소개
사이버 보안 분야에서 네트워크 트래픽 패턴을 이해하는 것은 잠재적인 보안 위협 및 취약점을 식별하는 데 필수적입니다. 이 튜토리얼에서는 널리 사용되는 네트워크 프로토콜 분석기인 Wireshark 를 사용하여 HTTP 트래픽을 분석하는 방법을 안내합니다. 이 문서를 마치면 사이버 보안 목적으로 Wireshark 를 효과적으로 활용할 수 있는 지식과 기술을 갖추게 될 것입니다.
Wireshark 및 HTTP 모니터링 소개
Wireshark 란 무엇인가요?
Wireshark 은 네트워크 트래픽을 모니터링하고 분석하는 데 사이버 보안 분야에서 널리 사용되는 강력한 네트워크 프로토콜 분석기입니다. 오픈소스 소프트웨어로, 사용자는 실시간으로 네트워크 패킷을 캡처, 검사 및 문제 해결할 수 있습니다.
HTTP 프로토콜 이해
Hypertext Transfer Protocol (HTTP) 는 웹 통신에 사용되는 기본적인 프로토콜입니다. HTTP 는 메시지의 형식과 전송 방법, 웹 서버와 브라우저가 다양한 명령에 대한 응답으로 취해야 할 동작을 정의합니다. HTTP 트래픽을 분석하는 것은 사이버 보안 전문가가 잠재적인 위협을 식별하고, 이상 현상을 감지하고, 보안 사고를 조사하는 데 필수적입니다.
사이버 보안에서 HTTP 모니터링의 중요성
HTTP 트래픽 모니터링 및 분석은 다음과 같은 다양한 사이버 보안 목적에 필수적입니다.
- 웹 기반 공격, 데이터 유출 및 무단 접근 시도와 같은 보안 사고를 감지하고 조사합니다.
- 명령 및 제어 (C2) 통신, 데이터 유출 및 피싱 시도와 같은 악성 활동을 식별합니다.
- 사용자 행동을 분석하고 의심스러운 활동을 식별합니다.
- 보안 정책 및 규정 준수를 보장합니다.
- 네트워크 및 애플리케이션 문제를 해결합니다.
Wireshark 사용을 위한 사전 준비
HTTP 모니터링을 위해 Wireshark 를 효과적으로 사용하려면 다음이 필요합니다.
- Ubuntu 22.04 와 같은 Linux 기반 운영 체제를 실행하는 컴퓨터 또는 가상 머신.
- 시스템에 Wireshark 가 설치되어 있어야 합니다. 다음 명령을 사용하여 설치할 수 있습니다.
sudo apt-get update
sudo apt-get install wireshark- 네트워크 프로토콜에 대한 기본적인 이해와 네트워크 트래픽 데이터를 해석할 수 있는 능력.
HTTP 트래픽 캡처 및 필터링
Wireshark 를 이용한 HTTP 트래픽 캡처
- Ubuntu 22.04 시스템에서 Wireshark 를 엽니다.
- 모니터링할 네트워크에 연결된 인터페이스를 선택하여 트래픽을 캡처합니다.
- "시작" 버튼을 클릭하거나 "Ctrl + E" 단축키를 눌러 캡처를 시작합니다.
HTTP 트래픽 필터링
Wireshark 는 관심 있는 특정 트래픽에 집중할 수 있도록 강력한 필터링 시스템을 제공합니다. HTTP 트래픽을 필터링하는 방법은 다음과 같습니다.
- Wireshark 메인 창에서 "필터" 표시줄을 찾습니다.
- HTTP 트래픽만 표시하려면 다음 필터 표현식을 입력합니다.
http- "적용" 버튼을 누르거나 "Enter" 키를 눌러 필터를 적용합니다.
검색 범위를 더 좁히기 위해 더욱 고급 필터 표현식을 사용할 수도 있습니다. 예를 들어:
http.request.method == "GET"이 필터는 HTTP GET 요청만 표시합니다.
