noeyag

1-1 review

noeyag — Tue, 23 Jun 2026 16:54:53 +0900

이번 블로그는 한 학기 동안 뭘 배웠는지 되짚어보려고 한다.

1학년 1학기라 아직 본격적으로 전공에 대해 깊이 배우지는 않았지만

c언어와 파이썬, 정보공학개론 수업을 들으며 기본적인 지식을 쌓을 수 있었다.

- c언어

파이썬은 고등학생 때 잠깐 배운 적이 있었지만 c언어는 처음 배우는 거라

제일 긴장됐고 열심히 따라가려고 노력했던 수업이었다.

우선 stdio, stdlib, string과 같은 다양한 헤더파일과 그 안의 기능들에 대해 알게 되었고

call by reference/value의 개념을 통해 값 전달 방식에 따라 프로그램의 동작이 달라진다는 것을 배웠다.

그리고 버블 정렬과 난수 생성을 활용해 로또 번호 생성기 프로그램을 제작했으며

타자연습기와 랜섬웨어 프로그램을 제작하며 fgets, fscanf, fwrite 같이 파일을 처리하는 법에 대해서도 배웠다.

- python

파이썬에서는 리스트, 딕셔너리, 클래스와 객체 같은 기초적인 파이썬 문법을 배웠다.

그리고 카이사르 암호, 로그 분석 ctf 문제도 풀었는데 암호화, 복호화를 실습해 보고 로그를 분석하며

실제로 보안 원리를 체험해볼 수 있어서 흥미로웠고 이러한 문제를 해결하기 위해 필요한 사고방식 등을 배울 수 있었다.

- 정보공학개론

인공지능과 기본적인 컴퓨터의 구조와 알고리즘, 네트워크 등에 대해 배웠다.

마지막 시간에는 악성 소프트웨어, 암호화 알고리즘과 같은 보안에 대한 내용도 살짝 다루셨는데

흥미로워서 2학기 때 수강할 정보보안론에 대한 기대감이 커졌다.

그리고 BAS와 Wazuh 프로젝트에도 참여하게 되었다.

가상 환경을 구축하고 atomic red team의 다양한 기법과 Wazuh를 실습해봤는데

이런 프로젝트에 참여하는 것이 처음이라 환경 설정부터 애를 많이 먹었지만 이렇게 실제

보안 업무에서 사용되는 것들을 학습하고 직접 사용해 보니 너무 신기하고 뿌듯했다.

그리고 이러한 지식과 기술을 익히기 위해 학교 강의뿐만 아니라 교내외 프로젝트에

열심히 참여해야겠다고 생각하게 되었다.

week 03

noeyag — Sun, 31 May 2026 17:46:20 +0900

| Wazuh 환경 구축

VMware에 Ubuntu를 설치하여 진행하였다.

먼저 Ubuntu의 버전을 확인했다.

Wazuh 서버와 외부의 에이전트 등이 서로 통신하기 위해 네트워크 설정을 변경해야 한다.

VM settings에서 Network Adapter로 들어가 Bridged 모드로 지정한 후 Wazuh 설치를 시도했는데

계속 네트워크 연결이 실패했다고 나와서 NAP 모드로 변경한 후 진행했다.

Wazuh에 접속할 IP를 얻으려고 하는데 ens33에 정상적으로 나타나지 않았다.

가상머신의 네트워크 어댑터가 공유기나 VMware 넷 환경으로부터 IP를 정상적으로 할당받지 못했기 때문이라는데

VMware 우측 하단에 있는 Network Adapter 아이콘을 통해 연결 상태를 강제 리셋하고 아래 코드들을 입력한 후

가상머신을 재부팅했다.

sudo ip link set ens33 down
sudo ip link set ens33 up
sudo systemctl restart NetworkManager

이후 다시 ip addr를 입력했더니 inet 옆에 정상적으로 IP가 할당된 것을 확인할 수 있었다.

그리고 공식 사이트(https://documentation.wazuh.com/current/quickstart.html)의 안내대로

Wazuh를 All-in-one 방식으로 설치하였다.

curl -sO https://packages.wazuh.com/4.14/wazuh-install.sh && sudo bash ./wazuh-install.sh -a

위 코드를 입력했더니 curl이 설치되어있지 않다고 떠서 아래 명령어들을 통해 우선 curl을 먼저 설치해줬다.

