detection
이 태그가 달린 문서 6건
백도어란: 공격자가 다시 들어오는 숨은 경로와 찾아내는 법
백도어는 공격자가 정상적인 인증을 우회해 다시 들어올 수 있도록 심어 둔 숨은 진입 경로입니다. 보통 최초 침입 뒤에 설치되어 한 번의 침입을 지속적인 접근으로 바꾸며, 오염된 의존성 안에 섞여 들어오기도 합니다. 정당한 원격 유지보수와의 차이는 누군가 허가했는지, 그 존재를 알고 있는지, 기록에서 보이는지입니다. 방어: 최소 권한, 무결성 모니터링, 외부 통신 모니터링, 의존성 검토.
악성코드란 — 종류, 감염 경로, 그리고 기본 방어
악성코드(Malicious Software)는 기기나 데이터에 해를 끼칠 목적으로 만들어진 악성 소프트웨어의 총칭입니다. 바이러스·웜·트로이 목마·랜섬웨어·스파이웨어·봇은 모두 그 일부입니다. 종류마다 겉모습은 달라도 방어는 공통된 세 가지 — 감염을 막고(업데이트·의심스러운 첨부/매크로를 열지 않기·MFA), 탐지하고(EDR·안티바이러스), 되돌릴 수 있게 하기(백업)입니다. 종류를 외우기보다 이 공통 방어를 제대로 갖추는 것이 훨씬 중요합니다.
C2(명령 제어)란: 침해 후 공격자가 기기를 조종하는 통로
C2는 감염된 기기가 공격자 서버로 콜백(비콘)하여 명령을 받고 데이터를 빼내는 통로로, 침해 이후 단계입니다. 주된 단서는 의심스러운 주기적 아웃바운드 트래픽과 알려진 악성 목적지입니다. 방어: 이그레스 필터링, DNS 모니터링, IOC/IOA 대조, 최소 권한. '잔존 C2 없음'을 확인하는 것은 침해 조사의 핵심 단계입니다.
EDR이란: 엔드포인트의 활동을 기록해 안티바이러스를 통과한 공격을 탐지·대응하는 방식
EDR은 엔드포인트의 행위를 지속적으로 기록하고, 의심스러운 활동을 탐지(IOA 방식)하며, 대응(격리, 조사)을 돕습니다. 시그니처·IOC 기반 안티바이러스가 놓치는 파일리스·정상 도구 악용 공격을 행위와 타임라인으로 잡아냅니다. 소규모 팀은 풀 EDR이 필요 없는 경우가 많으며, OS 내장 보호와 로그, IOA 사고방식으로 상당한 가치를 얻습니다.
IOA(Indicator of Attack)란: 흔적이 아니라 행위로 침해를 알아채기
IOA(Indicator of Attack)는 진행 중인 공격의 행위(권한 상승 → 측면 이동 → 탈취)로 침해를 알아챕니다. 사후의 IOC와 짝을 이루는 개념입니다. 공격자는 해시와 IP를 즉시 바꾸지만, 기법(행위)은 바꾸기 어려워 IOA는 더 오래 유효합니다. 소규모 팀도 '평소와 다른 행위'를 지켜보는 것으로 접근할 수 있습니다.
IOC(Indicator of Compromise)란: 침해를 드러내는 흔적
IOC(Indicator of Compromise)는 침해가 남긴 흔적 — 알려진 악성 파일 해시, 공격자 IP/도메인, URL, 이상한 프로세스 — 입니다. 가치는 알려진 악성을 기계적으로 탐지·차단하는 것입니다. 하지만 공격자가 값싸게 바꿀 수 있는 사후적 단서이므로, IOC 대조는 완전한 방어가 아니라 마지막 점검입니다. 주된 방어는 침입을 막는 설계(최소 권한, 패치, MFA)입니다.