굳이 리눅스의 종류를
구분하여 사용할 필요는 없지만
단지 데비안 기반의 칼리 리눅스는
펜 테스트(Penetration test / 모의침투테스트)
에 관련된 도구들이 종합되어 있어
처음 입문하는 사람들이 사용하기
편리하게 되어있고 실제 모의 해킹을
할 때도 많이 쓴단다.
제공 도구들의 퀄리티는 어설픈 개인이
파이썬으로 직접 코드를 짜고 시스템을
구축하는 것보다 압도적으로 정교하게
만들어져 있고 시스템에 영향을 주지 않도록
고안되어 있기에 매우 안정적이다.
간혹 사용자의 도구 기능 활용 미숙으로
없던 오류를 발생시키는 경우가 있을 수 있다.
예로 Metasploit (메타스플로잇) 이라는
자동 공격 도구를 사용할 때 exploit
이라는 것을 직접적으로 주입하게 되는데
모의해킹 할 때 이와 같은 것들을 잘 모르는 상태에서
진단을 하게 되면 서비스에 오류가 발생하기 십상.
칼리 리눅스 기본 제공 툴
1~4번까지는 취약점 평가 툴
1. Information Gathering :
정보 수집
2. Vulnerability Analysis :
취약점 분석 및 평가
3. Web Application Analysis :
취약점 평가를 하고 난 뒤
발견된 부분들이 있다면
오픈되어 있는 서비스의 버전을
기준으로 80포트를 통해
진행을 시작,
*대부분
외부에서 방화벽으로 막혀있기 때문에
80포트(HTTP의 기본 포트)나 443포트
(HTTPS의 기본 TCP/IP : Transmission
Control Protocol/ Internet Protocol),
혹은 기타 정말 서비스에 필요한 포트
이외의 포트들은 열려있지 않기 때문에
이런 기본적인 80포트, 웹 애플리케이션
부터 진행을 하는 것.
4. Database Assessment
데이터베이스 평가
데이터 베이스에 대해 진단함으로
내부 침투가 가능한지 확인한다.
5번부터 9번까지는
내부 침투에 관련된 부분
이며 내부 침투가 가능하다면
10. Post Explotation
내부 시스템에서 정보를 수집하고
유지하는 단계로 내부 시스템의 더
안쪽으로도 들어갈 수 있다.
관리자들이 배워야 하는 칼리 리눅스
칼리 리눅스는 모의 해킹 컨설턴트뿐 아니라
웹의 기술적인 것들을 다루는 관리자들이
더 많이 알아야 한다고 하는데 그 이유로는
지켜야 할 대상이 많기 때문이다.
대상이 많다 보면 업무량이 많아지고
인력으로 모두 커버하기 어려운 상황이
오기 마련인데 그런 상황에는 반드시
자동화의 도움을 받아 역할을 분담하여
업무의 효율성을 높여야 하며 나아가
본인에게 적합한 자동화 도구들을 찾아야
한다.
관리자가 다루는 영역을 분류해 보자면
1. 외부로 노출되어 있는 대외 서비스 외
대외 서비스와 물려져 있지만 공개되지 않은
서비스(예로 개발서버나 스테이지 서버:
서비스가 공개되기 전 테스트를 진행하는 서버)
2. 내부 시스템들
(데이터베이스, 로고시스템, ip 대역 서버 등)
3. 개인 pc들
이 있다.
혹 대기업에 들어갔는데
다루어야 할 직원들의 pc가
몇 천대 단위라면 혼자 하나하나
점검하기 매우 어려울 것이다.
실무 이야기
모의 해커들이 모의 해킹 진단을 할 때
소요되는 시간은 평균적으로 2주~4주
정도로 주로 대외 서비스를 대상으로
투입되는데 실질적인 진단 대상들이
많지 않다. 예로
일반적으로 하는 진단 중 인증 체계인 ISMS
(Information Security Management System,
정보보호관리체계) 인증,
PIMS(Personal Information Security M.S.
개인 정보보호 관리체계) 인증
과 관련된 대상들은 대외 서비스이긴 하나
오랫동안 진단하는 대상이 아니며
칼리 리눅스의 자동화 도구들의 활용하여
진단을 하지만 그 도구들을 활용할 수 있는
때가 많이 없다.
왜냐하면 진단 대상이 한두 개의 경우
진단 방식이 자동화 도구 사용에 맞춰져
있지 않고 수동 진단에 맞춰져 있다보니
보통 프록시 서버 하나만 켜놓고 모든 것들을
다 수동으로 보는 경우가 있기 때문.
그 이상 들어가면 조금 큰 프로젝트나
연관 프로젝트로, 전수 진단을 요하는
프로젝트라 할 수 있는데
이 경우 보안 업체에서 가지고 있는
모든 대대적인 서비스를 한 업체와
계약을 맺어 진행을 하게 되며
기간은 몇 달 혹은 년 단위까지
올라가는 온 고잉 형태로 갈 수 있단다.
