데이터 노가다 실수담

다음은 단골 강의 주제인 secure 로그 프로세스 발생 통계.

Logstash 필터 date

리눅스 secure 로그는 연도를 기록하지 않는다.

Nov 30 02:38:21 Sensor sshd[2264]: Accepted password for root from 192.168.56.1 port 8246 ssh2
Dec  1 03:44:36 Sensor sshd[13361]: Received disconnect from ::ffff:192.168.244.18: 11: Disconnect requested by Windows SSH Client.
Dec  1 03:45:21 Sensor sshd[2354]: pam_unix(sshd:session): session opened for user root by (uid=0)
Dec  1 03:45:27 Sensor login: pam_unix(login:session): session closed for user root
Dec  1 03:46:28 Sensor sshd[1445]: Received signal 15; terminating.
Dec  1 03:46:28 Sensor sshd[1883]: Exiting on signal 15
Dec  1 03:46:28 Sensor sshd[1883]: pam_unix(sshd:session): session closed for user root

로그스태시 연동 시 date 필터 플러그인은 이런 로그의 연도를 알아서 추정(?)하는데, 항상 로그 연동 시점의 연도가 적용된다. 작년까지 그랬음. 그런데 올해 첫 강의에서 희한한 경험을 했다. 다음은 로그스태시 연동 설정.

Logstash 설정과 한글

윈도우 이벤트 로그 5156은 네트워크 연결 허용을 의미하며, 이때 '연결, 수신/수락' 등의 의미를 추가로 알려준다.

미국의 오탐 대응

오탐은 태초부터 문제였다.

링크

2018년에 있었던 일

시간 정말 잘 간다. 벌써 2019년. 작년에 뭘 했지? 14년부터 한 교육기관에서만 강의를 해왔는데 작년부터 출강 기관을 늘렸다. 그래봐야 두 곳이지만(..)

기존 기관이 보안 전문이었다면, 새로 계약한 곳은 IT 관련 분야를 거의 총망라한 교육을 진행한다. 아무래도 성격이나 규모의 차이가 있다보니 초반 시행착오 발생.

과거엔 좀 빡세게 진행해도 무난했던 느낌이었다면, 새로운 곳에서는 전반적으로 교육을 여유있게 받고 싶어한다는 느낌을 받았다. 물론 커리큘럼이나 교육 기간 등이 다르기 때문에 단순 비교는 어렵지만 일단 어렵다는 피드백을 자주 접함(..)

기존에 교재만으로 개인학습이 가능한 수준을 목표로 1일 200페이지 기준(SANS 기준이라나?)의 강의를 해왔던데다, 새 강의를 계획할 때 환경 구축 과정을 보강하면서 의욕이 너무 앞섰나? 강의량이 좀 많았나 보다.