Cyber & Code

🕵️‍♂️ מ-Username לזהות אמיתית: אמנות ה-Pivoting (חלק 3) בשלב הזה של הסדרה, כבר יש בידיכם רשימת תוצאות ש-Sherlock הפיק: קובץ טקסט עם 10-20 קישורים לפרופילים שונים (GitHub, Twitter, Trello, Spotify וכו'). אבל רשימת קישורים היא לא המטרה. היא האמצעי. בפוסט זה נלמד את שלב ה-Pivoting . זוהי הפרקטיקה של שימוש בפיסת מידע אחת (שם משתמש) כדי לחלץ פיסת מידע חדשה וחזקה יותר (כמו כתובת אימייל או שם מלא), שתאפשר לנו להעמיק את החקירה. ננתח שלוש טכניקות מרכזיות לניתוח התוצאות שקיבלתם מ-Sherlock. 1. מכרה הזהב של המפתחים: חשיפת אימייל דרך GitHub אם Sherlock מצא שלמטרה שלכם יש חשבון GitHub, רוב הסיכויים שזהו ה-Game Over של החקירה מבחינת אנונימיות. מפתחים רבים מגדירים את ה-Git Client שלהם עם כתובת המייל הארגונית או הפרטית, ושוכחים שמידע זה נשמר בתוך ה-Metadata של כל העלאת קוד (Commit), גם אם האימייל מוסתר בפרופיל הראשי. הטכניקה (The .patch Method): זוהי דרך אלגנטית לשלוף את המידע ללא כלים חיצוניים, רק באמצעות הדפדפן: היכנסו לפרופיל ה-GitHub שהכלי מצא. פתחו את אחד ה-Repositories (מאגרי הקוד) שהמשתמש יצר או תרם להם (לא Fork). לחצו על לשונית ה-Commits (היסטוריית השינויים). לחצו על Commit ספציפי שהמשתמש ביצע. כעת, הביטו בשורת הכתובת (URL) בדפדפן. היא תיראה כך: github.com/username/repo/commit/88e4... הטריק: הוסיפו את הסיומת .patch לסוף הכתובת ולחצו Enter. הדפדפן יציג לכם מסך טקסטואלי גולמי. בשורה השנייה או השלישית, תחת השדה From:, תופיע לרוב כתובת האימייל המלאה של המשתמש, ושמו המלא כפי שהוגדר במחשב ממנו הוא כתב את הקוד. 2. דפוסים ומידע משלים (Cross-Reference) יSherlock נותן לכם את ה"איפה", אתם צריכים להבין את ה"מי". אחת הטעויות הנפוצות היא להניח שכל התוצאות רלוונטיות. עליכם לבצע הצלבה ויזואלית ותוכנית: תמונות פרופיל (Avatars): האם המשתמש ב-Steam משתמש באותה תמונה כמו המשתמש ב-Twitter? אם כן, רמת הוודאות עולה ל-99%. שמרו את התמונה ופצעו עליה חיפוש הפוך (Reverse Image Search) כדי למצוא רשתות ש-Sherlock פספס. הביוגרפיה (Bio): אנשים נוטים להשאיר רמזים בתיאור הפרופיל. בטוויטר הוא עשוי לכתוב "Dev at X", ובאינסטגרם תחת אותו שם משתמש תראו תמונות ממשרדי החברה. זהו אימות מיקום ותעסוקה. יTrello ולוחות עבודה: אם מצאתם משתמש Trello, בדקו את הלוחות הציבוריים. לעיתים קרובות תמצאו שם משימות כמו "To do: Send invoice to [Client Name]", שחושפות את מקום העבודה או הלקוחות של המטרה. 3. ניצול מנגנוני שחזור סיסמה (Password Reset Enumeration) זוהי טכניקה המהלכת על הגבול האפור (Gray Area) ומשמשת תוקפים לאימות סופי של זהות. אין לבצע זאת למטרות זדוניות, אלא רק לצורך מחקר והבנת הסיכון. נניח ש-Sherlock מצא משתמש בטוויטר, אבל אין לכם את האימייל שלו. התוקף ניגש למסך ההתחברות ולוחץ על "שכחתי סיסמה". הוא מזין את שם המשתמש שנמצא. האתר יציג הודעה: "שלחנו קוד אימות לכתובת d***@gmail.com". אומנם הכתובת מצונזרת, אבל זה נותן שני נתונים קריטיים: אימות קיום: המשתמש אכן פעיל ומקושר לאימייל. רמז: האות הראשונה והספק (Gmail) עוזרים להצליב מידע עם האימייל שמצאנו קודם בשיטת ה-GitHub. אם הם תואמים יש לנו זיהוי ודאי. סיכום ביניים: בניית התיק בשלב הזה, התחלנו משם משתמש פשוט כמו CyberNinja90. באמצעות Sherlock והטכניקות שלעיל, הפכנו אותו ל: שם מלא: ישראל ישראלי (מתוך ה-GitHub Patch). אימייל: israel.dev@company.com. תחביבים: גיימינג (Steam), מוזיקת רוק (Spotify Public Playlists). מראה: תמונה עדכנית (Instagram/Twitter). זהו הכוח של Aggregation (איסוף מצטבר). כל פיסת מידע בנפרד נראית תמימה, אך החיבור שלהן יוצר תמונת מודיעין מלאה. בפוסט הבא: הגנה. איך מונעים את כל מה שעשינו עכשיו? נדבר על OpSec, מחיקת עקבות, והפרדת זהויות (Compartmentalization). הכרתם את טריק ה-.patch בגיטהאב? ספרו לי בתגובות! 👇 הצטרפו לערוץ: @CYBERSECURITYCODING

איתור משתמשים עם Sherlock: ביצוע סריקות ומתודולוגיה (חלק 2) בפוסט הקודם הקמנו את סביבת העבודה והבנו את הלוגיקה מאחורי מיחזור שמות משתמש. היום אנחנו עוברים ל-Execution. נלמד איך להפעיל את הכלי בצורה מבצעית, איך לשמור על אנונימיות (OpSec) ואיך לנהל את המידע שנאסף כדי לא לטבוע בים של נתונים. סריקה בסיסית: הפעולה הבסיסית ביותר היא סריקה של שם משתמש בודד מול כל מאגר האתרים של Sherlock. מתוך התיקייה של הכלי, הריצו את הפקודה הבאה (החליפו את target_user בכינוי שאתם חוקרים): python3 sherlock target_user מה קורה עכשיו במסך? הכלי מתחיל לרוץ במקביל על מאות אתרים. כל שורה ירוקה עם הסימן [+] מסמנת Match כלומר, השרת החזיר תשובה חיובית (HTTP 200) והפרופיל קיים. הקישור לפרופיל יופיע מיד ליד שם האתר. ניהול המידע (Output Management) בחקירת OSINT אמיתית, אנחנו לא סתם זורקים פקודות לטרמינל. אנחנו צריכים לשמור ראיות. כברירת מחדל, Sherlock ייצור קובץ טקסט בשם target_user.txt באותה תיקייה ממנה הרצתם את הסקריפט. אבל מה אם אנחנו חוקרים כמה מטרות במקביל? אנחנו רוצים סדר. נשתמש בדגל --folderoutput כדי לנתב את התוצאות לתיקייה ייעודית לכל חקירה: python3 sherlock target_user --folderoutput /home/kali/investigations/case_1/ כך נוכל לשמור את כל הלוגים והקישורים במקום מסודר, מוכן לדיווח או להמשך הצלבה. התמודדות עם חסימות ואיטיות (Timeouts) אחת הבעיות הנפוצות בשימוש בכלים אוטומטיים היא ששרתים מסוימים מגיבים לאט, או שהחיבור שלנו נחנק מעומס הבקשות. אם שרת לא עונה מהר מספיק (או שהאינטרנט שלנו איטי), Sherlock יסמן אותו כ-Not Found, ואנחנו עלולים לפספס מידע קריטי (False Negative). כדי למנוע את זה, נגדיר Timeout ארוך יותר (ברירת המחדל היא קצרה יחסית). נשתמש בדגל --timeout כדי לתת לכל בקשה כמה שניות לפני שמוותרים עליה: python3 sherlock target_user --timeout 10 הערה: זה יאריך את זמן הריצה הכולל של הסריקה, אבל יבטיח תוצאות אמינות יותר בחיבורים איטיים . עבודה חשאית: שילוב Tor לאנונימיות זהו החלק הכי חשוב בהיבט של אבטחת מידע ו-OpSec. כשאתם מריצים את Sherlock מהמחשב שלכם, אתם שולחים בקשות ישירות לשרתים של האתרים (Instagram, GitHub וכו'). השרתים האלו רושמים את כתובת ה-IP האמיתית שלכם בלוגים שלהם. במקרים רגישים, נרצה להסתיר את ה-IP שלנו. Sherlock תומך אינטגרלית בניתוב התעבורה דרך רשת Tor. דרישות מקדימות: חובה ששירות Tor ירוץ ברקע במחשב שלכם. ב-Kali Linux או Ubuntu: sudo service tor start הפעלת הסריקה דרך Tor: python3 sherlock target_user --tor עכשיו, כל הבקשות עוברות דרך רשת ה-Onion, והאתר היעד יראה כתובת IP רנדומלית של Tor Exit Node במקום את הכתובת של הבית שלכם. שימו לב: השימוש ב-Tor יאט משמעותית את הסריקה. ניתוח תוצאות ו-False Positives סיימתם לסרוק. קיבלתם רשימה של 15 אתרים. האם כולם שייכים לאותו אדם? חד משמעית לא. כאן נכנסת העבודה של החוקר האנושי. אימות ידני: חובה להיכנס לקישורים. האם תמונת הפרופיל זהה? האם תיאור המשתמש (Bio) דומה? פופולריות השם: אם הכינוי הוא alex1990, סביר להניח שתמצאו אותו בכל אתר, אבל אלו יהיו אנשים שונים. אם הכינוי הוא xX_CyberGhost_IL_Xx, הסיכוי ל-Match אמיתי הוא גבוה מאוד. הקשר לוגי: אם המטרה היא מפתח תוכנה, הגיוני למצוא אותו ב-GitHub, StackOverflow ו-HackerNews. פחות סביר (אך אפשרי) למצוא אותו באתרים של סריגה או מתכונים. בפוסט הבא: ה-Pivoting. איך לוקחים את הקישורים שמצאנו ב-Sherlock (למשל חשבון Spotify או Trello) ושולפים מתוכם מידע אישי כמו שם מלא, מיקום או כתובת מייל כדי לסגור מעגל. יש לכם שאלות? נתקלתם בשגיאות? שתפו בתגובות! 👇 הצטרפו לערוץ: @CYBERSECURITYCODING

