Detection Engineering

중국어 APT 리포트를 탐지로 옮기기 (2) — 돈벌이 조직이 표적을 고르기 시작했다, MODBEACON

저품질 사기 조직으로 치부되던 실버폭스(Silver Fox)가 특정 표적에만 Rust로 짠 모듈형 백도어를 심었습니다. C2는 Amazon CDN과 Cloudflare 위에 올라가 있고, 통신은 gRPC입니다. 차단 목록이 통하지 않는 구조를 어떻게 잡을지 정리했습니다.들어가며이 시리즈는 중국 보안 업체가 중국어로 내는 1차 APT 분석을 읽고, 바로 쓸 수 있는 탐지 로직으로 옮기는 걸 목표로 합니다. 1편에서는 BITTER의 LOLBin 체인을 다뤘고, 이번엔 치안신 레드드립(RedDrip) 팀이 2026년 7월에 공개한 Operation Phnom Penh 리포트를 봅니다.고르게 된 이유가 두 가지입니다. 하나는 조직 성격의 변화가 흥미롭고, 다른 하나는 C2 인프라가 정상 CDN 위에 얹혀 있다는..

Detection Engineering

SOC 1차 분석 자동화 — Splunk × Dify × LLM

RBA가 알림 개수를 줄였다면, 다음 문제는 남은 알림 하나하나의 triage 시간입니다. 인코딩된 PowerShell을 자동으로 디코딩하고 IOC를 뽑아 LLM 분석 보고서를 메일로 받는 파이프라인을 처음부터 끝까지 만들어봤습니다.왜 이걸 만들었나지난 글들에서 RBA(Risk-Based Alerting)를 다뤘습니다. 개별 알림을 쏘는 대신 엔티티에 리스크 점수를 누적시키고, 임계치를 넘을 때만 분석가에게 전달하는 구조였죠. 알림 개수는 확실히 줄어듭니다.그런데 그다음 문제가 남습니다. 남은 알림 하나를 처리하는 데 걸리는 시간입니다.인코딩된 PowerShell 알림을 예로 들면, 분석가는 대략 이런 일을 반복합니다. 커맨드라인에서 -enc 뒤의 Base64를 찾아 복사하고, CyberChef나 스크립..

Detection Engineering

Splunk ES는 RBA를 어떻게 구현해뒀나 — UI 뒤의 로직 열어보기

전편에서 다룬 RBA 개념이 상용 SIEM에서는 어떤 모습인지 확인해봤습니다. 결론부터 말하면, ES가 제공하는 건 좋은 개념을 UI로 편하게 만들어둔 것이고, 개념을 이해하면 UI 없이도 같은 구조를 만들 수 있습니다.들어가며지난 글에서 TP-benign(정탐이지만 양성)이라는 세 번째 분류와 RBA(Risk-Based Alerting) 개념을 소개했습니다. 핵심은 2층 구조였죠. Usecase 룰은 알림을 쏘지 않고 리스크 점수만 쌓고, 별도의 집계 룰이 누적 점수를 보고 알림 여부를 판단한다. 그리고 Splunk ES가 없어도 collect와 스케줄 검색으로 같은 개념을 구현할 수 있다고 했습니다.이번에는 그 반대편을 봅니다. 로컬 테스트 서버에 설치한 Splunk ES로 RBA를 처음부터 끝까지 ..

Detection Engineering

노출된 Docker API 한 개로 호스트가 넘어간다: 특권 컨테이너 탈출 공격

인터넷 스캔으로 2375 포트를 찾아 컨테이너를 띄우고, 명령 한 줄로 호스트 root를 가져가는 공격. 지금 자동화되어 돌아가는 실제 패턴과 탐지 방법을 정리합니다.이런 상황을 만난다면리눅스 서버에서 침해 분석을 하다 보면 가끔 설명이 안 되는 장면을 봅니다.root로 붙은 pts 세션이 살아 있는데, SSH 로그인 기록이 없습니다. auth 로그를 뒤져도 해당 시각에 성공한 인증이 없어요. 그런데 세션은 존재하고, 거기서 내부망 스캔이 돌고 계정 전환이 일어납니다. 서버가 execve나 프로세스 생성 로그를 안 남기는 설정이라면 최초 침투 경로가 구조적으로 안 보이는 상황이 됩니다.이럴 때 의심해야 할 것 중 하나가 컨테이너 이스케이프입니다. SSH 기록이 없는 이유가 단순하거든요. SSH를 안 거쳤..

