사이버 보안의 공격과 방어

지은이 · 감수자 · 옮긴이 소개 ix
옮긴이 머리말 xi
베타리더 후기 xii
감사의 글 xiv
이 책에 대하여 xv

CHAPTER 1 사이버 전쟁의 적대적 활동 및 원칙에 관한 이론 1
1.1 적대적 이론 4
__1.1.1 CIAAAN 5
__1.1.2 게임이론 6
1.2 사이버 전쟁의 원칙 8
__1.2.1 공격 vs 방어 10
__1.2.2 속임수의 원칙 18
__1.2.3 물리적 접근의 원칙 20
__1.2.4 인간성의 원칙 22
__1.2.5 경제의 원칙 23
__1.2.6 계획의 원칙 25
__1.2.7 혁신의 원칙 27
__1.2.8 시간의 원칙 28
요약 31
참고 문헌 32

CHAPTER 2 전투 준비 35
2.1 필수 고려 사항 38
__2.1.1 커뮤니케이션 38
__2.1.2 장기 계획 40
__2.1.3 전문성 41
__2.1.4 작전 계획 43
2.2 방어 관점 46
__2.2.1 시그널 수집 48
__2.2.2 데이터 관리 53
__2.2.3 분석 도구 59
__2.2.4 방어팀 KPI 62
2.3 공격 관점 63
__2.3.1 스캐닝 및 익스플로잇 64
__2.3.2 페이로드 개발 67
__2.3.3 보조 도구 69
__2.3.4 공격팀 KPI 70
요약 71
참고 문헌 72

CHAPTER 3 보이지 않는 것이 최선이다(인메모리 작업) 77
3.1 우위 확보 80
3.2 공격 관점 82
__3.2.1 프로세스 인젝션 83
__3.2.2 인메모리 작업 87
3.3 방어 관점 94
__3.3.1 프로세스 인젝션 탐지 94
__3.3.2 공격 기법 대응 98
__3.3.3 잠입 공격 방어 100
요약 101
참고 문헌 102

CHAPTER 4 위장 105
4.1 공격 관점 109
__4.1.1 지속형 공격 옵션 109
__4.1.2 명령 및 제어 채널 은닉 114
__4.1.3 공격 기법 연동 119
4.2 방어 관점 122
__4.2.1 C2 탐지 122
__4.2.2 지속성 탐지 128
__4.2.3 허니 트릭 131
요약 134
참고 문헌 134

CHAPTER 5 능동적인 속임수 137
5.1 공격 관점 139
__5.1.1 로그 삭제 140
__5.1.2 하이브리드 접근 143
__5.1.3 루트킷 145
5.2 방어 관점 146
__5.2.1 데이터 무결성 및 검증 147
__5.2.2 루트킷 탐지 148
__5.2.3 공격자 방해 150
__5.2.4 공격자 주의 분산 152
__5.2.5 공격자 속이기 154
요약 158
참고 문헌 158

CHAPTER 6 실시간 대결 161
6.1 공격 관점 164
__6.1.1 상황 인식 165
__6.1.2 운영 정보 수집 169
__6.1.3 피벗 177
6.2 방어 관점 180
__6.2.1 사용자, 프로세스, 연결 탐색 181
__6.2.2 자격증명 순환 185
__6.2.3 권한 제한 187
__6.2.4 역해킹 191
요약 193
참고 문헌 193

CHAPTER 7 연구 및 조사의 이점 197
7.1 시스템 보안 우회 200
7.2 공격 관점 201
__7.2.1 메모리 오염 분야 201
__7.2.2 목표 조사 및 준비 203
__7.2.3 타깃 익스플로잇 205
__7.2.4 창의적 피벗 206
7.3 방어 관점 209
__7.3.1 도구 익스플로잇 210
__7.3.2 위협 모델링 211
__7.3.3 운영체제 및 애플리케이션 조사 212
__7.3.4 로그 및 자체 데이터 분석 213
__7.3.5 공격자 식별 215
요약 216
참고 문헌 216

CHAPTER 8 위협 제거 219
8.1 공격 관점 222
__8.1.1 탈취 222
__8.1.2 공격 종료 230
8.2 방어 관점 232
__8.2.1 침해사고 대응 232
__8.2.2 복구 작업 235
__8.2.3 침해 대비 237
__8.2.4 결과 공유 238
요약 238
참고 문헌 239

찾아보기 242

사이버 보안은 매우 복잡한 형태의 비협조적이고 비대칭적인 게임이며 특정 전략이 다른 전략보다 우월할 수 있다. (…) 다른 전략들보다 매우 효과적인 몇몇 전략들도 있다. 예를 들면 사용자 행위 기반의 머신러닝 또는 허니 토큰을 활용해서 LDAP(Lightweight Directory Access Protocol) 열거 동작을 탐지할 수 있다. 효과적인 우월전략을 사용하는 적절한 예시는 Microsoft ATA를 사용하여 액티브 디렉터리(Active Directory)를 열거하는 Bloodhound를 탐지하는 것이다. 계층화된 보안 제어가 합법적으로 강력한 방어를 생성하는 높은 보안 수준을 가진 환경을 본 적이 있지만, 경험상 이러한 환경에서조차도 여전히 취약점과 취약점을 악용하는 이슈는 존재한다.

경쟁 환경의 경우, 스코어보드(scoreboard)에 서비스가 다운된 것으로 표시되면, 방어팀은 네트워크 모니터를 사용하여 네트워크의 라우팅 문제인지 또는 침해가 발생한 호스트의 엔드포인트 문제인지를 신속하게 파악할 수 있다. 엔드포인트 탐지는 건초더미에서 바늘을 찾는 것과 같을 수 있지만, 네트워크 모니터링은 고속도로의 통행량을 감시하는 것과 비슷하다. (…) 물리적 접근의 원칙에 따라, 네트워크 스위치를 사용할 수 있는 경우 SPAN 또는 미러링된 포트에 장치를 연결하여 모니터링 인터페이스에서 트래픽을 수신할 수 있다. 또한, 단일 호스트에서 트래픽을 라우팅하거나 tcpdump와 같은 커맨드라인 도구를 사용해서 네트워크를 모니터링할 수 있다. 아래와 같이 간단한 명령어를 사용해서 특정 인터페이스 eth0의 모든 트래픽을 캡처할 수 있다.