스노트 2.0 마술상자

목차 (Table of Contents)

• 목차
• 서문 = xxiv
• Chapter 1. 침입 탐지 시스템
• 소개 = 1
• 침입 탐지란? = 2
• 네트워크 IDS = 4
• 호스트-기반 IDS = 5
• 분산 IDS = 6
• 취약점 3부작 = 8
• 디렉터리 이동 취약점 = 8
• CodeRed 웜 = 10
• Nimda 웜 = 11
• 침입이란 무엇인가? = 11
• Snort를 이용한 침입 탐지 = 13
• Snort를 이용한 디렉터리 이동 취약점 탐지 = 13
• Snort-CodeRed 탐지 = 14
• Snort-Nimda 탐지 = 15
• 침입 탐지 시스템, 왜 중요한가? = 16
• 왜 공격자가 나를 공격할까? = 17
• IDS는 내 보안 계획의 나머지 부분과 어떻게 어울리는가? = 17
• 내 방화벽이 IDS 역할을 할 수는 없는가? = 18
• 침입 흔적을 찾을 수 있는 또 다른 곳은 어디인가? = 18
• 백도어와 트로이 목마 = 19
• 침입 탐지로 할 수 있는 또 다른 일은 무엇인가? = 21
• 데이터베이스 접근 모니터링 = 21
• DNS 기능 모니터링 = 21
• E메일 서버 보호 = 22
• IDS를 이용한 회사의 정책 모니터링 = 22
• 요약 = 23
• FAQs = 26
• Chapter 2. Snort 2.0 소개
• 소개 = 28
• Snort란 무엇인가? = 29
• Snort 시스템 요구 사항 = 31
• 하드웨어 = 31
• 운영 체제 = 32
• 그 밖의 소프트웨어 = 33
• Snort 기능 탐험 = 33
• 패킷 스니퍼 = 35
• 전 처리기／Preprocessor = 35
• 탐지 엔진 = 37
• 경고／로깅 구성 요소 = 37
• 네트워크에서 Snort 사용 = 41
• Snort의 용도 = 42
• Snort를 패킷 스니퍼와 로거로 이용 = 42
• Snort를 NIDS로 이용 = 47
• Snort와 당신의 네트워크 구조 = 48
• Snort와 스위치 네트워크 = 51
• Snort의 단점 = 53
• 가짜 경고 = 54
• Snort 업그레이드 = 54
• Snort의 보안 고려 사항 = 54
• Snort는 공격을 받기 쉽다 = 55
• Snort 시스템 보호 = 56
• 요약 = 58
• FAQs = 60
• Chapter 3. Snort 설치
• 소개 = 62
• Linux 배포판에 관한 짧은 얘기 = 63
• 데미안／Debian = 63
• 슬랙웨어／Slackware = 64
• 젠투／Gentoo = 64
• PCAP 설치 = 65
• 소스로부터 libpcap 설치 = 67
• RPM으로부터 libpcap 설치 = 74
• Snort 설치 = 75
• 소스 코드로부터 Snort 설치 = 75
• 설치 커스터마이징 ; snort.conf 파일 편집 = 76
• configure를 통한 기능 활성화 = 79
• RPM으로부터 Snort 설치 = 80
• MS 윈도우 플랫폼에서 설치 = 82
• Snort의 최신 버전 설치 = 88
• 요약 = 89
• FAQs = 91
• Chapter 4. Snort ; 내부 동작 방식
• 소개 = 94
• Snort 구성 요소 = 95
• 네트워크 트래픽 캡쳐 = 96
• OSI와 TCP／IP 모델 = 96
• 패킷 스니핑 = 99
• 난잡(promiscuous) 모드의 네트워크 카드 = 101
• libpcap 라이브러리란 무엇인가? = 101
• Snort는 libpcap을 어떻게 사용하는가? = 102
• 패킷 디코딩 = 103
• 패킷 저장소 = 104
• 패킷 처리 = 106
• 전처리기 = 106
• _decode 계열 전처리기 = 107
• frag2 전처리기 = 107
• stream4 전처리기 = 109
• portscan 계열 전처리기 = 110
• 기타 전처리기 = 113
• 규칙 파싱과 탐지 엔진 이해 = 114
• 규칙 생성기 = 114
• 규칙 포맷 = 115
• 3D 연결 리스트란 무엇인가? = 118
• 패킷을 어떻게 비교하는가 = 119
• Pass 규칙 = 121
• 탐지 플러그-인 = 123
• Snort 2.0 규칙 설계 = 123
• 출력과 로그 = 124
• Snort를 빠른 스니퍼로 사용 = 125
• 출력 포맷 = 126
• Berkeley Packet Filter 명령 = 126
• 디스크로 로그 저장 = 127
• pcap 포맷으로 기록 = 127
• 침입 탐지 모드 = 128
• Snort 로깅 = 128
• 로깅 포맷 = 130
• 허니팟 캡쳐와 분석을 위한 Snort = 131
• 데이터베이스 로깅 = 132
• Snort 리포팅 UI = 133
• SNMP를 이용한 경고 = 134
• Barnyard와 통합 출력 = 136
• 요약 = 136
• FAQs = 138
• Chapter 5. 규칙 가지고 놀기
• 소개 = 142
