مسلسل المداح اسطورة النهايه الحلقه 29 30 كامله - Statistics & analytics of Telegram channel @elkinhbhee

0

Linux PrivEsc Hunting & Hardening دليل عملي لفرق الـOps و الـSecOps ━━━━━━━━━━━━━━ مقدمه سريعه الهدف لما تتعامل مع فرصه Privilege Escalation على Linux لازم تشتغل بمبدا اكتشاف (hunting) -> جمع ادله امنه -> احتواء -> تصليح داايما (hardening) المنشور ده هيديك كل حاجه بالتفصيل العملي: اوامر و قواعد SIEM جاهزه (pseudo) و خطوات فورنسيك و اجراءات سريعه وبرامج لازمه للصيانه الاوامر اللي هديها هنا امنه للفحص و القراءه و اي تغييرات جذريه لازم توافق change control ━━━━━━━━━━━━━━ الجزء الاول الاول افحص سريع للـHost (non destructive reconnaissance) نبدا بفحوص سريعه تجمع بيها فكره عامه عن النظام و حالته معلومات عامه عن النواه و الاصدار

uname -a
cat /etc/os-release

المستخدمين النشطه و who

who
w

عمليات الجارى تشغيلها (ركز على عمليات تحت uid غير root تعمل network او suspicious)

ps aux --sort=-%mem | head -n 40
ss -tunap
lsof -i -nP | head -n 40

فحص التراخيص و SUID/SGID files قراءة بس

# ملفات SUID
find / -perm -4000 -type f -exec ls -ld {} \; 2>/dev/null

# ملفات SGID
find / -perm -2000 -type f -exec ls -ld {} \; 2>/dev/null

فحص الصلاحيات لاعاده الكتابه في مسارات حساسه

# ادلة قابلين للكتابه للعامة
find / -xdev -type d -perm -0002 -print 2>/dev/null

# ملفات world-writable
find / -xdev -type f -perm -o+w -ls 2>/dev/null

فحص crontab و scheduled tasks متعملش اي تعديلات

# crons للمستخدمين
for u in $(cut -f1 -d: /etc/passwd); do
  crontab -l -u $u 2>/dev/null && echo "----- for $u -----"
done

# cron system
ls -la /etc/cron.* /var/spool/cron 2>/dev/null

فحص capabilities و getcap

# احتياطي: getcap لو متوفر
which getcap >/dev/null && getcap -r / 2>/dev/null

فحص mount options للمجلدات الحساسه

mount | egrep '(/tmp|/var/tmp|/dev/shm)'

فحص لو في docker.sock موجود و صلاحياتو (مؤشر خطر)

ls -l /var/run/docker.sock 2>/dev/null || true

اكتب ملاحظاتك: الملفات اللى لفتت نظرك و المستخدمين المشبوهين و المجلدات القابله للكتابه داخل webroot او bin paths ━━━━━━━━━━━━━━ ● الــمــصــدر ● التالي 👇👇

0

كشف احتواء Webshell persistence على سيرفرات ويب وانتشار lateral داخل الشبكه ━━━━━━━━━━━━━━━━━━ المقدمه السريعه لما تلاقي webshell على سيرفر ويب ده غالبا مش نهايه المشكله ده بدايه سلسله من كشف و جمع ادله و احتواء و ازاله و hardening عشان مايرجعش ━━━━━━━━━━━━━━━━━━ الجزء الاول اشارات مبكره لازم تحط عليها alert فوريا requests الى وصفحات غير معروفه تحمل query strings غريبة مع user agent مش مألوف spikes في POST requests على endpoints مش معمول لها uploads ملفات جديدة في webroot بامتدادات مش عاديه او برمجيات مش مرخصه تغييرات مفاجئه في crontabs او tasks مربوطه بالمجلد بتاع الويب عمليات خروج outbound غير متوقعه من السيرفر الى ipات خارج القيمه الطبيعيه قواعد SIEM سريعه (pseudo):

index=web_logs uri="/upload" OR uri="/admin" AND method=POST
| stats count by src_ip, uri, user_agent
| where count > 50

━━━━━━━━━━━━━━━━━━ الجزء الثاني فحص امن وعملي اولي (non destructive) هنجيب اخر access & error logs:

Bash
sudo tail -n 500 /var/log/nginx/access.log
sudo tail -n 500 /var/log/nginx/error.log

فحص وجود ملفات حديثه في webroot

Bash
sudo find /var/www/html -type f -mtime -7 -ls

فحص صلاحيات و SUID و ملفات مش متوقعه

Bash
sudo find / -perm -4000 -type f 2>/dev/null
sudo find /var/www/html -type f -perm /a+x -ls

التياكد من الاجرائات الجاريه و الاتصالات الخارجيه

Bash
sudo ss -tunap | grep httpd
sudo lsof -i -nP | grep ESTABLISHED

كل دي اوامر قراءه بس مبتغيرش حاجه هدفها تجميع ادله اوليه ━━━━━━━━━━━━━━━━━━ الجزء الثالث جمع الادله الامنه و chain of custody خد snapshot للـVM او صوره للقرص قبل اي تعديل export logs لملف و اعمل hash SHA256 لكل ملف

Powershell
Get-WinEvent -FilterHashtable @{LogName='Security'; StartTime=(Get-Date).AddHours(-24)} | Export-CliXml web_security_24h.xml
Get-FileHash .\web_security_24h.xml -Algorithm SHA256

انسخ الملفات المشبوهه برن السيرفر و احفظ original مع hash ━━━━━━━━━━━━━━━━━━ الجزء الرابع تحليل webshell بدون تنفيذ (forensic) افتح الملف المشبوه في محرر نصوص من جهاز تحليل منفصل و دور على strings مش بشريه او ارتباطات C2 او كود eval/system استخدم yara rules لو متاح عندك

Bash
yara -r webshell_rules.yar suspect_file.php

ابحث في logs عن sequence: upload -> include -> execution -> outbound connect ربط الchain مهم ━━━━━━━━━━━━━━━━━━ الجزء الخامس containment عملي سريع

عزل السيرفر من الشبكه لو الاشتباه قوي اقطع اى اتصال خارجي مش ضروري

ايقاف الويب مؤقتا او تحويل traffic الى maintenance page (لو ممكن من الload balancer)

