기초 보안 공부 1. NGFW

                                    AWS에서 이미 사용해본 것들:
┌────────────────────────────────────────┐
│  Security Group    → 인스턴스 레벨 방화벽 (L4)
│  NACL              → 서브넷 레벨 방화벽 (L4)
│  WAF               → 웹 애플리케이션 방화벽 (L7, HTTP만)
│  VPC Flow Logs     → 네트워크 트래픽 로그
└────────────────────────────────────────┘
         ↓
    여기서 확장되는 개념들

                                    ┌─────────────────────────────────────────────────────────────────┐
│  Layer 7 - Application   │ HTTP, HTTPS, DNS, Kafka, gRPC      │
├──────────────────────────┼─────────────────────────────────────┤
│  Layer 6 - Presentation  │ SSL/TLS, 암호화                     │
├──────────────────────────┼─────────────────────────────────────┤
│  Layer 5 - Session       │ 세션 관리                           │
├──────────────────────────┼─────────────────────────────────────┤
│  Layer 4 - Transport     │ TCP, UDP (포트 번호)                │
├──────────────────────────┼─────────────────────────────────────┤
│  Layer 3 - Network       │ IP 주소, 라우팅                     │
├──────────────────────────┼─────────────────────────────────────┤
│  Layer 2 - Data Link     │ MAC 주소, 스위칭                    │
├──────────────────────────┼─────────────────────────────────────┤
│  Layer 1 - Physical      │ 케이블, 전기 신호                   │
└──────────────────────────┴─────────────────────────────────────┘

                                    SQL Injection?
- HTTP/HTTPS 요청에 악의적인 SQL 쿼리를 넣어 내부 데이터베이스의 결과를 가져오는 것

ex)
POST /api/login HTTP/1.1
Host: api.example.com
Content-Type: application/json

{
  "username": "admin'--",
  "password": "anything"
}

                                    현재 (전부 443):
┌────────────────────────────────────┐
│ 웹사이트       → 443              │
│ YouTube        → 443              │
│ Slack          → 443              │
│ Dropbox        → 443              │
│ AWS Console    → 443              │
│ Zoom           → 443              │
│ ChatGPT        → 443              │
│ 악성코드 C&C   → 443 (!)          │
│                                    │
│ → 포트만 봐서는 구분 불가          │
└────────────────────────────────────┘

                                    - GET /api/users
- Post /api/admin/delete
- GET /api/users?id=1 OR 1=1 (SQL injection)

                                    <식별과정>

1. 프로토콜 디코딩 : HTTP, SSL, SSH 등 프로토콜 파악
2. 시그니처 매핑: 앱별 고유 패턴 비교
3. 휴리스틱 분석: 트래픽 행동 패턴
4. SSL 복호화 후 재분석: 암호화 풀고 다시 1-3단계

                                    <사용자 정보 수집 방법>

Active Directory: 로그인 이벤트에서 IP-사용자를 매핑

수집 방법:
1. WMI probing: AD 서버에서 로그인 정보 가져옴
2. AD agent: DC에 에이전트 설치해서 실시간 수집
3. Syslog: 인증 서버 로그 수신
4. GlobalProtect: VPN 클라이언트에서 직접 수정
5. Captive Protal: 웹 인증 페이지로 직접 로그인

example)
┌──────────────────────────────────────────────────────────┐
│ 사용자/그룹 기반 정책                                    │
├────────────────┬───────────────┬─────────────┬──────────┤
│ 사용자/그룹     │ 앱            │ 액션        │ 설명     │
├────────────────┼───────────────┼─────────────┼──────────┤
│ 개발팀         │ github        │ Allow       │ 업무용   │
│ 개발팀         │ stackoverflow │ Allow       │ 업무용   │
│ 마케팅팀       │ facebook      │ Allow       │ 업무용   │
│ 마케팅팀       │ github        │ Deny        │ 불필요   │
│ 전체           │ youtube       │ Deny        │ 대역폭   │
│ 임원진         │ Any           │ Allow       │ 예외     │
└────────────────┴───────────────┴─────────────┴──────────┘