브랜든의공부방

AWS icons

도면을 그릴때 쓰는 아키텍트이지만, 우리가 아이콘을 사용해서 활용할 수 있다.

https://aws.amazon.com/ko/architecture/icons/

aws well architected framework

https://aws.amazon.com/ko/architecture/?cards-all.sort-by=item.additionalFields.sortDate&cards-all.sort-order=desc&awsf.content-type=*all&awsf.methodology=*all&awsf.tech-category=*all&awsf.industries=*all&awsf.business-category=*all

강의교재 41 페이지

클라우드 패러다임

Cloud Native (AWS native: 당근마켓, 배달의민족 등…)

클라우드 시장은 코로나때 급성장하였다

클라우드 패러다임 → 클라우드 시장 급성장 → 클라우드 기술 성숙화(재투자를 하면서 성숙화됌) → Cloud Native

클라우드 패러다임 → Cloud transformation → Cloud Native

클라우드의 장점

• 공유를 하기 때문에 효율성이 증대되고 가격이 저렴

컴퓨팅을 공유할 수도 있다.

“단, 다음 조건을 만족시킨다면”

• 다른 사람이 나의 데이터를 볼 수 없다면 (System Isolation)
• 다른 사람이 내가 무엇을 하는지 볼 수 없다면 (System Isolation)
• 저렴하게 컴퓨팅 자원을 사용할 수 있다면 (System Performance)
• 나 혼자 쓰는 것보다 속도가 많이 느려지지 않는다면 (System Performance)

자원 공유를 하기 위해서는 격리기술이 필요하다. → 격리기술 오버헤드가 크다(벽을 만들면서 차지하는 부피가 많다)

오버헤드는 시스템이나 프로세스가 특정 작업을 수행하기 위해 추가적으로 소모하는 자원이나 시간입니다. 즉, 실제로 필요한 작업 외에 발생하는 부가적인 비용이나 자원을 의미

→

요즘은

Docker(Container)

하나의 머신 위에 수백개가 있어도 잘 돌아간다. 하지만 수백개의 프로세스가 모여있기떄문에 “오케스트레이션”(kubernets)이 필요하다.

하지만 벽이 많아지면서 취약성이 증가하였다.

좋은점이 있으면 잃는 것이 생긴다.

VM ↔ overhead

Container ↔ security issues

Orchestration ↔ operational issues

Microservice architecture

• Independent development and deployment → mixed technology stack
• Fault isolation : even if one service does not work, the system still works
• Granular scaling :Individual components can scale as per need

Cloud Native technologies

• 클라우드 환겨ㅇ에서 확장성있는 애플리케이션을 개발하고 실행할 수 있게 해준다. 컨테이너, 서비스 메쉬, 마이크로서비스, 불변 인프라, 선언형 API가 이러한 접근 방식의 예시들이다.
• 이 기술은 회복성, 관리 편의성, 가시성을 갖춘 느슨하게 결합된 시스템을 가능하게 한다. 견고한 자동화 기능을 함께 사용하면, 엔지니어는 영향이 큰 변경을 최소한의 노력으로 자주, 예측 가능하게 수행할 수 있다.

ICT 트렌드와 클라우드 컴퓨팅 패러다임

공급망보안 → 보안뉴스에서 검색

공급망에 악성 칩을 유통을 시키는 것

경계 보안

경계 보안 기법은 정보 시스템 및 네트워크의 경계를 보호하기 위해 사용되는 다양한 기술과 방법을 의미합니다. 주요 기법에는 다음과 같은 것들이 있습니다:

방화벽: 외부와 내부 네트워크 간의 트래픽을 필터링하여 불법적인 접근을 차단합니다.침입 탐지 시스템(IDS): 네트워크 트래픽을 모니터링하여 비정상적인 활동이나 공격을 탐지합니다.

침입 방지 시스템(IPS): IDS의 기능을 포함하면서, 탐지된 공격을 차단하는 기능도 갖추고 있습니다.VPN(가상 사설망): 원격 사용자가 안전하게 내부 네트워크에 접근할 수 있도록 암호화된 연결을 제공합니다.

액세스 제어: 사용자나 장치의 접근 권한을 관리하여 민감한 데이터나 시스템에 대한 접근을 제한합니다.정기적인 보안 점

검: 취약점을 발견하고 수정하기 위해 시스템과 네트워크를 주기적으로 점검합니다.

• 방화벽: 외부와 내부 네트워크 간의 트래픽을 필터링하여 불법적인 접근을 차단합니다.
• 침입 탐지 시스템(IDS): 네트워크 트래픽을 모니터링하여 비정상적인 활동이나 공격을 탐지합니다.
• 침입 방지 시스템(IPS): IDS의 기능을 포함하면서, 탐지된 공격을 차단하는 기능도 갖추고 있습니다.
• VPN(가상 사설망): 원격 사용자가 안전하게 내부 네트워크에 접근할 수 있도록 암호화된 연결을 제공합니다.
• 액세스 제어: 사용자나 장치의 접근 권한을 관리하여 민감한 데이터나 시스템에 대한 접근을 제한합니다.
• 정기적인 보안 점검: 취약점을 발견하고 수정하기 위해 시스템과 네트워크를 주기적으로 점검합니다.

IDS ⇒ sniffing mode 로 쓴다.