نسخ و احتفاظ بكل الملفات المشتبه بها خارج السيرفر للـanalysis

عطل اي حسابات مستخدمه مرتبطه بالهجوم و rotate اي مفاتيح او اسرار ممكن تكون اتسربت

مهم قبل ما تمسح اي ملف خلي محفوظ و مؤمن لان ممكن يكون دليل ━━━━━━━━━━━━━━━━━━ الجزء السادس ازاله persistence و اصلاحات فنيه (مرحلي) A ازالة webshell و اجراء فوري احذف الملف بعد ما تكون اخدت نسخه مؤمنه راجع و وصل الاوامر في crontab و systemd timers و احذف اي entry مش معروف B اصلاح الupload endpoint حط validation server-side (mime check, finfo) خزن الملفات خارج webroot و غير اسم الملف على السيرفر لUUID خصم صلاحيات الكتابه chown www-data:www-data /var/uploads && chmod 750 C تصليح الconfigs امنع تنفيذ ملفات php في مجلد الuploads nginx example

Nginx
location /uploads/ {
    alias /var/uploads/;
    internal;
    location ~ \.php$ { return 403; }
}

ضبط SELinux/AppArmor policies لو مستخدم D check for lateral movement راجع الSSH keys في /root/.ssh و /home/*/.ssh و rotate لو لقيت جديد راجع جدول Cron لكل المستخدمين و دور على اي script جديد ━━━━━━━━━━━━━━━━━━ الجزء السابع detection engineering بعد الحدث Detection 1: upload followed by immediate execution

index=web_logs OR index=sysmon
| where uri="/upload" AND next_event contains "exec" within 1m
| alert HIGH

Detection 2: web process making outbound connections to rare IPs

index=netflow process="httpd" OR process="nginx"
| where dest_ip NOT IN (whitelist) AND dest_port IN (80,443,8080)
| stats count by src_host, dest_ip
| where count > 5

━━━━━━━━━━━━━━━━━━ ● الــمــصــدر ●

0

Repost from N/a

دقائق واحذف لا يفوتكم 👆 🔥☄️

0

Repost from N/a

🔖 قائمة قنوات تكنولوجية✅ 🔖 مجموعة مختارة من قنوات التليجرام المتخصصة في: 💻 البرمجة | 🛡 الأمن السيبراني | 🌐 الشبكات | 🧠 الذكاء الاصطناعي | 🖥 أنظمة التشغيل 📎 تصفّح القنوات من هنا:

⭐https://t.me/addlist/X19g-c2waEY0NTJk ⭐https://t.me/addlist/X19g-c2waEY0NTJk

💡 هل تود إضافة قناتك؟ تواصل معنا: @MASTER_0_X 👥 يشترط أن تكون القناة تقنية وبها أكثر من 500 عضو

0

متاح كسر 50 الف فليكس لخطوط فودافون متاح اسكربت الكسر دائم مشفر متاح اسكربت الكسر دائم بدون تشفير متاح اسكربت الكسر لمدة اللي انت تحددها الاسعار كلها في الخاص 👇👇 @IIIlIIIIllll

0

6 detection و نصايح tuning حط detection على اي request URL اللي يحتوي ارقام IP داخل 169.254.*‎ او مصطلحات metadata (metadata, instance-identity, iam/security-credentials) حسن القواعد عشان تقلل false positives استبعد requests لCDNs او image proxies اللي ممكن تكون بتحول روابط اربط الalerts مع mapping للapplication component owner علشان تروح للناس الصح بسرعه مثال Splunk alert threshold لو اي web process حاول الوصول الى metadata more than 1 مرة خلال 5 دقائق -> HIGH ━━━━━━━━━━━━━━━━━━ 7 — remediation لو حصل تسريب او محاولة ناجحه اقفل الegress من الinstance المتاثر او عزله rotate كل الcredentials المرتبطة بالinstance: IAM role keys, service account tokens, app secrets اللي ممكن تكون معرضه افحص الكود او الendpoint اللي سمح بالSSRF و اعمل patch: use allowlist, proxy, validation. راجع audit trail و حدد اذا تم lateral movement او exfiltration بعد التصليح أعمل اختبار تحققي ━━━━━━━━━━━━━━━━━━ 8 — فحوص امنه سريعه (snippets) رفض redirects و حجب IPs داخل range 169.254.*:

Python
resp = requests.get(url, allow_redirects=False, timeout=5)
host = urlparse(url).hostname
ip = socket.gethostbyname(host)
if ip.startswith("169.254."):
    raise Exception("metadata access blocked")

nginx snippet لمنع direct access للmetadata لو reverse proxy فى الشبكه

Nginx
server {
  location / {
    proxy_pass http://backend;
    proxy_set_header Host $host;
    # block requests with metadata IPs in query
    if ($request_uri ~* "169\.254\.169\.254") {
      return 403;
    }
  }
}

ملاحظه واضح ان اساليب الحجب دى مساعدة لكن الافضل ان تمنع الاصل (allowlist + proxy) ━━━━━━━━━━━━━━━━━━ 9 — checklist سريع تطبيقي (طبع و علقها) فعل IMDSv2 او ما يعادله في السحابه احصر صلاحيات الinstance roles على الاقل اجبر كل outbound عبر proxy مركزي او firewall egress rule اعمل allowlist للدومينات اللي الخدمه ممكن تتصل بيها سجل كل outbound HTTP calls و اعمل alert على كل محاولة للوصول لـ169.254.* او metadata hostnames بعد اي حاجه rotate credentials و افحص lateral movement ━━━━━━━━━━━━━━━━━━ 10 — روابط مرجعيه مهمه (اقرا و طبق AWS IMDSv2 guidance: https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/configuring-instance-metadata-service.html GCP metadata security: https://cloud.google.com/compute/docs/metadata OWASP SSRF Cheat Sheet: https://cheatsheetseries.owasp.org/cheatsheets/Server-Side_Request_Forgery_Prevention_Cheat_Sheet.html Practical detection notes: https://portswigger.net/web-security/ssrf ━━━━━━━━━━━━━━━━━━ ● الــمــصــدر ●

