모의해킹 절차

모의해킹의 절차

 

모의해킹에서 절차는 중요하다 

모의해킹을 할때 대상 ( 도메인 or IP ) 등을 받아서 절차를 무시하고 무작정 해당 페이지로 가서 본인이 알고있는 웹 or 모바일 해킹의 기술적인 부분을 먼저 살펴보게 된다면 항상 문제가 발생한다.

나중에 프로젝트가 끝나고 난 뒤 보면 무시한 절차의 부분에서 문제가 발생하고 보고서의 퀄리티등의 문제에서 불만이 발생한다.

즉 절차를 무시해서 중간에 건너 뛴 부분이 항상 문제가 되어 발생한다.

그렇기 때문에 모의해킹의 절차에 대해서 확실히 이해하고 절차에 따른 수행 즉 절차에 따라서 본인이 알고있는 기술적인 부분을 수행하여야 한다.

 

pentest standard 

라는 곳에서 아래와 같이 모의해킹의 표준 절차에 대한 가이드를 제공하고 있다

각 단계는

사전협의단계 : 담당고객 ( 관리 실무자 )와 프로젝트 진행 범위 결정

정보수집단계 : 점검할 대상에 대해 어떤 서비스인지, 외부에 노출되어 있는 모든 정보 수집

위협모델링단계 : 수집된 정보중에서 서비스와 비교를 하여 보안적인 문제가 발행할 수 있는 부분 분류

취약점 분석 단계 : 진단 항목에 맞게 어떤 취약점들이 도출될 수 있는지 확인

침투단계 : 시나리오 기반으로 각 진단 항목을 서비스에 대입하여 침투 여부 확인

내부침투단계 : 1차 침투가 완료된 후에 2차, 3차로 내부 시스템 침투 여부 확인

보고서 작성 : 도출된 취약점 위협평가, 영향도를 반영하여 결과 보고 작성 

 

1. 사전협의 단계

고객들과 사전에 몇 개의 URL 에 대한 모의해킹을 실시할건지 ?

이것이 외부 모의해킹인지 ? 내부 모의해킹인지 ?

등을 고객사와 사전에 협의를 한 뒤 모의해킹을 진행하게 된다

 

man / month 를 기준으로 합의를 하게 되며 계산은 다음과 같다

1달을 기준으로 투입 되는 인원이며 인원은 4주를 기준으로 한다.

즉 1 (month) / 4 ( 4주간 투입되는 인원 ) 으로 1달 기준 1주간 1명의 인원이 투입 되면 0.25로 계산 3명이면 0.75

 

2. 정보수집단계

모의해킹의 절차중에서 매우 중요한 단계

침해사고 대응의 가장 큰 원인이 되는 부분이 바로 정보수집단계를 제대로 거치지 않았기 때문이다.

정보수집단계는 크게 2가지로 이루어져 있으며

1. 대외적 정보 : 대외적으로 공개되어 있는 정보수집

2. 서비스 되고 있는 정보 : 위에서 찾은 정보들을 기반으로 포트스캔 즉 열려있는 서비스를 대상으로 집중적으로 정보수집

대체로 1번 부분에서 많은 취약적이 발견

예를 들어 구글링으로 노출되지 말아야할 정보들이 노출이 되어서 발생하는 문제점

 

 

O.S.I.N.T ( Open Source Intelligence )

라고 불리며

Intelligence는 일반적으로 정보를 뜻하는 Information 과는 함축적 의미가 다르다

Information : 단순히 사실에 근거하여 널리 알려진 정보 즉 그 자체로 불필요하 정보들도 포함한 개념

Intelligence : 가공, 분석 등의 과정을 통해 목적에 맞게 수집된 정보

의 의미로써 O.S.I.N.T 는 외부에 공개된 정보들을 통해서 필요한 부분을 가공, 분석등을 한 정보라고 볼 수 있음

과거에는  언론사 또는 대학에서 공개한 논문, 학술자료, 기사 등의 자료가 OSINT 라고 볼 수 있었으나

오늘날에는 IT 기술을 발달로 범위가 확대되고 있음

 

