06SmartEvent로 이벤트 분석SmartEvent로 이벤트 분석

이벤트는 보안 사고의 기록 입니다. 하나 이상의 로그와, Event Policy(이벤트 정책)에 정의된 규칙을 바탕으로 만들어집니다. 핵심은 이벤트가 "로그 + Event Policy의 규칙" 으로 만들어진다는 점입니다.

로그는 어떻게 이벤트로 바뀌는가

로그가 이벤트로 바뀌는 길은 둘입니다.

대부분의 로그는 Firewall·VPN·HTTPS Inspection 로그입니다. 그래서 SmartEvent는 SmartEvent Server의 성능 부담을 피하려고 이들을 기본적으로 이벤트로 정의하지 않습니다.

SmartEvent에는 보안 위협을 추적하고 네트워크를 더 안전하게 만들도록 함께 동작하는 여러 부품 이 있습니다.

핵심 동작은 이렇습니다 — SmartEvent Correlation Unit(③)이 Log Server(②)의 로그 항목을 분석해, Log Server가 로그를 저장하듯 이벤트를 저장합니다. SmartEvent Server(④)는 Events Database(⑤)를 품고 있고, SmartEvent·SmartConsole 클라이언트(⑥)가 SmartEvent Server를 관리합니다. 다이어그램의 번호별 부품을 정리하면 다음과 같습니다.

SmartEvent 부품은 한 컴퓨터에 모아(standalone) 설치 하거나, 여러 컴퓨터·사이트에 나눠(distributed) 설치 할 수 있습니다. 로깅 활동량이 많을 때는 분산 배포를 권장합니다. 한 Correlation Unit이 여러 Log Server나 Domain Log Server의 로그 를 분석할 수 있습니다.

Correlation Unit이 하는 일

SmartEvent Correlation Unit 은 로그 항목을 분석해 이벤트를 식별합니다. 분석하는 동안 다음 네 가지를 합니다.

Correlation Unit 고가용성(HA)

여러 Correlation Unit이 같은 Log Server를 읽게 하면, 한쪽이 죽어도 다른 쪽이 이어받는 중복(redundancy) 을 얻습니다. 다만 이렇게 하면 각 Unit이 탐지한 이벤트가 SmartEvent 데이터베이스에 중복 됩니다. 이때 Event Query 정의의 Detected By 필드로 필터링하면 어느 Correlation Unit이 탐지한 이벤트인지 구분 해 모호함을 없앨 수 있습니다.

SmartView Web Application

SmartView Web Application 은 환경에서 발생한 이벤트를 분석하는 SmartEvent 클라이언트 중 하나입니다. 환경의 보안 정보를 한눈에 보는 데 쓰며, SmartConsole과 같은 이벤트 모니터링·분석 뷰 를 제공합니다. 클라이언트를 따로 설치하지 않아도 된다는 점이 편리합니다. 로그인하려면 다음 주소로 접속합니다.

https://<Security Management Server의 IP 주소>/smartview/

또는

https://<Security Management Server의 호스트 이름>/smartview/

SmartEvent GUI 클라이언트 열기

SmartEvent Policy를 정의하는 이벤트는 SmartEvent GUI 클라이언트의 Policy 탭 에서 구성·커스터마이즈합니다. 여는 순서는 다음과 같습니다.

Policy 탭

Event Policy는 Event Policy 탭 에서 정의하며, 대부분의 구성 작업이 여기에서 이루어집니다. SmartEvent Correlation Unit, 차단된 IP 주소 목록 같은 시스템 구성요소와 그 밖의 일반 설정도 여기에서 정의합니다. SmartEvent가 탐지할 수 있는 이벤트 종류가 여러 카테고리로 분류 되어 나열되며, 이벤트마다 기본 임계(threshold)를 바꾸고 자동 응답을 설정 하거나, 아예 이벤트를 비활성화 할 수도 있습니다. Policy 탭은 세 영역으로 나뉩니다.

Event Policy를 편집하는 길은 다음과 같습니다.

Event Policy 저장 (Save Event Policy)

Event Policy를 바꾼 내용은 SmartEvent Server에 저장하고 SmartEvent Correlation Unit에 설치 해야 비로소 적용됩니다. 적용 순서는 다음과 같습니다.

