Snort 분석(DELETED WEB-IIS header field buffer overflow attempt - 5th)

이전 글에서 전후방탐색 기능과 수량자의 검사 범위를 제한할 때와 안할 때의 차이에 대한 설명이 좀 부실한 듯 해서 따로 정리하고자 한다. 왠지 너무 우려먹는 사골 느낌(..)

• 후방탐색을 사용하지 않은 정규표현식 'referer:\s\S\+'의 검색 결과

Snort 분석(DELETED WEB-IIS header field buffer overflow attempt - 4th)

소시적 50만원 넘는 주차위반 과태료를 내본 적은 있지만 비교적 착하게 살고 있다고 자부하는 나를 Snort는 왜 웹서버 공격자로 판단했을까?

그때 생각하니까 또 빡치네

내가 뭘 했길래? 트래픽의 성격을 파악해보자. 어디에서(Referer), 어디로(Host), 어떤 도구(User-Agent)를 이용해서, 어떤 정보(URI)를 전송했는지 알 수 있는 로그는 웹 요청 형식을 갖춘, 즉 '485454502f312e' 패턴을 포함하고 있는 387개.

Snort 분석(DELETED WEB-IIS header field buffer overflow attempt - 3rd)

2회에 걸쳐 'DELETED WEB-IIS header field buffer overflow attempt' 룰에 대해 분석을 해봤다. 그런데 샘플만 분석을 했기 때문에 과연 그 결과가 전체 발생 로그와 일치하는지에 대해 궁금한 사람이 있을 것 같다. 전체 로그를 분석해보자.

회사를 좀 먹는 사내 정치

1998년에 제작된 '라이언 일병 구하기'는 한 명의 공수부대원을 구하기 위해 여섯 명의 특공대원이 죽는 영화. 그리고 2001년에 그 '라이언 일병'이 속했던 공수부대의 활약상을 그린 '밴드 오브 브라더스'가 제작됐다. 라이언 일병은 안 나옴

끈끈한 전우애와 실감나는 전투신도 인상 깊었지만 무엇보다 중대장 윈터스 대위의 탁월한 통솔력에 감탄하면서 봤음. (저 때 저 곳에 없었다는 사실에 안도하기도)

가운데 인물이 믿음직한 윈터스 대위

생각에 관한 생각

2011년 심리학자 대니엘 카너먼이 인간이 생각하는 방식에 대한 자신의 연구를 집대성한 책.

행동경제학의 시조로도 불리는 그는 2002년 심리학자로는 최초로 노벨 경제학상을 수상했으며, 수상 소감은 이랬다고 한다.

"고정관념에 기초한 인간의 두루뭉실한 사고와 편향성에 대해 연구했습니다... '합리성'이라는 개념은 매우 비현실적입니다 "

심리학자가 왠 경제학상인가 했는데, '시장에 맡겨두면 (보이지 않는 손이) 알아서 해결한다'는 자유시장 경제학의 대전제, '시장 참여자는 합리적'이란 가설이 틀렸음을 검증했기 때문이라고.

(이미 100년 전에 비쌀수록 열광하는 인간의 '비합리성'을 지적한 '소스타인 베블런'이란 경제학자도 있었는데)

Snort 분석(DELETED WEB-IIS header field buffer overflow attempt - 2nd)

이제 본격적으로 분석을 해보자. 해당 룰은 헤더 필드의 구분자 조작 여부를 탐지하는 게 목적. 분석의 편의를 위해서는 헤더 영역만 추출할 필요가 있다. 어떻게?

웹 요청 트래픽은 'Request-Line(URI) + Header + Body' 구조로 이루어져 있으며, 그 중 Header 영역은 '\r\n(Carriage Return과 Line Feed, 0D0A)'으로 각 필드를 구분하는 여러 지시자(Directive)들로 구성되어 있다.