테크리빗

Splunk SPL이란?Splunk SPL(Search Processing Language)은 Splunk에서 데이터를 검색, 분석 및 시각화하는 데 사용하는 강력한 쿼리 언어입니다.(DB의 SQL과 유사함)파이프라인(|)SPL은 파이프라인 개념을 사용하여 여러 명령어를 | (파이프) 문자로 연결하여 데이터를 단계별로 처리합니다. 마치 컨베이어 벨트 위에서 데이터가 각 공정을 거치며 가공되는 것과 같습니다. 기본 구조:검색 조건 | 명령어1 | 명령어2 | 명령어3 ...index 필드index는 Splunk에서 가장 기본적인 데이터 컨테이너입니다. 데이터를 수집할 때 물리적인 파일들로 저장하고 관리하는 공간(저장소)을 의미하죠. 데이터베이스의 '테이블'이나 '데이터베이스' 자체와 유사한 개념으로 생각할..

보호되어 있는 글입니다.

1. 섹션의 엔트로피 분석PE 악성코드는 악성코드 분석가의 분석을 회피하기 위해 파일 데이터를 압축, 패킹, 인코딩, 암호화등을 수행한다. 이러한 과정을 수행했을 때 엔트로피 값이 증가하게 되고, 악성코드 분석가는 각 섹션들의 엔트로피 값이 7 이상이면, 악성코드로 판단할 수 있다.  2. 엔트리 포인트 분석일반적인 PE 실행파일은 엔트리포인트(EP)에서 .text, .code등의 문자열을 확인할 수 있다. 하지만 악성코드들은 패킹을 하기 때문에 엔트리포인트에 패커와 관련된 문자열인. upx0 같은 형태를 확인할 수 있다. 실습Stud_PE로 확인하였을떄, 엔트리포인트(EP)가. text인 것을 통해서 정상적인 파일인 것을 확인할 수 있다. 비정상적인 파일은 엔트리포인트(EP)가 UPX1임을 통해 UPX..

1. 프로젝트 개요목적: SBOM(소프트웨어 구성 명세서)의 무결성을 블록체인을 통해 검증 및 관리배경: Log4Shell 사태 등 오픈소스 취약점이 발생해도, 기존 시스템에선 SBOM의 최신화와 무결성 확인이 어려움성과: Flask로 구현한 SBOM 자동 생성 기능 및 블록체인 기반 무결성 검증 페이지 완성  2. 프로젝트 소개문제점: SBOM 문서를 단순히 수작업 또는 기존 저장소에만 보관할 경우, 위·변조가 가능하고 최신 상태를 유지하기 어려움해결책: SBOM 데이터를 블록체인 네트워크에 등록하여 수정 이력 추적 및 무결성 검증비즈니스적 가치:신속 대응: 보안 취약점(예: Log4Shell) 발견 시, 해당 라이브러리 사용 여부를 즉각 파악투명성 확보: 블록체인을 통한 ‘변경 불가능’한 이력 관리로..

1. 프로젝트 소개snort 기반 악성코드 탐지 패턴을 개발하기 위해, 네트워크 행위를 하는 악성코드 샘플을 수집하여 분석을 진행하고 관련된 내용을 악성코드 분석보고서를 작성하였다. 또한 악성 트래픽을 탐지하기 위한 보안관제 환경을 구축하고 snort룰을 적용하여, 악성 네트워크 행위를 탐지하는 실습을 수행하였다. 2. 프로젝트 회고2.1 악성코드 분석 업무에 대한 자신감악성코드 샘플링, 악성코드 기초/정적/동적 분석, snort 룰 작성등의 전반적인 과정등을 수행하면서 실무에서도 악성코드 분석 업무를 빠르게 숙지할수 있겠다는 자신감이 생겼다. 2.2 신속한 분석의 중요성악성코드 분석도중 악성코드의 네트워크 행위가 중단되어 다시 새로운 악성코드 샘플을 수집해야하는 문제가 있었는데, 악성코드 분석 업무에서..

