13주차 과제 - 샘플 구성 환경 구성

13주차 과제 - 샘플 분석 환경 구성.pptx

3.72MB

 과제 발표에 사용한 PPT 파일을 첨부하겠습니다. 현재 진행하고 있는 과제는 AI 스쿨의 리팩토링 보안직무 과정의 일부입니다. 만약 해당 과정에 더 관심이 있으시다면 AI스쿨의 공식 카페에 방문하여 더많은 정보를 확인해 주시기 바랍니다.

https://cafe.naver.com/itscholar

 

정보보안전문가 취업카페 스칼라 : 네이버 카페

 

 이번 시간에는 샘플 분석 환경을 구성하는 과정에 대하여 알아볼 것 입니다.



 가장 먼저 가상 환경을 구축할 것 입니다. 가상환경이란 단일한 하드웨어 안에서 시뮬레이션을 위해 격리된 환경을 만드는 것 입니다. 보안 업계에서는 시뮬레이션을 위해서 격리된 환경을 만들어내는 것을 말합니다.

 이 가상환경을 만드는 소프트웨어로는 Hyper-V, VirtualBox, Windows 샌드박스, VMware workstation 등이 존재합니다. 이번 시간에는 VMware workstation을 사용하도록 하겠습니다.

 VMware workstation은 VMware사에서 1999년에 만든 가상화 소프트웨어입니다. 현재 사용되는 가상화 소프트웨어 중 가장 역사가 깊습니다. 이로 인해 성능, 호환성, 안정성이 가장 뛰어난 소프트웨어입니다.

 [이미지 1]

 설치 방법은 간단합니다. vmware workstation setup이 안내하는 대로 따르고 제품키를 입력한다면 설치가 완료됩니다.

 [이미지 2]

 그 후 VMware workstation의 창에서 가상 머신을 생성 및 설정을 하고,

 [이미지 3]

 윈도우 iso 파일을 이용해서 윈도우를 설치해 준다면 기본설정은 끝나게 됩니다.



 이제 가상 환경의 네트워크 설정을 해야 할 시간입니다. 

 [이미지 4]

 위의 이미지는 VMware workstation의 네트워크 설정 창 입니다. VMware workstation의 상단 바에서 Edit - Virtual Network Editor 순으로 들어 간다면 접근할 수 있습니다. 네트워크 설정 창을 열게 된다면 대부분의 설정을 건들 수 없습니다. 오른쪽 하단에 나타난 관리자 권한이 필요하다는 요청을 수락하게 된다면 이미지처럼 설정 창을 사용할 수 있게 됩니다.

 이곳의 네트워크 설정은 크게 세가지로 나뉩니다.

 [이미지 5]

 가장 먼저 Bridged 설정 입니다. Bridged 설정은 원본 시스템의 네트워크 환경을 그대로 가져오는 설정을 말합니다. 

[이미지 6]

 두번째는 Host-only 설정 입니다. Host-only 설정은 내부 윈도우의 외부 연결을 끊어 버리고 가상의 허브 하나로 내부 가상머신들을 연결하는 방식 입니다. 이 경우 여러대의 가상 머신을 만들어 몇가지는 윈도우, 몇가지는 리눅스 등의 OS를 설치하여 악성코드의 움직임을 확인하는 방식으로 사용할 수 있겠습니다.

 [이미지 7]

 마지막으로 NAT 설정 입니다. NAT 설정은 가상의 허브를 만들어 내부 가상 머신들을 연결하고, 그 가상 허브를 가상의 게이트웨이를 통해 호스트와 연결하는 방식으로 인터넷에 연결하는 방식 입니다. 인터넷 연결에 호스트를 거치기는 하지만 가상의 허브와 게이트웨이를 거치기 때문에 아이피주소가 완전히 달라진다는 특징이 존재합니다.

 여기서 VMware workstation의 초기 설정은 NAT이기에 내부 윈도우에서 바로 네트워크를 사용할 수 있는 것 입니다.



 이제 가상 윈도우에 필요한 기본 프로그램들과 악성코드 분석을 위한 소프트웨어들을 설치하도록 하겠습니다.

 이번 환경에는 다음과 같은 소프트웨어들을 설치했습니다.

- 구글 크롬
- 반디집
- PEstudio
- Wireshark
- Process hacker
- Process monitor
- ProcDot

 필요한 프로그램들을 모두 설치하여 분석환경이 완성되었다면 이제 스냅샷을 찍을 시간 입니다. 스냅샷이란 일종의 백업입니다. 가상 머신의 시스템 전체를 마치 사진 찍듯이 보존 한 뒤, 필요할 경우 다시 되돌릴 수 있게 하는 기능입니다.

 [이미지 8]

 [이미지 9]

 [이미지 10]

 위의 이미지를 따라한다면 스냅샷을 쉽게 남길 수 있습니다. 스냅샷까지 찍었다면 이제 악성코드를 분석하기 위한 모든 준비가 완료되었습니다.



 마지막으로 악성코드 수집 사이트를 이용하여 악성코드 샘플을 구해보고 간단한 분석 역시 진행해 보려 했습니다.

 [이미지 11]

 https://dasmalwerk.eu/

 해당 사이트에서 악성코드 샘플을 구하여 간단히 분석을 진행해 보려 했지만, 악성코드가 정상적으로 다운로드 되지 못하여 실습을 중단하였습니다.