아래는
2015년에 나온 기사
자동화의 중요성.
“최근 발생한 보안사고 등으로 기관·기업들이 취약점 점검에 많은 관심을 갖고 있습니다. 한가지 명심해야 할 것은취약점 점검은 전수진단을 해야 의미가 있다는 점입니다.”
황용온 에스에스알 최고기술책임자(CTO, 상무)는 지난 26일 가진 <디지털데일리>와의 인터뷰에서 보안 취약점 점검시에는 반드시 모든 시스템, 어플라이언스 등을 모두 진단해야 한다고 강조했다.
황 CTO는 “현재 현업에서 이뤄지는 취약점 점검은 표본(샘플)을 설정하고, 해당 표본에 대한 조사를 통해 취약점의 유무와 보안수준을 점검하는 형태다. 이는사람이 모든 장비에 대한 점검을 일일이 할 수 없기 때문”이라고 설명했다.
이어 “하지만 이러한 방식은 완벽하다고 볼 수 없다. 점검을 하지 않은 인프라에 대한 취약점은 찾아낼 수 없기 때문이다. 표본 설정 취약점 점검의 한계인 셈”이라고 강조했다.
인력 기반의 취약점 점검은 비용적인(Man/Month) 문제로 인해 시간의 제약이 필연적으로 발생할 수 밖에 없고, 이는 시스템 전반적인 정확도의 문제가 발생할 수 있다.
실제 기관·기업들은 정보보호관리체계(ISMS) 인증 등을 위해 취약점 점검을 실시할 때, 특정 PC나 시스템에 대해서만 이를 진행한다. 또 비업무시스템에 대해서는 취약점 점검을 하지 않는 경우가 많다.모든 시스템을 점검하기에는 시간과 비용이 만만치 않기 때문이다.
그러나 공격자는 현행 취약점 점검의 한계점을 노린다. 핵심DB에 접근하기 위해 비업무시스템을 먼저 공격하고, 이를 통해 서서히 전체 시스템을 장악해 나간다.
이에 대해 황 CTO는 “공격자는 시스템의 가장 약한 부분을 찾고, 그곳을 통해 기업의 중요자산에 접근한다. 전수점검이 필요한 이유가 바로 여기에 있다”고 설명했다.
황 CTO는 전수점검에 대한 중요성을 주장하면서 이를 보다 효율적으로 하는 방법을 제안했다.사람이 직접 해온 체크리스트 방식의 취약점 점검을 자동화시킨다면 인건비의 절감과 더불어 빠른 시간내에 전수점검이 가능하다는 것이 그의 주장이다.
이 회사의 취약점 진단 자동화 솔루션 ‘솔리드스텝(SolidStep)’은 이러한 황 CTO의 아이디어에서 개발됐다.
그는 “보안컨설팅을 하던 중 ‘운영체제(OS) 비밀번호 자릿수, 비밀번호 교체주기, 방화벽 설정유무 등과 같이 간단하게 확인할 수 있는 부분을 굳이 사람이 해야할까?’라는 의문이 들었다. 이를 자동화한다면 시간과 비용을 줄일 수 있기 때문”이라며 “기준이 명확한 법규와 컴플라이언스는 기계도 충분히 판단할 수 있을 것이라고 생각해 자동화 점검도구를 개발하게 됐다”고 말했다.
보안 컨설팅을 수행함에 있어 자동화로 가능한 부분은 자동화로 하고, 모의해킹이나 심화 컨설팅과 같이 기계가 할 수 없는 부분은 사람이 해야 한다는 것이 황 CTO의 제언이다.
황 CTO는 “자동화 솔루션을 사용할 경우 연 1~2회에 그쳤던 취약점 점검을 수시로 할 수 있다는 장점도 갖는다. 기업들의 인프라 보안성 확보에도 많은 도움을 줄 수 있다”며 “기업 보안은 전체 시스템에서 보안 구멍을 막는 것이 급선무다. 전수점검은 구멍을 막는데 도움을 줄 것”이라고 재차 강조했다.
한편 솔리드스텝은 국제공통평가기준(CC) 인증(국내용)을 획득했으며, KT, LG유플러스, LIG손해보험, 현대자동차, KB생명 등에서 도입해 운영하고 있다.http://www.ddaily.co.kr/cloud/news/article.html?no=128699
'정보보안공부 > 잡다정보' 카테고리의 다른 글
| 정보보안기사 빈출 이론 정리 2 (0) | 2020.05.19 |
|---|---|
| 기초) 칼리 리눅스 기본 명령어 1 (2) | 2020.05.17 |
| 시스템 보안 공부 순서 및 정보보안기사 빈출 이론 정리 (1) | 2020.05.15 |
| 모의 침투 의미와 학습 방향 (0) | 2020.04.27 |
| 보안 공부 시작 및 가상 환경 구축 정보 (2) | 2020.04.25 |