네트워크 보안 모니터링: 침해사고 탐지 및 대응의 이해

 

 

 

네트워크 보안 모니터링

: 침해사고 탐지 및 대응의 이해

 

시리즈명 철통보안 시리즈-024

저자 리차드 베이틀릭

역자 김혁준

 

출간일 2015년 1월 12일 (월)

정가 28,000원

페이지 404

 

판형 188 x 245

ISBN 978-89-94774-86-2 (93000)

원서정보 THE PRACTICE OF NETWORK SECURITY MONITORING

 

 

 

책 소개

 

네트워크 보안은 뚫을 수 없는 벽을 만드는 것이 아니다. 뚜렷한 목적을 가진 공격자는 방어체계를 넘어 결국 공격을 수행한다. 가장 효과적인 정보보호 모니터링 방법은 침해사고를 탐지하고 대응하기 위한 데이터 수집 및 분석 방법을 제시하여 능동적 보안 관제(NSM)를 통합하는 것이다.

 

『네트워크 보안 모니터링』은 능동적 보안 관제를 통해 사전 지식을 요구하지 않고도 가장 견고한 네트워크 방어체계 구축을 위한 방법을 제시한다.

 

이 책에서 다루는 내용

 

- 능동적 보안 관제를 위한 플랫폼 구성 방법

- 독립형 및 분산형 관제 네트워크 구성

- 커맨드라인 명령어 및 그래픽 분석 도구의 사용 방법

- 네트워크에서 수집한 데이터를 분석하여 서버 및 클라이언트에서 발생한 침해사고 분석

- 외부 위협 인텔리전스를 사용하여 고급 공격자 탐지

 

독자 대상

초중급

 

저자 소개

 

리차드 베이틀릭 Richard Bejtlich

 

맨디언트사의 최고보안관리자(CISO)이며, 맨디언트로 이직하기 전에는 GE사의 침해사고 대응 책임자를 역임했다. 저자는 하버드 대학교를 졸업했으며, 미공군에서 장교로 복무했다. 저서로는 『Tao of Network Security Monitoring』, 『Extrusion Detection』, 『Real Digital Forensics』가 있다.

 

블로그: http://taosecurity.blogspot.com

트위터: @taosecurity

 

 

역자 소개

 

김혁준

 

캐나다 알버타 주립대학교 컴퓨터공학과를 졸업하고 캐나다 랜덤날리지(RandomKnowledge Inc.)와 한국인터넷진흥원에서 정보보호 시스템 개발 및 침해사고 대응 업무를 수행했다. 현재 국군사이버사령부 자문위원, 국방부 침해사고 원인 분석 자문위원 및 침해사고 분석 민관합동조사 전문가로 활동하고 있으며, 2008년 국내 최초로 FIRST Security Best Practice를 수상했다. 현재 나루시큐리티 창업자이자 대표이사로 재직하고 있으며, CISA, CISSP, Securiy+, BS25999LA 자격증을 보유하고 있다.

 

목차

 

1부. 시작하기

 

1장. 능동적 보안 관제의 목적

- 능동적 보안 관제 소개

- 능동적 보안 관제의 시험 예시

- 능동적 보안 관제 데이터의 범위

- 정보 수집의 사용 방법

- 능동적 보안 관제의 단점

- 능동적 보안 관제 구매

- 능동적 보안 관제를 위한 지원 정보

- 결론

 

2장. 네트워크 트래픽 수집: 수집, 저장, 관리

- 능동적 보안 관제를 위한 파일럿 시스템

- IP 주소와 네트워크 주소 변환

- 네트워크 시야 확보를 위한 센서 설치 장소 선정

- 네트워크 트래픽 수집

- 능동적 보안 관제 수행을 위한 플랫폼 선정

- 능동적 보안 관제 플랫폼을 관리하기 위한 열 가지 권고 사항

- 결론

 

2부. 시큐리티 어니언 설치

 

3장. 능동적 보안 관제를 위한 독립형 플랫폼 설치 및 운영

- 독립형 혹은 분산형 서버/클라이언트

- SO 설치 절차

- 독립형 플랫폼 설치

- 결론

 

4장. 분산 설치

- ISO 이미지를 이용한 SO 서버 설치

- SO iso 파일을 이용한 SO 센서 설치

- PPA를 이용하여 SO 서버 구성하기

- PPA를 이용한 SO 센서 만들기

- 결론

 

5장. SO 플랫폼 관리

- SO 최신 버전 유지하기

- SO 접근 제어 설정

- SO 데이터 저장 장치 관리

- 결론

 

3부. 분석 도구

 

6장. 명령어 기반의 패킷 분석 도구

- SO 도구의 범주

- Tcpdump 사용하기

- Dumpcap과 Tshark

- 아르거스(Argus)와 Ra 클라이언트

- 결론

 

7장. 그래픽 기반의 패킷 분석 도구

- WireShark 사용하기

- Xplico 사용하기

- NetworkMiner를 통한 콘텐츠 분석

- 결론

 

8장. 능동적 보안 관제 콘솔

- NSM 중심의 네트워크 트래픽 관찰

- 스구일 사용하기

- 스쿼트 사용하기

- 스노비 사용하기

- 엘사 사용하기

- 결론

 

4부. 능동적 보안 관제 활용

 

9장. 능동적 보안 관제 운영

- 기업 정보 보호 사이클

- 수집, 분석, 보고 및 종료

- 복구

- 결론

 

10장. 서버망 침해사고

- 서버 측 침해사고의 정의

- 서버 측 침해사고 발생

- 세션 데이터 분석

- 고려사항

- 결론

 

11장. 사용자망 침해사고

- 클라이언트 사이드 침해의 정의

- 클라이언트 사이드 침해사고의 진행

- 브로 dns.log 파일 검색

- 목적지 포트 확인

- 명령 제어 채널 분석

- 결론

 

12장. 시큐리티 어니언 확장

- 브로를 사용한 실행 파일 분석

- 브로를 사용하여 바이너리 추출하기

- APT1 인텔리전스 사용하기

- 악성 바이너리 파일 다운로드 탐지

- 결론

 

13장. 프락시와 체크섬

- 프락시

- 체크섬

- 결론

 

결론.

