728x90
반응형


미국 여행중에 라스베가스에서 데스밸리를 걸쳐서 Bishop에 도착했다.

Bishop은 조그마한 소도시로서 근처에 온천이 유명한 도시였고 멀지않은 곳에 큰 스키장이 위치하고 있을뿐 아니라 호수도 근처에 있어서 낚시라던가 다양한 액티비티를 할수 있는 도시였다. 무엇보다도 대도시 보다도 아담하고 조용한 도시라 좋았다.


 Bishop에 도착해서 호텔에 방을 잡은 이후에 무얼 할까 하다가 검색을 해 보니 100년된 빵집이 유명하다고 해서 다녀 왔다.


가게명 : Erick Schats Bakkery

주소 : 763 N Main St, Bishop, CA 93514 미국



간판에 적혀 있는대로 1907년 부터 영업을 했다고...

방문한 해가 2018년이였으니 111년을 영업한 셈이였다.


미국은 구글신께 물어보면 많은걸 알려주신다. 역시 구글신의 정보는.. ^^






물어보지는 않았지만 처음 정착한건 1903년 ? ^^


빵집 외부 전경



가게 앞에 보면 성경의 마태복음 4장 4절이 있다.

"사람이 빵으로만 살 것이 아니라 하나님의 모든 말씀으로 살아야 한다"


방문한 달이 7월이라 7월의 메뉴라고 한다.





가게 정문 입구






가게 내부 : 다양한 빵과 캔디, 아이스크림등을 판매하고 있다.



  Bishop을 방문할 일이 있다면 한번 가봐도 좋은 곳이다. 빵과 아이스크림을 사서 먹으면 나름 오래된 가게에서 미국의 옛날 빵집 분위기를 느낄수 있다.

실제로 

728x90
반응형
728x90
반응형


  온 가족인 2018년 여름에 21일 동안 렌트카를 타고 미국의 서부를 돌고 왔다. 

벌써 다녀온지 1년이 되어가고 더 잊어 버리기 전에 여행 다녀온것을 정리해 보고자 한다. 


   여행 초반의 LA의 40도가 넘는 온도에 사막기후는 돌아다니는것을 거의 불가능하게 만들었고 특히 LA의 교통난은 여행을 한층 더 힘들게 만들기에 충분했다.  실제로 미국을 여행하고자 하시는 분들은 7월에 LA 근교는 피하는게 좋다고 생각된다. 여행하는 기간동안 LA를 제외한 다른 지역은 기온이 한여름임에도 

불구하고 실제 기온이 30도를 넘지 않는 수준이였기 때문에 쾌적하게 여행이 가능하였다.


0. 경로

 아마도 미국 여행을 가고자 계획을 세우는 분들에게 가장 고민되는 부분은 여행 경로 일것이다. 단순 패키지 여행일 경우야 여행사에서 모든것을 알아서 해주지만 직접 가는 미국 여행은 모든 경로와 숙박, 액티비티 등을 본인이 세워야 하기 때문에 고민이 많이 될것이다. 


2018년 7월 어느날부터 21일간..

여행 경로 : LA -> San Diego -> Palm Springs -> Sedona -> Grand Canyon -> Willians -> Las Vegas -> Death Vally -> Bishop -> San Francisco



   멋진 경로라고는 생각되지 않지만 나름 제한을 몇가지 걸어 두고 경로를 정했다.


 1. 하루에 최대 5시간 이상 운전을 하지는 않는다. ( 쉬는 시간을 포함하면 하루에 최대 6-7시간 이상 이동하지 않는다.)

 2. 5시간 이동 거리마다. 웨이 포인트를 정해서 중간에 쉬어 간다. 


  위와 같은 2가지 제한을 걸어 두고 숙소와 이동 경로를 잡다 보니 샌디에고 에서 세도나까지 바로 가기 힘들어 중간에 피닉스나 팜스프링스에서 쉬기로 했고 그래서 정한 팜스프링의 숙소는 정말 좋아서 2일이나 쉬면서 관광을 했었다. 뿐만아니라 그랜드 캐년에서 라스베가스로 바로 당일날 이동하기에 시간이 어중간하고 성수기때 그랜드 캐년 내의 숙소는 그야말로 금값이였기 때문에 윌리엄스를 정했다. 윌리엄스 숙박도 또한 이번 여행에서 가장 좋았던 기억이다.

  


1 준비물

 (1) 항공권

 대략적으로 여행 경로를 정하고 나서 비행기 표를 예약 했다. 비행기는 다행히 국적기인 아시아나로 예약이 가능했고 비행기는 A380이라 좌석도 4인 가족이 붙어 있는 자리로 예약 하였다.



  실제로 다른 항공기 의자의 경우 뒤로 너무 심하게 젖혀 지는 관계로 앞사람이 심하게 뒤로 의자를 눕게 되면 아주 불편하게 여행을 하게 되는데 이번의 A380의 2층 좌석은 제한되게 되어 있어 편하게 여행하였다.


  비행편은 In/Out을 서로 다른 장소로 설정했다. 여행 이후 다음 다시 LA로 돌아와 비행기를 타는건 그렇게 효과적이지 못하다고 생각했고 샌프란시스코에서 LA 사이에 딱히 큰 관광지도 없었기 때문이다.


 (2) 여행자 보험

  아무래도 가족이 모두 여행을 가는 만큼 여행자 보험은 필수로 들었다. 기본적인 보험만 들었을 경우 몇만원이면 충분하였다.

 물론 아무런 사건사고 없이 다녀 왔기 때문에 보상 받은건 없었지만 만약의 사고를 대비하였다.


(3) 미국 비자 ESTA

  가족들의 모든 여권을 전자여권으로 바꾼다음 ESTA를 신청 했다. 

  https://esta.cbp.dhs.gov/esta/


(4) 미국 USIM

  20일이 넘어가는 여행이였기 때문에 와이프와 나는 각자 USIM을 신청하기로 했다. 

  서로 전화가 되지 않으면 따로 이동할 일이 있을때 연락을 하지 못할수 있기 떄문이다.



   T-Mobile을 이용하였는데 특별한 문제 없이 잘 사용하다가 왔다.



(5) 렌트카

  렌트카는 많은 비교 사이트를 통해서 가격 비교도 해보았지만 한국 사이트를 직접 제공하고 있고 한국에서 예약할 경우 가격도 저렴한 alamo를 이용하였다.

  https://www.alamo.co.kr/



   렌트카 대여시 촬영해둔 사진이 없어 찍어둔 차 사진을 올린다. 