변경 되돌리기 (Revert Changes)

아직 저장하지 않은 Event Policy 변경은 되돌릴 수 있습니다. File > Revert Changes 를 클릭하면 됩니다.

Event Definition과 General Settings

Selector Tree는 두 가지로 나뉩니다 — Event Policy 가지와 General Settings 가지입니다.

특정 공격이나 이벤트의 자세한 내용은 Event Definition의 Detail 창 을 참고하세요.

Event Definition 파라미터

Event Definition을 고르면 설정 가능한 요소가 Detail 창에, 설명이 Description 창에 나타납니다. 흔히 손보는 요소는 다음과 같습니다.

이 요소가 모든 Event Definition에 다 나타나는 것은 아닙니다. SmartEvent를 설치해 잠깐 돌려 보면, Event Definition별로 어떤 요소를 미세 조정해야 하는지 알게 됩니다. General Settings의 대부분 객체 구성은 아래 "시스템 관리" 절을 참고하세요.

SmartEvent는 Log Server에서 끊임없이 데이터를 가져와, 시스템으로 들어오는 모든 네트워크 잡음 속에서 패턴 을 찾습니다. 각 Event Definition에 설정된 수준에 따라 탐지되는 이벤트 수가 매우 많아질 수 있는데, 그중 의미 있는 것은 일부뿐입니다. 임계와 그 밖의 기준을 바꿔 오탐(false alarm)을 줄일 수 있습니다.

Event Threshold (이벤트 임계)

특정 이벤트의 오탐을 줄이려면 로그 건수를 늘리거나 시간 범위를 늘리거나, 둘 다 늘립니다.

Severity (심각도)

이벤트의 심각도는 드롭다운 목록에서 수준을 골라 바꿉니다. 다만 Threat Prevention 로그 기반 이벤트는 심각도를 여기 설정이 아니라 protection 타입에서 가져옵니다. 이를 덮어쓰려면 다음과 같이 합니다.

Automatic Reaction (자동 대응)

이벤트가 탐지되면 Automatic Reaction(자동 대응)을 발동시킬 수 있습니다. SmartEvent 관리자는 시스템 필요에 맞춰 하나 또는 여러 개의 자동 대응 을 만들 수 있습니다. 예를 들어 Mail Reaction 으로 적용된 이벤트를 관리자에게 알리되, 이벤트 종류마다 다른 담당자에게 알리도록 여러 개의 Mail Reaction 을 만들 수 있습니다. 자동 대응을 만드는 흐름은 다음과 같습니다.

자동 대응의 종류는 다음과 같습니다.

SNMP Trap 메시지에는 이벤트 필드를 담아 보낼 수 있는데, 그 형식은 [seam_event_table_field] 입니다. 담을 수 있는 seam_event 테이블 필드와 자료형은 다음과 같습니다.

Mail Reaction 만들기

Block Source Reaction 만들기

Block Event Activity Reaction 만들기

SNMP Trap Reaction 만들기

send_snmp 명령은 $CPDIR/lib/snmp/ 디렉터리의 chkpnnt.mib 파일에 있는 값을 씁니다. SNMP Trap 파라미터 창에서 쓰는 OID 값은 chkpnnt.mib 또는 그것을 참조하는 파일에 정의되어 있어야 합니다. OID 필드를 비워 두면 값은 다음에서 결정됩니다.

iso.org.dod.internet.private.enterprises.checkpoint.products.fw.fwEvent = 1.3.6.1.4.1.2620.1.1.11

자동 대응이 일어나면 SNMP Trap은 256바이트 DisplayString 텍스트 로 전송됩니다. 다만 OID 타입이 텍스트가 아니면 메시지는 전송되지 않습니다.

External Script 자동 대응 만들기

직접 만든 스크립트를 자동 대응으로 돌릴 수 있습니다. 순서는 다음과 같습니다.

     mkdir $RTDIR/bin/ext_commands
     

     chmod +x $RTDIR/bin/ext_commands/<script_filename>
     

스크립트 작성 지침

awk 나 sed 같은 라인 에디터 명령으로 이벤트를 파싱해 특정 필드를 참조합니다. 형식을 보려면 $EVENT 를 한 번 출력 해 보면 됩니다.