0

6 detection و نصايح tuning حط detection على اي request URL اللي يحتوي ارقام IP داخل 169.254.*‎ او مصطلحات metadata (metadata, instance-identity, iam/security-credentials) حسن القواعد عشان تقلل false positives استبعد requests لCDNs او image proxies اللي ممكن تكون بتحول روابط اربط الalerts مع mapping للapplication component owner علشان تروح للناس الصح بسرعه مثال Splunk alert threshold لو اي web process حاول الوصول الى metadata more than 1 مرة خلال 5 دقائق -> HIGH ━━━━━━━━━━━━━━━━━━ 7 — remediation لو حصل تسريب او محاولة ناجحه اقفل الegress من الinstance المتاثر او عزله rotate كل الcredentials المرتبطة بالinstance: IAM role keys, service account tokens, app secrets اللي ممكن تكون معرضه افحص الكود او الendpoint اللي سمح بالSSRF و اعمل patch: use allowlist, proxy, validation. راجع audit trail و حدد اذا تم lateral movement او exfiltration بعد التصليح أعمل اختبار تحققي ━━━━━━━━━━━━━━━━━━ 8 — فحوص امنه سريعه (snippets) رفض redirects و حجب IPs داخل range 169.254.*:

Python
resp = requests.get(url, allow_redirects=False, timeout=5)
host = urlparse(url).hostname
ip = socket.gethostbyname(host)
if ip.startswith("169.254."):
    raise Exception("metadata access blocked")

nginx snippet لمنع direct access للmetadata لو reverse proxy فى الشبكه

Nginx
server {
  location / {
    proxy_pass http://backend;
    proxy_set_header Host $host;
    # block requests with metadata IPs in query
    if ($request_uri ~* "169\.254\.169\.254") {
      return 403;
    }
  }
}

ملاحظه واضح ان اساليب الحجب دى مساعدة لكن الافضل ان تمنع الاصل (allowlist + proxy) ━━━━━━━━━━━━━━━━━━ 9 — checklist سريع تطبيقي (طبع و علقها) فعل IMDSv2 او ما يعادله في السحابه احصر صلاحيات الinstance roles على الاقل اجبر كل outbound عبر proxy مركزي او firewall egress rule اعمل allowlist للدومينات اللي الخدمه ممكن تتصل بيها سجل كل outbound HTTP calls و اعمل alert على كل محاولة للوصول لـ169.254.* او metadata hostnames بعد اي حاجه rotate credentials و افحص lateral movement ━━━━━━━━━━━━━━━━━━ 10 — روابط مرجعيه مهمه (اقرا و طبق AWS IMDSv2 guidance: https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/configuring-instance-metadata-service.html GCP metadata security: https://cloud.google.com/compute/docs/metadata OWASP SSRF Cheat Sheet: https://cheatsheetseries.owasp.org/cheatsheets/Server-Side_Request_Forgery_Prevention_Cheat_Sheet.html Practical detection notes: https://portswigger.net/web-security/ssrf ━━━━━━━━━━━━━━━━━━ ● الــمــصــدر ●

0

SSRF Cloud Metadata Exposure ━━━━━━━━━━━━━━━━━━ مقدمه سريعه SSRF (Server Side Request Forgery) مشكله بتخلي السيرفر يعمل طلبات لمصادر المهاجم بدل المستخدم اخطر حاجه هو ان الطلب يوصل لـcloud metadata endpoint (مثلا AWS/GCP/Azure) و يطلع credentials او tokens المنشور ده يشرح ازاي تكتشف SSRF قبل تلاقط محاولات الوصول للمetadata و تحمي الخدمات عمليا ━━━━━━━━━━━━━━━━━━ 1 فين الخطوره بالظبط و ليه لازم نهتم دلوقتي cloud metadata endpoints بتدي معلومات حساسه instance identity, role credentials, tokens لو سيرفر ويب في SSRF و قدر يوصل 169.254.169.254 (AWS) او ما يقابله في GCP/Azure = تسريب بيانات اعتماديه ممكن يفتح الباب لحملات اكبر الدفاع الصحيح يجمع network controls + app hardening + detection ━━━━━━━━━━━━━━━━━━ 2 — telemetry لازم تكون عندك (اساسي) اجمع دايما المصادر ده عشان تقدر تكشف SSRF بيرعه web server access logs (nginx, apache) مع request headers و full query string application logs (server-side HTTP client calls, target URL logs) proxy/logging من الoutbound egress (squid/forward proxy) network flow / firewall logs cloud provider logs (VPC Flow Logs, CloudTrail, Azure Activity Logs, GCP VPC Flow) خطوه سريعه فعل وركز على حفظ الfull URL اللي الخدمه بتحاول توصله و اسم الprocess وparent process لو متاح ━━━━━━━━━━━━━━━━━━ 3 — اشارات كشف سريعه SIEM rules A كشف محاولات الوصول للmetadata IPs مهم جدا

index=web_access OR index=proxy_logs
| where dest_ip IN ("169.254.169.254","169.254.170.2") OR dest_host IN ("metadata.google.internal","169.254.169.254")
| stats count by src_ip, dest_ip, request_url, user_agent
| where count > 0

اجراء لو اتكشف حصل عزل الinstance و ابدا جمع ادله B كشف نمط SSRF عن طريق Host header او URL target غير منطقي

index=app_logs
| where request_url LIKE "%http://%" OR request_url LIKE "%169.254.%"
| stats count by request_url, src_user, src_host
| where count > THRESHOLD

C كشف outbound connections من web servers لمناطق داخليه

index=netflow
| where src_role="web" AND dest_subnet IN (internal_subnets)
| stats count by src_host, dest_ip, dest_port
| where count > X