포트 스캔(port scan)은 운영 중인 서버에서 열려 있는 TCP/UDP 포트를 검색하는 것을 의미하며, 다른 말로는 해당 네트워크를 돌면서 살아있는 호스트,포트를 찾는 것을 의미하는 Sweep로 불리기도 합니다. 포트스캐닝은 자신의 서버 취약점을 진단하기 위해서도 사용할 수 있지만  불법적인 스캔을 통한 해킹의 수단이 되기도 합니다.

 

 

 

 

▶스캔 방법에는 수많은 방법이 있으며 그 중 대표적인 방식은 TCP 스캔, UDP 스캔, SYN 스캔 등이 있습니다.
TCP 스캔 : TCP 스캔은 TCP 처음 연결 시 일어나는 3-웨이 핸드 쉐이킹을 탐지하는 기법으로 만약 핸드 쉐이킹이 정상적으로 완료되었다면, 해당 TCP 포트는 정상적으로 열려 있는 것으로 판단할 수 있습니다. 이 방식은 일반적인 소켓 connect()를 이용하기 때문에, Nmap 등의 프로그램에서는 이 방식을 연결 스캔(connect scan)으로 부릅니다.

SYN 스캔 : SYN 스캔은 TCP 핸드쉐이킹을 완전히 수행하지 않고, 처음 SYN 패킷만을 받은 후 검사를 완료하는 방식으로 이 방식은 실제 TCP 연결이 일어나지 않기 때문에 'half-open 스캔"으로 부르기도 합니다. 이 방식을 사용하기 위해서는 TCP 스캔과 같이 connect() 함수를 이용할 수 없고, 포트 스캐너는 이 스캔 작업을 위해 TCP 패킷을 직접 생성합니다.

UDP 스캔 : UDP 프로토콜은 TCP와 다르게 핸드 쉐이킹 과정이 존재하지 않고, 따라서 일반적으로는 포트가 열려 있다고 하더라도 서버에서 아무런 응답을 하지 않을 수도 있습니다. 하지만, 많은 시스템에서는 보낸 패킷에 대한 응답이 없을 때 ICMP unreachable 메시지를 보냅니다. 많은 UDP 스캐너는 이 메시지를 탐지하는 방향으로 동작합니다. 이 방식은 서버에서 ICMP 메시지를 보내지 않는 경우 닫혀 있는 포트를 열려 있다고 판단하는 경우가 존재합니다.

출처 : https://www.codns.com/b/B05-127

고정IP가 필요했던 모든 서비스에 속도제한 없는 무료 DDNS서비스

 

 

3. 위협모델링 단계

정보수집단계에서 수집한 정보들을 가지고 분류하는 단계

2번 단계에서 수집한 정보들이 결코 적은 숫자는 아닐 것이다. 예를들어

구글 검색 정보 100건

서비스 디렉터리 정보 50건

스캐닝 정보 5건

서버 정보 10건

네트워크 정보 5건

과 같이 정보를 수집했을 때 수집한 모든 정보가 보안적 취약점이 있는 것은 아니다

그렇기 때문에 필요한 부분만 분류를 하는 과정이 필요하며 

이와 같이 분류하는 과정을 위협모델링 단계라고 한다.

 

 

4. 취약점 분석 단계

3번에서 분류한 정보를 토대로 실제로 어떠한 방법으로 침투가 가능 한지 분석하는 단계

접한지 얼마 안된 사람들 중에 앞의 모든 절차를 건너 뛰고 바로 이 취약점 분석 단계로 들어와서 모의해킹을

수행하는 경우가 있기때문에 주의

공부를 할 때 많은 취약점을 경험을 하고 거기에 대해서 많은 보고서를 작성해봐야 한다.