*curl : 인터넷에서 파일을 다운로드하는 명령어

sudo apt update
sudo pat install curl -y

다시 Wazuh 설치 도우미를 설치하고 실행하는 명령어를 입력해

위와 같이 설치 완료 문구와 함께 사용자 이름과 비밀번호가 뜨는 것을 확인했다.

sudo systemctl status wazuh-indexer
sudo systemctl status wazuh-manager
sudo systemctl status filebeat
sudo systemctl status wazuh-dashboard

위 명령어를 통해 Wazuh-Indexer, Wazuh-Manager, Filebeat, Wazuh-Dashboard가 정상적으로 설치됐는지 확인했다.

*마지막 사진과 같이 다 출력된 후 (END) 문구가 나온다면 q 키를 눌러 상태 화면에서 빠져나오기!

브라우저에 위 ip를 입력하면 경고 메시지가 뜨는데 무시하고 이동하면 위와 같은 로그인 화면이 나온다.

여기에 아까 받아둔 사용자 이름과 비밀번호를 입력하여 Wazuh에 접속했다.

sudo ss -nltp

다시 Ubuntu의 터미널로 돌아와 Wazuh의 주요 포트들이 LISTEN 상태로 잘 켜져있는지 확인했다.

[ Wazuh 주요 포트 ]

443 (TCP) : Wazuh Dashboard에 접속할 때 사용
1514 (TCP) : Agent들이 서버로 로그를 전송할 때 사용
1515 (TCP) : 새 Agent를 등록하고 인증서를 발급할 때 사용
55000 (TCP) : Dashboard와 Manager 간의 내부 API 통신에 사용
9200 (TCP) : 수집된 로그를 Indexer에 저장 및 검색할 때 사용

New START Wazuh

Wazuh에서 Deploy new agent에서 Agent 환경을 Windows로 선택하고 설치했다.

Wazuh의 메인 화면으로 넘어가 Agent 상태를 확인하려는데 could not select any API entry라는 문구가 뜨면서 연결이 안됐다.

아래 명령어를 입력해 백엔드 서비스를 재시작하고 3분 정도 대기한 후 다시 시도했더니 정상적으로 메인화면에 진입할 수 있었다.

sudo systemctl restart wazuh-indexer
sudo systemctl restart wazuh-manager
sudo systemctl restart filebeat
sudo systemctl restart wazuh-dashboard

위와 같이 Agent가 잘 활성화되어 있는 것을 확인했다.

이제 시스템 행위를 발생시키고 Wazuh에서 로그가 수집되는지 확인해야하는데

터미널에 whoami, hostname, net user, ipconfig, netstat -ano 명령어를 입력했을 때 계속해서 로그가 발생하지 않았다.

일부러 오류 기록을 남기기 위해 net user check_test_account 같은 명령어를 입력해도 해당 시간에 로그가 찍히지 않았다.

그래서 아래와 같은 방법들을 시도해보았다...

1. 대시보드 시간 필터 변경하기

2. 관리자 권한의 Powershell에서 Agent 서비스를 강제로 껐다가 켜기

3. 로컬 그룹 정책 편집기에서 프로세스 생성 감사 설정하기

로컬 그룹 정책 편집기가 설치돼있지 않아서 gpedit.msc 설치를 시도했지만 아래 화면에서 계속 진행이 멈춰있어서 설치 포기함..

4. sysmon 설치하기

5. Ubuntu 서버와 Agent 동시에 리셋하기

sudo systemctl restart wazuh-indexer wazuh-manager filebeat wazuh-dashboard
NET STOP WazuhSvc
NET START WazuhSvc

whoami나 hostname같은 단순 조회 명령어들은 위험도가 낮아 대시보드 화면에 나타나지 않도록

필터링 되어있을 수 있다고 해서 다른 방식으로 로그를 수집해 보았다.