━━━━━━━━━━━━━━━━━━ 4 — خطوات تحقيق عملي فورى (playbook مختصر) ترياج جمع كل الrequests المشبوهه من web logs مع timestamp, full URL, headers, referer, user agent. تجميع outbound logs proxy logs و firewall logs لنفس الفترات افحص لو الاستجابه حملت بيانات حساسه (زي json في token او role info) احفظ نسخه من الresponse احتواء سريع لو الطلب وصل لـmetadata endpoint، اعزل الinstance او قطع الegress مؤقتا forensic خد snapshot من الinstance و احفظه بالprocess list, network connections, memory dump لو عادي remediate rotate اي credentials ممكن تكون تسربت (IAM role keys, temporary tokens) مهم كل جمع للادله لازم يتوثق بالhash و chain of custody ━━━━━━━━━━━━━━━━━━ 5 hardening عملي للتطبيقات A validate/allowlist URLs نهائيا متبنيش HTTP client calls من input المستخدم مباشر استخدم allowlist للhosts او domains المسموح استدعاؤها (مثلا internal APIs محدده فقط) امثله بدل ما تقبل اي url افعل داله تتحقق ان الدومين في allowlist قبل اي طلب B منع الوصول للmetadata من الطبقه الشبكيه Network ACLs امنع اي اتصال مباشر للmetadata IP من اي سيرفيس مش محتاجه Instance role scoping استخدم IAM roles ضيقه قدر الامكان متديش instance صلاحيات اوسع من المطلوب C استخدام HTTP client safe config اعمل الHTTP client يرفض redirects لغير الدومين المسموح (no auto-follow unless allowed) حدد timeout و max redirects استخدم DNS resolution policy لو الهدف resolved الى 169.254.* او internal IP فرفض الطلب مثال كود (pseudocode)

# validate target host before request
host = urlparse(target).hostname
if host not in ALLOWLIST:
    raise Exception("disallowed target")
if is_ip(host) and host.startswith("169.254."):
    raise Exception("metadata access forbidden")
# then proceed with request

D حط forward proxy مركزي و logging ملزم اجبر كل الخدمات على عمل outbound عنطريق proxy واحد يقفل direct egressو يسجل كل الطلبات في proxy تعمل قواعد منع الوصول لمetadata و internal subnets من web tiers E الحمايه على مستوى cloud Use IMDSv2 (AWS) وحصر الوصول علي في AWS فعل IMDSv2 requirement على instance في GCP/Azure فعل الحمايات المماثله و قلل صلاحيات default service accounts

0

تحليل عميق لهجمـ..ات Pass the Hash و Pass the Ticket ━━━━━━━━━━━━━━━━━━━━━━ المقدمه كتير من الفرق الامنيه بيركزوا على كلمات السر و بيعملوا rotation و complexity rules بس المها..جم مش دايما محتاج يعرف الباسورد ك plain text هو ممكن يكتفي بالـhash (في PtH) او بتذكره Kerberos (في PtT) علشان يدخل و يلف في الشبكه و ده بالظبط اللي بيخلي الهجـ..مـ.ات دي خطيره و صعبه في الاكتشاف لو مالهاش مراقبه مظبوطه ━━━━━━━━━━━━━━━━━━━━━━ الجزء الاول Pass the Hash الفكره: المهـ..ـاجم بعد ما يسرق NTLM hash يقدر يستخدمو كانو الباسورد نفسو مش بيكسر الباسورد بيبعت الـhash ك credential لو السيستم بيسمح بالـNTLM authentication، يبقى خلاص المها..جم جوا خطوات المهاجم يجيب hash (مثلا من memory dump) يستخدم اداة زي pth-winexe او mimikatz sekurlsa::pth علشان يدخل ينفذ اوامر remotly الاكتشاف راقب EventID 4624 (logon success) ركز على LogonTyp = 3 (network) + NTLM شوف لو في نفس الحساب بيعمل Logon من hosts كتيره في نفس التوقيت Query (Splunk)

index=wineventlog EventCode=4624 AuthenticationPackageName="NTLM" LogonType=3
| stats dc(WorkstationName) as hosts by TargetUserName
| where hosts > 2

━━━━━━━━━━━━━━━━━━━━━━ الجزء التاني Pass the Ticket الفكره المهاجم مش محتاج الباسورد ولا الhash يكفيه تذكره Kerberos (TGT او TGS) يستخدم اداه زي mimikatz kerberos::ptt لحقن التذكره في session بعد كده يتنقل بين السيرفرات كانو المستخدم الاصلي العلامات EventID 4769 (service ticket request) لو شفت نفس الـ TicketID مستخدم على اكتر من جهاز او لو عمر التذكره اطول من الطبيعي Query (KQL لـ Sentinel)

Kql
SecurityEvent
| where EventID == 4769
| summarize count(), dcount(WorkstationName) by TicketEncryptionType, TargetUserName, TicketOptions
| where dcount_WorkstationName > 1

━━━━━━━━━━━━━━━━━━━━━━ الجزء التالت احتواء الهجوم لو اكتشفت PtH او PtT اعزل الhost المشبوه اعمل rotate سريع لكلمات السر للحسابات اللي ظهر انها اتسربت لو PtT فكر تعمل rotation لحساب krbtgt (بحذر شديد وعلى خطوتين) راجع سياساتك اقفل NTLM في الدومين فعل Credential Guard استخدم gMSA بدل service accounts ━━━━━━━━━━━━━━━━━━━━━━ الجزء الرابع روابط و ادوات Mimikatz: https://github.com/gentilkiwi/mimikatz Rubeus: https://github.com/GhostPack/Rubeus Sysmon Config: https://github.com/SwiftOnSecurity/sysmon-config Microsoft PtH guidance: https://learn.microsoft.com/windows-server/security/credentials-protection-and-management/ ━━━━━━━━━━━━━━━━━━━━━━ ● الــمــصــدر ●

0

اكتشاف و تحقيق و remediation ل DCSync و AD ACL abuse و Golden Ticket ━━━━━━━━━━━━━━━━━━ مقدمه سريعه DCSync و AD ACL abuse و Golden Ticket من اخطر السيناريوهات في بيئات Active Directory لو حصلت اى واحده منهم فالمهـ...ـاجم ممكن يطلع هاشات المستخدمين و يولف تذاكر مزوره او ياخد سيطره مطلقه على الدومين الهدف هنا عملي ازاي تكتشف و تجمع ادله امنه وتحقق فورنسيك فيها الحادث تصلح و تحصن بيئتك كل الخطوات قابله للتنفيذ ━━━━━━━━━━━━━━━━━━

