Plummmm♪

EVE-NG 에 Dynamips 설치

plummmm — Tue, 19 Apr 2022 12:38:00 +0900

https://plummmm.tistory.com/453

EVE-NG 설치 및 기본 세팅

네트워크는 이론으로만 공부할 수가 없다.. 직접 장비를 연결하고 커맨드 두들겨 봐야 알 수 있지 근데 장비를 하나하나 사서 실습해볼 수 없으니, 네트워크 시뮬레이션 도구가 필요하다. 그 중

plummmm.tistory.com

EVE-NG 설치는 상기 링크 참고하시고.. 이제 설치가 끝났으면 네트워크 실습을 위해 이미지를 올려야 한다.

지원되는 벤더 및 장비 이미지 종류는 아래 링크에서 확인이 가능하고, 목록에서 확인 후에 설치하도록 함

https://www.eve-ng.net/index.php/documentation/howtos/

영어 잘하면 그냥 위에 링크에 설치방법도 있으니까,, 보고 하면 되구,

영어 잘 못하면 그냥 이어서 쭈욱 읽고 설치하시길 바람..ㅋㅋ

시스코 라우터/스위치 이미지를 설치하기 위해선 다이나밉스(Dynamips) 이미지를 올리면된다.

시스코에서 개발한 다이나밉스라는 네트워크 에뮬레이터에서 사용되는 이미지를 EVE-NG에 설치하여 에뮬레이팅 한다고 보면 된다.

이번에는 아래 이미지를 설치할 것임

c7200-adventerprisek9-mz.152-4.S6.image

(위 이미지 외 상기 목록에 있는 이미지를 설치하는 경우에도 동일함)

c1710-bk9no3r2sy-mz.124-23.image

c3725-adventerprisek9-mz.124-15.T14.image

1. EVE-NG에 다이나밉스 이미지 업로드

WinSCP 또는 FileZila 를 통해 sftp 업로드 하는게 편하다.

이번에는 WinSCP를 쓰겠음, 사용법은 설명할 게 없다. 그냥

TCP 22 접속해서 파일을 드래그 앤 드랍하면 간편하게 업로드가 가능하다.

EVE-NG에 아래 경로에다가 업로드한다.

/opt/unetlab/addons/dynamips

addons 디렉토리 아래에는 dynamips, iol, qemu 뭐 이렇게 하위 디렉토리가 있는데..

이미지 종류별로 집어넣도록 되어 있다.

보통은 *.bin 파일로 다운받게 되어 있어서.. EVE-NG 에서 unzip 설치해가지고 압축을 풀어주어야 하는데,

나는 걍 *.image 파일로 받아서 압축을 해제할 필요가 없어 해당 과정은 뺐다.

2. EVE-NG 에서 명령어 수행

자 그럼 업로드했으면 권한 수정 작업을 진행한다.

CLI 접근해서 하기 명령어 수행한다.

/opt/unetlab/wrappers/unl_wrapper -a fixpermissions

권한 수정하고 나면 이제 IOS의 Idle-PC 값을 찾는 작업을 한다.

먼저 CLI 에서 Dynamips 이미지를 구동시켜보자.

dynamips -P 7200 /opt/unetlab/addons/dynamips/c7200-adventerprisek9-mz.152-4.S7.image

그 외 버전
dynamips -P 1700 -t 1710 /opt/unetlab/addons/dynamips/c1710-bk9no3r2sy-mz.124-23.image
dynamips -P 3725 /opt/unetlab/addons/dynamips/c3725-adventerprisek9-mz.124-15.T14.image

장비 부팅 메세지가 뜬다. 기다리다 보면 아래 초기 설정 여부를 묻는 메세지가 뜬다.

위 메세지 뜨면 다된것임. no 누르고 일단 router> 프롬프트를 띄운다.

그 상태로 ssh 세션을 하나 더 판다. 그리고 난 후 top 찍어서 cpu 점유율을 확인한다.

CPU 점유율이 어마어마한 것을 확인할 수 있다.

