SANS SEC503

• مفاهیم TCP/IP
  • چرا درک هدرهای بسته‌ها و داده‌ها ضروری است؟
  • مدل ارتباطات TCP/IP
  • کپسوله‌سازی/دکپسوله‌سازی داده‌ها
  • بیت‌ها، بایت‌ها، باینری و هگزادسیمال

• مقدمه‌ای بر وایرشارک
  • ناوبری در وایرشارک
  • پروفایل‌های وایرشارک
  • بررسی گزینه‌های آماری در وایرشارک
  • بازسازی جریان داده‌ها
  • یافتن محتوا در بسته‌ها

• لایه ۲ : لایه دسترسی شبکه/لایه پیوند
  • مقدمه‌ای بر لایه پیوند
  • پروتکل رزولوشن آدرس (ARP)
  • حملات و دفاع‌های لایه 2

• لایه 3 : لایه IPV4  - IP

• • بررسی فیلدها در نظریه و عمل
  • چکسام‌ها و اهمیت آن‌ها، به‌ویژه برای نظارت بر شبکه و دور زدن
  • تکه‌تکه شدن: فیلدهای هدر IP مرتبط با تکه‌تکه شدن، ترکیب تکه‌ها، حملات تکه‌تکه‌سازی مدرن

• پردازش خط فرمان UNIX
  • پردازش بسته‌ها به‌صورت کارآمد
  • پارس کردن و تجمیع داده‌ها برای پاسخ به سوالات و تحقیق در مورد یک شبکه
  • استفاده از عبارات منظم برای تحلیل سریع‌تر

• فیلترهای نمایش در وایرشارک
  • بررسی برخی از روش‌های مختلفی که وایرشارک برای ایجاد فیلترهای نمایش فراهم می‌کند.
  • ترکیب‌بندی فیلترهای نمایش
• نحوه نوشتن فیلترهای BPF
  • فراگیری BPF و کاربرد فیلترها
  • فرمت فیلترهای BPF
  • استفاده از بیت‌ماسکینگ

• TCP
  • بررسی فیلدها در تئوری و عمل
  • تحلیل بسته‌ها
  • بررسی چکسام‌ها
  • تحریک و پاسخ عادی و غیرعادی TCP
  • اهمیت بازترکیبی TCP برای سیستم‌های شناسایی و جلوگیری از نفوذ (IDS/IPS)
• UDP
  • بررسی فیلدها در تئوری و عمل
  • تحریک و پاسخUPD
• ICMP
  • بررسی فیلدها در تئوری و عمل
  • مواقعی که پیام‌های ICMP نباید ارسال شوند
  • استفاده در نقشه‌برداری و شناسایی
  • ICMP عادی
  • ICMP مخرب
• IP6
  • اصول پایه
  • بهبودهای نسبت به IP6
  • پروتکل‌های مالتی‌کست و نحوه استفاده آنها توسط IP6
  • تهدیدهایIP6
• کاربرد واقعی : تحقیق در شبکه
  • چه کسانی بیشترین ارتباطات را دارند؟
  • مردم به چه چیزی متصل می‌شوند؟
  • چه سرویس‌هایی در شبکه ما فعال هستند؟
  • چه نوع ترافیک شرق-غرب در شبکه حضور دارد؟

•  Wireshark پیشرفته :

استخراج اشیاء وب و سایر اشیاء پشتیبانی‌شده : نحوه استخراج محتوای وب و دیگر داده‌های پشتیبانی شده از بسته‌های شبکه.

استخراج محتوای برنامه دلخواه : استخراج داده‌ها از برنامه‌های مختلف بر اساس تجزیه و تحلیل بسته‌ها.

تحقیق در مورد یک حادثه با :  Wireshark استفاده از Wireshark برای بررسی یک حمله یا نفوذ به شبکه.

