์กฐ์ง OISF(๊ฐ๋ฐฉํ์ ๋ณด๋ณดํธ์ฌ๋จ)
์ฃผ์ ๋ณ๊ฒฝ ์ฌํญ :
- ํ๋กํ ์ฝ ๊ตฌ๋ฌธ ๋ถ์ ๋ฐ ๋ก๊น
์ ์ํ ์๋ก์ด ๋ชจ๋์ด ๋์
๋์์ต๋๋ค.
Rust๋ก ์์ฑ๋ RDP, SNMP ๋ฐ SIP. EVE ํ์ ์์คํ ์ ํตํด ๋ก๊ทธํ๋ ๊ธฐ๋ฅ์ด FTP ๊ตฌ๋ฌธ ๋ถ์ ๋ชจ๋์ ์ถ๊ฐ๋์ด JSON ํ์์ผ๋ก ์ด๋ฒคํธ ์ถ๋ ฅ์ ์ ๊ณตํฉ๋๋ค. - ์ง๋ ๋ฆด๋ฆฌ์ค์ ๋ฑ์ฅํ JA3 TLS ํด๋ผ์ด์ธํธ ์๋ณ ๋ฐฉ๋ฒ์ ๋ํ ์ง์ ์ธ์๋
JA3S ,ํ์ฉ ์ฐ๊ฒฐ ํ์์ ํน์ฑ๊ณผ ์ง์ ๋ ๋งค๊ฐ๋ณ์๋ฅผ ๊ธฐ๋ฐ์ผ๋ก ์ฐ๊ฒฐ์ ์ค์ ํ๋ ๋ฐ ์ฌ์ฉ๋๋ ์ํํธ์จ์ด๋ฅผ ๊ฒฐ์ ํฉ๋๋ค(์: Tor ๋ฐ ๊ธฐํ ํ์ค ์์ฉ ํ๋ก๊ทธ๋จ์ ์ฌ์ฉ์ ๊ฒฐ์ ํ ์ ์์ต๋๋ค). JA3์์๋ ํด๋ผ์ด์ธํธ๋ฅผ ์ ์ํ ์ ์๊ณ , JA3S์์๋ ์๋ฒ๋ฅผ ์ ์ํ ์ ์์ต๋๋ค. ๊ฒฐ์ ๊ฒฐ๊ณผ๋ ๊ท์น ์ค์ ์ธ์ด ๋ฐ ๋ก๊ทธ์์ ์ฌ์ฉ๋ ์ ์์ต๋๋ค. - ์๋ก์ด ์์
์ ์ฌ์ฉํ์ฌ ๊ตฌํ๋ ๋๊ท๋ชจ ๋ฐ์ดํฐ ์ธํธ์ ์ํ์ ์ผ์น์ํค๋ ์คํ ๊ธฐ๋ฅ์ด ์ถ๊ฐ๋์์ต๋๋ค.
๋ฐ์ดํฐ์ธํธ์ ๋ฐ์ดํฐ๋ . ์๋ฅผ ๋ค์ด, ์ด ๊ธฐ๋ฅ์ ์๋ฐฑ๋ง ๊ฐ์ ํญ๋ชฉ์ด ํฌํจ๋ ๋๊ท๋ชจ ๋ธ๋๋ฆฌ์คํธ์์ ๋ง์คํฌ๋ฅผ ๊ฒ์ํ๋ ๋ฐ ์ ์ฉํ ์ ์์ต๋๋ค. - HTTP ๊ฒ์ฌ ๋ชจ๋๋ ํ
์คํธ ๋ชจ์์ ์ค๋ช
๋ ๋ชจ๋ ์ํฉ์ ์๋ฒฝํ๊ฒ ํฌ๊ดํฉ๋๋ค.