다시 라우터 프롬프트가 열린 프롬프트 세션으로 넘어가서 ctrl + ] 누른 뒤 떼고 바로 i 를 누름

따로 창에 나타나는 것이 없으니 그냥 명령어 수행하면됨 그러면 아래와 같이 분석(?)을 한다.

count 값이 가장 높은 0x62f21b58 PC가 IDLE-PC 값이 됨

이 값은 노드를 새로 생성할 때 최적화된 값으로 사용할 것이니 어디 따로 잘 적어두셈

나올 때는 동일하게 ctrl + ] 누르고 q 누른다.

3. 노드 생성

아까 확인한 IDLE-PC 값은 저기 넣음

이렇게하면 세팅은 끝이다.

EVE-NG 설치 및 기본 세팅

plummmm — Mon, 18 Apr 2022 19:25:21 +0900

네트워크는 이론으로만 공부할 수가 없다..

직접 장비를 연결하고 커맨드 두들겨 봐야 알 수 있지

근데 장비를 하나하나 사서 실습해볼 수 없으니, 네트워크 시뮬레이션 도구가 필요하다.

그 중 하나인 EVE-NG (구 UnetLab) 설치와 기본 세팅에 대해 알아보자.

먼저 eve-ng 공홈(https://www.eve-ng.net/) 들어가서 다운부터 받는다.

우린 무료 학습용 Community 버전으로 받고 vmware로 구동할 예정이다. 그래서 OVF 파일로 받아준다.

VMware 에서 [File] - [Open] 메뉴 선택하여 다운받은 ovf파일을 import 해줌

처음 가상머신을 구동하면 디폴트 패스워드로 로그인해준다.

root / eve

계정, DNS 도메인 설정 등은 손대지말고 아래 창이 나올 때까지 진행한다.

VM으로 구동만 시키고 우리는 웹UI 로 접근할 것인데, IP가 자꾸 바뀌면 곤란하기때문에 Static으로 할당해준다.

VMWare의 NAT 대역을 확인하기 위해 상단 [Edit] - [Virtual Network Editor] 에 접근한다.

나같은 경우는 192.168.109.0/24 대역이 할당되어 있으므로 그냥 임의로 192.168.109.5 로 할당하겠음

서브넷마스크는 24비트 (255.255.255.0), 게이트웨이 기본 세팅값

그 다음 DNS서버 설정인데, 그냥 구글 DNS를 사용했다.

그 다음 메뉴는 엔터눌러서 넘어간다~

설정이 끝나면 처음과 동일한 초기화면이 나오고, 이제 웹페이지 세팅이 완료되었으니 웹브라우저를 통해서 로그인해본다.

※ 여기서 VM 네트워크 세팅이 브릿지로 돼있으면 통신이 안된다. 아래와 같이 NAT로 세팅해야됨

설정 다됐으면 http://본인이 설정한 IP 로 접근해봄

디폴트 계정은 admin / eve

위 화면이 나오면 세팅이 정상적으로 완료된 것이다.

반려견 안정화 훈련 (Protocol for Relaxation)

plummmm — Sat, 8 May 2021 13:33:36 +0900

반려견 훈련/미용/질병 관련 카테고리의 첫 포스팅이다.

하음. . 사실 애견 관련 내용을 개재할까 말까 고민을 많이 했다. 왜냐면 이게 정답이 없기 때문이다.

(내가 전문가 였다면 고민없이 시작했겠지만, 그저 일개 보호자임)

강아지도 사람과 같은 생명체다. 각자 태어날 때부터 타고나는 기질과 성향이 다르고

같은 종이라고 해도 비슷한 양상을 띌 순 있으나 일반화 할 순 없다.

시츄같이 순하다고 소문난 강아지들.. 그럼 모든 시츄가 입질도 없고 헛짖음도 없을까, 고건 아니지

그럼 답이 없나? 정답이 정해져 있진 않지만 어느 정도 방향성은 잡을 수 있다.

나는 일반적으로 할 수 있는 댕댕이들 케어하는 방법들을 포스팅하고 직접 해보고 후기 작성(?)을 할 생각이다.