1. 노트북 비밀번호 틀리게 입력하기

2. 사용자 계정 생성하고 삭제하기

week 02

noeyag — Tue, 19 May 2026 15:36:10 +0900

|Atomic Red Team 실습

Atomic Red Team

Red Canary에서 개발한 오픈소스 기반의 자동화 시뮬레이션 프레임워크로 공격 기법을 아주 작은 단위의 구체적인 스크립트로 분해해 테스트 할 수 있다. 모의 해킹 인프라를 구축할 필요 없이 PowerShell이나 터미널에서 명령을 내려 특정 공격을 직접 재현하고 탐지 규칙, EDR, SIEM, 로그 수집 상태를 검증한다.

Atomic Red Team의 모든 테스트 케이스는 MITRE ATT&CK 프레임워크의 테크닉 번호에 맞춰 정리되어 있다. MITRE ATT&CK는 실제 해킹 사고를 분석해 공격자들의 전술과 기법을 분류해놓은 프레임워크로 Atomic Red Team을 통해 공격 기법을 실제로 테스트해 보안 인프라가 해당 기법에 제대로 대응할 수 있는지 직접 확인할 수 있다.

[실행 흐름]

Check-Prereqs : 해당 테스트를 실행하기 위해 필요한 도구가 시스템에 존재하는지 확인
Get-Prereqs : 필요한 도구가 없는 경우 자동으로 다운로드하거나 환경을 설정
Test Execution : 실제 공격 기법을 실행하여 시뮬레이션 수행
Cleanup : 테스트 과정에서 생성된 임시 파일, 레지스트리 등을 삭제하여 시스템을 복구

VMware 설치

MITRE ATT&CK에 있는 기법들은 실제 해킹 전술이기 때문에 보안을 위해 가상환경을 구축해 테스팅하는 것이 안전하다.

Broadcom(https://support.broadcom.com/group/ecx/productdownloads?subfamily=VMware%20Workstation%20Pro&freeDownloads=true)에 접속해 회원가입 후 VMware Workstation Pro 26H1 for Windows를 다운받았다.

Home - Support Portal - Broadcom support portal

It appears your Broadcom Products and Services are supported by one of our certified Support partners Click below to be redirected to the appropriate Support Partner Portal to request support For non-product related issues (Support Portal / Licensing) Clic

support.broadcom.com

VMware에서 리눅스를 실행하기 위해 필요한 ISO 파일은 Ubuntu releases(https://releases.ubuntu.com/24.04/) 홈페이지에서 다운받았다.

가상환경 구축 과정에서 자꾸 문제가 생겨 우선 가상환경이 아니더라도 실행할 수 있는 정찰 위주의 기법을 윈도우로 테스트해보았다.

다음 블로그에 환경 설정을 마무리해 다른 기법을 몇가지 더 테스트해보고 해당 내용을 추가하겠다 ㅠ..ㅠ

우선 윈도우에서 Atomic Red Team을 설치하는 과정은 다음과 같다.

Invoke-Atomic Red Team 설치

Atomic Red Team Documentation(https://www.atomicredteam.io/docs/invoke-atomicredteam)에 제시된 안내에 따라 설치를 진행했다.

Atomic Red Team™ Documentation

Documentation for the Atomic Red Team project

www.atomicredteam.io

PowerShell을 관리자 권한으로 실행해 아래 코드를 입력한다.

#스크립트 실행 권한 허용
Set-ExecutionPolicy RemoteSigned -Scope CurrentUser -Force

#Atomic Red Team 설치
IEX (IWR 'https://raw.githubusercontent.com/redcanaryco/invoke-atomicredteam/master/install-atomicredteam.ps1' -UseBasicParsing);

#모듈 가져오기
Install-AtomicRedTeam -InstallPath "C:\AtomicRedTeam"
Import-Module "C:\AtomicRedTeam\invoke-atomicredteam\Invoke-AtomicRedTeam.psd1" -Force

(PowerShell 프로필에 가져오기 (파워쉘 실행할 때마다 자동으로 실행하도록 설정))
notepad $PROFILE를 입력해 메모장을 열어서 아래 코드를 입력 후 저장한다.

