기술문서 : NCHOVY 인터넷 스톰 센터

Kraken PCAP

2010-11-05T16:41:04+09:00

Kraken PCAP 소개 자료입니다.

Smartbit 사용법

2010-09-07T16:51:13+09:00

개요 3
1. Smartbit 개요 4
1.1 Smartbit 개요 5
1.2 Smartbit 하드웨어 6
2. Smartbit 설치방법 7
2.1 Smartbit 구성 8
2.2 Smartbit Software 설치 9
3. Smartbit 사용방법 11
3.1 Throughput 측정 12
3.2 Latency 측정 16
4. 맺음말 17
부록: smartwindow 사용법 18
부록.1 탐지테스트 구성 19
부록.2 smart window 사용법 20

2010년 OWASP Top 10 한국어 버전

2010-06-29T13:55:28+09:00

SecurityPlus에서 한국어 번역하여 공개했습니다. 번역에 참여하신 분들께 박수를..

http://www.securityplus.or.kr/xe/?document_srl=25853

2009 국가정보보호백서

2010-06-08T14:38:15+09:00

[목    차]

[제1편]  총론

　제1장   국가정보보호백서의 주요내용
　제2장   국가 정보보호 개요
　제3장   국가 정보보호 추진체계
　제4장   사이버 침해사고 동향

[제2편]  국가 정보보호 활동

　제1장  국가 정보보안 활동
　제2장  국가 사이버 안전 활동
　제3장  전자정부 정보보호 활동
　제4장  주요정보통신기반시설 보호 활동
　제5장  개인정보보호 활동
　제6장  정보통신서비스 제공자 등의 정보보호
　제7장  국민생활 정보보호 활동

[제3편]  국가 정보보호 기반조성 현황

　제1장  정보보호 법제도 분야
　제2장  정보보호 교육 및 인력 분야
　제3장  정보보호 산업분야

[제4편]  통계로 보는 정보보호

　제1장  국가 · 공공부문
　제2장  민간부문

[제5편]  특집1 - 주요국의 정보보호 예산

　제1장  미국
　제2장  일본
　제3장  유럽연합

[제6편]  특집2 - 국외 정보보호 주요정책 동향

　제1장  주요 국가 정보보호 추진체계 및 정책 동향
　제2장  주요 국가 CIIP 동향과 대응방향
　제3장  미 행정부의 국가 사이버보안 종합전략

[제7편]  부록

　제1장  정보보호 인증 및 검증필 제품 목록
　제2장  2008년 주요 정보보호 학술행사
　제3장  국내 정보보호 관련 업체 목록

악성 코드 유포 사이트 탐지에 관한 연구

2010-05-01T01:17:21+09:00

서동원*, Arindam Khan**, 이희조*
*고려대학교 정보통신대학 컴퓨터∙전파통신학과
**Dept. of Computer Science and Engineering, Indian Institute of Technology
e-mail : {aerosmiz, heejo}@korea.ac.kr

초록

최근 웹사이트를 통해 악성 코드의 유포가 성행하면서 많은 웹 서비스 사용자들이 위험에 노출
되어 있다. 특히, 특정 웹페이지에 접속하는 것만으로도 사용자가 알지 못하는 사이에 악성 코드를
자동으로 다운로드 받도록 함으로써 그 위협은 더욱 커지고 있다. 본 논문에서는 이러한 악성 코드
유포 사이트를 탐지하기 위해 사용하였던 Website relationship graph, Parallel coordination, Amazon WebService system 을 차례로 소개하고, 각 기법의 장단점과 결과적으로 도출해낸 악성 코드 유포 사이트들의 특징과 그것을 이용한 알려지지 않은 악성 코드 유포 사이트 탐지 기법을 제안한다.

OWASP 웹 애플리케이션 10대 보안 취약점 (2010년 판)

2010-04-21T17:15:51+09:00

OWASP 웹 애플리케이션 10대 보안 취약점의 2010년 버전이 발표됐습니다.

A1: 인젝션
A2: XSS (Cross-Site Scripting)
A3: 허술한 인증 및 세션 관리
A4: 안전하지 않은 직접적인 개체 참조
A5: CSRF (Cross-Site Request Forgery)
A6: 설정 실수
A7: 안전하지 않은 암호화 저장 장치
A8: URL 접근 제한의 실패
A9: 불충분한 전송 계층 보호
A10: 검증되지 않은 리다이렉션 및 포워딩

2009 국내 지식정보보안산업 시장 및 동향 조사

2010-03-21T19:06:57+09:00

2009 국내 지식정보보안산업 시장 및 동향 조사

2009년 12월 24일

수탁기관: 코리아데이타네트워크, 지식정보보안산업협회
연구책임자: 책임연구원 이정열 (코리아데이타네트워크), 책임연구원 정길원 (지식정보보안산업협회)

VB2008 Proceedings

2010-03-18T13:38:05+09:00

Andy Kim 님께서 보내주셨습니다.

ASP 웹쉘 상세 분석 및 탐지 방안 (KrCERT)

2010-01-17T13:23:12+09:00

2008년 5월에 발간된 인터넷 침해사고 동향 및 분석 월보에 포함되어 있던 내용입니다.

