핵심을 찾아내는 침해사고 분석 (입문편) 대시보드

• 정보통신망법 제2조 제1항 제7호에 따르면 ‘‘침해사고’’란 ‘‘해킹, 컴퓨터바이러스. 논리폭탄, 메일폭탄, 서비스 거부 또는 고출력 전자기파 등의 방법으로 정보통신망 또는 이와 관련된 정보시스템을 공격하는 행위를 하여 발생한 사태’’를 의미 합니다.
• 정보 자산 관련 시스템에서 발생하는 침해사고는 시스템 및 애플리케이션에서 비정상 동작이 발생하거나, 관리자가 의도하지 않은 현상(삭제, 수정, 유출 등)이 공격자에 의해 발생하는 경우를 의미합니다.

• 실습에 사용될 로그에서 공격자 IP 및 공격 대상 IP는 실습을 위해 수정되어 있습니다.

섹션 1 - 사전 학습

실습에 앞서 분석에 필요한 방법론에 대해서 살펴봅니다. 특정 패턴을 기반으로 공격 행위를 식별하는 방법과 행위 기반으로 임계치를 설정하고 위협을 식별하는 방법으로 구분해서 분석하는 방법을 학습한 다음, 영화 속 이상 행위 식별 사례를 통해 보안 사고 사례에 적용하는 방법을 같이 살펴봅니다.

_{영화 속 이상 행위 식별 사례 참고 영상 (클릭)}

섹션 2 - 침해사고대응분석 실습 1: IDS 이벤트 분석

특정 기간 동안 탐지된 침입탐지 솔루션 이벤트를 분석해 대규모 네트워크 장애를 유발시킨 원인을 분석합니다. 다음 표는 침입탐지시스템에서 추출한 침입탐지 이벤트입니다. 

TCP_Invalid_SACK라는 침입탐지시스템 시그니처는 비정상 SYN 패킷과 ACK 패킷에 의해 발생되며, 일반적으로 TCP 통신은 프로토콜에 정해진 방법으로 필요한 통신 패킷을 주고받습니다. 하지만 통신에 사용되는 프로그램이나 네트워크 특성에 따라 정해진 프로토콜과 다른 방식으로 통신하는 현상이 발생합니다. TCP_Invalid_SACK 시그니처는 이러한 현상을 기록합니다.

이러한 이유로 공격자가 비표준 방식의 프로그램을 사용할 때도 통신 내역이 탐지됩니다. 물론 탐지된 정보에는 공격자의 통신만 기록되진 않습니다. 탐지된 1441건의 이벤트에 공격자가 통신한 횟수는 소수일 것입니다. 보안 분석가는 이벤트 분석을 통해 소수의 공격 탐지 건수를 찾아야 합니다. 

실습 로그 파일을 가지고 직접 분석하는 과정을 통해 사고 원인을 추적합니다. 사고 원인에 대한 분석 결과는 분석 가이드 섹션에서 설명합니다. 앞서 강조했지만 사고 분석 과정을 직접 먼저 분석하고 분석 가이드 섹션 내용을 참고해서 직접 분석한 내용과 비교하면서 사고 분석 훈련을 수행하게 됩니다.

섹션 3 - 침해사고대응분석 실습 2: 어플리케이션 로그 분석

웹 로그 분석을 통해 침해사고 발생 시스템의 사고 경위를 분석합니다. 로그 가공 작업은 분석되지 않거나 불필요한 정보를 치워서 좀더 효율적으로 이벤트를 분석하기 위한 작업입니다. 하지만 이러한 트래픽은 짚더미처럼 수 없이 많습니다. 짚더미에 숨어 있는 바늘 같은 공격 트래픽을 찾는 일은 결코 쉬운 일이 아닙니다.

두번째 실습에서는 웹 로그를 이용해 짚더미를 치우는 방법을 같이 살펴보게 됩니다. 로그 파서 또는 스플렁크를 설치하고 윈도우 웹서버 로그 분석 과정을 실습해봅시다.

섹션 4 - 침해사고대응분석 실습 3: 네트워크 패킷 분석

파일 확장자 제한을 우회한 공격자는 게시판에 어플리케이션 실행 파일(ASP 확장파일)을 업로드 하고 시스템을 장악합니다. 네트워크 통신을 통해 이뤄진 웹 쉘 공격을 분석해 봅시다. 패킷분석 과정은 분석할 대상 통신이나 서버의 분석 범위를 선정하는 작업만으로도 상당히 침해분석을 효율적으로 수행할 수 있게끔 합니다. 웹쉘 통신 패킷을 분석하기 위해 분석 시 사용하는 필터 구문들을 활용해 효율적으로 패킷을 분석해보게 됩니다.

분석 과정에서 실제 네트워크 통신을 통해 실행된 백도어 파일을 추출해 보고, 어떤 통신이 이뤄졌고 서버에 어떤 피해를 주었는지 재현을 통해 추적해 봅시다.

Q. 학습하기 위해 필요한 선행 지식은 무엇인가요?

본 강의는 실습 위주로 구성되어 있습니다. 사이버 보안에 대한 기본적인 개념이나 이론은 포함되어 있지 않습니다. 본 강의의 실습을 수행하기 위해서는 IDS에 대해서 이해하고 있고, 웹 어플리케이션 설정과 웹 서버 응답코드에 대해서 이해가 필요합니다. 선수 지식은 필요하지만 해킹을 해본 적이 없어도 침해사고분석을 할 수 있습니다.

Q. 다른 보안 강의와 무엇이 다른가요?

보안 사고 분석 분석 기법이나 노하우에 대한 실무 경험을 중심으로 강의 컨텐츠를 구성하였습니다. 3가지 침해사고분석 사례는 모두 실제 사고 사례를 각색하였기 때문에 보안사고분석 경험을 향상시킬 수 있습니다. 다만, 디스크 이미지를 수집하는 법적인 의미의 포렌식 과정은 다루지 않을 것입니다.

Q. 수강 관련 참고 사항이 있나요? 

실습은 공개툴(MS Log Parser Studio, Wireshark)과 프리 트라이얼(스플렁크), 유료 제품 Microsoft EXCEL을 사용 합니다. 실습 내용에는 분석 제품을 설치하는 과정은 생략하였습니다. 각 제품별 제조사의 설치 안내 링크를 참고하여 수강생이 개별 설치를 진행해야 합니다.