위협 인텔리전스와 데이터 기반 위협 사냥

1부 - 사이버 위협 인텔리전스

01장. 사이버 위협 인텔리전스
__사이버 위협 인텔리전스
____전략 등급
____운영 등급
____전술 등급
__인텔리전스 주기
____계획 및 대상 선정
____준비 및 수집
____가공 및 활용
____분석 및 생산
____배포 및 통합
____평가 및 피드백
__인텔리전스 요구 사항 정의
__수집 과정
____침해 지표
____멀웨어의 이해
____공공 자원을 이용한 수집: OSINT
____허니팟
____멀웨어 분석과 샌드박스
__가공 및 활용
____Cyber Kill Chain®
__편향과 분석
__요약

02장. 위협 사냥
__기술적인 요구 사항
__위협 사냥에 대한 소개
____위협 사냥 유형
____위협 사냥꾼의 기술
____고통의 피라미드
__위협 사냥 성숙도 모델
____성숙도 모델의 결정
__위협 사냥 과정
____위협 사냥 고리
____위협 사냥 모델
____데이터 주도 방법론
____TaHiTI: 위협 인텔리전스를 결합한 표적 사냥
__가설 설정
__요약

03장. 데이터 출처
__기술적인 요구 사항
__수집한 데이터 이해
____운영체제 기본
____네트워크 기본
__윈도우 기본 도구
____윈도우 이벤트 뷰어
____윈도우 관리 도구(WMI)
____윈도우용 이벤트 추적(ETW)
__데이터 출처
____엔드포인트 데이터
____네트워크 데이터
____보안 데이터
__요약

2부 - 공격자 이해하기

04장. 공격자 묘사
__기술적인 요구 사항
__ATT&CK 프레임워크
____전술, 기술, 하위 기술, 절차
____ATT&CK 매트릭스
____ATT&CK 내비게이터
__ATT&CK로 나타내기
__자체 테스트
____정답
__요약

05장. 데이터 작업
__기술적인 요구 사항
__데이터 사전 활용
____오픈소스 보안 이벤트 메타데이터(OSSEM)
__MITRE CAR 활용
____CARET: CAR 이용 도구
__Sigma 사용
__요약

06장. 공격자 모방
__공격자 모방 계획 수립
____공격자 모방이란?
____MITRE ATT&CK 모방 계획
____Atomic Red Team
____Mordor
____Caldera
____기타 도구
__자체 테스트
____정답
__요약

3부 - 연구 환경에서의 작업

07장. 연구 환경 조성
__기술적인 요구 사항
__연구 환경 조성
__VMware ESXI 설치
____VLAN 생성
____방화벽 설정
__윈도우 서버 설치
__윈도우 서버의 도메인 컨트롤러 설정
____액티브 디렉터리 구조의 이해
____서버의 도메인 컨트롤러에 상태 부여
____DHCP 서버 설정
____조직 단위 생성
____사용자 입력
____그룹 생성
____그룹 정책 객체
____감사 정책 설정
____새로운 클라이언트 추가
__ELK 설정
____Sysmon 설정
____인증서 검색
__Winlogbeat 설정
____ELK 인스턴스에서 데이터 찾기
__보너스: ELK 인스턴스에 Mordor 데이터 세트 추가
__HELK: 로베르토 로드리게스의 오픈소스 도구
____HELK 시작
__요약

08장. 데이터 질의 방법
__기술적인 요구 사항
__Atomic Red Team을 이용한 원자적 사냥
__Atomic Red Team 테스트 주기
____최초 침투 테스트
____실행 테스트
____지속성 유지 테스트
____권한 상승 테스트
____방어 우회 테스트
____탐색 테스트
____명령 및 제어 테스트
____Invoke-AtomicRedTeam
__Quasar RAT
____Quasar RAT 실제 사용 사례
____Quasar RAT 실행 및 탐지
____지속성 유지 테스트
____자격증명 접근 테스트
____시스템 내부 이동 테스트
__요약

09장. 공격자 사냥
__기술적인 요구 사항
__MITRE 평가
____HELK에 APT29 데이터 세트 불러오기
____APT29 사냥
__MITRE CALDERA 활용
____CALDERA 설치
____CALDERA로 모방 계획 실행
__Sigma 규칙
__요약

10장. 프로세스 문서화 및 자동화의 중요성
__문서화의 중요성
____훌륭한 문서 작성의 핵심
____사냥 문서화
__위협 사냥꾼 플레이북
__주피터 노트북
__사냥 절차 최신화
__자동화의 중요성
__요약

4부 - 성공하기 위한 의사소통

11장. 데이터 품질 평가
__기술적인 요구 사항
__고품질 데이터와 불량 데이터의 구별
____데이터 측정 기준
__데이터 품질 향상
____OSSEM Power-up
____DeTT&CT
____Sysmon-Modular
__요약

12장. 결과 이해하기
__사냥 결과의 이해
__좋은 분석 정보 선택의 중요성
__자체 테스트
____정답
__요약

13장. 성공을 위한 좋은 지표의 정의
__기술적인 요구 사항
__좋은 지표 정의의 중요성
__사냥 프로그램의 성공 여부를 확인하는 방법
____위협 사냥에 MaGMA 사용
__요약

14장. 사고 대응 팀의 참여 및 경영진 보고
__사고 대응 팀의 참여
__위협 사냥 프로그램의 성공에 대한 의사소통의 영향
__자체 테스트
____정답
__요약

부록 A 위협 사냥의 현재