الجزء الاول فهم سريع للسلوك الخطر

● DCSync يعني مهاجم يطلب من DC ان ينسخ بيانات الدليل (زي NTDS) كانو DC ده يتطلب حقوق replication او rights مصرحه في ACLs على objects الحصول على هاشات NTLM من NTDS= مفتاح لهجمـ.ات تانيه ● AD ACL abuse يعني حساب عنده rights زي Replicating Directory Changes, GenericAll, ResetPassword, WriteDacl الحقوق بتخلي المها.جم يغير ملكيات او يستنسخ او يعيد تعيين باسوردات منغير ان يظهر واضح ● Golden Ticket يعني مهاجم عنده هاش krbtgt يقدر يطلع تذاكر TGT مز..وره الاكتشاف صعب بس في عندنا علامات و playbooks للتعامل ━━━━━━━━━━━━━━━━━━

الجزء التاني فحص سريع امن للبيئه (non destructive enumeration)

الهدف هنا نجيب بيانات تكفى للتشخيص منغير تاثير كل الاوامر دي امنه و بتيجى الادله 1) جمع الاحداث المهمه من DCs جمع امن

# export security events of interest last 48 hours
$start=(Get-Date).AddHours(-48)
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=@(4662,5136,4663,4768,4769,4624); StartTime=$start} | Export-CliXml DC_security_48h.xml

شرح

4662/5136 = changes to AD objects, 4768/4769 = kerberos events, 4663 = file access, 4624 logon

2) export قائمة الحسابات اللي عندها حقوق replication او rights مهمه امن (تحتاج امتيازات AD read)

Import-Module ActiveDirectory
# find objects with Replicating Directory Changes right
Get-ADObject -LDAPFilter "(nTSecurityDescriptor=*)" -Properties nTSecurityDescriptor | ForEach-Object {
  # heavy op, better use specialized script like acldiag or Get-ACL parsing
}
# recommended: use nic tool BloodHound data collection for detailed ACL mapping in lab

ملاحظه: فحص ACLs ممكن يحتاج parsing دقيق استخدم ادوات مخصصه استخراج mapping عبر Get-ACL scripts 3) export list SPNs و owners

Get-ADObject -Filter {servicePrincipalName -like "*"} -Properties servicePrincipalName,sAMAccountName,DistinguishedName | Select sAMAccountName,servicePrincipalName,DistinguishedName | Export-Csv spn_owners.csv -NoTypeInformation

4) فحص حسابات no preauth

Get-ADUser -Filter * -Properties userAccountControl,ServicePrincipalName | Where-Object {($_.userAccountControl -band 4194304) -ne 0} | Select SamAccountName,UserPrincipalName | Export-Csv preauth_disabled.csv -NoTypeInformation

هات حسابات معموله dont require preauth وراجعهم ━━━━━━━━━━━━━━━━━━━ الجزء التالت مؤشرات كشف DCSync و ACL abuse (SIEM rules مفصله) هنا قواعد مفصله قابله للتحويل ل Splunk/Elastic/KQL كل قاعده مع تفسير و اجراءات كشف A عمليات replication من host غير DC Pseudo Splunk

index=wineventlog EventCode=4662 OR EventCode=4924 OR EventCode=5136
| where SourceHost NOT IN (list_of_domain_controllers)
| stats count by SourceHost, SubjectUserName, EventID
| where count > 10

تفسير replication related events صالبه ان تصدر من غير DC لو ظهر activity مش متوقع اعتبره high اجراء وقت الانذار عزل الhost و جمع logs منو و review ACLs المرتبطة بالحساب المبين كشف B — ResetPassword/GenericAll actions on privileged objects Pseudo:

index=wineventlog EventID=5136 OR EventID=4662
| where (ChangedAttributes CONTAINS "unicodePwd" OR ChangedAttributes CONTAINS "nTSecurityDescriptor")
| stats count by TargetObject, SubjectUserName
| where count > 0

تغييرات على كلمات السر او DACLs على objects حساسه اجراء لو SubjectUserName مش admin او service account موثوق اعتبره تلاعب عالي و ابدا forensic كشف C sudden dump of many account attributes (possible DCSync) Pseudo

index=ldap_logs OR index=netlogs
| where OperationType="replication" OR ObjectCount > 1000
| stats count by SourceHost, BindingUser
| where count > THRESHOLD

━━━━━━━━━━━━━━━━━━ تكمله 👇👇

0

Repost from N/a

دقائق واحذف لا يفوتكم 👆 🔥☄️

0

Repost from N/a

🔖 قائمة قنوات تكنولوجية✅ 🔖 مجموعة مختارة من قنوات التليجرام المتخصصة في: 💻 البرمجة | 🛡 الأمن السيبراني | 🌐 الشبكات | 🧠 الذكاء الاصطناعي | 🖥 أنظمة التشغيل 📎 تصفّح القنوات من هنا:

⭐https://t.me/addlist/X19g-c2waEY0NTJk ⭐https://t.me/addlist/X19g-c2waEY0NTJk

💡 هل تود إضافة قناتك؟ تواصل معنا: @MASTER_0_X 👥 يشترط أن تكون القناة تقنية وبها أكثر من 500 عضو

0

الجزء التامن تقرير فني جاهز للتسليم للادارة بعد حادث Kerberos القالب ده تقرير Executive + Technical Elements 1. Executive Summary (1 صفحة) مستوى الحادث و نطاقه + هل تم احتواؤه هل في اطراف متاثرة توصيات عاجله 2. Technical Findings timeline مفصل قائمة الاحداث المهمة قائمة الحسابات وhosts المتأثره دلالات golden/kerberoast/ptt 3. Evidence Collected: ملفات logs, pcap, memory images, hashes, storage location 4. Actions Taken: containment steps, remediation steps, password rotates, krbtgt plan if applied 5. Residual Risk and Recommendations: monitoring improvements, policy changes, training 6. Appendix: SIEM queries used, sysmon config, list of SPNs/owners ━━━━━━━━━━━━━━ الجزء التاسع ملخص عملي سريع checklist للطوارئ • انذار SIEM ل spikes 4769 -> triage فورى • جمع 4768/4769/4624 logs ل24 ساعة قبل و بعد الاكتشاف • جمع Sysmon وpcap وmemory snapshot لو مسموح • check accounts no preauth -> force enable + rotate password • check SPNs targeted -> owner contact -> rotate service account passwords • if strong evidence golden ticket -> plan krbtgt rotation with AD owners • update SIEM rules و runbook بعد انتهاء الحادث ━━━━━━━━━━━━━━━━━━ ● الــمــصــدر ●