이벤트 내용의 형식은 name-value 집합 으로, 다음 꼴을 가진 구조화된 필드 모음입니다.

(name: value ;* );

여기서 name 은 문자열, value 는 세미콜론 전까지의 자유 텍스트이거나 중첩된 name-value 집합 입니다. 샘플 이벤트는 다음과 같습니다.

(Name: Check Point administrator credential guessing; RuleID:
{F182D6BC-A0AA-444a-9F31-C0C22ACA2114}; Uuid:
<42135c9c,00000000,2e1510ac,131c07b6>; NumOfUpdates: 0;
IsLast: 0;
StartTime: 16Feb2015 16:45:45; EndTime: Not Completed;
DetectionTime:
16Feb2015 16:45:48; LastUpdateTime: 0; TimeInterval: 600;
MaxNumOfConnections: 3; TotalNumOfConnections: 3; DetectedBy:
2886735150;
Origin: (IP: 192.0.2.4; repetitions: 3; countryname: United
States;
hostname: theHost) ; ProductName: SmartDashboard; User: XYZ;
Source:
(hostname: theHost; repetitions: 3; IP: 192.0.2.4;
countryname: United
States) ; Severity: Critical; EventNumber: EN00000184; State:
0;
NumOfRejectedConnections: 0; NumOfAcceptedConnections: 0) ;

이벤트에 필드를 더 넣어야 하면 다음과 같이 합니다.

이벤트에 자동 대응 할당하기

이 종류의 이벤트가 탐지될 때 SmartEvent가 실행할 자동 대응을 추가할 수 있습니다.

Working Hours (근무 시간)

Working Hours 는 근무 시간 외에 보호 대상 시스템에 접근하려는 무단 시도나 그 밖의 금지된 작업 을 잡는 데 씁니다. 이벤트의 정규 근무 시간을 정하려면 미리 구성한 Time Object 를 드롭다운에서 고릅니다.

Time Object 만들기

Time Object를 이벤트에 할당하기

Exceptions (예외)

Exception 은 같은 이벤트라도 출처·목적지·서비스 등 파라미터에 따라 따로 구성 하게 해 줍니다. 예를 들어 Port Scan from Internal Network 이벤트가 60초 동안 30건의 포트 스캔이면 이벤트 라고 설정되어 있다면, 호스트 A에서 10초 안에 2건의 포트 스캔만 탐지돼도 이벤트 로 정의하도록 추가할 수 있습니다.

예외 추가하기

이벤트는 SmartEvent Correlation Unit 이 탐지합니다. Correlation Unit은 Event Definition과 맞는 기준을 찾아 로그를 훑습니다. SmartEvent는 다음 절차를 거쳐 이벤트를 식별합니다.

1단계 — Global Exclusions와 맞춰 보기

Correlation Unit은 로그를 읽으면, 먼저 그 로그가 정의된 모든 Global Exclusions 와 맞는지 봅니다. Global Exclusions(Policy 탭 > Event Policy > Global Exclusions 에서 정의)는 이벤트에 기여할 일이 없는 로그를 SmartEvent가 무시하도록 지시합니다. 로그가 Global Exclusion과 맞으면 버리고, 맞지 않으면 각 Event Definition과 맞춰 보기 시작합니다.

2단계 — 각 Event Definition과 맞춰 보기

각 Event Definition에는 맞는 로그라면 모두 갖춰야 할 여러 기준 으로 이루어진 필터가 있습니다. 기준은 제품(product)별로 나뉘어 있어서, 하나의 Event Definition이 여러 제품을 포함할 수 있되 제품마다 자기만의 기준 을 가집니다. 예컨대 Event Definition "A"에 맞으려면, Endpoint Security 로그는 Endpoint Security 열에 적힌 Action·Event Type·Port·Protocol 값과 맞아야 하고, Security Gateway 로그는 그 열에 적힌 값과 맞아야 합니다. SmartEvent는 이 절차를 두 단계로 나눕니다.

