태그¶
모든 페이지에는 종류(artifact, tool, technique, concept, playbook)와 섹션 태그가 붙어 있습니다. 태그를 누르면 관련 페이지가 나옵니다.
active-directory¶
adversary¶
- AD 인증서 서비스 악용 (ESC1 / ESC8)
- AS-REP Roasting
- DCSync
- EternalBlue와 SMBv1 익스플로잇
- Golden, Silver 티켓과 Pass-the-Ticket
- Kerberoasting
- LLMNR/NBT-NS 포이즈닝과 NTLM 릴레이
- LOLBins — 서명된 바이너리를 통한 프록시 실행
- LSASS 자격증명 덤프
- Pass-the-Hash
- PowerShell 다운로드 크래들과 인코딩된 명령
- PrintNightmare와 Print Spooler 악용
- PsExec와 SMB 횡적 이동
- RDP — 원격 데스크톱 악용
- SAM, LSA Secrets 및 NTDS.dit 추출
- UAC 우회
- WMI와 WinRM 실행
- Windows 버전별 강화
- 방어 무력화와 로그 삭제
- 지속성 — 서비스, 작업, Run 키
- 토큰 가장과 Potato 공격
- 프로세스 인젝션
- 피싱 전달과 최초 실행
adversary-emulation¶
analysis¶
- Base64 — 원리, 알아보기, 수상한 Base64
- HTTP 악용의 단계, 분석 방법 고르기, URL 평판 확인
- User-Agent와 쿠키로 악성코드 찾기
- 스크린샷, 샌드박스, 그리고 수동 분석으로 넘어갈 때
- 요청 판정 연습 — 점검법, 익스플로잇 킷, URL 속 URL
- 정상 사이트의 악성 파일, 파일 추출, 잦은 요청, IP 직접 접속
antisyphon¶
- Day 1 — 허용 목록과 패스워드 공격
- Day 2 — 나가는 트래픽 분석과 로깅
- Day 3 — EDR, 위협 에뮬레이션, 호스트 방화벽
- Day 4 — Responder, 인터넷 허용 목록, 취약점 관리, 웹 보안, AD 하드닝
application-allowlisting¶
apt¶
arkime¶
artifact¶
- $MFT, $UsnJrnl, $LogFile
- Amcache
- DFIR용 레지스트리 키
- LNK 파일과 Jump Lists
- Linux 지속성
- Prefetch
- SRUM
- Shimcache (AppCompatCache)
- Windows 이벤트 로그 (EVTX)
- conn.log
- dns.log
- files.log와 pe.log
- http.log
- ssl.log와 x509.log
- 로그, 프로세스, 라이브 트리아지
- 인증과 셸 히스토리
- 파일시스템과 타임스탬프
basics¶
beaconing¶
blue-team¶
- Base64 — 원리, 알아보기, 수상한 Base64
- Blue Team Essentials
- DNS
- DNS 기록 수집과 안전한 조사
- DNS 악용 공격 — 비인가 DNS·공유 호스팅·레코드 변조·터널링
- HTTP
- HTTP 악용의 단계, 분석 방법 고르기, URL 평판 확인
- HTTP(S) 분석과 공격
- HTTPS — TLS 해독, 해독 없이 보는 법, 인증서 읽기
- POST, 그 밖의 메서드, 요청 헤더
- TLS 지문(JA3·JA3S·JARM·JA4)과 TLS 1.3, HTTP(S) 분석 정리
- Understanding DNS — 기본 구조와 레코드
- User-Agent와 쿠키로 악성코드 찾기
- 도메인 신호 — TLD·평판·나이·무작위성·ASN·위치
- 블록체인 DNS와 IDN(퓨니코드)
- 새 HTTP 표준 — HTTP/2, HTTP/3·QUIC, 웹소켓, 그리고 HTTP 정리
- 수상한 DNS 기록 판별표 · 정정 · 헷갈리는 포인트
- 스크린샷, 샌드박스, 그리고 수동 분석으로 넘어갈 때
- 암호화 DNS — DoT·DoH·DoQ·DNSSEC와 수집 전략
- 요청 판정 연습 — 점검법, 익스플로잇 킷, URL 속 URL
- 웹 서버, URL, GET 요청
- 응답 헤더와 응답 코드
- 익스플로잇 킷 판별과 악성·수상·정상 판정 연습
- 정상 사이트의 악성 파일, 파일 추출, 잦은 요청, IP 직접 접속
