All Posting

힘들게.. 힘들게.. Wauzh Agent/Server 그리고 ElasticSearch를 연동하였다. 그리고 SSH 접속, Sudo 등의 몇가지 테스트한 결과 아래의 이벤트를 얻을 수 있었다. 이전 게시물을 통해 어떤 방식으로 Wazuh Agent와 Wazuh Server가 구성되는지 알아보았다. [Wazuh] Wazuh란? 구성 및 개념도[1/2] :: 하다 보면 늘어나는 업무 지식 (tistory.com) [Wazuh] Wazuh란? 구성 및 개념도[1/2] Wazuh란? Wazuh는 클라우드, 컨테이너, 서버를 보호하기 위한 오픈소스 플랫폼의 서비스이다. 즉, 잘만 사용하면 여느 유료 솔루션 부럽지 않은 Server H-IDS 유형의 오픈소스 솔루션이다. 로그 데이터 dobby-isfree.tist..
Python을 활용한 업무의 일부를 공유하는 게시물입니다. 아직 공부하는 입장이기에 부족한 부분이 있을 수 있습니다. 지적해주시면 적극 반영하도록 하겠습니다. 퍼가시거나, 업무에서 도움이 되었다면 댓글 하나씩 부탁드립니다 :) 감사합니다. Summary 어떤 파일이 있을 때, 해당 파일의 악성/정상 유무를 확인하기 가장 손 쉬운 방법은 VirusTotal에 MD5 기준으로 질의하는 것이다. 하지만, 확인해야되는 파일 개수가 너무 많으면 사람이 처리할 수 없고, 이때 VirusTotal API를 사용하면 아주아주 편하다. EXE 파일로 변환하면 아래와 같은 과정으로 File Hash를 읽고, 이를 통해 악성코드 유/무를 확인한다. 1. 특정 경로에 위치한 txt 파일을 불러오기 2. 해당 txt 파일에서 ..
1편을 이어서, 이번에는 Wazuh와 ElasticSearch 간의 데이터 연동을 알아보자! 앞편에서 설명했듯이, Wazuh는 기본적으로 Elasticsearch + Kibana와 연동을 기본으로 한다. 2. Wazuh Server ↔ Elastic Server(정확히는 ElasticSearch와 연동) 결론부터 말하면, Wazuh Server에 설치되어 있는 Filebeat를 통해 Elastic Server로 데이터를 전달한다. 위 그림과 같이 Wazuh Server에서 Filebeat가 실행되고 있음을 알 수 있다. /etc/filebeat/filebeat.yml 파일을 참조하여 시행되며, 해당 파일에는 Filebeat로 전달할 데이터와 ES 정보가 담겨있다. 위 설정을 보면 알 수 있듯이, File..
Wazuh란? Wazuh는 클라우드, 컨테이너, 서버를 보호하기 위한 오픈소스 플랫폼의 서비스이다. 즉, 잘만 사용하면 여느 유료 솔루션 부럽지 않은 Server H-IDS 유형의 오픈소스 솔루션이다. 로그 데이터 분석, 악성코드 탐지/침입 방지, 파일 무결성 모니터링, 취약점 진단/규정 준수와 같은 다양한 기능을 제공한다. > 공식홈페이지에 나와있는 내용을 발췌하면, 아래 파란색 음영처리 된 문구가 Wazuh에서 제공중인 기능이다. 기본적으로 Wazuh Agent - Wazuh Server로 구성되어 있으며, 필요에 따라 Elasticsearch와 연동하여 사용한다. - 공식홈페이지에서 ES가 기본 전제로 가이드되어 있다. Build the Wazuh Lab VPC - Prepare your Wazuh..
지금 현재 Wazuh 에이전트 테스트를 하기 위해서 AWS에 t2.micro Instance를 생성해서 진행중이다. Wazuh 가이드에는 t2.large 이상을 권고하고 있는데, large는 서비스 요금이 비싸니까.. 필자는 t2.micro로 테스트 중이다. - 사실 뭐 테스트 서버가 많은것도 아니고, 로그가 많을거 같지도 않아서 저렴한 Instance를 사용한다ㅋㅋ 가이드에서 ElasticSearch를 설치하고, 실행하는 과정이 있는데 실행이 안되는 문제가 발생했다!! systemctl status로 Elasticsearch 상태를 보니 Memory Commit 에러가 발생한 다음에 구동에 실패했다. 그리고 free -h로 보니, 사용 가능한 Memory가 400MB밖에 안된다.. Swap Memory..
Adding Security into DevOps (awssecworkshops.com) Adding Security into DevOps Overview Welcome to the world of DevSecOps! You have heard of DevOps. Nowadays, DevSecOps is becoming more popular. How can Security organizations enable developers build security into their products and services? In this workshop, you will experience how devops.awssecworkshops.com 이번에는 개발환경에서의 보안을 알아보는 workshop이다. 통상 ..
AWS Instance의 SecurityGroup 또는 VPC 설정을 잘 한다면, 위협이 줄어들 수 있겠지만 테스트를 해보면서 Instance를 만들어본 입장에서.. 생각보다 많은 공격이 유입되는거 같다. 그럴때마다 직접 대응할수도 없고, 확인한 방법이 무엇이 있을까 생각하던차!! AWS GuardDuty를 알게되었다. AWS GuardDuty란? 공식 홈페이지에서는 AWS 환경 내에서 예의치 않은 잠재적 위협이나 악의적인 활동을 식별하는 서비스로 소개되어 있다. 즉, AWS CloudTrail 로그, VPC 흐름 로그, DNS 쿼리 로그을 기반으로 악의적인 활동을 식별한다. 실제로 서비스를 활성화 한다면 아래와 같은 대시보드를 볼 수 있고, IAM/EC2/S3의 카테고리로 위협 분류되어 있다. 각 카테..
이전에 만들어둔 웹서버에 이상한 웹 트래픽이 인입되어 관련 내용을 포스팅한 적이 있었다. 그때 당시에 자체 점검했을 때는 특별한 파일 생성이력, 프로세스, Netstat 상태가 이상 없어서 단순한 해프닝으로 끝냈는데 오늘 우연히 GuardDuty 확인하다보니, 내 서버가 모네로 채굴이 악용된 흔적이 확인되었다!! [AWS][Forensic] 내 테스트 서버에 공격이 들어오다! :: 하다 보면 늘어나는 업무 지식 (tistory.com) [AWS][Forensic] 내 테스트 서버에 공격이 들어오다! [Secworkshop] Protecting workloads on AWS :: 평범한 직장인의 평범한 블로그 (tistory.com) [Secworkshop] Protecting workloads on AW..
AWS에는 보안을 위한 다양한 서비스가 존재한다. AWS Inspector, Config, GarudDuty 등등 이렇게 많은 로그를 한눈에 볼 수 있는 방법은 무엇일까? AWS SecurityHub에서 각종 서비스 및 3rd 로그를 취합하여 한눈에 모니터링 할 수 있다!! AWS SecurityHub 서비스란? AWS 보안 상태를 한눈에 보기 위한 대시보드이다. 기본적으로 GuardDuty, Inspector, Macie, Config 등의 AWS Service뿐 아니라 3rd 로그를 취합하고 이를 시각화해준다. 또한, AWS Config에서 지정한 규정 팩 외 AWS 모범사례, CIS, PCI 기반의 규정을 기반으로 점검을 할 수도 있다. - AWS가 이런점이 아주 좋은거 같다. 회사에서 필요로 하는..
Kobby
'분류 전체보기' 카테고리의 글 목록 (11 Page)