이번 수업에선
모니터링과 감사에 집중할 겁니다
모니터링부터 시작하죠
네 모니터링에 대해 말할 때
보안 분석가의 주요 업무 중 하나는 네트워크를
모니터링하는 거죠
우리는 탐정과 같습니다.
네 뭔가 이상해 보이는
걸 뿌리 뽑으려는 겁니다 수동으로
하거나 자동화된 수단을 통해 할 수 있어요
지금요 syslog는 다양한 어플라이언스와 소프트웨어
앱이 로그나 이벤트 기록을 중앙 서버로 전송할
수 있도록 하는 프로토콜입니다
syslog는 표준 클라이언트 서버 모델을 따를 것입니다
이는 네트워크를 통해 분산 시스템의 이벤트를
기록하기 위한 사실상의 표준입니다.
맞습니다 여러분이 매일 작업하게 될 많은 시스템에서 syslog가
사용되는 걸 보게 될 겁니다
이제 syslog는 대부분의 운영 체제와 대부분의
네트워킹 장비에서 실행됩니다.
네 그래서 시스코 라우터를 쓰든 Windows
컴퓨터나 Linux 서버를 쓰든 모두 syslog를
쓸 수 있습니다
메시지를 다시 보낼 때 syslog
메시지는 어떤 모습일까요?
음, syslog 메시지에는 몇 가지 내용이 포함됩니다.
Pri 코드가 포함돼 있어요 우선순위 코드죠
헤더와 메시지 부분을 포함하고 있어요
하나씩 얘기해 보죠
먼저 이 pri 코드, 즉 우선순위가 있으며
이는 시설과 데이터의 심각도 수준을
기반으로 계산됩니다.
다음 헤더가 있습니다 헤더는
이벤트의 타임스탬프를 담을 것입니다
호스트 이름도요 안 됩니다,
어디서 왔는지 언제였는지 알 수 있죠
그리고 마지막으로 이벤트의 소스 프로세스와
관련 내용이 포함된 메시지 부분이 있습니다.
기본적으로 어떤 데이터가 발생했으며 우리에게 무엇을 알리고
싶은가요?
이것이 메시지 부분에 대한 아이디어입니다.
이 메시지의 핵심이 바로 이거죠
원래 버전에서는
몇 가지 단점이 있었어요
원래 프로토콜은 udp에 의존했어요
네 자 이제 udp는 프로토콜을
잊게 하거든요
응답과 인정을 기다리지
않고 바로 보냅니다
그래서 그것은 그것이 거기에 도달했다고 가정합니다.
네 네트워크가 막히면
데이터가 삭제될 수 있어요
따라서 정보가 로그 서버에 도달하지
않아 로그되지 않죠
네 초기엔 괜찮았을 거예요 네트워크에
있는 모두를 믿을 수 있다고
생각했으니까요 하지만 요즘은
그런 게 안 되죠
우리는 데이터가 거기에 도착하는지 확인하고 싶습니다.
그래서 해결책을 찾아야 해요
두 번째는 기본적인 보안
통제가 별로 없다는 겁니다
syslog에는 기본적으로 암호화나 인증 같은
것이 포함되어 있지 않았습니다.
이것도 단점이죠
따라서 최신 syslog 구현에서는 이러한
사항을 수정했습니다.
자 이러한 보안 문제 때문에
새로운 syslog 구현들은 많은 다양한
기능과 기능을 추가했습니다
여기서 두어 가지에 대해 얘기할게요
새로운 구현들은 tcp를 이용해 지속적으로
전달됩니다
이렇게 합니다 이렇게 하면 네트워크가 복잡해져서
메시지가 전달되지 않아도
tcp를 사용하기 때문에 반복해서
전달할 겁니다
두 번째 개선 사항은 새로운 구현은 tls,
즉 트랜스포트 계층 보안을 사용해 서버로 전송되는
메시지를 암호화할 수 있습니다
네트워크의 다른 누군가가
데이터를 읽을 수 없도록요
보낸 사람과 받는 서버만
읽을 수 있어요
세 번째는
새로운 구현들이 md5와 sha1을 이용해
인증과 무결성을 제공합니다
네 이렇게 하면 이렇게
하면 안 그러면...