HTTP ํํผ๊ธฐ (์: ํธ๋ํฝ์์ ์ ์์ ์ธ ํ๋์ ์จ๊ธฐ๋ ๋ฐ ์ฌ์ฉ๋๋ ๊ธฐ์ ํฌํจ) - Rust ์ธ์ด๋ก ๋ชจ๋์ ๊ฐ๋ฐํ๊ธฐ ์ํ ๋๊ตฌ๊ฐ ์ต์ ์์ ํ์ ํ์ค ๊ธฐ๋ฅ์ผ๋ก ์ ํ๋์์ต๋๋ค. ์์ผ๋ก๋ ํ๋ก์ ํธ ์ฝ๋ ๋ฒ ์ด์ค์์ Rust์ ์ฌ์ฉ์ ํ๋ํ๊ณ ์ ์ง์ ์ผ๋ก Rust์์ ๊ฐ๋ฐ๋ ์ ์ฌ ๋ชจ๋๋ก ๋ชจ๋์ ๊ต์ฒดํ ๊ณํ์ ๋๋ค.
- ์ ํ์ฑ์ ๋์ด๊ณ ๋น๋๊ธฐ ํธ๋ํฝ ํ๋ฆ์ ์ฒ๋ฆฌํ๊ธฐ ์ํด ํ๋กํ ์ฝ ์ ์ ์์ง์ด ๊ฐ์ ๋์์ต๋๋ค.
- ํจํท์ ๋์ฝ๋ฉํ ๋ ๊ฐ์ง๋ ๋น์ ํ ์ด๋ฒคํธ๋ฅผ ์ ์ฅํ๋ ์๋ก์ด "์ด์" ํญ๋ชฉ ์ ํ์ ๋ํ ์ง์์ด EVE ๋ก๊ทธ์ ์ถ๊ฐ๋์์ต๋๋ค. EVE๋ ๋ํ VLAN ๋ฐ ํธ๋ํฝ ์บก์ฒ ์ธํฐํ์ด์ค์ ๋ํ ์ ๋ณด ํ์๋ฅผ ํ์ฅํ์ต๋๋ค. EVE http ๋ก๊ทธ ํญ๋ชฉ์ ๋ชจ๋ HTTP ํค๋๋ฅผ ์ ์ฅํ๋ ์ต์ ์ด ์ถ๊ฐ๋์์ต๋๋ค.
- eBPF ๊ธฐ๋ฐ ํธ๋ค๋ฌ๋ ํจํท ์บก์ฒ๋ฅผ ๊ฐ์ํํ๊ธฐ ์ํ ํ๋์จ์ด ๋ฉ์ปค๋์ฆ์ ์ง์ํฉ๋๋ค. ํ๋์จ์ด ๊ฐ์์ ํ์ฌ Netronome ๋คํธ์ํฌ ์ด๋ํฐ๋ก ์ ํ๋์ด ์์ง๋ง ๊ณง ๋ค๋ฅธ ์ฅ๋น์์๋ ์ฌ์ฉํ ์ ์๊ฒ ๋ ์์ ์ ๋๋ค.
- Netmap ํ๋ ์์ํฌ๋ฅผ ์ฌ์ฉํ์ฌ ํธ๋ํฝ์ ์บก์ฒํ๋ ์ฝ๋๊ฐ ๋ค์ ์์ฑ๋์์ต๋๋ค. ๊ฐ์ ์ค์์น์ ๊ฐ์ ๊ณ ๊ธ Netmap ๊ธฐ๋ฅ์ ์ฌ์ฉํ๋ ๊ธฐ๋ฅ์ด ์ถ๊ฐ๋์์ต๋๋ค.
VALE ; -
์ถ๊ฐ๋จ ๊ณ ์ ๋ฒํผ์ ๋ํ ์๋ก์ด ํค์๋ ์ ์ ์ฒด๊ณ๋ฅผ ์ง์ํฉ๋๋ค. ์ ์ฒด๊ณ๋ "protocol.buffer" ํ์์ผ๋ก ์ ์๋ฉ๋๋ค. ์๋ฅผ ๋ค์ด URI๋ฅผ ๊ฒ์ฌํ ๋ ํค์๋๋ "http_uri" ๋์ "http.uri" ํ์์ ์ฌ์ฉํฉ๋๋ค. - ์ฌ์ฉ๋ ๋ชจ๋ Python ์ฝ๋๋ ๋ค์๊ณผ์ ํธํ์ฑ ํ
์คํธ๋ฅผ ๊ฑฐ์ณค์ต๋๋ค.