먼저 그 첫번째로.. 많이들 고민하는 분리불안, 쉽게 흥분하는 강아지들을 안정화시키는 훈련에 대해 알아보겠음

Relaxation Protocol 이란 무엇인가

위에 말했듯이 댕댕이를 차분한(?) 상태가 될 수 있도록 하는 교육이다.

처음 알게된 건 세나개(세상에 나쁜 개는 없다)를 보다가 설채현 쌤이 알려줌

세나개 밴드 포스팅 참고 : band.us/page/73655471/post/129

세상에 나쁜 개는 없다 <빌리네서 생긴 일> 본방 전 꿀팁 선공개! (깜짝 이벤트도 있다개 ) 흥분

세상에 나쁜 개는 없다 : BAND Page

band.us

총 15일 코스로 구성되어 있고, 훈련 자체는 뭐 별거 없다.

댕댕이는 앉아있기만(!) 하면 된다.

'앉아' 시킨 후에 보호자 혼자서 난리부르쓰를 추는 훈련법이다.

Karen L. Overall 이라는 이 바닥에서 유명한 박사님이 만든 교육이다.

내가 뭔짓을 하든 넌 앉아 있어, 그럼 보상을 받을 것이야

이게 이 교육의 골자인듯

일단 해당 훈련을 진행하기 위해선 앉아 교육이 선행 되어야 겠쥬

우리집 강아지도 흥분도가 높은 편이라 이 교육 방법대로 한번 해볼까 한다.

본문 아래 원문 pdf파일을 첨부하였고, 원문에 적힌 몇가지 주의사항에 대해 언급하겠음

1. 보상은 음식이며, 뇌물(ㅋㅋ)이 아닌 보상으로 주어야 한다.

2. 보호자는 항상 침착해야 하며, 행동이 일관되어야 한다.

3. 반려견이 힘들어하면 즉시 중단! (보호자가 힘들어도 중단!)

4. 15초 동안 완벽하게 앉아서 기다릴 수 있는 훈련이 선행되어야 한다.

5. 다양한 장소에서 수행하도록 함

아래는 훈련 1일차 과제이다.

이런 과정들의 각 단계별로 강아지가 완벽하게 수행할 경우 다음 스탭으로 넘어가는 것임

5초동안 앉아

10초동안 앉아

내가 한 발자국 뒤로 갔다가 다시 돌아올 때까지 앉아

내가 두 발자국 뒤로 갔다가 다시 돌아올 때까지 앉아

1초동안 앉아

...

유튜브에 관련 훈련영상이 있어 첨부 해본다. 대략적으로 저런식으로 하면 될듯..

ㅋㅋㅋㅋ진짜 댕댕이는 가만히 있고 보호자만 별짓다함

이게 강아지 훈련인지 보호자 운동시키는건지 분간이 안감

아무튼 우리집 자두한테도 적용해보고 후기 적겠음

ProtocolforRelaxation.pdf

0.16MB

AWS (Amazon Web Service) 개요

plummmm — Sun, 2 May 2021 13:40:27 +0900

블로그 이사도 했고, Cloud Network, 특히 AWS에 대해서 포스팅을 하려 합니다.

(3, 4년 전 블로그 작성을 멈춘 뒤로 자기개발을 거의 중단했는데 다시 함 해보려고 해요. 힘힘@@)

1. 개요

클라우드 서비스는 이제 선택의 영역에서 필수불가결한 영역으로 넘어가고 있다.

클라우드 환경의 서비스 운영은 너무나도 유연하고 가격면에서 합리적이기 때문에, 사용 안하는게 이상할 정도임

SOC 업무를 하고 있는 현재 나도 다수의 클라우드 환경 고객사에 대한 보안장비 운영과 기술지원을 하고 있다.

환경적인 면에서 기존 On-premise 와 다른 점이 많아, 공부를 반드시 해야겠다는 필요성을 느끼고 있었지만 이제서야 시작하네

조금 늦은 감이 있긴하지만, 이론적인 부분은 부족해도.. 그 동안 업무 중에 습득한 실무 노하우 등이 분명 포스팅에 녹여질 수 있을 거라 생각한다.