Import-Module "C:\AtomicRedTeam\invoke-atomicredteam\Invoke-AtomicRedTeam.psd1" -Force
$PSDefaultParameterValues = @{"Invoke-AtomicTest:PathToAtomicsFolder" = "C:\AtomicRedTeam\atomics"}Clear-Host
Write-Host 'Atomic Red Team 환경 구성 완료!' -ForegroundColor Cyan

MITRE ATT&CK 기법 분석 가상환

T1016 - System Network Configuration Discovery (피해 시스템의 네트워크 설정 및 구성 정보 탐색)

Invoke-AtomicTest T1016 -ShowDetailsBrief
Invoke-AtomicTest T1016 -CheckPrereqs

먼저 테스트를 실행하기 전 위 코드를 통해 T1033 기법에 어떠한 테스트 케이스가 있는지 그에 요구되는 준비물은 무엇인지 체크한다.

T1016

[ 1 ] System Network Configuration Discovery on Windows : 윈도우에서 시스템 네트워크의 구성을 탐색한다.
[ 2 ] List Windows Firewall Rules : netsh를 통해 윈도우의 방화벽 규칙을 찾아 나열한다.

*netsh(network shell) : 윈도우 시스템의 네트워크 설정을 변경하거나 확인할 수 있는 기본 내장 명령 도구

[ 4 ] System Network Configuration Discovery (TrickBot Style) : TrickBot을 통해 시스템 네트워크의 구성을 탐색한다.

*TrickBot : 악성코드나 랜섬웨어 유포를 돕는(loader) 악성코드로 주로 피싱 이메일의 첨부파일 등을 통해 침투한 후 시스템 정보를 수집하고 Adfind 같은 도구를 다운로드해 AD 환경 정찰

[ 5 ] List Open Efress Ports : 어떤 포트가 외부로 열려 있는지 테스트해 나열한다.
[ 6 ] Adfind - Enumerate Active Diretory Subnet Objects : Adfind 도구를 통해 Active Directory 환경을 정찰한다.

*Adfind : Active Directory 환경에서 명령어를 통해 정보를 빠르게 찾아낼 수 있게 해주는 정상적인 무료 커맨드라인 도구

*Active Directory(AD) : 마이크로소프트 윈도우 서버에서 회사 내 모든 컴퓨터, 사용자 계정, 프린터 등의 자원을 중앙에서 관리하는 시스템. 도메인 관리자 권한을 획득하면 명령 한 번으로도 랜섬웨어를 해당 서버 내 모든 PC에 유포할 수 있기 때문에 해커들의 목표가 됨.

[ 7 ] Qakbot Recon : Qakbot을 통해 정찰한다.

*Qakbot : 악성코드나 랜섬웨어 유포를 돕는 악성코드로 주로 피싱 이메일의 첨부파일 등을 통해 유포되며 감염되면 네트워크 내의 다른 PC로 확산을 시도한다.

[ 9 ] DNS Server Discovery Using nslookup : 엔드포인트에서 nslookup 쿼리를 사용해 Qakbot 악성코드의 대상이 되거나 손상된 호스트의 시스템 도메인 DNS 컨트롤러를 식별한다.

*nslookup : DNS 서버에서 특정 도메인의 IP나 레코드 정보를 확인하는 정상적인 명령 도구

*쿼리(Query) : 주소를 찾아달라고 DNS에 보내는 요청

*DNS(Domain Name System) : 사람이 읽을 수 있는 도메인 주소를 컴퓨터가 이해하는 IP 주소로 바꿔주는 역할로 이를 기반으로 AD 환경에서 컴퓨터가 서로를 식별함. (ex)) naver.com -> 223.130.195.200)

Invoke-AtomicTest T1016 -GetPrereqs

위 코드를 통해 T1016-6 기법에 필요한 도구를 다운받는 중에 다음과 같은 문구와 함께 보안이 작동했다고 출력되었다.

