netlog란??




*TCP와 UDP 프로토콜의 네트웍 트래픽을 모니터하는 netlog 패키지
*netlog패키지를 이용하여 시스템 관리자가 분석할 수 있는 사항들과 netlog가 등장하게 된 이유가 무엇인지
* netlog 패키지를 어느 정도 수준까지 신뢰할 수 있으며 '수 비의 측면'과 '공격적인 측면'에서의 netlog패키지의 효용

Texas A&M University '타무'라고 불리는 곳에서 개발된 netlog 도구는 아래의 세가지 도구들로 이루어져 있다.
▶ tcplogger: 서브넷에서의 모든 TCP 접속들을 로그파일로 남긴다.
▶ udplogger : 서브넷에서의 모든 UDP 세션들을 로그파일로 남긴다.
▶ netwatch : 실시간에 네트웍 접속들을 모니터링한다.




1. Netlog에 사용된 특징


말그대로 netlog 패키지는 TCP/IP 커넥션이 일어나는 상황의 데이터그램 중에 인중되지 않은 사용자나 호스트로부터의 접속이 일어나거나, 특정 명령과 관계 된 접속이 일어날 경우 그 데이터그램을 분석하여 원하는 정보를 빼어내게 된다. 즉, 소스 IP 어 드레스와 해당 서비스명들을 모니터하게 되는 것이다. 즉, netwatch이든, tcplogger이든, udplogger이든 모두 데이터그램으로부 터 원하는 정보를 빼어낼 수 있게끔 하는 루틴이 모두 필요하게 된다. 이 역할을 하는 루틴이 바로 pktfilt.c에서 맡게 된다. 즉 , 모든 프로그램이 위의 소스를 링크하여 적절한 스트럭쳐를 분석하게 된다. 소스레벨에서 궁금한 점이 있는 시스템 관리자들은 아래의 파일들을 분석해보기 바란다.




$NETLOG_DIR/netwatch/pktfilt.c
/tcplogger/pktfilt.c
/udplogger/pktfilt.c 등
Netlog 도구의 pktfilt.c은 telnet이나 ftp등의 TCP 패킷에서 userID와 passwd 부분에 해당하는 데이터는 필터링하지 못한다. 이를 보강한 것이 sunsniffer 등이다.



2. Netlog의 능력


Netlog 패키지는 말 그대로 네트웍 상에서의 패키지의 전송을 모니터링하는 기능을 제공해 준다. 하지만, 막연히 데이터 패킷이 이리저리 옮겨다니는 현상만 있다면 그것은 시스템 관리자에게 아무런 도움을 주지못하며, 엄청난 자원을 낭비하는 결과를 초래한다. 실제로 tcplogger 프로그램을 약 10초간 돌렸을 때 패킷을 모니터링한 파일은 약 5∼10 킬로바이트에 달한다. netlog 가 꼭 필요하게 쓰이는 이유와 Netlog 도구가 등장하게 된 가장 큰 원인은 바로 'IP spoofing attack' 때문이다. 즉, netlog 패키지를 이용하여 'IP spoofing attack'과 '하이재킹 툴'이 이용되고 있는지 체크하기 위한 목적을 주로하여 개발되었다.


IP spoofing이란 기존의 TCP/IP 프로토콜의 디자인 상의 문제점을 이용하여 타겟 호스트의 trusted 호스트인 척 가장하여 타겟 호스트로의 침입을 성공시키는 침입 방법 중의 하나이다.

3.Netlog의 양면성


Netlog 패키지는 단순한 모니터링만 제공해 줄 뿐, 어떤 exploit 할만한 대상이 되지 못한다. 즉, 'ps -aux | grep netwatch'와 같은 수작업을 통하여 자신이 모니터되고 있는지 아닌지에 관한 정보만 intruder에게 제공해 줄 뿐이다. 예를 들어, intruder가 kus.kaist.ac.kr에 계정을 갖고 있지만, IP spoofing을 통하여 attack을 시도하고자 할 경우, 'ps -aux | grep netwatch'등을 통하여 netwatch 패키지가 동작중인지를 우선 알아본 다음 공격할 수 밖에 없는 것이다.