איתור משתמשים ו-OSINT עם Sherlock (חלק 1) אנחנו פותחים סדרה חדשה על People OSINT , לאיסוף מודיעין על אנשים וזהויות. הכלי הראשון שנלמד לעומק הוא Sherlock, שנחשב לסטנדרט בתחום ה-Username Enumeration. הלוגיקה: למה זה עובד? נקודת התורפה שאנחנו מנצלים היא פשוטה: מיחזור שמות משתמש (Username Reuse). רוב האנשים משתמשים באותו כינוי (User) במגוון פלטפורמות ב-GitHub, ברשתות החברתיות, בפורומים מקצועיים ואפילו באתרי היכרויות. מבחינת תוקף או חוקר OSINT, מציאת שם משתמש בפלטפורמה אחת מאפשרת לבצע Correlation (הצלבה) ולמצוא את המטרה בעשרות אתרים אחרים. כך בונים "פרופיל" מלא שכולל תחומי עניין, מיקום גיאוגרפי, ולעיתים מוביל לחשיפת המייל האישי. איך Sherlock עובד טכנית? במקום לחפש ידנית, Sherlock מבצע אוטומציה מול כ-400 אתרים ושירותים שונים. הסקריפט שולח בקשות HTTP (לרוב GET) לכתובות ה-URL של הפרופילים, ומנתח את התשובה של השרת (Response Code): קוד 404 (Not Found): המשתמש לא קיים באתר. קוד 200 (OK): המשתמש קיים. סינון רעשים: יש אתרים שמחזירים קוד 200 גם כשאין משתמש (אבל מציגים דף שגיאה מעוצב). Sherlock יודע לנתח את ה-Body של התשובה ולזהות אם מדובר בפרופיל אמיתי או ב-False Positive. הקמת סביבת עבודה כדי להריץ את הכלי נצטרך Python 3 ו-Git מותקנים. מומלץ לעבוד בסביבת לינוקס (כמו Kali), אבל זה עובד מצוין גם ב-Windows. 1. הורדת הפרויקט (Clone) נמשוך את הקוד העדכני מ-GitHub: git clone https://github.com/sherlock-project/sherlock.git cd sherlock 2. התקנת חבילות (Requirements) הכלי משתמש בספריות חיצוניות (כמו requests לתקשורת). נתקין אותן בצורה מרוכזת. טיפ: מומלץ תמיד לעבוד בתוך סביבה וירטואלית (Virtual Environment) של פייתון כדי לא ללכלך את המחשב. python3 -m pip install -r requirements.txt 3. בדיקה שהכל עובד נריץ את פקודת העזרה. אם קיבלתם את רשימת האפשרויות ההתקנה הצליחה. python3 sherlock --help בפוסט הבא: נבצע סריקה ראשונה על שם משתמש אמיתי, נלמד איך להתמודד עם חסימות מצד האתרים (Timeouts) ואיך לשמור את התוצאות לקובץ מסודר להמשך חקירה. הצטרפו לערוץ: @CYBERSECURITYCODING

🔍 הפוסט שכולכם חיכיתם לו: OSINT – מודיעין ממקורות גלויים 📊 בהצבעה האחרונה בקבוצת CyberSecurityCoding, הנושא שזכה להכי הרבה לייקים ותגובות היה ללא ספק – OSINT. אז כמו שהבטחנו – הנה פוסט מעמיק שיפתח לכם את הראש! 🧠 מה זה OSINT? OSINT (Open Source Intelligence) הוא תחום במודיעין שמתמקד באיסוף, ניתוח והסקת מסקנות ממידע שזמין לציבור – כלומר, ממקורות פתוחים. זה כולל את האינטרנט, רשתות חברתיות, פורומים, מסמכים ציבוריים, תמונות לוויין, מאגרי מידע ממשלתיים ועוד. OSINT הוא כלי עוצמתי בידי חוקרי סייבר, אנליסטים, עיתונאים, חוקרים פרטיים, ואפילו תוקפים (Black Hat Hackers). ⚙️ איך OSINT עובד? 1. הגדרת מטרה – מה מחפשים? מידע על אדם? ארגון? כתובת IP? 2. איסוף מידע – שימוש בכלים וטכניקות למציאת מקורות רלוונטיים. 3. אימות וסינון – לא כל מה שכתוב באינטרנט נכון. צריך לבדוק מה אמין. 4. ניתוח והסקת מסקנות – חיבור הנקודות, זיהוי דפוסים, בניית פרופיל. 5. דיווח או שימוש במידע – תלוי במטרה: חקירה, הגנה, או תקיפה. 🧰 כלים פופולריים ב-OSINT Maltego מיפוי קשרים בין אנשים, דומיינים, IPs theHarvester איסוף מיילים, שמות משתמשים, דומיינים Shodan סריקת מכשירים מחוברים לאינטרנט SpiderFoot אוטומציה של איסוף מידע ממקורות רבים Google Dorks חיפושים מתקדמים בגוגל למציאת מידע רגיש Recon-ng פלטפורמה מודולרית לאיסוף מודיעין Have I Been Pwned בדיקת דליפות מידע לפי אימייל 🧭 סוגי OSINT 1. SOCMINT – מודיעין מרשתות חברתיות (Social Media Intelligence) 2. GEOINT – מודיעין גיאוגרפי (למשל, תמונות לוויין) 3. TECHINT – מידע טכנולוגי (כמו פורטים פתוחים, מערכות הפעלה) 4. HUMINT – מידע שמגיע מבני אדם (פורומים, בלוגים) 5. WEBINT – מידע מהאינטרנט הגלוי והעמוק (כולל Dark Web) 🕵️ דוגמה מהשטח נניח שאתה רוצה לבדוק אם ארגון מסוים חשוף לסכנות: תתחיל ב־whois על הדומיין. תבדוק עם Shodan אם יש פורטים פתוחים. תאסוף מיילים עם theHarvester. תבדוק אם אחד מהם דלף עם Have I Been Pwned. תנתח את הקשרים עם Maltego. תוך זמן קצר – יש לך תמונת מצב מודיעינית. 🚨 למה זה חשוב? לצוותי אבטחה – כדי להבין מה חשוף החוצה. לצוותי תקיפה אתית – כדי לתכנן בדיקות חדירה. לארגונים – כדי להגן על המוניטין והנכסים הדיגיטליים. לכל אחד מאיתנו – כדי להבין כמה מידע אישי חשוף ברשת. 💬 לסיכום OSINT הוא לא רק כלי – זו גישה. היכולת לדעת לחפש, לאסוף, ולנתח מידע פתוח היא מיומנות קריטית בעולם הסייבר של היום. רוצים שנעשה תרגול OSINT בקבוצה? כתבו בתגובות! #CyberSecurity #OSINT #מודיעין #למידה_בקהילה #סייבר

🚨 חברי קבוצת CyberSecurityCoding היקרים! 🚨 הגיע הזמן שתבחרו את הנושא הבא שאני אפרט עליו 💡 🔍 איזה תחום בסייבר מסקרן אתכם במיוחד? זה יכול להיות כל דבר: פריצה אתית (Ethical Hacking) ניתוח נוזקות (Malware Analysis) הגנות בענן OSINT קריפטוגרפיה Reverse Engineering או כל נושא אחר שאתם רוצים להבין לעומק! 🗳 כתבו בתגובות את הנושא שהכי הייתם רוצים שאסביר עליו. ❤️ התגובה עם הכי הרבה לייקים – עליה נפרט בפוסט מיוחד ומעמיק! 📌 הקבוצה שלנו: CyberSecurityCoding יאללה, תנו בראש! #CyberSecurity #סייבר #למידה #קהילה

ארגון OWASP פרסם טיוטה חדשה ל־OWASP Top 10 2025 רשימת עשר הפגיעויות הכי נפוצות באפליקציות Web. הפרויקט הזה מתעדכן כל כמה שנים, והוא נחשב למדריך המרכזי למפתחים שרוצים לכתוב קוד מאובטח. בגרסה של 2025 יש כמה חידושים חשובים: נוספו שתי קטגוריות חדשות, האחת עוסקת באבטחת שרשרת האספקה (תוספים, ספריות וקוד צד שלישי), והשנייה בניהול שגיאות וחריגות בצורה נכונה. סדר החשיבות של הפגיעויות השתנה לפי נתונים עדכניים מהשטח. הדגש עבר מ״לתקן פרצות״ ל״לבנות מראש בצורה בטוחה״ כבר בשלב התכנון והפיתוח. המטרה היא לעזור למפתחים להבין איפה בדרך כלל טעויות קורות, ואיך למנוע אותן מראש בעזרת כלים כמו בדיקות קוד, ניהול גרסאות, והקשחת סביבות. 🔗 לאתר OWASP https://t.me/CyberUpdatesIL/1965 #OWASP #OWASPTop10 #AppSec #SecureCoding #DevSecOps #WebSecurity #SoftwareSecurity #Developers

