رصد و تحلیل رفتار واقعی سرویس‌ها در سطح هسته لینوکس (Linux Kernel)، مستندسازی «رفتار استاندارد» پس از تأیید کارشناسان سازمان و ثبت هشدار صرفاً هنگام وقوع انحراف واقعی؛ بدون نیاز به تغییر کد و بدون خروج داده از سازمان. Thetaban observes what your services actually do at the Linux kernel level, turns “normal behavior” into a written reference your own engineers approve, and speaks up only when something genuinely deviates from it. No code changes, and no data ever leaves your organization.
انتساب هم‌زمان رویدادها به یک زنجیره واحد و ارائه تحلیلی یکپارچه: فراخوانی کلید و خروج آن از یک مسیر مشخص. Both events belong to one chain, so you get a single story: the key was read and left through the same path.
در این ویدیو یک نفوذ را از ابتدا تا انتها دنبال می‌کنیم: از لحظه‌ای که مهاجم اولین process خود را اجرا می‌کند، تا جایی که تتابان از ۱۴٬۲۰۰ رویداد خام یک finding قطعی می‌سازد و زنجیره‌ی کامل پشت آن را نشان می‌دهد. The video follows one intrusion end to end: from the moment the attacker runs its first process, to the point where Thetaban turns 14,200 raw events into a single definitive finding and shows the full chain behind it.
انتقال تدریجی workloads به محیط Kubernetes، در حالی که لایه‌های دفاعی اصلی همچنان متکی بر معماری‌های traditional servers باقی مانده‌اند. Workloads move to Kubernetes one by one, while the three defensive layers most organizations rely on were built for a world of fixed servers.
تمرکز حملات نوین بر شکاف میان این سه لایه: یعنی رفتار واقعی سرویس‌ها در زمان اجرا (Runtime Behavior). The gap left between those three layers is exactly where today’s attacker operates: the real behavior of your services at runtime.
عدم امکان نهایی‌سازی Allow-list در سرورهای سنتی به دلیل تغییرات مداوم رفتار و مداخله انسانی؛ در مقابل، ثبات، پیش‌بینی‌پذیری و تکرارپذیری رفتارها در workloads ساختار Cloud Native و امکان مستندسازی استاندارد آن‌ها پس از مدت زمان کوتاه. On a traditional server, “normal” changes daily — packages get installed, configs get edited by hand, and the allow-list is never finished. A cloud-native workload is the opposite: immutable, single-purpose, repeatable. Its behavior levels off within hours, and that is what can be written down.
ارائه دقتی بی‌نظیر توسط رویکرد Allow-list در محیط‌های با رفتار ثابت؛ قرارگیری تتابان در لایه‌ای عمیق‌تر و به عنوان مکمل راهکارهای آنتی‌ویروس. The claim is not that allow-listing wins everywhere. It is that where behavior is stable, an allow-list gives you an accuracy a deny-list structurally cannot. That is why Thetaban does not replace your antivirus; it sits beside it, one layer deeper.
تلفیق دو منبع نظارتی مستقل از طریق یک زیرساخت مرکزی، و اقدام عملیات منطبق با دستورالعمل‌های مرجع تأییدشده. Two sources of observation, one backbone that stitches them together, and one output that acts only on what has already been approved.
انتساب تمام ارتباطات به هویت پایدار سرویس، شناسایی مقاصد شبکه‌ای با عناوین واقعی و ثبت تاریخچه ارتباطات جهت امکان مقایسه و تحلیل رویدادهای گذشته.Every connection is attributed to a service identity, not a transient address. Destinations appear under their real names, with the organization behind them identified. The map is live and historical, so you can compare against the past.
شناسایی و ثبت زمان بازگشایی فایل در سطح Kernel پیش از خوانده شدن محتوا؛ جهت مقابله با سرقت داده و دسترسی غیرمجاز به Secrets که فاقد ردپای تغییر روی دیسک هستند.Conventional tools watch for file changes. But data theft and secret access are read operations that leave nothing behind. We see the moment a file is opened, in the kernel, before its contents are read.
انتساب کامل رویدادها به پردازش عامل و ریشه‌های اجرایی آن (Ancestry Chain)، امکان صدور احکام امنیتی متفاوت برای یک فایل یکسان بر اساس مسیر دسترسی.Every event is attributed to the acting process and its entire ancestry. So one file, in one pod, gets two different verdicts depending on the path that reached it.
