15Threat IndicatorsThreat Indicators

먼저 두 용어를 구분해 두어야 이후 설명이 정확히 읽힙니다.

Threat Indicators는 다음 두 가지로 공격을 표현합니다.

지표는 인텔리전스, 자체 분석, 정부, 파트너 등 다양한 출처에서 나옵니다. 즉 "이 IP·해시·URL이 보이면 위협"이라는 식의 맞춤 위협 목록을 엔진에 주입해, Check Point 기본 피드 위에 조직만의 위협 정보를 얹는 것입니다.

SmartConsole에서 위협 지표 파일을 수동으로 올릴 때는 파일이 Check Point CSV 형식 또는 STIX XML(STIX 1.0) 형식 이어야 합니다. 또한 모든 레코드의 필드 수가 같아야 하며, 어떤 지표 파일에 필드 수가 다른 레코드가 섞여 있으면 로드되지 않 습니다.

지표 파일을 로드하는 절차는 다음과 같습니다.

6단계에서 고를 수 있는 동작은 세 가지입니다.

지표 삭제하기

Indicator 객체의 속성은 편집할 수 있지만, 그 객체가 사용하는 파일만은 바꿀 수 없 습니다. 다른 파일을 쓰게 하려면 기존 Indicator를 삭제하고 새로 만들어야 합니다.

Custom Intelligence Feeds 는 제3자 서버의 피드를 Security Gateway로 직접 가져와 Anti-Virus·Anti-Bot·IPS 블레이드가 단속하게 하는 기능입니다. 최소한의 운영 부담으로 지표를 관리·모니터링하도록 돕습니다.

CLI에서 외부 피드 가져오기

외부 소스의 위협 지표 피드를 Security Gateway에서 직접 CLI로 가져올 수 있습니다. 처음 피드를 가져와 정책을 설치하고 나면, 피드 파일이 갱신될 때마다 Security Gateway가 자동으로 지표 파일을 끌어와 단속 합니다. 파일은 HTTP 또는 HTTPS 로 가져오거나, 로컬 파일·로컬 디렉터리 를 읽어 가져옵니다.

CLI에서 가져올 수 있는 피드 형식은 다음과 같습니다.

피드의 리소스(Feed's Resource)

모든 형식에서 피드의 리소스는 다음 셋 중 하나가 될 수 있습니다.

URL — HTTP 또는 HTTPS

ioc_feeds add --feed_name remote_feed --transport http --resource "http://10.0.0.1/my_feeds/stix_feed.xml"

Local File — Security Gateway의 로컬 파일

ioc_feeds add --feed_name local_feed --transport local_file --resource "/home/admin/my_feed.csv"

Local Directory — 올바른 피드 형식의 파일이 담긴 Security Gateway의 로컬 디렉터리

ioc_feeds add --feed_name local_feed --transport local_directory --resource "/home/admin/my_feed_folder"

위협 지표 파일을 가져오고 관리하려면 Security Gateway의 Expert mode 에서 다음 ioc_feeds 명령을 씁니다.

피드 추가 — `ioc_feeds add`

새 피드를 추가하는 명령입니다. 몇 가지 예를 보면 쓰임새가 분명합니다.

# 예 1 — 로컬 파일 피드
ioc_feeds add --feed_name local_feed --transport local_file --resource /home/admin/my_feed.csv

# 예 2 — 프록시를 거치는 원격 피드
ioc_feeds add --feed_name remote_feed --transport http --resource "http://10.0.0.1/my_feeds/stix_feed.xml" --proxy 192.168.22.33:8080 --state false --feed_action Detect --user_name admin@example.com

# 예 3 — 원격 피드 dry run(시험 실행)
ioc_feeds add --feed_name remote_stix_file --transport http --resource "http://www.public_indicators.com/ioc_stix_file.xml" --test true

필수 파라미터(Mandatory)

선택 파라미터(Optional)

피드 수정 — `ioc_feeds modify`

기존 피드를 수정합니다. 지정하지 않은 파라미터 값은 이전 그대로 유지됩니다.

ioc_feeds modify --feed_name local_feed --state true

피드 삭제 — `ioc_feeds delete`

지정한 기존 피드를 삭제합니다. 필수 파라미터는 --feed_name <feed>(피드 이름) 하나입니다.

ioc_feeds delete --feed_name local_feed

CSV Check Point 형식과 STIX XML(STIX 1.0) 형식의 각 레코드는 아래 필드 를 가져야 합니다.

