Cuckoo Sandbox (쿡쿠 샌드박스 구축과 확장+운영 팁)

최우석

저자최우석
㈜한국정보보호교육센터에서정보보안교육을이수하고,㈜트라이큐브랩에입사해정보보안업계에처음발을내디뎠다.㈜트라이큐브랩에서는악성코드유포를분석하고,악성코드분석과관련있는다양한오픈소스를테스트해분석서버의기능을강화하고정보수집및분석하는연구조직에서일했다.현재처음공부했던㈜한국정보보호교육센터로다시돌아와연구소에서다양한정보보안관련연구를주업무로하고있다.
㈜트라이큐브랩에서공격자의악성코드유포를분석하거나다양한악성코드분석과관련있는오픈소스를다루는과정에서많은공부를했고,이를공유하고자www.hakawati.co.kr도메인의블로그를운영하기시작했다.이직할때쯤보안프로젝트와의인연으로『칼리리눅스와백트랙을활용한모의해킹』(에이콘,2014),『파이썬오픈소스도구를활용한악성코드분석』(에이콘,2015)을공동으로집필하게됐고,글쓰기의희노애락을알게돼『DBD공격과자바스크립트난독화로배우는해킹의기술』(한빛미디어,2016)을단독집필했다.
최근에는여러분야의정보보안이매우밀접한관계가있다는것을알게돼분야를넓히기위해고민하고있다.그일환으로성균관대학원법대과학수사학과3기로진학,노명선교수님의지도하에법과디지털포렌식을공부하고있다.

★차례★

1편.쿡쿠샌드박스개요및인프라구성

1장.쿡쿠샌드박스개요

__제1절악성코드와악성코드분석
__제2절인텔리전스와악성코드
____바이러스토탈
____urlscan.io
____Malwr.com
____ThreatMiner.org
____말테고
__제3절오픈소스와라이선스
__제4절샌드박스와하이퍼바이저


2장.VM웨어워크스테이션설치및가상머신생성

__제1절가상화기술확인및설정
__제2절VM웨어워크스테이션다운로드및설치
__제3절VM웨어워크스테이션설정
____사설네트워크IP대역설정
____가상머신저장위치설정
__제4절가상머신생성


3장.운영체제설치

__제1절우분투16.04LTSAMD64Desktop설치및설정
__제2절우분투데스크톱네트워크설정
__제3절우분투업데이트비활성화
__제4절우분투데스크톱VMwaretools설치


2편.쿡쿠샌드박스기본구축및운영

4장.쿡쿠샌드박스코어설치

__제1절기본구성패키지및C라이브러리설치
__제2절쿡쿠샌드박스코어설치
__제3절샌드박스구성
____가상머신다운로드및가져오기
____샌드박스구성
__제4절데이터베이스구성
____스케줄링데이터베이스구성
____웹서비스데이터베이스구성
____제5절기본운영을위한쿡쿠샌드박스설정
____cuckoo.conf설정
____virtualbox.conf설정
____reporting.conf설정
제6절쿡쿠샌드박스엔진및웹서비스실행


5장.쿡쿠샌드박스기본운영

__제1절웹서비스운영의이해
__제2절악성코드수집방법
__제3절악성코드분석요청방식
____좌측제어창
____가운데제어창
____우측제어창
__제4절악성코드분석요청에따른상태변화


6장.악성코드분석결과

__제1절요약정보
____파일영역
____점수영역
____동작정보영역
____제2절정적분석정보
____정적분석
____문자열
____안티바이러스
____IRMA
__제3절흔적추출정보
__제4절행위분석정보
__제5절네트워크분석정보
____호스트
____DNS
____TCP
____UDP
____HTTP(S
____ICMP
____IRC
____수리카타와스노트
__제6절드롭파일정보
__제7절드롭버퍼정보
__제8절프로세스메모리정보
__제9절비교분석정보
__제10절분석결과다운로드
__제11절기타기능
____재분석
____옵션
____피드백
____사이드바잠금


