바로사채의 블로그입니다.

1. 두말하면 잔소리 SIFT https://digital-forensics.sans.org/community/downloads SANS508 과정에서 소개받았고 (사실 그전부터 사용했던) 교육후엔 더욱 신나게 사용중임. 아래 링크에 있는것과 교육할때 받는 ova파일은 조금 다름... 강사분이 조금 튜닝을 해주신거라, 가끔 리눅스모르는 사람에게는 강사분의 설정이 도움될거임. 최근에 윈도우즈 버젼의 SIFT도 등장해서 샌드박스 기능이나 외부 위협인텔리젼스랑 연동해서 작업할때도 매우 인상적. 시스템 퍼포먼스만 충분하다면 두개의 머신을 동시에 돌리면, 더이상 연장걱정은 끝 기본적인 리눅스 커맨드에 이미지 마운트, 볼라틸리티 정도를 사용하는 정도지만 리눅스 기본 커맨드 자체가 워낙에 포렌직에 쓰기에 적절하므로...

새로운 메모리 덤프 툴이 생겨났다. (본인만 늦게 찾아낸것이라고 생각하지만...) 아직 사용전이라 모르겠지만, 지금까지 리눅스의 메모리 덤프는 가장 중요한 프로파일의 수집인데, 이게 보통의 경우, 수집대상 시스템에 어떠한 경우로든 시스템에 영향을 주면 안되기에 프로파일을 얻어내자고 뭔가를 하게되면 그 나름대로 리스크가 있었다. 프로파일이란게 직접 떠와도 안먹는(!)경우도 있는데다 기존에 깃헙에 프로파일을 하나씩 돌려보는 거이 부루트포스 공격급의 프로파일 탐색에도 실패하는 경우가 있었기에 프로파일 없이 메모리를 떠보겠다고 AFF4포맷으로 받는 경우도 있지만, 이조차도 가끔 잘 안되는 경우가 있다. 이런저런 시도를 하던중에 이것을 발견.. 조만간 연구좀 해봐야겠다.

메모리 분석에 있어서 가장 최고의 입문서이자 닳고 닳을 때까지 (물론 최신판이 나오면) 봐야 할 책은 바로 이거 아닌가 싶다. 사실 전 직장에서도 큰 형님께서 꼭 읽어보라 강추했지만, 두께의 압박으로, 현장박치기(!)로 승부하겠다는 생각에 클라우드 속에 저장? 만 하고 있는 현실이지만... 늙은 꼰대의 주책처럼 보이겠지만 파일 없는 악성코드라는 건 뭐 요즘 새로 나온 트렌드도 아니고 수년 전부터 그래 왔다. 그러다 보니 메모리 덤프 안 뜨고 분석하라고 하면, 마치 존재하지도 않는 꿈의 1군이 출전하지 않는 일본 축구 경기 같은 느낌의 침해대응이 될 것이라고 자신한다. 메모리 수집되지 않은 채로 분석을 한다는 건 꽤 많은 걸 놓고 시작하는 거라고 본다. 윈도즈 메모리 덤프라면야 아래의 똘똘한 툴을 CLI환..

몇일전에 참 재미난 기사를 봤다. 미쿡에 입국하는 분덜중에 노트북을 소지한분들은 이제부터 내용물(!)도 검사를 해주시겟다는거다. 즉, 보다만 얏옹이나 회사의 중요한 자료... 이거 다 국토안보부(HomeLand Security)에서 맘껏 떠가실수 있단 이야기다... 엉??? 자유~ 하면 미쿡이라는거 완젼 순 사기 아냐? 이런 오라질!! 이것때매, 노트북을 깔끔히 날리고 하얗게 날려버린채로 가야하는가? 그것도 아니다.... 그렇다고 오부지게 돈들여서 뭔가 뜯어보지못하도록 하자니까 그것도 참 아까운짓이다... 어찌어찌하다보니 본인은 이런 툴이 있다는 사실을 최근에야 알았다..사실 아무것도 아닌 쉬운거... 대부분 가정용 PC사용자라면 Deamon같은 가상드라이브는 아실테고 그저 거기에 암호화를 한번 해준다구..

어느덧 세월을 쏜살같이 흘러서 SIP라는 기술은 정점을 거쳐, 안정기에 접어들기 시작했다. 지금 내앞에는 Next Generation Network라는 새로운 서비스를 구현해야하는 최선방에 배치되었다. 어떤점에서는 Advanced SIP라는 측면에서 생각할수 있다. SIP가 전화..라는것을 IP기술을 통해 음성신호를 미디어(코덱)을 태워 보내는, 과거 구리선에 전기적신호로 보내던것을 전자적으로 바꾼것이었다고 한다면, 이제는 전자적인SIP가 우리가 해왔던 모든 인터넷 기술의 고속도로를 나눠쓰는 방법이라고 해야할까? 지금까지는 인터넷은 인터넷선으로 하고 SIP망은 기본 인터넷네트웍위에 복층화되었던 구조였다고 한다면 NGN망은 인터넷망하나에 전화/VOD/팩스/TV등을 모두 얹어놓았다. 그덕분에 네트웍은 좀더 ..

개발자들이 말하는 소위 SIP서버라는것은 본인들이 운용하는, 즉 회선사업자가 제공하는 망에 물려진 IPCGW(IP Carrier GateWay)를 말하는것이라고본다. 본인은 회선사업자의 관점에서의 서버와 개발자들의 서버에는 차이가 있다. 회선사업자의 입장에서는 제조사들의 VoIP장비들도 제각각의 구분을 가지고있다. 가장 큰 구분은 망에 접속된 장비에서 하부의 단말들에게도 IP를 할당하느냐의 차이와 기존의 기기를 수용하는가에 따라서 구분이 된다. 예를 들어 CICSO의 Callmanager의 제품은 자체가 IP를 가지고 있고, 하부의 단말기들도 각기 LAN측의 IP를 가진다. (물론 이 IP는 Local의 IP일뿐 글로벌한 IP는 아니다) 위의 구성도에서 보듯, 망구조에서 처럼 회선사업자의 SIP서버와 연..