📝 סיכום: להיות רוח רפאים בניית סביבה עם OpSec חזק היא לא אירוע חד-פעמי, אלא תהליך מתמשך של בניית שכבות הגנה: בידוד אישי: VM נקי + VPN/Tor. אנונימיות פיננסית: תשלום בקריפטו וחשבונות אנונימיים. בידוד תשתיתי: שימוש ב-Redirectors כדי להגן על שרתי הליבה (C2). כל שכבה כזו נועדה לעכב, לבלבל, ולבזבז את הזמן והמשאבים של מי שמנסה לצוד אתכם. OpSec הוא מה שמבדיל בין רעש חובבני לפעולה שקטה ומדויקת. הישארו בצד החוקי, ולמדו את הטכניקות האלה כדי להיות מגנים טובים יותר. שאלות על הפרקטיקה? רעיונות נוספים? שתפו אותי! 👇 הצטרפו לערוץ @CYBERSECURITYCODING

🛠️ חלק 2: OpSec - בניית סביבת תקיפה (המדריך המעשי) 🛠️ בפוסט הקודם (חלק 1), דיברנו על ה"למה" ועל ה"מה" מהי תפיסת ה-OpSec ומדוע היא קריטית. היום אנחנו צוללים ל"איך". איך בפועל בונים סביבה שמפרידה אתכם מהפעולות שלכם ומקשה על זיהוי וייחוס (Attribution). אזהרה: המדריך הזה הוא המשך ישיר לחלק 1, והאזהרה משם תקפה גם כאן במלוא עוצמתה. 💻 שלב 1: מכונת העבודה - בידוד מוחלט הכלל הראשון והבלתי ניתן לעבירה: לעולם אל תפעל מהמחשב האישי שלך. המחשב הביתי שלך מלא ב"דנ"א דיגיטלי": חשבונות, היסטוריית גלישה, כתובת MAC, קבצים אישיים. וירטואליזציה (VMs) היא חובה: כלים: השתמשו ב-VirtualBox (חינמי) או VMware . למה? הוירטואליזציה יוצרת "ארגז חול" (Sandbox) מבודד. אם משהו משתבש, אם המכונה נחשפת או נפרצת היא אינה משפיעה על המחשב המארח (Host) שלכם. תצורה: מערכת הפעלה "נקייה": אל תתקינו ישר את Kali Linux. קאלי היא נהדרת, אבל היא "רועשת" ויש לה טביעת אצבע ברורה שכלים כמו EDR מזהים בקלות. התחילו עם התקנה מינימלית של הפצה יציבה (כמו Debian או Ubuntu Server) והתקינו רק את הכלים שאתם צריכים ספציפית למבצע. רשת: הגדירו את הרשת של ה-VM במצב NAT או Host-Only. לעולם לא Bridged, שחושף את ה-MAC של ה-VM (ולפעמים שלכם) לרשת החיצונית. יVPN בתוך ה-VM: הפעילו VPN בתוך המכונה הוירטואלית, בנוסף ל-VPN (אם יש) על המחשב המארח. זוהי שכבת בידוד נוספת. מערכות ייעודיות (אופציונלי למתקדמים): יTails OS: מערכת הפעלה שרצה מ-USB, לא משאירה עקבות על המחשב, ומנתבת את כל התעבורה דרך רשת Tor. מצוינת לשלב המחקר ורכישת התשתיות. יWhonix: פתרון VM מתקדם המורכב משתי מכונות (Workstation ו-Gateway) שמכריח את כל התעבורה לעבור דרך Tor, ומגן מפני דליפות IP ו-DNS. 🌐 שלב 2: אנונימיות ברשת (תשלומים וגישה) לפני שאתם בכלל רוכשים שרת, אתם צריכים דרך אנונימית לגשת ולשלם. יVPN (Virtual Private Network): לא כל VPN נולד שווה: חפשו ספקים עם מדיניות "No-Logs" מוכחת (שעמדה במבחן משפטי). תשלום: שלמו באמצעות מטבעות קריפטוגרפיים 🪙, רצוי מטבעות ממוקדי פרטיות כמו Monero (XMR) שהם כמעט בלתי ניתנים למעקב, בניגוד לביטקוין. טכניקה: השתמשו ב-Multi-hop VPN (שרשור VPN) – התעבורה עוברת דרך 2 שרתים או יותר, מה שמקשה עוד יותר על המעקב. רשת Tor (The Onion Router): השתמשו בדפדפן Tor כדי להירשם לשירותים (ספקי VPS, אימייל). זכרו: Tor מספק אנונימיות, לא בהכרח אבטחה. אל תתחברו לחשבונות אישיים דרך Tor. חשבונות ורישום: אימייל: השתמשו בספק אימייל מוצפן ואנונימי שנרשמתם אליו דרך Tor. תשלומים: רכשו שרתי VPS מספקים שמקבלים קריפטו. ישנם ספקים "אוף-שוריים" רבים שאינם דורשים כמעט שום פרט מזהה. 🛡️ שלב 3: בניית תשתית C2 חסינה (Resilient Infrastructure) זהו לב ה-OpSec המעשי. שרת ה-C2 (Command and Control) הוא "המוח" שלכם, השרת שאליו הנוזקות ששתלתם מתקשרות חזרה. אסור שהוא ייחשף. הטעות הנפוצה: הנוזקה מתחברת ישירות ל-IP של שרת ה-C2. [Victim] ---> [Your C2 Server (IP: 1.2.3.4)] הבעיה: ברגע שצוות ההגנה מנתח את הנוזקה, הוא מוצא את ה-IP 1.2.3.4, חוסם אותו ב-Firewall, מדווח עליו... והשרת שלכם "שרוף". כל המבצע נגמר. 👎 הפתרון המקצועי: Redirectors (מתווכים) אנחנו בונים "בובות קש". שרת ה-C2 האמיתי לעולם לא נחשף לאינטרנט הציבורי בצורה ישירה. הארכיטקטורה הנכונה: [Victim] ---> [Redirector 1 (VPS זול)] ---> [Your "Real" C2 Server (מוסתר)] מהו Redirector? שרת VPS זול מאוד (ב-5$ לחודש) שכל תפקידו הוא להעביר תעבורה. זה "בשר תותחים" שנועד "להישרף". איך מיישמים? טכניקה 1 (פשוט): socat או iptables מגדירים כלל פשוט ב-Redirector שמעביר את כל התעבורה שמגיעה לפורט 443 (לדוגמה) הלאה ל-IP של שרת ה-C2 האמיתי שלכם. טכניקה 2 (מתקדם): Reverse Proxy (Nginx / Apache) זו השיטה העדיפה. אתם מגדירים את Nginx כך שהוא בודק כל בקשה נכנסת. אם הבקשה נראית לגיטימית (למשל, יש לה User-Agent ספציפי או מגיעה מדומיין מסוים) ⬅️ היא מועברת ל-C2 האמיתי. אם הבקשה לא תואמת (למשל, חוקר אבטחה סקרן שמנסה לגלוש ל-IP) ⬅️ היא מועברת לאתר תמים (כמו https://www.google.com/search?q=google.com) או מקבלת דף 404. היתרון העצום: כשהצוות הכחול חוקר, הוא מוצא רק את ה-IP של ה-Redirector. הם חוסמים אותו. אתם? פשוט מוחקים את ה-VPS הזול, מקימים אחד חדש תוך 2 דקות, מעדכנים את הדומיין, והמבצע ממשיך כאילו כלום לא קרה. שרת ה-C2 האמיתי שלכם נשאר נקי ומוגן.

