3-4. NIDS/NIPS-WAF

1. NIDS/NIPS 개요

 

---

 

2. Security-Onion 개요

 

 

---

3. ISO 파일로 VMware Workstation에 SO(Security-Onion) 추가하기 (따라하기)

 

[그림 1] ISO 파일로 SO 추가(1)

 

 

[그림 2] ISO 파일로 SO 추가(2)

 

[그림 3] ISO 파일로 SO 추가(3)

 

[그림 4] ISO 파일로 SO 추가(4)

 

[그림 5] ISO 파일로 SO 추가(5)

 

[그림 6] ISO 파일로 SO 추가(6)

 

 

[그림 7] ISO 파일로 SO 추가(7)

 

[그림 8] ISO 파일로 SO 추가(8)

 

[그림 9] ISO 파일로 SO 추가(9)

 

[그림 10] ISO 파일로 SO 추가(10)

 

 

[그림 11] ISO 파일로 SO 추가(11)

 

[그림 12] ISO 파일로 SO 추가(12)

 

[그림 13] 초기 화면

---

4. SO Install (따라하기)

 

[그림 14] SO Install(1)

 

 

[그림 15] SO Install(2)

 

 

[그림 16] SO Install(3)

 

[그림 17] SO Install(4)

[그림 18] SO Install(5)

 

[그림 19] SO Install(6)

 

[그림 20] SO Install(7)

 

[그림 21] SO Install(8)

 

[그림 22] SO Install(9)

 

[그림 23] SO Install(10)

 

[그림 24] SO 설치 완료

 

 

5. NIDS/NIPS IP Settings

 

[그림 25] 터미널

 

윈도우 키를 누르고 ter 입력하여 Terminal을 클릭한다.

 

[그림 26] ip addr

 

편의상 sudo로 진행하겠습니다.

 

sudo su ->

ip addr

 

Network Adapter가 VMnet3인 인터페이스를 찾습니다. (맥 주소 보고 판단)

 

 

 

[그림 27] IP setting

vim /etc/network/interfaces

들어가서 [그림 27]과 같이 입력한다.

 

 

 

[그림 28] IP 할당 확인

service networking restart

ip addr

 

입력하여 IP가 잘 할당됐는지 확인한다.

 

IP가 [그림 28]처럼 나오지 않는다면 reboot을 통해 재부팅 후 ip addr로 재확인한다.

 

---

6. 통신을 위한 FIREWALL Setting

[그림 29] DMZ Setting(1)

ATTACKER와 통신을 위해서는 FIREWALL 설정을 해야 한다. 크게 어려운 것은 없고 따라하면 된다.

 

(DMZ 개념 추가할 것)

 

 

[그림 30] DMZ Setting(2)

 

여기서부터 ATTACKER Snapshot을 활용할 것이므로 정신이 사나울 수 있으니 잘 따라오길 바란다.

 

이전에 ATTACKER Snapshot 중 IP 192.168.40.40이 있다.

 

ATTACKER 우클릭 ->

Snapshot ->

IP 192.168.40.40 클릭

 

그런 후 Web broser에 접속 ->

URL에 192.168.40.254 입력 ->

pfsense 로그인 (admin/pfsense) ->

[그림 30] 따라하기

 

[그림 30]은 단순하게 OPT1로 되어 있는 이름을 DMZ로 변경해 주는 것이다.

 

 

[그림 31] DMZ Setting(3)

 

[그림 31]은 Rules을 추가하는 그림이다.

 

 

[그림 32] DMZ Setting(4)

 

[그림 32]는 편의상 모든 프로토콜이 통과 가능하도록 설정하는 것이다.

 

이제 ATTACKER와 통신을 하기 위해서는 라우터 설정도 진행해야 한다.

 

---

7. 통신을 위한 ROUTER Setting

 

[그림 33] ROUTER Setting

 

[그림 33]과 같이 next-hop을 설정해 주어야 한다. 

 

(next-hop 개념 추가할 것)

 

---

8. 통신 확인

[그림 34] service ufw stop

 

SO는 기본적으로 ufw가 active 상태이다.

active 상태면 ping이 막히기 때문에 inactive 상태로 변경한다.

active 상태에서 룰을 설정하여 ping을 pass할 수도 있지만 편의상 끄고 진행한다.

 

 

[그림 35] ATTACKER->SO ping

 

ATTACKER Snapshot IP 192.168.10.10으로 돌린다.

 

ATTACKER 우클릭 ->

Snapshot ->

IP 192.168.10.10 클릭

 

[그림 36] SO->ATTACKER ping

 

정상적으로 ping이 되는 것을 확인했다.

 

여기까지 진행하면

 

ATTACKER - ROUTER - FIREWALL - NIDS/NIPS 연결이 된 것이다.

 

끝.

---

허가 없이 사용하는 것을 발견할 시 본 자료는 비공개로 전환됩니다.