IPS ⇒ InLine mode

IPS(Intrusion Prevention System)

다양한 방법의 보안기술을 이용하여 침입이 일어나기 전에 실시간으로 침입을 막고, 유해 트래픽을 차단하기 위한 능동형 보안 솔루션 IPS는 예방적이고 사전에 조치를 취하는 기술이며, 반면에 IDS 는 탐지적이고 사후에 조치를 취하는 기술이다. 또한 IPS는 기존의 트래픽 유통에 직접 관여하며이러한 방식을 InLine 방식

• Signature Based IPS (지식기반)
• 각각 공격에 대하여 정확한 Signature를 정의, 해당 공격 패턴에 매칭이 되어야만 차단 시행
• 알려지지 않은 공격의 경우 정확한 Signature List가 업데이트 되어 있지 않으면 차단이 불가능한 단점이 있으나, 오탐 가능성은 적다.
• Heuristics Based IPS (행위기반)
• Anomaly Detection / Prevention 방식이라고도 한다.
• 알려지지 않는 공격을 수집하여 정보를 이용하여 오탐을 줄이고 능동적으로 대처하는 방식

ZPS(Zero Trust Protection System)

제로 트러스트 보안 모델을 기반으로 하며, 네트워크 내의 모든 사용자와 기기를 신뢰하지 않고 기본적으로 의심하는 접근 방식을 취합니다.사용자 인증과 권한 검증을 강화하여, 내부와 외부의 위협 모두에 대응할 수 있도록 설계되었습니다.

SVA(Security Vulnerability Assessment)

보안 취약점 평가를 의미하며, 시스템이나 네트워크에서 잠재적인 취약점을 식별하고 분석하는 과정입니다.이를 통해 보안 위험을 사전에 발견하고, 적절한 대응 방안을 마련할 수 있습니다.

• SVA는 보안 취약점을 평가하고 시스템의 보안 상태를 분석하는 과정

IPsec VPN (Internet Protocol Security Virtual Private Network) - (VPN은 터널링이라고 하는데 암호화 시켜서 데이터를 전송함)

인터넷을 통해 안전한 데이터 전송을 제공하는 기술입니다. IPsec은 IP(Internet Protocol) 패킷의 보안을 강화하기 위해 사용되는 프로토콜 모음

암호화: 전송되는 데이터를 암호화하여 외부에서 접근할 수 없도록 보호합니다. 이를 통해 기밀성을 유지할 수 있습니다.

인증: 데이터의 출처를 확인하고, 데이터가 전송 중에 변경되지 않았음을 보장합니다. 이를 통해 무결성을 유지할 수 있습니다.

• 터널 모드: 전체 IP 패킷을 암호화하여 새로운 패킷으로 캡슐화합니다. 주로 VPN 게이트웨이 간의 연결에 사용됩니다.
• 트랜스포트 모드: 패킷의 페이로드만 암호화하며, 헤더는 그대로 유지합니다. 주로 호스트 간의 통신에 사용됩니다.

IPsec VPN은 높은 보안성을 제공하여 기업의 데이터 통신을 안전하게 보호하는 데 중요한 역할을 합니다.

IDS/IPS 정책

• 탐지 정책(Signature)이 등록되어 있는 경우에만 탐지하고, 그 이외의 패킷은 무시
• 오탐율이 매우 높으므로 최적화 시키기 위해서 충분한 시간동안 커스터마이징이 필요
• RawData 정책을 어떻게 사용하느냐가 승패를 좌우

웹 방화벽 이해

443 포트 들어올 수 있으니까 SVA 들어가야하고

다른 외부 기관까지 가야한다면 VPN 장비도 넣어야함

• 인터넷을 통한 웹 기반 서비스가 발전하면서 항상 개방되어 있는 웹을 이용한 공격이 일반화, 집중화 되고 있는 상황에서 단순한 홈페이지 변조사고부터 웹 서버를 통한 악성코드 유표까지 사고가 발생하고 있다. 이와 같은 이유로 웹 전용 보안시스템 구축이 필요하게 되었으며, 그 시스템이 웹 방화벽이다.

이벤트 대응 및 분석

이벤트 대응처리 프로세스

1. 보안장비 로그 수집
2. 이벤트 탐지 : 공격 발생 시 경보 발생 및 관제 인원에게 Mail을 발송하여 탐지 할 수 있다.
3. 이벤트 1차 분석
4. 공격자 IP 차단 및 이벤트 탐지 보고서 작성
5. 담당자 통보
6. 침해사고 조치지원(CERT)

OSI 7 Layer별 이벤트 유형

FTP PASV

FTP PASV(패시브 모드)는 파일 전송 프로토콜(FTP)에서 클라이언트와 서버 간의 연결을 설정하는 방식 중 하나입니다. FTP는 두 가지 모드(액티브 모드와 패시브 모드)를 지원하는데, PASV 모드는 다음과 같은 방식으로 작동합니다:

PASV 모드의 작동 방식

클라이언트 연결: 클라이언트가 FTP 서버에 연결을 요청합니다.서버 응답: 서버는 클라이언트에게 패시브 모드로 전환할 것을 알리며, 사용할 포트 번호를 제공합니다.클라이언트 연결: 클라이언트는 서버가 제공한 포트 번호로 새로운 연결을 수립합니다.데이터 전송: 이 새로운 연결을 통해 파일 데이터가 전송됩니다.

PASV 모드의 장점

방화벽 우회: PASV 모드는 클라이언트가 서버에 연결을 요청하고, 서버가 클라이언트의 요청에 따라 데이터 전송을 위한 포트를 열기 때문에 방화벽을 우회하는 데 유리합니다.클라이언트의 IP 주소 노출 감소: 클라이언트가 서버에 연결을 요청하는 방식이므로, 클라이언트의 IP 주소가 서버에 직접적으로 노출되지 않습니다.

PASV 모드는 특히 클라이언트가 NAT(네트워크 주소 변환) 뒤에 있을 때 유용하게 사용됩니다.

(시험)주요 공격 이벤트 및 영향

SQL Injection

• 웹 클라이언트의 반환 메시지를 이용하여 불법 인증 및 정보를 유출하는 공격 방법으로 웹 응용 프로그램이나 파라미터 값에 강제로 SQL 질의문을 삽입하여 응답값을 통해 내부 데이터베이스(DB) 서버의 데이터를 유출 및 변조하고 관리자 인증을 우회하는 공격기법
• 웹 서버로 전달된 SQL 질의문은 데이터베이스(DB) 정보가 일치할 경우 질의문에 해당하는 ‘True’ 값을 반환하고 일치하지 않을 경우 ‘False’ 값을 반환, 이때 에러메시지를 통해 2차 공격을 시도할 수 있다.