비록 netlog 패키지를 이용하여 자신이 공격당할 우려는 없지만, netlog 패키지의 신뢰도등을 자세히 살펴보고 신중한 분석이 필요하다고 판단된다. 왜냐하면, netlog 패키지는 말 그대로 Network log를 모니터할 뿐이므로, 공격의 수단은 될 수 없지만, 굉 장히 많은 로그파일을 남기므로 세밀히 분석해 보지 않는한 효과적으로 시스템을 방어할 수 없다. 예를 들어, netwatch를 이용하 여 모니터하고 있더라도, smtp 포트에 debug 명령을 합법적인 사용자가 필요에 의하여 이를 사용하고 있을 수도 있지만, netwatc h 프로그램이 이를 판별할 수는 없기 때문이다. netwatch의 결과를 통해 낯선 곳에서의 debug 명령 등이 나타난다면 이는 의심해 볼 수 있을 것이다.

하지만, network firewall의 신뢰도가 높아지고, 관리자들의 지식이 늘수록 IP 스푸핑과 같은 침입은 줄어들 것으로 예상된다. 왜냐하면, IP spoofing의 원천적인 봉쇄 방법이 바로 filtering router의 설치를 이용한 firewall의 setup이기 때문이다. 그러 나, TCP/IP 프로토콜 디자인이 변하지 않는 이상 IP spoofing은 언제든지 일어날 수 있는 일이므로, 라우터 셋업(filtering rout er)등의 과정을 거쳐 철저한 trusted 환경을 구축해야 할 것이다.

먼저 IP spoofing에 대한 지식이 있어야 netlog 패키지의 중요성을 실감할 수 있을 것이다.

4.결론사항


Netlog 패키지는 intruder로 부터 exploit될 만한 우려의 소지는 전혀없다. 하지만, 웬만한 지식이 없는 시스템 관리자에게는 무용지물이나 다름이 없다. IP spoofing등의 사전 지식을 필요로 하며 서브넷의 모든 커넥션들을 로그파일에 남길 경우 자원의 낭비가 심할 수 있다.

Netlog 패키지의 방어용 소프트웨어로의 가장 최선의 전략은 무엇일까?

Netlog 패키지는 기본적으로 IP spoofing을 파악할 수 있다. 하지만, 앞서도 말했듯이 IP spoofing을 원천적으로 봉쇄할 수는 없다. IP spoofing attack이 시도되고 있다면, 즉시 시스템을 중단시키던지, 아니면 IP spoofing attack에 사용되는 TCP 서비스 를 찾아서 deamon을 죽이는 방법을 취해야 한다. Netlog는 또한 캄파일 시에 '$NETLOG_DIR/netwatch/monitors/lognames.h' 파일 에 적절한 사용자 ID를 추가하여, 의심이 되는 사용자를 집중적으로 모니터할 수 있다. 기본적으로 lognames.h에 포함되어 있는 사용자들로는 'sybase, oracle, irc, bbs, anonymous, info, ftp, guest, gopher' 등이 있다.

이러한 lognames.h 파일에 필요에 따라 사용자들을 추가하여 모니터하면 굉장히 유용한 기능을 발휘할 수 있다. 또한, '시간, 공격 서비스명, 공격시도 호스트, 타겟 호스트, 명령'등으로 이루어진 출력물을 이용하여 분석력과 시스템 관리자의 자질을 기를 수 있다.

@@@@@@netlog 패키지는 공격용으로 전혀 쓰일 수 없을까?

개인적인 소감으로는 그렇다이다. 말 그대로 netlog 패키지는 네트웍 로그파일을 남기거나 모니터하는 것이 주된 역할 이다. 그렇다고 sunsniffer와 같이 TCP 패킷에서 사용자 정보를 무작위로 캐내는 짓은 하지 않는다. 때문에 이를 통한 어떠한 사 용자에대한 정보나 추측 가능한 정보를 얻을 수 없으므로 공격용 소프트웨어로는 어울리지 않는 편이다.

사용자 인터페이스의 개선과 help 기능의 추가를 통한 개량이 가능할 것으로 보인다. 또한 netlog 패키지와 여러 관리 도구를 병합하여 시스템 파괴에 해당하는 증거를 잡아내는 유틸리티들을 만들 수 있을 것 같다.



Netlog가 있는 곳

ftp://net.tamu.edu/pub/security/netlog-1.2.tar.gz

ftp://ftp.cert-kr.or.kr/pub/Security/tool/netlog-1.2.tar.gz




Netlog패키지의 인스톨




이 부분에 관한 자세한 내용은 아래의 파일의 압축을 푼 후 생성되는 README 파일을 참조하기 바란다. 또한, 각각에 해당하는 메뉴얼 페이지가 제공되니 이를 통한 도움말을 이용할 수 있다.

