운영체제 (LNX,WIN)673 macOS 환경 osqueryi 설치 및 호스트 모니터링 보안 분석 FleetDM을 통해 osquery 패키지를 설치한 경우, 기본적으로 osqueryi 인터랙티브 쉘은 포함되지 않을 수 있습니다. 이를 해결하기 위해서는 osqueryi를 별도로 설치해야 합니다. 아래는 macOS에서 osqueryi를 설치하는 방법입니다.1. Homebrew 설치Homebrew가 설치되어 있지 않다면, 먼저 Homebrew를 설치해야 합니다. 터미널을 열고 다음 명령어를 입력합니다./bin/bash -c "$(curl -fsSL https://raw.githubusercontent.com/Homebrew/install/HEAD/install.sh)"2. osquery 설치Homebrew를 이용하여 osquery를 설치합니다. 이 과정에서 osqueryi도 함께 설치됩니다.brew ins.. 2024. 8. 29. FleetDM API 활용한 Osquery 자동 수행 및 결과 수집 분석 FleetDM API를 통해 설치된 에이전트 호스트 정보를 가져오기 위해서는 다음 단계들이 필요합니다.1. API Token 발급FleetDM API를 사용하려면 API 토큰이 필요합니다. FleetDM 웹 인터페이스를 통해 토큰을 발급받아야 합니다.FleetDM 웹 인터페이스에 로그인합니다.오른쪽 상단의 프로필 아이콘을 클릭하고 "API Tokens"를 선택합니다."Create an API token"을 클릭하고 토큰을 생성합니다.생성된 토큰을 기록해 둡니다. 이 토큰은 API 요청 시 인증에 사용됩니다.2. API 요청 준비FleetDM API는 RESTful API로, 호스트 정보를 가져오기 위한 엔드포인트는 /api/v1/fleet/hosts입니다. 요청을 보내기 위해 cURL을 사용하거나 Pyt.. 2024. 8. 19. Linux 시스템에서 Sysmon을 통한 지속성 탐지 모니터링 Sysmon(System Monitor)은 Microsoft의 도구로, 시스템에서 실행된 프로세스, 네트워크 연결, 파일 생성 등 다양한 이벤트를 기록하는 데 사용됩니다. 원래 Windows용으로 개발되었으나, 최근에는 Linux 버전도 제공되고 있습니다. Sysmon for Linux는 eBPF를 사용하여 시스템 콜을 모니터링하고, 높은 유연성과 표현력을 가진 규칙 정의를 통해 다양한 보안 이벤트를 기록할 수 있습니다.설치 및 기본 설정Sysmon for Linux 설치Sysmon for Linux는 소스 코드로 제공되므로, 컴파일하여 설치해야 합니다.git clone https://github.com/Sysinternals/SysmonForLinux.gitcd SysmonForLinuxmakesudo.. 2024. 8. 16. Wazuh(OSSEC) 운영에 대한 상세 설명 및 운영 예시 1. Endpoint Detection and Response (EDR)Endpoint Detection and Response(EDR)은 위협이나 보안 침해를 나타낼 수 있는 활동을 모니터링하는 도구와 애플리케이션의 집합입니다. EDR 도구와 애플리케이션의 주요 기능은 다음과 같습니다.일반 취약점 점검: 기기에 대한 감사 수행프로액티브 모니터링: 무단 로그인, 브루트 포스 공격, 권한 상승과 같은 의심스러운 활동 모니터링데이터 시각화: 복잡한 데이터와 이벤트를 깔끔한 그래프로 시각화정상 운영 행동 기록: 이상 탐지에 도움2. Wazuh 개요Wazuh는 2015년에 만들어진 오픈 소스, 무료 EDR 솔루션입니다. 다양한 보안 기능을 제공하며, 특히 다음과 같은 기능을 갖추고 있습니다.실시간 보안 정보와 .. 2024. 8. 6. Audit 시스템과 Osquery의 호환성 및 운영 방법 Linux 시스템에서 Audit 시스템은 단일 프로세스만이 Audit 서브시스템을 제어할 수 있습니다. 일반적으로 auditd가 이를 수행하지만, osquery도 이 기능을 사용할 수 있습니다. 만약 auditd가 이미 시스템에서 활성화되어 있다면, osquery는 Audit 서브시스템을 제어할 수 없습니다. 따라서 osquery를 사용하려면 auditd를 비활성화해야 합니다.현재 Audit 시스템 확인 및 비활성화Audit 시스템 상태 확인auditctl -s이 명령어는 현재 Audit 서브시스템의 상태를 보여줍니다. 여기에서 pid 값을 확인할 수 있습니다.Auditd 프로세스 확인ps -aux | grep auditd현재 auditd 프로세스가 실행 중인지 확인합니다.Auditd 서비스 중지:sys.. 2024. 8. 5. 이전 1 2 3 4 5 6 ··· 135 다음 728x90