공격 영향

• 인증절차 우회 기능
• 데이터베이스(DB)에 저장된 데이터 값을 열람/삭제/수정 가능
• 시스템 명령어 조작으로 운영 시스템에 영향

Webshell 공격

• 웹페이지인 웹(Web)과 서버에 명령을 내려 실행하기 위한 인터페이스 역할의 쉘(Shell)의 합성어로써 웹 페이지에서 서버에게 명령을 실행하기 위해 만들어진 프로그램
• 웹 서버(PHP, ASP, JSP 등)의 다양한 취약점 등을 타깃으로 공격하여 웹 서버에 Webshell을 업로드 한 후 웹 브라우저를 통해 업로드한 Webshell을 실행하여 침투한 서버상의 정보유출 및 변조, 악성코드 유포 등 웹 공격에 활용됨
• 대표적인 공격형태로 확장자 우회공격, 자바스크립트 우회공격, MIMI Type 우회, 그림파일을 이용한 한 줄 웹쉘 등이 있다.

공격 영향

• 관리자 권한 탈취 및 내부망 접근하여 내부 자료 및 개인정보 유출 가능
• 웜 / 바이러스 배포서버로 악용

대응 방안

• 확장자 제어: 허용된 확장자 외에는 업로드 금지, 정의된 확장자 차단
• Directory List 취약점 제거 : 서버 내 파일 / 폴더 등을 확인하여 소스코드, 웹 페이지 구조가 노출 되는 것을 사전 제거

Command/Code Injection(Execution)

• 시스템 명령어를 호출하는 어플리케이션의 인자 값을 조작하여 의도하지 않은 시스템 명령어를 실행시키는 공격 기법
• 주로 취약한 함수를 사용하거나 변수 입력 값 미 검증으로 인해 발생되며 과거에 발생된 Bash Shell Shock가 대표적이다.

공격 영향

• 해당 공격이 유효성이 있을 경우, 웹 어플리케이션을 구동하고 있는 시스템 계정의 Shell 권한(관리자 권한 등) 을 획득하는 것과 같음

대응 방안

• 지정되어 있는 변수 입력 값 외에 다른 값들이 들어왔을 경우 차단
• 운영체제의 시스템 명령어가 사용자 입력에 의해 존재하는지 확인하고 불필요한 요청 시 차단
• 확인되지 않은 사용자 입력을 파이프라인, open() 명령 등으로 전달하지 않음

XSS(Cross Site Scripting)

• 컨텐츠를 암호화/검증하는 절차 없이 사용자가 제공하는 데이터를 어플리에킹션에서 받아들이거나 웹 브라우저로 보낼 때 발생되는 공격
• JavaScript, VBScript 등과 같이 CSS(Client Side Script) 특징을 가진 언어로 작성된 악성 스크립트를 웹 페이지/게시판/메일 등에 포함시켜 사용자에게 전달하고 이를 사용자가 열람하였을 때 악성 스크립트가 실행됨

공격 영향

• 악성 스크립트가 삽입된 게시판에 접근한 사용자를 대상으로 웜/바이러스 배포
• 사용자의 세션 정보를 탈취하여 재사용 가능(사용자가 관리자일 경우 관리자 계정 탈취 기능)

대응 방안

• 쿠키 값에 인증/권한 등의 중요 정보가 기록되지 않게 하거나 쿠키 인증 방식이 아닌 세션 인증 방식으로 변경
• 스크립트 코드에 사용되는 특수문자에 대한 적절한 필터링
• 사용자가 게시판에 사용할 수 있는 HTML 포맷만을 허용

공격 이벤트 분석 방법

GET / POST 이벤트

GET

• URL에 Query String 형식으로 전달

POST

• BODY 에 포함해서 전송하는 방식

POST 방식 이벤트 분석

• 주의할 사항 : 확인하려는 파라미터 값이 서버나 데이터베이스(DB)에 영향을 주려는 값이라면 테스트 보다는 담당자에게 통보를 하는 것이 나을 수 있음 - > 문제가 될 수 있다.

IBM AI 솔루션

IBM의 AI 솔루션은 다양한 산업과 용도에 맞춰 설계된 여러 제품과 서비스를 포함합니다. 주요 IBM AI 솔루션은 다음과 같습니다:

IBM Watson:IBM의 대표적인 AI 플랫폼으로, 자연어 처리(NLP), 머신러닝, 데이터 분석 등의 기능을 제공합니다.다양한 산업에 적용할 수 있는 API와 툴을 제공하여, 고객 맞춤형 AI 솔루션을 개발할 수 있게 합니다.

MSSQL 포트 1433

통합보안관제시스템의 이해

Web Servers

• common mode
• combine mode

웹 서버의 common mode와 combine mode는 웹 서버의 요청 처리 방식과 관련된 용어로 보입니다. 이 두 가지 모드의 차이를 간단히 설명하겠습니다.

Common Mode

정의: 일반적으로 사용되는 기본적인 요청 처리 방식입니다.특징: 클라이언트의 요청을 순차적으로 처리하며, 각 요청이 독립적으로 처리됩니다.장점: 구현이 간단하고, 상태 관리가 용이합니다.단점: 동시에 여러 요청을 처리하는 데 한계가 있어, 고부하 상황에서는 성능 저하가 발생할 수 있습니다.

Combine Mode

정의: 여러 요청을 결합하여 처리하는 방식입니다.특징: 여러 클라이언트의 요청을 하나의 처리 단위로 묶어서 효율적으로 처리합니다.장점: 서버 자원을 보다 효율적으로 사용할 수 있으며, 성능 향상에 기여합니다.단점: 구현이 복잡할 수 있으며, 상태 관리와 오류 처리에 더 많은 주의가 필요합니다.

