한 번에 끝내는 SIEM 구축: Wazuh와 ELK를 활용한 위협 헌팅 첫걸음 (기초)
이론에서 현장으로: Wazuh+ELK SIEM 구축으로 증명하는 보안 전문가의 핵심 역량 보안 관제의 핵심인 위협 헌팅(Threat Hunting) 시스템을 직접 설계하고 운영합니다. 실제 공격 시나리오 기반의 실습을 통해, 실무 현장에서 즉각적인 성과를 낼 수 있는 전문 보안 엔지니어로 거듭나세요.
수강생 142명
난이도 초급
수강기한 무제한
안녕하세요 Zeromini 입니다.
추가 참고 자료로 Docker 환경에서의 Wazuh 구축 및 SOAR 적용 개요에 대해서 간략한 자료를
공유드리오니 학습에 참고해주시기 바랍니다.
해당 활용 강의에 대해서는 추후 업로드 하도록 하겠습니다
안녕하세요 Zeromini 입니다
아래 블로그를 참고하시어 Wazuh 에서 기본적으로 제공하는 룰 + Chainsaw + SigmaRule을 활용하여 효과적으로 위협헌팅을 수행하고 그 결과를 Wazuh Agent를 통해 ELK에서 확인이 가능합니다
안녕하세요 Zeromini 입니다
오픈소스를 활용하여 체계를 구축할수있도록 간략하게 정리해논 블로그입니다. 한번 참고해보세요
감사합니다
참고링크 :
해당 내용은 수강생인 (Airman 님) 께서 트러블 슈팅 관련하여 내용을 공유해주셨습니다
트러블슈팅 요약 : 리눅스 설치시 '영문'으로 설치 (인코딩 등 여러 문제로 인해 unattended.sh (쉘스크립트)가 정상적으로 동작을 안함
수업 중간에 아래의 명령을 수행하여 unattended 설치를 수행하라고 하는데 "영어가 아닌 다른 언어로 우분투를 설치했다면" 오류가 발생하여 설치 중에 중단됩니다. curl -so ~/unattended-installation.sh https://packages.wazuh.com/resources/4.2/open-distro/unattended-installation/unattended-installation.sh && bash ~/unattended-installation.sh -i 터미널 output: 쉘 스크립트 내의 332번째 줄에 피연산자가 없다 ~ 문제의 원인: 쉘스크립트의 331번째 줄에서 free -g 명령을 수행하여 Mem이라는 문자열을 찾아서 거기서 2번째 인자의 값을 찾겠다는 내용이 있는데 "이는 시스템의 언어가 영어가 아닌 다른 언어로 설치 했을 시 찾을 수 없어서 오류가 나타납니다." 먼저 해결 책으로는 처음부터 Ubuntu를 설치 할때 영어로 설치하자 입니다. 만약 다른 언어로 우분투를 설치했다면 아래의 과정을 통해서 영어로 변경하고 curl ~~ 명령을 수행하는것을 권장 합니다. locale -a 명령을 통해 en_US.UTF-8 이 있는지 찾습니다.있다면) sudo update-locale LANG=en_US.UTF-8
없다면) sudo locale-gen en_US.UTF-8 수행 후 sudo update-locale LANG=en_US.UTF-8 수행
재부팅 할 필요 없이 시스템 변경 사항 적용*
있든지 없든지 간에 마지막으로 다음의 명령을 수행합니다 ) source /etc/default/locale
물론 언어를 굳이 바꾸지 않고 스크립트의 내용을 free -g | awk 'NR==2{print $2}' 이렇게 바꿀 수도 있겠지만 번거롭게 쉘스크립트의 해당 내용을 찾아가고 싶지 않아서 입니다. 실패 오류가 나타나고 나서 bash ~/unattended-installation.sh -i —overwrite 이렇게 다시 overwrite 옵션만 추가해서 수행하면 되지 않는가? 라고 할 수 있는데 이 또한 "결국엔 클린 설치가 제대로 되지 않아 뭔가 설치가 되어 있지 않다고 오류가 자꾸 나타납니다."
해결방법은 강의 수강생분 'CP' 님께서 내용 공유해주셨습니다
안되는 경우 아래와 같은 방법으로 해결해주시면됩니다
Edit > Virtual Network Editor 에 들어가서 bridged to 를 automatic이 아닌 현재 사용중인 네트워크를 선택