2. 그래서 AWS는 왜 하려고 함?

이건 내 스스로에게도 던지는 가장 중요한 질문이다. 이 질문에 대한 대답을 속시원하게 못해서 그동안 공부를 안했다(?)

이직, 자기개발, 업무 상 필요해서 등등 이런 두루뭉술한 목적 말고

AWS로 무엇을 구현해야 하는지 구체적인 목적. 예를 들어, On-premise -> AWS 마이그레이션, AWS 보안 등등

무엇을 위해 공부를 하는지 명확하게 정하고 시작하는 것이 좋다.

왜?

이미 클라우드 서비스는 너무 다양한 도구와 어플리케이션을 지원하고, 복잡해졌다.

매 해마다 새로운 기술이 적용되고 추가 기능이 연동되므로..

그래서 처음 접하면 도무지 무엇부터 해야 할지 감이 오지 않는다. 감을 어떻게 잡아야 할까

3. AWS 자격증

무엇을 목표로 삼아야 할지 감이 너무 안잡히면 일단 AWS 자격증 코스대로 따라가는 것도 나쁘지 않다.

출처 : https://aws.amazon.com/ko/certification/?nc2=h_ql_le_tc_c

- 아키텍트 : 말 그대로 AWS 환경 구축 전문가 과정.. AWS로 마이그레이션 할 경우 요구되는 역량

- 운영/개발 : AWS 환경에서의 개발자, 유지보수 담당에게 필요한 역량

- 그 외 전문분야 : 필수 코스들에 더하여 추가적인 스킬에 대한 역량

위와 같이 자격증을 기준으로 학습 커리큘럼을 구성할 수도 있고.. 개개인이 필요한 기능별로 case별 공부하는 방법도 있을테고

나도 아직 정확한 기준점을 잡지 못해서.. 내용 추후 보강하도록 하겠음

DDoS 방어 솔루션 (Anti-DDoS)

plummmm — Mon, 19 Apr 2021 08:01:30 +0900

디도스 공격을 방어하는 DDoS 방어 솔루션 (Anti-DDoS)에 대해 알아보자.

이름 그대로 DDOS를 방어하는 장비다.

보통 방화벽을 기준으로 외부망/내부망을 구분하는데, Anti-DDoS 장비는 방화벽 외부에 위치한다.

DDOS막는 거니까 당연히 외부망에서 트래픽 차단함

Anti-DDoS 장비 외부에 있는 엄한 장비가 부하를 받아 가용성 특이사항이 생길 수 있으므로

보통 DDOS 장비는 기본적으로 임계치를 기반으로 하여 DDOS를 방어한다.

임계치가 넘으면 현재 맺고 있는 세션 사용자 외에 추가로 들어오는 패킷들은 전부 NULL Routing 한다.

이벤트 행사 등으로 DDOS가 아닌데 트래픽이 임계치를 초과할 경우는 탐지모드로 바꾸어 운영한다.

DOS는 출발지 기준으로 판별한다. 통상적으로 출발지 기준의 가장 큰 트래픽을 임계치로,

DDOS는 목적지 기준으로 판별한다. 목적지에서 받은 총 트래픽을 기준으로 임계치 잡음

이 임계치는 일정한 값으로 정해줄 수가 없다.

서버마다 기본 유입량도 다르고, 여러가지 고려해야할 사항들이 많기 때문에

그래서 보통 임계치를 잡기위해 학습을 한다.

통상적으로 3차까지 학습하는데, 학습할 때 잡는 기준은 케이스마다 다르다.

예를 하나 들어보자.

[임계치 학습의 예시]

- 1차 : 기존 트래픽의 5배수

- 2차 : 기존 트래픽의 3배수

- 3차 : 기존 트래픽의 1.5배수

학습기간 중에 만약 공격을 받으면 그 동안 학습한 값은 쓰레기 값이 된다.

