xpath를 이용한 이벤트 로그 필터링

강의하다 보면 공개하기 껄끄러운 정보가 포함된 이벤트 로그를 사용해야 할 때가 있는데, 윈도우 이벤트 로그는 텍스트가 아니라서 편집도 안 되고, 시스템 해킹이라도 하지 않는 이상 건드릴 방법이 없어서 난감해진다.

옛날엔 winzapper를 이용해서 특정 이벤트 로그를 지워버리는 방법이 있었지만, 말 그대로 옛날 얘기(..) 원하는 정보만 골라서 쏙 빼버릴 수는 없을까?

Logstash 필터 geoip

Wireshark는 maxmind 데이베이스를 이용해서 IP의 지리정보 매핑을 지원한다.

엑셀 url decoding

웹브라우저 주소창에서 볼 수 있는 URL 문자열에는 공백문자가 들어갈 수 없다.

네트워크 보안 정확도에 대한 관심 추이

이번 프로젝트에서 대구시가 가장 주안점을 둔 것은 보안 데이터 분석의 정탐률과 이벤트 처리 효율성을 높일 수 있는 AI 알고리즘 적용이었다

대구시가 AI 기반 보안관제 시스템을 구축했다는 기사 한토막. 물 들어올 때 노 젓는다고, 요새 AI 키워드 안 들어간 마케팅이 없는지라 그런가보다 하려는 찰나, '정탐률'이란 단어가 눈에 들어왔다.

10년 이상 이 분야에 종사하면서 '탐지 정확도'를 언급한 기사 볼 일이 없기도 했고, 최신 미국 기술 일변도인 업계의 관심사에 '탐지 정확도'가 포함되기 시작했음을 알리는 징조는 아닐까 싶기도 해서 내심 반가웠다.

말 나온 김에 '탐지 정확도'에 대한 업계의 관심은 어느 정도일까?

snort + barnyard2 + mysql7 install script

#!/bin/bash
# on CentOS 7(minimal)

clear
mkdir /root/install
cd /root/install
echo
echo "================================="
echo "Step 1 : start mysql installation"
echo "================================="
echo
read -p "press enter for continue"
echo

# mysql 설치를 위한 yum 저장소 구축
rpm -ivh https://dev.mysql.com/get/mysql57-community-release-el7-11.noarch.rpm

간만에 Snort 분석(OS-WINDOWS Microsoft Windows SMB Session Setup NTLMSSP unicode asn1 overflow attempt)

이기종간 데이터 통신, 특히 X.509 등 인증서 인코딩에 많이 쓰인다는 ASN.1 프로토콜 버퍼오버플로우 공격을 탐지하는 룰이 있다.

• MS04-407 취약점

alert tcp $EXTERNAL_NET any -> $HOME_NET 139
(msg:"OS-WINDOWS Microsoft Windows SMB Session Setup NTLMSSP unicode asn1 overflow attempt";
flow:to_server,established;
① content:"|00|"; depth:1;
② content:"|FF|SMBs"; within:5; distance:3;
③ byte_test:1,&,128,6,relative;
④ pcre:"/^.{27}/R";

2017년에 있었던 일

어느새 한해가 지났다. 재작년 10월에 탈고한 책을, 작년 4월에 출간하면서 기를 너무 빨렸나? 2017년은 좀 맥없이 보낸 한해가 아닌가 싶다. 1년 동안 뭘 했나 되짚어보는데 특별히 기억나는 게 없음. 대통령 탄핵과 장미 대선으로 전반기는 어수선했고, 후반기는 기아 우승 정도?

그래도 굳이 찾자면 동시통역 당했던(?) 기억이 좀 남달랐던 것 같다. 인도네시아 공무원 대상으로 동시통역사를 끼고 강의할 기회가 있었는데, 처음 경험하는 거라 그런지 많이 색달랐다. 뭐가 색달랐냐면, 내가 얘기 하고 있는데 옆사람이 동시에 떠듬(..)