본문 바로가기

SIEM30

728x90
MSSQL 대상 Ammyy Admin 공격 대응: EDR · SIEM · Firewall 통합 방어법 Ammyy Admin은 원격 데스크톱 소프트웨어 중 하나로, 악성 행위자들이 자주 악용하는 도구입니다. 특히 MSSQL 서버를 대상으로 한 침해사고 사례에서 이 도구가 종종 등장합니다.기본 개념원격 제어 소프트웨어로, 사용자가 네트워크를 통해 다른 컴퓨터를 제어할 수 있도록 설계됨GUI 기반으로 설치가 간편하며 포터블 실행 파일 형태로 동작함원격 데스크톱, 파일 전송, 음성 채팅 기능 제공기업에서 IT 지원 용도로 사용되기도 하지만, 공격자에게는 무인증 원격 제어 수단이 되기도 함주요 특징설치 불필요: 다운로드 후 바로 실행 가능서비스로 등록 가능: 재부팅 후에도 자동 실행 가능방화벽 우회 용이: 기본적으로 TCP 포트 443을 사용하며, 별도 포트 설정도 가능⚠️ 보안 위협 및 악용 사례MSSQL 서버.. 2025. 4. 22.
사이버 보안 인시던트 대응 체계 고도화를 위한 AI Gateway 연계 방안 사이버 보안 인시던트 대응(Incident Response)이란 조직 내에서 사이버 위협, 보안 침해, 공격 등을 탐지, 분석하고 이에 효과적으로 대응하여 피해를 최소화하고 정상 상태로 복구하기 위한 일련의 프로세스와 기술입니다.인시던트 대응 개요정의: 사이버 공격 또는 보안 사고 발생 시 신속히 탐지, 분석, 대응 및 복구하여 피해를 최소화하는 활동목적: 피해 최소화, 비즈니스 연속성 확보, 위협 제거, 재발 방지주요 구성요소정책(Policy): 인시던트 대응을 위한 조직의 공식적인 지침과 규칙팀 구성(Response Team): 명확한 역할과 책임을 가진 전문가로 구성된 인시던트 대응 팀(CSIRT)절차 및 프로세스(Procedures): 대응 활동을 단계별로 정의한 표준 운영 절차(SOP)기술(Te.. 2025. 4. 11.
Redline 포렌식과 Sysmon, Sysinternals 연계한 Windows 위협 탐지 분석 자동화 Redline은 FireEye(현재 Trellix)에서 개발한 강력한 디지털 포렌식 및 메모리 분석 도구입니다. 보안 사고 대응(Incident Response, IR) 및 침해 분석(Compromise Assessment) 목적으로 사용되며, Windows 시스템에서 악성코드 감염 징후를 분석하고, 다양한 아티팩트를 수집하는 기능을 제공합니다.1. Redline의 주요 기능1) 프로세스 및 메모리 분석실행 중인 프로세스 목록 및 관련 메모리 분석DLL Injection 탐지 및 의심스러운 프로세스 확인악성코드가 숨겨둔 코드 인젝션 탐지네트워크 연결 중인 프로세스 확인 및 분석2) 시스템 및 파일 분석Windows 레지스트리(Registry) 키 분석파일 시스템에서 특정 파일 및 폴더의 변조 여부 검사P.. 2025. 3. 23.
Sigma 기반 Linux 환경 보안 위협 탐지 룰셋 작성 및 수행 가이드 Sigma 개요 및 배경Sigma는 SIEM 시스템 간에 범용적으로 활용 가능한 탐지 규칙 형식으로, YAML 형식으로 구성되어 있으며 다양한 탐지 조건을 명확히 정의할 수 있는 장점이 있습니다. Sigma 규칙을 sigmac을 활용하여 Elasticsearch, osquery, Wazuh 등 다양한 형태로 변환할 수 있습니다.탐지 시나리오: SSH Key 파일 무단 접근 및 변경 탐지리눅스 환경에서 공격자가 SSH 키 파일을 무단으로 접근하거나 변경하여 접근 권한을 획득하려는 시도를 탐지합니다.Sigma YAML 규칙 작성 예시title: Unauthorized SSH Key Access or Modificationid: 87654321-abcd-1234-abcd-87654321abcdlogsource.. 2025. 3. 20.
보안관제(SOC) 운영 Threat Hunting & Incident Response with XDR/EDR/SIEM/SOAR 보안 관제(Security Operations Center, SOC)는 침해 탐지(Detection), 위협 분석(Threat Analysis), 사고 대응(Incident Response, IR) 등을 수행하는 조직으로, SIEM(Security Information and Event Management), EDR(Endpoint Detection and Response), SOAR(Security Orchestration, Automation and Response) 등의 도구를 활용하여 보안 이벤트를 관리한다. 조직의 규모, 운영 방식(내부 SOC, 외부 위탁 관제, MSSP 등)에 따라 SOC의 구조는 다를 수 있지만, 일반적으로 SOC는 다층적 역할 체계(L1, L2, L3) 로 구성된다.1. .. 2025. 3. 18.
728x90
728x90