TYPE(타입)에 들어갈 수 있는 값은 다음과 같습니다.

PRODUCT(블레이드) 값은 둘 중 하나입니다.

형식에 관한 참고 사항

지원되는 STIX 요소(element)는 다음과 같습니다.

stix:STIX_Header
stix:Title
stix:Description
stix:Indicators
stix:Indicator
indicator:Title
indicator:Type
indicator:Description
indicator:Observable
cybox:Object
cybox:Properties
FileObj:Hashes
cyboxCommon:Hash
cyboxCommon:Type
cyboxCommon:Simple_Hash_Value
stix:Observables
cybox:Observable
URIObj:Value
URIObject:Value
AddressObject:Address_Value
AddressObj:Address_Value
AddressObj:AddressObjectType
AddressObjet:AddressObjectType
cybox:Title

Condition Type Enum 과 Condition Application Enum 은 Equals 와 Any 값을 지원합니다. 예:

<cyboxCommon:Simple_Hash_Value condition="Equals" apply_condition="ANY">

Check Point 형식 CSV 지표 파일의 구문 규칙

Check Point 형식 CSV 지표 파일 예시

#! DESCRIPTION = indi file,,,,,,
"#! REFERENCE = Indicator Bulletin; Feb 20, 2014",,,,,,
# FILE FORMAT:,,,,,,
"# All lines beginning ""#"" are comments",,,,,,
"# All lines beginning ""#!"" are metadata read by the SW",,,,,,
"# UNIQ-NAME,VALUE,TYPE,CONFIDENCE,SEVERITY,PRODUCT,COMMENT",,,,,,
observ1,8d9b6b8912a2ed175b77acd40cbe9a73,MD5,medium,medium,AV,FILENAME:WUC Invitation Letter Guests.doc
observ2,76700f862a0c241b8f4b754f76957bda,MD5,high,high,AV,FILENAME:essais~.swf|NOTE:FWS type Flash file
observ4,5dda6d1446b3cdb0bd4a3f0adb85d030ff59e975,SHA1,low,high,AV,file_name.pdf
observ5,db435a875be456f088f11c579aa52f30bc83cfff272cfad5a3f6f4de74de0654,SHA256,high,high,AV,file_name.doc
observ7,http://somemaliciousdomain.com/uploadfiles/upload/exp.swf?info=789c333432d333b4d4b330d133b7b230b03000001b39033b&infosize=00840000,URL,high,high,AV,IPV4ADDR:196.168.25.25
observ8,svr01.passport.ServeUser.com,Domain,low,high,AB,TCP:80|IPV4ADDR:172.18.18.25|NOTE:Embedded EXE Remote C&C and Encoded Data
observ9,somemaliciousdomain2.com,Domain,,low,AV,TCP:8080|IPV4ADDR:172.22.14.10
observ10,http://www.bogusdomain.com/search?q=%24%2B%25&form=MOZSBR&pc=MOZI,URL,low,low,AB,IPV4ADDR:172.25.1.5
observ11,http://somebogussolution.com/register/card/log.asp?isnew=-1&LocalInfo=Microsoft%20Windows%20XP%20Service%20Pack%202&szHostName=ADAM-E512679EFD&tmp3=tmp3,URL,medium,,AB,
observ14,172.16.47.44,IP,high,medium,AB,TCP:8080
observ15,172.16.73.69,IP,medium,medium,AV,TCP:443|NOTE:Related to Flash exploitation
observ16,abc@def.com,mail-to,,high,AV,"NOTE:truncated; samples have appended to the subject the string ""PH000000NNNNNNN"" where NNNNNNN is a varying number"
observ34,stamdomain.com,domain,,,AB,
observ35,stamdomain.com,mail-from,high,medium,AV,
observ37,xyz.com,mail-from,medium,medium,AB,
observ38,@xyz.com,mail-from,medium,medium,AB,
observ39,a@xyz.com,mail-from,medium,medium,AB,

