정보보안 스터디 - 22주차 3일 - Active Directory, OPSEC

 

☞ 정보 수집

nmap이 대표적이고

대규모 포트스캔의 경우에는 sweep이 있습니다.

대기업의 경우 OSINT(공개 출처 정보) 확인

 

그 중에서 포트스캐닝 nmap은

서버에 서비스(포트)가 올라갔는지 몰라서 nmap이 개발되었고

scanme.nmap.org 에서 악의적이지 않다면 합법적으로 스캔이 가능합니다.

오픈 소스로 소스코드도 나와있습니다.

 

-sC 기본 정보 수집 스크립트

-oA  모든 형태를 파일로 저장합니다.(xml, nmap, gnmap)

-n  DNS Resolution 하지 않습니다.

--open  열려있는 포트만 출력합니다.

-Pn 핑없이 보냅니다.

-sS half-open으로 더빠르게 스캔가능합니다.

 

nmap은 먼저

살아있는지 확인합니다.

host discovery - ICMP로 핑을 보냅니다.

핑을 없애려면 -Pn을 사용합니다.

 

 

 

 

 

☞ Active Directory

성격이 조금 다른 데이터베이스라고 생각하면 되는데

예를 들어 회사 직원들의 계정 정보와 컴퓨터에 대한 정보,

강제하려는 정책들(비밀번호를 30일마다 한번씩 변경한다든지, 5분이 지나면 화면 보호기가 실행된다든지 등)

들을 저장하고 있습니다.

그러니까 그룹 관리를 위한 콘솔이 존재하고 정책들을 생성, 적용도 할 수 있습니다.

 

 

☞ BloodHound 툴

그래프 이론으로 이루어져있으며

Active directory 환경에서 숨겨진 것이나 잘못된 관계를 드러내기 위해서 사용합니다.

>>

공격자 입장에서는 이걸 사용하지 않았다면 빨리 못찾았을 복잡한 공격 경로를 쉽게 찾을 수 있습니다.

방어자 입장에서는 그 공격 경로를 찾아 삭제할 수 있습니다.

실무에서 둘 다 사용가능하고 Active directory 환경의 권한 관계를 잘 이해할 수 있습니다.

 

 

 

 

☞ OPSEC(operation security) 작전보안

개인용OPSEC과 인프라용OPSEC

으로 나눌 수 있습니다.

 

 

개인용 OPSEC은 NSA에서 작성한 것을 참고해주면 좋을 것 같습니다.

https://media.defense.gov/2023/Feb/22/2003165170/-1/-1/0/CSI_BEST_PRACTICES_FOR_SECURING_YOUR_HOME_NETWORK.PDF

 

어떤 개념이냐면

레드팀 작전을 하는 데 익명성을 올리는 것이 아닌

공격자가 들어오지 못하도록 설정을 막는다거나, 웹브라우저에서 암호화를 해서 접속한다거나 등의 내용입니다.

 

 

인프라용 OPSEC

레드팀 침투자 개념에서는

OSINT 등 정보수집을 할 때는 익명성이 필요합니다. 수상한 흔적을 보여지면 안됩니다.

 

나열하자면 

user-agent 바꾸기. (노출되면 안되기 때문에) 

제 3자에게 브라우저 데이터 세어나가지 않도록 설정 끄기

브라우저 핑거프린트 - 모니터 크기 정보, 광고 차단

geolocation 위치

ipsec - dynamic port forwarding을 통한 sock프록시

셀프 호스팅 vpn

프록시, 가상머신 매작전마다 새로 IP주소를 받기

안티 포렌식 - 다른 공격 그룹인척 헛걸음 하도록하기  

브라우저 프라이버시 애드온

공용 와이파이 사용 금지

일반 노트북과 작전용 노트북 분리

kill switch - drive삭제 key

encrypt hard drive/ssd

실제 있을 법한 인물 가짜 페르소나 만들어서 linkedin 탐색(public에 노출시키기). 

등이 있습니다.