Gephi를 이용한 Web Log 분석

간만에 웹로그 분석. 작년에 이상징후 분석 관점의 웹로그 발생 현황 파악 과정을 살펴봤었다. 그게 벌써 1년 전 그때 강조했던 게 먼저 '숲을 그린 후, 나무를 파악하자'였는데, 큰 그림을 그린다는 게 사실 쉬운 일은 아니다.

그런데 'Gehpi'를 이용하면 조금은 쉬워지는 듯. 다음은 웹 문서 확장자별 응답코드 발생 현황 조회 화면.

Windows Event Log 분석(DNS Request - 2nd)

하루 동안 DNS 조회를 시도한 15개의 프로세스가 확인됐다. 당연한 결과지만 웹브라우저인 'chrome.exe'가 가장 많다.

Windows Event Log 분석(DNS Request)

그룹정책 편집기(gpedit.msc)를 실행해보자.

간만에 Snort 분석(DNS Request - 3rd)

하루 동안 DNS 조회가 시도된 도메인의 검사 범위를 1,300여 개에서 448개로 좁혔다. 이제 448개의 추세선만 분석하면 된다. 물론 쉽지는 않겠지만 1,300개 보다야(..)

간만에 Snort 분석(DNS Request - 2nd)

하루 동안 내 PC에서 DNS 조회를 시도한 도메인이 5,000여 개에 달한다는 사실이 확인됐다.

간만에 Snort 분석(DNS Request)

정말 오랫만에 Snort 로그. 목적지 포트가 53번인 UDP 트래픽을 모조리 탐지하는 다음과 같은 룰이 있다.

alert udp any any -> any 53 \
 (msg:"DNS Request_udp"; classtype:TEST; sid:3000005;)

특정 공격의 탐지보다는 내부에서 발생하는 DNS 조회 현황 파악 용도. (수상쩍은 DNS 조회가 있을지도 모르고) 특정일의 발생 현황을 살펴보자.

몰라서 못하는 걸까?

• 이제 수비 전문가가 필요하다

'CxO가 알아야 할 정보보안'의 저자 강은성님의 최근 컬럼. 해커가 아닌 방어 전문가를 양성해야 하고, 이들이 성장할 수 있는 환경을 만들어야 한다는 내용.

'보안관제는 정보보호 분야에 처음 발을 들여 놓는 인력들이 맡는 업무 '라는 인식밑에서 고급 수비수를 아무리 많이 양성한들 그들이 수비를 하고 싶어 할까 싶지만, CxO급에서 이런 생각을 해준다는 것만으로도 힐링이 되는 기분이다. 인공지능에 혹하는 요즘 분위기에 타이밍이 좀 아쉬울뿐.