(Fios#02) 3. 빠르게 끝내는 악성코드 분석과 대응

FORENSIC INSIGHT;
DIGITAL FORENSICS COMMUNITY IN KOREA
빠르게 끝내는 악성코드 분석 및 대응
Dalgomtaeng
dalgomtaeng@gmail.com
Dalgomtaeng.blogspot.kr
@dalgomtaeng

forensicinsight.org Page 2
Who Am I ?
 관심사 : DFIR, Elastic, Opensource

목차
1. 악성코드 분석
• Virustotal
• Procmon
• Procdot
• Cuckoo Sandbox
• Viper
2. 악성코드 대응
• 방화벽 차단
• IOC

악성코드 분석
- 빠르게 빠르게~

Intro
 왜 빠르게 분석해야 하는가?
• 한정된 분석 시간
• 침해 원인 파악에 비중
• 또 다른 침해 자산에 대한 확인을 위함
 어떤 결과가 필요한가?
• 분석가가 쉽고 간편하게 볼 수 자료
• 고객이 이해할 수 있는 쉬운 자료

Virustotal

Procmon

Procdot

Cuckoo Sandbox

Viper

악성코드 대응

방화벽 차단
 C&C 서버 차단
• 악성코드와 통신하는 서버의 IP
 DNS 차단
• 침해 자산에 설정된 DNS 서버가 아닌 악성코드 내에 고정된DNS서버 IP
 URL 차단
• 악성코드에서 접근하는 URL주소
 차단 만으로 끝?

IOC
 Indicator Of Compromise-침해지표
 자산의 침해여부를 알 수 있는 흔적
 http://forensicinsight.org/slides

Question and Answer

More Related Content