کاربردهای عملی Wireshark برای تحلیل فعالیت پروتکل : SMB تحلیل پروتکل SMB با استفاده از

Wireshark برای شناسایی فعالیت‌های غیرعادی.

• Tshark  : یک نسخه خط فرمانی از Wireshark که برای ضبط و تجزیه و تحلیل بسته‌ها استفاده می‌شود.

• معرفی به Snort/Suricata  :

پیکربندی ابزارها و لاگ‌برداری اولیه : تنظیمات اولیه و ثبت لاگ‌ها.

نوشتن قوانین ساده : نحوه نوشتن قوانین پایه برای تشخیص تهدیدات.

استفاده از گزینه‌های رایج : استفاده از امکانات متداول این ابزارها.

موثر Snort/Suricata : نوشتن قوانین پیشرفته‌تر برای شناسایی تهدیدات در شبکه‌های بزرگ.

نحوه نوشتن قوانین انعطاف‌پذیر: ایجاد قوانینی که به راحتی قابل دور زدن نباشند.

Snort/Suricata به صورت "Choose Your Own Adventure" : تمرین‌های عملی متنوع که به شما اجازه

می‌دهند تا مسیر یادگیری خود را انتخاب کنید.

تحلیل تکاملی یک اکسپلویت : نوشتن قوانین برای تشخیص تمام اشکال یک حمله.

کاربرد Snort/Suricata در پروتکل‌های لایه کاربردی : نوشتن قوانین برای شناسایی فعالیت‌های مشکوک در

پروتکل‌های لایه کاربردی.

• DNS :
  

معماری و عملکرد DNS : نحوه عملکرد سیستم نام دامنه.

DNSSEC : امنیت سیستم نام دامنه و نحوه حفاظت در برابر حملات.

پیشرفت‌های مدرن در DNS: مانند EDNS که ظرفیت پروتکل را افزایش می‌دهد.

DNS مخرب: شناسایی تهدیدات مانند cache poisoning .

ایجاد قوانین برای شناسایی فعالیت‌های تهدید‌آمیز DNS.

• پروتکل‌های مایکروسافت :

SMB/CIFS : چالش‌های شناسایی در این پروتکل‌ها.

کاربرد Wireshark برای تحلیل این پروتکل‌ها.

•  HTTPمدرن :

فرمت پروتکل : نحوه ساختار پروتکل HTTP .

چالش‌های تشخیص : تغییرات پروتکل و چالش‌های شناسایی ترافیک مشکوک.

تغییرات با HTTP2 و : HTTP3 بررسی تفاوت‌ها و بهبودهای پروتکل.

• نحوه تحقیق در مورد یک پروتکل :

استفاده از QUIC به عنوان مطالعه موردی : تحلیل پروتکل QUIC و تفاوت‌های آن با نسخه‌های مختلف.

برنامه‌ریزی کاربردی : شناسایی داده‌های غیرعادی در حجم زیادی از داده‌ها و استخراج رکوردهای مرتبط.

این دوره‌ها و موضوعات به متخصصان امنیت شبکه کمک می‌کند تا مهارت‌های خود را در زمینه تحلیل ترافیک

و شناسایی تهدیدات بهبود دهند.

• معماری شبکه :
  

تجهیز شبکه برای جمع‌آوری ترافیک

تجهیز شبکه به منظور جمع‌آوری ترافیک به معنای استفاده از ابزارها و روش‌های مختلف برای شناسایی، ضبط و تحلیل ترافیک داده‌ها است. این فرآیند معمولاً شامل نصب حسگرهای شبکه و سیستم‌های پایش در نقاط حیاتی شبکه می‌شود تا بتوان ترافیک مشکوک و تهدیدات احتمالی را شناسایی کرد.