5. יישום אמצעי נגד (מה עושים בנידון?) זהו השלב המעשי, שיהיה המוקד של הפוסט הבא שלנו. זה כולל: שימוש ב-VPN, Tor, ושרשורי פרוקסי. בניית תשתיות C2 מופרדות ושימוש ב-Redirectors. שימוש במכונות וירטואליות מבודדות. תשלום אנונימי בקריפטו. ועוד... 🛡️ השלכות אבטחת מידע: למה זה קריטי לשני הצדדים? לתוקף (Red Team / Black Hat): יOpSec הוא אורך החיים שלך. זה ההבדל בין Script Kiddie שנתפס אחרי שבוע לבין קבוצת APT (Advanced Persistent Threat) שיושבת ברשת של יעד (כמו ממשלה או חברה גדולה) במשך שנים, גונבת מידע בשקט, ומשיגה את מטרותיה מבלי שאף אחד יידע שהיא שם. OpSec גרוע מוביל ל"שריפה" מהירה של הכלים, התשתיות והמוניטין שלך. למגן (Blue Team / Threat Hunters): הבנת OpSec היא הנשק הכי חזק שלכם! אתם לא מחפשים רק וירוס; אתם צדים את האדם שמאחורי המקלדת. ציד איומים (Threat Hunting): במקום לחכות להתראה מהאנטי-וירוס, אתם מחפשים את הטעויות ב-OpSec של התוקף. חיבור נקודות: האם מצאתם דומיין C2? בדקו מי רשם אותו. האם הוא השתמש ב-Whois Privacy? בדקו אם יש עוד דומיינים שנרשמו באותה שיטה ובאותו יום. מצאתם IP? סרקו אותו לפורטים אחרים אולי התוקף שכח לסגור פורט ניהול שחושף מידע? ניתוח TTPs: האם התוקף משתמש תמיד באותה פקודת PowerShell? אתם יכולים לבנות חוק זיהוי (YARA/Sigma) שמחפש ספציפית את ה"חתימה" הזו ברשת שלכם. 📝 סיכום ביניים יOpSec הוא לא רק סט של כלים טכניים, אלא משמעת מנטלית פרנואידית ומתוכננת. זהו משחק שחמט ארוך טווח נגד יריבים אינטליגנטיים שמנסים לצוד אתכם. כל פעולה, כל לוג, כל חיבור כולם משאירים עקבות. המטרה של OpSec היא להפוך את העקבות האלה למטעים, אנונימיים, או בלתי קיימים. בפוסט הבא (חלק 2), נצלול לעומק הפרקטיקה: איך בונים מאפס סביבת תקיפה עם OpSec חזק החל מבחירת ה-VPN, דרך בניית מכונות וירטואליות מבודדות, ועד להקמת תשתיות C2 עם Redirectors כדי להגן על השרתים האמיתיים שלכם. הישארו מעודכנים, והכי חשוב הישארו בצד החוקי. שאלות? הערות? שתפו אותי! 👇 הצטרפו לערוץ @CYBERSECURITYCODING

🕵️‍♂️ חלק 1: OpSec - תורת הלחימה של הדיגיטל 🕵️‍♂️ כולנו אוהבים לדבר על הכלים הנוצצים: האקספלויט החדש, הסקריפט המתוחכם, או הפקודה שמשיגה גישה. אבל בתחום הסייבר, יש אמת אחת שגדולה יותר מכל כלי טכני: לא משנה כמה אתה מוכשר, אם תשאיר עקבות, יתפסו אותך. היום אנחנו מתחילים סדרה בת שני חלקים על הנושא הקריטי ביותר בעולם התקיפה וההגנה: OpSec (Operations Security), או בעברית: אבטחת מבצעים. לפני שנצלול לעומק, חשוב לי להדגיש. אזהרה חמורה והבהרה התוכן בפוסט זה מיועד למטרות לימוד, מחקר והגנה בלבד. הבנת טכניקות OpSec של תוקפים היא חיונית לאנשי הגנה (Blue Teams), חוקרי אבטחה ופנטסטרים (בודקי חדירות מורשים) כדי לזהות, לצוד ולנטרל איומים. השימוש במידע זה לביצוע כל פעילות בלתי חוקית, פלילית או זדונית הוא אסור בהחלט ומהווה עבירה על החוק. ערוץ זה מגנה כל פעילות כזו. מטרתנו היא חינוך והעלאת המודעות לבניית הגנות טובות יותר. אל תנסו את זה בבית. 🧠 רקע תיאורטי: מה זה OpSec? יOpSec הוא לא כלי או תוכנה; זוהי תפיסת עולם ותהליך חשיבה שיטתי שפותח במקור בצבא ארה"ב במהלך מלחמת וייטנאם. הצבא האמריקאי הבין שהאויב מצליח לצפות את צעדיהם לא בגלל מרגלים, אלא בגלל חיבור נקודות (Connecting the Dots) מפיסות מידע לא מסווגות שנאספו ממקורות גלויים (למשל, שיחות חיילים בבר, הזמנות ציוד, תנועת ספינות). העיקרון של OpSec הוא פשוט: לזהות אילו פיסות מידע עלולות לדלוף, להבין איך האויב יכול להשתמש בהן נגדך, ולנקוט בצעדים כדי למנוע את הדליפה הזו. בסייבר, OpSec הוא התהליך של ניתוק מוחלט בין הזהות האמיתית שלך (מי אתה, איפה אתה גר, ה-IP שלך) לבין הפעולות הדיגיטליות שלך. זה לחשוב כמו הבלש 🕵️‍♂️ שמנסה לתפוס אותך, ולשאול בכל רגע נתון: "איזו ראיה אני משאיר מאחור?" ו-"איך פיסת המידע התמימה הזו יכולה להפליל אותי?". חמשת עקרונות ה-OpSec (בהרחבה) תהליך OpSec מקצועי מורכב מחמישה שלבים קבועים: 1. זיהוי מידע רגיש (מה אני מנסה להגן עליו?) זה לא רק "הזהות שלי". זה כל דבר שיכול לשמש כ-IoC (Indicator of Compromise) "מחוון לפריצה". זהות אישית: שם, כתובת IP אמיתית, כתובת MAC, הרגלי גלישה, חשבונות אישיים. תשתיות תקיפה: כתובות ה-IP של שרתי ה-VPS שלך, הדומיינים שרכשת, שמות שרתי ה-C2. כלים וטכניקות (TTPs): הנוזקה שכתבת, הסקריפטים שלך, הפקודות הספציפיות שאתה משתמש בהן. אם אתה משתמש באותם כלים בכל תקיפה, יצרת "חתימה" שניתן לקשר אליך. מטרות וכוונות: מי היעד שלך? מה אתה מנסה להשיג? 2. זיהוי האיומים (מי מחפש אותי?) חשוב להבין מי האויב שלך ומה היכולות שלו: צוות כחול (Blue Team) / SOC של הארגון: הם רואים את הלוגים הפנימיים. הם יזהו את ה-IP שלך סורק אותם, את הנוזקה שלך רצה על תחנה, ואת התעבורה שיוצאת לשרת ה-C2 שלך. חוקרי אבטחה וחברות Malware Analysis (כמו Mandiant, CrowdStrike): אם הנוזקה שלך נתפסת, הם יבצעו לה הנדסה הפוכה (Reverse Engineering), יפרקו אותה לגורמים, יחלצו את ה-IPs והדומיינים, ויפרסמו דוח מפורט עליך ועל הכלים שלך. רשויות אכיפת חוק (FBI, יחידות סייבר): יש להם יכולות משפטיות. הם יכולים להוציא צווים לספקי VPN, ספקי VPS, ורשמי דומיינים כדי לקבל את פרטי התשלום והזהות האמיתית שלך. 3. ניתוח פגיעויות (איך אני יכול להיתפס?) כאן בוחנים את החולשות שלך. כישלון טכני: נפילה של ה-VPN שלך שגורמת לחיבור ישיר מה-IP הביתי שלך לשרת התקיפה (אפילו לשנייה אחת, זה נרשם בלוגים!). טעות אנוש: שימוש חוזר בסיסמה. שימוש באותו כינוי (Nickname) בפורום האקרים ובחשבון הטוויטר האישי שלך. עקבות פיננסיים: רכישת VPS או דומיין עם כרטיס האשראי האישי שלך. דפוסים (Patterns): תקיפה רק בשעות הלילה של אזור זמן ספציפי (חושף איפה אתה גר), שימוש באותן שגיאות כתיב בקוד שלך או בפישינג. דוגמה קלאסית: הקטור מונסגור ("Sabu") מקבוצת LulzSec, נתפס ב-2011 כי פעם אחת פעם אחת בלבד הוא התחבר לשרת IRC של הקבוצה ללא ה-VPN שלו. ה-IP הביתי שלו נרשם, וה-FBI היה אצלו בדלת תוך זמן קצר. 4. הערכת סיכונים (מה הסיכוי ומה המחיר?) לא כל המבצעים שווים. צריך להעריך מה רמת הסיכון שאתה מוכן לקחת: פנטסטינג חוקי (עם חוזה): סיכון נמוך מאוד. יש לך חוזה חתום. ה-OpSec כאן נועד בעיקר כדי לא "להישרף" מול הצוות הכחול ולהצליח במשימה. תקיפת Black Hat על אתר קטן: סיכון בינוני. תקיפת תשתית ממשלתית או בנק: סיכון מקסימלי. אתה מתעסק עם גופים שיש להם משאבים בלתי מוגבלים לצוד אותך. ההשלכות המשפטיות הן עצומות.

☠️ מה התוקף עושה? (Anti-Reversing) תוקפים שונאים RE. הם משתמשים בטכניקות Anti-RE כדי להקשות עלינו: יAnti-Disassembly: הוספת קוד "זבל" שגורם ל-Ghidra להציג אסמבלי שגוי. יAnti-Debugging/VM: קוד שבודק אם הוא רץ בתוך VM או אם Ghidra מחובר אליו, ואם כן – משנה את ההתנהגות שלו. עירפול (Obfuscation) כבד: הפיכת קוד פשוט (a = b + c) למפלצת מתמטית של 50 שורות שעושה אותו הדבר, רק כדי לבלבל את ה-Decompiler. 📝 סיכום הסדרה: וזהו! 🏁 סיימנו את סדרת "אנטומיה של נוזקה". התחלנו ברמה הגבוהה ביותר (סוגי נוזקות), עברנו לניתוח סטטי (בדיקה שטחית), המשכנו לניתוח דינאמי (צפייה בהתנהגות), וסיימנו ברמה הנמוכה והעמוקה ביותר הנדסה הפוכה (קריאת המוח של הנוזקה). יRE הוא לא קסם, זו עבודת נמלים קשה וסיזיפית. זה כמו לפתור פאזל של 10,000 חלקים בלי לדעת מה התמונה הסופית. אבל כלים כמו Ghidra הפכו את התחום הזה לנגיש מתמיד. מקווה שהסדרה הזו פתחה לכם את הראש והראתה לכם את העומק המדהים של תחום הסייבר. מה הלאה? רוצים שנדבר על כלי תקיפה ספציפיים? אולי על פרוטוקולי רשת? ספרו לי בתגובות! 👇 הצטרפו לערוץ @CYBERSECURITYCODING