  다른 분들의 후기를 읽어 보면 알수 있듯이.. LA의 알라모 렌트카는 공항에서 렌트카 셔틀을 타고 다른 장소로 이동한 다음에 차를 수령하게 된다. 도착해서 둘째딸을 위해 사전 예약해둔 카 시트를 수령하고 차를 선택하러 갔는데 예약한 Standard SUV로 지정되어 있는 산타페나 동급으로 보이는  차량이 쉽게 보이지 않았다. 


   그래서 고르다가 닛산 무라노가 있길레 선택하고 나왔다. 여행기간 내내 발이 되어준 무라노.. 연비는 3.500cc 가솔린이라 크게 좋지는 못하지만 옵션이 좋아서인지 편안하게 잘 사용했다는 기억이 든다. 


% 미국 톨 게이트 비용

 캘리포니아 주를 자동차로 여행하다 보면 종종 유료 도로가 나타난다. 특히 Fast Trak 이라고 도로 주행중 갑자기 하나의 차선이 Fast Trak이라고 표시된 경우도 있다. 실제로 1차선으로 계속 주행을 했을 뿐인데 Fast Trak 으로 바뀌는 바람에 의도하지 않게 유료도로를 타게 된적이 있다. 이런 경우를 사전에 예방하기 위해서 아래의 링크를 참고하기 바란다.


샌프란시스코 유료 도로 통행료 


 % 통행료를 내지 않고 통과 했다고 돈을 내지 않을수 없다. 렌트한 렌트카 회사로 비용이 청구되고 실제로 귀국하고 난 이후에 카드로 통행료(과징금 포함)가 징수 되어 있었다.

  

(6) 숙소

  여행의 질을 결정하는 가장 중요한게 숙소가 아닐까 한다. 그래서 고민의 고민을 하다가 선택하였다. 다만 7,8월은 성수기이기 떄문에 평소에 10만원이면 되는 숙소가 30만원이 되기도 한다. 특히 세도나에서 숙박했던 Arabella 호텔은 비수기에는 10만원인데 성수기때에는 2-3배로 올라가기 때문에 비싼 돈으로 숙박했고 환불도 불가 조건이였다. 


  간단하게 숙소를 구할때 사용했던 기준은 (주로 booking.com 기준)


1. 고객 평점 8.0 이상

2. 조식을 포함

3. 관광지에서 멀지 않은곳

4. 하루 최대 숙박비로 15만원 이하인 경우 (4인, 성인2, 아이 2)


   % 숙박비 때문에 어쩔수 없이 간곳도 있었지만 샌프란시스코의 살인적인 숙박비 때문에 위의 기준 이외에도 몇군데를 잡았었다.


팜스프링스 (강력 추천, 2일)

Embassy Suites La Quinta Hotel & Spa


세도나 (보통, 1일) 

Arabella Hotel Sedona


윌리엄스 (추천, 1일)

La Quinta Inn & Suites Williams-Grand Canyon Area

라스베가스 (3일)
Jockey Club (추천)
Venetian Resort Hotel Casino (강력 추천)

비숍
Vegabond Inn Bishop (추천, 1일)

샌프란시스코

Comfort Inn & Suites Oakland Airport (보통, 비용 대비 추천, 5일)





2. LA 여행

랜디의 도너츠 가게

 LA 공항에 도착하니 오후 5시가 넘은 시간이 였다. 출국장에서 나와서 짐을 찾고 렌터카를 수령하고 나니 벌써 저녁이였고 간단하게 LA 공항 근처의 랜디의 도너츠 가게에 갔다가 왔다.




Universal Studios Hollywood

유니버셜 시티 플라자 유니버설시티 캘리포니아 미국


  한여름의 40도가 넘는 상태에서 놀이 공원에 간다는게 쉽지 않은 일이라는걸 뼈져리게 느끼게 해준 경험 특히 미국 간지 첫날 아침에 간 덕분에 시차 적용도 되지 않은 상태에서 가족 모두 재미는 있었지만 힘들었던 경험이다.


  입장 하자 말자 가장 사람이 많다는 해리포터로 갔지만 그래도 한 20분 이상 대기 했던것 같다. 해리포터를 타고 나와서 조식 파는 곳에 가서 조식을 멋었는데 브런치 스타일 좋아하시는 분들은 한번 가보시면 좋을거라고 보인다.


% 티켓

  웬만하면 꼭 빠른 입장권을 사서 가시길 바란다.






게티 센터

 그냥 더웠다는 생각만 들고 특히 센터로 올라가는 기차가 동작하지 않아 버스로만 이동하는 덕분에 한참을 기다려야 했다. 

큰딸이 더위와 시차 때문에 돌아다니지는 못한 덕분에 와이프와 둘째 딸만 돌아 다녀서 기억이 남는건 더위뿐인것 같다. 갈거면 선선할때 가시기를 추천드린다.

 




San Diego Sea World

  방문했던 놀이공원중에 가성비로 가장 좋았던것 같다. 특히 날씨가 LA에 비해서 덥지 않았고 무제한 음료를 제공해 주기 때문에 마실것을 사는데 돈이 많이 들지 않았었다. 

 유니버셜과 디즈니 랜드 대비 해서 가장 가성비도 좋았고 애들이랑도 재미있게 놀았던 장소이다.


  돌고래 쇼가 볼만하고 범고래 쇼의 경우 위험하다고 없어져서 단순히 범고래가 돌아다니는걸 보여 주는데 그래도 처음 보는 범고래는 충분히 크고 볼만했다.


 % 티켓

  추가로 시월드에도 빠른 입장을 하도록 해주는 티켓을 별도로 판매하고 있다. 가격이 유니버셜에 비해서는 비싸지 않으므로 구입해서 가게 되면 빠르게 입장 할수 있어 놀이 기구를 타는데 큰 도움이 된다. 더욱이 20$-30$ 정도 추가하면 모든 먹고 마시는게 포함되기 때문에 해당 플랜을 고려해 보는것도 나쁘지는 않아 보인다. (무제한 음료는 음료수 통 하나만 구매하면 무제한이다. 12$ 정도 한다.)






