آموزش تیم ارغوانی تک‌نفره (Solo Purple Teaming) - آخرین آپدیت

سرفصل ها و درس ها

مقدمه Introduction

• معرفی دوره Course Introduction

• تیم ارغوانی تک‌نفره Solo Purple Teaming

• سناریوی اول Scenario One

طراحی تیم قرمز برای سطح صفر Red Team Layout For Level 0

• طراحی تیم قرمز > راه‌اندازی اولیه آزمایشگاه Red Team Layout -> Initial Lab Setup

• طراحی تیم قرمز > انتخاب فریم‌ورک C2 Red Team Layout -> Choosing C2 Framework

• طراحی تیم قرمز > شل معکوس پاورشل بدون دتکتور Red Team Layout -> PowerShell Reverse Shell Without Defender

• طراحی تیم قرمز > تعیین علت ریشه‌ای Red Team Layout -> Determining Root Cause

• طراحی تیم قرمز > AMSI چیست؟ Red Team Layout -> What is AMSI?

• طراحی تیم قرمز > دور زدن AMSI با استفاده از x64dbg Red Team Layout -> ByPass AMSI Using x64dbg

• طراحی تیم قرمز > وقتی پچ کردن طبق برنامه پیش نمی‌رود Red Team Layout -> When Patching Doesn't Go As Planned

• طراحی تیم قرمز > آشنایی با Managed Code و اسمبلی‌های .NET Red Team Layout -> Introduction to Managed Code and .NET Assemblies

• طراحی تیم قرمز > دور زدن کامل AMSI Red Team Layout -> Full AMSI ByPass

• طراحی تیم قرمز > یک هشدار و یک چالش Red Team Layout - A Warning and a Challenge

• طراحی تیم قرمز > نصب فریم‌ورک Mythic C2 Red Team Layout - Installing Mythic C2 Framework

• طراحی تیم قرمز > نصب Apollo Agent و پروفایل‌های C2 Red Team Layout - Installing Apollo Agent and a Couple C2 Profiles

• طراحی تیم قرمز > آشنایی با Reflection Red Team Layout -> Introduction to Reflection

• طراحی تیم قرمز > آماده‌سازی Apollo برای Reflection Red Team Layout -> Prepping Apollo for Reflection

• طراحی تیم قرمز > آشنایی با آنتی‌ویروس (AV) Red Team Layout -> Introduction to AV

• طراحی تیم قرمز > دور زدن شناسایی‌های مبتنی بر امضا Red Team Layout -> Bypassing Signature-Based Detections

• طراحی تیم قرمز > انتقال Apollo سفارشی به سرور Mythic Red Team Layout -> Moving Custom Apollo to Mythic Server

راه‌اندازی آزمایشگاه برای سطح صفر Lab Setup For Level 0

• راه‌اندازی آزمایشگاه: طرح کلی مسیر حمله سطح صفر Lab Setup for Level 0 Attack Path Outline

• راه‌اندازی آزمایشگاه: پیکربندی تجهیزات Edge Lab Setup for Level 0 Attack Path - Setting Up Edge Appliances

• راه‌اندازی آزمایشگاه: انتقال Kali به شبکه حمله (Attack LAN) Lab Setup for Level 0 Attack Path - Moving Kali to Attack LAN

• راه‌اندازی آزمایشگاه: تنظیم قوانین فایروال برای شبکه حمله Lab Setup for Level 0 Attack Path - Configuring Firewall Rules for Attack LAN

• راه‌اندازی آزمایشگاه: راه‌اندازی میزبان نفوذ شده (Assumed Breach) Lab Setup for Level 0 Attack Path - Setting Up Assumed Breach Host

• راه‌اندازی آزمایشگاه: تست Apollo روی میزبان نفوذ شده Lab Setup for Level 0 Attack Path - Testing Apollo on Assumed Breach Host

• راه‌اندازی آزمایشگاه: راه‌اندازی تجهیز Edge شرکت ECORP Lab Setup for Level 0 Attack Path - Setting Up ECORP Edge Appliance

• راه‌اندازی آزمایشگاه: راه‌اندازی دامین و DC شرکت ECORP Lab Setup for Level 0 Attack Path - Setting Up ECORP Domain and DC

• راه‌اندازی آزمایشگاه: عضو کردن میزبان نفوذ شده به دامین ECOIN Lab Setup for Level 0 Attack Path - Joining Assumed Breach Host to ECOIN Domain

• راه‌اندازی آزمایشگاه: ایجاد حساب سرویس و سرویس مربوطه Lab Setup for Level 0 Attack Path - Creating Service Account and Service

عملیات تیم قرمز برای سطح صفر Red Team Engage For Level 0

• عملیات تیم قرمز > بررسی مسیر حمله سطح صفر Red Team Engage - Review Attack Path Level 0

• عملیات تیم قرمز > آشنایی با رابط کاربری Mythic Red Team Engage - Introduction to Mythic UI

• عملیات تیم قرمز > تنظیمات کاربر Mythic Red Team Engage - Mythic User Settings

• عملیات تیم قرمز > ایجاد عملیات برای مسیر حمله سطح صفر Red Team Engage - Create Operation for Level 0 Attack Path