☣️ אנטומיה של נוזקה (חלק 4): מבוא ל-Reverse Engineering קריאת שפת מכונה ☣️ בפוסטים הקודמים בסדרה: הכרנו את האויבים (וירוס, תולעת וכו'). עשינו ניתוח סטטי (קראנו מחרוזות ו-Imports בלי להריץ). עשינו ניתוח דינאמי (הפעלנו את הנוזקה ב-Sandbox וצפינו בה). אבל מה קורה כשהניתוח הדינאמי נכשל? מה אם הנוזקה מזהה את ה-Sandbox ופשוט... נכבית? מה אם אנחנו חייבים להבין את הלוגיקה הפנימית שלה? למשל, איך עובד אלגוריתם ההצפנה של הכופרה (אולי יש בו פגם?) או איך בדיוק היא יוצרת קשר עם שרת ה-C2 שלה? כאן אנחנו נכנסים לתחום העמוק והמאיים ביותר: הנדסה הפוכה (Reverse Engineering - RE). 📖 רקע תיאורטי: מה זה בכלל RE? הנדסה הפוכה היא תהליך של פירוק תוכנה גמורה (קובץ בינארי, .exe) כדי להבין את המבנה, העיצוב והלוגיקה שלה בלי לקבל גישה לקוד המקור המקורי (קוד ה-C++ או ה-Python שהמפתח כתב). האנלוגיה הפשוטה: דמיינו שאתם מקבלים עוגה. אין לכם את המתכון. המשימה שלכם היא לטעום אותה, להריח, לפרק אותה שכבה אחר שכבה, ולנסות לשחזר את המתכון המדויק ואת טכניקת האפייה. זה RE. 🧠 למה זה כל כך קשה? כשמתכנת כותב קוד, הוא משתמש בשפה "עילית" (כמו C++, Python, C#). כשהוא מוכן, הוא מקמפל (Compile) את הקוד. הקומפיילר הופך את הקוד הפשוט והקריא (כמו int age = 30;) לסדרה ארוכה ומסובכת של הוראות שהמעבד (CPU) מבין. ההוראות האלו נקראות קוד מכונה (Machine Code) – רצפים של 0 ו-1. שפת סף (Assembly): כדי שבני אדם יוכלו איכשהו לקרוא קוד מכונה, יצרו את Assembly. זוהי ייצוג טקסטואלי, אחד-לאחד כמעט, של קוד המכונה. זה נראה ככה: יMOV EAX, 0x5 (תרגום: "הכנס את המספר 5 לתוך אוגר (Register) בשם EAX"). זה עדיין קשה מאוד לקריאה! 🔧 מפרקים (Disassemblers) ומפענחים (Decompilers) כאן נכנסים הכלים הכבדים: מפרק (Disassembler): כלי שלוקח את קוד המכונה (010101) והופך אותו בחזרה ל-Assembly (MOV EAX, 0x5). זהו תרגום מדויק. מפענח (Decompiler): כלי שלוקח את ה-Assembly ומנסה לשחזר ממנו קוד "עילי" (כמו C). התוצאה היא לא הקוד המקורי, אלא "פסאודו-קוד" (Pseudo-code), אבל היא קריאה וברורה פי מיליון יותר מאסמבלי. המטרה שלנו: אנחנו לא מנסים לשחזר את התוכנה. אנחנו מנסים להבין את הלוגיקה שלה. למצוא את הפונקציה שגונבת סיסמאות, את הפונקציה שיוצרת קשר עם התוקף, ואת הפונקציה שמצפינה קבצים. 🛠️ פרקטיקה: הכירו את Ghidra עד לפני כמה שנים, הכלי הסטנדרטי בתעשייה היה IDA Pro כלי מדהים שעולה אלפי דולרים. ואז, ב-2019, ה-NSA (כן, הסוכנות לביטחון לאומי של ארה"ב) פשוט שחררה את הכלי הפנימי שלה בחינם לציבור: Ghidra. יGhidra היא חבילת RE מפלצתית, והדבר החשוב ביותר בה: יש לה Decompiler פנטסטי ומובנה. יworkflow בסיסי של אנליסט עם Ghidra: נניח שטענו את ה-suspicious.exe שלנו לתוך Ghidra. ניתוח אוטומטי: Ghidra תרוץ על הקובץ במשך כמה דקות ותנתח אותו אוטומטית. היא תזהה פונקציות, תבנה גרפים ותנסה להבין את המבנה. חיפוש ה-main: בדיוק כמו בתכנות, כל תוכנה צריכה להתחיל איפשהו. אנחנו מחפשים את הפונקציה הראשית (לרוב main או WinMain). הצצה ל-Decompiler: אנחנו לוחצים על הפונקציה main ובחלון ה-Decompiler מימין, במקום אסמבלי מפחיד, אנחנו רואים משהו שנראה כמו קוד C: void main(void) { int local_10; local_10 = FUN_00401234("config.dat"); if (local_10 == 0{ FUN_00405678("Failed to load config!"); } else { FUN_00409ABC(local_10); } } פענוח הלוגיקה: אנחנו עדיין לא יודעים מה הפונקציות האלה עושות, אבל אנחנו מבינים את הזרימה. התוכנה מנסה לטעון קובץ בשם config.dat. אם היא מצליחה, היא קוראת לפונקציה FUN_00409ABC. אם היא נכשלת, היא קוראת לפונקציה FUN_00405678. "לחפור" פנימה (Pivoting): אנחנו חושדים ש-FUN_00401234 היא פונקציית "טעינת קובץ". נלחץ עליה. יGhidra קופצת לפונקציה החדשה. אנחנו מסתכלים ב-Decompiler שלה ורואים שהיא קוראת לפונקציות Windows מוכרות כמו CreateFileA ו-ReadFile. אישרנו! העבודה האמיתית מתחילה: אנחנו חוזרים ל-main ומשנים את שם הפונקציה (Right Click -> Rename Label) מ-FUN_00401234 לשם משמעותי כמו load_config_file. חוזר חלילה: אנחנו חוזרים על התהליך. נכנסים ל-FUN_00409ABC (שאותה נשנה ל-process_config_data). אנחנו עשויים לגלות שבתוכה מסתתרת פונקציה נוספת שקוראת ל-socket ו-connect. אנחנו נשנה את שמה ל-connect_to_C2. התוצאה הסופית: אחרי שעות (או ימים!) של עבודה, הקוד המפחיד והלא ברור הופך למשהו עם שמות פונקציות ומשתנים הגיוניים, שחושף את הלוגיקה המלאה של הנוזקה.

תקשורת IP ישירה: 📞 חיבורים ישירים לכתובות IP חשודות, במיוחד בפורטים לא סטנדרטיים (כמו 4444, 6666, או 8080). פרוטוקולים חשודים: האם היא משתמשת ב-IRC? ב-FTP? האם היא שולחת מידע ב-HTTP POST (שעלול להכיל מידע שנגנב, אולי בקידוד Base64)? "ביקון" (Beaconing): 🛰️ האם אנחנו רואים פאקט קטן שנשלח לאותו IP כל 5 דקות בדיוק? זהו "ביקון" – הנוזקה מדווחת לשרת ה-C2 שהיא "בחיים" ומחכה לפקודות. ⛔️ המגבלה: נוזקות מודעות-סביבה (Sandbox-Aware) תוקפים יודעים שאנחנו עושים את זה. לכן, נוזקות מתוחכמות ינסו לזהות שהן רצות בתוך VM. איך? הן יחפשו קבצים של VMware (vmtoolsd.exe), יבדקו כתובות MAC של כרטיסי רשת וירטואליים, או יבדקו אם יש רק מעבד אחד ומעט זיכרון RAM (סימן ל-VM). מה הן עושות? אם הן מזהות VM, הן פשוט... לא עושות כלום. 🚫 הן ייכבו, או ירוצו כתהליך תמים, כדי לגרום לאנליסט לחשוב שהקובץ נקי. 📝 סיכום ביניים: ניתוח דינאמי הוא קפיצת מדרגה. הרצנו את הפצצה 💣, שרדנו כדי לספר, ויש לנו אוצר של מידע: כתובות IP לחסום בפיירוול, קבצים חדשים לחקור, ומפתחות רישום למחוק. אבל מה קורה כשהנוזקה מתוחכמת מדי? מה אם היא מזהה את ה-Sandbox? מה אם אנחנו רוצים להבין את הלוגיקה הפנימית שלה ברמת הקוד? כאן, גם הניתוח הדינאמי לא מספיק. אנחנו צריכים לפתוח את מכסה המנוע ולהסתכל . אנחנו צריכים... לקרוא אסמבלי. בפוסט הבא בסדרה (חלק 4): 🤯 מבוא ל-Reverse Engineering – הצצה ראשונה לעולם המורכב של פירוק קבצים בינאריים עם כלים כמו Ghidra. שאלות? הארות? ספרו לי בתגובות! 👇 הצטרפו לערוץ @CYBERSECURITYCODING