이러한 모드는 서버의 목적과 요구 사항에 따라 선택될 수 있으며, 성능과 효율성을 고려하여 적절한 모드를 선택하는 것이 중요

잘 되어 있는 공공기관이 점프하기에 좋다.

보안관제 쪽 5문제 나옴

10장 외우면 다섯문제 다 맞춤

보안관제

• 보안 장비로부터 수집된 이벤트를 분석하고, 이를 통해 보안 정책과 비교하여 이상 징후나 공격을 탐지하는 과정

SIEM 운영

• SIEM(보안 정보 및 이벤트 관리)은 보안 장비라기보다는 보안 솔루션의 일종입니다. SIEM은 다양한 보안 장비와 시스템에서 수집한 로그와 이벤트를 통합하여 분석하고, 실시간으로 모니터링, 경고 및 보고 기능을 제공합니다.

(시험) SIEM 구성 및 이해

Manager

• 경보 감사 데이터 발생 시, 다양한 알람 기능을 처리(Sound, Email, SMS, 스크립트, SNMP)
• 감사 데이터 및 설정 데이터 저장을 위한 데이터베이스 백업 및 삭제관리를 스케쥴링 처리
• 모든 자체 감사 데이터를 생성하고, 데이터베이스에 저장

Console

• 사용자 및 에이전트 그룹 관리, 구성관리, 수집조건, 연관성 분석, 데이터베이스 백업 및 삭제 관리 등 모든 설정 화면을 제공

Agent

• 관리대상 장비로부터 수집한 로그를 정해진 규칙에 따라 정규화하고, 수집조건 규칙과 비교하여 매니저로의 전송 여부를 결정
• 매니저로 전송 전에 동일 패턴으로 구분되는 이벤트는 축약 처리하여 네트워크 및 데이터베이스 등의 부하를 최소화
• Agent 방식 - Agent설치 됌

각 장비마다 Agent(데이터 수집 및 판단) 가 있어야함

• Agentless 방식 - Agent설치가 안되고 sys로그만 던져주는 방식

SIEM 구성 3가지 요소

Agent - Manager(Back-end) - Console(front-end)

로그

• 로그는 컴퓨터나 서버등에서 유저의 플레이 정보를 시간에 따라 남기는 기록
• 데이터 로그는 연속 데이터의 기록을 뜻한다.

로그 → 시간 → 관련된 포트는 NTP(Network Time Protocol) 123포트 에서 사용

로그의 시간 정보를 정확하게 동기화하기 위해 NTP(Network Time Protocol)를 사용하며, 이때 사용하는 포트가 123번입니다. NTP는 네트워크를 통해 시간 동기화를 수행하여 시스템 간의 시간 차이를 최소화하는 데 도움을 줍니다.

파싱(Parsing)

• 로그는 한줄로 쭉 들어오는데 이해하기 힘들다. 원본로그를 필드 별로 구분하는 것

SIEM 이상 그래프 확인 방법

• SIEM에서 연동된 각 보안장비에 대해 일일 그래프 또는 30분별 그래프 등을 만들어 해당 장비의 상태 및 이벤트 수치를 한눈에 확인하기 쉽도록 만들 수 있다.

이상 그래프를 탐지하였을 경우 해당 그래프에 대해서 발생시간, 출발지, IP목적지, IP Port 등 더 자세하게 어떠한 이벤트가 수집이 되었는지 확인이 필요하며, 확인된 정보를 바탕으로 이상 유무를 판단해 낼 수 있어야 한다.

→ 그래프를 프로파일로 저장하여 그떄 그떄 확인하고 싶은 여러 가지 그래프를 매번 생성하지 않고 저장시킨 프로파일을 불러 들어와 빠르게 확인하여 보다 효율적으로 관제할 수 있도록 한다.

번들룰 생성

• 번들룰은 가용성 체크를 위한 경보이다. 장애로 인한 이벤트 미 수집 / 보안장비 펌웨어 업데이트로 인한 로그필드 변경 시 미 수집 등이 발생할 수 있다. NMS와 같이 Ping Check를 통한 가용성도 확보할 수 있다.
• 번들룰 종류: 핑 체크, 프로세스 체크, 미 수집 체크

단일경보 생성

• Object는 단일 경보 생성 시 각 필드에 해당되는 탐지 상세 조건이다. SIEM에서 수집되는 로그를 기반으로 필드를 선택한 뒤 조건을 충족하여 경보가 발생하도록 운영자가 설정할 수 있다. 연산자(AND, OR, Like)를 통하여 해당 조건에 따라 발생 건수가 달라지며, 정/오탐 고도화가 진행된다.

경보를만들때 조건을 만드는게 중요 → 옵션은 오브젝트 - > 값을 정의하고 어떤 칼럼으로 파싱 되는지를 알아야한다. - > 이를 통해 where 조건을 다 만들 수 잇다.

단일 경보를 생성할 때 조건을 설정하는 것은 매우 중요합니다. 이를 통해 경보의 정확성과 유용성을 높일 수 있습니다. 다음은 단일 경보 생성을 위한 기본적인 단계입니다:

옵션 정의: 경보를 설정할 오브젝트를 선택합니다. 예를 들어, 특정 로그 유형이나 이벤트 소스를 선택할 수 있습니다.

값 정의: 오브젝트에 대한 조건을 설정합니다. 특정 값이나 상태를 기준으로 경보를 트리거할 수 있도록 합니다. 예를 들어, 특정 IP 주소나 사용자 계정 등입니다.

칼럼 파싱: 어떤 칼럼에서 값을 추출할지를 결정합니다. 로그 데이터의 구조를 이해하고, 필요한 정보를 올바르게 파싱할 수 있도록 해야 합니다.

WHERE 조건 작성: 위의 정보들을 바탕으로 SQL과 같은 쿼리 언어를 사용하여 WHERE 조건을 작성합니다. 이 조건은 경보가 발생할 기준을 설정하게 됩니다.