그래서 일정 기간을 정해두고 끊어서 학습함

APT(Advanced Persistent Threat) Solution

plummmm — Mon, 19 Apr 2021 07:58:26 +0900

1. APT Solution 개념

이번에는 APT 공격에 대비하여 만들어진 APT Solution에 대해 알아보자. APT 공격을 막을 수 있는 솔루션이라서 이름이 저런건 아니다. 작정하고 몇 일. 몇 달을 정보수집하여 들어오는 APT공격은 사실 방어하기 어렵다.

보통 APT공격을 할 때는 알려지지 않은 악성코드, 제로데이 취약점 등을 이용해서 들어온다.

즉, 기존에 시그니쳐가 존재하지 않는 생전 처음보는 방법으로 공격이 들어온다는 말인데..

APT Solution 이라는 말이 여기에 입각하여 나온 것이다.

완전 처음보는 수상한 놈들을 탐지하고 분석하는 솔루션 정도로 이해하면 쉬울 것 같다.

로컬에서 위협을 탐지하는게 안티바이러스라면, 네트워크 라인 가운데서 안티바이러스 역할을 하는? 것이라고 보면 될 것 같음

APT 솔루션들은 기존의 안티바이러스 제품들과 구동하는 것이 비슷한데, 비슷하면서도 좀 다르다.

비슷한 기능을 하기 때문에 보통 네트워크 흐름 상에 존재하는 안티바이러스 솔루션 이라고 말하기도 한다.

대표적으로 Ahnlab의 MDS, PaloAlto 방화벽의 WildFire 모듈, FireEye 등이 있다.

2. APT Solution 구성

그림(안랩 공홈에서 MDS 관련 그림 가져옴)에서 보는 것처럼 트래픽 중간에 끼어들어 알려지지 않은 위협에 대해

탐지/분석, 대응하는 과정이다. APT Solution의 동작방식은 기존의 안티바이러스와 조금 상이하다.

신규 악성코드나 익스플로잇이 감지되면 의심 파일을 샌드박스(가상머신)환경에 실행시켜 보고 어떻게 동작하는지 분석한 다음 악성인지 아닌지 판별한다.

만약 악성이라면 새로운 시그니쳐를 생성해 기존의 솔루션들이 새로운 위협에 대응할 수 있도록 해준다. 이 작업들을 네트워크 흐름 가운데 진행하는 것.

이런 점들이 기존의 안티바이러스와 다르다.

참고 URL : http://www.ahnlab.com/kr/site/product/productView.do?prodSeq=68

WDS (웹쉘 탐지 솔루션)

plummmm — Mon, 19 Apr 2021 07:57:47 +0900

웹쉘을 탐지하는 웹쉘 탐지 솔루션에 대해 알아보자.

WAF를 쓰면 될 것을 굳이 또 웹셀 탐지장비를 따로 쓰는 이유는 뭘까.

WAF는 OWASP top 10에 있는 모든 취약점을 탐지, 차단해야 하므로

웹쉘에 대한 탐지/차단 기능이 부족하다. 그래서 추가로 웹쉘 탐지 장비를 따로 두는 기업이 많다.

웹쉘 탐지 장비는 웹쉘을 탐지하는 기능에 추가로 개인정보 탐지, 업로드 필터링, 변경 방지 등의 기능도 제공한다.

Webshell 탐지 장비는 탐지 대상 웹 서버에 설치되고 웹 어플리케이션 디렉토리 내에 존재하는 웹쉘을 탐지한다.

웹쉘에 대한 내용은 다음에 따로 정리할 것이다.

간단하게 설명하자면 웹 어플리케이션에서 쉘을 실행시키는 기능을 담은 어플리케이션 스크립트이다.

대표적으로 UMV사의 ShellMonitor라는 솔루션을 많이들 사용한다.

쉘모니터는 어떤 형식으로 구성되는지 한번 보자.

그림과 같이 각 에이전트 (서버에 설치되는 프로그램)들에서 발생한 탐지 로그들을 서버로 전송한다.

서버는 실제 Webshell 탐지 장비로, HW+SW 형태이다.

그리고 매니져는 관리자가 운용하는 프로그램으로 관리서버에 붙어 Webshell 탐지 장비를 관리한다.

아래 그림은 Shellmonitor의 GUI화면이다.