☣️ אנטומיה של נוזקה (חלק 3): ניתוח דינאמי ☣️ בפוסט הקודם (חלק 2) עשינו ניתוח סטטי. בחנו את ה"שרטוטים" של הנוזקה 📜, הסתכלנו על המחרוזות (strings) ועל טבלת הייבוא (Imports) כדי לנחש מה היא מתכננת לעשות. אבל מה קורה כשהתוקף חכם? 🧠 מה קורה כשהקובץ "דחוס" (Packed) או "מעורפל" (Obfuscated)? הניתוח הסטטי יראה לנו ג'יבריש. הקובץ נראה תמים, כי הקוד הזדוני האמיתי חבוי ומוצפן בתוכו. כדי לנצח את זה, אנחנו חייבים לתת לנוזקה לרוץ. אנחנו חייבים לתת לה "לפתוח" את עצמה ולחשוף את כוונותיה האמיתיות. ברוכים הבאים לעולם ה-ניתוח הדינאמי (Dynamic Analysis). 📖 רקע תיאורי: מה זה ניתוח דינאמי? ניתוח דינאמי הוא תהליך של הרצת הנוזקה בסביבה מבודדת ובטוחה ומעקב אחר כל פעולה שהיא מבצעת בזמן אמת. 🏗️ אבן היסוד: ארגז החול (Sandbox) איך מריצים וירוס בלי להדביק את המחשב שלנו? התשובה היא Sandbox. וירטואליזציה (VM): אנחנו משתמשים בתוכנה כמו VirtualBox (חינמית) או VMware כדי ליצור "מחשב בתוך מחשב". המחשב הווירטואלי הזה (ה"אורח") מבודד לחלוטין מהמחשב האמיתי שלנו (ה"מארח"). בידוד רשת: 🌐 זו נקודה קריטית! אנחנו לא רוצים שהנוזקה תצא מה-VM ותתקוף מכשירים אחרים ברשת שלנו. לכן, מגדירים את הרשת של ה-VM למצב "Host-Only" (שיראה רק את המחשב המארח) או משתמשים ב-VLAN מבודד. אפשר גם להשתמש בכלים שמדמים חיבור אינטרנט מזויף (כמו INetSim). תמונת מצב (Snapshot): 📸 השלב החשוב ביותר! לפני שאנחנו מפעילים את הנוזקה, אנחנו לוקחים "תמונת מצב" (Snapshot) של המערכת הווירטואלית. זה כמו "שמירת משחק". הפעלה (Detonation): 💥 מריצים את הקובץ החשוד! נותנים לו לעשות את הנזק שלו. שחזור: 🔄 אחרי שסיימנו לאסוף נתונים, אנחנו פשוט "משחזרים" את ה-Snapshot, והמערכת חוזרת למצב הנקי והבתולי שלה תוך שניות, כאילו כלום לא קרה. 🕵️‍♂️ מה אנחנו מחפשים? בזמן שהנוזקה רצה, אנחנו מנטרים 4 דברים עיקריים: שינויים במערכת הקבצים: האם נוצרו קבצים חדשים? נמחקו קבצים? שונו שמות של קבצים? (רמז לכופרה). שינויים ברישום (Registry): האם נוצרו מפתחות חדשים? במיוחד מפתחות שקשורים ל-Persistence (הפעלה אוטומטית עם המחשב). פעילות תהליכים (Process): האם הנוזקה הריצה תהליכים חדשים? האם היא "הזריקה" (injected) קוד לתוך תהליך לגיטימי (כמו svchost.exe) כדי להסתתר? פעילות רשת (Network): 🌍 זה הגביע הקדוש. לאן היא מנסה להתחבר? האם היא עושה שאילתות DNS? האם היא שולחת מידע לכתובת IP חשודה? 🛠️ פרקטיקה: הכלים של המנתח הדינאמי אז המעבדה שלנו (ה-VM) מוכנה. הפעלנו את הנוזקה. איך אנחנו "צופים" בה? אנחנו מפעילים את כלי הניטור לפני הרצת הנוזקה. י1. Process Monitor (ProcMon) זהו הכלי החשוב ביותר לניטור על המחשב המארח (Host). הוא שייך לחבילת Sysinternals האגדית של מיקרוסופט. מה הוא עושה? ProcMon רושם כל פעולה שמתבצעת במערכת, ברמת ה-Kernel. הוא מציג לוג מפורט של כל גישה לקובץ, כל קריאה/כתיבה לרישום, וכל יצירת תהליך. איך משתמשים בו? מפעילים את ProcMon. מגדירים פילטר (Filter) שיראה לנו רק פעולות של הנוזקה (לפי שם הקובץ שלה, למשל suspicious.exe). מריצים את הנוזקה (suspicious.exe). צופים בלוג בזמן אמת. 🌊 זה ייצר אלפי שורות לוג, אבל שם נמצא המידע . מה נחפש בלוג? יRegSetValue לנתיב ...CurrentVersion\Run ⬅️ זיהינו ניסיון התמדה (Persistence)! יCreateFile בנתיב C:\Users\Admin\AppData\Local\Temp\evil.dll ⬅️ זיהינו שהנוזקה "מטילה" (Dropping) קובץ נוסף! יProcess Create לתהליך vssadmin.exe delete shadows /all ⬅️ פעולת כופרה קלאסית! מחיקת גיבויי צל (Shadow Copies) כדי למנוע שחזור. תהליך explorer.exe (שתמיד רץ) פתאום מבצע CreateFile לקובץ מוזר ⬅️ רמז להזרקת קוד (Process Injection)! י2. Wireshark זהו הכלי החשוב ביותר לניטור פעילות הרשת. מה הוא עושה? Wireshark הוא "רחרחן" (Sniffer) רשת. הוא לוכד ומציג כל פאקט (Packet) בודד שנכנס ויוצא מכרטיס הרשת של ה-VM. איך משתמשים בו? מפעילים את Wireshark ב-VM (או במחשב המארח, תלוי איך הגדרנו את הרשת). בוחרים את כרטיס הרשת ולוחצים "Start". מריצים את הנוזקה. עוצרים את הלכידה ומנתחים. מה נחפש בלכידה? שאילתות DNS: 🗣️ הדבר הראשון שהנוזקה תעשה זה לנסות למצוא את "הבית" שלה. נחפש שאילתות לדומיינים מוזרים (למשל asj29fkd91.ru או updates.microsoft.security.com שימו לב לטעות!). זהו מחוון פריצה (IOC) קריטי כתובת הC2 (Command & Control).

מה אנחנו בודקים? 🕵️‍♂️ יSections (מקטעים): לקובץ PE יש מקטעים סטנדרטיים כמו .text (הקוד), .data (משתנים), .rsrc (אייקונים, תמונות). חשוד: 🚩 שמות מקטעים מוזרים (למשל .UPX0, .lolz), או מקטע עם הרשאות מוזרות (למשל, מקטע שהוא גם ניתן לכתיבה (W) וגם ניתן להרצה (E)). זו טכניקה קלאסית של Packers. יTimestamp (חותמת זמן): מתי הקובץ "קוּמפּל" (נוצר)? אם הוא נוצר לפני 5 דקות... זה חשוד. (אבל קל מאוד לזייף את זה). יImports (טבלת ייבוא - IAT): 🌟 זה החלק הכי חשוב! זוהי רשימת ה"בקשות" של הקובץ ממערכת ההפעלה. זה כמו רשימת קניות שחושפת מה הוא מתכנן לבשל: רואה: CreateFile, WriteFile, DeleteFile ⬅️ חושד ב: מניפולציה של קבצים (אולי כופרה?). רואה: Socket, Connect, InternetOpenA ⬅️ חושד ב: פעילות רשת (מתחבר ל-C2?). רואה: SetWindowsHookExA, GetAsyncKeyState ⬅️ חושד ב: Keylogger (מקליט הקשות). רואה: CreateRemoteThread, WriteProcessMemory, VirtualAllocEx ⬅️ חושד ב: Process Injection (מזריק קוד לתהליכים לגיטימיים). 📝 סיכום ביניים: ניתוח סטטי הוא שלב קריטי, בטוח ומהיר. בעזרת strings ו-PEview בלבד, אנחנו יכולים לעבור מקובץ suspicious.exe אנונימי להבנה מוצקה: "זהו קובץ שמתחבר לרשת, כנראה ל-IP X, מנסה להתקין את עצמו ב-TEMP, ומשתמש בטכניקות של Keylogging". אבל... מה קורה כשהכל מוסתר? כשה-strings ריקים וטבלת ה-Imports מראה רק פונקציות של "פריסה" (Unpacking)? פה הניתוח הסטטי מגיע לקצה גבול היכולת שלו. וכאן אנחנו נצטרך לקחת סיכון מחושב, להפעיל את הנוזקה, ולצפות בה בפעולה. וזה... הנושא של הפוסט הבא! בפוסט הבא בסדרה (חלק 3): 🔬 ניתוח דינאמי (Dynamic Analysis) איך מריצים נוזקה בבטחה ב-Sandbox ומרגלים אחריה עם כלים כמו Wireshark ו-Process Monitor. מקווה שהיה מלמד! שאלות? הערות? מחכה לכם בתגובות! 👇 הצטרפו לערוץ @CYBERSECURITYCODING