악성문서 분석 요점 정리

2009-12-14T02:07:30+09:00

원본은 zeltser.com의 Analyzing Malicious Documents Cheat Sheet 입니다.

NCHOVY 인터넷 스톰 센터에서 번역하고, 라이센스는 원본 그대로 CCL 저작자표시 3.0 하에 배포합니다.

재배포 가능하지만 이후에도 조금씩 번역 오류가 수정될 가능성이 있으므로, 가급적 이 게시물에 링크를 걸어주시길 부탁드립니다.

TLS/SSLv3 취약점 분석

2009-11-15T23:42:25+09:00

TLS and SSLv3 vulnerabilities explained

Thierry ZOLLER
Principal Security Consultant
contact@g-sec.lu

Synopsis

Around the 09/11/2009 Marsh Ray, Steve Dispensa and Martin Rex published details1 about a vulnerability affecting the renegotiation phase of the TLS & SSLv3 protocol. The vulnerability is being tracked under CVE-2009-35552 | VU#1205413 and affects a multitude of platforms and protocols, the impact of this vulnerability varies from protocol to protocol and research into those is currently ongoing.

When speaking of a “Man in the Middle” attack, it is often assumed that data can be altered or changed. Indeed an attacker that sits in the middle of a connection (hence it’s name) is often able to do so. In this particular case however the attacker piggybacks an existing authenticated and encrypted TLS sessions in order to (prefix) inject arbitrary text of its choice. The attacker may not read/alter the other TLS session between the “client” and the “server”. See Chapter 3 - “Example of an attack scenario...” for more details

This paper explains the vulnerability for a broader audience and summarizes the information that is currently available. The document is prone to updates and is believed to be accurate by the time of writing.

HITB2009 발표 자료 모음

2009-11-09T12:04:44+09:00

Day 1 Track 1

Day 1 Track 2

Day 1 Track 3

Andrea Barisani and Daniele Bianco - TEMPEST LAB

Day 2 Track 1

Day 2 Track 2

HMM을 이용한 스팸 분석

2009-11-03T10:25:21+09:00

Spam Deobfuscation using a Hidden Markov Model

Abstract

To circumvent spam filters, many spammers attempt to obfuscate their emails by deliberately misspelling words or introducing other errors into the text. For example viagra may be written vigra, or mortgage written m0rt gage. Even though humans have little difficulty reading obfuscated emails, most content-based filters are unable to recognize these obfuscated spam words. In this paper, we present a hidden Markov model for deobfuscating spam emails. We empirically demonstrate that our model is robust to many types of obfuscation including misspellings, incorrect segmentations (adding/removing spaces), and substitutions/insertions of non-alphabetic characters.

개선된 DFA를 이용한 고속 정규표현식 매칭

2009-10-06T03:13:26+09:00

An Improved DFA for Fast Regular Expression Matching

Domenico Ficara (domenico.ficara@iet.unipi.it)
Stefano Giordano (s.giordano@iet.unipi.it)
Gregorio Procissi (g.procissi@iet.unipi.it)
Fabio Vitucci (fabio.vitucci@iet.unipi.it)
Gianni Antichi (gianni.antichi@iet.unipi.it)
Andrea Di Pietro (andrea.dipietro@iet.unipi.it)

Department of Information Engineering, University of Pisa
via G.Caruso 16, Pisa, ITALY

ABSTRACT

Modern network devices need to perform deep packet inspection at high speed for security and application-specific services. Finite Automata (FAs) are used to implement regular expressions matching, but they require a large amount of memory. Many recent works have proposed improvements to address this issue.

This paper presents a new representation for deterministic nite automata (orthogonal to previous solutions), called Delta Finite Automata (dFA), which considerably reduces states and transitions and requires a transition per character only, thus allowing fast matching. Moreover, a new state encoding scheme is proposed and the comprehensive algorithm is tested for use in the packet classi cation area.

윈도우 커널모드 페이로드

2009-10-02T12:34:07+09:00

Kernel-mode Payloads on Windows

bugcheck (chris@bugcheck.org)
skape (mmiller@hick.org)

1. Foreword

2. Introduction

3. General Techniques
3.1 Finding Ntoskrnl.exe Base Address
3.1.1 IDT Scandown
3.1.2 KPRCB IdleThread Scandown
3.1.3 SYSENTER EIP MSR Scandown
3.1.4 Known Portable Base Scandown
3.2 Resolving Symbols

4. Payload Components
4.1 Migration
4.1.1 Direct IRQL Adjustment
4.1.2 System Call MSR/IDT Hooking
4.1.3 Thread Notify Routine
4.1.4 Hooking Object Type Initializer Procedures
4.1.5 Hooking KfRaiseIrql
4.2 Stagers
4.2.1 System Call Return Address Overwrite
4.2.2 Thread APC
4.2.3 User-mode Function Pointer Hook
4.2.4 SharedUserData SystemCall Hook
4.3 Recovery
4.3.1 Thread Spinning
4.3.2 Throwing an Exception
4.3.3 Thread Restart
4.3.4 Lock Release
4.4 Stages

5. Conclusion