0

الجزء الرابع تحليل متقدم للتذاكر و correlation techniques هنا شرح عملي ازاي تحلل التذاكر تربطها مع اشارات تانيه عشان تتأكد من الهج.وم او تقفل false positive 1) تحليل Ticket Lifetime و flags TicketLifetime وRenewTill بتوضح مدة الصلاحية صلاحية طويلة جدا ممكن تكون مؤشر Golden Ticket •Flags زي forwardable, renewable, preauth_used لازم تتقارن بالسياسات المتوقعه 2) ربط TicketId و Session Key عبر logs Event 4769 و4624 يحتويان على ticket id او session id استخدمها لربط نفس التذكره على hosts مختلفه لو نفس TicketId ظهر على اكثر من host في فاصل زمني صغير يبقا مؤشر replay 3) استخدام process lineage عبر Sysmon process create logs استخرج parent process chain للاجراء اللي ربط بالتذكرة ابحث عن عمليات اجراها user مش عادي او exec من temp folders 4) network enrichment اربط النشاط مع pcap هل كان في اتصال outbound لحوسب مش مصرح لي هل كانت هناك محاولات DNS odd queries ربط الشبكه يساعد في فهم lateral movement 5) AD ACL correlation استخدم BloodHound output لو متاح هل الحساب المشتبه عندو rights replication او reset password على اي account حساس لو اه يبقا الاحتمال DCSync او escalation ━━━━━━━━━━━━━━ الجزء الخامس containment و remediation عملي هنا خطه عمليه تقبل للتنفيذ لو تم تاكيد هج.وم Kerberos او اشتباه عالي

اجراءات فوريه (Containment)

1.عزل الhosts المشبوهه فز قاعده isolate network vlan او قطع اتصالهم للشبكه 2.انهاء sessions اطلب من AD team terminate active sessions للحسابات المشتبه فيها 3.تغير كلمات سر مؤقته حدد حسابات الخدمة المرتبطه بالSPN المستهدف واطلب rotate سريع للبساوردات لكن خطه rotate منظمة لان الشغل على البيزنس بيتاثر 4.قفل replication لو في دليل DCSync ممكن تمنع replication لوقت التحقيق او تقيده بشكل لحظي حسب السياسه

خطة remediation متدرجه

Short term fixes (within hours) •force enable preauth لكل الحسابات اللي عندها flag disabled •rotate passwords للحسابات اللي اتعرضت او اللي SPN خاصه •تقييد الوصول للhosts اللي ظهر منها النشاط ^Medium term (1-7 ايام) review all service accounts و move to gMSA او Managed Identities لو نفع •audit and tighten ACLs مسح كل الrights الي مش ضروريه (Replicating Directory Changes, Reset Password, GenericAll) عن الحسابات الغير موثوق فيها •implement MFA for privileged accounts where possible •Long term hardening •plan krbtgt rotation if golden ticket suspected (تنفيذ عبر MS guidance وبمراحل ونسخ احتياطي)

deploy continual hunting rules and machine learning baselines to detect anomalies early

enable constrained delegation only where necessary and prefer protocol transition with security controls

خطوات عمليه لتدوير krbtgt (high level, coordination required) •اجتمع مع AD owners وممثلي البزنس وحدد maintenance window •خد backup كامل للAD domain controllers وNTDS ••اتبع Microsoft documented process reset krbtgt password first time, wait replication interval, then reset second time دي خطوه حساسه جدا وتتطلب مراقبة لاثار جانبيه بعد rotation revoke/renew certificates/session tickets حسب الحاجة ومراقبة الانذارات ━━━━━━━━━━━━━━ الجزء السادس detection engineering و تحسين قواعد SIEM بشكل متقدم •هنا نصائح لتقليل الفالس بوز ورفع دقه الكشف 1. dynamic thresholds بدل thresholds ثابته استخدم percentile baselining (مثلا 95th percentile) لكل account وhost بدل قيمة واحدة لكل البيئه 2. enrichment real-time اربط كل حدث بساندبارت من asset inventory و user risk score و recent password change to reduce false positives 3. correlation rules chain مثلا rule A (spike 4769) + rule B (ticket reuse 4624) -> escalate to high priority incident 4. feed external threat intel بعض الادوات والAPT groups بتستخدم اساليب معروفه لو انطبقت علامة او احدى الادله من intel ضيفها في معامل الاشتباه ━━━━━━━━━━━━━━ الجزء السابع ادوات مرجعيه وموارد للتعمق lab only links مصادر ادوات تحليليه للتعلم BloodHound / SharpHound https://github.com/BloodHoundAD/BloodHound Rubeus (research/lab) https://github.com/GhostPack/Rubeus Certipy (AD CS analysis) https://github.com/ly4k/Certipy Mimikatz (forensics/lab) https://github.com/gentilkiwi/mimikatz Microsoft Docs Kerberos Events reference https://learn.microsoft.com/windows/security/identity-protection/kerberos/kerberos-events Sysmon config examples (SwiftOnSecurity https://github.com/SwiftOnSecurity/sysmon-config 👇👇

0

.

