد؛ یکی از مهم‌ترین الگوریتم‌های پردازش سیگنال و تحلیل داده در تاریخ.

جالب است بدانید در سال ۱۸۰۵، گاوس هنگام مطالعه مدار سیارک‌های پالاس و جونو، روشی برای بازسازی مسیر آن‌ها از نمونه‌های گسسته ارائه کرد. این روش از نظر ریاضی بسیار به FFT مدرن شباهت داشت، اما گاوس آن را منتشر نکرد و پیچیدگی محاسباتی‌اش را نیز تحلیل نکرد. این کشف حتی پیش از کار مشهور فوریه در زمینه انتشار گرما در سال ۱۸۲۲ انجام شده بود، اما بدون چارچوب‌بندی و تعمیمی که کولی و توکی ۱۶۰ سال بعد ارائه کردند.

در سال ۱۹۶۵، کولی و توکی الگوریتمی را منتشر کردند که هزینه محاسبه تبدیل فوریه گسسته را از مرتبه 𝑂(𝑛²) به 𝑂(𝑛 log⁡𝑛) کاهش داد. این جهش بزرگ، پردازش سیگنال در زمان واقعی و فشرده‌سازی رسانه‌های دیجیتال را ممکن ساخت.

از تلسکوپ‌های رادیویی تا تصاویر JPEG، از کدک‌های صوتی تا مکانیک کوانتومی — الگوریتم FFT همه جا حضور دارد. یکی از مهم‌ترین الگوریتم‌های قرن بیستم؛ ریشه‌گرفته از نبوغ گاوس و شکوفا شده در عصر کامپیوتر.

#fft

CVE-2024-6198: مودم های ماهواره ای Viasat بدون درگیری به هکرها تسلیم می شوند.

این آسیب پذیری به قدری ساده است که حتی یک مبتدی نیز می تواند از آن سوء استفاده کند.

کشف یک آسیب‌پذیری جدی روز صفر در مودم‌های ماهواره‌ای Viasat بار دیگر شکنندگی اجزای پنهان در زیرساخت‌های حیاتی را برجسته کرده است. محققان ONEKEY از تجزیه و تحلیل استاتیک خودکار فایل‌های باینری برای شناسایی یک اشکال خطرناک در مدل‌های RM4100، RM4200، EM4100، RM5110، RM5111، RG1000، RG1100، EG1000 و EG1020 استفاده کرده‌اند.
این آسیب‌پذیری که به‌عنوان CVE-2024-6198 شناسایی شده و در مقیاس CVSS دارای امتیاز 7.7 است، رابط وب SNORE را که از طریق lighttpd در پورت‌های TCP 3030 و 9882 اجرا می‌شود، تحت تأثیر قرار می‌دهد. مدیریت نادرست متغیرهای REQUEST_METHOD و REQUEST_URI منجر به سرریز پشته به دلیل تجزیه مسیر ناامن از طریق تابع sscanf می‌شود، که به مهاجم اجازه می‌دهد تا کنترل بر ثبت‌های حیاتی سیستم را به دست آورد.
طبق گفته تیم، این اکسپلویت را می توان با استفاده از یک درخواست طراحی شده خاص، مانند آدرس "192[.]168[.]100[.]1:9882/snore/blackboxes/، و به دنبال آن 512 کاراکتر تکراری، پیاده سازی کرد. علیرغم وجود محافظت در قالب یک پشته غیر قابل اجرا، بهره برداری موفقیت آمیز هنوز از طریق استفاده از تکنیک های ROP (برنامه نویسی بازگشت گرا) امکان پذیر است که امکان رهگیری جریان اجرای کد را فراهم می کند.
میان‌افزار آسیب‌دیده شامل نسخه‌های کمتر از 3.8.0.4 برای مدل‌های RM4100، RM4200 و EM4100 و نسخه‌های تا نسخه 4.3.0.1 برای دستگاه‌های دیگر است. Viasat اصلاحاتی را در به‌روزرسانی‌های 3.8.0.4 و 4.3.0.2 منتشر کرده است که از طریق به‌روزرسانی خودکار OTA توزیع شده است. به مالکان توصیه می‌شود برای دریافت آخرین نسخه‌های سفت‌افزار، مطمئن شوند که دستگاه‌هایشان به شبکه متصل است و آن‌ها را از طریق پنل مدیریت بررسی کنند.
کشف یک نقص جدی نتیجه نظارت معمول سیستم عامل از طریق پلت فرم ONEKEY بود. به گفته تیم تحقیقاتی، این مورد نیاز به استفاده از چنین ابزارهایی را برای ایمن سازی محیط های پیچیده شبکه و بهبود شفافیت در ناحیه نرم افزار تعبیه شده تایید می کند.
افشای هماهنگ این آسیب‌پذیری در 15 می 2024 آغاز شد و در 25 می 2025 پس از اصلاح بخش قابل توجهی از دستگاه‌های دنیای واقعی به پایان رسید. علیرغم چندین برنامه افزودنی برای رفع، این فرآیند با ارتباط موثر بین محققان و شرکت مشخص شد.
این حادثه بار دیگر اهمیت تشخیص زودهنگام آسیب پذیری ها در لایه های پنهان زیرساخت شبکه را برجسته کرد. از آنجایی که مودم های ماهواره ای نقش کلیدی در ارائه ارتباطات دارند، آسیب پذیری های اصلاح نشده می تواند عواقب بسیار جدی داشته باشد. به روز رسانی به موقع و ممیزی سیستم عامل مستقل در حال تبدیل شدن به شرایط اجباری برای حفظ امنیت در دنیای دیجیتال مدرن است.

