Elasticsearch 활용(winlogbeat 사용이 힘들 때)

윈도우 이벤트 로그를 Elasticsearch와 연동할 때, winlogbeat를 이용하면 이래도 되나 싶을 정도로 편하다. 이벤트 로그의 모든 필드를 알아서 정규화해주기 때문. 이래저래 이벤트 로그는 다루기 참 편한 것 같다. Logparser만 있어도 거의 RDB 수준으로 분석할 수 있으니까.

그런데 nxlog 등을 통해 이미 이벤트 로그를 수집하고 있다면, winlogbeat를 이용한 재구축은 번거로울 것이다. 이미 텍스트 형태로 수집된 로그를 Elasticsearch와 연동할 때, 로그 필드 정규화가 필요하다면 grok 필터가 최선. 다음은 nxlog를 이용해서 수집된 윈도우 이벤트 로그.

보안이 허술해 보이는 이유

난 단지 치킨을 주문했을 뿐인데 범죄의 대상이 될 수 있다니

해당 제보에 놀란 이들이 꽤 많은 듯하다. 보안 위협이 어제 오늘 일은 아니지만 이렇게 생활 가까이에서 벌어질 거라 생각 하는 이는 많지 않으니까. 그런데 여러 논란의 결론이 주로 사이트 개발자의 무능, 비윤리를 질타하는 쪽으로 모아지는 듯해서, 보안 분야에 종사한 죄로 변명을 좀 해볼까 한다.

때는 2000년으로 거슬러 올라간다. 당시 한풀 꺾인 벤처 열풍에도 불구하고 꽤 많은 IT 벤처들이 있었는데, 그중에서도 확실한 수익 모델을 자랑하던 것이 IJ(인터넷 자키)란 신종 직업으로 이슈가 됐던 인터넷 성인방송국.

당시 나는 유료 성인만화를 공짜로 보는 재미에 빠져 있었는데, 무슨 대단한 해킹을 한건 아니고 URL 경로 및 파라미터를 어림잡아 고쳐보는 식이었다. 세션 관리 안하드라 배달앱 고발 글이 지적한 바로 그 취약점.

정규표현식으로 월급 루팡 하기

국가간 무역 분쟁 기록을 엑셀로 정리해야 하는데 쉬운 방법 없겠냐는 질문을 받았다.

애를

어떻게 살 것인가?

유시민이 정치 은퇴(?) 후 내놓은 첫 번째 책. 유시민하면 민간인 고문 사건 재판 항소이유서가 떠오를 만큼, 그의 필력은 꽤 유명하다.

그냥 원래 똑똑한 사람이고, 글쓰기 연습을 많이 했겠지 싶었는데, 난데없는 그의 고백은 좀 쇼킹.

"나는 맞지 않으려고 맹렬하게 글을 썼다. 진술서를 쓰는 동안만큼은 때리지 않았기 때문... 그때 내가 혹독한 스파르타식 글쓰기 훈련을 했다는 것을 세월이 흐른 뒤에야 깨달았다... 나는 계엄사 합수부 조사실에서 태어난 글쟁이" (153페이지)

계엄사 합수부 조사실의 경험이 고문당한 민간인들의 심정을 이해하는 데 조금이나마 도움이 되었기를.

Logstash 필터 mutate

로그온 이벤트 분석에 사용된 Logstash 설정을 살펴보면, 이벤트 로그의 LogonType 필드를 대상으로 mutate 필터가 많이 사용됐음을 알 수 있다. mutate 플러그인의 주용도는 데이터 변형.

다음은 svchost 프로세스가 Administrator 권한으로 윈도우 주요 서비스 실행에 관여하는 과정에서 발생한 로그온 성공 이벤트. 로그온 유형은 '4(배치 작업)'이다. 프로세스 실행할 때마다 발생하는 듯.

Elasticsearch 활용(Logon Event 분석)

로그온 이벤트를 분석해보자. winlogbeat 설정에 로그온 성공 및 실패 이벤트 4624, 4625 추가.

모니터링 시스템 구축 시 생각해볼 점

내가 종사해온 '보안관제'라는 분야는, '관제'라는 단어의 어감에서 알 수 있듯이 주로 모니터링, 그러니까 컴퓨터 로그를 지켜보는 일이 주 업무다.