16Cyber Attack View·MITRE·참조Cyber Attack View·MITRE·참조

Cyber Attack View - Gateway 는 공격 벡터(attack vector)별로 네트워크를 노린 사이버 공격을 시각화 해, 주의가 필요한 이벤트를 콕 짚어 주는 분석 뷰입니다. 화면 곳곳의 위젯(widget)을 더블클릭하면 다음 드릴다운(drill-down) 단계로 파고들어, 요약 통계에서 출발해 결국 개별 로그까지 추적할 수 있습니다.

뷰를 여는 두 가지 길

이 뷰는 SmartConsole 에서도, 웹 기반 SmartView 에서도 열 수 있습니다.

SmartConsole에서 열기

SmartView에서 열기

   https://<IP Address of Management Server>/smartview
   

어떤 이벤트가 화면에 올라오는가

이 뷰에서 서로 연관 지어진(correlated) 이벤트는 모두 Severity(심각도)와 Confidence Level(신뢰도)이 Medium 이상으로 태그 되어 있습니다. 이 태그는 Check Point가 부여하며 사용자가 바꿀 수 없 습니다. 뷰의 배경에서 도는 쿼리는 이 태그가 붙은 이벤트만 골라 보여 줍니다. 그 밖의 이벤트는 모두 Additional Events 섹션에 따로 모입니다.

기본 쿼리(Default Query)

뷰 전체는 다음 기본 쿼리로 데이터를 거른 뒤, 그 결과를 여러 위젯에 나눠 그립니다. 아래에서 설명하는 각 위젯은 이 기본 쿼리 위에 자신만의 필터를 덧붙여 동작합니다.

Pre-defined Filter > Log Type Filter
Product Family > Equals > Threat
Severity > Equals > Medium, High, Critical
Confidence Level > Equals > Medium, Medium-High, High

기본 위젯

뷰를 처음 열면 다음 위젯이 기본으로 배치되어 있습니다.

뷰와 위젯 편집하기

뷰와 위젯을 직접 손보려면 오른쪽 위 모서리에서 Options > Edit 를 클릭합니다. 그러면 상단 툴바에 다음 버튼이 활성화됩니다.

편집 모드에서는 각 위젯의 오른쪽 위 모서리에도 위젯 종류에 따라 다음 버튼이 나타납니다.

Settings 로 구성할 수 있는 항목은 위젯 종류마다 다릅니다.

위젯 크기를 바꾸려면 위젯 오른쪽 아래 모서리를 누른 채 끌어 원하는 크기로 맞춘 뒤 마우스를 놓습니다. 기본값으로 되돌리려면 오른쪽 위 모서리에서 Options > Restore Defaults 를 클릭합니다.

위젯 다루기 — 종류별 조작법

위젯 종류에 따라 드릴다운·필터링·정렬 방법이 조금씩 다릅니다.

Infected Hosts — 감염된 호스트

이 위젯은 보고 기간 동안 멀웨어에 감염된 네트워크 호스트 수 를 보여 줍니다. Security Gateway는 어떤 호스트에서 바깥으로 나가는 악성 통신이나 전파(측면 이동, lateral movement) 를 감지하면 그 호스트를 감염된 것으로 간주합니다. 이런 멀웨어 통신은 Anti-Bot 과 IPS 이벤트에 드러나며, 여기 표시되는 이벤트는 Severity·Confidence Level이 Medium 이상입니다. 제목이나 아이콘을 더블클릭하면 내부 네트워크의 감염 호스트에 대한 요약 드릴다운 뷰로 들어갑니다.

드릴다운 뷰의 위젯

이 위젯들은 기본 쿼리에 더해 다음 쿼리를 함께 실행합니다.

(blade:Anti-Bot AND severity:(Medium OR High OR Critical) AND
confidence_level:(Medium OR Medium-High OR High) NOT "Mail
analysis") OR (blade:IPS AND "Malware Traffic")

Timeline of Infected Hosts — 감염 추세

이 위젯은 보고 기간 동안 감염 호스트의 날짜별 로그 수 를 보여 줘, 네트워크의 감염 추세를 파악하게 합니다. 색이 다르면 다른 호스트를 가리킵니다. 막대를 더블클릭하면 해당 로그(다음 드릴다운 단계)로 들어갑니다.

