클라우드 시큐리티 과정 2기 - 5주차 Splunk와 ELK 데이터 분석

안녕하세요. Twodragon입니다. 

클라우드 시큐리티 과정 2기 강의를 시작하게 되었고, 게더 타운(Gather Town)에서 진행되는 일정을 소개 드리려고 합니다.

 

 

먼저 게더 타운 진행 스케줄은 총 2시간(20분 진행, 5분 휴식)으로 다음과 같습니다.

온라인 강의 특성 상 눈의 피로 또는 학생분들의 높은 집중력을 위해 20분씩 진행하고 5분 휴식을 취하고 있습니다. 

---

10:00 - 10:20 = 근황 토크 & 멘티끼리 서로 가르쳐 주기 (과제 요약하여 발표 // 과제 토론 1회, 주제 토론 1회) & 과제 피드백 

10:25 - 10:45 = ELK Stack 데이터 분석 

10:50 - 11:10 = Splunk 데이터 분석

11:15 - 11:35 = ELK&Splunk 검색 구문 활용

11:40 - 12:00 = 6주차 과정 이해를 위한 필수적인 실습

 

---

 

1. 근황 토크 & 과제 피드백

- 근황 토크 & 과제 관련하여 서로 피드백

  Q1) 과제 내용 요약 발표 후 서로 가르쳐 주기

 

- 현재 클라우드 보안에서 이슈가 되고 있는 사항 (KRCERT 또는 기사를 통해 얻은 참고자료)

 * Cisco NX-OS 및 Nexus 9000등 다수 제품 보안 취약점 (CVE-2022-20623) : Cisco Nexus 9000 시리즈 스위치에서 발생하는 서비스 거부 취약점 등으로 Fixed Software 내용을 참고하여 패치 적용

 * MS-SQL 보안 취약점 (CVE-2021-1636) : 마이크로소프트에서 개발한 관계형 데이터베이스 (MS-SQL) 권한 상승이 가능한 취약점을 악용한 우크라이나 대상 악성코드 공격이 발견되어 업데이트 상태 점검 필요 

 

2. ELK Stack 데이터 분석

 

  Q2) 이전 강의까지는 SecOps 파트였다면, 이번 주부터는 Bigdata 파트가 될 것
- 지금까지 공부해보면서 어떤 진로로 가고 싶으신 지 방향성 공유 

 

 - ELK Stack 아키텍처 : [ELK Stack] 1. ELK Stack 이란? (Beats, Logstash, Elasticsearch, Kibana) (tistory.com)

[ELK Stack] 1. ELK Stack 이란? (Beats, Logstash, Elasticsearch, Kibana)

- ELK Stack 구조 : https://velog.io/@hanblueblue/Elastic-Search-1

Elastic Search (1) 서문, ES 시작하기, ES 시스템 구조

- Docker 기반 ELK Stack 시작 : Docker-Compose를 이용하여 ELK Stack 시작하기 (tistory.com)

Docker-Compose를 이용하여 ELK Stack 시작하기

 

- Kibana 데모 웹 로그 샘플 : [Logs] Web Traffic - Elastic

- ELK Stack Discover (filebeat, metricbeat, packetbeat, Kibana Sample Data Log) 검색 : Discover - Elastic

- ELK Stack Index : kibana_sample_data_logs - Elastic

- ELK Visualize Library : [Logs] Response Codes Over Time + Annotations - Elastic

- ELK Security : Detections - Kibana (elastic.co)

- ELK Azure Monitor 데모 : [Azure Monitor] Overview - Elastic

 

  Q3) 지금까지 업무하시면서 ELK vs Splunk 사용 사례가 있다면 공유

 

3. Splunk 데이터 분석

- Splunk 아키텍처 : [Splunk] 빅데이터 분석 플랫폼 알아보기!! -수집,모니터링,분석 (tistory.com)

[Splunk] 빅데이터 분석 플랫폼 알아보기!! -수집,모니터링,분석

- Splunk 분산 환경 구축 : Splunk 분산환경 구축하기 - Eliot’s DB (inkkim.github.io)

Splunk 분산환경 구축하기

 

4. ELK&Splunk 검색구문 활용

- Splunk 자주 사용하는 명령어 : Peemang IT Blog (tistory.com)

Splunk 자주 사용하는 명령어 정리

- Splunk 한국어 매뉴얼 : 한국어 매뉴얼 - Splunk Documentation

한국어 매뉴얼 - Splunk Documentation

- ELK 가이드북 : Elastic 가이드 북 - Elastic 가이드북 (kimjmin.net)

Elastic 가이드 북 - Elastic 가이드북

- Elastic Security 내부 정보 유출 탐지 사례 : https://youtu.be/64VDu5ilHYg 

 

5. 6주차 과정 이해를 위한 필수적인 실습

- CSPM&CWPP 개요 : 클라우드 보안, 완벽한 적용을 위한 개념 3가지! : 네이버 블로그 (naver.com)

클라우드 보안, 완벽한 적용을 위한 개념 3가지!

- CSPM Prisma Cloud 개요 : https://docs.paloaltonetworks.com/prisma/prisma-cloud/prisma-cloud-admin/manage-prisma-cloud-alerts/view-respond-to-prisma-cloud-alerts.html

View and Respond to Prisma Cloud Alerts

 

---

참고자료

 

투드래곤 (클라우드 시큐리티 과정 2기 - 4주차 Azure 보안) (tistory.com)

클라우드 시큐리티 과정 2기 - 6주차 클라우드 솔루션 & CSPM 개요 : https://twodragon.tistory.com/582