2018년에 있었던 일

시간 정말 잘 간다. 벌써 2019년. 작년에 뭘 했지? 14년부터 한 교육기관에서만 강의를 해왔는데 작년부터 출강 기관을 늘렸다. 그래봐야 두 곳이지만(..)

기존 기관이 보안 전문이었다면, 새로 계약한 곳은 IT 관련 분야를 거의 총망라한 교육을 진행한다. 아무래도 성격이나 규모의 차이가 있다보니 초반 시행착오 발생.

과거엔 좀 빡세게 진행해도 무난했던 느낌이었다면, 새로운 곳에서는 전반적으로 교육을 여유있게 받고 싶어한다는 느낌을 받았다. 물론 커리큘럼이나 교육 기간 등이 다르기 때문에 단순 비교는 어렵지만 일단 어렵다는 피드백을 자주 접함(..)

기존에 교재만으로 개인학습이 가능한 수준을 목표로 1일 200페이지 기준(SANS 기준이라나?)의 강의를 해왔던데다, 새 강의를 계획할 때 환경 구축 과정을 보강하면서 의욕이 너무 앞섰나? 강의량이 좀 많았나 보다.

사내보안을 강화하려면

인터넷 끊으면 됨. 피싱이고 APT고 랜섬웨어고 뭐고 다 인터넷만 끊으면 걱정 끝. 이후엔 톰 아저씨만 조심하며 된다. 진짜로(..)

인터넷 끊겨서 직접 왔어

Query DSL 맛보기

Elasticsearch에서 원하는 데이터만 삭제하고 싶을 때는 원하는 데이터만 골라주는 쿼리문을 작성해야 하는데, 이때 JSON 구조의 쿼리문을 사용한다. 간단히 얘기하면 {}를 이용해서 계층을 구분하는 쿼리문.

다음은 message 필드값이 'this is a test'인 데이터를 조회하는 'query - match - 필드명' 구조의 쿼리문.

Elasticsearch 플래티넘 기능 사용하기

6.3 버전부터 X-Pack 기능이 아예 통합된 건 다들 아실테고, 'Management > License Management' 메뉴에서 'Start trial' 버튼을 클릭하면 해당 기능을 30일간 제한없이 사용할 수 있다. 물론 라이센스 있으면 업데이트 하면 되고.

Packetbeat 활용 - 2nd

실시간 모니터링 말고 파일로 저장된 트래픽도 분석할 수 있을까? 당연히 된다. pcap 파일 리플레이를 할 수 있다는 얘기. Winlogbeat도 파일 접근할 수 있게 해줘

Packetbeat 활용

가끔 Packetbeat 사용법을 물어보는 분들이 계시는데, 계속 안 써봤다고 답하기 궁색해서 써봄(..) 이름처럼 Packetbeat는 트래픽 데이터 전송 에이전트 역할을 한다. 설정을 살펴보자.

Network device

yml? yaml?

엘라스틱 스택의 주요 설정 파일들은 대부분 yml 확장자를 갖는다. 이게 뭔가 싶었는데 데이터 직렬화 응? 직렬 뭐? 양식인 YAML을 줄인 거라고. 읽기 편한 구조를 가지고 있어서 설정 파일 형식으로 많이 쓰인다나.

그런데 이게 읽기 쉬운 구조인 건 알겠는데 문법에 대한 이해 없이 리눅스 설정하듯 쓰면 되겠거니 하다가는 낭패보기 십상이다. 다음은 logstash.yml 설정 구조.

같은 의미, 다른 구조