| BAS, Wazuh 개념 정리
BAS (Breach and Attack Simulation)
: 최신 공격 기법(TTPs)을 자동화된 시나리오로 구현해 보안 인프라가 실제로 공격을 막아낼 수 있는지 지속적으로 검증하는 기술로 다음과 같은 공격을 포함한 다양한 시나리오를 시뮬레이션할 수 있다.
*TTPs (Tatics, Tachniques, Procedure) : 전술, 기술, 절차의 약어로 정수나 스트링 값으로 표현하기 어려운 공격자의 행동 패턴과 방식 설명 가능
- 피싱 메일 시뮬레이션 : 악성 파일이나 링크가 포함된 메일을 전송해 클릭을 유도해 내부 PC 권한 획득 과정을 테스트
- 악성 스크립트 실행 : 비정상적인 프로세스를 실행해 실시간으로 탐지 가능한지 테스트
- 자동 실행 등록 : 시스템 재부팅 후에도 공격자가 권한 유지할 수 있도록 레지스트리에 악성 코드를 등록하는 행위 테스트
- 자격 증명 탈취 : 메모리에서 관리자의 정보 탈취 시도를 테스트
- 네트워크 스캔 : 감염된 PC 주변에서 서버나 데이터베이스 탐색 행위가 탐지되는지 테스트
- 랜섬웨어 : 외부 서버로 대량의 데이터를 전송해 네트워크 DLP나 방화벽이 탐지되는지 테스트
- 데이터 유출 : 특정 폴더 내 파일을 암호화해 엔드포인트 보안 솔루션 반응을 테스트
*DLP(Data Loss Prevention) : 조직 내부의 민감한 정보가 외부로 유출되는 것을 탐지하고 차단하는 기술로 특정 패턴이나 키워드가 포함된 데이터가 승인되지 않은 경로로 나가려 할 때 제어
1) Endpoint DLP : USB 복사, 메신저 파일 전송, 화면 캡쳐 등을 차단
2) Network DLP는 네트워크를 통해 나가는 패킷을 분석해 차단
-BAS가 필요한 이유
- 자동적이고 지속적인 점검 가능 : 매일 변화하는 보안 환경에서 변화와 공격에 즉각적으로 대응하고 잠재적인 위협을 신속하게 식별하여 해결할 수 있다.
- 정량적인 확인 가능 : 탐지율, 차단율, 대응 시간 같은 지표를 수치화해 제시하여 정량적으로 보안 상태를 점검할 수 있다.
- 비용 절감과 보안 인력 효율화 가능 : 전문가가 주기적으로 점검하던 기존의 모의 해킹, 취약점 진단 방식과 다르게 자동으로 점검을 시행해 인력 투입 시간과 빈도를 줄여 인건비를 절감하고 유의미한 공격 로그만 골라내 점검하기 때문에 효율적인 업무 처리가 가능하다.
-대표 BAS 도구
- Atomic Red Team
공격 기법을 아주 작은 단위로 분해해 독립적으로 실행시켜 탐지 규칙, EDR, SIEM, 로그 수집 상태를 검증하는 라이브러리이다.
*EDR(Endpoint Detection and Response) : 프로세스 실행, 네트워크 연결, 파일 수정 등 엔드포인트에서 발생하는 활동을 감시하고 위협에 대응하는 기술
*SIEM(Security Information and Event Management) : 서버, 네트워크 장비, 보안 솔루션 등에서 발생하는 로그를 표준화해 저장하고 사전에 정의된 규칙이나 머신러닝 모델을 통해 분석하는 중앙 관리 시스템
- MITRE CALDERA
사용자가 직접 공격 시나리오를 커스텀할 수 있는 자동화 공격 시뮬레이션으로 MITRE ATT&CK를 기반으로 구축되었으며 코어 시스템과 플러그인 구조로 되어 있다. MITRE CALDERA는 크게 서버와 에이전트로 나뉘는데 대상 시스템에 에이전트를 실행시켜 서버와 통신을 시작하고 서버는 설정된 공격자 프로필을 바탕으로 현재 상황에서 실행 가능한 적절한 공격 기술을 선택하여 에이전트가 해당 환경에 맞는 스크립트를 실행한다. 이 실행 결과에서 새로운 정보를 습득하면 이를 활용해 다음 공격에 반영하는 프로세스로 진행된다.