- 클라우드 컴퓨팅

- 워크플로우, 보안 지표, 협업

- 결론

 

부록. 시큐리티 어니언 스크립트 및 환경 설정

- 시큐리티 어니언 운영 스크립트

- 시큐리티 어니언 환경 설정 파일

- 시큐리티 어니언 업데이트

 

 

이 책의 구성

 

1부 “시작하기”는 능동적 보안 관제 및 센서 설치 방법을 소개한다.

 

1장 “능동적 보안 관제의 목적”에서는 보안 관제를 수행하는 이유를 설명하며 능동적 보안 관제를 수행하기 위한 시스템 구성 방법을 설명한다.

 2장 “네트워크 트래픽 수집: 접근, 저장, 관리”에서는 네트워크 트래픽에 물리적으로 접근 시 발생하는 어려움과 이를 극복하기 위한 방법을 제시한다.

 

2부 “시큐리티 어니언 설치”에서는 SO 설치 및 효과적인 환경 설정 방법을 소개하다.

 

3장 “능동적 보안 관제를 위한 독립형 플랫폼 설치 및 운영”에서는 SO을 소개하며 저가형 범용 하드웨어에 SO 소프트웨어 설치 및 운영하는 과정을 소개한다.

4장 “분산 설치”에서는 3장에서 다룬 내용을 확장하여 분산 환경에서의 SO 설치 및 운영 방법을 다룬다.

5장 “SO 플랫폼 관리”에서는 SO의 효율적 운영 및 관리 방법을 제시한다.    

 

3부 “분석 도구”에서는 SO에 포함된 핵심 소프트웨어와 이를 사용하는 방법을 소개한다.

 

6장 “명령어 기반의 패킷 분석 도구”에서는 SO에 포함되어 있는 Tcpdump, Tshark, Dumpcap, Argus의 핵심 기능을 알아본다.

7장 “그래픽 기반의 패킷 분석 도구”에서는 Wireshark, Xplico 그리고 NetworkMiner의 사용 방법을 알아본다.

8장 “능동적 보안 관제 콘솔”에서는 스구일, 스쿼트, 스노비, ELSA와 같은 능동적 보안 관제 패키지 툴에 대해 알아본다.

 

4부 “능동적 보안 관제 활용”에서는 능동적 보안 관제 프로세스와 침해사고를 탐지/대응하기 위한 데이터를 다룬다.

 

9장 “능동적 보안 관제 운영”에서는 글로벌 기업에서 침해사고 대응을 총괄하던 저자의 경험을 공유한다.

10장 “서버망 침해사고”에서는 능동적 보안 관제의 사례 연구를 통해 인터넷 서비스 구간에서의 침해사고 대응 사례를 다룬다.

11장 “사용자망 침해사고”에서는 능동적 보안 관제의 두 번째 사례 연구로 내부망에서의 피해 사례를 다룬다.

12장 “시큐리티 어니언 확장”에서는 SO을 확장할 수 있는 도구를 소개하며 이번 장을 마무리한다.

13장 “프락시와 체크섬”에서는 능동적 보안 관제 수행 시 부딪칠 수 있는 문제를 다룬다.

 

결론에서는 능동적 보안 관제가 향후 클라우드 환경 등에서 나아갈 방향을 제시한다. 그리고 부록에서는 “SO 스크립트 및 환경 설정”을 통해 SO 개발자인 더그 버크 등의 핵심 스크립트 파일 및 설정 스크립트를 제공한다.

 

 

출판사 리뷰

 

사전 지식 없이 가장 견고한 네트워크 방어체계를 구축하려면?

 

기업 내부의 민감한 데이터의 유출을 막으려면?

 

가장 효과적인 정보보호 모니터링 방법은?

 

현대 디지털 세상에서는 회사의 크기와 관계없이 지속적인 침해사고 위험에 노출되어 있다. 이 책이 중요한 이유는 이러한 위협들이 군, 경찰 등의 영역에 제한된 것이 아니라 일반 사회 영역에 존재하는 까닭이다.

 

“만약 여러분의 기관이 당면한 문제에 대한 해결책을 제시하지 못한다면 이미 문제점을 가지고 있는 것이다.”

 

뛰어난 방어자는 자신의 방어체계가 지속적으로 침해 당한다는 가정하에 보안체계를 운영하여야 하며 침해사고 대응체계는 더 이상 일회성, 일시적으로 운영되어서는 안 된다. 이러한 환경에서 침해사고 대응체계는 명확한 지표와 목적을 가지는 지속적 비즈니스 프로세스로 인지되어야 한다. 이 책은 여러분의 보안 관제에 실제 발생하는 사고를 탐지 대응할 수 있도록 하기 위한 정보, 도구 그리고 프로세스를 소개한다. 만약 독자들 중 가장 최근 발생한 침해사고 건수 및 대응 시간을 알지 못한다면 이 책을 통해 침해사고 대응을 위한 핵심 지표 수립 및 이를 통한 대응 활동 구성 방법을 알게 될 것이다.

 

이제 이 책을 펴면 여러분도 네트워크 보안 마스터로서의 첫걸음을 떼는 것이다.