# 로 시작하는 줄은 주석이고, #! 로 시작하는 줄은 소프트웨어가 읽는 메타데이터 라는 점을 예시 첫머리에서 확인할 수 있습니다.

STIX 1.0 XML 지표 파일 예시

xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
xmlns:stix="http://stix.mitre.org/stix-1"
xmlns:indicator="http://stix.mitre.org/Indicator-2"
xmlns:stixVocabs="http://stix.mitre.org/default_vocabularies-1"
xmlns:FileObj="http://cybox.mitre.org/objects#FileObject-2"
xmlns:cybox="http://cybox.mitre.org/cybox-2"
xmlns:cyboxCommon="http://cybox.mitre.org/common-2"
xmlns:cyboxVocabs="http://cybox.mitre.org/default_vocabularies-2"
xmlns:example="http://example.com/"
xsi:schemaLocation="
http://stix.mitre.org/stix-1 ../stix_core.xsd
http://stix.mitre.org/Indicator-2 ../indicator.xsd
http://stix.mitre.org/default_vocabularies-1 ../stix_default_vocabularies.xsd
http://cybox.mitre.org/objects#FileObject-2 ../cybox/objects/File_Object.xsd
http://cybox.mitre.org/default_vocabularies-2 ../cybox/cybox_default_vocabularies.xsd"
id="example:STIXPackage-ac823873-4c51-4dd1-936e-a39d40151cc3"
version="1.0.1">
<stix:STIX_Header>
<stix:Title>Example file watchlist</stix:Title>
<stix:Package_Intent xsi:type="stixVocabs:PackageIntentVocab-1.0">Indicators - Watchlist</stix:Package_Intent>
</stix:STIX_Header>
<stix:Indicators>
<stix:Indicator xsi:type="indicator:IndicatorType" id="example:Indicator-611935aa-4db5-4b63-88ac-ac651634f09b">
<indicator:Type xsi:type="stixVocabs:IndicatorTypeVocab-1.0">File Hash Watchlist</indicator:Type>
<indicator:Description>Indicator that contains malicious file hashes.</indicator:Description>
<indicator:Observable id="example:Observable-c9ca84dc-4542-4292-af54-3c5c914ccbbc">
<cybox:Object id="example:Object-c670b175-bfa3-48e9-a218-aa7c55f1f884">
<cybox:Properties xsi:type="FileObj:FileObjectType">
<FileObj:Hashes>
<cyboxCommon:Hash>
<cyboxCommon:Type xsi:type="cyboxVocabs:HashNameVocab-1.0" condition="Equals">MD5</cyboxCommon:Type>
<cyboxCommon:Simple_Hash_Value condition="Equals" apply_condition="ANY">0522e955aaee70b102e843f14c13a92c##comma##0522e955aaee70b102e843f14c13a92d##comma##0522e955aaee70b102e843f14c13a92e</cyboxCommon:Simple_Hash_Value>
</cyboxCommon:Hash>
</FileObj:Hashes>
</cybox:Properties>
</cybox:Object>
</indicator:Observable>
</stix:Indicator>
</stix:Indicators>
</stix:STIX_Package>

Custom Intelligence Feeds 기능은 여러 가지 구조의 CSV 파일 을 지원합니다. 즉 외부 소스가 Check Point 표준 형식이 아니더라도, 파일 구조를 직접 기술해 가져올 수 있습니다.