테스트 및 검증: 설정한 경보 조건이 올바르게 작동하는지 테스트하고, 필요에 따라 조정합니다.

이러한 과정을 통해 효과적인 경보를 생성할 수 있으며, 보안 이벤트를 신속하게 탐지하고 대응할 수 있는 기반을 마련할 수 있습니다.

상관분석

• 단일 경보의 조합으로 생성된다. Step 별로 경보 단계가 진행되기 떄문에 고도화를 위한 경보 생성 시 적합하다. 상관분석은 생성된 단일 경보를 기반으로 단계별 탐지 설정이 가능하며, 전 단계에 대한 상세 조건을 설정할 수 있다.

대법원 보안관제 사례

(시험)외부 침입으로부터의 방안

공격자

• 1단계 대량트래픽차단시스템 (DDOS) → 패킷 많이 들어오면 네트워크 과부하, 시스템한테 가는거니까 서비스가 안되는 것

서비스 자원 고갈, 서비스 거부 공격방어

• 2단계 침입방지시스템 IPS (In-line mode (IPS), sniffing (IDS) 미러링 떠서 데이터만 탐지할 수 있게 하는것)

비정상 패킷 차단

• 3단계 침입차단시스템 (방화벽)

비정상 세션 차단, IP,PORT 제어

• 4단계 악성메일차단 (URL, 악성 첨부파일을 차단)

스펨메일 차단, 악성 유포지 경로, 악성 첨부파일 차단

• 5단계 웹 안전도 검사 시스템 (홈페이지 바탕화면 바꾸는것, 기존이랑 변경된 사항이 있는지 확인하고 차단한다. )

웹 서비스 위변조 대응 (문자, 이미지 크기 변경)

• 6단계 웹방화벽 (WAF)

웹 공격, 정보유출 차단

• 7단계 서버보안, 감사

자원/프로세스 접근제어, 사용자 계정 및 로그감사

• 8단계 DB암호화, 접근제어

DB 중요정보 암호화, DB 사용자 인증 및 로그감사, 명령어 제어

정보시스템

https://www.boho.or.kr/

https://www.boho.or.kr/kr/bbs/list.do (정보보호 용어) - 전부 다 공부해야

보안관제에서 목숨을 걸었다면 → 쿠팡, 게임회사 로 가야 돈을 벌 수 있다.

보안관제 & SOC

(시험)보안관제 구성요소 - 객관식 예상

1. Process (관제 방법론)
   - 조직과 규모, 목표에 따른 절차
   - 위기대응 메뉴얼
   - 유관 부서간 역할 정의
2. People (숙련된 인력)
   - 역할별 기능을 수행하기 위한 인력
   - 운영 방법
   - 직접운영 / 위탁운영
3. System(모니터링 Tool/인프라)
   - 보안관제 모니터링
   - 침해사고 대응 관리 시스템
   -  다양한 분석 시스템
   
   

보안관제 전문기업

보안관제 수행업무

• 24시간 365일 보안관제
• 사전 침해 예방 서비스
• 기타 정보보안 업무 지원 서비스

SOC : Security Operation Center (보안관제)

• 중앙 집중화 된 환경에서 사람, 프로세스, 기술을 활용하여 조직의 사이버위협을 식별, 예방, 탐지, 대응, 복구 관리하며 사이버보안의 최전방에서 자산 및 정보를 보호하는 업무를 수행

SOC 구성요소

1. 전문조직 (People)
   - SOC매니저
   - 위협헌터
   - 침해대응/분석
   - 보안시스템운영
   - 진단/모의해킹
   - 보안관제
2. 기술 (Technology)
   - 엔드포인트
   - 위협헌팅
   - 사고처리
   - 포렌식
   - 위협정보공유
   - 네트워크 모니터링
3. 프로세스 (Process)
   - 관리
   - 복구
   - 대응
   - 탐지
   - 예방
   - 식별

네트워크 이해

• 1계층 케이블 / 2계층 MAC / 3계층 IP / 4계층 PORT
• 방화벽은 IP 와 PORT로 승인되지 않은 것들을 모두 차단한다

네트워크 구성방식

In-line 모드 (일반적)

• 모든 트래픽이 해당 보안장비를 거쳐야만 목적지로 전송 될 수 있도록 구성
• 2대 이상의 장비를 설치해 한 장비가 동작하지 않으면 다른 장비로 트래픽이 전달되도록 하는 Fall-Over 기능 필요 (active 가 죽으면 stand by 가 active 로 넘어가도록 동작하는 것)
• 회선 라인 위에 대응장비 설치 / 패킷이 왔을떄 문제가 있다고 판단했을떄 차단할 수 있다.
• 라인위에 올려 설치할 수 있다.

Sniffing 모드

• 물리적 회선 구성에 미러링 장비를 통해 유입된 트래픽을 분석하는 방식 (데이터가 스위치에서 서버로만 가는게 아니라 IDS 한테도 전송된다 -> IDS 는 데이터를 받고 쌓아서 "탐지"만 한다
• 결국, 미러링을 통해 탐지만 한다

Out of Path 모드 방식

• Out of Path 구성은 물리적 회선 구성 바깥에 탐지장비 및 차단장비가 설치되는 방식
• 미러링 장비를 통해 유입된 트래픽을 탐지장비(센서)에서 분석하고, 차단장비에서 해당 공격을 차단하는 방식
• Inline 방식에 비해 구성상 복잡하며 상대적으로 고비용이 요구되므로, ISP 및 대형 서비스 망에서 주로 구성하는 방식

HA(High Availability) 구성 방식 - Active-Active

• 중단 없는 서비스를 위한 구성
• 다운 타임을 최소화 함으로써 가용성을 극대화
• 트래픽에 대한 Load Balancing 을 통하여 특정 방화벽의 과부하를 제거할 수 있으며, 한쪽 방화벽 장애 시 Fail-Over 기능을 통해 서비스 가용성 보장

