[2012년 7월]보안뉴스, CISCO News Letter, Fortinet, Symatec Tech Tip

안녕하세요

Quarry Systems 윤동한입니다.

 

휴가철인데 휴가 계획은 잘 세우셨는지요?

날씨가 많이 오락가락 하네요 ^^

 

오늘은 특별한 내용은 아니고,

항상 업데이트 해드리던 보안소식과 벤더소식 위주로

Mailing 보내드립니다.

 

1.    Security News

기존 HP Tipping Point (Threat LinQ) 정보만 드렸는데

이번부터는 Symantec Threat Center와 Fortinet의 Forti Guard Center의

Security Report정보도 같이 정리해 드리겠습니다.

 

각 벤더 별로 장, 단점이 있어

제가 생각하는 벤더 별 장점이라고 생각되는 분석내용만

정리해서 보내드리겠습니다.

 

ü  HP Tipping point: (Reputation:악성코드 배포IP, 도메인정보)

Domain name	Score
mjvfuda.tk	100
etsnsn.tk	100
iyfsbnt.tk	100
rvwpreviously.info	100
jvuyveas.tk	100
teletulips.com	100
lobpis.tk	100
howtodoitman.com	100
inunynhs.tk	100
dak1otavola1ndos.com	100

 

IP	country	Score
184.106.184.23	United States	100
188.142.244.104	Hungary	100
189.3.236.156	Brazil	100
208.66.3.102	Canada	100
112.78.4.8	Vietnam	100
114.255.161.199	China	100
65.38.93.29	Canada	100
74.87.218.10	United States	100
189.35.169.186	Brazil	100
184.106.245.40	United States	100

 

ü  Symantec (최근 유행하는 APT사례와 관련 공격정보)

    RSA해킹할 때 사용한 Notable Zero-day attack,

duqu, skyipot Attcack 공격기법에 대한 정보가 담겨져 있습니다.

 

여기서 중요한 건 공격에 사용한 취약점(CVE)정보이고

운영중인 보안장비 (IPS,IDS,Anti-Virus)등에 관련 Pattern이

활성화 되어 있는지 점검해 보시면 운영에 도움이 되실 것 같습니다.

 

ü  Fortiguard (Mobile관련 Threat research)

l  How to decrypt encrypted files in an Android malware:

http://www.youtube.com/watch?v=DHZlFcMuZvI

 

l  Controlling AndroidZitmo.E!tr.spy by SMS

http://www.youtube.com/watch?v=tjKMYwQYYLk

 

l  Fortiguard threat Report * APAC botnet Incident List *

Name	Incident%	DB
Mariposa.Botnet	9.37	3.183
Tedroo.Botnet	7.81	3.166
Waledac.Botnet	7.18	3.179
Lethic.Botnet	6.25	3.183
Torpig.Mebroot.Botnet	5.00	3.199
Pushdo.Botnet	2.81	3.157
Morto.Botnet	2.18	3.153
Bredolab.Botnet	1.87	3.173
SpyEye.Botnet	0.93	3.163
Gbot.Botnet	0.62	3.173

APAC쪽 BotNet Incident List입니다.

소탕된 것으로 알려진 Mariposa botnet이 아직도 1위네요.

Mariposa에 대해서는 아래 분석 Report 첨부해 드렸습니다.

 

 

2.    Technical Tip & Vendor News

ü  CISCO

l  Technical Tip for NX-OS *(Trouble shooting CISCO Nexus 7000 Series):

https://files.ucloud.com/pf/D942534_6010037_720565

l  Technical tip for IPT (Trouble shooting in Remote Site)

https://files.ucloud.com/pf/D942534_6010037_720568

 

ü  Symantec

l  DLP 11.6 Release Note:

11.5와는 또 많이 변경되었습니다.

https://files.ucloud.com/pf/D942534_6010037_720577

 

l  WGA 5.1 (Codename: Power) Beta TEST진행

Symantec Web Gateway 5.1 버전에 대한 Final TEST중입니다.

https://files.ucloud.com/pf/D942534_6010037_720559

 

중요한 변경사항은 DLP와의 연동부분입니다.

DLP NP에서 하지 못하는 HTTPS Inspect부분을

WGA를 통해 가능하게 된 것입니다.

(이 부분은 몇 달 전에 한번 언급해 드린 적이 있는 것 같은데

Daum이나 NAVER등 주요 Portal Mail이 HTTPS로 바뀔 예정이라

HTTPS에 대한 Audit이 매우 중요한 화두가 되었습니다.)

 

ü  HP Arcsight

l  SIEM구축 Success Story: SIEM구축 시 활용하면 좋을 것 같아 첨부해드립니다.

https://files.ucloud.com/pf/D942534_6010037_718559

 

ü  Tech Tip1: Mariposa botnet 분석

l  침해사고 분석이나 악성코드 대응 시

어떤 식으로 악성코드를 분석하는지 물어보시는 분들이 많은데요

참고 자료로 보시면 좋을 것 같습니다.

