기술 이모저모

필자는 WAF 테스트를 하고자 하였으나, WAF는 아래와 같이 ALB 구성이 먼저 선행조건이라서 이번 게시물에서는 웹서버를 간단하게 만들고, ALB에 대해 정의하도록 한다. ALB(Application Load Balancer) 란? ALB는 말 그대로 Load Balancer. 즉, 사용자 요청을 적절하게 분배하는 역할을 한다. 필요에 따라 사용자 요청을 Lambda 또는 API Gateway로 전달할 수도 있지만, 필자는 인스턴스로 선택했다. 조금 더 논리적으로 구성도를 그려보면 아래와 같이 된다. 즉, 2개의 WEB Server(이하 A, B 서버) 한번은 A 서버, 한번은 B서버 부하를 분산하는 역할을 한다. ALB(Application Load Balancer) 설정 방법 ALB는 대상 그룹을 ..

Wazuh는 기본적으로 Wazuh Agent에서 생성 된 로그를 기반으로 Decode/Rule을 통해 이벤트를 탐지한다. 그렇기에 Wazuh Agent에서 어떤 로그를 수집/모니터링 및 분석할지가 중요하다!! Wazuh Server는 Wazuh Agent의 /var/ossec/etc/ossec.conf 하단에 위치한 을 기본으로 수집/모니터링한다. 위에서 볼 수 있듯이 기본적으로 /var/log 위치의 로그를 수집/분석한다. 그렇다면, 기본 경로의 파일 외 내가 원하는 로그 파일을 수집하고자 할 때는 어떻게 할 수 있을까? 아래 Wazuh Document에 나와있지만, 조금 알아보기가 어려워서 나름 정리해보았다. 작동 방식 - 데이터 수집 기록 · 와즈 문서 (wazuh.com) How it works ..

힘들게.. 힘들게.. Wauzh Agent/Server 그리고 ElasticSearch를 연동하였다. 그리고 SSH 접속, Sudo 등의 몇가지 테스트한 결과 아래의 이벤트를 얻을 수 있었다. 이전 게시물을 통해 어떤 방식으로 Wazuh Agent와 Wazuh Server가 구성되는지 알아보았다. [Wazuh] Wazuh란? 구성 및 개념도[1/2] :: 하다 보면 늘어나는 업무 지식 (tistory.com) [Wazuh] Wazuh란? 구성 및 개념도[1/2] Wazuh란? Wazuh는 클라우드, 컨테이너, 서버를 보호하기 위한 오픈소스 플랫폼의 서비스이다. 즉, 잘만 사용하면 여느 유료 솔루션 부럽지 않은 Server H-IDS 유형의 오픈소스 솔루션이다. 로그 데이터 dobby-isfree.tist..

1편을 이어서, 이번에는 Wazuh와 ElasticSearch 간의 데이터 연동을 알아보자! 앞편에서 설명했듯이, Wazuh는 기본적으로 Elasticsearch + Kibana와 연동을 기본으로 한다. 2. Wazuh Server ↔ Elastic Server(정확히는 ElasticSearch와 연동) 결론부터 말하면, Wazuh Server에 설치되어 있는 Filebeat를 통해 Elastic Server로 데이터를 전달한다. 위 그림과 같이 Wazuh Server에서 Filebeat가 실행되고 있음을 알 수 있다. /etc/filebeat/filebeat.yml 파일을 참조하여 시행되며, 해당 파일에는 Filebeat로 전달할 데이터와 ES 정보가 담겨있다. 위 설정을 보면 알 수 있듯이, File..

Wazuh란? Wazuh는 클라우드, 컨테이너, 서버를 보호하기 위한 오픈소스 플랫폼의 서비스이다. 즉, 잘만 사용하면 여느 유료 솔루션 부럽지 않은 Server H-IDS 유형의 오픈소스 솔루션이다. 로그 데이터 분석, 악성코드 탐지/침입 방지, 파일 무결성 모니터링, 취약점 진단/규정 준수와 같은 다양한 기능을 제공한다. > 공식홈페이지에 나와있는 내용을 발췌하면, 아래 파란색 음영처리 된 문구가 Wazuh에서 제공중인 기능이다. 기본적으로 Wazuh Agent - Wazuh Server로 구성되어 있으며, 필요에 따라 Elasticsearch와 연동하여 사용한다. - 공식홈페이지에서 ES가 기본 전제로 가이드되어 있다. Build the Wazuh Lab VPC - Prepare your Wazuh..

Adding Security into DevOps (awssecworkshops.com) Adding Security into DevOps Overview Welcome to the world of DevSecOps! You have heard of DevOps. Nowadays, DevSecOps is becoming more popular. How can Security organizations enable developers build security into their products and services? In this workshop, you will experience how devops.awssecworkshops.com 이번에는 개발환경에서의 보안을 알아보는 workshop이다. 통상 ..

AWS Instance의 SecurityGroup 또는 VPC 설정을 잘 한다면, 위협이 줄어들 수 있겠지만 테스트를 해보면서 Instance를 만들어본 입장에서.. 생각보다 많은 공격이 유입되는거 같다. 그럴때마다 직접 대응할수도 없고, 확인한 방법이 무엇이 있을까 생각하던차!! AWS GuardDuty를 알게되었다. AWS GuardDuty란? 공식 홈페이지에서는 AWS 환경 내에서 예의치 않은 잠재적 위협이나 악의적인 활동을 식별하는 서비스로 소개되어 있다. 즉, AWS CloudTrail 로그, VPC 흐름 로그, DNS 쿼리 로그을 기반으로 악의적인 활동을 식별한다. 실제로 서비스를 활성화 한다면 아래와 같은 대시보드를 볼 수 있고, IAM/EC2/S3의 카테고리로 위협 분류되어 있다. 각 카테..

이전에 만들어둔 웹서버에 이상한 웹 트래픽이 인입되어 관련 내용을 포스팅한 적이 있었다. 그때 당시에 자체 점검했을 때는 특별한 파일 생성이력, 프로세스, Netstat 상태가 이상 없어서 단순한 해프닝으로 끝냈는데 오늘 우연히 GuardDuty 확인하다보니, 내 서버가 모네로 채굴이 악용된 흔적이 확인되었다!! [AWS][Forensic] 내 테스트 서버에 공격이 들어오다! :: 하다 보면 늘어나는 업무 지식 (tistory.com) [AWS][Forensic] 내 테스트 서버에 공격이 들어오다! [Secworkshop] Protecting workloads on AWS :: 평범한 직장인의 평범한 블로그 (tistory.com) [Secworkshop] Protecting workloads on AW..

AWS에는 보안을 위한 다양한 서비스가 존재한다. AWS Inspector, Config, GarudDuty 등등 이렇게 많은 로그를 한눈에 볼 수 있는 방법은 무엇일까? AWS SecurityHub에서 각종 서비스 및 3rd 로그를 취합하여 한눈에 모니터링 할 수 있다!! AWS SecurityHub 서비스란? AWS 보안 상태를 한눈에 보기 위한 대시보드이다. 기본적으로 GuardDuty, Inspector, Macie, Config 등의 AWS Service뿐 아니라 3rd 로그를 취합하고 이를 시각화해준다. 또한, AWS Config에서 지정한 규정 팩 외 AWS 모범사례, CIS, PCI 기반의 규정을 기반으로 점검을 할 수도 있다. - AWS가 이런점이 아주 좋은거 같다. 회사에서 필요로 하는..