Disney Land

  LA 근교에서 갈수 있는 가장 큰 놀이공원인 디즈니 랜드에도 역시 방문 했다. 입장권 값이 유니버셜과 비슷했지만 디즈니의 경우에는 유니버셜처럼 티켓 등급에 따라 사람을 구분하지는 않고 Fast Pass 를 끊어서 시간을 지정해서 그 시간에 빨리 들어갈 수 있게 해준다. 

  Fast Pass는 일정 시간마다 해당 놀이 기구를 타는 곳에 가면 발급해 주고 거기에 적힌 시간에 해당 놀이 기구쪽으로 가면 빠르게 입장 할수 있게 해준다.

근대 놀이 기구마다 그 넒은 곳을 돌아 다닐려면 힘들것이다. 그럴때를 대비해서 디즈니 앱을 이용하여 Max Pass를 앱으로 사게 되면 해당 놀이 기구에 가지 않고도 일정 시간에 따라서 Fast Pass를 앱에서 바로 발급 받을수 있다. 


  Max Pass를 통한 Fast Pass는 다른건 몰라도 디즈니 랜드를 즐기고자 한다면 필수로 보인다. 가격도 그리 비싸지 않으니 꼭 사서 가시길 바란다.

https://m.blog.naver.com/hbpia1/221258514834


  

디즈니 랜드 주차장으로 들어가는 길..

오전에 개장 하기 직전에 들어갈 경우 저렇게 대기할 필요는 없지만 10시가 넘어가게 되면 저렇게 줄을 서야 한다. 주차료는 20$ 수준이였던 걸로 기억한다.




유니버셜에서 조식이 괜찮았기 때문에 디즈니 랜드에서도 역시 조식을 먹으러 식당에 들어갔는데 나쁘지 않고 딸애들이 좋아 했다.








728x90
반응형
728x90
반응형


다양한 오픈소스 솔루션들 혹은 개발 언어등에 대해서 교육 환경을 제공해 주는 사이트로 katacoda 라는게 있다. 

처음 나오는 복잡한 솔루션에 대한 교육을 엔지니어나 인터넷에 제공해야 하는경우 천천히 따라하면서 할수 있도록 제공해 주는 사이트이다. 가장 좋은 점은 도커 등을 통해서 직접 개발환경이 셋팅된 환경을 제공하면서 교육 자료를 풀어 나갈수 있기 때문에 바로 실습이 가능하면서 교육이 가능한 점이 큰 강점으로 보인다.


솔직히 처음 접속했을때에 어떤 사이트이지 하는 생각만을 가지고 접속을 해 보았는데 상당히 많은 기능을 제공해 주고 있고 또한 내가 직접 교육 자료를 만들수도 있었다. 




접속 사이트

https://www.katacoda.com/




무료로 제공되고 있는 코스들  





본인이 접속한 강의의 진도율 측정 (코스별로 제공)




교육 환경의 구축 


가입을 하게 되면 교육 환경을 본인이 구축할수 있도록 프로그램을 제공한다. 

https://www.katacoda.com/profile/create-first-scenario/cli 에서 프로그램을 다운로드 하면 되며 간단하게 아래의 명령어를 통해서 교육 환경 파일들을 생성 할수 있다.

$katacoda create scenario

위의 명령어를 내리게 되면 아래와 같이 순서로 진행이 이루어 진다.


katacoda create scenario

Creating New Katacoda Scenario. Please complete the following details to generate scenario template.


Friendly URL (katacoda.com/username/friendly-url): katacoda.com/sokoban/docker

-> katacoda 내에서 노출되는 URL을 선택한다. 가입할때 선택한 이름 뒤에 본인이 노출하고자 하는주소를 기입


Scenario Title: docker-compose #1

-> 타이틀명


Description: docker-compose #1

-> 설명


Environment ImageID (Available environments at https://katacoda.com/docs/scenarios/environments): (docker) docker

-> katacoda의 실습환경에서 제공해주는 도커 이미지 ID를 입력한다. (위의 주소에서 찾을수 있고 아래에 첨부해 두었다.)


Scenario Layout (Available layouts at https://katacoda.com/docs/scenarios/layouts): (terminal) Terminal

-> 실습환경에 대한 레이아웃이다. ( 위의 주소에서 찾을수 있다.)


New Scenario Created: katacodacomsokobandocker

Created index.json, step1.md, step2.md, step3.md, intro.md, finish.md


Complete your content and when ready, push the changes to your configured Git Repository.


  모든 과정이 끝나고 나면 폴더에 교육환경용의 파일들이 step별로 생성된것을 볼수 있을것이고 교육 내용을 해당 파일들에 추가하면 된다.


실제로 반영을 하고 싶다면 git을 이용해서 배포 할수 있다. 우선 관리를 git을 통해서 하겠다고 하면

 git에 자동으로 저장소를 생성해 주게 된다. 모든 교육 환경 파일들은 아래의 git을 통해서 관리 된다.




이제 실제로 교육환경을 반영하고자 한다면 위의 git에 교육 내용을 넣은 다음 자신의 profile에서 적용하기를 눌러 주면 간단하게 적용이 되고 교육 환경이 생성된 것을 볼수 있다.






728x90
반응형
728x90
반응형

 지금까지 간단하게 STIX와 TAXII에 대해서 그리고 이를 제공해 주는 사이트들에 대해서 알아 보았다. 그렇다면 이제는 직접 이러한 피드 사이트들을 이용해서 정보를 수집하고 이를 활용하는 방법에 대해서 간단하게 알아 보겠다. 

  직접 구축하여 정보를 수집하고 이를 가공하고 여러가지를 적용하는게 가장 좋은 방법일수도 있지만 본글에서는 간단하게 솔루션 형태로 사용할 수 있는 솔루션에 대해서 알아보겠다. 나머지는 본인들이 어떻게 구축할 건지를 고민해 보고 본인의 사용환경에 맞도록 구성하기를 바란다.


STAXX

  STAXX는 ANOMALI라는 곳에서 제공하는 무료 STIX, TAXII 플랫폼이다. STAXX는 VM의 형태로 제공되고 있고 구동을 위해서는 VMWare 혹은 Virtual BOX가 필요하다. 자세한 설치는 아래의 링크를 통해서 다운 받고 난 이후 설명서를 따라하면 쉽게 설치가 가능하므로 여기서 더이상 설명하지는 않는다.


https://www.anomali.com/platform/staxx


 

 손쉽게 다운로드 받고자 하는 분들을 위해서 아래에 링크를 첨부하지만 가급적이면 해당 사이트에 등록한 이후에 직접 다운로드 받으시기를 추천합니다.

https://anomali.cdn.rackfoundry.net/files/eng/AnomaliStaxxv3.zip


 VirtualBOX를 이용해서 다운로드 받은 이미지를 마운트 하고 실행하면 아래와 같이 접속을 할수 있다. 기본적으로 anomali 계정을 이용하여 접속하도록 되어 있는 CentOS 7버전이다.