참고 문서 : ShellMonitor_매니저 매뉴얼_표준매뉴얼

SMS / TMS / TSM

plummmm — Mon, 19 Apr 2021 07:57:23 +0900

이번에 알아볼 솔루션은 SMS, TMS, TSM 보안솔루션 관리 시스템이다.

명확하게 정의된 용어(?) 공식 명칭은 없다. 작성의 편의상 SMS로 통칭하여 작성하겠다.

SMS, TMS, TSM 등등 여러가지 이름으로 불린다. 하지만 솔루션의 기능과 가장 직관적인 연관을 가진 용어는 SMS이다.

1. SMS의 개념

SMS는 각 벤더들이 제공하는 자사의 보안솔루션을 통합 관리하는 솔루션이다.

쉽게 말해, 동일한 벤더사 제품군들에 대해 통합적으로 관리가 가능한 솔루션.

IBM의 SiteProtector, 윈스테크넷의 iTMS, HP의 TippingPoint SMS, Ahnlab의 TSM 등이 있다.

"우리 회사에서 나온 제품은 우리회사 SMS로 관리할 수 있도록 해주겠다!!" 이런 느낌이다.

아니 그럼, ESM/SIEM과 포지션이 겹치는 거 아닌가??

이놈도 이벤트, 로그에 대해 핸들링하기 용이하도록 하는 솔루션인데.

이런 의문을 가진다면 잘 따라오고 있는 거다.

결과적으로 말하면 ESM/SIEM 솔루션들은 이 SMS 솔루션에서 발생된 이벤트들을 긁어와서

사용자에게 보여주는 역할을 하기도 한다.

여기서 의문점 하나 더, ESM으로 바로 긁어오면 될 것을 왜 SMS솔루션을 한번 거치고 오는 것인가?

일단 각 벤더사 단위로 주어지는 솔루션이므로 장비에 직접 정책을 내리거나 관리하는 것이 용이하다.

이런 정책적인 부분을 관리할 때 SMS를 사용하고 ESM은 로그만 보는 식으로 활용한다.

로그를 보는 것은 ESM이 훨씬 가독성이 좋기 때문이다.

물론 무조건 이렇게 한다는 것이 아니다. 관리자 마다, 관리하는 팀마다 성향에 맞게 사용한다.

2. SMS의 기능

SMS도 ESM만큼이나 기능이 막강하다. SMS 솔루션을 ESM으로 사용하는 곳도 있다고 한다.

열거하면 아래와 같다. (센서는 SMS에 붙은 각 장비들을 일컫는다. 보통 센서라고 표현함)

- 센서의 실시간 이벤트 및 트래픽 데이터 모니터링

- 이벤트 및 트래픽의 데이터에 대한 분석 및 조회

- 수집된 이벤트 및 트래픽 로그의 정보 가공

- 중앙로그 시스템에 로그 저장 기능

- 정책 통합 관리/설정 기능 제공

- 센서의 상태정보 조회 기능

- 탐지, 방지 내용에 대한 상세정보 및 대처방법 제공

- PCRE 정규표현식 정책의 센서 적용 기능 제공

- 객체별 트래픽 추이, 공격유형 분포 공격자 및 피해자 발생 추이, 프로토콜별 / 서비스별 등 일간/주간/월간 보고서 생성 기능

- 위협정보에 대한 조치 시 조치사항 기록 및 관리 기능

bold 표시한 것들은 SMS의 핵심기능이다.

WAF (Web Application Firewall)

plummmm — Mon, 19 Apr 2021 07:55:32 +0900

1. WAF의 개념

WAF라는 장비에 대해 알아봅시다. 웹 어플리케이션 방화벽이라는 뜻이다.

웹 어플리케이션 방화벽이라면서 왜 방화벽 카테고리에 안넣고 여기에 넣었는가..

IDS/IPS 장비들과 구성, 관리 방식이 거의 동일하기 때문이다.

WAF는 웹에 특화된 L7 방화벽이라고 할 수 있다.

웹 서비스 취약점을 이용한 공격을 탐지/차단하는 보안시스템이다.

OWASP top 10을 기반으로 적용된 차단룰을 바탕으로 방어한다.