Custom CSV 파일의 구문 규칙

  --format [value:#3]
  

  --format [type:domain]
  

예 1 — 도메인 목록

원본 CSV 파일이 도메인 목록인 경우입니다.

# This list consists of High Level Sensitivity website URLs
# Columns (tab delimited):
# (1) site
#
Site
4kqd3hniqgptupi3p.k7oudl.top
stggsjv6mqiibmax.torshop.li
grrgelpetkavanis4.pv
52ou5k3t73ypjije.ie7t8k.top
ja:many.cu.ma

다음 명령을 실행하면 Security Gateway는 각 행의 첫 번째 자리에 있는 도메인 을 취하고, # 으로 시작하는 줄과 Site 라는 단어는 무시 합니다.

ioc_feeds add --feed_name domain_list --transport https --resource "https://isc.sans.edu/feeds/suspiciousdomains_High.txt" --format [type:domain,value:1] --comment "#, Site"

예 2 — 공백·구분자가 섞인 IP 목록

원본 CSV 파일이 다음과 같다고 합시다.

# category Descriptive tag name for this entry. For this report,
# the text sshpwauth will appear.
#
# A commented footer section shows an aggregate account of ASNs and
# addresses seen in the current report
#
3 | organization A | 18.30.10.26 | 2018-12-15 08:16:39 | sshpwauth
3 | organization B | 18.30.21.197 | 2018-12-28 17:43:41 | sshpwauth
17 | organization C | 128.46.80.71 | 2019-01-04 17:56:00 | sshpwauth
111| organization D | 128.197.31.119 | 2019-01-10 03:12:18| sshpwauth

다음 명령을 실행하면 Security Gateway는 행의 3번째 자리에서 IP 주소 를, 2번째 자리에서 comment 를 취하고, # 으로 시작하는 모든 내용을 무시합니다. 여기서는 --delimiter "|" 로 구분자를 세로줄 로 지정했습니다.

ioc_feeds add --feed_name ip_list_with_spaces --transport local_file --resource "/home/admin/ioc/ip_list_with_spaces.txt" --format [value:#3,comment:#2,type:ip] --comment [#] --delimiter "|"

이 기능을 쓰면 Snort 형식의 인텔리전스 피드 도 로드할 수 있어, 전반적인 위협 탐지 능력과 보안 운영의 통제력을 높일 수 있습니다.

Snort 규칙은 시그니처로 공격을 정의합니다. 가져온 Snort 보호(protection)의 이름은 원본 Snort 규칙의 msg 필드 값 이 됩니다. Snort 피드 크기는 관찰 항목 3,000개, 규칙 6,000개 로 제한되며, 이를 초과하면 로드되지 않 습니다. Check Point는 Snort 2.9 버전 이하 를 지원하며, Snort 구문은 snort.org의 공식 문서에 설명되어 있습니다.

Snort 규칙 구문

<Action> <Protocol> <Source IP Address> <Source Port> <Direction> <Destination IP Address> <Destination Port> (msg:"<Text>"; <Keyword>:"<Option>";)

Snort 규칙은 Rule Header(규칙 헤더)와 Rule Options(규칙 옵션) 두 논리 부분으로 나뉩니다.

  <Action> <Protocol> <Address> <Port> <Direction> <Address> <Port>
  

Snort 파일 예시

다음 규칙은 HTTP 트래픽에서 .pdf 문자열 을 탐지할 때마다 경보를 만들도록 설계되었습니다. PDF 파일을 HTTP로 전송하려는 시도를 차단하거나 추가 조사하기 위한 것입니다.

alert tcp $EXTERNAL_NET any -> $HOME_NET 80 (msg:"Block pdf files over HTTP"; content:".pdf";)

지원되는 Snort 구문

일반적으로 지원되는 구문 요소는 다음과 같습니다(일부 제약은 아래 "지원되지 않는 Snort 구문" 참고).