  사용 설명서의 링크는 아래와 같다.

https://update.anomali.com/staxx/docs/Anomali_STAXX_Installation_&_Administration_Guide.pdf



  이미지는 STAXX와 관련된 모든게 시작과 동시에 실행되도록 되어 있으므로 별다른 설정은 할 필요 없이 로그인시에 안내되는 https://<IP Address>:8080으로 접속만 하면 된다. 로그인을 하라는 화면이 노출되고 로그인을 하면 아래와 같은 대시보드를 볼수 있다.


  물론 최초 로그인시에는 위의 화면 보다는 적은 양의 정보만이 노출될것이다. 최초 설치시에 ANOMALI에서 기본적으로 제공해 주고 있는 Free TI Feed인 Limo만이 설정되어 있는 상태이기 떄문이다. 

  그렇다면 이전에서 알아 보았던 Free TI Feed를 추가해 보도록 하겠다. 

  설정창으로 진입하게 되면 SITES를 추가할수 있는 화면을 볼수 있고 여기서 ADD Site를 누르면 아래와 같이 새로운 사이트를 추가할수 있다. 이전에 설명했던 AlienVault와 Hali를 추가해 보자, 설정은 간단하게 설명과 Discovery URL을 넣은 이후 적절한 인증 방식을 적어 주면 된다. AlienVault의 경우 발급받은 API를 ID에 넣어주고 패스워드는 아무문자나 넣어주면 된다.




  아래와 같이 두개의 Free TI Feed가 추가해 보았다.



  이렇게 추가를 하고 나면 각각의 Feed에서 몇일치의 데이터를 가져와서 보관할것인지를 설정할 수 있고 적절하게 이를 설정해 주면 끝이다. 그렇다면 이제 IP라던가 도메인정보를 검색할수 있는 ACTIVITY 화면에 대해서 간단하게 알아 보겠다.


  위의 화면은 STAXX에서 제공해주는 Feed 검색 화면으로 Full Text Search를 지원한다. 찾고자 하는 정보를 입력하는것으로 입력된 IP나 도메인 혹은 제공되는 다양한 정보에 부합하는 결과가 노출될 것이다. 다만 Indicator가 제한적으로 제공되므로 앞선장에서 설명했던 12가지 중에서 주로 IP 정보와 도메인 정보가 많다. 하지만 다양한 정보에 대한 링크들이 제공되므로 이를 잘 활용한다면 다양한 정보를 구할수 있다.


  추가적으로 위의 검색 화면에서 해당 IP정보를 클릭할 경우 아래와 같이 STAXX에서 제공하는 상세한 위협 정보를 검색 할수 있다. 다만 제한된 버전이므로 이를 업그레이드 해야지 더 자세한 정보를 볼수 있게 된다. 


  이제 대략적으로 정보가 수집되었고 이를 통해서 다양한 악성코드의 해시나 유포지의 IP, 피싱 사이트 주소 등을 저장하는 환경이 구축되었다고 할수 있을 것이다. 그럼 이제 이걸 어떻게 활용 할수 있지 ? 라는 의문이 들수 있다. 


  구글을 사용하는 회사에서 구글 피싱 사이트의 접속을 유도하는 메일이 들어온다면 어떻게 대응할 것인가 ? 혹은 구글의 세이프 브라우징에서 노출되는 악성 코드 유포지를 사전에 어떻게 대응할 수 있을까 ? 아마도 이런 질문을 가진 사람들이 많을 것이다. 그럼 이 질문에 대한 답변을 해보고자 한다.

  


  STAXX는 Free라고 되어 있지만 나름대로 STIX와 TAXII에 대한 정보를 잘 수집하여 제공해 주는 플렛폼으로서 REST API를 통한 정보를 받아 볼수 있다. 물론 위의 링크의 설명서에 상세한 사용법이 들어 있고 정보를 추가하는 방법과 외부로 가져오는 방법에 대해서 설명되어 있으나 여기서는 간단하게 어떻게 정보를 가져올수 있는지에 대해서만 알아 보고자 한다.


  우선 해당 이미지가 동작중인 IP에 접속할수 있도록 한 이후에 아래와 같이 API 사용을 위한 로그인 정보를 제공한다. 

curl -kv -H 'Content-Type: application/json' 'https://10.0.1.17:8080/api/v1/login' -d '{"username":"admin", "password":"<password>"}'

  

  위의 명령어를 입력하면 간단하게 접속을 위한 token 정보를 제공해 주고 이를 통해서 접속하여 정보를 조회 할수 있게 된다.


  그렇다면 token을 이용해서 phish url정보중에서 최근 7일치 정보중 가장 위협도가 높은 것들을 대상으로 20개만 가져 오는 질의문을 짜 보도록 한다. 아래의 query는 설명서에서 상세하게 찾을수 있으므로 여기서는 간단하게 예제만을 수록한다.


curl -kv -H 'Content-Type: application/json' 'https://10.0.1.17:8080/api/v1/intelligence' -d '{"token":"1f6c5dbe4e93a571bb9cbab604944dba", "query":"itype=phish_url AND date_last>7d AND severity=very-high", "type":"csv" , "size":20}'


  가져오는 방식을 csv 방식으로 선택하였기 때문에 쉼표로 나누어진 정보를 받아 볼수 있다. 현재 지원하는 정보는 csv와 json형식으로 정보를 가져 올수 있다. 


   간단하게 위와 같은 REST API를 통해서 정보를 가져온 다음 이를 방화벽 혹은 스위치등에 입력하여 자동으로 일별로 혹은 시간별로 차단 할 수 있게 만들수 있을 것이다. 


   그리고 추가적으로 좀더 깊은 사용을 원할 경우에는 STAXX내부에 정보를 저장하는 부분이 PostgreSQL로 개발되어 있으므로 외부에서 직접 여기에 접속한 다음 다양한 쿼리문을 작성한 다음 직접 데이터를 Export할수도 있을 것이다.



