Chloe

Microsoft Entra ID는 이전 명칭인 **Azure Active Directory(Azure AD)**의 새로운 이름입니다. Microsoft는 2023년 중반부터 Azure AD의 브랜드를 **"Microsoft Entra ID"**로 변경하였으며, 이는 Microsoft의 Entra 제품군(ID 및 액세스 관리 제품군)에 통합하려는 전략의 일환입니다.

✅ Microsoft Entra ID란?

기업용 클라우드 기반 ID 및 액세스 관리 서비스로, 다음과 같은 기능을 제공합니다:

✅ Microsoft Entra 제품군 구성

Microsoft Entra는 다음과 같은 제품으로 구성됩니다:

🔒 사용 예시

• 회사 직원이 Microsoft 365에 로그인
• 외부 사용자가 제한된 리소스에만 접근하도록 설정
• 로그인이 의심스러운 경우 자동으로 MFA 요구
• 클라우드 앱에 대한 접근 시 조건부 정책 적용

Microsoft Entra ID(구 Azure AD)는 Free, Premium P1, Premium P2 세 가지 라이선스 플랜이 있으며, 기능 수준에 따라 차등 제공됩니다. 아래는 주요 기능별로 각 라이선스의 차이를 정리한 표입니다.

✅ Microsoft Entra ID (Azure AD) 라이선스별 기능 비교표

🔎 요약 특징

• Free: 기본 사용자 관리, 로그인, 10개 앱까지의 SSO 등 최소한의 기능 제공. 보안 기능은 제한적.
• P1: 기업 환경에 적합. 조건부 액세스, 무제한 SSO, MFA 정책 구성 및 디바이스 관리 등을 포함.
• P2: ID 보호, 권한 관리, 리스크 기반 조건부 액세스, 정책 자동화 및 감사 등 보안 강화와 거버넌스 중심.

💡 어떤 걸 써야 할까?

미국의 SBOM(Software Bill of Materials, 소프트웨어 자재 명세서) 정책은 소프트웨어 공급망의 투명성과 보안을 강화하기 위한 정부 주도 정책입니다. 특히 사이버 보안 위험을 줄이기 위해 연방 정부가 사용하는 소프트웨어에 대해 SBOM 제출을 요구하고 있습니다.

1. 정의: SBOM이란?

SBOM은 소프트웨어를 구성하는 모든 오픈소스 및 상용 라이브러리, 컴포넌트 목록을 나타내며, 각각의 버전, 출처, 종속성 등을 기록한 문서입니다. 일종의 "소프트웨어 원재료 목록"이라 보면 됩니다.

2. 미국 정부의 주요 SBOM 정책

📜 바이든 행정부의 사이버 보안 행정명령 (2021년 5월, Executive Order 14028)

• 배경: SolarWinds 해킹 사고 이후 공급망 보안의 중요성이 부각됨.
• 주요 내용:
  • 연방기관이 사용하는 소프트웨어에 대해 SBOM 제출 요구.
  • 소프트웨어 제조업체는 SBOM을 정부에 제공하거나 공개 가능하도록 준비해야 함.
  • NIST 및 NTIA(National Telecommunications and Information Administration)가 SBOM 형식, 최소 요구 사항 등을 마련하도록 지정됨.

📘 NTIA의 'Minimum Elements for an SBOM' (2021년 7월)

• SBOM에 포함되어야 할 최소 요소 6가지 정의:
  • 컴포넌트 이름
  • 버전 정보
  • 공급자 정보
  • 종속성 관계
  • SBOM 작성자 정보
  • 타임스탬프

📘 NIST SP 800-218 (SSDF, 2022)

• SBOM을 포함한 보안 소프트웨어 개발 프레임워크(SSDF) 권장.
• 사이버보안 프레임워크에 SBOM 생성·검토·유지 포함.