☣️ אנטומיה של נוזקה (חלק 2): ניתוח סטטי ☣️ בפוסט הקודם (חלק 1) הכרנו את "הנבחרת" של עולם הנוזקות וירוסים, תולעים, טרויאנים ועוד. הבנו מה הם עושים. היום, אנחנו לובשים את כפפות המעבדה ומתחילים בעבודת הניתוח האמיתית. והכלל הראשון של מנתח נוזקות הוא: לעולם אל תריץ את הקובץ החשוד על המחשב שלך! 🚫💻 אז איך חוקרים פצצה בלי לגרום לה להתפוצץ? התשובה היא ניתוח סטטי (Static Analysis). 📖 רקע תיאורטי: מה זה ניתוח סטטי? ניתוח סטטי הוא תהליך של בחינת קובץ זדוני (או חשוד כזדוני) בלי להריץ אותו. דמיינו שקיבלתם קופסה שחורה ואטומה. במקום לפתוח אותה (ולהסתכן במה שיקפוץ החוצה), אתם קודם כל: שוקלים אותה ⚖️ מנערים אותה קלות (לשמוע אם משהו זז) 👂 קוראים את מה שכתוב על האריזה 🏷️ מעבירים אותה בשיקוף רנטגן כדי לראות את המנגנון הפנימי ☢️ זה בדיוק מה שאנחנו עושים עם קובץ. אנחנו בודקים את ה"מעטפת" ואת ה"שרטוטים" הפנימיים שלו כדי להבין את הפוטנציאל שלו, עוד לפני שהוא מבצע פעולה אחת. 🎯 למה זה טוב? בטיחות (Safety First): 🛡️ זו הדרך הבטוחה ביותר לקבל מודיעין ראשוני. הנוזקה נשארת "רדומה" לחלוטין. מיון מהיר (Triage): 🚦 עוזר לנו להחליט במהירות אם קובץ הוא אכן זדוני, כמה הוא מתוחכם, והאם שווה להשקיע בו זמן לניתוח דינאמי (השלב הבא). איסוף מחוונים (IOCs): 🧾 מאפשר לנו לשלוף "מחווני פריצה" (Indicators of Compromise) כמו כתובות IP, דומיינים, או שמות קבצים, שאפשר להשתמש בהם מיד כדי לחסום את האיום ברמת הפיירוול או ה-EDR. הבנת הכוונה: 💡 אנחנו יכולים לקבל רמזים עבים לגבי מטרת הנוזקה. האם היא מנסה להתחבר לרשת? להצפין קבצים? לגנוב סיסמאות? 🔒 השלכות אבטחה (מנקודת מבט התוקף): תוקפים מתוחכמים יודעים שאנליסטים מבצעים ניתוח סטטי. לכן, הם משתמשים בטכניקות כמו "דחיסה" (Packing) ו"עירפול" (Obfuscation). הם בעצם מקודדים או מצפינים את הקוד הזדוני האמיתי, כך שבמבט ראשון (בניתוח סטטי) הקובץ ייראה "ריק" או "תמים". עצם הזיהוי של טכניקות אלו הוא... ובכן, מחוון בפני עצמו! 🚩 🛠️ פרקטיקה: הכלים של המנתח הסטטי בואו נראה איך עושים את זה בפועל. יש לנו קובץ חשוד, suspicious.exe. מה השלבים הראשונים? שלב 0: יצירת "טביעת אצבע" (Hashing) לפני הכל, ניצור חתימה דיגיטלית ייחודית לקובץ (Hash), לרוב מסוג SHA256 או MD5. הכלי: Get-FileHash (ב-PowerShell) או md5sum / sha256sum (בלינוקס). למה? הדבר הראשון שנעשה עם ה-Hash הזה הוא לחפש אותו באתרים כמו VirusTotal. יVirusTotal (VT): 🌐 זהו מאגר ענק שסורק קבצים מול עשרות מנועי אנטי-וירוס. אם הקובץ שלנו כבר מוכר (למשל, 50 מתוך 70 מנועים מזהים אותו ככופרה), חסכנו המון עבודה! אנחנו גם יכולים לראות ב-VT נתונים סטטיים ודינאמיים שאנשים אחרים כבר אספו. שלב 1: חיפוש מחרוזות (Strings) קבצי הרצה (כמו .exe) הם ברובם קוד מכונה בינארי (ג'יבריש), אבל הם כמעט תמיד מכילים גם טקסט קריא (ASCII / Unicode). הכלי: strings (כלי מובנה בלינוקס או חלק מחבילת Sysinternals של מיקרוסופט). הפקודה: strings.exe -n 8 suspicious.exe > strings_output.txt (מוצא כל מחרוזת טקסט באורך 8 תווים ומעלה ושומר לקובץ). מה אנחנו מחפשים? 💎 : כתובות IP ודומיינים: (למשל 185.12.33.4 או evil-c2-server.com). אלו יכולים להיות שרתי הפיקוד והשליטה (C2) של התוקף. שמות קבצים ונתיבים: (C:\Users\Admin\AppData\Local\Temp\vbc.exe). זה יכול להראות לנו איפה הנוזקה מתכננת להתקין את עצמה. מפתחות רישום (Registry Keys): (למשל HKCU\Software\Microsoft\Windows\CurrentVersion\Run). חיפוש מפתחות כאלה מרמז על ניסיון ליצור התמדה (Persistence) כלומר, להפעיל את הנוזקה אוטומטית בכל פעם שהמחשב נדלק. שמות ספריות (DLLs) ופונקציות (APIs): שמות כמו ws2_32.dll, socket, connect מעידים בבירור על פעילות רשת. 🌐 יMutexes: שמות ייחודיים (למשל Global\\MyApp_12345) שנוזקות יוצרות כדי לוודא שרק עותק אחד שלהן רץ במערכת. הודעות שגיאה או הערות: לפעמים, מפתחי הנוזקות משאירים בטעות הערות, נתיבי Debug מהמחשב שלהם, או הודעות מצחיקות. מה התוקף עושה? 🚩 תוקף חכם יצפין את כל המחרוזות האלו (למשל ב-Base64 או XOR פשוט). אם הרצתם strings וקיבלתם כמעט אפס תוצאות... זה חשוד מאוד ומרמז שהקובץ "דחוס" (Packed). שלב 2: פירוק ה"מעטפת" (PE Analysis) קבצי הרצה של Windows פועלים לפי מבנה שנקרא Portable Executable (PE). יש כלים שמאפשרים לנו "לפתוח" את הקובץ (כמו קובץ ZIP) ולראות את המבנה הפנימי שלו. הכלים: PEview, PEStudio, CFF Explorer.

4. כופרה (Ransomware) 💰🔒 📖 רקע תיאורטי: אחד האיומים ההרסניים והרווחיים ביותר כיום. נוזקת כופרה מצפינה את הקבצים האישיים של הקורבן (מסמכים, תמונות, בסיסי נתונים) באמצעות אלגוריתם הצפנה חזק. איך היא עובדת? לאחר ההצפנה, הנוזקה מציגה לקורבן הודעת כופר. ההודעה דורשת תשלום (לרוב במטבעות קריפטוגרפיים כמו ביטקוין) בתמורה למפתח ההצפנה הייחודי שיכול לשחזר את הקבצים. השלכות אבטחה: אובדן נתונים מוחלט, השבתת עסקים, נזק כספי עצום. כיום, קבוצות כופרה רבות גם גונבות את המידע לפני ההצפנה ומאיימות לפרסם אותו (Double Extortion). ☠️ פרקטיקה (מנקודת מבט התוקף): המוטיבציה כאן היא 100% כלכלית. 💸 למה להשתמש בה? זהו מודל עסקי. התוקפים מפעילים ארגונים של ממש (Ransomware-as-a-Service - RaaS) שבהם הם מספקים את הנוזקה ומתחלקים ברווחים עם "שותפים" (Affiliates) שמבצעים את ההדבקה. הטקטיקה: ההדבקה עצמה מגיעה לרוב דרך טרויאני (במייל פישינג) או ניצול חולשות (כמו תולעת). ברגע שהתוקף ברשת, הוא לא מפעיל את הכופרה מיד. הוא יבצע סריקה ברשת (Lateral Movement) כדי לאתר נכסים קריטיים: שרתי קבצים, שרתי בסיסי נתונים, וחשוב מכל שרתי גיבוי. המהלך המנצח (מבחינתם): הצפנה או מחיקה של הגיבויים ואז הפעלת הכופרה על שאר המערכות. זה לא משאיר לקורבן ברירה אלא לשלם. 5. רוגלה (Spyware) 🕵️‍♂️ 📖 רקע תיאורטי: רוגלה היא תוכנה שמותקנת על המכשיר (מחשב או סמארטפון) ללא ידיעת המשתמש, ומטרתה לרגל, לנטר ולגנוב מידע רגיש. איך היא עובדת? היא פועלת בשקט ברקע ואוספת נתונים. סוגים נפוצים: יKeylogger: מקליט כל הקשה על המקלדת (סיסמאות, מספרי אשראי, הודעות פרטיות). יInfo-Stealer: סורק את המחשב בחיפוש מידע שמור (סיסמאות שמורות בדפדפן, קבצי Wallet של קריפטו, קובצי עוגיות). יScreen Scraper: מצלם צילומי מסך בפעולות מסוימות (למשל, כשאתה נכנס לאתר הבנק). השלכות אבטחה: גניבת זהות, גניבת כספים, אובדן מוחלט של פרטיות, ריגול תעשייתי. ☠️ פרקטיקה (מנקודת מבט התוקף): המשחק כאן הוא חשאיות (Stealth). המטרה היא להישאר בלתי נראה כמה שיותר זמן. למה להשתמש בה? לאיסוף מודיעין. בעוד שכופרה היא "רועשת" ומידית, רוגלה היא התקפה "ארוכת טווח". הטקטיקה: ריגול תאגידי: מתחרה יכול להדביק מחשב של בכיר בחברה יריבה כדי לגנוב סודות מסחריים, תוכניות פיתוח (R&D) או רשימות לקוחות. גניבת חשבונות: התקנת Keylogger פשוט (שאפשר לכתוב בכמה שורות פייתון) על מחשב ציבורי, או שליחתו כטרויאני. התוקף פשוט מחכה שהקורבן יתחבר לבנק, לפייפאל או לחשבון הקריפטו שלו, והסיסמאות נשלחות ישירות לשרת של התוקף. 📝 סיכום ביניים: אלו היו "חמשת הגדולים" בעולם הנוזקות. חשוב להבין שבעולם האמיתי, הגבולות מטשטשים. נוזקות מודרניות הן לרוב היברידיות: טרויאני 🐴 ⬅️ מוריד תולעת 🐛 ⬅️ שמפיצה כופרה 💰🔒 ⬅️ שגם מתקינה רוגלה 🕵️‍♂️ בפוסט הבא בסדרה: נתחיל ללכלך את הידיים. 🛠️ נדבר על ניתוח סטטי (Static Analysis) – איך אנחנו יכולים ללמוד המון על קובץ זדוני בלי להריץ אותו בכלל! נדבר על כלים כמו Strings ו-PEview. מקווה שהיה מרתק! שאלות? הארות? מוזמנים לשתף בתגובות! 👇 הצטרפו לערוץ @CYBERSECURITYCODING

