Perl & Security Community - 보안에서 Perl 의 위치 - 2008.08.23. 배상우 (swbaes@naver.com)
1. 보안 담당자의 현실 프로그래머
1. 보안 담당자의 현실 서버 관리자
1. 보안 담당자의 현실 네트워크 관리자
1. 보안 담당자의 현실 DB 관리자
1. 보안 담당자의 현실 보안담당자
1. 보안 담당자의 현실 우리의 갈 길 HOW?
2. Perl Magic Easy - Perl 을 잘 쓰기 위해 모든 걸 알 필요가 없다 - CPAN 의 다양한 모듈을 활용 - CPAN 의 다양한 예제 소스 (실무 활용도 높음) Powerful - 뛰어난 문자열 처리 능력 - 패턴 매칭 (Perl Regular Expression) 생산성 - 빠른 Prototype 개발 - 다양한 개발 스타일 혼용 (단순스크립트, 절차적, Functional, OO 등) - CPAN! CPAN! CPAN! - 예: MD5 암호화 프로그램 개발 (C: 하루~이틀?, Perl: 5분)
3. Perl Myth 단순 쉘 스크립트 아닌가요? - Perl 은 General Programming Language 이며, Shell Script 로 하기 어려운 복잡한 작업 해결 가능 - korn shell, borne shell, c shell 로 분열되어 있는 Shell 과 달리 한 번 작성한 Perl 소스를 다양한 OS 에서 그대로 실행 가능 - 예 : NIST 표준 보안 진단 항목 (쉘스크립트 : 10 여개, Perl : 2개) 느리지 않나요? - 일정 수준 이상의 복잡한 프로그램은 C/C++ 과 유사한 속도 - 예: Perl OpenGL 벤치마크 – C vs Perl (http://graphcomp.com/pogl.cgi?v=0111s3B1&r=s3m3) Perl 은 이제 죽었잖아요? - 조용한 Perl 진영이 주는 착각 - Catalyst Framework 등 여전히 다양한 프로젝트가 활발히 진행 중
4. 보안분야 Perl 활용 사례 Exploit 개발 - 이전에는 발표되던 exploit 의 약 20% 가 Perl 이었으나, 최근에는 약 40% 정도를 차지함 예: FlashGet FTP PWD response BOF exploit
4. 보안분야 Perl 활용 사례 MetaSploit Framework - 보안 연구자들의 취약점 연구와, exploit 개발을 돕기 위해 만들어진 프레임워크 예: MetaSploit Framework
4. 보안분야 Perl 활용 사례 Nikto - 웹 애플리케이션 취약점 점검 도구 - IDS 우회 기술 적용 (LibWhisker) 예: Nikto Web Security Assessment Tool
4. 보안분야 Perl 활용 사례 RAT - Cisco Router 의 자동화된 보안 설정 점검 도구 예:RAT 분석 결과
4. 보안분야 Perl 활용 사례 SecSpider - 취약한 DNS 서버 현황 모니터링 시스템
4. 보안분야 Perl 활용 사례 Tail-pcap - libpcap 을 이용한 Perl 기반의 스니퍼
4. 보안분야 Perl 활용 사례 국내 사례 - 국내 다수의 텔코에서 적용 중인 자동화된 취약점 진단 프로그램 (서버, 네트워크 장비, Web/WAS 서버, DBMS 서버 등) - Web Malware 자동 수집기 : 웹 서버 기반의 IDS - Web Hacking 모니터링 시스템 : 지능화된 웹 사이트 크롤링 엔진 - 개인정보노출 모니터링 시스템 : 주민등록번호 노출 모니터링 - 방화벽 정책 자동진단 시스템 : 부적절한 방화벽 룰셋 탐지 - 사용자 보안정책 준수 진단 시스템 : 메일 보안 정책 준수 여부 진단 - Office Zero Day 공격 모니터링 시스템 : MS Office 첨부 파일 진단 - 해커 위치 추적 시스템 : Google Map 연동 IP 기반의 해커 위치 추적 - 기타 자체적용 중인 다양한 프로그램
5. 향후 발전 방향 글로벌 트렌드 - 지능화, 자동화된 중앙집중적인 보안 관리 (zero administration security) - Perl 은 높은 생산성으로 인해 비용효과적으로 목표를 이루게 해줌 보안관리자 중앙관리 시스템 회사의 모든 전산자원
6. 질의 응답 Thank You