• 설정 파일 이해 = 143
• 변수 정의와 사용 = 143
• 명령을 위한 변수 사용 = 145
• 규칙 파일 포함 = 149
• 규칙 헤더 = 150
• 규칙 액션(Rule Action) 옵션 = 150
• 지원하는 프로토콜 = 154
• 규칙에 출발지와 목적지 주소 할당 = 154
• 출발지와 목적지 포트 할당 = 157
• 방향 연산자 이해 = 159
• Activate와 Dynamic 규칙 특성 = 159
• 규칙 본문／body = 161
• 규칙 컨텐트 = 162
• ASCII 컨텐트 = 162
• 2진 컨텐트 포함 = 162
• Depth 옵션 = 163
• Offset 옵션 = 164
• nocase 옵션 = 164
• session 옵션 = 164
• Uniform Resource Identifier 컨텐트 = 164
• Stateless 옵션 = 165
• 정규 표현식 = 165
• Flow Control = 165
• IP 옵션 = 167
• 분할 비트／Fragmentation Bits = 167
• 출발지와 목적지 IP가 동일할 경우 = 167
• IP 프로토콜 옵션 = 168
• ID 옵션 = 169
• Type of Service 옵션 = 169
• Time-To-Live 옵션 = 169
• TCP 옵션 = 169
• 순서 번호(Sequece Number) 옵션 = 169
• TCP 플래그 옵션 = 169
• TCP ACK 옵션 = 171
• ICMP 옵션 = 171
• ID = 171
• Sequence = 171
• icode 옵션 = 172
• itype 옵션 = 172
• 규칙 식별자 옵션 = 172
• Snort ID 옵션 = 172
• 규칙 개정 번호 = 173
• 위험도 옵션 = 173
• 분류 식별자 옵션 = 173
• 외부 참조 = 175
• 기타 규칙 옵션 = 175
• Messages = 175
• Logging = 176
• TAG = 176
• Dsize = 176
• RPC = 177
• 실시간 대응 = 177
• 좋은 규칙의 구성 요소 = 178
• 액션 이벤트 = 178
• 규칙 컨텐트의 적절성 확인 = 179
• 서브넷 마스크 병합 = 182
• 규칙 테스트 = 185
• 스트레스(stress) 테스트 = 185
• 개별 Snort 규칙 테스트 = 186
• Berkeley Packet Filter 테스트 = 186
• 규칙 조정 = 187
• 규칙 변수 설정 = 187
• 규칙 비활성화 = 188
• Berkeley Packet Filters = 189
• 요약 = 192
• FAQs = 195
• Chapter 6. 전처리기／Preprocessor
• 소개 = 198
• 전처리기란 무엇인가? = 199
• 패킷 재조합을 위한 전처리기 옵션 = 200
• stream4 전처리기 = 200
• TCP 상태 유지／Statefulness = 201
• 세션 재조합 = 210
• Stream4의 출력 = 213
• frag-2 분할 재조합과 공격 탐지 = 213
• Frag2 설정 = 214
• Frag2 출력 = 216
• 패킷 디코딩과 정규화를 위한 전처리기 옵션 = 216
• Telnet 협상／negotiation = 217
• Telnet 협상(Negotiation)전처리기 설정 = 217
• Telnet 협상(Negotiation)출력 = 217
• HTTP 정규화 = 218
• HTTP 정규화 전처리기 설정 = 219
• HTTP Decode의 출력 = 221
• rpc_decode = 222
• Rpc_decode 설정 = 222
• Rpc_decode 출력 = 224
• 비정상-기반 탐지를 위한 전처리기 옵션 = 224
• Portscan = 225
• Portscan 전처리기 설정 = 226
• Back Orifice = 227
• Back Orifice 전처리기 설정 = 228
• 일반적인 비규칙-기반 탐지 = 228
• 실험적 전처리기 = 228
• arpspoof = 229
• ansl_decode = 230
• fnord = 230
• portscan2와 conversation = 231
• Portscan2 전처리기 설정 = 231
• Conversation 전처리기 설정 = 233
• Perfmonitor = 234
• 당신만의 전처리기 작성 = 234
• 패킷 재조합 = 234
• 프로토콜 디코딩 = 235
• 비규칙 또는 비정상-기반 탐지 = 235
• 나의 전처리기 구성 = 235
• Telnet 전처리 소스 코드 분석 = 238
• 인자 파싱 코드 검사 = 252
• 전처리기의 데이터를 Snort로 되돌리기 = 258
• 전처리기를 Snort에 추가 = 259
• 요약 = 262
• FAQs = 265
• Chapter 7. Snort 출력 플러그-인 구현
• 소개 = 268
• 출력 플러그-인이란? = 268
• 출력 플러그-인의 핵심 구성요소 = 270