Failed to meet prereq: AdFind.exe must exist on disk at specified location (C:\AtomicRedTeam\atomics\..\ExternalPayloads\AdFind.exe)ram Files\WindowsPowerShell\Modules\Invoke-AtomicRedTeam\Private\Invoke-Process.ps1:45 문자:17 PS C:\WINDOWS\system32> ss.Start() > $null + ~~~~~~~~~~~~~~~~~~~~~~~~ + CategoryInfo : NotSpecified: (:) [], MethodInvocationException + FullyQualifiedErrorId : Win32Exceptionnfiguration Discovery on Windows

Adgine.exe가 랜섬웨어나 APT공격자들이 해킹할 때 자주 악용하는 도구이기 때문에 보안 장비가 악성행위로 규정하고 강제로 프로세스를 죽여버렸기 때문이다.

Invoke-AtomicTest T1057 -GetPrereqs

Invoke-AtomicTest T1016 -TestNumbers 1,2,4,5,7,9 *>> $HOME\Desktop\T1057_Process_Discovery.txt

T1016-6를 제외한 나머지 테스트를 진행하여 바탕하면에 결과 txt 파일을 저장하도록 했다.

T1016_1_Network_Result.txt

0.01MB

T1016_2_Firewall_Result.txt

0.34MB

T1016_4_TrickBot_Result.txt

0.01MB

T1016_7_Qakbot_Result.txt

0.04MB

T1016_9_DNS_Result.txt

0.00MB

설정에서 보호 기록에 들어가보면 다음과 같은 기록이 남아있다.

파워쉘에서 AdFind.exe를 다운로드하려고 한 행동을 악성 행동 패턴과 유사해 AI가 위험하다고 판단해 차단하고 제거한 것이다.

T1016 기법은 시스템의 네트워크 설정을 조회하는 기법이라 cleanup 전후에 시스템 자체가 바뀌는 흔적은 거의 남지 않았다.

T1057 - Process Discovery (현재 시스템에서 실행 중인 프로세스 목록 확인)

Invoke-AtomicTest T1057 -ShowDetailsBrief
Invoke-AtomicTest T1057 -CheckPrereqs

마찬가지로 테스트 실행 전 위 코드를 통해 테스트 케이스에 대한 정보와 그에 요구되는 준비물을 체크한다.

T1057

[ 2 ] Process Discovery - tasklist : 작업 목록을 통해 프로세스를 식별한다.
[ 3 ] Process Discovery - Get-Process : Get-Process PowerShell 명령을 사용해 프로세스를 식별한다.
[ 4 ] Process Discovery - get-wmiObject : get-wmiObject PowerShell cmdlet을 사용해 프로세스를 식별한다.
[ 5 ] Process Discovery - wmic process : 윈도우 관리 계측기를 활용해 프로세스를 식별한다.
[ 6 ] Discover Specific Process - tasklist : 추가 공격을 위해 명령줄 도구를 사용해 특정 프로세스를 찾아낸다.
[ 7 ] Process Discovery - Process Hacker : 시스템 프로세스에 침투하거나 약점을 식별하고 시스템에 대한 무단 제어가 가능한 Process Hack를 식별한다.
[ 8 ] Process Discovery - PC Hunter : 커널, 너컬 모듈, 프로세스, 네트워크 등의 설정에 접근해 민감한 프로세스에 접근하고 시스템 정보 수집, 보안 소프트웨어 종료를 수행할 수 있는 PC Hunter를 식별한다.
[ 9 ] Launch Taskmgr from cmd to View running processes : cmd에서 작업관리자를 실행하고 시스템에서 실행 중인 프로세스를 확인한다.

T1057-7, 8은 외부 오픈소스 모니터링 프로그램이 필요하다는 문구가 뜬다.

Invoke-AtomicTest T1057 -GetPrereqs

필요한 도구를 설치하기 위해 위 코드를 입력했더니 화면이 사진과 같은 화면이 출력되었다.

백신이 외부 모니터링 프로그램 파일을 받으려는 시도를 위험 요소로 감지해 패킷을 막은 것인데 T1057-2, 3로 프로세스 정찰 행위를 테스트할 수 있기 때문에 T1057-7,8을 제외하고 테스트를 진행하였다.

Invoke-AtomicTest T1057 -TestNumbers 2,3,4,5,6,9

7, 8번을 제외하고 테스트를 실행했더니 T1057-9에 의해 작업 관리자 창이 띄워지는 것을 확인할 수 있다.