기본 쿼리에 더해 다음 쿼리를 실행합니다.

Customer Filter = NOT "Mail analysis"
Blade > Equals > Anti-Bot

Attacks Allowed By Policy — 정책이 허용한 공격

이 위젯은 현재 Security Policy가 (차단하도록 구성되지 않아) 허용한 공격을 공격 벡터별로 보여 줍니다. 어떤 벡터와 어떤 종류의 공격이 들어오는지 이해해 방어를 개선하는 것이 목적입니다. 제목·아이콘을 더블클릭하면 아래의 세부 드릴다운 뷰로 들어갑니다.

이 섹션의 쿼리는 기본 쿼리에 더해 허용 계열 액션 만 고릅니다.

Action > Equals > Bypass,Detect

이 Attacks Allowed By Policy 섹션은 다음 다섯 가지 드릴다운으로 나뉩니다 — Users that Received Malicious Emails, Hosts that Downloaded Malicious Files, Directly Targeted Hosts, Host Scanned by Attackers, Hosts that Accessed Malicious Sites.

Users that Received Malicious Emails (Allowed)

이메일은 악성 페이로드를 나르는 가장 흔한 벡터입니다. 이 드릴다운은 이메일 공격 시도를 요약합니다. IPS·Anti-Virus·Threat Emulation·Threat Extraction 블레이드가 나란히 작동해 이메일의 악성 여부를 판정 하고 다층 방어를 제공합니다.

기본 쿼리에 더해 다음을 실행합니다.

Calculated Service > Equals > SMTP

Hosts that Downloaded Malicious Files (Allowed)

이 드릴다운은 악성 파일을 이용한 공격 을 요약하며, Check Point Threat Prevention의 다층 방어가 잡은 모든 악성 파일을 보여 줍니다.

기본 쿼리에 더해 다음을 실행합니다.

Custom Filter = ((blade:"threat emulation") OR (blade:"anti-virus"
AND "signature") OR (blade:ips AND (("Adobe Reader Violation" OR
"Content Protection Violation" OR "Instant Messenger" OR "Adobe
Flash Protection Violation"))))

Directly Targeted Hosts (Allowed)

이 드릴다운은 네트워크·호스트 익스플로잇(exploit) 시도 를 요약합니다. 호스트 익스플로잇 시도는 Threat Prevention 이벤트의 대부분을 차지합니다.

기본 쿼리에 더해 다음을 실행합니다.

Custom Filter = blade:IPS NOT ("SMTP" OR "Adobe Reader Violation"
OR "Content Protection Violation" OR "Mail Content Protection
Violation" OR "SMTP Protection Violation" OR "Phishing Enforcement
Protection" OR "Adobe Flash Protection Violation" OR "Adobe Reader
Violation" OR "Content Protection Violation" OR "Instant
Messenger" OR "Adobe Flash Protection Violation" OR "Scanner
Enforcement Violation" OR "Port Scan" OR "Novell NMAP Protocol
Violation" OR "Adobe Flash Protection Violation" OR "Adobe
Shockwave Protection Violation" OR "Web Client Enforcement
Violation" OR "Exploit Kit")

Host Scanned by Attackers (Allowed)

이 드릴다운은 내부 네트워크에서 스캔당한 호스트 를 보여 줍니다. 네트워크 스캐너는 흔하므로 이 단계의 이벤트가 많이 보이는 것은 정상입니다.

기본 쿼리에 더해 다음을 실행합니다.

Custom Filter = "Scanner Enforcement Violation" OR "Port Scan" OR
"Novell NMAP Protocol Violation"

Hosts that Accessed Malicious Sites (Allowed)

이 드릴다운은 내부 네트워크에서 악성 사이트로 접근한 시도 를 요약합니다.

