블로그 이름 뭐라고 짓냐..

1. 서버 단위

Windows Server, Unix

window: Event Log [시스템, 애플리케이션, 보안], access.log, error.log, DB Log

Unix: Message Log, audit, auth, mail, access.log, error.log

2. 클라이언트

Windows: Event Log  [시스템, 애플리케이션, 보안]

3. 네트워크 기반

스위치, 라우터, 공유기, 보안 솔루션들..

Unix 계열이기 때문에 1번에서 수집해야하는 로그 위주로 수집 + 각 장비별 특성에 따른 로그 수집

ex) 스위치: 통신 테이블 내역, port에 대한 on off 설정 정보들 (config 설정 정보)

FW, IDS/IPS, WAF + 1~3번에 해당되는 로그를 모두 수집 → Splunk DB로 수집 [SIEM]

SIEM을 구축한다

FW, IDS/IPS: WAZUH로 구현

WAF: MODSECURITY로 구현

[공격유형]

1. 네트워크

스니핑, 스푸핑, DoS, DDoS, 스캐닝  →  공격들이 임계치가 존재함

→ IDS/IPS로 차단이 가능 (비정상행위) (로그인 n번 실패시 비정상행위로 감지)

접근 통제가 필요한 서버(DB)

→ F/W(방화벽)

2. 웹: WAF (Request, Response)

SQLi, XSS, CSRF, SSRF, SSTI, FileUpload, LFI/RFI, Directory Listing..

3. 내부자

자료유출(메일, 프린터, 메신저)  →  DLP를 통해 가능

4. 악성코드

문서형(문서파일), 파일리스(Code 기반), 실행파일(exe)

파일리스 → powershell 코드 사용 →  바로 메모리에 적재 가능 → file less

→ AV, EDR

5. 물리형태

비인가 단말기 연결, USB사용

→ NAC 

                                                                                                                                        (tomcat) 

인터넷 --------------- 라우터 ---------------  FW/IDS/IPS --------------- WAF/DMZ --------------- WAS --------------- Private

                                                                                                   (WEB, apache))                                            (DB)

                                                                                                              |

                                                                                                            FW

                                                                                                              |

                                                                                                          내부망

                                                                                           경영진, 정보보호팀 등등)

3 TIER  (WAF /DMZ, WAS, Private)

1) 인터넷에서 WAS에 직접 연결 불가능

2) 인터넷에서 DB에 직접 연결 불가능

개념

• 보안을 모니터링하고 관리하는 부서 또는 기능
• 조직의 정보 시스템과 네트워크 보호, 보안 위협 탐지, 대응 및 조치를 취하여 보안사고를 예방하고 관리

역할

1. 모니터링
2. 사이버 위협 탐지
3. 사고 대응 및 조치
4. 로그 분석 및 보고
5. 보안 교육과 훈련

구성요소

• 인프라와 도구
• 인력
• 정책 및 절차

유형

• 내부 SOC → 5%
• 외부 SOC → 95%
• 하이브리드 SOC 

보안관제  프로세스

SIEM - 통합 솔루션

CTI - 위협정보를 정형화해서 데이터 제공

보안관제 프로세스 사이클

위협탐지 접수 →  초동분석 위협 →  분석 위협 →  대응 보고서

관제장비 구성 개념도

방화벽/IDS/IPS가 DDOS보다 중요도가 있음

관제장비의 종류 및 범주

네트워크에 DDOS 가 빠짐

시스템에 DB SAFER, WAF가 빠짐

단말보안

EDR - 백신기능(탐지하는 기능), 차단하는 기능을 같이 갖고 있는 솔루션

관제장비 특성

DDoS 장비 - 평상시 트래픽 대비 과도한 트래픽 발생시 차단

(장비가 성능이 굉장히 좋아야 함)

DDoS 장비는 DDoS 공격을 절대 100% 막을 수 없음

방화벽 - 접근제어 솔루션(문지기)

