DarkSoul.Story

설치 환경 - ubuntu-10.04.4-server-i386- snort 2.9.2 / shortreport-1.3.3. Snort 2.9.2 설치에앞서 ubuntu-10.04.4-server-i386 설치 과정은 생략한다. 1. SSH 설치 (생략가능)원격에서 ubuntu에접속할 때 보안을 강화 하기 위해, SSH를 설치 한다. #apt-get install ssh [그림.1 SSH 설치] 위의 [그림.1]에서 Y를 입력후, Enter키를 누르면, SSH가 설치가 된다. 2. 기본 패키지 추가 설치본격적인 Snort 설치하기 전에 몇 가지 필수 패키지를 설치 한다.#apt-get install gcc - C/C++ 컴파일러#apt-get install g++ - C/C++ 컴파일러#apt-get in..

Infomation 2013. 1. 30. 13:59

1. Snort 소개 Snort는 1998년Sourcefire 社의 최고기술경영자(CTO) MartinRoesch(마틴 로시)에 의해 발표 된 Open Source 네트워크 침입 탐지 시스템(NIDS)으로, Network에서실시간 Traffic 분석과 Packet logging을수행하는 네트워크 침입 탐지 시스템(NIDS)이다. Snort는 프로토콜 분석, 컨텐츠 검색, Worms, 취약점 악용 시도, Port Scan, 버퍼 오버플로우, OS fingerprinting 등의수 천개의 다양한 공격을 탐지한다. Snort라는 용어는 Snifferand More라는 말에서 유래되었다. Snort의 가장 큰 특징은 Snort를 사용하고 있는 40만 유저들의 커뮤니티를 통해 지속적으로 탐지 Rule이 제공되며,..

Infomation 2013. 1. 30. 13:47

NAT (Network Address Translation) - 주소 변환 내부가 사설 IP로 구축되었을 때 사설 IP가 가지는 가장 큰 문제점은 Routing 이 되지 않는 다는 점이다. 사설 IP로 설정된 Client에서 공인 IP를 가지는 Server로 서비스를 요청하는 경우(접속하는 경우) 목적지(Server)의 주소가 공인 IP 이므로 Routing이 되어 접속이 허용된다. 문제는 접속요구를 받은 Server가 Client로 응답을 보내주는 경우이다. 이 경우 Client의 IP가 사설 IP로 설정되었으므로 Routing이 되지 않으며, 정상적인 Network 서비스를 제공받을 수 없게 된다. [그림1. 사설 IP에 대한 문제] 이러한 문제를 해결해 주기 위한 것이 바로 주소변환(NAT)이다. ..

Infomation 2013. 1. 30. 13:44

1. Firewal 이란? 침입차단 시스템(Firewall)은 건물에 화재가 발생하였을 경우 더 이상 주변으로 화재가 번지지 않도록 하기 위하여 모든 연결 경로를 차단하는 방화벽(Firewall)이라는 말에서 기인한 용어이다. 네트워크를 외부망과 내부망으로 분리 시키고 그 사이에 방화벽을 배치시켜 정보의 악의 적인 흐름, 침투 등을 방지하는 시스템으로, 네트워크를 통해 흐르는 Packet들에 대하여 보안관리자가 미리 정해놓은 보안정책에 따라서 차단(Deny) / 허용(Allow)하는 기능을 수행한다. 2. Firewall 주요 기능 및 한계 Firewall 주요 기능- 접근 제어 (Access Control)- 로깅 및 감사 추적 (Logging / Auditing)- 인증 (Authentication)..

Infomation 2013. 1. 30. 13:39

국제적 정보보안 교육기관인 SANS의 포렌식팀에서 제공하는 포렌식 문제 문제에 사용되는 패킷 캡처 파일 다운로드http://forensicscontest.com/contest08/evidence08.pcap Q1) Joe’s WAP is beaconing. Based on thecontents of the packet capture, what are: (Joe's의 WAP 암호화 하였다. 패킷 캡처 내용을 바탕으로 물음에 답하시오.) (문제는 WAP라고 되있는데, WEP가 오타난듯 하다.) a. The SSID of his access point? (access point의 SSID는?) A : Ment0rNet b. The BSSID of his access point? (access point의 BS..

문제 풀이 2013. 1. 30. 12:49

개요 ICMP(Ping) 패킷에 Data를 넣어 전송 하는 PingTunneling 패킷을 분석 해보자. 상세 분석 Ping 유틸리티는 목적지에 ICMP Request를 전송한 다음, 목적지로 부터 ICMP Response를 받는 방식으로 동작하는데, ICMP Request / ICMP Response 패킷에 아무 의미 없는 값을 채워 전송할 수 있는 공간이 마련되어 있다. 즉, Ping에 적절한 인자값을 넣어 주면, 패킷의 길이를 지정할 수 있다. Ping의 또다른 특징은 Ping을 사용했을 때, Request / Response 패킷의 의미없는 값은 서로 같지 않아도 되며, Ping Request는 어플리케이션에서 전송하지만, Response는 커널에서 이루어 진다. 이러한 특징을 이용하여, Ping..

Analysis 2013. 1. 30. 12:29

일반적인 HTTP 통신은 [그림.1]과 같이 클라이언트가 HTTP 서버에 요청을 하면, HTTP 서버는 상태 코드로 응답한다. [그림.1 일반적인 HTTP 통신] HTTP 서버가 보내는 상태 코드 중 가장 많이 확인 할 수 있는 상태 코드는 다음과 같으며, http://www.iana.org/assignments/http-status-codes/http-status-codes.xml에서 자세한 상태 코드를 확인 할 수 있다. 코드값설명200OK403Forbidden404Not Found500Internal Server Error503Service Unavailable[표.1 상태 코드] HTTP 요청은 HTTP 요쳥 목적을 정의하는 메소드로 구성되어 있으며, HTTP 응답은 상태 코드라고 말하는, 수치상..

Analysis 2013. 1. 30. 11:37

MTP는 전자우편을 보내고 받는데 사용되는 TCP/IP 프로토콜이며, 기본적으로 25포트를 사용하지만, 특정 포트로 변경하여 설정할 수 있다. SMTP도 POP와 마찬가지로 기본적으로 보안 기능을 제공하지 않는다. [그림.1 일반적인 SMTP 통신] 1. 3-way handshaking 과정을 거친 후 SMTP 서버는 준비가 되었다는 것을 알리는 코드 220으로 응답한다. 2. 클라이언트는 호스트 이름과 HELO 또는 EHLO를 전송한다. HELO : 표준 SMTP 세션 시작 EHLO : 메일 서비스 확장을 지원하는 SMTP세션 시작 3. 클라이언트는 MAIL FROM과 함께 form 이메일 주소를 제공한다. 4. (4-1.) 이메일 주소를 제공 받은 SMTP서버는 이를 승인 한다. 만약 승인이 되지 않..

Analysis 2013. 1. 30. 11:35