 

https://files.ucloud.com/pf/D942534_6010037_720563

 

ü  Tech Tip2: Fortigate FW Architecture

l  심심할 때 정리해 본 문서인데, 많은 시간을 할애해서 만든 문서가 아니라

아주 깊은 내용을 담고 있지는 않습니다.

 

https://files.ucloud.com/pf/D942534_6010037_720572

 

Flow처리 logic이나 HA, Trouble Shooting을 위한 내용을 담았으니

Fortigate장비를 운영하시는 분은 조금이라도 도움이 될 것 같습니다.

 

Fortinet은 올해 신규로 Partner Ship을 맺은 Vendor인데

UTM인 Fortigate외에 Forti DDoS(과거 Intru Guard), Forti WAF등에 대해

벤더와 TFT을 구성해 테스트 중에 있습니다.

 

TFT를 통해 공유할 수 있는 좋은 정보를 획득한다면

Mailing해드리도록 하겠습니다.

 

ü  Tech Tip3: Symatec SEP(Anti-Virus)에서 P2P차단 방법

Ref: https://security.health.ufl.edu/p2p/p2p.shtml/

각종 P2P프로그램의 실행파일명이 나와 있습니다.

DLP, SEP등 End-point 차단솔루션에서 활용하시면 좋을 것 같습니다.

 

ü  Tech Tip4: Symantec DLP주민번호 탐지 패턴

Symantec DLP의 주민번호 탐지 패턴을 그대로 사용하시면

오탐이 많습니다. (Regix가 너무 단순하죠 ^^)

 

이럴 때 사용자 정의 Script검사기를 사용하면 좋은데

주민번호의 가장 마지막 검증 값 공식을 활용하는 방식입니다.

 

주민번호 검증공식은 매우 간단한데

이걸 알려도 되는 건지 모르겠네요

(개인적으로 물어보시면 알려드리겠습니다.)

 

아래 Script는 제가 만든 건 아니고, 파트너SE가 만들어 공유를 했는데

Logic에 문제가 없는 것 같아 공유해 드립니다.

 

$k1 = getIntegerAt($normalizedMatch, 0x0, 1);
$k2 = getIntegerAt($normalizedMatch, 0x1, 1);
$k3 = getIntegerAt($normalizedMatch, 0x2, 1);
$k4 = getIntegerAt($normalizedMatch, 0x3, 1);
$k5 = getIntegerAt($normalizedMatch, 0x4, 1);
$k6 = getIntegerAt($normalizedMatch, 0x5, 1);
$k7 = getIntegerAt($normalizedMatch, 0x6, 1);
$k8 = getIntegerAt($normalizedMatch, 0x7, 1);
$k9 = getIntegerAt($normalizedMatch, 0x8, 1);
$k10 = getIntegerAt($normalizedMatch, 0x9, 1);
$k11 = getIntegerAt($normalizedMatch, 0xA, 1);
$k12 = getIntegerAt($normalizedMatch, 0xB, 1);
$c1 = getIntegerAt($normalizedMatch, 0xC, 1);

$kk1 = multiply($k1, 2);
$kk2 = multiply($k2, 3);
$kk3 = multiply($k3, 4);
$kk4 = multiply($k4, 5);
$kk5 = multiply($k5, 6);
$kk6 = multiply($k6, 7);
$kk7 = multiply($k7, 8);
$kk8 = multiply($k8, 9);
$kk9 = multiply($k9, 2);
$kk10 = multiply($k10, 3);
$kk11 = multiply($k11, 4);
$kk12 = multiply($k12, 5);

$kSum = add($kk1, $kk2, $kk3, $kk4, $kk5, $kk6, $kk7, $kk8, $kk9, $kk10, $kk11, $kk12);

$iCheck = mod($kSum, 11);
$iCheck2 = sub(11, $iCheck);
assertTrue($iCheck2 == $c1);

ü[출처] 내국인 및 외국인 주민등록번호 (사용자 정의 스크립트 검사기 활용) (비공개 카페)

 

마지막으로

매달 두 번째 주 화요일에 업데이트 되는 MS보안패치가 나옵니다.

 

7월10일도 어김없이 보안 업데이트가 나왔고

HP IPS 대응 Filter는 아래와 같습니다.

 

Bulletin #          TippingPoint Filter #

*********************************************************

MS12-043                                         12395

MS12-044                                        12433, 12434

MS12-045                                        12432

MS12-046                                        12386, 12387

MS12-050                                        12436, 12431, 11532

*********************************************************

 

지난 주에는 빗길 고속도로를 달리다가

1차선에서 과속하던 택시가 가드레일을 받고 돌아서 멈추는 바람에

큰 사고를 당할 뻔 했는데, 비가 오는 날이면

차 조심, 운전 조심해야 할 것 같습니다.

 

빗길 운전 조심하시고

 

오늘도 좋은 하루 보내세요

감사합니다.

 

Symantec 보안분석 Report_7월1주차.docx