SYSTEM/TIP

Nmap data elasticsearch 색인

정기적으로 nmap 기반의 IVRE를 활용하여 서비스 전체 네트워크대역 (C클래스 약 130개)을 풀스캔하여 취약 포트나 어플리케이션 취약점에 대하여 사전 예방 보안을 진행중이다. du -sh * 2019년 부터 매월 진행중이며 폴더(월별) 데이타가 쌓이고있다 290M scans-2019-10 341M scans-2019-11 314M scans-2019-12 315M scans-2020-01 327M scans-2020-02 346M scans-2020-03 351M scans-2020-04 353M scans-2020-05 353M scans-2020-06 387M scans-2020-07 382M scans-2020-08 499M scans-2020-09 364M scans-2020-10 355M ..

2022. 2. 3. 12:54

SECURITY/보안기술(SECOPS)

보안 위협 이벤트 탐지 룰 Playbook

Elasticsearch query Rule에 대한 보안 위협 탐지를 slack 알람으로 받는내용입니다. 일부는 메일로도 발송중.. 폐사는 주로 T사 APT 보안 솔루션을 활용하여 엘라스틱과 연동하여 사용중이며 해당 룰은 frequency(빈도), priority(우선순위)등 다양한 변수를 조합하여 운영중입니다. 대표적인 악성 행위에 대한 탐지 rule을 예로 든것입니다. Log4j Log4Shell 공격 탐지 query: deviceHostName:DDI AND name:("CVE-2021-44228 - OGNL EXPLOIT - HTTP(REQUEST)" OR "POSSIBLE HTTP HEADER OGNL EXPRESSION EXPLOIT - HTTP(REQUEST)" OR "POSSIBLE USE..

2022. 1. 28. 14:41