* Fall-Over (active 가 죽으면 stand by 가 active 로 넘어가도록 동작하는 것)

*로드 밸런싱(Load Balancing)은 서버, 네트워크, 데이터베이스 등에서 요청을 여러 개의 리소스에 분산시켜 부하를 고르게 나누는 기술

HA(High Availability) 구성 방식- Active-Standby

• 중단 없는 서비스를 위한 구성
• 다운 타임을 최소화 함으로써 가용성을 극대화
• 평상시에는 Active F/W을 통해 통신하다가 Active가 문제 발생 시 Standby를 사용

통신이해를 위한 Zone의 개념

각 Interface 별 Zone의 개념

내부망 : 물리적 망분리, 접근통제시스템 등에 의해 인터넷 구간에서의 직접적인 접근이 통제 또는 차단되는 구간

DMZ 구간 : 인터넷과 내부망 구간사이에 위치한 중간지점으로 침입차단시스템 등으로 접근제한 등을 수행하지만, 외부망에서 직접 접근이 가능한 영역으로 외부에서 서비스 제공 시, 내부 자원을 보호하기 위해 내부망과 외부망 사이에 접근제한을 수행하는 영역

인터넷 구간 : 개인정보처리시스템과 인터넷이 직접 연결되어 있는 구간

방화벽의 이해

방화벽의 원리

• 네트워크 방화벽은 기본적으로 네트워크(인터넷 서비스 망)을 통해 들어오는 패킷에 대해 사전에 관리자가 설정해 놓은 보안 규칙(접근제어 목록)에 따라 허용 또는 차단하는 기능 수행
• 일반적으로 내부 네트워크와 외부 네트워크 중간에 위치하여 패킷 제어가 가능

화이트리스트(Whitelist)

정의: 허용된 항목의 목록으로, 목록에 있는 항목만 접근이나 실행을 허용합니다.

장점:보안성이 높음: 허가된 항목만 통과하므로 악성 소프트웨어나 비허가된 접근을 차단할 수 있습니다.

관리의 용이성: 명확한 기준으로 관리할 수 있습니다.

단점:유지 관리가 필요: 새로운 소프트웨어나 사용자 추가 시 목록을 업데이트해야 합니다.

유연성이 떨어짐: 허용되지 않은 항목은 모두 차단되므로 필요한 접근이 제한될 수 있습니다.

블랙리스트(Blacklist)

정의: 차단된 항목의 목록으로, 목록에 있는 항목만 접근이나 실행을 차단합니다.

장점:유연성: 사용자가 필요로 하는 대부분의 항목에 접근할 수 있으며, 문제가 되는 항목만 차단합니다.관리가 비교적 쉽고 빠름: 새로운 항목을 차단하는 것이 더 간편합니다.

단점:보안 위험: 새로운 악성 소프트웨어나 공격 방식이 등장할 경우, 이를 즉시 차단하지 못할 수 있습니다.

관리가 복잡해질 수 있음: 많은 항목을 차단해야 할 경우 관리가 어려워질 수 있습니다.

(시험)방화벽 NAT - (방화벽, NAT 개념 둘 다 알아야함)

사설 IP를 공인 IP에 필요한 주소 변환 서비스, 방화벽을 활용하여 다수의 사설 IP를 하나의 공인 IP주소로 변환하는 기술

• 공인 IP 주소 절약 : 인터넷상의 공인 IP는 한정되어 있는데, 점점 그 수요가 많아 지고 있어서 공인 IP 주소가 고갈될 우려가 있음
• 보안 강화 : 내부에서 사설 IP 사용을 통해 외부에서 서버나 인터넷 장비에 직접적인 접근을 하지 못하게 함

내부 -> 외부

내부 특정사설 IP가 특정공인 IP 또는 대역 으로 변경되어 나가는 형태

외부->내부

하나의 공인 IP에 내부서버로 1:1로 접속되는 형태

방화벽 운영방식 - (NAT 방식이 가장 많이 사용된다.)

방화벽에 대한 세션 시작 시간이 있고 계속 물려있음

IPS / IDS 이해

IDS (Intrusion Detection System)

IDS는 원본 트래픽을 손실이나 변조 없이 복사해주며, 트래픽 유통에는 전혀 관여하지 않는 Out of Path 방식

지식기반/오용탐지

• 패턴에 없는 새로운 공격에 대해서 탐지 불가

행위기반/비정상행위 탐지

• 오탐률이 높음

시험 문제

난이도 하 2 중 1 ~ 2 상 1~2

SIEM

참고 사이트

• C-TAS 정보공유시스템 ( 여기서 올라오는 글들을 알림으로 할 수 있게 개발 스크립트를 짠다든지 등 하면 좋음) - 키사랑 국가정보자원관리원에서 중요한 정보만 뽑아주는 사이트 제일 좋음 근데 회사이이디로 회원가입해야함
• 키사 - 보호나라에 올라오는 글을 알람울려주는 스크립트
• 국가정보자원관리원

Wireshark 실습

Wireshark HTTP 트래픽을 쉽게 분석하는법

원하는 패킷 오른쪽클릭 -> Follow -> HTTP Stream 

HTTP Stream 화면

필터링 기능을 이용해서 특정 아이피만 볼 수 있다.

필터링 2

http에 pw 라 있는 것만 볼래 ( tcp도 가능 == tcp contains “pw”) 

패킷을 아래와 같이 추출해서 notepad에 올려놓아 보면 보이지 않는 글자까지 볼 수 있다.