악성코드 분석 연습을 위해 악성코드 샘플(네트워크 행위X)를 제공받아 분석을 진행하였다. 기초분석, 정적분석, 동적분석순서로 악성코드 분석을 진행하였으며, 악성코드 분석 보고서 작성도 진행하였다.Word를 기반으로 보고서 작성하는 것은 처음이라서, 쉽진 않았지만 Word로 작성하는 연습을 통해서 해당 도구에 익숙해지는 연습을 해야겠다는 생각이 들었다. Dgrep.exe 악성코드는 네트워크 행위를 하지 않아서, 악성코드 동적 분석을 깊게 할 수 없고 탐지패턴을 만들 수는 없었다. 하지만, 정적분석 공부를 할 때 많은 도움이 됐던 샘플이다. 결론적으로 해당 실습을 통해서 악성코드 분석 도구 사용해서 분석을 하는 사용법들을 배울수 있었고, 악성코드 분석 보고서를 작성해 보면서 보고서 작성 능력도 기를 수 있었다.

정탐, 오탐, 미탐, 과탐은 보안관제업무에서 자주사용되는 용어이다. 1. 정탐, 오탐, 미탐이란?정탐은 정상적으로 탐지하는 경우로 공격이 들어왔을때 공격이라고 탐지하거나 공격이 아닌것이 들어왔을때 공격이 아니라고 탐지하는 경우를 의미한다. 오탐(False Positve)은 잘못 탐지한 경우로 공격이 들어왔는데 공격이 아니라고 탐지하거나, 공격이 아닌데 공격이라고 탐지하는 경우를 의미한다. 미탐(False Negative)은 탐지를 하지 못한 경우로 공격이 들어왔는데 탐지하지 못하는 경우를 의미한다. 2. 오탐과 미탐의 차이오탐과 미탐은 헷갈리는 용어로 두 용어를  구분하는 기준은 탐지활동을 했는지 여부에 따라 분류할수있다. 탐지활동을 했으면 오탐, 탐지활동을 하지 않았으면 미탐이다. 또한 미탐은 공격이 ..

Snort 환경을 구축하기 위해서는 다양한 프로그램을 설치해야한다. 설치 과정에서 버전 차이로 인한 호환성 문제와 구성파일 수정 과정에서 잦은 오류가 발생할수 있으므로, 차분하게 시간여유를 가지고 진행하는것이 좋다. 가상환경: VMware Workstation Pro 17운영체제: Windows 7 Professional K설치한 프로그램: Winpcap 4.1.3, Snort 2.9.2.3, Xampp 1.7.1, Base 1.4.5 , adodb-5.20.20, Notepad++ 1. 클라이언트, 서버 환경 구성1.1 server, client 가상환경 설치VMware 설치 방법과 Windows 7 Professional K 과정을 정리하였으나, Windows 7 지원이 종료된지 오래되어 크롬 설치과..

스노트(snort)란?스노트는 룰 기반 탐지(Rule-based detection) 방식을 사용하는 강력한 오픈소스 네트워크 침입 탐지 및 방지 시스템(NIDS/NIPS)입니다. 미리 정의된 규칙(Rule)과 네트워크 트래픽(패킷)을 비교하여 악의적인 활동이나 침입 시도를 실시간으로 분석하고 식별합니다.(참고) NIDS와 NIPSNIDS (Network Intrusion Detection System): 네트워크 침입 탐지 시스템. 의심스러운 활동을 발견하면 관리자에게 경고를 보냅니다.NIPS (Network Intrusion Prevention System): 네트워크 침입 방지 시스템. 탐지뿐만 아니라 해당 트래픽을 차단하는 기능까지 수행합니다.스노트 룰 구조 (Snort Rule Signature)..

1. PEview란?Window 용 실행 파일인 PE( Portable Executable )의 구조를 분석할 수 있는 도구이며, 주로 파일시그니처, 언패킹 확인,  타임스탬프 정보 확인등을 파악할때 활용한다.  2. PEview 활용 예시여러 섹션들 중에서 가장 주요하게 살펴볼 섹션은 IMAGE_NT_HEADERS이다.2.1 파일 시그니처 확인IMAGE_NT_HEADERS의 Signature를 통해서 해당 파일이 PE 파일임을 확인할 수 있다. 2.2 언패킹 확인 Virtual Size와 Size of Raw Data값이 같다는것을 통해 언패킹된 파일임을 확인할 수 있다.  패킹된 파일은 Virtual Size와 Size of Raw Data값의 차이가 크다는 것을 확인할 수 있다. (패킹된 파일은 두..