결과 txt을 아래와 같이 추출하였고 cleanup을 실행해 테스트를 마무리하였다.

T1057_Process_Discovery.txt

1.30MB

Invoke-AtomicTest T1057 -Cleanup

week 01

noeyag — Tue, 12 May 2026 23:44:36 +0900

| BAS, Wazuh 개념 정리

BAS (Breach and Attack Simulation)

: 최신 공격 기법(TTPs)을 자동화된 시나리오로 구현해 보안 인프라가 실제로 공격을 막아낼 수 있는지 지속적으로 검증하는 기술로 다음과 같은 공격을 포함한 다양한 시나리오를 시뮬레이션할 수 있다.

*TTPs (Tatics, Tachniques, Procedure) : 전술, 기술, 절차의 약어로 정수나 스트링 값으로 표현하기 어려운 공격자의 행동 패턴과 방식 설명 가능

피싱 메일 시뮬레이션 : 악성 파일이나 링크가 포함된 메일을 전송해 클릭을 유도해 내부 PC 권한 획득 과정을 테스트
악성 스크립트 실행 : 비정상적인 프로세스를 실행해 실시간으로 탐지 가능한지 테스트
자동 실행 등록 : 시스템 재부팅 후에도 공격자가 권한 유지할 수 있도록 레지스트리에 악성 코드를 등록하는 행위 테스트
자격 증명 탈취 : 메모리에서 관리자의 정보 탈취 시도를 테스트
네트워크 스캔 : 감염된 PC 주변에서 서버나 데이터베이스 탐색 행위가 탐지되는지 테스트
랜섬웨어 : 외부 서버로 대량의 데이터를 전송해 네트워크 DLP나 방화벽이 탐지되는지 테스트
데이터 유출 : 특정 폴더 내 파일을 암호화해 엔드포인트 보안 솔루션 반응을 테스트

*DLP(Data Loss Prevention) : 조직 내부의 민감한 정보가 외부로 유출되는 것을 탐지하고 차단하는 기술로 특정 패턴이나 키워드가 포함된 데이터가 승인되지 않은 경로로 나가려 할 때 제어

1) Endpoint DLP : USB 복사, 메신저 파일 전송, 화면 캡쳐 등을 차단

2) Network DLP는 네트워크를 통해 나가는 패킷을 분석해 차단

-BAS가 필요한 이유

자동적이고 지속적인 점검 가능 : 매일 변화하는 보안 환경에서 변화와 공격에 즉각적으로 대응하고 잠재적인 위협을 신속하게 식별하여 해결할 수 있다.
정량적인 확인 가능 : 탐지율, 차단율, 대응 시간 같은 지표를 수치화해 제시하여 정량적으로 보안 상태를 점검할 수 있다.
비용 절감과 보안 인력 효율화 가능 : 전문가가 주기적으로 점검하던 기존의 모의 해킹, 취약점 진단 방식과 다르게 자동으로 점검을 시행해 인력 투입 시간과 빈도를 줄여 인건비를 절감하고 유의미한 공격 로그만 골라내 점검하기 때문에 효율적인 업무 처리가 가능하다.

-대표 BAS 도구

Atomic Red Team

https://www.atomicredteam.io

공격 기법을 아주 작은 단위로 분해해 독립적으로 실행시켜 탐지 규칙, EDR, SIEM, 로그 수집 상태를 검증하는 라이브러리이다.

*EDR(Endpoint Detection and Response) : 프로세스 실행, 네트워크 연결, 파일 수정 등 엔드포인트에서 발생하는 활동을 감시하고 위협에 대응하는 기술

*SIEM(Security Information and Event Management) : 서버, 네트워크 장비, 보안 솔루션 등에서 발생하는 로그를 표준화해 저장하고 사전에 정의된 규칙이나 머신러닝 모델을 통해 분석하는 중앙 관리 시스템

MITRE CALDERA

https://caldera.mitre.org

사용자가 직접 공격 시나리오를 커스텀할 수 있는 자동화 공격 시뮬레이션으로 MITRE ATT&CK를 기반으로 구축되었으며 코어 시스템과 플러그인 구조로 되어 있다. MITRE CALDERA는 크게 서버와 에이전트로 나뉘는데 대상 시스템에 에이전트를 실행시켜 서버와 통신을 시작하고 서버는 설정된 공격자 프로필을 바탕으로 현재 상황에서 실행 가능한 적절한 공격 기술을 선택하여 에이전트가 해당 환경에 맞는 스크립트를 실행한다. 이 실행 결과에서 새로운 정보를 습득하면 이를 활용해 다음 공격에 반영하는 프로세스로 진행된다.