- 헤더 판독 실전 연습 — 요청 하나, 응답 하나
botsv3¶
bpf¶
c2¶
carving¶
cheatsheet¶
cloud¶
cobalt-strike¶
- 3.1 구조와 명령어 실행 모델
- 3.2 세션과 파일 시스템
- 3.3 프로세스와 정보 수집
- 3.4 명령 실행과 외부 도구
- 3.5 최신 방어 관점과 복습
- Post-Exploitation
collection¶
concept¶
- Arkime로 침입 탐지
- DNS 기록 수집과 안전한 조사
- HTTP 상태 코드
- POST, 그 밖의 메서드, 요청 헤더
- SPL 헌팅 패턴
- Understanding DNS — 기본 구조와 레코드
- Windows 이벤트 ID
- rex, 필드 추출, eval
- 데이터 탐색과 시간
- 도메인 신호 — TLD·평판·나이·무작위성·ASN·위치
- 비코닝과 C2 탐지
- 새 HTTP 표준 — HTTP/2, HTTP/3·QUIC, 웹소켓, 그리고 HTTP 정리
- 암호화 DNS — DoT·DoH·DoQ·DNSSEC와 수집 전략
- 웹 서버, URL, GET 요청
- 응답 헤더와 응답 코드
- 자격증명, 레지스트리, 루트킷
- 잘 알려진 포트
- 프로세스와 코드 인젝션
- 필수 Linux 명령어
credential-access¶
- AD 인증서 서비스 악용 (ESC1 / ESC8)
- AS-REP Roasting
- DCSync
- Golden, Silver 티켓과 Pass-the-Ticket
- Kerberoasting
- LLMNR/NBT-NS 포이즈닝과 NTLM 릴레이
- LSASS 자격증명 덤프
- Pass-the-Hash
- SAM, LSA Secrets 및 NTDS.dit 추출
- 자격증명, 레지스트리, 루트킷
defense-evasion¶
detection¶
dfir¶
dns¶
- DNS
- DNS 기록 수집과 안전한 조사
- DNS 악용 공격 — 비인가 DNS·공유 호스팅·레코드 변조·터널링
- Understanding DNS — 기본 구조와 레코드
- dns.log
- 도메인 신호 — TLD·평판·나이·무작위성·ASN·위치
- 블록체인 DNS와 IDN(퓨니코드)
- 수상한 DNS 기록 판별표 · 정정 · 헷갈리는 포인트
- 암호화 DNS — DoT·DoH·DoQ·DNSSEC와 수집 전략
dnssec¶
doh¶
dprk¶
edr¶
egress¶
encryption¶
enrichment¶
evidence-acquisition¶
execution¶
- Amcache
- LOLBins — 서명된 바이너리를 통한 프록시 실행
- PowerShell 다운로드 크래들과 인코딩된 명령
- Prefetch
- SRUM
- Shimcache (AppCompatCache)
- WMI와 WinRM 실행
- 피싱 전달과 최초 실행
exfiltration¶
exploitation¶
file-knowledge¶
files¶
filesystem¶
hardening¶
host-firewall¶
http¶
- Base64 — 원리, 알아보기, 수상한 Base64
- HTTP
- HTTP 악용의 단계, 분석 방법 고르기, URL 평판 확인
- HTTP(S) 분석과 공격
- HTTPS — TLS 해독, 해독 없이 보는 법, 인증서 읽기
- POST, 그 밖의 메서드, 요청 헤더
- TLS 지문(JA3·JA3S·JARM·JA4)과 TLS 1.3, HTTP(S) 분석 정리
- User-Agent와 쿠키로 악성코드 찾기
- http.log
- 새 HTTP 표준 — HTTP/2, HTTP/3·QUIC, 웹소켓, 그리고 HTTP 정리
- 스크린샷, 샌드박스, 그리고 수동 분석으로 넘어갈 때
- 요청 판정 연습 — 점검법, 익스플로잇 킷, URL 속 URL
- 웹 서버, URL, GET 요청
- 응답 헤더와 응답 코드
- 익스플로잇 킷 판별과 악성·수상·정상 판정 연습
- 정상 사이트의 악성 파일, 파일 추출, 잦은 요청, IP 직접 접속
- 헤더 판독 실전 연습 — 요청 하나, 응답 하나
hunting¶
identity¶
idn¶
imaging¶
initial-access¶
injection¶
internet-allowlisting¶
lab¶