• عملیات تیم قرمز > تولید پیلود برای حمله سطح صفر Red Team Engage - Generate Payload for Attack Level 0

• عملیات تیم قرمز > ایجاد جایگاه (Foothold) در ECOIN Red Team Engage - Establish Foothold In ECOIN

• عملیات تیم قرمز > رابط کاربری Callbackهای Mythic Red Team Engage- Mythic Callbacks UI

• عملیات تیم قرمز > تسک‌گذاری در Mythic Red Team Engage - Mythic Tasking

• عملیات تیم قرمز > شناسایی (Enumeration) Red Team Engage - Enumeration

• عملیات تیم قرمز > افزایش سطح دسترسی Red Team Engage- Privilege Escalation

راه‌اندازی آزمایشگاه برای فعالیت‌های تیم آبی Lab Setup For Blue Team Activities

• راه‌اندازی آزمایشگاه تیم آبی > راه‌اندازی دستگاه Edge AllSafe Lab Setup For Blue Team Activities - Setting Up The AllSafe Edge Device

• راه‌اندازی آزمایشگاه تیم آبی > راه‌اندازی سرور Wazuh Lab Setup For Blue Team Activities - Setting Up Wazuh Server

• راه‌اندازی آزمایشگاه تیم آبی > فوروارد کردن پورت به سرور Wazuh Lab Setup For Blue Team Activities - Port Forwarding to Wazuh Server

• راه‌اندازی آزمایشگاه تیم آبی > نصب Agent وazu بر روی میزبان نفوذ شده Lab Setup For Blue Team Activities - Installing Wazuh Agent on Assumed Breach

• راه‌اندازی آزمایشگاه تیم آبی > نصب Sysmon بر روی میزبان نفوذ شده Lab Setup For Blue Team Activities - Installing Sysmon on Assumed Breach

• راه‌اندازی آزمایشگاه تیم آبی > پیکربندی Wazuh برای Defender و Sysmon Lab Setup For Blue Team Activities - Configuring Wazuh for Defender and Sysmon

• راه‌اندازی آزمایشگاه تیم آبی > ارسال رویدادهای Syslog از ECOIN Edge Lab Setup For Blue Team Activities - Sending Syslog Events From ECOIN Edge

مبانی مهندسی شناسایی (Detection Engineering 101) Detection Engineering 101

• مهندسی شناسایی چیست؟ What is Detection Engineering?

• هرم درد (Pyramid of Pain) Pyramid of Pain

• تعادل بین دقت (Accuracy) در برابر پوشش (Coverage) Balancing Accuracy VS Coverage

• تعادل بین تله‌متری در برابر عملکرد (Performance) Balancing Telemetry VS Performance

اکتشاف تیم آبی برای سطح صفر Blue Team Explore For Level 0

• اکتشاف تیم آبی > فرصت‌های شناسایی Blue Team Explore - Detection Opportunities

• اکتشاف تیم آبی > رویدادهای Sysmon: ID 1 (ایجاد پروسه) و ID 3 (اتصال شبکه) Blue Team Explore - Sysmon ProcessCreate Event ID 1 & NetworkConnect Event ID 3

• اکتشاف تیم آبی > رویداد Sysmon: ID 7 (بارگذاری ایمیج) Blue Team Explore - Sysmon ImageLoad Event ID 7

• اکتشاف تیم آبی > رویداد Sysmon: ID 11 (ایجاد فایل) Blue Team Explore - Sysmon FileCreate Event ID 11

• اکتشاف تیم آبی > لاگ‌گیری ScriptBlock در پاورشل Blue Team Explore - PowerShell ScriptBlock Logging

ردیابی تیم آبی برای سطح صفر Blue Team Trace For Level 0

• ردیابی تیم آبی > تنظیم Wazuh برای فعالیت‌های ردیابی Blue Team Trace - Setting Up Wazuh for Trace Activities

• ردیابی تیم آبی > ساخت قانون سفارشی برای بارگذاری ایمیج‌های بدون امضا Blue Team Trace - Build Custom Rule for Unsigned ImageLoads

• ردیابی تیم آبی > ساخت قانون سفارشی برای اتصال شبکه به پورت‌های رایج C2 Blue Team Trace - Build Custom Rule for Network Connect to Common C2 Port

• ردیابی تیم آبی > ساخت قانون همبستگی (Correlation Rule) سفارشی Blue Team Trace - Build Custom Correlation Rule

• ردیابی تیم آبی > ساخت موتور همبستگی پیشرفته - بخش اول Blue Team Trace - Building Advanced Correlation Engine - Part 1

• ردیابی تیم آبی > ساخت موتور همبستگی پیشرفته - بخش دوم Blue Team Trace - Building Advanced Correlation Engine - Part 2

• ردیابی تیم آبی > ساخت موتور همبستگی پیشرفته - بخش سوم Blue Team Trace - Building Advanced Correlation Engine - Part 3

• ردیابی تیم آبی > ساخت موتور همبستگی پیشرفته - بخش چهارم Blue Team Trace - Building Advanced Correlation Engine - Part 4