각 키워드의 예시는 다음과 같습니다.

# pcre
alert tcp any any -> any 80 (content:"/foo.php?id="; pcre:"/\/foo.php?id=[0-9]{1,10}/iU";)

# flowbits
alert tcp $HTTP_SERVERS any -> $EXTERNAL_NET 21 (msg: "Does not match state in FTP path"; flow: established, to_server; content: "targetfile"; nocase; fast_pattern; flowbits: isset,INFTPPATH;no_match;)

# byte_test
alert udp $EXTERNAL_NET any -> $HOME_NET 123 (msg: "Header length longer than maximum"; content: "length|3d|"; byte_test: 4, >, 1024, 1, relative;)

# byte_jump
alert udp any any -> any 123 (msg: "Check for 0001 after 0123"; content: "|30 31 32 33|"; byte_jump: 4,4, relative; content: "|30 30 30 31|"; distance: 1; relative;)

# isdataat
alert tcp $EXTERNAL_NET any -> $HTTP_SERVERS $HTTP_PORTS (msg: "\r\n\r\nHas 300 byte after"; flow: established, to_server; content: "|0a 0d 0a 0d|"; isdataat: 300,relative; sid:11111111;)

# no_match
alert tcp $HTTP_SERVERS any -> $EXTERNAL_NET 21 (msg: "Does not match state in FTP path"; flow: established, to_server; content: "targetfile"; nocase; fast_pattern; flowbits: isset,INFTPPATH;no_match; sid: 55555555;)

추가로 다음이 지원됩니다.

지원되지 않는 Snort 구문

다음 구문은 지원되지 않으며 변환되지 않 습니다.

다음은 변환이 동작 방식을 바꾸는 매크로·구문입니다.

또한 다음 키워드·수정자 조합은 IPS 블레이드에서 Snort 규칙과는 다르게 구현됩니다.

변환 디버깅

관리 서버(Management Server)의 $FWDIR/log/SnortConvertor.elg 파일에는 마지막 SnortConvertor 실행(Snort 규칙 가져오기) 의 디버그 메시지가 기록됩니다. 이 파일에서 실패한 규칙 디버그 를 찾으려면 다음 문자열을 검색하세요.

Failed to convert rule

SSL 서비스

일반적인 메타데이터 서비스 옵션 외에도, Check Point는 SSL 트래픽 전용 키워드 를 추가로 지원합니다. SSL 트래픽용 Snort 규칙은 metadata 키워드로 정의합니다. 규칙 옵션에 다음을 추가합니다.

metadata: service <SSL service>;

예시:

alert tcp any any -> any 443 (msg:"Fake SSL Certificate"; content:"|08 e4 98 72 49 bc 45 07 48 a4 a7 81 33 cb f0 41 a3 51 00 33|"; metadata: service sslHello;)

<ssl service> 에 들어갈 수 있는 값은 다음과 같습니다.

sslHello, sslCertificate, sslKeyx 서비스를 쓸 때는 flow: to_server 또는 flow: from_server 로 흐름 방향 을 반드시 정의해야 합니다.

CLI 대신 SmartConsole에서도 외부 피드를 가져올 수 있습니다. 앞서 본 것처럼 Custom Intelligence Feeds는 제3자 서버의 피드를 Security Gateway로 직접 가져와 Anti-Virus·Anti-Bot·IPS 블레이드가 단속하게 합니다.

외부 IoC 피드 가져오기 절차

4단계에서 고를 수 있는 Action 은 형식에 따라 다릅니다.

제약 사항(Limitations)

이렇게 Threat Indicators는 Check Point 기본 피드 위에 조직만의 위협 정보를 얹어 탐지 범위를 넓히는 도구입니다. 위협이 어떻게 시각화되고 어떤 참조 자료와 연결되는지는 Cyber Attack View·MITRE·참조에서 이어 살펴봅니다.