  조금이라도 개발을 해본 사람들은 여기까지 설명한 것을 이용해서 다양하게 정보를 가져오고 사용할 수 있을 것이라고 생각한다.


  직접 개발을 하는것은 아니지만 공개되어 있는 TI 플렛폼을 직접 구성해 보고 이를 이용해서 다양한 정보를 가져오고 적용할수 있는 방법에 대해서 알아 보았다. 

  물론 여기에 서술된  Free TI Feeds의 경우 완벽하게 TI 정보를 제공해 준다고 보기엔 힘들수도 있다. 하지만 하지 않는것보다는 하는게 더 낫다고 할 수 있지 않을까... Feed만 추가해 나간다면 위의 정보들은 더욱 더 완벽한 자료를 사용자들에게 제공해 줄수 있고 이를 통해서 본인만의 TI를 구축해 나갈수 있지 않을까라고 생각한다. 이제 직접적인 플렛폼을 구축하는 방법까지 알아 보았고 어떻게 하면 최적으로 기업에 맞게 TI를 적용 할수 있는지에 대해서 마지막으로 알아 본 이후 TI의 구축에 대한 글은 마무리 하고 수집된 정보를 이용하여 다양한 머신러닝 기법을 적용하여 최적화된 활용법에 대해서 고민해 보고자 한다.


% PS. STAXX의 경우 Free라고 명시되어 있으나 어떤 라이센스의 영향에 있는지를 확인하지 못하였다. 만약 기업에서 사용할 경우 이를 꼭 확인하고 사용하시기를 권고 드립니다.

% PS. 최소한 1주일에 한개의 글은 적고자 하고 있습니다만 여유가 되지 않는 경우가 종종 있습니다. 제 글을 읽어 주시는 모든 분들께 감사드리고 이 글을 통해서 하시는 일에 도움이 되셨기를 바라겠습니다. 특히 도움이 되셨다면 꼭 적용해보신 부분에 대해서 피드백을 주신다면 더 큰 힘이 될수 있을것 같습니다.



728x90
반응형
728x90
반응형

 앞에서 TI에는 어떤 데이터가 있고 어떠한 요소가 구축에 필요한지를 살펴 보았다면 이제는 실제로 Open Source를 이용하여 직접 TI를 한번 구축해 볼수는 없을까? 라는 고민을 해보고자 합니다. 실제로 Git이나 여러곳에서 소스나 데이터를 얻을수 있으며 많은 문서를 참고할수 있으며 이를 통해서 손쉽게 TI를 공유 하는 환경을 구축하는것이 가능합니다. 

  다만 앞에서 살펴본 STIX에서 정의하는 모든 항목을 제공하는 경우는 여기서 다루지 않기 때문에 이에 대해서는 추가적인 학습을 하는것이 필요해 보입니다.



오픈소스로 제공되는 TI 공유 플랫폼


  미국 국토안보부인 MITRE를 통해서 13년 4월 사이버 위협 정보 전송 규격인 TAXII(Trusted Automated Exchange of Indicator Information) 공식 버전을 10월에는 사이버 위협 표현 규격인 STIX (Structured Threat Information Expression)를 발표 하였으며 STIX는 사이버 위협 정보를 교환하는데 사용되는 언어와 직렬화 형식이고 TAXII는 이러한 사이버 위협 정보를 간단하게 확장가능한 방식으로 통신하도록 해주는 프로토콜입니다.
  TAXII는 STIX에 명시된 CTI(Cyber Threat Intelligence)를 공유 하기 위해서 반드시 필수적인 요소입니다. 물론 STIX는 TAXII를 제외한 다른 형식으로 데이터를 공유 할수도 있습니다. TAXII의 데이터 공유 모델은 아래와 같은 형식으로 데이터를 주고 받을수 있습니다.
: hub-and-spoke, peer-to-peer, source-subscriber.







  STIX와 TAXII는 정보를 공유하기 위한 기반만을 제공하며 이를 통한 정보의 공유는 다양한 회사에서 제공하거나 오픈소스를 통해서 제공됩니다. 물론 위에서 서술된 TIP, TIS등에서도 당연히 이를 지원하는 곳이 많이 있습니다. 일반적으로 독자적인 데이터 공유 모델을 보유하고 이를 제공하는 곳도 있으나 많은 곳에서는 표준적인 모델인 STIX와 TAXII를 지원합니다.


STIX 

   STIX (Structured Threat Information Expression)

  그러면 STIX 에서 어떠한 데이터를 주고 받을수 있고 어떤 방식이 사용되는지 알아봅시다. 우선 STIX는 그래프 기반 모델로 노드와 에지가 연결된 그래프 입니다. STIX Domain Objects (SDO)를 정의하고 STIX의 관계는 에지를 정의합니다. 

  SDO는 첫장에서 알아보았던 12가지의 공격 패턴, 보고서, IP정보, 도구 및 취약점등을 의미합니다. 즉 일반적으로 TI에서 사용되는 개념들로서 SDO를 생성함으로서 STIX는 유연하게 구조화되고 일관되게 데이터를 공유 할수 있게 됩니다. 

  SDO에 대한 자세한 정보는 아래의 링크를 통해서 알수 있으며 이를 통해서 어떠한 데이터가 정의 될 수 있고 공유 될수 있는지에 대해서 알수 있습니다.

http://docs.oasis-open.org/cti/stix/v2.0/cs01/part2-stix-objects/stix-v2.0-cs01-part2-stix-objects.html


  그리고 STIX의 Object가 연결되는 방식을 설명하는 관계가 있습니다. 일반적으로 관계 객체는 STIX Relationship Objects (SROs)를 사용하게 되며 그 이외에 특수한 관계는 ID 참조로서 표시하게 됩니다. 


TAXII

  TAXII (Trusted Automated Exchange of Indicator Information)




Open Source TI의 구축

   지금까지 STIX와 TAXII를 통해서 TI를 통한 정보 공유를 위해 어떠한 요소가 있는지 그리고 어떠한 방법이 있는지를 알아 보았다. 그렇다면 실제로 본인의 집이나 서버에 이를 구축해 볼수 없을까 라는 의문이 들것이다. STIX와 TAXII는 프로토콜과 구현체가 이미 많이 공유 되고 있으므로 이를 이용한 다양한 정보 공유 사이트 (Feed)들을 찾을수 있고 이를 통해서 정보를 주고 받으면서 자체적으로 TI를 구축할 수 있다. 