다른 기능도 많죠
네 이 세트에는 많이 집중하지 않아요
왜냐하면 중요한 세 가지가 있는데 지속적인
배송을 위해 tcp로 옮겼어요
암호화를 위해 tls로 전환했으며,
인증 및 무결성을 위해 md5 및 sha1을
사용하기 시작했습니다.
네 이제 이제 차세대 Syslog라고도
하죠 rsyslog라고도 하고요
네 자 마지막으로 말씀드릴 것은 syslog는
종종 세 가지로 해석된다는 겁니다
데이터를 보내는 프로토콜을 참조할 수 있어요
이는 syslog 서버에서처럼 서버를 참조하거나
syslog 데이터에서처럼 로그 항목
자체를 참조할 수 있습니다.
네 사람들은 종종 syslog라고
하는데 셋 다라는 뜻이죠 이 셋 중 아무나요
문맥에 따라서요
따라서 업계 사람들이
snmp에 대해 이야기하는 세 가지
중 어느 것이 다음 snmp인지
이해하기 위해 이야기하는 것을 들을
때 주의하십시오.
Snmp는 단순한 네트워크 관리 프로토콜입니다
네트워크에 연결된 장치 및 컴퓨터를 모니터링하는
데 도움이 되는 tcp 프로토콜입니다.
Snmp는 네트워크 관리 및 모니터링 시스템에
통합되어 있으며 관리 및 모니터링 개념에
많이 사용됩니다 ??? 네.
Snmp는 세 부분으로 나뉘어요
관리되는 장치와 에이전트 그리고 스스로의
네트워크 관리 시스템이 있죠
관리되는 장치에 대해 얘기했죠
이는 네트워크 관리 시스템에서 에이전트를 사용하여
모니터링하는 컴퓨터 및 기타 네트워크
연결 장치입니다.
요원은 관리되는 장치에 로딩되는 소프트웨어예요
그러면 정보를 모니터링 할 네트워크
관리 시스템으로 리다이렉션
할 수 있습니다
그리고 네트워크 관리 시스템(nms)은
네트워크를 통해 네트워크에 연결된 모든 장치와
컴퓨터의 모니터링을
제어하는 ​​하나 이상의 서버에서 실행되는 소프트웨어입니다.
Snmp는 접착제로서 이 snmp 프로토콜을
이용해 이 세 가지를 서로 통신하게 합니다
그렇다면 네트워크 내부에서는 이 모든 것이 어떻게 보일까요?
화면에 간단한 다이어그램이 있습니다
네 왼쪽에는 nms라고 하는 네트워크 관리국이 있어요
우리 네트워크 관리 시스템의 일부죠 , 우리 시스템이에요
관리자로 작동해 네트워크에
걸쳐 관리되는 모든 장치에
메시지를 보내고 받을 겁니다 라우터,
스위치 그리고 서버∙∙∙ 그렇죠
네 이제 정보를 원할 땐 get
request를 보내고
그 장치들이 set request를 이용해 정보를
다시 보내죠 ?
트랩 요청입니다 트랩 요청이라는 것도
있습니다 관리 장치로부터 청하지
않은 정보를 받는 것입니다
주기적으로 필요한 정보를 보내는
장치입니다
네 snmp를 이용해 네트워크 관리를 수행할 때 데이터가
전송되는 옵션은 두 가지입니다
사용 중인 네트워크(대역 내 통신이라고
함)를 통해 보내거나 대역 외로
보낼 수 있습니다.
네 이제 대역은 관리
데이터를 회사 정보와 일반 데이터를
갖고 있는 같은 네트워크로 보낸다는
의미죠 ?
이게 더 싸고 쉽지만 안전하진 않아요
더 안전하게 하려면
대역 외 네트워크를 만들어야 해요
네 모든 관리가 발생하는
부차적 네트워크지만 여전히
사용자가 얻는 모든 데이터가
발생하는 주 대역 네트워크가
있어요
관리해야 합니다 보안을
증가시키고 사용자가 만지거나 볼
수 없는 곳에서 관리 기능을 제거해야
하니까요