ํ์ด์ฌ 3; - Tilera ์ํคํ ์ฒ, ํ ์คํธ ๋ก๊ทธ dns.log ๋ฐ ์ด์ ๋ก๊ทธ files-json.log์ ๋ํ ์ง์์ด ์ค๋จ๋์์ต๋๋ค.
์๋ฆฌ์นดํ์ ํน์ง:
- ํตํฉ ํ์์ ์ฌ์ฉํ์ฌ ์ค์บ ๊ฒฐ๊ณผ ํ์
ํตํฉ2 , Snort ํ๋ก์ ํธ์์๋ ์ฌ์ฉ๋๋ฉฐ ๋ค์๊ณผ ๊ฐ์ ํ์ค ๋ถ์ ๋๊ตฌ๋ฅผ ์ฌ์ฉํ ์ ์์ต๋๋ค.์๋ง๋น2 . BASE, Snorby, Sguil ๋ฐ SQueRT ์ ํ๊ณผ์ ํตํฉ ๊ฐ๋ฅ์ฑ. PCAP ์ถ๋ ฅ ์ง์; - ํ๋กํ ์ฝ(IP, TCP, UDP, ICMP, HTTP, TLS, FTP, SMB ๋ฑ) ์๋ ๊ฐ์ง ์ง์์ ํตํด ํฌํธ ๋ฒํธ๋ฅผ ์ฐธ์กฐํ์ง ์๊ณ (์: HTTP ์ฐจ๋จ) ํ๋กํ ์ฝ ์ ํ๋ณ๋ก๋ง ๊ท์น์์ ์์ ํ ์ ์์ต๋๋ค. ๋นํ์ค ํฌํธ์ ํธ๋ํฝ). HTTP, SSL, TLS, SMB, SMB2, DCERPC, SMTP, FTP ๋ฐ SSH ํ๋กํ ์ฝ์ฉ ๋์ฝ๋ ๊ฐ์ฉ์ฑ
- Mod_Security ํ๋ก์ ํธ ์์ฑ์๊ฐ ๋ง๋ ํน์ HTP ๋ผ์ด๋ธ๋ฌ๋ฆฌ๋ฅผ ์ฌ์ฉํ์ฌ HTTP ํธ๋ํฝ์ ๊ตฌ๋ฌธ ๋ถ์ํ๊ณ ์ ๊ทํํ๋ ๊ฐ๋ ฅํ HTTP ํธ๋ํฝ ๋ถ์ ์์คํ
์
๋๋ค. ์ ์ก HTTP ์ ์ก์ ๋ํ ์์ธํ ๋ก๊ทธ๋ฅผ ์ ์งํ๊ธฐ ์ํ ๋ชจ๋์ ์ฌ์ฉํ ์ ์์ผ๋ฉฐ ๋ก๊ทธ๋ ํ์ค ํ์์ผ๋ก ์ ์ฅ๋ฉ๋๋ค.
์ํ์น. HTTP๋ฅผ ํตํด ์ ์ก๋ ํ์ผ ๊ฒ์ ๋ฐ ํ์ธ์ด ์ง์๋ฉ๋๋ค. ์์ถ๋ ์ฝํ ์ธ ๊ตฌ๋ฌธ ๋ถ์์ ์ง์ํฉ๋๋ค. URI, ์ฟ ํค, ํค๋, ์ฌ์ฉ์ ์์ด์ ํธ, ์์ฒญ/์๋ต ๋ณธ๋ฌธ์ผ๋ก ์๋ณํ๋ ๊ธฐ๋ฅ - NFQueue, IPFRing, LibPcap, IPFW, AF_PACKET, PF_RING์ ํฌํจํ์ฌ ํธ๋ํฝ ์ฐจ๋จ์ ์ํ ๋ค์ํ ์ธํฐํ์ด์ค๋ฅผ ์ง์ํฉ๋๋ค. PCAP ํ์์ผ๋ก ์ด๋ฏธ ์ ์ฅ๋ ํ์ผ์ ๋ถ์ํ๋ ๊ฒ์ด ๊ฐ๋ฅํฉ๋๋ค.