*코어 시스템 : 중앙 서버와 대상 시스템으로 구성된 C2(Command & Control)서버로 실제 침해 사고 환경을 재현 가능하며 REST API와 웹 인터페이스를 갖춤
**REST API(Representational State Transfer API): 자원(HTTP URI)과 자원에 대한 행위(HTTP Method), 그 행위의 내용(HTTP Message Pay Load)으로 구성되어 자원을 이름으로 구분해 해당 자원의 상태를 주고받는 REST 원리를 따르는 API
*플러그인 : 핵심 프레임워크에 걸쳐있는 별도의 저장소 (에이전트, GUI 인터페이스, TTP 컬렉션 ...)
여기서 MITRE ATT&CK(MITRE Adversarial Tactics, Techniques, and Common Knowledge)이란 전 세계에서 발생하는 실제 공격 사례를 바탕으로 공격자의 행동을 단계별로 분류한 표준 프레임워크이다. TTPs를 문서화하는 것으로 시작하였으며 위협적인 전술 기술을 패턴화 하여 공격 행동 패턴을 분석한 것을 바탕으로 TTPs 정보를 연결해 공격자의 행위를 식별한다.
Wazuh
: 엔드포인트와 서버, 클라우드 환경의 보안 모니터링, 위협 탐지, 무결성 검사 등을 수행하는 오픈소스 보안 플랫폼이다.
오픈소스라 라이선스 비용이 없어 비용을 절감할 수 있고 조직 특성에 맞는 전용 규칙을 만들기 쉬우며 클라우드 환경의 로그도 통합으로 관리할 수 있다는 장점이 있다.
*엔드포인트(Endpoint) : 네트워크와 통신하며 실제 데이터가 생성되고 소비되는 모든 개별 장치 (PC, 서버, IoT 기기...)
-구성 요소
- Agent : 엔드포인트에 설치되어 시스템 로그, 파일 변경 내역, 프로세스 리스트 등의 데이터를 실시간으로 수집한다.
- Server : 디코더를 통해 텍스트 형태의 로그를 디코딩하고 정형화된 데이터를 분석한다.
- Indexer : 분석된 데이터를 저장하고 검색할 수 있는 Open Search 기반의 고성능 엔진이다.
- Dashboard : 웹 UI를 통해 보안 이벤트를 시각화하고 취약점 리포트를 제공한다. MITRE ATT&CK 프레임워크가 내장되어 있어 어떤 전술과 기술에 해당하는지 자동으로 태깅된다.
*디코더(Decoder) : 가공되지 않은 로그를 정규표현식(Regex)을 사용해 특정 패턴을 추출하여 해석하는 번역기
**정규표현식(Regex) : 특정한 규칙을 가진 문자열의 집합을 표현하기 위해 사용하는 형식 언어로 일반 문자와 특정 의미를 지닌 메타 문자의 조합으로 이루어짐.
-탐지 흐름
- 데이터 수집 | Agent에서 로그를 수집해 암호화된 채널(Port 1514)을 통해 Server로 전송한다.
- 룰 기반 분석 | Server에서 정형화된 데이터를 규칙과 대조하여 각 규칙마다 0~15 레벨의 위험도를 할당한다.
- Alert 생성 | 위험도에 따라 MITRE ATT&CK 기법 ID, 공격 그룹 정보, 대응 지침 등을 추가해 위협 정보를 생성한다.
- Dashboard 확인 | 알림들을 차트, 지도, 표 등으로 시각화해서 위협을 추적하고 상세하게 분석한다.