윤리적_해킹_소개

목차

위협 행위자를 식별하고 그들의 의도 파악하기

Threact Actor 종류

이름	설명
Script kiddie	Tool에 주로 의존, 하지만 보안을 소흘히 하는 조직에 피해를 입힐 수 있는 해커
Hacktivist	정치적 또는 사회적 아젠다를 지지하기 위해 악의적 행동을 하는 해커
Insider	외부에 위협 행위자가 내부자를 포섭하거나 또는 내부자의 id를 이용해 침투하는 유형
State-sponsord	국정원,NSA의 Equation Group 등 정부의 스파이 활동 등을 위해 활동하는 해커
Organized crime	조직범죄의 경우 러시아의 Lockbit 등 조직적으로 활동하는 유형
APT	지능형 지속위험 (Advanced Persistent Threat)의 경우 조직화된 구름이 가용 가능한 자원을 총동원하여 지능적이고 지속적으로 공격

악의적 행위자에 있어 중요한 요소들 이해하기

설명

요소	설명
시간	해커는 공격 대상의 공략 가능성과 시간을 고려해야 함 즉 해킹(노력 대비), 시간이 오래 걸리면 다른 대상을 공략함(보통 1달에서 길면 몇 년)
자원	시스템 마다 사용하는 시스템,소프트웨어가 다르며 해커 또한 자기들이 가진 skill 이 사람마다 다르다는 점을 생각해야 함.
금전적인 요소	해커들도 자신이 가진 금전적인 여유가 허락하는 만큼 장비를 사거나 하므로 보안부서도 충분한 예산을 마련해야 함.
동기	해커는 공격 가치가 있는 것을 주로 공격하므로 이점을 고려하여 중요 자산에는 특별히 더 신경 쓸 필요가 있음

사이버 보안 용어 살펴보기

용어	설명
Asset	자산은 네트워크와 상호 작용하며 잠재적으로 해킹에 노출될 수 있다. 기술적인 시스템 일 뿐 아니라 사람 등도 해당한다.
Threat	위협은 사이버 보안의 맥락에서 잠재적으로 시스템,네트워크,사람에게 피해를 줄 수 있는 것을 말함.
Vulnerability	취약점은 기술적 물리적 또는 인간 시스템이 해커가 Exploit을 할 수 있게 하는 취약 부분이나 시스템 결함을 말함.
Exploit	Exploit는 취약점을 코드나 도구등을 활용해 시스템에서 권한을 얻어 내는 것을 말함
Risk	위험은 현실 세계에서 목표 조직이 공격을 받았을 때 입을 수 있는 피해를 말하며 겉으로 보기보다 클 수 있음. 따라서 보안전문가는 가능한한 이러한 잠재적인 사이버 공격 리스크를 완화해야 함.
Zero Day	Exploit이 가능 한 취약점이며 또한 아직 Vendor에서 패치가 나오지 않거나 인지하지 못한 취약점으로 주로 정부 지원 해커들이 사용하는 취약점

모의 해킹 단계

단계별 모의 해킹 공격 계획 만들기

Pre-engagement

모의 해킹을 위해서는 고객사의 서비스에 접근해야 하므로 반드시 법적인 문제가 없도록 하게 하기 위해서는 다음과 같은 준비물이 정말 필수적이니 기억 해야 한다. 이외에도 여러 서류가 필요할 수 있다.

사전 준비물	설명
NDA	Non-Disclosure Agreement 라고 하며 고객사의 비밀을 누설하지 않겠다는 내용의 서약서이다.
CSA	Consulting Services Agreement 라고 하며, 모의해킹 즉 보안 컨설팅 서비스 관련 사항에 고객사가 동의 하겠다는 문서이다.

모의 해킹에 앞서 통상적으로 필요로 하는 절차 (Pre-engagement)

범위 지정

외부 네트워크의 크기나 클래스는 무엇인지 (네트워크 모의 해킹시)
내부 네트워크의 크기나 클래스는 무엇인지 (네트워크 모의 해킹시)
웹 어플리케이션에 얼마나 많은 패이지를 관리하고 있는지 (웹 모의해킹 시)
모의해킹의 목적은 무엇이고 목표는 무엇 인지
웹 어플리케이션이 얼마나 많은 Input을 받고 어떤 형태의 Input을 받는 지

정보 취합(Informat Gathering)

요약

잠재적 목표에 대한 프로파일링
Server, Network 등 조직에 대한 가능한 모의 정보를 수집 할 것.

Threat modeling

목적 : 모의해킹 테스터에게 도움을 주거나 네트워크 공격 방어자가 위협에 대해 이해하고 평가하기 위함과 더불어 위협이 어떻게 일어나는지 증명하기 위해 사용됨

사용하는 Framework

Spoofing ,Tampering, Repudiation, Information disclosure, Denial of Server and Eelevation of Privilege
Process for Attack Simulation and Threat Analysis (PASTA)

취약점 분석

요약

취약점 분석은 통상적으로 평가자 또는 모의해킹 테스터는 취약점이나 네트워크 스캔을 통해 이해한 실행중인 네트워크 또는 서비스 및 그들의 분석 범위 안에 있는 취약점이나 시스템을 평가하는 것을 말함.
이러한 작업에는 다양한 자동화 Tool이 사용되고 무료이거나 유료로 진행함. 그리고 이 단계에서 취약점을 발견하면 Exploitation 시도 단계로 넘어감.