먼저 Correlation Unit은 로그의 Product 값이 Event Definition의 허용 Product 값 중 하나와 맞는지 봅니다. Log 1에 허용 Product 값이 없으면 Event Definition "B"와 견주고, 그렇게 차례로 넘어갑니다. 어떤 Event Definition과도 맞지 않으면 로그는 버려집니다.

그다음 Correlation Unit은 그 로그에 Event Definition을 충족할 제품별 세부 기준이 있는지 봅니다. 예를 들어 Endpoint Security 제품은 Firewall·Spyware·Malicious Code Protection 등과 관련된 로그를 만드는데, 이 정보는 로그의 Event Type 필드에 담깁니다. 이벤트가 Event Type "Firewall"인 Endpoint Security 로그에 맞도록 정의되어 있다면, Event Type이 "Spyware"인 Endpoint Security 로그는 그 필터에 실패 합니다. 제품에 그 밖의 기준을 더 지정할 수도 있습니다. 위 예에서 Log 1은 허용 Product 값으로 Event Definition "A"와 맞았으므로, Correlation Unit은 그 로그가 Endpoint Security 로그가 맞기 위한 필수 기준을 갖췄는지 살핍니다.

기준이 맞지 않으면 Correlation Unit은 그 로그를 다른 Event Definition과 계속 견줍니다.

3단계 — Event Candidate(이벤트 후보) 만들기

로그가 기준에 맞으면 Event Candidate(이벤트 후보)에 더해집니다. 이벤트 후보는 이벤트 임계를 넘을 때까지 로그를 추적하는 임시 묶음으로, 임계를 넘는 순간 이벤트가 생성됩니다.

로그는 서로 다른 Log Server에서 와도 같은 이벤트로 상관 될 수 있습니다. 이벤트 후보는 기준("선언된 초 안에 몇 건의 로그")이 맞을 때까지 로그를 추적합니다. 각 Event Definition은 여러 개의 이벤트 후보 를 가질 수 있고, 각 후보는 같은(동등한) 속성으로 묶인 로그 를 추적합니다. 위 그림에서는 후보를 이루는 로그가 공통의 source 값 을 가집니다 — Security Gateway가 drop·block·reject한 로그들로, 한 출처에서 비롯되는 이런 활동을 탐지하도록 Event Definition이 설계되어 있어서 한데 묶인 것입니다. 이벤트 선언에 source 필드에 대한 그룹핑 선언이 있으면 새 이벤트 후보가 만들어집니다.

로그가 Event Definition과 맞되 기존 후보들과 속성이 다르면, 새 이벤트 후보 가 만들어집니다. 이 후보는 이른바 Event Candidate Pool(이벤트 후보 풀)에 더해집니다.

기본적으로 SmartEvent는 source가 다른 로그마다 새 이벤트 후보 를 만듭니다. 이 기본 동작을 바꾸려면 다음과 같이 합니다.

좀 더 풀어 보면, 차단 연결 급증 을 탐지하는 이벤트가 있다고 합시다. SmartEvent는 게이트웨이별로 차단 연결 수를 추적 하고, 각 게이트웨이의 차단 트래픽 로그가 그 게이트웨이의 이벤트 후보를 이룹니다. 한 게이트웨이의 차단 연결 로그가 임계를 넘으면, 그 게이트웨이 후보가 이벤트 가 됩니다. 이 Event Definition은 모니터링하는 게이트웨이마다 후보를 하나씩 만들지만, 다른 Event Definition은 훨씬 많은 후보를 만들 수도 있습니다.

Event Candidate Pool은 새 로그가 더해지고, Event Definition의 시간 임계를 넘긴 오래된 로그는 버려지는 동적인 환경입니다.

4단계 — Event Exclusion과 맞춰 보기

특정 이벤트의 로그를 만들기 전에, SmartEvent는 이 이벤트 후보의 속성이 예외(exclusions) 테이블에 있는지 봅니다. Event Exclusions 는 Policy 탭 > Event Policy > Event Exclusions 에서 선택한 속성에 따라 정의합니다. 속성이 Event Exclusion과 맞으면 버려져 이벤트가 생성되지 않고, 맞지 않으면 다시 각 Event Definition과 맞춰 보기 시작합니다.