보안관제

• 조직의 IT 시스템과 네트워크에서 발생하는 보안 이벤트를 실시간으로 감시하고 분석하여 위협을 탐지하고 대응
• 사이버 위협에 대응하기 위해 지속적으로 발전해온 통합적 보안 개념

보안장비의 기능과 종류

FireWall, IDS, IPS, WAF, SIEM, EDR, XDR, TMS, SIEM, SOAR…

해킹의 시작

1980년대

공격방법

• 네트워크가 대중적으로 사용되지 않았기 때문에 공격자는 물리적인 방법(플로피디스크)을 통해 공격(Brain Virus…)

방어 방법

• 물리적 접근 방지, 컴퓨터 자체를 보호
• 최초의 백신이 개발(패턴을 인식하여 제거)

1990년대

공격방법

• 네트워크를 통한 공격(Worm, Trojan)
• 네트워크를 통한 빠른 감염과 전파가 목적
• TCP/IP의 취약점을 악용한 공격방식

방어 방법

• 네트워크 트래픽을 필터링 할 수 있는 방화벽의 개념이 생기고 외부로부터 접근을 차단
• IP/PORT 주소 기반의 접근 차단 위주의 방어
• 서비스 기반의 방어(TCP Wrapper)

1세대 방화벽의 등장

• Packet Filter F/W
• IP, PORT, Protocol 기반의 필터링 수행
• Inbound/Outbound
• OSI 7 Layer 기준 3계층 기반에서 작동(수행 범위는 3~4계층)

1세대 방화벽의 문제점

• 세션의 상태를 추적할 수 없음(Tcp Session Hijacking등의 조작된 패킷 방어 불가)
• 규칙 기반의 방어(대규모 네트워크 환경에서의 Inbound, Outbound)
• OSI 7 Layer 기반 Application 계층의 위협을 차단하지 못함

2세대 방화벽의 등장

• Stateful Inspection F/W
• 세션기반의 방화벽으로 트래픽의 모든 상태를 추적하여 정상 트래픽인지 확인
• 상태 저장 기능(패킷을 개별적으로 처리하지 않음)

2세대 방화벽의 문제점

• 여전히 Application 계층의 위협을 차단하지 못함
• 암호화된 트래픽(SSL/TLS) 방어 불가
• DoS, DDoS 공격 방어 불가

IDS의 등장

• 트래픽을 실시간으로 모니터링(미러링)
• 공격 패턴, 시그니처를 기반으로 공격 탐지
• 호스트 또는 네트워크를 기반으로 침입 탐지
• 정상 트래픽 및 동작을 학습한 후 비정상 행위 탐지
• 차단X → 탐지
• 신호로 오탐(False positive), 정탐(False Negative)을 구분지어 발생시킨다.
• 비정상 행위를 탐지할 수 있는 시그니처, 즉 탐지정책의 필요성 증가
• 탐지 이후의 대응은 IDS 장비를 통해 대응이 불가능
• IDS와 방화벽을 통해 DDoS 방어 시도

IDS의 문제점

• DDos 공격 대응 실패
• 탐지만 하고 차단할지 결정은 사람이 하기 때문에 오탐(False positive) 발생
• 직접적인 공격의 차단이 불가능하다(미러링)
• 탐지 이후의 대응은 IDS 장비를 통해 대응이 불가능
• 2000년대 기술의 발전과 공격방식의 발전에 따라 다음 단계의 보안장비가 필요

공격 방법(2000년대)

• 대규모 공격(국가, 정부)
• DDoS(Trinoo,TFN(1999년)) 공격 및 지능형 지속 공격(APT)의 등장
• 공격 대상이 개인, 기업, 국가기관, 정부로 개인정보, 기밀정보 등 정보탈취
• 기술의 발전에 따른 취약성 증가
• 사회공학 공격기법, 공급망, 내부자를 통한 정상적 행위의 공격방식이 등장

IPS의 등장(2000년대) - IDS + packet filtering system

• IDS의 기능에 차단기능을 추가하여 실시간 위협 차단
• DoS, DDoS 탐지 및 차단 가능(대규모 트래픽→전문 DDoS 장비 필요)
• 자동으로 탐지와 차단이 가능해짐

IPS의 문제점

• 웹 어플리케이션을 목표로 하는 공격(Injection, XSS…)을 탐지 및 차단하지 못함
• 내부자 위협에 대한 방어 수단X
• 클라우드 환경에서의 물리적 장비의 한계(2010년대)

WAF(Web Application F/W)의 등장

• 어플리케이션 계층의 공격을 방어하는데 특화
• SSL/TLS 트래픽을 복호화 하여 공격 차단

DLP(Data Loss Prevention)의 등장 

• 데이터 유출을 방지하기 위하여 네트워크, 엔드포인트 모니터링
• 비인가 행위를 차단하여 내부자 위협 방어

공격 방법(2010년대)

• 랜섬웨어
• 국가 조직적 APT(Advanced persistent threat)공격
• 클라우드 보안 위협(데이터 탈취, 서비스 마비…)
• IoT 보안위협
• Cryptojacking(암호화폐 채굴)

APT장비 등장

• 랜섬웨어, 크립토재킹 등 다양한 공격 방식과 지속적 공격을 방어하기위해 샌드박스 형식의 보안장비 개발

UTM장비 등장

• 다양한 보안 장비를 하나의 장비로 통합(F/W, IDS/IPS, DLP, APT…)

샌드박스

• 안전한 환경에서 프로그램이나 파일을 실행하여 악성 코드나 보안 위협을 분석하고 차단하는 기능을 가진 장비
• 격리된 공간에서 실행되기 때문에, 실제 시스템에 영향을 미치지 않고 위험을 평가할 수 있습니다. 주로 악성코드 탐지, 네트워크 보안, 애플리케이션 테스트 등에서 사용되며, 사이버 공격에 대한 방어 수단으로 효과적입니다.