همه می‌گن ازین شاخه به اون شاخه نپر خوب نیست؛

اما بنظرم بهترین کار دنیا همینه، زیر ۲۲ سال اصلا شرطی روش نمی‌ذارم جز خستگی دانشگاه.

بالای ۲۲ سال، بهترین حالت؛ یک منبع درآمد که خیالت کمی راحت باشه (به اندازه خرج خودت حتی اگر ۴ ساعت کار خرجی تورو در میاره هم خوبه)

باقیش، ازین شاخه به اون شاخه پریدن. وقتی چیزی رو امتحان نکردی چطوری می‌خوای بفهمی توش خوبی یا نه ؟

به ۳۵ نرسیده باید بدونی توی چه چیزایی خوب هستی و هر روز می‌خوای تکرارش کنی.

🔒 رودمپ کامل امنیت شبکه‌های کنترل صنعتی (ICS) 🔒
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

🚀 مرحله 1: مبانی امنیت سایبری و شبکه‌ها 🚀
──────────────────────────────────────────
1️⃣ مبانی شبکه‌ها (CompTIA Network+) - 6 هفته
🖧 آشنایی با پروتکل‌ها، توپولوژی‌ها، مدل OSI، تجهیزات شبکه‌ای.

2️⃣ مبانی امنیت سایبری (CompTIA Security+) - 6 هفته
🔐 تهدیدات، آسیب‌پذیری‌ها، امنیت اطلاعات.

3️⃣ مبانی سیستم‌عامل‌ها (Windows & Linux for Security) - 6 هفته
💻 آشنایی با سیستم‌عامل‌های ویندوز و لینوکس از منظر امنیت.

4️⃣ پایتون برای امنیت (Python for Security) - 6 هفته
🐍 یادگیری پایتون برای نوشتن اسکریپت‌های امنیتی.

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

💻 مرحله 2: امنیت شبکه‌ها و هک اخلاقی 💻
──────────────────────────────────────────
1️⃣ امنیت شبکه (CompTIA Security+) - 8 هفته
🔐 امنیت شبکه، پروتکل‌های رمزنگاری، IDS/IPS، فایروال‌ها.

2️⃣ تست نفوذ و هک اخلاقی (Certified Ethical Hacker - CEH) - 8 هفته
🕵️‍♂️ استفاده از ابزارهای تست نفوذ مانند Metasploit، Nmap.

3️⃣ امنیت وب (Web Hacking & OWASP Top 10) - 8 هفته
🌐 آسیب‌پذیری‌های وب مانند XSS، SQL Injection، CSRF.

4️⃣ ابزارهای تست نفوذ (Kali Linux & Metasploit) - 6 هفته
💻 استفاده از ابزارهای Kali Linux برای انجام تست نفوذ.