3. 적용 대상

• 연방 정부에 소프트웨어를 납품하는 모든 기업
• 온프레미스 소프트웨어, SaaS 포함
• 상업용, 오픈소스, 맞춤형 소프트웨어 모두 대상

4. 정책의 목적

• 공급망 공격 대응
• 취약점 추적과 패치 용이성 증가
• 보안 사고 시 영향 범위 빠르게 파악
• 투명성과 책임성 강화

PDNS(Passive DNS)와 DNS(Domain Name System)는 이름은 비슷하지만 목적과 기능이 다릅니다. 다음 표로 간단히 비교할 수 있습니다:

핵심 차이

• DNS는 현재를 알려주고,
• PDNS는 과거를 추적할 수 있게 해줍니다.

예를 들어, 악성 도메인이 다른 IP로 변경되었더라도 PDNS를 통해 이전 IP 이력을 확인하고 연관 위협을 분석할 수 있습니다. 보안관제, 디지털 포렌식 등에서 PDNS가 중요한 이유입니다.

🧩 1. 개요

• 공격 대상: 국내 PC방 환경, 특히 관리 프로그램이 설치된 PC
• 공격자 활동 시점: 2022년부터 활동, 2024년 하반기부터 본격적으로 PC방 대상 공격 개시
• 초기 침투 방식: 명확하지 않음
• 주요 악성코드:
  • Gh0st RAT (원격제어)
  • T-Rex CoinMiner (채굴)
  • Patcher, Downloader, KillProc 등 보조 악성코드

🔍 2. 공격 정황

• PC방 관리 프로그램의 메모리 패치 또는 클라이언트 기능을 악용하여 악성코드 유포
• Gh0st RAT은 주로 드로퍼 형태로 유포되며, Themida, MPRESS 등으로 패킹됨
• 클라이언트 측에서도 Gh0st RAT 드로퍼를 설치하는 로그 발견됨
  → 시스템 감염의 지속성 확보 시도로 추정됨

🛠️ 3. 악성코드 구성 요소

📌 3.1. Gh0st RAT

• 중국 C. Rufus Security Team 제작, 소스코드 공개됨
• 파일 제어, 키로깅, 스크린 캡쳐 등 기능 수행
• 메모리 내에서 서비스로 등록되어 C&C와 통신
• 기존 “Gh0st” 문자열 대신 **“Level”**이라는 시그니처 문자열 사용
  → 탐지 회피 목적 추정

🔍 주요 해석 내용

1. 시작 마법 값 (Magic Number)

• 4D 5A
• ASCII로 MZ → 이는 DOS 헤더의 시그니처이며, PE 파일의 시작을 나타냅니다.
• MZ는 MS-DOS 초기 개발자 Mark Zbikowski의 이니셜입니다.

2. "This program cannot be run in DOS mode"

• 우측 ASCII 해석에 보면 "This program cannot be run in DOS mode." 라는 문구가 보입니다.
• 이는 PE 파일의 DOS Stub 영역입니다.
  → 이 프로그램이 DOS 환경에서 실행될 수 없고, Windows 환경에서 실행되어야 한다는 것을 의미합니다.
• DOS Stub은 PE 파일이 Windows가 아닌 환경에서 실행될 경우 출력되는 메시지입니다.

3. 파일 내부 오프셋

• 예: 0001C4C0, 0001C4D0 등은 파일 내 위치(오프셋)을 의미합니다.
• 이 위치들은 헥사 데이터가 파일 내에서 어느 주소에 위치하는지를 알려줍니다.

💡 요약하면

이 이미지는 Windows 실행 파일(PE 파일)의 헤더 부분을 헥사 에디터로 열어서,

• MZ 시그니처를 통해 PE 파일임을 확인하고,
• ASCII 영역에 "This program cannot be run in DOS mode"라는 메시지가 존재함으로써 정상적인 Windows용 실행 파일임을 보여줍니다.

🔍 1. 시그니처 문자열이란?

