본문 바로가기

Security43

Windows IR Opensource Tool - Chainsaw https://www.bleepingcomputer.com/news/security/new-chainsaw-tool-helps-ir-teams-analyze-windows-event-logs/ New Chainsaw tool helps IR teams analyze Windows event logs Incident responders and blue teams have a new tool called Chainsaw that speeds up searching through Windows event log records to identify threats. www.bleepingcomputer.com Windows 사고 분석을 도와주는 오픈소스 도구가 최근 뉴스를 통해 알 수 있었다. 자세히 살펴보지는 .. 2021. 9. 8.
Splunk Phantom REST API 기본 사용 최근 Splunk를 사용하는 회사가 늘고 있다. 여기에 Splunk회사에서 인수한 Phantom이라는 SOAR(Security Orchestration, Automation, and Response) 솔류션이 있는데, 사용법이 초반에 익숙해 지는데 시간이 좀 필요하다. 기본적인 개념은 Container라는 것이 하나의 인스턴스이고 여기에 Artifact(인스턴스 관련증적)을 넣은 사전에 만들어 놓은 App등을 통해 조사를 진행하는 방식이 기본 구조라 할 수 있다. 여기에 최근 필자가 REST API를 사용할 일이 있어 여기에 정리해 본다. 기본적으로는 https://docs.splunk.com/Documentation/Phantom/4.10.4/PlatformAPI/Using 에 어떻게 활용할 수 있는지.. 2021. 8. 19.
Microsoft 365 Defender Ninja August 2021 special edition 공개 지난 몇 개월 동안 Microsoft는 Microsoft Defender 제품과 Microsoft Cloud App Security 전반에 걸쳐 중대한 제품 발표를 했는데 해당 내용을 아래에 정리되어 있다. 아래 리소스를 통해 속도를 높일 수 있으며 마지막에 지식 확인을 통해 학습 내용을 확인할 수 있다. 또한 Ninja 여름 또는 겨울 특별판 재미 인증서를 요청이 가능하니, Ninja 인증서 컬렉션을 만들어보아도 좋겠다. https://techcommunity.microsoft.com/t5/microsoft-365-defender/microsoft-365-defender-ninja-august-2021-special-edition/ba-p/2643022 Microsoft 365 Defender Ninj.. 2021. 8. 18.
CVE-2021-3156 sudo 취약점 확인 및 조치 sudo의 힙 오버플로우 취약점이 최근 발생하였다. 요약 정리하고자 글을 남긴다. 본 취약점을 이용하면, Root 권한을 유저가 Root 권한을 획득할 수 있다. 취약점 내용을 보면 핵심은 아래와 같다. When sudo runs a command in shell mode, either via the -s or -i command line option, it escapes special characters in the command’s arguments with a backslash 즉 쉘 모드에서 sudoedit를 -s 또는 -i 실행하는데, 백슬레쉬에 특수기호를 입력함으로써 힙 오버 플로우를 일으켜 Root 권한을 획득하게 된다. 아래 글을 보면 도움이 될 것이다. CVE-2021-3156: Heap.. 2021. 1. 28.
윈도우 - 로컬 계정을 통한 네트워크 공격 보호 멜웨어에 감염되어 있는 경우 현재 사용자의 권한을 이용하여 다른 컴퓨터에 로그인을 시도하는 경우가 많이 발생한다. 보통 동일한 계정명/비밀번호를 사용하는 로컬 계정의 경우라면 다른 컴퓨터 역시 공격을 성공하게 된다. 이러한 공격을 쉽게 방어할 수 있는 방안이 있는데, Windows에서 기본적으로 제공하는 로컬 계정 거부 정책을 설정하면 된다. 이를 설정하면, 네트워크에서 설정한 계정에 대해서는 로그인을 거부하게 된다. 만약 로컬 계정이라는 그룹을 선택한다면, 모든 로컬 계정에 대해서 거부하므로, 네트워크 공격에 보다 효과적이다. gpedit.msc를 시작 -> 실행을 통해 실행한 후 아래 메뉴를 찾아서 로컬 계정에 대한 네트워크 로그인 설정을 거부하도록 하자. 컴퓨터구성 -> Windows 설정 -> 보.. 2020. 12. 29.