기본 쿼리에 더해 다음을 실행합니다.

Custom Filter = ((blade:IPS AND ("Adobe Flash Protection
Violation" OR "Adobe Shockwave Protection Violation" OR "Web
Client Enforcement Violation" OR "Exploit Kit")) OR (blade:Anti-
Virus AND ("URL Reputation" OR "DNS Reputation")))
Calculated Service > Not equals > smtp

Attacks Prevented By Policy — 정책이 차단한 공격

이 위젯은 Security Policy가 실제로 차단한 공격을 공격 벡터별로 보여 줍니다.

이 섹션의 쿼리는 기본 쿼리에 더해 차단 계열 액션 만 고릅니다.

Action > Equals > Drop,Reject,Block,Prevent,Redirect

차단 섹션의 드릴다운은 허용 섹션과 같은 다섯 갈래로 나뉘고, 위젯 구성도 동일합니다. 다만 보여 주는 것이 허용된 공격이 아니라 차단된 공격 이라는 점, 그리고 일부 쿼리·Best Practice가 다릅니다.

Users that Received Malicious Emails (Prevented)

위젯 구성(Malicious Emails, Top 10 Email Protection Types, Top Targeted Recipients, Top Malicious Senders, Detected Malicious Emails, Timeline of Email Campaigns)은 허용 섹션과 같습니다.

기본 쿼리에 더해 다음을 실행합니다.

Calculated Service > Equals > SMTP
Custom Filter = ((blade:ips AND ("Adobe Reader Violation" OR
"Content Protection Violation" OR "Mail Content Protection
Violation" OR "SMTP Protection Violation" OR "Phishing Enforcement
Protection" OR "Adobe Flash Protection Violation")) OR
(blade:"Threat Emulation") OR (blade:Anti-Virus ) OR
(blade:"Threat Extraction" AND content_risk ("Medium" OR "High" OR
"Critical"))) AND service:("pop3" OR "smtp" OR "imap")

Hosts that Downloaded Malicious Files (Prevented)

위젯 구성(Malicious Downloaded Files, Malware Families, Top Users that Downloaded Malicious Files, Top Downloaded Malicious Files, Detected Malicious Files, Timeline of Downloaded Malicious Files)은 허용 섹션과 같습니다.

기본 쿼리에 더해 다음을 실행합니다.

Custom Filter = ((blade:"threat emulation") OR (blade:"anti-virus"
AND "signature") OR (blade:ips AND (("Adobe Reader Violation" OR
"Content Protection Violation" OR "Instant Messenger" OR "Adobe
Flash Protection Violation"))))

Directly Targeted Hosts (Prevented)

위젯 구성(Top Hosts, Top 5 Attackers, Top 5 Attacked Hosts, Top Detected Exploit Attempts, Top Detected Attacked Hosts on the Network, Timeline of Exploit Attacks)과 쿼리는 허용 섹션의 Directly Targeted Hosts와 같습니다.

Host Scanned by Attackers (Prevented)

위젯 구성(Top Statistics, Top Scanning Attempts Per Scanner, Top Protections, Top Scanned Hosts, Top Scanners, Timeline of Top 10 Scanners)과 쿼리는 허용 섹션과 같습니다.

Custom Filter = "Scanner Enforcement Violation" OR "Port Scan" OR
"Novell NMAP Protocol Violation"

Hosts that Accessed Malicious Sites (Prevented)

위젯 구성(Hosts that Accessed Malicious Sites, Top 10 Protection Types, Top 15 Hosts, Top Malicious Sites, Timeline Showing Access to Malicious Sites)과 쿼리는 허용 섹션과 같습니다.

Custom Filter = ((blade:IPS AND ("Adobe Flash Protection
Violation" OR "Adobe Shockwave Protection Violation" OR "Web
Client Enforcement Violation" OR "Exploit Kit")) OR (blade:Anti-
Virus AND ("URL Reputation" OR "DNS Reputation")))
Calculated Service > Not equals > smtp

SandBlast Threat Emulation — 차단된 악성 파일

이 위젯은 보고 기간 동안 차단된 악성 파일 수 를 보여 줍니다. 제목·아이콘을 더블클릭하면 드릴다운 뷰로 들어갑니다.