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

⚡️ مرحله 3: امنیت سیستم‌های کنترل صنعتی (ICS) ⚡️
──────────────────────────────────────────
1️⃣ امنیت سیستم‌های کنترل صنعتی (ICS) (GICSP) - 8 هفته
🏭 آشنایی با سیستم‌های SCADA، PLC و امنیت آنها.

2️⃣ تحلیل تهدیدات صنعتی (Industrial Threat Intelligence) - 6 هفته
🔍 شبیه‌سازی حملات به ICS و تحلیل تهدیدات خاص آنها.

3️⃣ امنیت پروتکل‌های صنعتی (Industrial Protocol Security) - 6 هفته
🔧 ایمن‌سازی پروتکل‌هایی مانند Modbus، DNP3، OPC.

4️⃣ مدیریت آسیب‌پذیری‌ها در ICS (ICS Vulnerability Management) - 6 هفته
⚠️ ارزیابی آسیب‌پذیری‌ها و برنامه‌های اصلاحی در شبکه‌های صنعتی.

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

🔥 مرحله 4: تکنیک‌های پیشرفته و گواهینامه‌ها 🔥
──────────────────────────────────────────
1️⃣ دوره OSCP (Offensive Security Certified Professional) - 8 هفته
🛠 تست نفوذ پیشرفته در شبکه‌ها و سیستم‌ها.

2️⃣ گواهینامه GICSP (Global Industrial Cyber Security Professional) - 8 هفته
🏆 گواهینامه امنیت سیستم‌های صنعتی.

3️⃣ امنیت سیستم‌های ابری (Cloud Security) - 6 هفته
☁️ امنیت سیستم‌های ابری مانند AWS و Azure.

4️⃣ تحلیل بدافزار (Malware Analysis) - 6 هفته
🦠 شبیه‌سازی و تحلیل بدافزارها و APT‌ها.

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

🎯 مرحله 5: پروژه‌های عملی و کسب تجربه 🎯
──────────────────────────────────────────
1️⃣ پلتفرم‌های آزمایشی و CTF (TryHackMe, Hack The Box) - 6 هفته
🔑 شرکت در چالش‌های CTF و بهبود مهارت‌های عملی.

2️⃣ پروژه‌های عملی در ICS - 6-8 هفته
🏗 اجرای پروژه‌های عملی در محیط‌های واقعی ICS.

3️⃣ کارآموزی در شرکت‌های امنیتی - 6-8 هفته
🧑‍💼 کسب تجربه عملی در زمینه امنیت سایبری و ICS.

4️⃣ حضور در کنفرانس‌ها و مسابقات امنیتی - 4-6 هفته
🗣 حضور در کنفرانس‌های امنیتی و مسابقات بین‌المللی.

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

📚 تحقیقات و مطالعات روزآمد 📚
──────────────────────────────────────────
1️⃣ مطالعه مقالات و کتاب‌های تخصصی - متغیر
📖 بررسی جدیدترین مقالات و کتاب‌ها در حوزه امنیت ICS.

2️⃣ مطالعه استانداردهای امنیتی (ISO 27001, NIST, IEC 62443) - متغیر
🔍 آشنایی با استانداردهای جهانی امنیت شبکه‌های صنعتی.

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

🔒 تکنیک‌های خاص امنیت 🔒
──────────────────────────────────────────
1️⃣ امنیت سیستم‌های ابری (Cloud Security) - 6 هفته
☁️ تهدیدات و امنیت سیستم‌های ابری مانند AWS و Azure.

2️⃣ امنیت اینترنت اشیاء (IoT Security) - 6 هفته
🧠 ایمن‌سازی دستگاه‌های IoT و پروتکل‌های آنها.

3️⃣ تحلیل داده‌های امنیتی (Security Data Analysis) - 6 هفته
📊 تحلیل و بررسی داده‌های امنیتی به منظور شناسایی تهدیدات.

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

💥 آزمون‌های عملی و شبیه‌سازی 💥
──────────────────────────────────────────
1️⃣ شرکت در پلتفرم‌های CTF (TryHackMe, Hack The Box) - 6 هفته
🔑 تست مهارت‌های عملی با چالش‌های CTF.