lateral-movement¶
- EternalBlue와 SMBv1 익스플로잇
- Golden, Silver 티켓과 Pass-the-Ticket
- LLMNR/NBT-NS 포이즈닝과 NTLM 릴레이
- Pass-the-Hash
- PsExec와 SMB 횡적 이동
- RDP — 원격 데스크톱 악용
- WMI와 WinRM 실행
- 횡적 이동과 도메인 침해
learning¶
linux¶
logs¶
memory¶
methodology¶
nat¶
netflow¶
network¶
- Arkime
- Arkime 검색 문법
- Arkime로 침입 탐지
- HTTP 상태 코드
- SRUM
- Wireshark와 tshark
- conn.log
- dns.log
- files.log와 pe.log
- http.log
- ssl.log와 x509.log
- 비코닝과 C2 탐지
- 잘 알려진 포트
- 질문별 보안 검색
network-forensics¶
- 1.10강 — 실습 가이드: tcpdump와 Wireshark 손에 익히기
- 1.11강 — 증거 수집: 어디서, 어떤 장비로 패킷을 모으나
- 1.12강 — 네트워크 조사의 어려움과 기회
- 1.13강 — 실습 가이드: 유출된 데이터 카빙하기
- 1.1강 — 디스크 밖에 남는 증거: 네트워크 포렌식이 필요한 이유와 조사자의 자세
- 1.2강 — 웹 프록시: 동작 원리, 종류, 그리고 설정 파일이 증거인 이유
- 1.3강 — 프록시 로그 읽기: 기본 형식의 열 개 필드, 맞춤 형식, 유닉스 시간
- 1.4강 — 프록시 로그만으로 사건 재구성하기: 조사 실습
- 1.5강 — 상용 프록시 로그, 그리고 프록시 캐시에서 응답 꺼내기
- 1.6강 — 패킷을 담는 그릇: libpcap, tcpdump, 그리고 pcap·pcapng 파일 구조
- 1.7강 — BPF로 필요한 패킷만 고르기
- 1.8강 — tcpdump 실전 옵션과 Wireshark 화면 읽기
- 1.9강 — Wireshark 디스플레이 필터와 스트림 따라가기
- 1부 — 네트워크 증거의 기초
- Network Forensics
ntfs¶
ntlm-relay¶
opsec¶
oscp¶
- Active Directory
- Impacket 실전 집중 가이드
- Linux 권한 상승
- OSCP 실전 종합 가이드
- OSCP+
- Windows 권한 상승
- 나의 공부 계획
- 랩 실습
- 랩: Kerberoasting
- 리포트
- 방법론과 습관
- 셸과 파일 전송
- 시험 구조와 점수
- 시험 당일 전략
- 시험 흐름
- 실습 랩과 머신 리스트
- 웹과 초기 침투
- 정찰과 정보 수집
- 패스워드 공격
- 피벗팅과 터널링
parsing¶
passwords¶
pcap¶
- 1.6강 — 패킷을 담는 그릇: libpcap, tcpdump, 그리고 pcap·pcapng 파일 구조
- 1.7강 — BPF로 필요한 패킷만 고르기
- 1.8강 — tcpdump 실전 옵션과 Wireshark 화면 읽기
- Arkime
- Wireshark와 tshark
pentesting¶
persistence¶
phishing¶
ping-castle¶
playbook¶
post-exploitation¶
- 3.1 구조와 명령어 실행 모델
- 3.2 세션과 파일 시스템
- 3.3 프로세스와 정보 수집
- 3.4 명령 실행과 외부 도구
- 3.5 최신 방어 관점과 복습
- Post-Exploitation
practical¶
practice¶
privilege-escalation¶
proxy¶
- 1.2강 — 웹 프록시: 동작 원리, 종류, 그리고 설정 파일이 증거인 이유
- 1.3강 — 프록시 로그 읽기: 기본 형식의 열 개 필드, 맞춤 형식, 유닉스 시간
- 1.4강 — 프록시 로그만으로 사건 재구성하기: 조사 실습
- 1.5강 — 상용 프록시 로그, 그리고 프록시 캐시에서 응답 꺼내기
ransomware¶
recon¶
redteam¶
- 1 초기 침투 (Initial Access)
- 2 지속성 유지 (Persistence)
- 3.1 구조와 명령어 실행 모델
- 3.2 세션과 파일 시스템
- 3.3 프로세스와 정보 수집
- 3.4 명령 실행과 외부 도구