  물론 Open Source로 공유된 TAXII Client를 이용하여 직접 구축하여 정보를 저장하여 이를 다양한 부분에 응용할 수 있지만 이번 글에서는 기 구축된 TAXII Client를 이용해 보는것을 목표로 해 보겠다.

  구축을 하고자 할 경우 일단 STXI/TAXII Client 혹은 Platform이 필요할것이고 여기에 정보를 제공해주는 TAXII Feed들이 필요할 것이다. 이 두가지 모두 구글링을 해보면 다양한 Platform과 Feed들이 있으므로 이를 구축해 보는것을 해보도록 하겠다.


 그럼 우선 TAXII 피드를 통해서 무료로 TI정보를 제공해 주고 있는 사이트들에 대해서 알아 보도록 하겠다. 


1. MalwareWolf

  악성 코드용의 TAXII 피드 사이트로 보이나 현재 아래의 URL상에서 Discovery가 정상적으로 되지 않고 사이트가 닫혀 있는것으로 보이며 실질적으로 써볼수 없었기 떄문에 설명은 제외합니다.


접속 정보

Site Description : MalWerewolf

Login : guest/guest

Discovery URL : https://intelfeed.malwerewolf.com/taxii-discovery-service


제공 사이트

https://malwerewolf.com/2016/04/intel-feed-introduction/


.

2. Limo

 ANOMALI 에서 제공하는 TAXII 피드


접속 정보

Discovery URL:

1. TAXII client :https://limo.anomali.com/api/v1/taxii/taxii-discovery-service/ 

2. STIX/TAXII 2.0 clients: https://limo.anomali.com/taxii

Login : guest/guest



제공 사이트

https://www.anomali.com/platform/limo



3. HailaTaxii


Open Source CTI 피드로 STIX 포멧으로 제공 된다. 2018년 3월 25일 시점에서 1,049,132개의 Indicator들을 보유하고 있고 어뷰징, 사이버 범죄 등 다양한 정보를 제공해 주고 있습니다. TAXII의 1.0과 1.1 버전을 통해서 정보가 제공되고 있으며 익명 접속을 제공하므로 별도의 로그인 정보를 넣지 않아도 됩니다.


접속 정보

Login : Anonymous 허용 (별도의 계정 정보 불필요, 만약 입력이 필수인 경우 guest/guest 입력)

Discovery URL : http://hailataxii.com/taxii-discovery-service


제공 사이트

http://hailataxii.com/



4. AlienVault

접속 정보

Discovery URL https://otx.alienvault.com/taxii/discovery

Username:(Your API key)

Password: 공백 혹은 아무런 문자 입력


 - 위의 Username에는 AlientValut에 로그인 하면 알려주는 API Key를 입력하면 되며 Password는 공백으로 두거나 아무 문자나 입력하면 정상적으로 TAXII를 이용할 수 있다.






결론

  이상까지 오픈소스 TI인 STIX와 TAXII에 대해서 알아 보았고 다음번에는 직접 이를 이용해서 정보를 수집하는 방법에 대해서 알아 보고자 합니다. 최종적으로는 수집된 데이터들을 어떠한 방식으로 사용해 볼까 하는 고민을 직접 구현하는것 까지.. 적어 보고자 합니다.



참고 사이트

https://oasis-open.github.io/cti-documentation/


택시 커뮤니티
https://taxiiproject.github.io/community/


MISP
도커 이미지
https://github.com/xme/misp-docker

설치

https://github.com/harvard-itsecurity/docker-misp


https://www.oasis-open.org/committees/tc_home.php?wg_abbrev=cti


https://github.com/EclecticIQ/OpenTAXII


https://github.com/yeti-platform/yetihttp://yeti-platform.readthedocs.io/en/latest/installation.html#install-systemd-services


STIX 스펙 정리 문서

https://docs.google.com/document/d/1IvkLxg_tCnICsatu2lyxKmWmh1gY2h8HUNssKIE-UIA/edit#heading=h.axjijf603msy



https://taxiiproject.github.io/releases/1.0-draft1/TAXII_SampleUsage_November_2012.pdf

728x90
반응형

'보안 > Threat Intelligence' 카테고리의 다른 글

Threat Intelligence #1  (0) 2018.06.25
728x90
반응형


제목 : 초격차

지음 : 권오현

정리 : 김상근


리더의 유형에 따른 대처법 이것을 리더십 유형에 따른 4R 대책이라고 정리

- 주도적인 리더에게는 휴식(Refresh)

- 대응적인 리더에게는 재교육(Repaire)

- 수동적인 리더는 임무 교체(Replace)

- 방어적인 리더는 제거(Remove)



  리더십을 갖추면서 동시에 배려심이 많고, 미래를 보는 통찰력을 가졌지만 디테일에 강한 인재? 그런 사람은 처음부터 존재하지 않습니다. 그런 사람을 만들어가는 것이 리더의 사명인 것입니다.


  



728x90
반응형
728x90
반응형

 웬만한 사이트에 가입을 하고자 할 경우 이메일 주소는 필수이다.

 회원 정보의 확인이나 패스워드 변경과 분실에도 사용된다. 다만 본인의 메일 주소가 노출되기를 원하지 않는 경우에 간편하게 일회용 이메일 주소를 사용할수도 있다.


  포털이나 게임사의 경우 일회용 이메일 사용은 금지하는게 좋아 보인다. 지속적으로 회원 정보를 유지하면서 사용하는 사용자가 아닌 일회성으로 (주로 어뷰저 일 확율이 높아 보인다) 사용하고자 하는 사용자가 많을수 있으므로 다량으로 하나의 IP에서 이러한 일회성 메일 주소로 가입한 사용자들은 무언가 문제가 있어 보인다.


  그렇다고 하더라고 편리한 서비스임에도 틀림 없지만 악용될 가능성이 많아 보인다.