تولید خودکار سیاست‌های اجرایی در سطح Kernel و شبکه بر اساس مرجع تأییدشده، بدون مسدودسازی رویدادهای بررسی‌نشده.Enforcement policy for kernel and network is generated from the same approved baseline. Nothing is ever blocked that was not first observed and decided on.
فرآیند فراخوانی کلید خصوصی در یک سرویس: تفکیک مسیر استاندارد تأییدشده از مسیر مشکوک متکی بر دستورات اجراشده (Command Execution/sh)، و شناسایی الگوهای نفوذ نظیر Web Shell.
Take an exchange’s wallet private key. The normal path is the one the service owner approved. The suspicious path is the same file and the same image — but with an sh in the middle of the chain. That access did not come from application logic; it came from command execution. The familiar shape of a web shell.
عدم امکان تفکیک این دو سناریو توسط ابزارهای File-Centric و ثبت هر دو حالت صرفاً به عنوان یک رویداد ساده خواندن فایل. No file-centric tool sees this difference; to it, both cases are simply “a file was read”.
دسترسی غیرمجاز یک مدل هوش مصنوعی به سرورهای Hugging Face از طریق ابزارهای مجاز درون محیط و بدون استفاده از هیچ‌گونه بدافزار؛ وقوع حادثه دقیقا در لایه‌های Kubernetes Pods، Service Account Tokens و Cloud Metadata. During an evaluation, an AI model broke into Hugging Face’s servers to reach a benchmark answer. Every tool it used was already present and permitted in the environment; no malware was written. The incident happened in exactly this product’s territory: Kubernetes pods, service-account tokens, cloud metadata.
تحلیل اصلی حادثه: صدور سیگنال‌ها و عدم دریافت آن‌ها به دلیل تداخل با حجم بالای هشدارها؛ رویکرد تتابان بر پایه تولید هشدارهای محدود اما کاملاً دقیق و واقعی است. The real lesson: the signals fired, but they were lost among thousands of other alerts and never reached a human in time. The problem was not blindness; it was noise. That is what Thetaban is built for: few alerts, but real ones.
مستندسازی پیش‌فرض رفتار خانواده‌های رایج Workload در محیط‌های آزمایشگاهی؛ جهت جلوگیری از اتلاف زمان تیم‌ها برای جداسازی رفتار سرویس‌ها از میان هزاران رویداد عمومی غیرامنیتی. A plain Python service opens hundreds of files just to start: libraries, certificates, timezone data. None of it is security-relevant, and all of it repeats on every run. A team trying to extract its own service’s specific behavior from that volume gives up after a few weeks — the single biggest reason baselining projects fail. We did that work once, in a lab, for the common workload families.
ارائه پیشنهادهای امنیتی بر اساس تعداد رفتارهای واقعی مشاهده‌شده؛ اثبات اعتبار هر سیاست بر روی داده‌های اختصاصی سازمان پیش از فعال‌سازی.A policy is not suggested because of an image name or a label, but because of how many actually observed behaviors it covers. It proves itself on your own data before it is offered.
اعمال فیلترینگ صرفاً در لایه نمایش با قابلیت بازگشت کامل؛ حفظ دسترسی به کلیه داده‌ها جهت ممیزی‌های امنیتی (Auditing).Filtering happens only in the presentation layer and is reversible at any moment. For an auditor that distinction is everything: deleted data cannot be reviewed, set-aside data can.
ارتباط مستقیم هر هشدار با یک قانون مشخص یا مدخل تعریف‌شده در Allow-list؛ شفافیت کامل در پاسخ به علت پنهان‌سازی رویدادها.Every alert maps to a named rule or a specific allow-list entry. The answer to “why was this hidden?” is always available, precisely.
امکان تعیین شعاع اثر (Blast Radius) هر تصمیم به‌واسطه ساختار زنجیره‌ای؛ استخراج سیاست‌ها از رفتار مشاهده‌شده و گره‌زدن آن به هویت سرویس بدون تغییر در OS Node. Because the behavioral key is the chain, you choose the blast radius of every decision. Policy is derived from observed behavior, bound to service identity, and delivered without touching the node’s operating system.