아래 주소를 이용하여 소스를 가져온다.


ftp:ftp.cert-kr.or.kr/pub/Security/tool/netlog-1.2.tar.gz

이 곳 외에도 netlog가 있는 곳이 필요하다면,click!!!
아래 명령을 이용하여 임의의 디렉토리에 압축을 푼다. 그리고 이 디렉토리를 $NET- LOG_DIR이라 칭하기로 하자.


$ gzip -d netlog-1.2.tar.gz ; tar -xvf netlog-1.2.tar
netlog 패키지는 SunOS 4.x와 SunOS 5.x(Solaris x)에서만 실행된다. Makefile의 제 13, 18, 23행의 다음과 같은 라인에서 자 신의 시스템에 맡는 것을 선택하도록 하자.


# SunOS 4 or Solaris (SunOS 5)?
#
FLAGS=-DSUNOS4 -> sUNos 4.x 사용 머쉰
##FLAGS=-DSOLARIS -> Solaris x 사용 머쉰


make 명령을 이용하여 컴파일이 잘 되나 확인하기 바란다. 에러 메세지가 나타나면 컴파일이 제대로 안됐을 가능성이 많으니 $ NETLOG_DIR/bin 디렉토리에 tcplogger, udplogger, netwatch, extract 프로그램일 제대로 설치되어 있는지 살펴보기 바란다. 현 실적으로 모든 에러 메시지에 대한 해결책을 나열한다는 것은 불가능하다. 그러므로, 에러메시지를 정확히 읽고 그에 해당하는 적절한 작업을 수행하기 바란다.

컴파일이 제대로 되었으면 $NETLOG_DIR/doc의 메뉴얼 페이지들을 /usr/man/man8 디렉토리로 복사해 두고, 필요할 때마다 #man netwatch 등과 같이 도움말을 사용하기 바란다. 그리고 성공적인 컴파일을 확인하기 위하여 각 실행파일들을 실행해 본다.








Netlog 사용법





아래에 따로 설명한 인스톨 가이드에 따라 성공적으로 netlog 패키지를 인스톨하였다면, netlog 패키지의 압축을 푼 디렉토리 ($NETLOG_DIR)의 bin 디렉토리에 'netwatch', 'tcplogger' 프로그램, 그리고 'udplogger'와 'extrack'프로그램이 설치될 것이다. (이 경우 시스템에 따라 'extrackt' 프로그램이 설치되지 않는 경우가 있다. 이럴 경우 [email protected]에게 E-mail을 보내어 상세한 조언을 받도록 하자.)

netlog가 있는 곳('주소'에 있음")에서 위 파일을 가져와 압축을 푼 디렉토리를 이제 netlog 디렉토리인 '$NETLOG_DIR'이라 하겠다.


이제 각각의 프로그램들의 오션과 사용법에 대하여 알아보도록 하자. 먼저 주의해야 할 점은, netlog 패키지의 모든 도구들은 root만이 사용할 수 있다는 점을 명심하기 바란다.

이하는netlog도구들의 사용법이다.


1.Netwatch(etherscan)도구의 사용
2.Tcplogger도구의 사용
3.Udplogger도구의 사용




1.Netwatch(etherscan)



돌아가기
Netwatch 프로그램은 네트웍 커넥션이 일어나는 상황을 실시간으로 모니터할 수 있도록 해준다.


$ netwatch [-u] [-i interface] [-f file] [-p] tcp_port_list



여기서 'tcp_port_list'인수는 netwatch 프로그램이 체크할 TCP 서비스들을 설정해 두어야 한다. telnet, ftp, rlogin, rsh, s mtp 등의 서비스들을 체크하며, telnet과 ftp의 경우 접속시도 호스트와 목적 호스트 모두에 관한 정보를 제공해 준다. (이때, 각각의 TCP 서비스들은 해당 포트에 항상 떠 있으므로, netwatch는 각각의 서비스들에 해당하는 포트만 스캔하게 된다. 모든 포 트번호를 일일이 알 필요는 없으나, 해당하는 포트를 적어보면 다음과 같다.)