**시그니처 문자열(Signature String)**은 다음을 의미합니다:

악성코드나 C&C(Command & Control) 통신에서 식별 가능한 고유 문자열로, 보안 솔루션이나 분석가들이 이를 통해 공격 도구를 식별하거나 분류하는 데 사용됩니다.

예:

• 유명 RAT(Remote Access Trojan)인 Gh0st RAT는 C&C 패킷에 "Gh0st"라는 문자열이 포함되어 있어 탐지에 활용됩니다.
• 이러한 문자열은 네트워크 트래픽 캡처(pcap)나 메모리 덤프 등에서도 눈에 띄게 드러납니다.

🤔 2. 왜 “Gh0st” 대신 “Level”을 썼을까?

🔸 [1] 탐지 회피 목적

• "Gh0st"라는 문자열은 너무 널리 알려져 있어, 거의 모든 보안 솔루션에 탐지 시그니처로 등록돼 있음.
• "Level"처럼 무해하거나 일반적인 단어를 쓰면 트래픽 필터링/침입 탐지 우회 가능성이 높아짐.
  • 예: "Level"은 게임, 앱 설정, 로그 등에서 흔히 보일 수 있는 단어.

🔸 [2] 포렌식 분석 회피

• 분석가들이 문자열 검색 시 "Gh0st"를 기준으로 분석하는 경우가 많기 때문에, 다른 문자열 사용 시 연관성을 끊는 효과가 있음.
• 즉, 공격자가 만든 툴이 기존 Gh0st RAT의 변형이라도, 포렌식에서 그것이 드러나지 않게 만듦.

🔸 [3] 변형 또는 새로운 변종임을 시사

• Gh0st의 파생 또는 커스텀 빌드일 수 있으며, 자신만의 커뮤니케이션 식별자로 "Level"을 설정했을 가능성.
• 이는 공격자 그룹이 도구를 맞춤 제작했음을 나타냄.

🔸 [4] 심리적 혼란 유도

• 분석 과정에서 단순한 문자열이므로 정상 트래픽으로 오인하거나 로그에서 눈에 잘 띄지 않음.
• 방어자의 **인지 부조화(heuristic confusion)**를 유도.

🧠 요약: 공격자의 의도는?

"Gh0st"처럼 널리 알려진 문자열을 쓰면 쉽게 탐지되므로, 이를 피하기 위해 "Level"이라는 평범하고 덜 의심스러운 문자열을 사용한 것.

이는 보안 탐지 회피, 분석 회피, 맞춤형 악성코드 도구 개발, 위협 그룹의 정체 은폐를 위한 전형적인 APT 전략 중 하나입니다.

📌 3.2. Patcher

• 관리 프로그램의 특정 프로세스 메모리 패치
• 이전엔 WAV 파일명을 사용했으나, 현재는 cmd.exe로 위장
• 특정 상황에서 Gh0st RAT 드로퍼 실행 유도

📌 3.3. Downloader

• 역할: Gh0st RAT, CoinMiner, KillProc 등 악성코드 추가 설치

📌 3.4. T-Rex CoinMiner

• XMRig(모네로) 대신 T-Rex 사용
  → GPU 성능 높은 PC방 특성에 최적화
• 채굴 대상: 이더리움 계열, 레이븐코인 등
• 설치 경로 예시 (관리 프로그램 업데이트 시 변경됨):
• scss
  %ProgramFiles(x86)%\Windows NT\mmc.exe %ProgramFiles(x86)%\Windows NT\mtn.exe %ProgramFiles(x86)%\Windows NT\syc.exe %ProgramFiles(x86)%\Windows NT\syn.exe %ProgramFiles(x86)%\Windows NT\tnt.exe

📌 3.5. KillProc

• 경쟁 채굴 프로그램 및 차단 솔루션 종료
• 종료 대상 예시: phoenixminer.exe, mine.exe, miner.exe, chrome.exe, cmd.exe, svchost.exe, pms.exe, po4.exe, scse.exe, notice.exe, geekminer.exe 등

📎 4. IoC (침해 지표)