네트워크 계층과 전송계층의 IP/Port 데이터를 기반으로 동작

클라우드 - ACL, 다르게 보면 AWS 보안그룹 (인바운드, 아웃바운드에 설정할 수 있음)

공격자가  IP/Port 를 얼마든지 변경할 수 있어서 100% 방지를 할 수 없음

방화벽이 있어도 90% 정도는 뚫린다

서버측 방화벽

클라이언트측 방화벽(End User)

네트워크 자체의 방화벽 

방화벽의 주요기능

• 접근통제 및 인증
• 로깅 및 감사 (로그는 보통 1년 이상 보관해야 함),  1년에 1회는 무조건 감사를 받아야 함
• 데이터 기밀성(암호화)
• 보안 정책(허용된 사람만 들어오게 하는 정책)
• NAT(IP를 바꿔주는 것),  공인 IP(겹치지 않는), 사설IP(누그든지 쓸 수 있는)
• NAT  - 하나의 공인 IP를 사설IP로 쪼개서 다 사용할 수 있게 하고 나갈 때는 공인 IP 하나로
• 대역폭 관리

방화벽 운영 2원칙

우선 차단 정책 (화이트 리스트) →  허용하는 것 이외에는 모두 차단, 가장 일반적으로 사용하는 기본 정책

우선 허용 정책 (블랙 리스트) → 화이트 리스트보다 더 운영하기 힘듬 (잘 사용 안함)

방화벽이 하지 못하는 일

• 방화벽을 통과하지 않는 트래픽은 방어할 수 없음
• 외부 공격을 돕는 내부자 또는 악의적인 내부자는 방어할 수 없음
• 외부 →  방화벽 →  DMZ →  PC 
• DMZ →  PC 사이에 악의적인 .... 
• 노트북, 스마트폰, 휴대용 저장 장치들이 감염된 상태에세 내부망에 연결되는 경우
• 단말기가 허용이 됨 →  통신이 허용이 됨
• 방화벽을 거치지 않는 무선장비들은 확인할 수 없음

차세대방화벽 (NG Firewall)

• 컨텐츠 제어

          IDS, IPS, WAF가 하는 역할이 컨텐츠 제어인데 현재는 방화벽에도 들어가 있음

• 인공지능

관제장비 특성 - IDS(침입탐지시스템)

IDS에서 기능이 업그레이드 된 것이 IPS

• 탐지만 하는 것 IDS
• 탐지 뿐만 아니라 차단까지 하는것  IPS

IDS 기능

• 경보
• 셔닝 (Shunning) →  공격자나 의심스러운 호스트의 발신지 IP주소 및 서비스 포트에 대해 해당 패킷을 차단하도록 지시
• 사용자 프로그램 실행

침입탐지 대상에 따른 분류

1. 네트워크 기반

2. 호스트 기반 (사용 안함, 개념만 알기)

네트워크 라인에 IDS를 설치

실시간으로 패킷을 분석, 트래픽을 분석해서 악성 행위를 탐지&차단할 수 있음

침입탐지 방식에 따른 분류

1. 오용탐지 - 패턴 매칭을 통하여 판단, 새로운 침입 유형의 탐지가 불가능 하므로 지속적인 시그니처 업데이트가 필요

2. 비정상 행위 탐지 - 통계자료를 기반으로 판단,  공격이 아님에도 공격으로 오인할 가능성이 높음 (로그인 여러번 실패시)

IDS는 방화벽 뒤에 설치되는게 일반적 (3번)

때에 따라서 4번, 5번에 설치되기도 함(예산이 많으면 3,4,5에 다 하는것이 좋음)

4번은 불순한 의도를 가진 내부자에 의해 데이터를 지킬 때

현재는 공기업이나 공공기관에 탈북자(간첩)들이 위장취업을 많이함

5번  내부 공격자에 의해 중국에서 자본을 사용해 데이터를 다 빼감

설치 우선순위

방화벽 뒤 → DMZ → 내부 네트워크  

IDS기반 

In-line Mode!