Exploitation

요약

이 단계는 보통 간과하거나 무시되는 부분이기도 하지만 현실에서 고객사들이 보안에 대해 신경 쓰지 않으면 어떻게 되는지 이해 시키기 위해 매우 중요한 단계이기도 함.

Post - Exploitation

요약

접근 권한을 획득한 시스템에는 수많은 민감한 정보들이 포함 되어 있고 이 단계에서는 시스템을 지속적으로 건드릴 수 있는 기반을 마련하는 단계로 보통 이 단계에서 주된 목적은 이러한 시스템을 장악할 수 있는 취약점의 파급효과와 잠재적으로 시스템에 줄 수 있는 피해를 고객사들의 경영자나 주요 임원들에게 인식 시켜주는 것이다.

Report writing

보고서 작성, 가장 귀찮은 일이지만 결국 해야 하는 일이다…

모의 해킹 접근법 이해하기

White Box Assement

통상적으로 웹 어플리케이션에 활용되는 기법이지만 다른 모의해킹에도 적용 할 수 있다.
이러한 평가법들의 차이는 모의 해킹 테스터에게 사전에 주어지는 정보량의 차이로, 테스터에게 완전한 접근 권한 및 시스템의 종류나 네트워크등 모든 정보가 주어지는 평가 방법이다.

Black Box Assement

통상적으로 외부 네트워크 모의해킹이나 사회공학적 기법 모의 해킹등에 사용되는 기법으로 대상 네트워크 및 시스템에 대한 최소한의 정보 또는 아무런 정보도 제공 되지 않는다. 이 경우 실제 블랙 해커들처럼 치밀한 전략과 특수한 형태의 기법 등이 총동원 된다.

Gray Box Assement

아까 두 기법의 하이브리드 기법으로 통상적으로 현실적인 테스트 시나리오에서 사용되고 모의해킹 테스터가 정보를 취합하고 모으는 시간이 절감된다.

모의 해킹 종류

이름	간략한 설명
웹 해킹	Web application pentration test 이라 하며 통상 WAST라고 불린다. 이 분야가 보통 수요가 가장 강하고 당신의 첫 직장이 될 확률이 높다. 통상적으로 Scanner 프로그램이 찾지 못한 취약점을 수동으로 찾게 된다.
모바일 앱 해킹	웹해킹과 유사한 점이 많지만 모바일에서의 공격 백터나 위협에 특화된 모의 해킹, 수요가 많아지는 시장이다, 단 각각의 앱마다 특화된 해킹 방법이 필요하다.
사회공학기법 공격	각종 이메일,문자, 전화 등등으로 피싱해서 즉 인간을 해킹해서 진행하는 모의 해킹
네트워크 모의 해킹(외부 및 내부 네트워크)	주요 수행 작업으로 IDS(Intrusion Detection Systen),IPS(Intrusion Prevention System), 방화벽 우회, 패스워드 크랙, end device와 server의 접근 권한 얻기, 잘못 설정된 스위치 익스플로잇
클라우드 모의 해킹	주로 컨테이너 등을 공격하며 AWS, Google Cloud, Azure 환경에서 진행함.
물리 모의 해킹	보안 카메라 센서 , 생체 인증 시스템, 도어락, 경비 등이 물리적 보안 요소다.

해킹의 단계 이해하기

Reconnaissance or Information Gathering

방법	설명
1단계	검색 엔진을 통한 정보 수집
2단계	SNS를 통한 정보 수집
3단계	DNS interrogation 수행하기
4단계	사회 공학 기법 활용하기

Scanning and Enumeration

방법	설명
1단계	Live System 확인하기
2단계	방화벽 및 방화벽 규칙 확인하기
3단계	열린 포트 확인하기
4단계	실행중인 서비스 확인하기
5단계	보안 취약점 확인하기
6단계	목표 네트워크의 Network Topology 만들기

Gaining Access

한 번 접근하면 얻을 수 있는 것

이름	설명
Password Cracking	각종 시스템의 패스워드 확보
Exploiting vulnerabilities	시스템의 취약점
Escalating prvileges	권한 확보로 영향을 줄 수 있는 시스템의 범위를 알 수 있음
Hiding File	숨겨진 중요 파일들 확인 가능

Maintaining Access

접근 권한을 유지하기 위해 필수적인 요소

Lateral movement(측면 이동:연결된 다른 자산도 공격)
데이터 추출
백도어와 영구적인 연결 생성하기

Covering Your Tracks

설명: 악의적 행동을 감추거나 흔적을 지우는 것을 말함.

사이버 킬 체인 이해하기

Cypber kill Chain은 미국의 군수기업 록히드 마틴이 제안한 개념으로 해킹의 단계인 정찰 -> 무기화 -> 전송 -> exploitation -> 설치 -> Command & Contrl (C2C) -> 행동 등의 단계에서 한 부분이라도 끊어낸 다면 사이버 공격을 막을 수 있다는 점에서 등장한 개념이다.

댓글