5단계 — Event Generation (이벤트 생성)

후보가 이벤트가 되면 Correlation Unit은 그 이벤트를 Event Database로 전달합니다. 하지만 이벤트를 찾았다고 해서 관련 로그 추적을 멈추지는 않습니다. Correlation Unit은 이벤트 임계 기간 동안 계속 들어오는 관련 로그를 그 이벤트에 더합니다. 이벤트를 열어 두면 같은 사건의 여러 인스턴스처럼 보일 수 있는 것을 하나로 압축 하고, 이벤트의 시작·종료 시각을 정확하고 최신으로 유지할 수 있습니다.

새 Event Definition을 만들려면 기존 Event Definition을 우클릭하거나 Actions 메뉴를 씁니다.

모든 User Defined Events 는 Policy 탭 > Event Policy > User Defined Events 에 저장됩니다. 이미 있는 Event Definition은 우클릭이나 Actions 메뉴로 여는 Properties 창 에서 수정합니다.

새 Event Definition 만들기

예약된 이벤트가 아닌 모든 이벤트도 편집 할 수 있습니다. 미리 정의된 이벤트를 고치면 그 결과는 새 User Defined Event로 저장 됩니다. 만드는 순서는 다음과 같습니다.

그리고 Next 를 클릭합니다. 8. 이 이벤트를 일으킬 수 있는 제품들 을 살핍니다. 9. Next 를 선택합니다. 10. (선택) 제품 필터를 편집합니다. - 제품을 추가했다면, 모든 제품 필터(Edit all product filters) 나 새로 추가한 제품 필터(Edit only newly selected product filters) 를 편집할 수 있습니다. - 다른 제품을 추가하지 않았다면, 기존 제품 필터를 편집(Yes)하거나 이 단계를 건너뜁니다(No, Leave the original files).

그리고 Next 를 클릭합니다. 11. Event Definition 필터에 필요한 로그마다 제품 필터를 편집·추가 합니다. - a. Log field 목록에서 로그 필드를 고릅니다. - b. Add 를 눌러 필터를 편집합니다. - c. 필터가 All Conditions(모든 조건)인지 Any Conditions(아무 조건)인지 확인합니다. - d. 로그 필드를 더블클릭해 필터에 쓸 값을 고릅니다.

그리고 Next 를 클릭합니다. 12. 각 제품의 필터를 정의했으면, 로그를 어떻게 처리할지 다음 옵션의 값을 정합니다. - Detect the event when at least __ logs occurred over a period of __ seconds — 이벤트를 정의하는 임계 입니다. 로그 건수나 기간을 바꿔 임계를 조정할 수 있습니다. - Each event definition may have multiple Event Candidates existing simultaneously — 아래에서 고른 필드(또는 필드 집합)를 기준으로 별도의 이벤트 후보를 만들지 정합니다. - Select the field(s) by which distinct Event Candidates will be created — 이벤트 후보를 구분하는 데 쓸 필드(또는 필드 집합) 를 정합니다. - Use unique values of the __ field when counting logs — 임계를 넘었는지 판단할 때 지정한 필드의 고유 값만 셈 하도록 지시합니다. 이 속성을 선택하지 않으면 받은 로그의 전체 건수 를 셉니다. 13. Finish 를 클릭합니다.

User-Defined Event 커스터마이즈하기

Name 탭 — Event Definition의 이름, Description, Severity 수준을 정합니다. Description 필드에 적은 텍스트는 Event Description 영역(이벤트 설정 속성 아래) 에 표시됩니다.

Filter 탭 — 제품 필터를 편집합니다. - a. 제품을 고릅니다. - b. 사용 가능한 Log Fields 목록에서 로그 필드를 고릅니다. - c. 필요한 필드가 안 보이면 Show more fields... 로 Log Fields 목록에 필드를 추가합니다. - d. Add 를 눌러 필터를 편집합니다. - e. 필터가 All Conditions 인지 Any Conditions 인지 고릅니다.