• ردیابی تیم آبی > شکار IOCهای پاورشل و ساخت شناسایی‌ها Blue Team Trace - Hunting For PowerShell IOCs and Building Detections

• ردیابی تیم آبی > ایجاد قانون سفارشی برای Reflection در پاورشل Blue Team Trace - Creating Custom Rule for PowerShell Reflection

• ردیابی تیم آبی > بهبود داشبورد شناسایی تیم ارغوانی تک‌نفره Blue Team Trace - Improving Solo Purple Teaming Detection Dashboard

بازگشت به عملیات تیم قرمز برای سطح صفر Red Team Re-Engage For Level 0

• بازگشت به عملیات تیم قرمز > تست تمامی شناسایی‌ها Red Team Re-Engage For Level - Testing All Detections

طراحی تیم قرمز برای سطح یک: دور زدن شناسایی‌های سطح صفر Red Team Layout For Level One - Bypassing New Level 0 Detections

• طراحی تیم قرمز > استفاده از Threat Intel برای تدوین مسیر حمله بعدی Red Team Layout - Using Threat Intel to Formulate Next Attack Path

• طراحی تیم قرمز > مسیر حمله سطح یک Red Team Layout - Attack Path Level 1

• طراحی تیم قرمز > استفاده از Run Box برای دور زدن بارگذاری ایمیج‌های بدون امضا از Downloads Red Team Layout - Using Run Box to Bypass UnSigned ImageLoads From Downloads

• طراحی تیم قرمز > استفاده از Application Domain برای دور زدن شناسایی Reflection Red Team Layout - Using Application Domain to Bypass Reflection Detection

• طراحی تیم قرمز > نوشتن ابزار شناسایی سرویس‌ها - بخش اول Red Team Layout - Writing A Service Enumeration Tool - Part 1

• طراحی تیم قرمز > نوشتن ابزار شناسایی سرویس‌ها - بخش دوم Red Team Layout - Writing A Service Enumeration Tool - Part 2

• طراحی تیم قرمز > نوشتن ابزار شناسایی سرویس‌ها - بخش سوم Red Team Layout - Writing A Service Enumeration Tool - Part 3

• طراحی تیم قرمز > نوشتن ابزار شناسایی سرویس‌ها - بخش چهارم Red Team Layout - Writing A Service Enumeration Tool - Part 4

• طراحی تیم قرمز > تست دور زدن شناسایی سرویس‌ها Red Team Layout - Testing Service Enumeration Bypass

راه‌اندازی آزمایشگاه مسیر حمله سطح یک Attack Path Level 1 Lab Setup

• افزودن svc_ecoin_sync به مدیران دامین (Domain Admins) Adding svc_ecoin_sync to Domain Admins

عملیات تیم قرمز برای سطح یک Red Team Engage For Level 1

• عملیات تیم قرمز > دسترسی اولیه Red Team Engage - Initial Access

• عملیات تیم قرمز > افزایش سطح دسترسی Red Team Engage - Privilege Escalation

• عملیات تیم قرمز > حرکت عرضی (Lateral Movement) Red Team Engage - Lateral Movement

اکتشاف تیم آبی برای سطح یک: تحلیل دور زدن‌های شناسایی Blue Team Explore For Level 1 - Analyze Detection Bypasses

• اکتشاف تیم آبی > چه انتظاری داشته باشیم؟ Blue Team Explore - What to Expect

• اکتشاف تیم آبی > یادگیری درباره execute_assembly، تزریق پروسه و IPC Blue Team Explore - Learning About execute_assembly, Process Injection, and IPC

• اکتشاف تیم آبی > فعال‌سازی رویدادهای Sysmon شماره ۱۰، ۱۷ و ۱۸ Blue Team Explore - Enabling Sysmon Event IDs 10, 17 & 18

• اکتشاف تیم آبی > شکار نشانه‌های execute_assembly Blue Team Explore: Hunting For Indications of execute_assembly

• اکتشاف تیم آبی > فعال‌سازی رویدادهای Sysmon شماره ۱۲، ۱۳ و ۱۴ Blue Team Explore - Enabling Sysmon Event IDs 12, 13 & 14

• اکتشاف تیم آبی > شکار اجرای دسترسی‌های اولیه Blue Team Explore - Hunting For Initial Access Execution

ردیابی تیم آبی برای سطح یک: ساخت شناسایی برای دور زدن‌ها Blue Team Trace For Level 1 - Build Detections for Bypasses

• ردیابی تیم آبی > مهندسی معکوس Execute Assembly و سفارشی‌سازی Mythic Blue Team Trace - Reversing Execute Assembly and Customizing Mythic

• ردیابی تیم آبی > استخراج پیلود Blue Team Trace - Extracting Payload

• ردیابی تیم آبی > تحلیل پایه بدافزار Blue Team Trace - Basic Malware Analysis

• ساخت شناسایی برای IWR و RunMRU Build Detection For IWR and RunMRU

جمع‌بندی نهایی Final Thoughts

• جمع‌بندی نهایی Final Thoughts