기본 쿼리에 더해 다음을 실행합니다.

Custom Filter = "*CPU-Level Detection Event*" OR Exploited
Blade > Equals > Threat Emulation
Product Family > Equals > Threat

MITRE ATT&CK 은 전 세계 보안 커뮤니티가 위협 모델과 방법론을 발전시키는 데 쓰는 지식 베이스 입니다. 이를 통해 Check Point 고객은 공격자가 자기 네트워크에 쓴 상위 기법(technique)과 전술(tactic) 을 드러내는 방식으로 보안 사고를 검토할 수 있습니다.

동작 원리는 이렇습니다 — 악성 파일이 발견될 때마다 Threat Emulation(SandBlast 기술)이 그 공격에 쓰인 기법·전술을 해당 로그에 덧붙 입니다.

Cyber Attack Timeline 위젯

이 위젯은 보고 기간 동안 Anti-Bot·Anti-Virus·IPS·Threat Emulation 등 여러 Software Blade의 로그 수 를 보여 줘, 대규모 공격이 발생했는지 가늠하게 합니다. 막대를 더블클릭하면 다음 드릴다운 단계로 들어갑니다. 이 위젯은 앞의 기본 쿼리(Default Query)를 그대로 실행 합니다.

Threat Emulation 로그에 MITRE ATT&CK 데이터 넣기

   tecli advanced engine version
   

Threat Emulation 엔진 버전이 58.990001056보다 높아야 합니다. 5. 사용 중인 Threat Prevention 프로파일(예: Optimized)을 열어 Threat Emulation 블레이드가 활성화되어 있는지 확인합니다.

MITRE 데이터가 담긴 로그 보기

   Blade:"threat Emulation" AND type:"log" AND NOT severity:
   "informational"
   

이 로그는 해당 공격에 쓰인 MITRE ATT&CK 기법(Techniques)과 전술(Tactics) 을 보여 줍니다. 한 로그에 execution·persistence처럼 여러 동작이 함께 나타날 수 있습니다. 각 기법의 자세한 설명과 완화(mitigation) 방안은 MITRE ATT&CK 웹사이트에서 확인하세요.

SmartView의 MITRE ATT&CK 뷰

악성 파일에 초점을 맞춘 Logs & Events 의 MITRE ATT&CK 뷰는 공격자가 네트워크에 쓴 기법을 한눈에 보여 줍니다.

Log Fields 는 Threat Prevention 로그에 담기는 각 필드의 의미 를 정리한 참조입니다. 로그를 해석하거나 위 Cyber Attack View의 쿼리를 짤 때 바탕이 됩니다. 각 필드에는 SmartConsole에 보이는 표시 이름(Display Name), 내부적으로 쓰는 Check Point 필드 이름(쿼리에 사용), 설명, 출력 예시가 있습니다.

Threat Prevention의 명령줄과 커널 수준 작업은 별도의 전용 문서에서 다룹니다. 원문도 여기서는 해당 문서로 안내만 합니다.

커널·디버그 작업에 알아 둘 용어

커널 파라미터와 커널 디버그를 다루기 전에, Threat Prevention이 도는 게이트웨이 데이터 평면(data plane)의 구조 를 이루는 핵심 용어를 짚어 둡니다. 이 개념들은 위에서 안내한 R82 Quantum Security Gateway Guide의 커널 장에서 본격적으로 쓰입니다.

정리하면, 이 장의 요지는 Cyber Attack View로 허용·차단된 공격을 벡터별로 분석하고, MITRE ATT&CK으로 공격자의 기법·전술을 표준 언어로 읽어 내며, 로그 필드 참조로 개별 로그를 정확히 해석하고, CLI·커널 참조로 더 깊이 파고든다 는 것입니다.