캡처된 트래픽 저장 및 내보내기
- 캡처된 트래픽을 저장하려면 "파일" > "캡처 파일로 저장"을 선택합니다.
- 캡처 파일의 위치와 파일 이름을 선택합니다.
- 원하는 파일 형식 (예: ".pcapng"(Wireshark 기본 형식) 또는 ".pcap"(다른 네트워크 분석 도구와 호환)) 을 선택합니다.
- "저장"을 클릭하여 캡처 파일을 저장합니다.
"파일" > "패킷 내보내기"로 이동하여 원하는 내보내기 형식을 선택하면 CSV 또는 XML 과 같은 다양한 형식으로 캡처된 트래픽을 내보낼 수도 있습니다.
사이버 보안을 위한 HTTP 트래픽 분석
의심스러운 HTTP 요청 식별
- 비정상적인 URL, 파라미터 또는 사용자 에이전트를 가진 HTTP 요청을 찾아 악성 활동을 나타낼 수 있는지 확인합니다.
- 알려진 악성 도메인 또는 IP 주소로의 HTTP 요청을 확인합니다.
- HTTP 요청 헤더와 페이로드를 분석하여 SQL 주입 또는 크로스 사이트 스크립팅 (XSS) 시도와 같은 탐지 시도의 징후를 분석합니다.
데이터 유출 감지
- 특히 익숙하지 않거나 의심스러운 대상으로의 대량 데이터 전송을 위한 HTTP 요청을 모니터링합니다.
- 비정상적인 파일 형식 또는 인코딩을 가진 HTTP 요청을 찾아 데이터 유출 시도를 나타낼 수 있는지 확인합니다.
- HTTP 요청 및 응답 페이로드를 분석하여 개인 식별 정보 (PII) 또는 지적 재산권과 같은 민감한 정보를 확인합니다.
명령 및 제어 (C2) 트래픽 식별
- 알려진 C2 서버 도메인 또는 IP 주소로의 HTTP 요청을 찾습니다.
- 정기적인 "심박수" 요청이나 인코딩된 명령과 같은 원격 제어의 징후를 찾기 위해 HTTP 요청 및 응답 패턴을 분석합니다.
- 원격 제어에 사용될 수 있는 비정상적인 파라미터 또는 페이로드를 가진 HTTP 요청을 확인합니다.
보안 사고 조사
- Wireshark 의 필터링 및 검색 기능을 사용하여 보안 사고 발생 시 관련 HTTP 트래픽을 신속하게 찾아 분석합니다.
- HTTP 트래픽 데이터를 다른 보안 로그 및 정보와 연관하여 사고에 대한 포괄적인 이해를 구축합니다.
- HTTP 트래픽을 분석하여 보안 사고의 원인, 방법 및 영향을 파악합니다.
보고 및 문서화
- 추가 분석 또는 보고에 적합한 형식으로 Wireshark 에서 관련 HTTP 트래픽 데이터를 내보냅니다.
- HTTP 트래픽 분석을 사고 대응 또는 포렌식 조사 보고서에 포함합니다.
- HTTP 트래픽 데이터를 사용하여 개선 및 예방을 위한 결과와 권장 사항을 지원합니다.
요약
이 튜토리얼에서는 사이버 보안 목적으로 Wireshark 에서 HTTP 트래픽을 분석하는 방법에 대한 포괄적인 개요를 제공했습니다. 네트워크 트래픽을 캡처하고 필터링함으로써 통신 패턴을 심층적으로 이해하고, 잠재적인 보안 위협을 식별하며, 네트워크 인프라 내의 취약성을 평가할 수 있습니다. 이러한 Wireshark 기술을 숙달하는 것은 사이버 보안 자세를 강화하고 조직을 진화하는 사이버 위협으로부터 적극적으로 보호하는 데 중요한 단계입니다.