- ๊ณ ์ฑ๋ฅ, ๊ธฐ์กด ์ฅ๋น์์ ์ต๋ 10๊ธฐ๊ฐ๋นํธ/์ด์ ํ๋ฆ์ ์ฒ๋ฆฌํ๋ ๋ฅ๋ ฅ.
- ๋๊ท๋ชจ IP ์ฃผ์ ์ธํธ์ ๋ํ ๊ณ ์ฑ๋ฅ ๋ง์คํฌ ์ผ์น ๋ฉ์ปค๋์ฆ์ ๋๋ค. ๋ง์คํฌ ๋ฐ ์ ๊ท์์ผ๋ก ์ฝํ ์ธ ์ ํ์ ์ง์ํฉ๋๋ค. ์ด๋ฆ, ์ ํ ๋๋ MD5 ์ฒดํฌ์ฌ์ ๋ฐ๋ฅธ ์๋ณ์ ํฌํจํ์ฌ ํธ๋ํฝ์์ ํ์ผ์ ๊ฒฉ๋ฆฌํฉ๋๋ค.
- ๊ท์น์์ ๋ณ์๋ฅผ ์ฌ์ฉํ๋ ๊ธฐ๋ฅ: ์คํธ๋ฆผ์ ์ ๋ณด๋ฅผ ์ ์ฅํ๊ณ ๋์ค์ ๋ค๋ฅธ ๊ท์น์์ ์ฌ์ฉํ ์ ์์ต๋๋ค.
- ๊ตฌ์ฑ ํ์ผ์ YAML ํ์์ ์ฌ์ฉํ๋ฉด ๋ช ํ์ฑ์ ์ ์งํ๋ฉด์๋ ๊ธฐ๊ณ ์ฒ๋ฆฌ๊ฐ ์ฉ์ดํฉ๋๋ค.
- ์์ ํ IPv6 ์ง์;
- ํจํท์ ์๋ ์กฐ๊ฐ ๋ชจ์ ๋ฐ ์ฌ์กฐ๋ฆฝ์ ์ํ ๋ด์ฅ ์์ง์ผ๋ก, ํจํท์ด ๋์ฐฉํ๋ ์์์ ๊ด๊ณ์์ด ์คํธ๋ฆผ์ ์ฌ๋ฐ๋ฅด๊ฒ ์ฒ๋ฆฌํ ์ ์์ต๋๋ค.
- ํฐ๋๋ง ํ๋กํ ์ฝ ์ง์: Teredo, IP-IP, IP6-IP4, IP4-IP6, GRE;
- ํจํท ๋์ฝ๋ฉ ์ง์: IPv4, IPv6, TCP, UDP, SCTP, ICMPv4, ICMPv6, GRE, ์ด๋๋ท, PPP, PPPoE, Raw, SLL, VLAN;
- TLS/SSL ์ฐ๊ฒฐ ๋ด์ ๋ํ๋๋ ํค ๋ฐ ์ธ์ฆ์ ๋ก๊น ๋ชจ๋.
- ๊ณ ๊ธ ๋ถ์์ ์ ๊ณตํ๊ณ ํ์ค ๊ท์น์ผ๋ก๋ ์ถฉ๋ถํ์ง ์์ ํธ๋ํฝ ์ ํ์ ์๋ณํ๋ ๋ฐ ํ์ํ ์ถ๊ฐ ๊ธฐ๋ฅ์ ๊ตฌํํ๊ธฐ ์ํด Lua์์ ์คํฌ๋ฆฝํธ๋ฅผ ์์ฑํ๋ ๊ธฐ๋ฅ.
์ถ์ฒ : opennet.ru