• 출력 플러그-인 옵션 탐험 = 271
• 기본 로깅 = 271
• Syslog = 277
• PCAP 로깅 = 278
• Snortdb = 279
• 통합 로그 = 285
• 통합 로그를 사용해야 하는 이유는 뭘까? = 285
• 통합 파일을 가지고 뭘 할 수 있을까? = 286
• 자신만의 플러그-인 작성법 = 289
• 왜 직접 출력 플러그-인을 작성해야 하는가? = 290
• 내가 만든 출력 플러그-인 설정 = 291
• Snort 출력 다루기 = 295
• 요약 = 299
• FAQs = 301
• Chapter 8. 데이터 분석 툴 탐험
• 소개 = 304
• Swatch 사용 = 304
• Swatch 설치 = 305
• Swatch 설정 = 306
• Swatch 사용 = 308
• ACID 사용 = 311
• ACID 설치 = 312
• ACID를 설치하기 위해 필요한 것 = 313
• ACID 설정 = 319
• ACID 사용 = 322
• 데이터 베이스에 쿼리하기 = 324
• 경고 그룹 = 326
• ACID의 그래픽 기능 = 329
• 경고 데이터베이스 관리 = 330
• SnorSnart 사용 = 332
• SnortSnarf 설치 = 332
• SnortSnarf 설정법 = 334
• SnortSnart 기본 사용법 = 335
• IDScenter 사용 = 337
• IDScenter 설치 = 338
• IDScenter 설정 = 339
• IDScenter의 최소 설정 = 340
• IDScenter 기본 사용법 = 341
• 요약 = 348
• FAQs = 350
• Chapter 9. 최신 버전 유지하기
• 소개 = 354
• 패치 적용 = 354
• 규칙 갱신 = 355
• 규칙은 어떻게 관리되는가? = 356
• 규칙 업데이트를 받는 방법은? = 358
• Oinkmaster = 359
• 이러한 변경 사항을 어떻게 통합하는가? = 362
• IDScenter를 이용해 규칙 병합하기 = 363
• 규칙 갱신 테스트 = 364
• 새 규칙 테스트 = 368
• 규칙 업데이트 버전 확인 = 369
• 메일링 리스트와 뉴스 서비스 = 369
• 요약 = 370
• FAQs = 372
• Chapter 10. Snort 최적화
• 소개 = 376
• 어떤 하드웨어를 사용해야 할까? = 376
• '좋은' 하드웨어란 무엇인가? = 378
• 프로세서 = 378
• RAM 요구 사항 = 378
• 저장 매체 = 379
• 네트워크 인터페이스 카드 = 379
• 하드웨어를 어떻게 테스트 해야 하나? = 380
• 어떤 운영 체제를 사용해야 할까? = 382
• NIDS를 위한 '좋은' OS의 요건은 = 382
• 어떤 OS를 사용해야 하는가? = 387
• 내가 선택한 OS를 어떻게 테스트 할까? = 388
• Snort 속도 빠르게 하기 = 389
• 활성화할 규칙 선택 = 390
• 전처리기의 속도 빠르게 하기 = 392
• 일반 변수 이용 = 393
• 출력 플러그-인 선택 = 394
• Snort 벤치마킹 = 395
• 벤치마크 특성 = 396
• 훌륭한 벤치마크의 속성 = 396
• 형편없는 벤치마크의 속성 = 397
• 벤치마킹할 때 사용할 수 있는 옵션에는 어떤 것이 있는가? = 397
• IDS Informer = 398
• IDS Wakeup = 402
• Sneeze = 404
• 기타 옵션 = 405
• 요약 = 406
• FAQs = 409
• Chapter 11. Barnyard 사용
• 소개 = 412
• Barnyard란 무엇인가? = 413
• Barnyard 준비와 설치 = 413
• Barnyard는 어떻게 동작하는가? = 418
• Barnyard 설정 파일 이용 = 419
• Barnyard의 내부 = 421
• 설정 선언 = 421
• 데이터 처리기／Data Processors = 421
• 출력 플러그-인／OP = 422
• 2진 로그 출력 파일 생성과 표시 = 425
• Barnyard 실행 = 427
• Barnyard 출력 설명 = 429
• Barnyard의 출력 옵션은 무엇인가? = 430
• 출력을 '이렇게' 하고 싶은데요? = 431
• 예제 출력 플러그-인 = 432
• plugbase.h와 plugbase.c 이용 = 454
• 요약 = 456
• FAQs = 459
• Chapter 12. 고급 Snort
• 소개 = 462
• 정책-기반 IDS = 463
• IDS를 위한 네트워크 정책 정의 = 464
• 정책-기반 IDS 예제 = 468
• 실제 정책-기반 IDS 운영 = 475
• 내장 IDS = 478
• Snort 내장 IDS는 어디에서 시작됐는가? = 479
• Snort를 내장 모드로 설치 = 480
• 내장 IDS를 이용해 네트워크 보호하기 = 497
• 내장 IDS가 나에게 맞는 툴인가? = 500
• 요약 = 501
• FAQs = 502