F-INSIGHT CONFERENCE 2016

1. 실 사례를 통해 본 네트워크 분석/포렌식의 범위와 효용
joonkim@narusec.com

2. • 경찰청 사이버범죄 전문가그룹 위원
• 국군사이버사령부 자문위원
• 정보통신망 침해사고 민관합동조사단 전문가
• 국방부 침해사고분석 지원 및 자문위원
• (주)나루씨큐리티 대표이사
• 한국인터넷 진흥원 침해사고대응센터 연구원
• 알버타 주립대학교 PINT 연구소 연구원
• 2008 FIRST Security Best Practice 수상
• 고려대학교 사이버국방학과 해킹방어 이론과 실습 강의
• 네트워크 보안 모니터링 외 2권 번역
발표자 소개

3. 발표내용(Case Study)

4. BGP ANALYSIS

5. 2014.12.23 AS131279 현황분석

6. PHARMING NETWORK

7. PHARMING NETWORK ANALYSIS

8. A Week in a ISP DNS

9. Weekly QPS(Bird View)

10. Attack Under The Radar
0.0
200.0
400.0
600.0
800.0
0
100,000
200,000
300,000
400,000
001lv.com immunet.com lm990.com ptbet.cn ysc888.com
query counts avg qps
116.743119.74
1.1351.3391.031
78.242
118.752115.172111.863
1.0427.117
703.301
217.133217.133
703.301
7.1171.042
111.863115.172118.752
78.242
1.0311.3391.135
119.74116.743
Slow Drip Detection Matrix
attacked domain unique IP total query unique sub domain dup ratio
001lv.com 4679 183912 157362 14.4%
game8118.com 5596 389629 309083 20.7%
ibm.com 1 259570 90971 65.0%
immunet.com 118 6756 4917 27.2%
kouangel.com 1 67677 59786 11.7%
lgopp.com 1 44226 44209 0.0%
lm990.com 1 121958 121942 0.0%
p57.co 3 97802 97341 0.5%
pizzahut.co.kr 8 40426 8060 80.1%
ptbet.cn 3 8066 7551 6.4%
skbroadband.com 1637 10104 4946 51.0%
yidu55.com 1 94475 94475 0.0%
ysc888.com 1 83471 17407 20.9%

11. Attack Patterns

12. HOW SLOW DRIP WORKS
ISP A
ISP B
PC/HOME ROUTER Target DNSISP Cache DNS Clean IP

13. Unprotected Infrastructure

14. Well Protected Attacker
Global Anycast DNS Service DDoS Sheltering History
DDoS As a Service Frequent DDoS Targets

15. 내부망 보안분석

16. INTERNAL NETWORK ANALYSIS

17. Overall Binary Downloading Trends

18. Geographical Distribution of Beacon Callback

19. Beacon Callback Trends

20. Long Connection Trends in TMON

21. Persistent Connection Status

22. PUP/PUA Program

23. Overall Lateral Movements

24. Internal Traffics

25. Significant Lateral Movements

26. 내부망 장기지속통신현황 변화추적

27. 신뢰도 기반 지속통신 분류 및 변화추적

28. 사이버 킬체인 기반 사고추적

29. 내부망 수평이동 변화추적

30. 지속적 정보유출 징후탐지

31. 외부인텔리전스 반영(C-TAS)

32. SNS Analysis

33. 메시지전송네트워크 조감도 - A

34. 메시지전송네트워크 조감도 - B

35. 적은자원에서 다수의 메시지 전송

36. 다수의 자원에서 소수의 메시지 전송

37. 다수의 자원에서 소수의 메시지 전송