요즘 차세대 방화벽, IPS 등에서도 충분히 웹 취약점들에 대해 탐지가 가능한데,

굳이 WAF를 사용하는 이유가 뭘까?

WAF가 상대적으로 다른장비보다 가격이 저렴하면서 가장 주된 공격인 웹어플리케이션 공격을 막는 장비이기 때문이다.

또한 WAF는 SSL 통신을 탐지하는 것이 가능하다.

주로 사용되는 WAF에는 펜타시큐리티 Wapples, 모니터랩 Webinsight, Barracuda WAF 등이 있다.

2. WAF의 기능

WAF에서 제공하는 여러가지 기능에 대해 알아보자.

* Request 메세지 차단 : 요청메세지의 URL 단위 탐지 기능이다. 확장자명으로도 차단이 가능하다.

* Response 메세지 차단 : 웹서버 내부의 에러나 오류 정보를 탐지하고 차단한다. 요즘은 개인정보 차단하는데에 많이 쓰인다.

* HTTP 속성값 탐지 : HTTP 메세지의 속성값이 변조된 것을 탐지가능하다.

* Health check : WAF 하단의 웹서비스 이상유무를 확인 가능하다.

* Bypass : IPS와 마찬가지로 장애발생시 Bypass 기능을 사용가능하다.

3. WAF의 위치

WAF는 주로 인라인 구조에 들어가는데, 네트워크 흐름에서 악의적인 의도를 갖고 웹서비스로 접근하는 패킷을 잡아내야 하니까 당근 인라인 구조에 들어가야한다. (미러링으로 구성해도 된다)

IPS (Intrusion Prevention System)

plummmm — Mon, 19 Apr 2021 07:54:55 +0900

- IDS/IPS 장비 개념

IDS/IPS에 대해 알아보자. 이름 그대로 외부의 침입을 탐지하거나 차단하는 시스템이다.

KISA에서는 IDS/IPS를 이렇게 정의한다.

사용자 및 외부침입자가 컴퓨터 시스템, 네트워크 자원을 권한 없이 불법으로 사용하기 위한 시도

또는 내부사용자가 권한을 오용하여 권한 이외의 자원을 사용하기 위한 시도를 탐지하여 그 피해를

최소화하는 시스템.

라고 한다.. 보통은 방화벽과 함께 사용한다.

방화벽과의 가장 큰 차이점은, 방화벽은 일정한 규칙에 의해 아예 접근을 차단하는 것이고,

IPS는 특정 패턴 기반 탐지 및 차단 기능을 한다.

IDS/IPS는 목적에 따라 여러가지 종류로 나뉜다.

1. 호스트 기반 IDS/IPS

각 호스트 내에서 OS 감사자료와 시스템 로그 분석, 프로세스 모니터링을 통해 침입탐지하는 시스템.

시스템 로그보다 자세하지만 가독성이 떨어진다.

요즘은 HIDS같은 경우 사용되지 않는다. 제품으로 나오지도 않고.

- 장점 : 암호화 세션, 스위치 환경에서도 식별 가능 / 로컬BOF 탐지 가능 / 하드웨어가 필요없어 비용싸다.

- 단점 : CUP 점유 / 네트워크 스캔은 탐지못함 / OS 자체가 취약하면 무결성 보장 안됨.

2. 네트워크 기반 IDS/IPS

Promiscuous mode 로 동작하는 NIC를 통해 패킷 캡쳐 후, 분석을 통해 침입탐지하는 시스템.

네트워크 세그먼트의 모든 패킷을 감시하고 독립된 서버에 설치한다.

이게 보통 많이 쓰는 IDS. 스위치에 포트 미러링으로 달아놓는다.

- 장점 : 호스트의 성능에 영향X / OS 독립적 / 실시간 대응이 가능 / 기존 네트워크 환경 변화시킬 필요없음

- 단점 : 트래픽에 영향 받음 / 암호화 세션 분석 불가능 / 공격의 성공, 실패여부 식별 못함.

3. 하이브리드 IDS/IPS

호스트와 네트워크 IDS를 결합시킨 형태다.