• راهبردهای استقرار مانیتورینگ شبکه و شناسایی تهدیدات :
  

روش‌های مختلفی برای استقرار سیستم‌های مانیتورینگ شبکه وجود دارد که بسته به ساختار و نیازهای شبکه، می‌توان از آن‌ها بهره گرفت. استقرار در نقاط اصلی شبکه، استفاده از سیستم‌های هوشمند و توزیع‌شده و همچنین ترکیب این سیستم‌ها با دیگر ابزارهای امنیتی، به شناسایی تهدیدات کمک می‌کند.

• سخت‌افزار برای ضبط ترافیک :
  

سخت‌افزارهای مختلفی برای ضبط ترافیک شبکه مورد استفاده قرار می‌گیرند، از جمله دستگاه‌های ضبط‌کننده ترافیک (Network Taps)، سوئیچ‌های با قابلیت ارسال نسخه‌ای از ترافیک به سیستم‌های مانیتورینگ (Port Mirroring) و همچنین دستگاه‌های خاص مانند Packet Brokers که توانایی مدیریت و فیلتر ترافیک را دارند.

• مقدمه‌ای بر مانیتورینگ شبکه در مقیاس بزرگ :
  

کارکرد ابزارهای مانیتورینگ شبکه

ابزارهای مانیتورینگ شبکه برای شناسایی و تحلیل ترافیک، پایش امنیت و همچنین ارزیابی کارایی شبکه مورد استفاده قرار می‌گیرند. این ابزارها می‌توانند با تحلیل ترافیک داده‌ها، الگوهای مشکوک را شناسایی کنند.

• نقش تحلیل‌گر در شناسایی تهدیدات :
  

تحلیل‌گر امنیت شبکه نقش اساسی در فرآیند شناسایی تهدیدات دارد. وظیفه او این است که با استفاده از ابزارهای مانیتورینگ، داده‌ها را تحلیل کرده و نشانه‌های بالقوه از حملات یا تهدیدات امنیتی را شناسایی کند.

• فرآیند تحلیل داده‌ها :
  

فرآیند تحلیل داده‌ها شامل جمع‌آوری داده‌های شبکه، پیش‌پردازش آن‌ها، شناسایی الگوها و تحلیل تهدیدات است. این فرآیند می‌تواند شامل استفاده از الگوریتم‌های هوش مصنوعی و یادگیری ماشین برای شناسایی الگوهای پیچیده‌تر باشد.

• Zeek :
  
  • مقدمه‌ای بر Zeek

Zeek (که قبلاً به نام Bro شناخته می‌شد) یک ابزار قدرتمند برای مانیتورینگ و تحلیل ترافیک شبکه است. این ابزار امکان جمع‌آوری، تجزیه و تحلیل و ذخیره‌سازی داده‌های ترافیک شبکه را فراهم می‌کند و برای شناسایی تهدیدات امنیتی به کار می‌رود.

• • حالت‌های عملیاتی Zeek

Zeek می‌تواند در حالت‌های مختلف عملیاتی کار کند، از جمله مانیتورینگ آنلاین ترافیک زنده و تحلیل آفلاین فایل‌های ضبط‌شده‌ی ترافیک.

• • لاگ‌های خروجی Zeek و نحوه استفاده از آن‌ها

Zeek خروجی‌های متنوعی را به شکل لاگ فایل‌ها ارائه می‌دهد که شامل اطلاعات دقیقی از ترافیک شبکه است. تحلیل‌گر می‌تواند با استفاده از این لاگ‌ها تهدیدات احتمالی را شناسایی کند.

• • تحلیل تهدیدات عملی و مدل‌سازی تهدید

Zeek ابزارهای لازم برای تحلیل تهدیدات عملی و مدل‌سازی رفتارهای مشکوک در شبکه را فراهم می‌آورد.

• • برنامه‌نویسی با Zeek

با استفاده از زبان برنامه‌نویسی Zeek، تحلیل‌گران می‌توانند اسکریپت‌هایی برای تحلیل خاص رفتارهای شبکه بنویسند.