7장.쿡쿠샌드박스응용운영

__제1절쿡쿠코어의기능
__제2절Nginx,uWSGI서버구축
__제3절쿡쿠웹서비스운영을위한web
____Nginx와uWSGI를이용한WEB서버운영
__제4절편리한원격제어를위한api
____Nginx와uWSGI를이용한API서버운영
____분석요청관련쿡쿠API
____분석결과관련쿡쿠API
____운영관련쿡쿠API
__제5절분석데이터초기화를위한clean
__제6절쿡쿠확장을위한community
__제7절설정초기화를위한init
__제8절샌드박스설정제어를위한machine
____가상머신복제
____두번째샌드박스설정
____새로운샌드박스등록및운영
__제9절보고서처리를위한process
____악성코드분석과보고서생성프로세스분리
__제10절터미널에서악성코드분석요청을위한submit
__제11절분산처리시스템을위한distributed
__제12절네트워크라우팅을위한rooter


3편.쿡쿠샌드박스확장운영

8장.supervisor를이용한쿡쿠샌드박스서비스관리구성


9장.일래스틱서치데이터베이스를활용한검색기능확장

__제1절일래스틱서치설치
__제2절일래스틱서치와쿡쿠샌드박스연동


10장.볼라틸리티를이용한메모리분석

__제1절볼라틸리티설치
__제2절볼라틸리티와쿡쿠샌드박스연동
__제3절쿡쿠샌드박스의메모리분석
__제4절베이스라인분석


11장.스노트를이용한네트워크패턴탐지

__제1절스노트설치
__제2절스노트와쿡쿠샌드박스연동


12장.수리카타를이용한네트워크패턴탐지

__제1절수리카타설치
__제2절수리카타와쿡쿠샌드박스연동


13장.몰록을이용한네트워크포렌식

__제1절몰록설치
__제2절몰록과쿡쿠샌드박스연동


14장.위협정보공유플랫폼MISP와연동

__제1절MISP구축
__제2절MISP와쿡쿠샌드박스연동


15장.야라를이용한정적패턴제작

__제1절야라패턴제작


16장.파이썬프로그래밍을이용한쿡쿠샌드박스의동적패턴제작


17장.네트워크라우팅구축

__제1절기본라우팅
__제2절inetsim설치및쿡쿠샌드박스연동
____inetsim설치및설정
____inetsim과쿡쿠샌드박스연동
__제3절토르설치및쿡쿠샌드박스연동
____토르설치
____토르와쿡쿠샌드박스연동
__제4절VPN설치및쿡쿠샌드박스연동


4편.악성코드분석유형확장및쿡쿠샌드박스운영팁

18장.응용프로그램추가를통한확장

__제1절파이어폭스를이용한URL분석
__제2절JAR파일분석
__제3절PDF파일분석
__제4절기타문서형악성코드구축팁
제5절플래시플레이어설치


19장.쿡쿠샌드박스운영팁

__제1절우분투운영체제의데몬관리
__제2절쿡쿠데몬관리
__제3절NginX와uWSGI운영에서대용량파일처리문제
__제4절분석결과대용량데이터처리
__제5절일래스틱서치필드한계치설정
__제6절쿡쿠샌드박스업그레이드

★이책의구성★
제1편,‘쿡쿠샌드박스개요및인프라구성’에서는쿡쿠샌드박스와주변상태계에대해이야기한다.쿡쿠샌드박스를구축하기위해하이퍼바이저와운영체제를설치한다.
제2편,‘쿡쿠샌드박스기본구축및운영’에서는기본으로구축한윈도우운영체제에서악성코드를분석할수있는기초적인수준의쿡쿠샌드박스를이야기한다.악성코드를수집하는방법과수집한쿡쿠샌드박스에악성코드분석을요청하고,분석이끝난후볼수있는분석결과정보를함께살펴본다.
제3편,‘쿡쿠샌드박스확장운영’에서다양한도구를구축하고쿡쿠샌드박스와연동한다.
제4편,‘악성코드분석유형확장’에서는윈도우에서기본으로실행되는악성코드뿐만아니라다른유형의악성코드를분석하기위해응용프로그램을샌드박스에설치하고해당응용프로그램으로실행되는악성코드를분석하도록확장하는방법을다룬다.

★이책의대상독자★
■정보보안을공부하고싶은독자
■정보보안관제업무를수행하는독자
■정보보안침해사고대응을수행하는독자
■정보보안인텔리전스분야를연구하는독자
■악성코드분석업무를수행하는독자
■기업보안을담당하는독자