관제장비 특성

VPN - 보안 목적으로 나만 접속할 수 있게 통로를 만든것

웹 방화벽 - MOD Security 사용

방화벽 - wazuh 라는 무료 솔루션이 있음

웹 방화벽의 주요기능

• Request 메세지 차단
• Response 메세지 차단
• HTTP 속성값 탐지
• Health Check (잘 안씀)
• Bypass

DLP - 민감해서 감사부서에서 전담마크함 대부분

DRM  - 암호화하는 솔루션

NAC - 네트워크를 제어하는 솔루션

접근 제어/인증

PC 및 네트워크 장치 통제(무결성 체크)

해킹, 웜, 유해 트래픽 탐지 및 차단

NAC는 EDR에서 나옴

보안 os (예전에 있었던 개념) - 몰라도 됨, 역사는 알고 있어야 함

스팸필터 솔루션

외부 에서 내부로 오는 이메일에서 악성 링크 등등을 걸러줌

메일 서버 앞단에 설치 하거나 메일 서버에 

메일 서버는 무조건 메일 서버를 거쳤다가 나한테 옴 

도입할 필요 없음 (스팸메일 차단하기엔 좋음, 그 외의 악성행위를 하는 메일에 대해서는 효과 zero)

공격자들이 선호하는 방식 - 첨부파일, 첨부파일에 비밀번호가 걸려있으면 절대 막을수가 없다...?

피싱 대응 훈련을 하게됨

백신 - end user 보안 솔루션

MDM, MAM

SOAR

SIEM

Splunk - 모든 로그들을 다 긁어올 수 있음

1. 지원하게 된 계기

리액트 개발자로 약 2년간 근무를 하다가 회사 경영난으로 권고사직을 당했다

아임 파인 갠차나 링링 링..

퇴사하고 라섹도 하고 국내/해외여행을 다니며 신나게 놀았다(약간의 공부를 곁들인)

그러다 보니 점점 다가오는 취업의 압박.

인스타그램을 보다가 발견

채용연계형..?

바로 지원

2. 지원 과정

1. 구글폼으로 자기소개서, 지원 동기 등등.. 작성하고 제출 
2. zoom으로 온라인 면접 봄
3. 인성검사 

지원서는 아무래도 성의 있게 작성하면 좋을 것 같고

온라인 면접은 면접관님 두분에 지원자 한 명으로 약 10분간 진행 (편안한 분위기)

개발을 했었다고 하니 어떤 일을 했는지를 물어보셨었다

인성검사는 50분 동안 450문항에 체크하면 됨

인성검사를 마치고

인성에 문제있는 나 자신을 되돌아보며

앞으로 착하게 살아야겠다고 다짐했다

결과는 합격

법적으로 물의를 일으킬만한 사람은 아니라 판단되었는지

다행히 인성검사에서 통과되었다

휴~

3.  따끈따끈한 OT후기

청년취업사관학교 성동캠퍼스는 장한평역 6번 출구 바로 앞에 있어서 너무 좋다

웰컴키트 받았다

한량같이 살다가 오랜만에 일찍 일어나서 몸이 삐그덕 거렸는데

커피가 있어서 너무 다행이었다

내향형 인간으로서 언제나 첫날이 가장 힘들다

어색 어색

그래도 아이스브레이킹 하고

조별로 같이 비바람을 뚫고 바짓가랑이 다 적셔가면서 점심을 먹고 오니

어색함이 많이 사라졌다

다들 많이 안 먹더라..

난 쌀한 톨 안남겼는뎋

14시 ~ 17시엔 박상선 강사님의 특강을 들었는데

Microsoft Azure, Docker, Jenkins, 쿠버네티스, CI/CD, API, OAuth 가 기억에 남는다

물론 단어만

내용은 몰라~~

느낀 점

개발하다가 온 사람이 꽤 많았다

다들 이것저것 시도해 보면서 열심히 사는구나

요즘 취업시장 어렵네

이만 줄임