0

كشف 4 Ticket reuse / pass the ticket indicators نفس ticket id مستخدم من اكثر من workstation في زمن ضيق او ticket used on host مش متوقع pseudo

index=wineventlog EventCode=4624 AuthenticationPackage="Kerberos"
| stats dc(WorkstationName) as uniqueHosts by TicketId, AccountName
| where uniqueHosts > 1

اجراء حدد الhosts اللي ظهر فيها ticket id وابدا investigation على اي processes network connections في timeframe كشف 5 Golden Ticket heuristics تذاكر بمده صلاحيه مش منطقيه او اصدار من host غير DC pseudo

index=wineventlog EventCode=4768
| where TicketLifetimeHours > MAX_EXPECTED OR IssuedFromHost NOT IN domain_controllers_list
| stats count by AccountName, IssuedFromHost, TicketLifetimeHours
| where count > 0

اجراء لو الاشتباه عالي escalate to incident response meeting, prepare for possible krbtgt rotation plan and wide password resets as per MS guidance ━━━━━━━━━━━━━━ الجزء التالت جمع الادله الامنه و forensic playbook خطوه بخطوه هنا شرح عملي مفصّل جدا عن اي تجمع منين وازاي تحفظ الادله بمصداقيه (chain of custody) بخطوات قابله للتنفيذ •مبادي عامه قبل الجمع كل جمع ادله في بيئه انتاج محتاج موافقه متعملش تغييرات على النظام بدون توثيق •خد snapshots للـVM افضل من تغير مباشر على القرص •لو لازم تعمل memory capture اعمل اول حاجه لان قفل الجهاز ممكن يمسح ادله الحفظ كل ملف evidence يتسجل باسم الملف،مصدره،تاريخ ووقت الجمع، hash (SHA256) واسم اللي جمعه قائمة الادله اللي تجمعها احتياطيا 1. Security Event logs من كل DCs (اخر 24-72 ساعه او حسب الحاله) 2. Kerberos Operational logs من كل DCs 3. Sysmon logs من الworkstations والسيرفرات ذات الصله 4. Process dumps او memory snapshot من الhosts المشبوهه (اذا مسموح) 5. Network captures لزبونه الtimeframe (pcap) من span/mirror port او taps 6. قائمة SPNs و owner mapping من AD (export csv) 7. AD changes events (4662, 5136) لو لقيت خلال الفتره 8. snapshots/backup للNTDS database اذا اي حاجة تشير للنسخ الغير مرخصه اوامر جمع امنه (PowerShell) — تنفذ بعد موافقه وتوثيق export security events محدده

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=@(4768,4769,4624); StartTime=(Get-Date).AddHours(-24)} | Export-CliXml security_events_24h.xml

export kerberos operational log

Get-WinEvent -LogName "Microsoft-Windows-Kerberos-Key-Distribution-Center/Operational" -MaxEvents 5000 | Export-CliXml kdc_events.xml

export list SPNs

Import-Module ActiveDirectory
Get-ADObject -Filter {servicePrincipalName -like "*"} -Properties servicePrincipalName,Name,sAMAccountName | Select Name,sAMAccountName,servicePrincipalName | Export-Csv spn_list.csv -NoTypeInformation

klist to list tickets on a host

klist tickets
klist sessions

hash evidence files

Get-FileHash .\security_events_24h.xml -Algorithm SHA256

memory capture best practices لو معمل او موافق استخدم اداة موثوقه مع chain of custody (ex: FTK Imager for memory or Magnet, WinPMEM) احغظ الhash للimage وادونه بالتقرير متشغلش ادوات تحليل على الhost نفسو قبل متاخد صوره الذاكره تحليل اولي بعد الجمع 1. بناء timeline: اجمع كل الاحداث حسب الترتيب الزمني مع الcontext (user, host, process, cmdline) 2. اربط كل تذكرة مشبوهه بoperation او network connect في نفس الفترة 3. راجع اي تغييرات في SPN ownership او passwords resets او replication events غير متوقعه ━━━━━━━━━━━━━━ تكمله👇👇

0

Kerberos attacks في Active Directory كشف متقدم و تحقيق فورنسيك عملي remediation و hardening شامل ━━━━━━━━━━━━━━ مقدمه عامه وهدف المنشور الهدف اعطاء الفريق مرجع عملي متكامل يقدر يشتغل منو على ارض الواقع لو ظهر لو مؤشر Kerberos مش طبيعي هتلاقي هنا طرق جمع telemetry قواعد SIEM تقبل للتطبيق خطوات جمع الادله الامنه تحليل التذاكر playbook استجابه كامله و اجراءات hardening تنفيذيه وعملية كل حاجه مش نظريه ━━━━━━━━━━━━━━ المفاهيم الاساسيه الي لازم تكون عارفها قبل الدخول في التفاصيل Kerberos في AD بيعتمد على خدمه KDC (Domain Controllers) وصيغه التذاكر: TGT (Ticket Granting Ticket) و TGS (Ticket Granting Service)

SPN = Service Principal Name

مرتبط بحساب خدمه (service account) في AD اي SPN يعني حساب لي قدره يحصل على تذكره للخدمه دي

Preauthentication

شرح بسيط لو الحساب مفعل علي preauth يبقا لازم يقدم دليل اثناء طلب TGT لو مش مفعل يبقا ممكن AS-REP roasting

krbtgt account

المفتاح السري اللي بيوقع تذاكر TGT التحكم في هاش krbtgt = طريقه عمل Golden Tickets

DCSync

سلوك يمكن ان يطلب من DC نسخ بيانات الدليل لو الحساب عنده حقوق replication ━━━━━━━━━━━━━━ الجزء الاول تجهيز البيئه و الbaseline telemetry قبل اي كشف لازم تعمل baseline مظبوط من غير baseline اي انذار هيكون noisy وهيرجعلك false positives تفاصيل عمليه

1. تحديد الـ collectors وتهيئتها

• شغل Windows Event Forwarding او agent في كل الـDCs و endpoints المهمه • فعل Kerberos Operational log على كل DC Applications and Services Logs -> Microsoft -> Windows -> Kerberos-Key-Distribution-Center • شغل Sysmon على الحواسيب الحيويه وحط config جامع ProcessCreate, NetworkConnect, ImageLoaded, EventID for PipeCreate/NamedPipe, FileCreate • جمع DNS logs وNetflow او Zeek logs عشان تربط طلبات التذاكر بحركه الشبكه

2. فتره baseline

• اجمع بيانات 14 يوم على الاقل لو ممكن • احسب متوسط عدد طلبات 4769 لكل account و لكل host • احسب توزيع انواع EncryptionType المستخدمه في التذاكر داخل الشبكه