• • استفاده از Zeek برای مانیتورینگ و همبستگی رفتارهای مرتبط

Zeek توانایی همبستگی و تحلیل رفتارهای مرتبط در شبکه را دارد و می‌تواند به شناسایی تهدیدات پیچیده کمک کند.

• Scapy :
  
  • ایجاد و تحلیل بسته‌های داده با Scapy

Scapy یک ابزار قدرتمند برای ساخت، ارسال و تحلیل بسته‌های شبکه است. این ابزار می‌تواند بسته‌های سفارشی را ایجاد کرده و به شبکه ارسال کند و همچنین بسته‌های دریافت‌شده از شبکه را تحلیل کند.

• • نوشتن بسته‌ها به شبکه یا فایل pcap

با Scapy می‌توان بسته‌های شبکه را به‌صورت زنده به شبکه ارسال کرد یا آن‌ها را به‌صورت فایل pcap ذخیره کرد.

• • خواندن بسته‌ها از شبکه یا فایل pcap

Scapy همچنین قابلیت خواندن و تحلیل بسته‌ها از فایل‌های pcap را فراهم می‌کند.

• • کاربردهای عملی Scapy برای تحلیل شبکه و دفاع از شبکه

Scapy ابزاری مفید برای تحلیل‌گران شبکه و متخصصان امنیت شبکه است که از آن برای آزمایش و تحلیل تهدیدات استفاده می‌کنند.

• تئوری گریز از IDS/IPS  :
  
  • نظریه و پیامدهای گریز در لایه‌های مختلف پروتکل

نظریه گریز به استراتژی‌های مختلف برای دور زدن سیستم‌های شناسایی و پیشگیری از نفوذ (IDS/IPS) در لایه‌های مختلف پروتکل اشاره دارد. مهاجمان می‌توانند با استفاده از تکنیک‌های خاص، این سیستم‌ها را دور بزنند.

• • نمونه‌ای از تکنیک‌های گریز

تکنیک‌های مختلفی برای گریز از IDS/IPS وجود دارد که می‌تواند شامل تغییر در ترتیب بسته‌ها، استفاده از پروتکل‌های کمتر شناخته‌شده یا تزریق داده‌های جعلی باشد.

• • ضرورت شناسایی مبتنی بر هدف

شناسایی مبتنی بر هدف رویکردی است که سیستم‌های شناسایی را به‌صورت خاص برای تهدیدات خاص تنظیم می‌کند تا از گریز آن‌ها جلوگیری شود.

• • گریز از شناسایی تهدیدات روز صفر

یکی از چالش‌های بزرگ در امنیت سایبری، شناسایی تهدیدات روز صفر است که می‌تواند شامل تکنیک‌های پیشرفته‌ای برای گریز از سیستم‌های مانیتورینگ باشد.

• استفاده از سوابق جریان شبکه
  • تحلیل متاداده‌های NetFlow و IPFIX
  • استفاده از SiLK برای پیدا کردن رویدادهای مهم
  • شناسایی حرکت‌های جانبی از طریق داده‌های NetFlow
  • ساخت پرس‌وجوهای سفارشی NetFlow
• شکار تهدید و تجسم‌سازی
  • رویکردهای مختلف برای انجام شکار تهدیدات شبکه در مقیاس سازمانی
  • تمریناتی که شامل رویکردهای تجسم رفتارهای شبکه برای شناسایی ناهنجاری‌هاست
  • کاربردهای علوم داده برای بهینه‌سازی عملیات امنیتی و انجام شکار تهدیدات
  • آزمایش یک سیستم مبتنی بر هوش مصنوعی برای شناسایی ناهنجاری‌های پروتکل شبکه در یک شبکه محافظت‌شده
• مقدمه‌ای بر تحلیل جرم‌شناسی شبکه
  • نظریه تحلیل جرم‌شناسی شبکه
  • مراحل بهره‌برداری
  • تحلیل داده‌محور در مقابل تحلیل هشدارمحور
  • تجسم‌سازی بر اساس فرضیه‌