SIEM (보안 정보 및 사건 관리)

• 조직의 보안 상태를 모니터링하고 관리하기 위한 솔루션입니다.
• SIEM 시스템은 다양한 소스에서 로그와 이벤트 데이터를 수집하고, 이를 분석하여 보안 위협을 탐지하고 대응하는 데 도움을 줍니다.
• 보안장비 및 모든 자원에서 발생한 로그 통합(빅데이터기반)
• 관리되는 자원의 모든 로그를 통합하여 상관 분석
• 실시간 위협 탐지와 연관성 분석이 가능
• 시나리오를 통한 위협 분석이 가능

SOAR(보안 오케스트레이션, 자동화 및 대응)

• 보안 팀이 보안 사건을 보다 효율적으로 관리하고 대응할 수 있도록 돕는 플랫폼입니다. SOAR의 주요 기능은 다음과 같습니다:
• 사이버 위협에 대한 업무의 자동화
• Playbook을 통한 보안 위협 유형에 따른 업무 자동화
• AI 기반 지능형 보안관제 시스템
• 빅데이터 기반의 SIEM과 연계 및 위협 인텔리전스 연동
• 보안 전문 인력 부족 문제 해결

ESM(Enterprise Security Management)

• 보안장비를 통합하여 중앙 집중 관리
• F/W, IDS/IPS, VPN…
• 보안 정책 수립, 시행에 맞는 보안, 관리적 목적
• 보안관리체계에 집중한 방식

한국의 SOC(Security Operations Center, 보안관제 센터)

• 국가사이버안전센터(NCSC)
• 한국인터넷진흥원(KISA)
• 민간기업

보안관제 유형

1. 원격관제

2. 파견과제

3. 하이브리드 관제

4. 클라우드 관제

• DNS 포트번호 53번
• 400 클라이언트 오류 (Bad Request): 클라이언트의 요청이 잘못되어 서버가 이해할 수 없음을 나타냅니다.
• 500 서버 오류 (Internal Server Error): 서버가 요청을 처리하는 중에 내부 오류가 발생하여 요청을 완료할 수 없음을 나타냅니다.
• 300 여러 선택지 (Multiple Choices): 요청한 리소스에 대해 여러 가지 선택지가 존재함을 나타냅니다.
• 301 영구 이동 (Moved Permanently): 요청한 리소스가 영구적으로 다른 URL로 이동했음을 나타냅니다. 클라이언트는 새로운 URL을 사용해야 합니다.
• 302 임시 이동 (Found): 요청한 리소스가 임시적으로 다른 URL로 이동했음을 나타냅니다. 클라이언트는 원래 URL을 계속 사용해야 합니다.
• 304 수정되지 않음 (Not Modified): 클라이언트가 요청한 리소스가 수정되지 않았음을 나타내며, 클라이언트는 캐시된 버전을 사용할 수 있습니다.

GET 방식 : 정보가 URL 에 담겨있다.

POST 방식 : 네트워크 패킷 헤더에 붙어 요청하는게 아니라 바디(본문)에 담겨서 전송된다.

와이어샤크에서 응답값이 없을 경우 : 해당포트가 닫혀있거나, 방화벽에서 차단 됐을 수 있음

통계 → 대화

• 이더넷 = 사용자의 MAC 주소 ( 랜카드에 박혀있는 고유한 주소)

APT 대응 솔루션

• 외부로부터 유입되는 탐지 위치에 따라 네트워크 APT 대응 시스템, 이메일, APT 대응시스템, 엔드포인트 APT 대응시스템 등으로 구분

웹 어플리케이션 보안에 특화된 장비

클라이언트의 요청과 웹 서버의 응답에 대한 통신 데이터에 대해 검사 및 탐지, 차단을 수행

• Request Packet 검사 후 비정상 요청에 대한 패킷 차단

웹방화벽 : 클라이언트가 요청한 것만 본다.

DDos 대응장비는 기본의 방화벽/IPS 등에 일부 포함된 DDoS방어 기능에서 벗어나 DDoS공격에 효과적으로 방어 할 수 있도록 특화된 솔루션

Snort

오픈 소스 네트워크 침입 탐지 시스템(IDS) 및 침입 방지 시스템(IPS)

네트워크 트래픽을 실시간으로 모니터링하고 분석하여 악성 활동이나 공격 시도를 탐지하는 데 사용됩니다. 주요 기능은 다음과 같습니다:

• 패킷 캡처: 네트워크를 통해 흐르는 패킷을 캡처하여 분석합니다.
• 침입 탐지: 미리 정의된 규칙에 따라 패킷을 분석하여 악성 코드나 공격 패턴을 탐지합니다.
• 침입 방지: 탐지된 공격에 대해 자동으로 차단 조치를 취할 수 있습니다.
• 로그 및 보고: 탐지된 이벤트에 대한 로그를 기록하고, 필요한 경우 경고를 생성합니다.
• 유연한 규칙 설정: 사용자가 규칙을 정의하여 특정 트래픽을 필터링하거나 모니터링할 수 있습니다.

Snort는 강력하고 유연한 보안 솔루션으로, 다양한 환경에서 널리 사용되고 있습니다.

SOAR

SOAR(보안 오케스트레이션, 자동화 및 대응)는 보안 팀이 사이버 보안 사건을 보다 효과적으로 관리하고 대응할 수 있도록 돕는 플랫폼입니다. SOAR의 주요 기능은 다음과 같습니다:

• 오케스트레이션: 다양한 보안 도구와 시스템을 통합하여 서로 간의 작업을 조정하고 자동화합니다.
• 자동화: 반복적인 보안 작업을 자동화하여 인적 오류를 줄이고, 보안 팀의 효율성을 높입니다.
• 사건 대응: 보안 사건 발생 시 신속하게 대응할 수 있는 프로세스를 제공하여 사건 처리 시간을 단축합니다.
• 협업 기능: 보안 팀 내에서 원활한 커뮤니케이션과 협업을 지원하여 사건 해결을 가속화합니다.
• 보고 및 분석: 사건 대응 과정과 결과를 기록하고 분석하여 지속적인 개선을 도모합니다.

SOAR 플랫폼은 보안 운영을 최적화하고, 위협 탐지 및 대응 능력을 강화하는 데 중요한 역할을 합니다.