2️⃣ تست نفوذ در محیط‌های شبیه‌سازی شده ICS - 6 هفته
🏭 شبیه‌سازی حملات به شبکه‌های کنترل صنعتی

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

⚙️ مهارت‌های مدیریتی و نرم ⚙️
──────────────────────────────────────────
1️⃣ مدیریت بحران و پاسخ به حوادث (Incident Response) - 6 هفته
🚨 ایجاد تیم‌های پاسخ به حوادث و مدیریت بحران‌ها.

2️⃣ مدیریت امنیت سازمانی و استراتژی امنیتی - 6 هفته
🏢 طراحی استراتژی‌های امنیتی و مدیریت امنیت سازمانی.

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

🏅 گواهینامه‌های پیشرفته 🏅
──────────────────────────────────────────
1️⃣ اخذ گواهینامه‌های امنیتی پیشرفته (CISSP, CISM, OSCP, GICSP) - 6-12 ماه
🏆 اخذ گواهینامه‌های معتبر در زمینه امنیت سایبری و ICS.

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

🔐 نکات کلیدی برای موفقیت در این مسیر:
- 📅 تمرین مستمر: تجربه عملی بسیار مهم است، از پلتفرم‌های CTF استفاده کنید.
- 🎓 دوره‌های آموزشی معتبر: دوره‌های بین‌المللی مانند CEH و GICSP را تکمیل کنید.
- 🧳 شرکت در کنفرانس‌ها: برای به‌روز بودن در حوزه امنیت سایبری و ICS، در کنفرانس‌ها و وبینارهای صنعتی شرکت کنید.
- 💻 پروژه‌های عملی: انجام پروژه‌های واقعی و شبیه‌سازی شده بهترین روش برای یادگیری است.

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

📣 لیست 1400 تایی رایتاپ و گزارش های سایت هکروان

📌 یک لیست عالی که در اون می توانید بر اساس نیازتون به بانکی از رایتاپ ها دسترسی داشته باشید.

💥 برای این فایل قطعا زمان زیادی صرف شده امیدوارم از اون نهایت استفاده رو ببرید.

استاندارد ورژنینگ چطوری عمل میکنه؟

یک شماره نسخه رو در نظر بگیر مثلاً: v2.3.1
باید بدونی که همیشه ورژنینگ از این فرمت تبعیت میکنه:

MAJOR.MINOR.PATCH

نسخه اصلی - MAJOR
عدد اول (مثل 2 در v2.3.1)
زمانی باید عددش بره بالا که تغییرات ناسازگار با نسخه‌های قبلی باشه یا مثلا API یا ساختار کد شکسته شده یا تغییر بنیادی داشته
مثال: تغییر تسک پروژه از classification به regression، تغییر نام یا ساختار توابع اصلی

نسخه فرعی - MINOR
عدد دوم (مثل 3 در v2.3.1)
زمانی باید عددش بره بالا که ویژگی‌های جدید سازگار با نسخه قبلی اضافه شده و اینکار بدون شکستن ساختار قبلی انجام شده
مثال: اضافه شدن یک تابع جدید برای تحلیل داده‌ها

اصلاح جزئی - PATCH
عدد سوم (مثل 1 در v2.3.1)
زمانی باید عددش بره بالا که باگ‌ فیکس‌ها یا بهینه‌سازی‌های کوچک بدون افزودن قابلیت جدید انجام بشه
مثال: اصلاح خطای محاسبه دقت مدل یا تغییر مقدار پیش‌فرض یک hyperparameter

یک استادی داشتم، توی کلاس سوال خوبی پرسید؛

چه سیستم‌هایی هک نمیشه؟
جواب جالب تر بود،

سیستمی که ارزش زمانی که صرف هک کردنش می‌کنید، بیشتر از اطلاعاتی باشه که بدست میارید!
باز جالب‌تر از جواب اینه، اگر بنا باشه هک شی، میشی.

در واقع اگر فکر میکنی هک نشدی،
یا بی ارزشی،
یا هک شدی و خبر نداری.

البته روی صحبتم با سازمان‌هاست.😅