Count logs 탭 — 이 이벤트와 관련된 로그를 SmartEvent가 어떻게 셈하는지 정의합니다. - A Single log — 바이러스 스캐너 로그처럼 로그 하나가 곧 이벤트 인 경우. 이 옵션에서는 이벤트를 후보로 묶는 기준 필드 를 정할 수 있습니다. 이 필드 값이 일치하는 로그가 같은 이벤트에 더해집니다. 예: 같은 출처에서 같은 바이러스 이름으로 보고된 여러 로그를 하나의 이벤트로 묶음. - Multiple logs — High Connection Rate처럼 활동 수준을 식별 하는 이벤트에 필요합니다. 여러 로그가 이벤트를 일으킬 때는 이벤트 후보의 동작을 다음처럼 정합니다. - Detect the event when at least... — 넘으면 이벤트로 보는 Event Threshold 를 설정합니다. - Select the field(s) by which distinct event candidates will be created — 여기 지정한 필드의 값이 같은 로그가 하나의 이벤트 를 만듭니다. 로그를 이벤트 후보로 묶는 기준을 정합니다. - Use unique values of the ... — 지정한 필드 값이 고유한 로그만 이벤트 후보에서 셉니다. 예: Port Scan 이벤트는 스캔된 고유 포트가 담긴 로그만 세고, 이미 등장한 포트가 담긴 로그는 로그 카운트를 늘리지 않습니다. - Advanced — 이벤트의 keep-alive 시간 과, Correlation Unit이 생성된 이벤트의 새 로그를 SmartEvent Server에 얼마나 자주 갱신 할지를 정의합니다.

Event Format 탭 — 이벤트가 생성되면 정보가 Event Detail 창에 표시됩니다. 이 화면에서 어떤 정보를 상세 창에 넣을지, 어느 Log Field에서 가져올지 지정합니다. Display 열에서 해제하면 그 Event Field는 채워지지 않습니다.

GUI representation 탭 — 모든 이벤트를 구성할 수 있습니다. 이 화면에서 표시할 구성 파라미터를 고릅니다. - Threshold 섹션은 이벤트를 만드는 데 맞아야 할 로그 수를 보여 줍니다. 로그 하나 이벤트에는 보통 안 보이고, 여러 로그 이벤트에 보입니다. - Exclude 섹션은 event exclusion을 추가할 때 보일 로그 필드 를 지정합니다. - Exception 섹션은 event exception을 추가할 때 보일 로그 필드 를 지정합니다.

이벤트를 잘 만들어내는 서비스

일부 서비스는 트래픽 양이 많아 이벤트로 오인되기 쉽습니다. 다음이 그런 예입니다.

서비스별 흔한 이벤트

다음 표는 활동량이 흔히 많은 서버 종류 목록입니다. Event Policy를 바꿀 때 이벤트 임계를 조정하고 서버·서비스에 대한 Exclusion을 추가 하면 탐지되는 오탐을 더 줄일 수 있습니다.

SmartEvent 시스템을 유지하려면 Policy 탭의 General Settings 섹션에서 다음 작업을 할 수 있습니다.

네트워크·호스트 객체 추가하기

Network Object 는 Management 객체 데이터베이스에서 동기화된 객체와, 사용자가 추가로 정의한 객체 입니다. Management 서버에서 온 객체는 초기 sync 때 SmartEvent에 추가되고, 정해진 간격으로 갱신 됩니다.

고객은 초기 sync가 끝나기 전에는 Internal Network를 정의할 수 없습니다. SmartEvent에 호스트·네트워크 객체를 추가하려면 다음과 같이 합니다.

Internal Network 정의하기

이벤트가 내부에서 비롯됐는지 외부에서 비롯됐는지 를 SmartEvent가 판단하게 하려면 Internal Network 를 정의해야 합니다. 트래픽 방향은 다음과 같이 계산됩니다.

Internal Network 정의 순서는 다음과 같습니다.

일부 네트워크 객체는 초기 sync 때 Management 서버에서 SmartEvent Server로 복사되고, 그 뒤 갱신 됩니다.

---

이벤트가 떠오른 뒤의 실시간 모니터링이나 트래픽·연결 흐름을 함께 보고 싶다면 트래픽·연결 모니터링 (SmartView Monitor) 장을 이어서 참고하세요.