☣️ אנטומיה של נוזקה (חלק 1): הכירו את החברה הרעים" ☣️ ברוכים הבאים לפוסט הפותח בסדרת "אנטומיה של נוזקה"! 🔬 בסדרה הזו, אנחנו ננתח, נפרק ונבין איך נוזקות (Malware) עובדות, איך חוקרים אותן, ואיך תוקפים משתמשים בהן. לפני שנוכל לנתח נוזקה, אנחנו חייבים להכיר את "שחקני המפתח" בזירה. "נוזקה" (Malware - Malicious Software) היא מונח גג שמתאר כל תוכנה שנועדה לגרום נזק, לגנוב מידע או לשבש פעילות של מערכת מחשב. לדעת נגד מי אתה נלחם זה חצי מהקרב. 🛡️ בואו נכיר את 5 הסוגים הנפוצים ביותר: 1. וירוס (Virus) 🦠 📖 רקע תיאורטי: וירוס מחשב הוא כנראה המונח המוכר ביותר. כמו וירוס ביולוגי, הוא לא יכול להתקיים או להתפשט לבדו. הוא חייב "להדביק" קובץ מארח (Host file) – לרוב קובץ הפעלה (exe.), סקריפט, או אפילו מאקרו במסמך אופיס (Word, Excel). איך הוא עובד? הווירוס מוסיף את הקוד הזדוני שלו לקובץ לגיטימי. כאשר המשתמש מפעיל את הקובץ ה"נגוע", הוא מפעיל גם את הקוד של הווירוס. הפצה: וירוס דורש פעולה אנושית כדי להתפשט. לדוגמה, משתמש ששולח במייל מסמך נגוע, או מעביר קובץ נגוע בדיסק-און-קי. השלכות אבטחה: נזק לקבצים, גניבת מידע, האטה של המערכת, או פתיחת "דלת אחורית" לנוזקות נוספות. ☠️ פרקטיקה (מנקודת מבט התוקף): הווירוס הוא "סוס עבודה" קלאסי. הוא פחות "רועש" מתולעת. תוקף ישתמש בווירוס כשהוא מסתמך על הנדסה חברתית (Social Engineering). למה להשתמש בו? הוא "מטייל" יחד עם קבצים לגיטימיים. אפשר להדביק קובץ התקנה של תוכנה פופולרית בפיראטיות, או לשלוח מסמך וורד שנראה חשוב (כמו "חשבונית לתשלום") שמכיל מאקרו זדוני. הטקטיקה: התוקף לא מנסה לפרוץ לרשת; הוא מנסה לגרום למשתמש להכניס אותו פנימה. ברגע שהמשתמש מפעיל את הקובץ, הווירוס יכול להתחיל לפעול – למשל, לחפש קבצי exe נוספים במערכת ולהדביק גם אותם, ובכך להבטיח את הישרדותו. 2. תולעת (Worm) 🐛 📖 רקע תיאורטי: תולעת היא קפיצת מדרגה מהווירוס. ההבדל המהותי: תולעת היא עצמאית (Standalone) ויודעת לשכפל ולהפיץ את עצמה באופן אוטומטי, לרוב דרך הרשת. איך היא עובדת? תולעת מנצלת חולשות אבטחה (Vulnerabilities) במערכות הפעלה או בתוכנות רשת. היא סורקת את הרשת (הפנימית או האינטרנט) בחיפוש אחר מחשבים פגיעים. הפצה: כשהיא מוצאת קורבן פגיע, היא משתמשת בחולשה כדי להעתיק את עצמה למחשב החדש ולהפעיל את עצמה. משם, היא מתחילה לסרוק מחדש, וכך הלאה. השלכות אבטחה: התפשטות מהירה מאוד שיכולה להשבית רשתות שלמות (עקב עומס תעבורה), וכמובן, ביצוע הפעולה הזדונית שלשמה נוצרה (למשל, התקנת כופרה). ☠️ פרקטיקה (מנקודת מבט התוקף): תולעת היא הנשק המועדף ליצירת בוטנט (Botnet) – רשת של מחשבים "זומבים" שנשלטים על ידי התוקף. למה להשתמש בה? להדבקה המונית ומהירה. תוקף לא צריך לשלוח 100,000 מיילים; הוא רק צריך למצוא "חולה 0" (מחשב ראשון) שיחובר לרשת, והתולעת תעשה את השאר. הטקטיקה: המטרה היא מהירות והיקף. דוגמה קלאסית: WannaCry. זו הייתה נוזקה היברידית – תולעת שסרקה את הרשת וניצלה את חולשת EternalBlue ב-Windows כדי להתפשט, והמטען (Payload) שלה היה כופרה. תוקף יכול להשתמש בבוטנט שהוא בנה באמצעות תולעת כדי לבצע התקפות DDoS, לכרות מטבעות קריפטוגרפיים, או לשלוח ספאם. 3. סוס טרויאני (Trojan Horse) 🐴 📖 רקע תיאורטי: השם מגיע מהסיפור המיתולוגי. סוס טרויאני היא תוכנה שמתחזה למשהו לגיטימי, שימושי או רצוי (משחק חינמי, כלי עזר למערכת, קובץ PDF מעניין), אך למעשה מכילה "מטען" זדוני נסתר. איך הוא עובד? הוא מסתמך במאה אחוז על הנדסה חברתית. המשתמש רוצה להפעיל את התוכנה. הוא חושב שהוא מפעיל מחשבון, אבל ברקע, הוא מפעיל גם קוד זדוני. הפצה: כמו וירוס, דורש מהמשתמש להפעיל אותו מרצון. הבדל מווירוס: וירוס מדביק קובץ קיים. טרויאני הוא הקובץ, שמתחזה למשהו אחר. הוא לרוב לא משכפל את עצמו. ☠️ פרקטיקה (מנקודת מבט התוקף): טרויאני הוא מנגנון האספקה (Delivery Mechanism) הפופולרי ביותר. הוא הדרך "להכניס רגל בדלת". למה להשתמש בו? כי הוא עוקף את החשיבה הביקורתית של המשתמש. "אני הורדתי את המשחק הזה, ברור שאני רוצה להתקין אותו". הטקטיקה: המטען שהטרויאני נושא הוא מה שבאמת מעניין: יRAT (Remote Access Trojan): הסוג המפורסם ביותר. זהו טרויאני שפותח "דלת אחורית" (Backdoor) ומעניק לתוקף שליטה מלאה ומרחוק על המחשב. התוקף יכול לראות את המסך שלך, להפעיל את המצלמה, לגנוב סיסמאות, ולעשות ככל העולה על רוחו. יDownloader: טרויאני קטן ופשוט שכל מטרתו היא להתחבר לשרת שליטה ובקרה (C2) של התוקף ולהוריד את ה"מטען הכבד" האמיתי (כמו כופרה או רוגלה).

מסחר יומי ובינה מלאכותית אתר בשם Alpha Arena עושה תחרות בין מודלים של בינה מלאכותית - מי מרוויח יותר כסף במסחר בקריפטו. כל מודל קיבל תיק של 10,000$ והם סוחרים עם כסף אמיתי. המודלים מסבירים בזמן אמת על כל פוזיציה שהם פותחים. באתר אפשר לעקוב אחרי הכל בלייב - גרף שמראה מי מוביל ומי מפסיד, וכל העסקאות והרווחים של כל אחד. נכון לעכשיו, המוביל הוא DeepSeek 3.1 עם רווח של כמעט 40%, בעוד GPT-5 ו-Gemini 2.5 Pro בהפסדים. קישור לאתר: NoF1.ai

הישארו מעודכנים - https://t.me/AI_tg_il

📝 סיכום פרוטוקולי LLMNR ו-NBT-NS הם דוגמה קלאסית ל"מורשת טכנולוגית" (Legacy Protocols) שברירות המחדל שלהם מהוות סיכון אבטחתי משמעותי ברשתות מודרניות. התקפת Responder היא פשוטה לביצוע וקטלנית ביעילותה, והיא מדגישה מדוע הקשחת מערכות (Hardening) ונטרול פרוטוקולים מיותרים הם צעדי בסיס קריטיים בכל אסטרטגיית הגנת סייבר. מקווה שהמאמר הזה היה מקיף ומועיל. שאלות? הערות? מוזמנים לשתף. 👇 הצטרפו לערוץ @CYBERSECURITYCODING