در سه ماه نخست هیچ مسیری مسدود نمی‌شود؛ سیاست‌ها در حالت audit اجرا می‌شوند تا معلوم شود در صورت فعال بودن چه چیزی مسدود می‌شد. Nothing is blocked in the first three months; policies run in audit mode so you can see what would have been blocked.
تتابان به عنوان یک لایه تکمیلی امنیتی در کنار سایر راهکارها عمل می‌کند؛ شفاف‌سازی مرزهای عملکردی به اندازه معرفی قابلیت‌های محصول حائز اهمیت است. Thetaban is an additional layer, not a replacement for anything you own. Saying so plainly matters as much as the feature list.
تبیین جایگاه تتابان در معماری امنیت سازمان: لایه نظارت بر رفتار زمان اجرا، مستقر میان زیرساخت و سامانه SIEM. Our place on your security map is specific: the runtime-behavior layer, between infrastructure and SIEM.
سهولت در نصب و راه‌اندازی با Helm Chart؛ تمرکز اصلی بر تبیین دقیق رفتارهای مجاز هر سرویس با همکاری مستقیم و مستقر در کنار تیم‌های فنی سازمان. Installing is one helm chart and an afternoon. The hard part is answering what correct behavior means for each of your services — and that answer is not ours. It belongs to the engineers who wrote them. Our job is to draw that knowledge out and write it down, on site, next to your team.
فعال‌سازی Agentها بر روی Nodeها بدون اعمال هیچ‌گونه سیاست؛ استخراج خروجی‌های ماه اول بدون تحمیل بار کاری به تیم سازمان.The agent goes live on the nodes. No policy is applied. This month’s output requires no extra effort from your team.
فعال‌سازی سیاست‌های پیش‌فرض جهت محدودسازی دامنه بازبینی به رفتارهای اختصاصی؛ ثبت دلایل رد یا تأیید توسط کارشناسان مربوطه.Ready-made policies come on so review is limited to each service’s genuinely specific behavior. Its owner approves or rejects, and records why.
اجرای سناریوهای تست جهت ارزیابی کارایی مرجع رفتاری و ادغام کامل محصول در گردش کار روزمره مرکز عملیات امنیت (SOC).Agreed scenarios are run to show the baseline works in practice, and the product settles into the SOC’s daily workflow.
حضور مهندس اختصاصی در محل سازمان: ارزیابی محیط، اعلام مکتوب منابع مورد نیاز، اجرای فرآیند استقرار در کنار تیم زیرساخت و همراهی مداوم سازمان پس از تثبیت مرجع رفتاری.Our engineer shows up on site: assesses the environment, states the required resources in writing and in numbers, deploys alongside your infrastructure team, reviews the behavior queue with each service owner, and stays on afterwards as a named person, not a queue. All we ask of you is your engineers’ time in the review sessions.
پیاده‌سازی الگوی جاافتاده «تعریف مرجع رفتاری و ثبت انحرافات» با ایجاد تمایز در عمق مدل رفتاری، قابلیت توضیح تصمیمات و سپردن اختیارات به اپراتور سازمان. We do not claim to have invented “baseline the normal, alert on deviation.” It is a mature category with serious players. Our difference is the depth of the behavioral model, the explainability of every decision, and who holds the authority.
انتخاب استراتژیک تمرکز بر عمق تحلیل رفتارهای زمان اجرا، و واگذاری حوزه‌های اسکن بدافزار و تحلیل حافظه به ابزارهای موجود سازمان. Our focus is depth on runtime behavior. Malware scanning, memory forensics and cloud-posture graphs sit outside it and are covered by tools you already have. That is a deliberate choice: depth in one layer over a thin pass across many.
نمایش عملکرد محصول بر روی Namespace غیرحیاتی و ارزیابی میزان سربار واقعی در جلسه اول؛ توافق مکتوب بر سر شاخص‌های موفقیت پیش از آغاز، و تعهد مرحله‌ای بر پایه اجرای یک Pilot محدود. In the first session we show the product on a non-critical namespace and measure real overhead on your own nodes. Success metrics are agreed in writing before we start, and your commitment is staged: the starting point is a narrow pilot, not a blanket contract.