Wireshark를 사용한 네트워크 포렌식

네트워크 포렌식은 캡처된 패킷 데이터(PCAP 파일)를 분석하여 네트워크 수준의 공격자 활동을 재구성합니다. 여기에는 측면 이동, 명령 및 제어 통신, 자격 증명 탈취, 데이터 유출, 호스트 기반 포렌식으로는 보이지 않는 프로토콜 이상 징후가 포함됩니다.

Wireshark(대화형 분석 도구), tcpdump(CLI) 또는 전용 네트워크 탭을 사용하여 네트워크 증거를 수집하십시오. 사고가 발생하기 전에 중요한 구간에 미러링 포트나 네트워크 탭을 배치하십시오. 사후 분석을 수행하려면 사전에 캡처 인프라가 구축되어 있어야 합니다.

표시 필터를 사용하면 분석 범위를 좁힐 수 있습니다. http는 HTTP를, tcp.port==443은 HTTPS를, ip.addr==10.0.0.5는 특정 호스트를, dns는 이름 질의를, tcp.flags.syn==1 && tcp.flags.ack==0은 SYN만 포함된 패킷(포트 스캔 탐지)을 표시합니다.

패킷을 마우스 오른쪽 버튼으로 클릭한 다음 → Follow → TCP Stream을 선택하면 사람이 읽을 수 있는 형태로 전체 대화를 재구성할 수 있습니다. HTTP의 경우 완전한 요청 및 응답 본문이 표시되므로 유출된 데이터나 명령 및 제어 명령을 재구성하는 데 유용합니다.

명령 및 제어 비콘은 동일한 외부 IP에 일정한 주기로 연결하는 형태로 나타납니다. ip.dst == [suspicious_ip]를 적용하고 프레임 간격을 확인하십시오. 작은 데이터량으로 일정한 간격(매 60초, 300초 또는 600초)마다 통신하면 비콘 동작의 전형적인 특징입니다.

DNS 질의를 통해 명령 및 제어 도메인, 도메인 생성 알고리즘(DGA) 패턴, DNS 터널링을 확인할 수 있습니다. 엔트로피가 높은 도메인 이름(예: a1b2c3d4e5f6.evil.com), 비정상적인 TXT 레코드 질의, 비정상적으로 큰 DNS 응답은 DNS 기반 명령 및 제어 또는 데이터 유출을 나타냅니다.

평문 프로토콜(HTTP, FTP, SMTP, LDAP, Telnet)은 패킷 캡처에서 볼 수 있는 자격 증명을 평문으로 전송합니다. http contains "password" 또는 ftp contains "PASS"로 필터링하여 사고가 발생한 시간 범위에 자격 증명이 노출되었는지 확인하십시오.

암호화된 TLS 트래픽은 개인 키나 사전 마스터 비밀 없이는 복호화할 수 없습니다. 그러나 TLS 클라이언트 라이브러리는 JA3 지문으로 식별할 수 있고(악성 코드는 특징적인 JA3 해시를 가짐), 인증서의 주체 대체 이름은 명령 및 제어 인프라를 드러내며, 트래픽이 발생한 시간은 여전히 확인할 수 있습니다.

유출 징후는 다음과 같습니다. 비정상적인 목적지로 대량의 외부 전송, base64로 인코딩된 본문을 포함한 HTTP POST 요청, 비정상적으로 큰 DNS 응답(DNS 터널링), 큰 페이로드를 포함한 ICMP 패킷, 업무 시간이 아닌 시간대의 외부 트래픽입니다.

NetworkMiner는 PCAP에서 전송된 파일을 수동적으로 재구성합니다. HTTP 또는 SMB를 통해 전송된 이미지, 문서, 실행 파일이 추출 가능한 파일로 표시됩니다. 또한 캡처된 트래픽에서 자격 증명, 인증서, 메시지를 자동으로 추출합니다.

주요 네트워크 이벤트의 타임스탬프를 추출하십시오. 명령 및 제어 서버에 최초로 연결한 시점, 자격 증명 전송, 측면 이동(내부 호스트에 대한 인증 시도), 데이터 준비 및 유출 시점이 해당합니다. 이러한 네트워크 타임스탬프를 호스트 기반 흔적과 연관시키면 전체 사고 타임라인을 구성할 수 있습니다.

Wireshark를 사용한 네트워크 포렌식은 PCAP 증거에서 공격자의 네트워크 활동을 재구성합니다. 명령 및 제어 비콘 탐지, 터널링을 위한 DNS 분석, 평문 프로토콜에서의 자격 증명 탈취, TLS JA3 지문 분석, 데이터 유출 패턴 인식을 종합하면 네트워크 계층의 공격 증거를 밝혀낼 수 있습니다.