cron 이 새벽 세 시에 curl 을 했다
관측·로깅 심화 · 중급 · 이론 4 · 퀴즈 4 · 실습 4
막지 못한 뒤에 하는 일을 다룹니다. 리눅스 호스트와 클러스터에서 무엇이 어디에 남는지 가르고, Sigma 와 Falco 로 규칙을 직접 쓰고, 오탐을 예외로 덜어 내고, 사건 하나를 타임라인과 사후 분석 보고서로 정리합니다. 커널 권한이 필요한 두 편은 VM 에서, 규칙과 조사는 실습 파드에서 돕니다.
커리큘럼
남는 자리와 남지 않는 자리
커널 감사·저널·클러스터 감사가 각각 무엇을 보는지 가른다
규칙은 문장이 아니라 자료 구조다
Sigma 규칙을 여섯 번 고쳐 쓰며 오탐과 누락을 숫자로 본다
시스콜에서 잡으면 거짓말을 못 한다
Falco 규칙을 쓰고 출력을 파일로 돌리고 예외를 좁게 적는다
잡은 다음에 무엇을 먼저 하는가
증거 보존·타임라인·격리 순서·사후 분석 보고서