Detection Engineering

오탐도 정탐도 아닌 것: Benign Activity와 RBA 이야기

오늘은 benign activity와 RBA 개념에 대해서 이야기하려고 합니다.오탐/정탐 이분법의 문제보통 SOC팀이나 블루팀이 로그를 판단하는 기준은 오탐, 정탐 딱 두 개입니다. 그러다 보니 종종 애매한 경우가 생깁니다.간단한 예를 들어보죠. 로그인 실패를 5번 이상 잡는 룰이 있다고 합시다. 실제 해커의 공격을 잡으면 정탐, 정상 사용자의 실수를 잡으면 오탐으로 판정하는 게 일반적입니다. 하지만 이건 어디까지나 탐지 결과 기반의 판정이고, 룰셋 자체를 놓고 보면 이야기가 달라집니다.Usecase를 작성하고 운영에 들어가면, 분기나 반기마다 각 룰의 정오탐률을 계산해서 최적화 작업을 하게 됩니다. 그런데 방금 케이스는 어떨까요? 정상 사용자의 실수를 오탐으로 집계했으니 수치상으로는 "개선이 필요한 룰..

Detection Engineering

중국어 APT 리포트를 탐지로 옮기기 (1) — BITTER / 蔓灵花의 LOLBin 체인

치안신(Qianxin) 레드드립(RedDrip) 리포트로 본 BITTER. 피해자 PC의 정품 도구로 백도어를 직접 컴파일하는 수법과, 이걸 Sigma·Splunk로 잡는 법.들어가며치안신이나 360, 텐센트 같은 중국 보안 벤더들은 매주 1차 APT 분석을 꽤 많이 냅니다. 문제는 이게 언어 장벽에 막혀서 한국이나 영어권 탐지 실무자한테는 거의 안 넘어온다는 거죠. 그래서 이 시리즈에서는 그런 중국어 리포트를 읽고, 매번 바로 쓸 수 있는 탐지 로직(Sigma에서 SIEM까지)으로 옮겨보려고 합니다.첫 회로 고른 건 작년 10월 치안신 레드드립 팀이 낸 BITTER 리포트예요. 공격 흐름이 LOLBin(정상 도구를 악용하는 기법) 탐지를 설명하기에 딱 좋은 사례라서요.BITTER는 누구인가서구에선 BI..

Penetration Test

Crafty (Hack The Box Season 4 CTF)

First, I initiate our exploration with an Nmap scan. Port 25565 shows me there is a minecraft server. Then, i include “crafty.htb” in my host file along with the machine’s IP address using the following command: echo "10.10.11.249 crafty.htb" >> /etc/hosts By visiting “crafty.htb”, i could find a minecraft introduction page. For connecting to the server. I need to download the minecraft client i..

Penetration Test

Skyfall (Hack The Box Season 4 CTF)

First, I initiate our exploration with an Nmap scan. Then, i include “skyfall.htb” in my host file along with the machine’s IP address using the following command: echo "10.10.11.254 skyfall.htb" >> /etc/hosts By visiting “skyfall.htb”, i could not find anything useful information. So i runned gobuster to find which subdomain “skyfall.htb” has. The “demo.skyfall.htb” was useful. I added it in ho..

Penetration Test

Pov (Hack The Box Season 4 CTF)

First, I initiate our exploration with an Nmap scan. Then, i include “pov.htb” in my host file along with the machine’s IP address using the following command: echo "10.10.11.251 pov.htb" >> /etc/hosts By visiting “pov.htb”, i could not find anything useful information. So i runned gobuster to find which subdomain “pov.htb” has. The “dev.pov.htb” was useful. I added it in hosts file too. There i..

Penetration Test

Analysis (Hack The Box Season 4 CTF)

First, I initiate our exploration with an Nmap scan. Then, i include “analysis.htb” in my host file along with the machine’s IP address using the following command: echo "10.10.11.250 analysis.htb" >> /etc/hosts By visiting “analysis.htb”, i could not find anything useful information. So i runned gobuster to find which subdomain “analysis.htb” has. The “internal.analysis.htb” was useful. I added..