*코어 시스템 : 중앙 서버와 대상 시스템으로 구성된 C2(Command & Control)서버로 실제 침해 사고 환경을 재현 가능하며 REST API와 웹 인터페이스를 갖춤

**REST API(Representational State Transfer API): 자원(HTTP URI)과 자원에 대한 행위(HTTP Method), 그 행위의 내용(HTTP Message Pay Load)으로 구성되어 자원을 이름으로 구분해 해당 자원의 상태를 주고받는 REST 원리를 따르는 API

*플러그인 : 핵심 프레임워크에 걸쳐있는 별도의 저장소 (에이전트, GUI 인터페이스, TTP 컬렉션 ...)

https://attack.mitre.org

여기서 MITRE ATT&CK(MITRE Adversarial Tactics, Techniques, and Common Knowledge)이란 전 세계에서 발생하는 실제 공격 사례를 바탕으로 공격자의 행동을 단계별로 분류한 표준 프레임워크이다. TTPs를 문서화하는 것으로 시작하였으며 위협적인 전술 기술을 패턴화 하여 공격 행동 패턴을 분석한 것을 바탕으로 TTPs 정보를 연결해 공격자의 행위를 식별한다.

Wazuh

: 엔드포인트와 서버, 클라우드 환경의 보안 모니터링, 위협 탐지, 무결성 검사 등을 수행하는 오픈소스 보안 플랫폼이다.

오픈소스라 라이선스 비용이 없어 비용을 절감할 수 있고 조직 특성에 맞는 전용 규칙을 만들기 쉬우며 클라우드 환경의 로그도 통합으로 관리할 수 있다는 장점이 있다.

*엔드포인트(Endpoint) : 네트워크와 통신하며 실제 데이터가 생성되고 소비되는 모든 개별 장치 (PC, 서버, IoT 기기...)

-구성 요소

Agent : 엔드포인트에 설치되어 시스템 로그, 파일 변경 내역, 프로세스 리스트 등의 데이터를 실시간으로 수집한다.
Server : 디코더를 통해 텍스트 형태의 로그를 디코딩하고 정형화된 데이터를 분석한다.
Indexer : 분석된 데이터를 저장하고 검색할 수 있는 Open Search 기반의 고성능 엔진이다.
Dashboard : 웹 UI를 통해 보안 이벤트를 시각화하고 취약점 리포트를 제공한다. MITRE ATT&CK 프레임워크가 내장되어 있어 어떤 전술과 기술에 해당하는지 자동으로 태깅된다.

*디코더(Decoder) : 가공되지 않은 로그를 정규표현식(Regex)을 사용해 특정 패턴을 추출하여 해석하는 번역기

**정규표현식(Regex) : 특정한 규칙을 가진 문자열의 집합을 표현하기 위해 사용하는 형식 언어로 일반 문자와 특정 의미를 지닌 메타 문자의 조합으로 이루어짐.

-탐지 흐름

데이터 수집 | Agent에서 로그를 수집해 암호화된 채널(Port 1514)을 통해 Server로 전송한다.
룰 기반 분석 | Server에서 정형화된 데이터를 규칙과 대조하여 각 규칙마다 0~15 레벨의 위험도를 할당한다.
Alert 생성 | 위험도에 따라 MITRE ATT&CK 기법 ID, 공격 그룹 정보, 대응 지침 등을 추가해 위협 정보를 생성한다.
Dashboard 확인 | 알림들을 차트, 지도, 표 등으로 시각화해서 위협을 추적하고 상세하게 분석한다.