🔹 MD5 해시

• 04840bb2f22c28e996e049515215a744
• 0b05b01097eec1c2d7cb02f70b546fff
• 142b976d89400a97f6d037d834edfaaf
• 15ba916a57487b9c5ceb8c76335b59b7
• 15d6f2a36a4cd40c9205e111a7351643

🔹 악성 URL

• http[:]//112[.]217[.]151[.]10/config[.]txt
• http[:]//112[.]217[.]151[.]10/mm[.]exe
• http[:]//112[.]217[.]151[.]10/pms[.]exe
• http[:]//112[.]217[.]151[.]10/statx[.]exe
• http[:]//121[.]67[.]87[.]250/3[.]exe

🔹 C&C 및 유포 관련 IP

• 103[.]25[.]19[.]32
• 113[.]21[.]17[.]102
• 115[.]23[.]126[.]178
• 121[.]147[.]158[.]132
• 122[.]199[.]149[.]129

✅ 5. 대응 권고사항

• PC방 관리 프로그램 및 OS 최신 업데이트 필수
• 보안 솔루션 실시간 감시 및 최신 DB 유지
• 관리자 및 운영자는 IoC 기반 정기 점검 필요
• 사전 대응 강화를 통한 조기 탐지 필요

https://asec.ahnlab.com/ko/88147

제8조(접속기록의 보관 및 점검) ① 개인정보처리자는 개인정보취급자의 개인정보처리 시스템에 대한 접속기록을 1년 이상 보관·관리하여야 한다. 다만, 다음 각 호의 어느 하나에 해당하는 경우에는 2년 이상 보관·관리하여야 한다. 1. 5만명 이상의 정보주체에 관한 개인정보를 처리하는 개인정보처리시스템에 해당하는 경우 2. 고유식별정보 또는 민감정보를 처리하는 개인정보처리시스템에 해당하는 경우 3. 개인정보처리자로서 「전기통신사업법」제6조제1항에 따라 등록을 하거나 같은 항 단서에 따라 신고한 기간통신사업자에 해당하는 경우 14 개인정보의 안전성 확보조치 기준 안내서 ② 개인정보처리자는 개인정보의 오·남용, 분실·도난·유출·위조·변조 또는 훼손 등에 대응하기 위하여 개인정보처리시스템의 접속기록 등을 월 1회 이상 점검하여야 한다. 특히 개인정보의 다운로드가 확인된 경우에는 내부 관리계획 등으로 정하는 바에 따라 그 사유를 반드시 확인하여야 한다. ③ 개인정보처리자는 접속기록이 위·변조 및 도난, 분실되지 않도록 해당 접속기록을 안전하게 보관하기 위한 조치를 하여야 한다.

✅ 제8조 접속기록의 보관 및 점검

◼️ ① 접속기록의 보관 기간

개인정보처리자는 개인정보취급자가 개인정보처리시스템에 접근한 모든 접속기록을 최소 1년 이상 보관·관리해야 함.

단, 아래 세 가지 조건 중 하나라도 해당될 경우, 2년 이상 보관해야 함:

📌 해당 조건에 해당하는 시스템은 로그를 2년 이상 장기 보관해야 하며, 보관 장소와 포맷도 위변조 방지를 고려해야 함.

◼️ ② 접속기록의 점검 주기 및 항목

• 접속기록은 월 1회 이상 정기적으로 점검해야 함.
• 점검 목적은 오·남용, 분실, 도난, 유출, 위조, 변조, 훼손 등 보안 위협 탐지.

🔎 특히 중요!

개인정보 다운로드 발생 시 → 내부관리계획 기준에 따라 사유 확인 필수
(예: 누가, 언제, 왜 다운로드 했는지 기록 및 분석 필요)

◼️ ③ 접속기록의 보안 유지 조치

• 접속기록은 위·변조, 도난, 분실 방지를 위해 안전하게 보관해야 함.

실무상 적용 가능한 보안 조치 예시:

✅ 요약