본문 바로가기
728x90

3sigma rule2

[외부침해위협] 방화벽 로그 기준 탐지 시나리오 설계 및 운용 방안 방화벽의 최근 1달간 로그를 FULL로 분석하여 일정 단위시간 동안...(1분) 특정범위를 넘어서는 접속시도를 탐지....(threshold) 단, 업무상 정상적인 접속을 하는 IP의 경우에는 예외처리를 통해 탐지에서 제외한다. 이때 탐지하는 임계치는 통계적 기법인 3시그마 공식을 활용하여 일반적인 경우의 99%의 범위 밖의 값을 산정하였다. 탐지가 된 IP 에 대해서는 무조건 차단을 하는 것은 권장하지 않는다. 해당 IP에 대해서 정상적인 접속을 하는 IP인지 로그 분석을 통해 판단을 하고 예외처리를 적용한다. Best case는 정상적인 접속을 하는 IP에 대해 예외처리를 적용한 직후 다시 임계치 값을 재조정 하는 것을 권장한다. 일반적인 경우 탐지되는 접속건수의 범위에 대해서는 3개월/6개월에 한번.. 2020. 11. 17.
[방화벽] One IP -> 과다트래픽 탐지 시나리오 (스캔공격 탐지) ■ One IP -> 과다트래픽 탐지 네트워크 스캔의 특성상 스캔 공격 시도 자체를 원천적으로 차단할 방법은 존재하지 않는다. 지속적인 모니터링 작업을 통해 스캔 공격 로그를 탐지한 후 이상징후가 발견될 경우 조치를 하는 것을 원칙으로 한다. 과거 방화벽 장비만 존재하였을 경우에는 스캔 공격의 임계치를 고정적으로 운용하여 매우 타이트하게 운용하였으나 통합 정보보호모니터링 시스템(SIEM) 도입을 통해 유연하게 대처가 가능한 지금은 IDS/IPS에서 공격으로 인지하는 포트스캔 등의 임계치(Threshold) 값 미만의 공격을 탐지하거나 DDOS에서 공격으로 인지하기 전 단계의 경고성 의미로 해당 시나리오를 설계한다. 2020. 11. 17.
728x90