3. enrichment feeds

asset inventory (مين صاحب كل SPN SPN -> owner) account classification (service account, admin, machine account, user) whitelist of normal automation accounts و scheduled tasks اللي بتطلب تذاكر بشكل متكرر ━━━━━━━━━━━━━━ الجزء التاني قواعد كشف متقدمه (SIEM playbooks) هنا هديك قواعد تقبل التطبيق تقبل التعديل على Splunk/Elastic/ Sentinel كـpseudo code مع تفسير عملي و تعمل وقت الانذار كشف 1 spik في طلبات TGS من نفس الحساب او نفس الجهاز (Kerberoast candidate) فكره القاعده لو نفس الحساب طلب تذاكر لكتير SPNs في فتره صغيره ده استعداد لجمع تذاكر لكسر الباسورد او افعي kerberoast pseudo query

index=wineventlog EventCode=4769
| stats count by AccountName, src_host, ServiceName, EncryptionType, _time_window=1h
| where count > THRESHOLD

شرح التنفيذ • Threshold يبقى ديناميكي مثلا لو المتوسط 2 في الساعه خلي threshold = avg*10 او حد ثابت 50 حسب حجم الدومين • لما يتفعل الانذار attach context = last 24h list of SPNs requested و src_host owner و owner of account المتهم

اجراء فوري

حط الحساب في readable alert list وابدأ gathering logs لل30 دقيقه قبل و بعد الاكتشاف ابعت asset owner و اطلب تعليق مؤقت لجلسات اذا الincident واضح كشف 2 طلبات TGS بتشفير RC4 بكثافه (weak cipher usage) فكره ظهور RC4 (encryption type rc4-hmac) بشكل متزايد ممكن يدل على نقاط ضعف ارثيه او محطات قديمه مهاجم ممكن يستهدف تذاكر RC4 لان كسرها اسهل pseudo query

index=wineventlog EventCode=4769 EncryptionType="0x17" OR EncryptionType="RC4"
| stats count by AccountName, ServiceName, src_host
| where count > MIN_RC4_THRESHOLD

اجراء اعمل inventory للحواسيب اللي بتستخدم RC4 و ابدا تحديث للclients و servers لتدعم AES only كشف 3 AS-REP roasting candidate detection حسابات منغير preauth بتظهر كـaccounts vulnerable كشف اي محاولات 4768 ضد الحسابات يعتبر تحذير pseudo

index=wineventlog EventCode=4768
| lookup accounts_no_preauth AccountName OUTPUT AccountType
| where isnotnull(AccountType)
| stats count by AccountName, src_host
| where count > 0

اجراء ابدا list review للحسابات اللي flagged وforce enable preauth و force password rotate لو مناسب ━━━━━━━━━━━━━━━━━━ تكمله 👇👇

0

Repost from N/a

دقائق واحذف لا يفوتكم 👆 🔥☄️

0

Repost from N/a

🔖 قائمة قنوات تكنولوجية✅ 🔖 مجموعة مختارة من قنوات التليجرام المتخصصة في: 💻 البرمجة | 🛡 الأمن السيبراني | 🌐 الشبكات | 🧠 الذكاء الاصطناعي | 🖥 أنظمة التشغيل 📎 تصفّح القنوات من هنا:

⭐https://t.me/addlist/X19g-c2waEY0NTJk ⭐https://t.me/addlist/X19g-c2waEY0NTJk

💡 هل تود إضافة قناتك؟ تواصل معنا: @MASTER_0_X 👥 يشترط أن تكون القناة تقنية وبها أكثر من 500 عضو

0

عزل الاجهزه المشبوهه من الشبكه واحتفظ بنسخ من الlogs لو الاشتباه golden ticket قوي اعمل اجتماع طوارئ مع اداره الهويه لان ممكن يتطلب تدوير krbtgt الخطوه 4 remediation تغيير كلمات سر للحسابات المتعرضه وبالاخص حسابات الخدمات اللي كان ليها SPN تقييد صلاحيات accounts اللي طلبت SPNs كتير مراجعة group membership و ACLs اللي بتدي قدرات replication او reset password الخطوه — post mortem و hardening نفذ القواعد التالية فورا preauth mandatory لكل الحسابات الغير مخصصه و استخدام gMSA للحسابات الخدميه،. و تفعل MFA لحسابات الادمن كلما امكن ضيف detections جديده في SIEM بالـsignatures اللي وجدناها اعمل drill للتجربه كل 3 شهور للتاكد من فعاليه الاستجابه ━━━━━━━━━━━━━━━━━━ الجزء التاسع اكواد وامثله جمع بيانات امنه (PowerShell و Windows) قابله للتنفيذ دي اوامر جمع امنه بتحصل بيها على ادله وتفاصيل من DC وendpoint نفذها جلب احدث 5000 حدث من Security log في DC

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4768,4769,4624; StartTime=(Get-Date).AddHours(-6)} -MaxEvents 5000 | Export-CliXml security_events.xml

استخراج tickets الحاليه على جهاز (klist)

klist sessions
klist tickets

جيب process tree من جهاز عن طريق Sysmon logs (باستخدام ELK or Splunk query) (Pseudo) Splunk

index=sysmon EventCode=1 host=WORKSTATION | table _time, ProcessGuid, ParentImage, Image, CommandLine, User

افحص لو في حسابات منغير preauth في AD (اداره)

Import-Module ActiveDirectory
Get-ADUser -Filter {PasswordNeverExpires -eq $false} -Properties userAccountControl,msDS-User-Account-Control | Where-Object {($_.userAccountControl -band 4194304) -ne 0}

ملاحظه الflag للقيم ممكن تختلف حسب البيئه ━━━━━━━━━━━━━━━━━━ الجزء العاشر قائمه اجرائيه سريعه و قابله للتنفيذ للفريق (checklist) 1. فور انذار Kerberoast جمع 4769 logs اخر 6 ساعات تحديد SPNs المستهدفه و اصحاب الحسابات مطالبه بتغيير كلمة السر للحسابات الخدميه المهمه اذا مطلوب 2. فور اشباه Pass the Ticket انهي sessions مش طبيعيه و اطفي الاتصالات المفتوحه التاكد من مصدر التذاكر ومقارنتها مع DC logs 3. لو الاشتباه Golden Ticket قوي عقد اجتماع طوارئ مع مالك AD و حط خطه تدوير krbtgt مع vendor guidance 4. دايما اعمل snapshot للـVMs قبل اي remediation جذريه توثيق كل خطوه و ادراج الادله hashes ━━━━━━━━━━━━━━━━━━ ● الــمــصــدر ●