TCP 서비스 사용하는 포트번호
------------- -----------------
telnet 23
smtp 25
rlogin 513
rsh 514
ftp 21
uucp 540


크게 모니터할 수 있는 것들을 들어보면 다음과 같다.


▶ "login to remote(local) host" : 말 그대로 특정 계정의 'login'시도를 체크해 준다.

▶ "using remote shell command via rsh" : rsh 명령을 이용하여 타겟 호스트의 명령을 수행하는 과정 을 체크한다.

▶"smtp connection" : 자체적으로 내장된 'smtp' 드라이버를 이용하여 타겟호스트의 'smtp'포트로 의 접속을 체크한다.

▶ "other unrecognized protocol connection" : 이외에 알 수 없는 프로토콜을 이용한 접 속들을 체크 한다.


Netwatch 의 옵션은 아래와 같다.@@@@@table 작성@@@@@@


▶ i 옵션 : 사용할 인터페이스를 설정한다.

▶ f 옵션 : 모니터링하고 있는 내용을 파일로 남길 수 있다. 이 옵션을 사용하지 않으면 모니터링되는 결과는 스 탠다드아웃으로 표준 출력된다.

▶ u 옵션 : 기본적으로 체크하는 TCP 패킷외에 UDP 패킷도 체크한다. 예를 들어 'tftp' 트래픽, 'SunRPC' 트래픽, 'FSP' 서버로의 접속들이 체크된다. LAN에서의 RPC트래픽 이 굉장히 많은 경우 이 기능을 사용하지 않는 것이 좋다. 왜냐하면 해석이 굉장히 난 해해지기 때문이다.
▶ p 옵션 : 시스템의 로드를 줄이면서 'non-promiscuous mode'로 netwatch를 실행시킨 다. 즉, 서브넷의 모든 패 킷을 검사하지 않고 자기 호스트로의 접속만을 모니터링한다.


rlogin $NETLOG_DIR/netwatch/monitors/lognames.h 파일에 설정된 사용자들에 대한 rlogin 접속에 관계된 자료들을 모니터한다 . 간단한 lognames.h의 예를 들어 보기로 하자.
static char *names[] = { "me","lp","bin","daemon"," guest", "demo",sync","uucp", "sys"," ftp"," nobody"," news"," demos", "tutor", "anonymous", "gopher", "netfind", "in fo", "system", "user", "userp", "field", "operator", "sybase ", "oracle", "irc", "bbs", "limx", "new", "chat", "super", (char*)0 } ; 이곳에 해당하는 유저아이디를 설정하면 된다.
예를 들어 "chang","diag ","sysdiag" 등등

rsh 마찬가지로 lognames.h 파일에 설정된 사용자들의 shell을 리모트에서 사용하려할 때 모 니터해 준다. 또한 'csh -bif'와 같은 접속도 모니터한다.
참고 : rsh hostname -l userID csh -bif를 이용하여 'tty'를 사용하지 않고 시스템을 이용할 수 있게 되므로, 자신을 감추려는 의도가 짙다.
때문에 이러한 사용자들을 통하여 시스템이 파괴당할 우려가 있으므로 netlog는 'csh -bif'와 같은 트웍 접속도 모니터 해준다.

0 ftp FTP에 관련된 네트웍 트래픽을 체크한다. 즉, anonymous FTP를 이용한 passwd 파일 이나 .rhosts 파일 그리고 .forward 파 일의 전송 등을 체크할 수 있다.
참고 : ftp 서비스를 통하여 .rhosts 나 .forward 파일을 덮어쓰거나 하는 등의 작업을 통 하여 시스템이 피해를 입을 수 있다. 때문에 netlog는 이러한 시도를 모니터한다. 예를 들어, 우연찮게 'ftp>' 프롬프트 상태로 연결된 터미널을 발견하 였을 경우 .rhosts 파일의 내용을 '＋＋'로 덮어쓴 후, 다음에 그 사용자로 rlogin등의 접속을 할 수 있으므로 굉장 히 주의해 야 한다. 또한, anonymous ftp 셋업 상의 문제점의 경우도 굉장히 위험하다. 'anonymous ftp attack'에 관해서는 CERT advisory 중 'CA93:10. anonymous. FTP.ac- tivity'를 참조하기 바란다.

telnet 특정 사용자로의 telnet 접속을 모니터한다.

smtp 'smtp'드라이버를 이용하여 wiz, kill, debug 명령에 관계된 smtp 접속을 모니터한다.
참고 : 가장 vulnarable한 sendmail버그를 이용한 침입에 쓰이는 명령어들이 바로 위의 wiz, kill, debug 명령들이다. 때문에 netlog는 이러한 시도를 모니터 해준다. sendmail에 관한 도큐먼트를 참조하기 바란다.