* IPS 보안장비

개인 PC에서 IPS 세팅해서 사용할 일은 없을 것이다.

그럼 결국에는 IDS/IPS같은 보안 솔루션들은 기업망 같은 대규모 네트워크에 도입된다는 말인데..

소프트웨어적으로 구현되어있는 솔루션들은 사용하기 부적합하다. 대부분의 기업들은 웹서비스를 제공하는데, 하루에도 수만명의 사용자가 오고간다.

이런 엄청난 트래픽에 대한 침입 탐지/차단을 하려면 하드웨어로 구현된 별도의 장비가 필요하다. 그래서 기업망에서는 별도로 IDS/IPS 장비를 배치하여 사용한다.

IBM Proventia, 윈스 Sniper IPS, Cisco 파이어파워, 티핑포인트 등의 제품이 있다.

요즘 하도 장비들이 잘나와서 UTM, 차세대 방화벽 등에서도 IDS/IPS 기능이 충분히 가능하긴 하지만

이런 통합장비들에서 IPS 기능까지 사용하게 되면 CPU 점유율이 비정상적으로 증가한다던지, 많은 문제들이 생긴다.

이런 의미에서 IDS/IPS 또한 차단기능 이외 다른기능을 사용하지 않는다. (물론 케이스 마다 다르다.)

예를 들어, IDS/IPS장비로 Routing mode(L3)로 구성하는 경우는 거의 없다. TP로만 동작시킨다는 말.

차단 장치에 라우팅 기능이 들어가면 네트워크 상의 문제가 발생할 수 있기 때문이다.

그리고 최근에는 차세대 IPS라고 하여 암호화된 트래픽을 볼 수 없었던 기존의 IPS에서 업그레이드되어 SSL 통신을 감시할 수 있는 새로운 IPS들도 모습을 드러내고 있다.

* IPS 장비의 기능

이런 IDS/IPS에는 여러가지 기능들이 있다.

* Auto Blocking : 룰셋에 따라 자동으로 패킷을 차단하는 기능이다.

* Bypass : 차단될 패킷을 우회하여 통과시키는 것이다. H/W, S/W Bypass 두가지가 있다. 주로 장애발생 포인트를 찾을 때 쓴다.

- S/W Bypass : 장비 커널레벨까지 올라가지 않고 전기적으로 제어하여 우회한다.

- H/W Bypass : 장비 커널레벨까지 올라간 후 우회한다.

* UDF (User Defined) Rule : 말 그대로 벤더사가 제공하는 룰 외에 사용자 정의하는 룰이다.

* LLCF : up link 또는 down link가 끊어졌을 때, 나머지 하나의 링크도 끊어주어 장애발생을 빠르게 대처할 수 있도록 하는 기술이다.

* Asymetric Structure : 비대칭구조를 말한다. 예를 들어, 1번 방화벽으로 유입된 패킷이 2번 방화벽으로 나가는 것을 비대칭이라고 한다.

기본적으로 방화벽에서는 이런 비대칭구조의 패킷을 차단하지만 IPS에서는 차단하지 않게 할 수 있다. 실제로 장애가 많이 나는 부분이다.

* Behavior Detection : 이상행위 탐지를 말한다. 현재 활동과 행동모델을 비교하여 탐지하는 것으로 변천적인 상황대처에 용이하다.

* Misuse Dectection : 오용탐지를 말한다. 알려진 공격법 또는 보안정책을 위반하는 행위로부터 패턴을 추출해 시그니쳐를 생성하고

그 시그니쳐를 기반으로 차단하는 것. 이상행위 탐지에 비해 오탐이 적다. 다만 알려진 공격에만 대응할 수 있다는 단점이 있다.

* IDS/IPS의 위치

그럼 IPS는 수많은 보안장비들 사이에서 어디에 위치할까? IPS장비로 탐지기능만 사용할 경우에는 스위치에 포트미러링을 하고,

차단 기능을 사용할 때는 Inline 구조로 설치한다.

그치만 Inline 구성하고 차단모드 동작안시키면 IDS 되는 것임