일회용 메일 제공 사이트

1. www.crazymailing.com ( @wimsg.com )

2. ruu.kr ( @ruu.kr, @bestmail.shop, @koreamail.shop, @momom.shop, @tempmail.shop )

3. www.moakt.com ( @disbox.net, @tmpmail.org, @tmpmail.net, @tmails.net, @disbox.org, @moakt.co, @moakt.ws, @tmails.ws, @bareed.ws )

4. www.zudy.info ( @rael.cc )

5. www.mohmal.com (@himail.online )

6. temp-mail.org ( @mailsource.info )

7. yopmail.com ( @yopmail.com )





 

ruu.kr



기타


무료 이메일 제공 사이트 (별도의 복잡한 인증 과정 없이 쉽게 이메일을 만들수 있고 메일 서비스를 이용가능함)

gmx.com (@gmx.com, @gmx.us)



728x90
반응형

'보안' 카테고리의 다른 글

Kali Linux Docker에서 사용하기  (0) 2022.12.31
해외 임시 핸드폰 번호, 해외 무료 SMS 받기  (1) 2020.03.24
데이터 연계/결합의 개념  (0) 2020.03.01
728x90
반응형

 ATOM에서의 세로 선택하기


  ATOM 에디터에서 세로(Vertical) 선택을 사용할수 있을까 찾다 보니 아래와 같이 누군가 패키지를 만들어서 올려 두었다. 간단하게 설치해서 사용해 보자..


  우선 ATOM의 Install Packages를 선택하한 이후 아래와 같이 sublime이라고 검색을 한다. 검색을 하면 중간쯤에 Sublime-Style-Column-Selection이 보일것이다. INSTALL을 눌러 보자



  설치가 완료 되었다면 Settings으로 가서 설정 값을 살펴보자 설정은 간단하게 어떤 키의 조합으로 세로 선택을 할지를 설정하게 되어 있다. 기본으로 Left 마우스 버튼 + Alt 키를 누른 이후 마우스 드래그를 하면 세로 선택이 되도록 설정되어 있다.


  


 이제 실제로 세로 선택을 해보자 사용법은 위에서 설정 된대로라면 마우스 Left + Alt (option) + 드래그 이다.



  세로 선택이 잘 되는것을 확인 할수 있다.



 해당 패키지의 설명

https://atom.io/packages/sublime-style-column-selection




  간단하게 Atom에서 세로 선택을 하는 방법에 대해서 알아 보았다.

728x90
반응형
728x90
반응형

Why Threat Intelligence ?

 현대 사회에서 사용자들이 사용하는 네트워크는 점점 더 거대해져 가고 있고 더 복잡해지고 있다. 이전의 세대가 단순히 PC 들을 연결하기 위한 근거리 네트워크 였다면 PC들이 연결된 인터넷으로 발전하였고 이제 인터넷은 전세계를 하나로 묶고 있다. 뿐만 아니라 사용자들은 무선망을 이용하여 언제 어디서나 인터넷에 접속하고 정보를 조회 할수 있다.


   네트워크가 거대해 지는 만큼 여기에 접속되는 시스템들 또한 거대해 지고 복잡해 지고 있다. 그만큼 해커들이 공격할 수 있는 대상이 늘어나고 있고 또한 기회도 많아진다는것을 의미할 수 있겠다.


  위협 인텔리전스는 새롭게 나오는 개념은 아니다. 인터넷 초창기에도 공격자들에 대한 정보를 수집하고 이를 분석하고 의미 있는 데이터를 추출하기 위한 다양한 시도들은 많이 있어 왔다. 비록 공격자들의 정보를 제공하는 단순한 영역에 그치는 경우가 많았지만 2000년대 초반부터 활발하게 진행되어 왔다. 그중 아래의 스팸하우스는 스패머들의 정보를 제공하여 실제 보안장비에서 이를 적용하여 사용할 수 있었다.


메일을 보내면서 경험을 한 경우도 있었겠지만 스팸을 통해서 많은 돈을 벌 수 있었던 탓에 스팸은 광범위하게 사용자들에게 보내어졌다. 이를 막기위한 효과적인 수단중 하나로 지금의 IP Reputation 정보에 해당하는 스패머의 정보를 스팸 필터 장비에 추가하여 많은 효과를 거둘수 있었다.

  물론 여기에 그치지 않고 최근에는 스팸하우스에서도 Threat Intelligence 성격의 서비스를 제공하고 있고 이를 통해서 다양한 위협 정보를 제공 받을 수 있다.


Threat Intelligence를 통해서 얻을수 있는것들

  막연하게 위협이 존재하고 이러한 위협 정보를 수집하면 위협 Intelligence에 도달할 수 있을 것인가라고 물어 본다면 이에 대한 답은 Yes도 될 수 있고 No도 될 수 있다. 이는 상황에 따라서 그리고 사용 목적에 따라서 달라질 수 있다는 것을 의미한다. 즉 단순한 평판 DB 수준의 정보만이 필요하며 이를 이용하여 위협을 탐지 하고 제거하고자 한다면 이는 단순한 오픈된 정보를 수집하거나 폐쇄된 정보를 열심히 수집하여 평판 DB만을 구축하는 것으로도 달성 될 수 있다.

  하지만 단지 하나의 요소가 아닌 다양한 요소로 이루어진 서비스에서는 어떻게 적용할 수 있을까 ? 예를 들어 IP 정보를 이용하여 사전 차단이 힘들수도 있는 대단위 서비스 즉 특정 IP의 차단이 불가능한 경우는 얼마든지 있을수 있고 이럴겨우에는 좀 더 상세한 위협 정보를 이용하여 차단을 수행할 필요성이 있다. 


  위협 Intelligence는 이런 경우에 활용 할수 있게 하기 위해서 다양한 정보를 수집하고 이를 복합적으로 제공하는 역활을 해주고 있다고 볼수 있다. 그렇다면 아래에서 위협 Intelligence를 통해서 어떠한 정보를 주로 제공 받을수 있는지 알아 보자..


Threat Intelligence의 정보 구성

1 공격 패턴

공격 패턴은 전략, 기술, 절차인 TTP의 한가지 유형으로서 공격자가 어떻게 목표물에 대한 공격을 수행하는지에 대한 상세한 정보를 제공합니다. 예를 들어 APT 공격이나 피싱 공격의 경우 공격자는 악성코드를 배포하기 위한 지점을 생성한 이후 대상자들을 속이기 위해 잘 만들어진 메일을 공격 대상에게 보내는 방법에 대한 설명을 제공한다.

2 캠페인

공격 대상들의 집합에 대해서 일정 기간동안 발생하는 악의적인 활동이나 웨이브라고 불리는 공격을 설명하는 공격 행동 그룹입니다. 즉 예를 들어 은행권을 공격하는데 이전에 발생한 캠페인들을 활용하여 이를 대응 할 수 있습니다.