이제 실제 스크립트된 예를 보며 자세히 알아보기로 하자. 아래는 baikdu.kaist.ac.kr에서 kus.kaist.ac.kr로 smtp 접속을 행 하여 debug 명령을 수행하였을 경우를 보여준다.





/staff/kus/chang>telnet kus smtp
Trying 143.248.1.180 . . .
Connected to kus.kaist.ac.kr.
Escape character is '^]'.
220-kus.kaist.ac.kr Sendmail 8.6.12H1/8.6.12 ready at Thu, 30 Nov 1995 14:51:57
220 ESMTP spoken here +0900
debug ; kus.kaist.ac.kr은 sendmail bug가
500 Command unrecognized ; 패치되었다는 것을 의미한다.


아래는 kus 머쉰에서 netwatch을 이용하여 실시간에 모니터링한 결과를 보여준다.


kus# ./netwatch telnet smtp ; telnet, smtp에 관한 모니터를 시작한다.
Using interface le0
Added telnet ; telnet과 smtp에 관한 모니터를 시작했다.
Added smtp
11/30/95 14:51:59 [smtp] baikdu.kaist.ac.kr.3673 kus.kaist.ac.kr cmd debug

모니터링의 결과는 (모니터된 시간; 접속서비스; 접속을 시도한 곳의 IP; Target Host; 사용한 명령)로 주어진다. 물론, 위에 서 제공되는 여러 드라이버들을 이용하여 원하는 모든 정보들을 얻을 수 있다.


2.Tcplogger



돌아가기
Tcplogger는 호스트로의 TCP커넥션이 요청될 때 이를 로그 파일에 남긴다. 현재 TAMU에서 개발된 tcplogger는 SunOS 4.x와 SunO S 5.x 플랫폼에서만 실행가능하다. 하지만, SunOS4.x 플랫폼에서는 헤더파일의 부족으로 컴파일되지 않는 경우가 있으니, root@n et.tamu.edu로 연락을 취하기 바란다.

Tcplogger는 아래와 같은 형식으로 사용된다.

# tcplogger [-i if] [-a|-b] [-f file]


Tcplogger의 옵션은 아래와 같다.

▶ i 옵션 : TCP 접속 요청이 이루어질 때 인터페이스를 설정한다.

▶ a 옵션 : 로그파일을 ASCII 형식으로 설정한다.

▶ b 옵션 : extract 명령을 이용하기 위하여 binary 모드로 로그파일을 설정한다. 이때 정의되는 구조체는 매뉴얼 페이지 를 참조하기 바란다. 또한 extract 프로그램이 제대 로 컴파일되지 않는 시스템의 경우 위의 -a 옵션을 이용하기를 권한다.

▶ f 옵션 : 출력으로 남길 파일을 정의한다. 이때 정의하지 않으면 스탠다드아웃으로 표 준 출력된다.

▶ n 옵션 : DNS를 이용한 hostname을 사용하지 않고, dotted IP 주소로 나타낸다.

▶ p 옵션 : 'non-promiscuous' mode로 설정해 둔다. 즉, subnet으로의 모든 패킷을 로 그파일에 남기지 않고 자기자신 호스 트에 관한 패킷만을 로그파일에 남긴다. 하드디 스크와 같은 자원의 활용에 효과적이다.


3.Udplogger



돌아가기
Udplogger는 tcplogger와 거의 비슷한 기능을 제공하지만, 단지 UDP 접속에 관한 내용만 체크한다는 데 차이점이 있다. 다른 기 능은 모두 tcplogger와 같기 때문에 참조하기 바란다.

udplogger의 사용은 아래와 같은 형식으로 이루어진다.

# udplogger [-i if] [-a|-ab] [-f file] [-n] [-t ###] [-p]


옵션으로는 -t 옵션을 이용하여 UDP 세션이 이루어진 후 얼마간의 시간이 지나더라도 패킷의 전송이 이루어지지 않을 때 로그 를 정지한다. 디폴트 시간은 300초이다.