Python Forensics-침해 지표
IOC (Indicators of Compromise)는 "시스템 또는 네트워크에서 잠재적으로 악의적 인 활동을 식별하는 시스템 로그 항목 또는 파일에서 발견 된 데이터를 포함하는 포렌식 데이터 조각"으로 정의됩니다.
IOC를 모니터링함으로써 조직은 공격을 감지하고 신속하게 조치를 취하여 이러한 침해 발생을 방지하거나 초기 단계에서 공격을 중지하여 피해를 제한 할 수 있습니다.
다음과 같은 포렌식 아티팩트를 쿼리 할 수있는 몇 가지 사용 사례가 있습니다.
- MD5로 특정 파일 찾기
- 실제로 메모리에 저장된 특정 엔티티 검색
- Windows 레지스트리에 저장된 특정 항목 또는 항목 집합
위의 모든 조합은 아티팩트 검색에서 더 나은 결과를 제공합니다. 위에서 언급했듯이 Windows 레지스트리는 IOC 생성 및 유지 관리에 완벽한 플랫폼을 제공하며 이는 계산 포렌식에 직접적으로 도움이됩니다.
방법론
파일 시스템의 위치를 찾고 특히 지금은 Windows 레지스트리를 찾습니다.
포렌식 도구로 디자인 된 아티팩트 세트를 검색하십시오.
불리한 활동의 징후를 찾으십시오.
조사 라이프 사이클
조사 라이프 사이클은 IOC를 따르며 레지스트리에서 특정 항목을 검색합니다.
Stage 1: Initial Evidence− 호스트 또는 네트워크에서 손상 증거가 탐지됩니다. 응답자는 구체적인 법의학 지표 인 정확한 솔루션을 조사하고 식별합니다.
Stage 2: Create IOCs for Host & Network− 수집 된 데이터에 따라 IOC가 생성되며 Windows 레지스트리로 쉽게 가능합니다. OpenIOC의 유연성은 지표를 만드는 방법에 대한 무제한의 순열을 제공합니다.
Stage 3: Deploy IOCs in the Enterprise − 지정된 IOC가 생성되면 조사관은 Windows 레지스터의 API를 사용하여 이러한 기술을 배포합니다.
Stage 4: Identification of Suspects− IOC의 배치는 정상적인 방식으로 용의자를 식별하는 데 도움이됩니다. 추가 시스템도 식별됩니다.
Stage 5: Collect and Analyze Evidence − 용의자에 대한 증거를 수집하고 그에 따라 분석합니다.
Stage 6: Refine & Create New IOCs − 조사 팀은 기업에서 발견 된 증거 및 데이터와 추가 인텔리전스를 기반으로 새로운 IOC를 생성하고주기를 지속적으로 개선 할 수 있습니다.
다음 그림은 조사 라이프 사이클의 단계를 보여줍니다-