3 행동 강령

공격을 예방하거나 대응하기 위해서 취할수 있는 조치들에 대해서 설명한다. 기술적인 내용이 될수도 있으나 직원 교육이나 정책과 같은 수준의 조치를 설명할 수 있습니다. (간단하게 패치를 하거나 방화벽으로 차단하거나 하는 등의 내용이 될 수 있다.)

4 정체성

위협 정보를 생성한 개인, 조직 또는 그룹뿐만 아니라 개인, 조직 또는 그룹의 클래스가 될수도 있으며 나아가서는 피해 대상자 일수도 있다.

5 지시자

사이버 상에서 행하지는 위협 활동을 탐지하는데 사용될 수 있는 패턴이 들어 있습니다. 예를 들어서 신규 취약점에 대한 탐지룰이라던가 랜섬웨어가 배포되고 있을 경우 이를 차단하기 위한 킬 체인이 제공될 수 있습니다.

6 침입 세트

단일 공격자의 행위에 의해서 생성되어진다고 생각되는 공통의 속성을 가진 위협 요소들이나 위협 행동을 의 모음으로 캠페인에서 수집되어 정재되어 수집될수도 있음

7 악성코드 정보

공격자가 공격 대상을 점령하기 위해서 혹은 시스템의 가용성, 무결성을 파괴하거나 정보를 유출하기 위해서 사용하는 악성코드의 정보 

8 관측 데이터

시스템 또는 네트워크에서 관찰 된 정보 (예 : IP 주소).

9 보고서

위협 정보, 위협 정보, 악성 코드 또는 공격 기법에 대한 설명

10 위협 행위자

악의적인 의도로 운영되는 것으로 생각되는 개인, 그룹 또는 조직.

11 도구

공격자가 공격을 수행하는데 사용할 수 있는 도구들 즉 소프트웨어 패키지나 악성 코드들

12 취약점

CVE로 많이 표현되는 시스템이나 소프트웨어에 존재하는 잘못 개발되거나 오류를 발생시키는 지점으로 공격자의 주 목표 중 하나


  위의 항목은 다음에 설명할 위협 Intelligence 정보의 공유를 위해 개발된 STIX에서 공유하고자 정의된 항목들의 정보를 알아 보았다. 단순하게 위협 Intelligence는 한개의 정보를 수집하여 제공되는것이 아닌 위협과 관련된 다양한 정보를 수집하여 제공하고 있다는 것을 쉽게 알수 있다.


  이렇게 제공된 정보를 어떻게 활용하고 어떻게 사용하는지는 여러분들에게 달려 있는 문제라고 생각된다. 단순히 한가지 측면에서 이를 사용할 수도 있고 전사에 위협을 대응하는 목적으로도 충분히 사용될수 있다고 보인다.


  실제로 STIX/TAXII라는 미국 국토안보국에서 개발한 위협 Intelligence 공유를 위한 프레임워크를 설명하면서 자세히 알아보고자 한다.

  Threat Intelligence 의 구성

위협 인텔리전스를 구성하기 위해서는 우선 아래와 같은 요소들을 갖추는것이 필수라고 본다.


1 SIEM 및 로그 처리 시스템

 우선 다양한 Threat Intelligence를 적용해 보기 위한 다양한 정보가 수집되어야 하며 이를 조회/분석 할수 있는 환경이 제공되어야 한다. 일반적으로 SIEM이라고 불리는 Splunk나 ArcSight, QRadar 등이 이러한 것을 도울수 있다. 다만 상용 툴의 경우 대용량 로그를 저장하여 분석하기에 부담이 간다면 ElasticSearch를 이용할 수도 있어 보이며 더 대용량의 로그라면 Hadoop과 Spark등을 이용하여 직접적으로 이러한 환경을 구성하는것이 도움이 될 수 있다.


2 로그의 수집

  SIEM이나 대용량 로그 처리 시스템을 구축하였다면 이제는 다양한 요소에서 로그 혹은 기록을 수집할 때이다. 거대 단위의 기업이 될 수도 작은 단위의 기업이 될 수도 있을 것이고 혹은 인터넷 컨텐츠 제공자 일수도 있을 것이다. 우선은 위협이 되는 요소를 정확하게 적용하기 위해서는 그에 맞는 정보를 수집하여야 하며 이를 위해서는 많은 오픈 소스가 있으며 역시 상용 솔루션도 제공되고 있다. Bro는 간단하게 다양한 정보를 수집할 수 있으며 이외에도 Suricata나 PCAP 라이브러리를 활용한 다양한 오픈소스를 적용해 볼수 있을 것이다.

  수집되는 로그는 OSI Layer 7에서 수집될수 있는 HTTP 접속 정보나 FTP, Telnet등의 정보 등이 될수도 있고 암호화 되어 있는 SSH, HTTPS라면 네트워크 상의 트래픽 정보를 수집하여 이를 활용 할수도 있다.


3 Threat Intelligence 정보

  로그나 정보를 수집하기 위한 저장소를 구축하고 여기에 로그나 정보를 수집하였다면 이제는 Threat Intelligence를 적용하기 위한 1차적인 준비가 완료 되었다고 볼 수 있다. 물론 Threat Intelligence를 정확하게 적용해 보기위해서는 더 많은 준비가 필요하지만 간단하게 사용 할 준비는 되었다고 볼수 있다.

 그럼 이제 Threat Intelligence를 제공해 주는 서비스나 플랫폼을 이용해 볼수 있다. 여기서 플랫폼은 한개 혹은 그 이상의 정보 혹은 피드를 이용하여 구축되어진 시스템을 의미한다. 그리고 Threat Intelligence 제공자는 Open된 정보나 폐쇄된 자료들을 제공해 주는 보안 조직이나 회사를 말한다. 즉 플랫폼에 정보를 제공하는 주체를 제공자로 볼수 있다.



Threat Intelligence Platform 의 주요 기능

- 다양한 유형의 피드 데이터의 수집과 통합

- 데이터 피드 처리 자동화를 통한 상관 관계 분석

- 데이터 처리의 최적화를 통한 실시간 알림등의 행위

- SIEM과 대용량 로그 등과의 통합

- 보고서의 산출


728x90
반응형

'보안 > Threat Intelligence' 카테고리의 다른 글

Free Threat Intelligence #2  (0) 2019.02.24

+ Recent posts