Samesite Cookie - 쿠키 허용 도메인 보안 정책 아내가 네이버에 블로그를 운영하고 있는데, 네이버 블로그 도메인 정책 변경이 있어, 무슨 내용인지 확인해 보았다. https://blog.naver.com/blogpeople/221788926430 블로그 도메인 정책 변경 안내 안녕하세요.네이버 블로그 서비스팀입니다.블로그 도메인 정책이 변경되어 안내드립니다.​현재 블로그 도... blog.naver.com 위 내용을 보면, 브라우저 쿠키 설정이 변경되기 때문에 타 도메인을 사용하지 않는단다... 이 무슨 보안 뒤집어지는 소리인가... 라는 생각도 들고 겸사겸사 공부도 해볼겸, Samesite Cookie 기능이 무엇인지 구글이 무엇을 하고 있는지 확인해 보았다. Samesite Cookie는 2020년 2월 4일에 업데이트되는 구글은 크롬 V80에 반.. 2020. 12. 15.
.NET - 코드 난독화 .NET 코드는 디컴파일러를 통해 쉽게 복호화가 가능하다. 필자 역시 .NET을 이용하여 코드를 많이 작성하는데, 간혹 비밀키가 들어갔거나 암호화가 필요할 때 난독화를 항상 고민한다. .NET 에서 사용할 수 있는 난독화 도구는 필자 기준으로 추천한다면, .NET기준 현재 유용한 도구는 Eazfuscator.NET이다. .NET 기준 디컴파일러로 가장 많이 손쉽게 이용되는 ILSPY를 통해 Eazfuscator.NET 을 이용하여 암호화 전/후를 비교해 보면 쉽게 차이를 알 수 있다. ILSPY https://github.com/icsharpcode/ILSpy/releases/tag/v6.2.1 Release ILSpy 6.2.1 · icsharpcode/ILSpy This is a bugfix rele.. 2020. 12. 7.
팔로알토 - External Dynamic Link를 통한 자동 차단 구성 https://www.youtube.com/watch?v=CaXi_X1MTtA 팔로알토는 방화벽에서 성능과 기능으로 많은 사랑을 받는 방화벽이다. 실제 많은 기업에서 팔로알토 방화벽을 메인으로 사용한다. 그럼 팔로알토 방화벽에서 제공하는 보안 기능중 EDL(External Dynamic Link)를 이용하여 IP를 차단하는 방법을 알아보자. EDL은 웹 사이트의 Txt 파일에 IP를 등록하면, 주기적으로 파일에 등록된 IP를 통해 차단 리스트를 만들어주는 기능이다. https://panwdbl.appspot.com에 방문하면, 알려진 OSINT 정보중 IP를 활용할 수 있다. 위에서 선택하여 사용하여도 되며, 직접 웹 사이트에 txt 파일을 만들어 EDL로 등록하여 사용할 수 있다. 사용하기 위해서는 ED.. 2020. 12. 3.
Hidden Process – CreateDesktop 예전에 찾았던 자료인데, 단순하면서도 재미있는 코드라서 다시 정리해봤다. 아래 링크를 보면 윈도우의 세션 관리 기능을 이용해서 프로세스를 다른 데스크톱에서 실행하여 사용자에게 숨길 수 있는 코드를 예제로 제공한다. https://github.com/MalwareTech/CreateDesktop/blob/master/Main.cpp 위 코드와 관련하여, 함께 봐야 할 내용이 윈도우에서 어떻게 세션을 관리하는지에 대한 내용을 이해할 필요가 있다. https://blogs.msdn.microsoft.com/coreinternals/2009/08/19/session-window-station-desktop/ 요약해 보면, 윈도우는 사용자가 로그인하거나 서비스가 실행되는 세션 관리를 위해 Windowstation.. 2020. 12. 2.
WMI 원격 실행 보안 WMI는 윈도우 관리에 편리한 프로토콜이지만 이를 이용한 해킹도 많이 일어나는 만큼 각별한 주의가 필요하다. 만약 WMI를 이용하지 않는다면 WMI의 원격 명령 실행을 할 수없도록 보안하는것이 좋다. 아래는 원격지에서 WMI를 통해 쉘코드로 명령프롬프트를 생성하여 명령을 실행하는 악성코드의 일부분이다. ”On Error Resume Next Set outstreem=Wscript.stdout If (LCase(Right(Wscript.fullname,11))=”Wscript.exe”) Then Wscript.Quit End If If Wscript.arguments.Count 2020. 12. 2.