- 3.5 최신 방어 관점과 복습
- Post-Exploitation
reference¶
regex¶
registry¶
splunk¶
sysmon¶
tcpdump¶
technique¶
- AD 인증서 서비스 악용 (ESC1 / ESC8)
- AS-REP Roasting
- DCSync
- DNS 악용 공격 — 비인가 DNS·공유 호스팅·레코드 변조·터널링
- EternalBlue와 SMBv1 익스플로잇
- Golden, Silver 티켓과 Pass-the-Ticket
- Kerberoasting
- LLMNR/NBT-NS 포이즈닝과 NTLM 릴레이
- LOLBins — 서명된 바이너리를 통한 프록시 실행
- LSASS 자격증명 덤프
- Pass-the-Hash
- PowerShell 다운로드 크래들과 인코딩된 명령
- PrintNightmare와 Print Spooler 악용
- PsExec와 SMB 횡적 이동
- RDP — 원격 데스크톱 악용
- SAM, LSA Secrets 및 NTDS.dit 추출
- UAC 우회
- WMI와 WinRM 실행
- 방어 무력화와 로그 삭제
- 블록체인 DNS와 IDN(퓨니코드)
- 지속성 — 서비스, 작업, Run 키
- 토큰 가장과 Potato 공격
- 프로세스 인젝션
- 피싱 전달과 최초 실행
threat-intel¶
timelining¶
tls¶
- HTTPS — TLS 해독, 해독 없이 보는 법, 인증서 읽기
- TLS 지문(JA3·JA3S·JARM·JA4)과 TLS 1.3, HTTP(S) 분석 정리
- ssl.log와 x509.log
tool¶
- Arkime
- Arkime 검색 문법
- Eric Zimmerman 도구
- KAPE
- Nmap
- Nmap 서비스 열거 & NSE
- Nmap 출력 & 성능
- Nmap 호스트 탐색 & 포트 스캔
- Plaso와 슈퍼 타임라인
- SPL 치트시트
- Velociraptor
- Volatility 3 워크플로
- Wireshark와 tshark
- 디스크와 메모리 이미징
training¶
- 1.10강 — 실습 가이드: tcpdump와 Wireshark 손에 익히기
- 1.11강 — 증거 수집: 어디서, 어떤 장비로 패킷을 모으나
- 1.12강 — 네트워크 조사의 어려움과 기회
- 1.13강 — 실습 가이드: 유출된 데이터 카빙하기
- 1.1강 — 디스크 밖에 남는 증거: 네트워크 포렌식이 필요한 이유와 조사자의 자세
- 1.2강 — 웹 프록시: 동작 원리, 종류, 그리고 설정 파일이 증거인 이유
- 1.3강 — 프록시 로그 읽기: 기본 형식의 열 개 필드, 맞춤 형식, 유닉스 시간
- 1.4강 — 프록시 로그만으로 사건 재구성하기: 조사 실습
- 1.5강 — 상용 프록시 로그, 그리고 프록시 캐시에서 응답 꺼내기
- 1.6강 — 패킷을 담는 그릇: libpcap, tcpdump, 그리고 pcap·pcapng 파일 구조
- 1.7강 — BPF로 필요한 패킷만 고르기
- 1.8강 — tcpdump 실전 옵션과 Wireshark 화면 읽기
- 1.9강 — Wireshark 디스플레이 필터와 스트림 따라가기
- 1부 — 네트워크 증거의 기초
- Base64 — 원리, 알아보기, 수상한 Base64
- Blue Team Essentials
- DNS
- DNS 기록 수집과 안전한 조사
- DNS 악용 공격 — 비인가 DNS·공유 호스팅·레코드 변조·터널링
- Day 1 — 허용 목록과 패스워드 공격
- Day 2 — 나가는 트래픽 분석과 로깅
- Day 3 — EDR, 위협 에뮬레이션, 호스트 방화벽
- Day 4 — Responder, 인터넷 허용 목록, 취약점 관리, 웹 보안, AD 하드닝
- HTTP
- HTTP 악용의 단계, 분석 방법 고르기, URL 평판 확인
- HTTP(S) 분석과 공격
- HTTPS — TLS 해독, 해독 없이 보는 법, 인증서 읽기
- Network Forensics
- POST, 그 밖의 메서드, 요청 헤더
- TLS 지문(JA3·JA3S·JARM·JA4)과 TLS 1.3, HTTP(S) 분석 정리
- Understanding DNS — 기본 구조와 레코드
- User-Agent와 쿠키로 악성코드 찾기
- 도메인 신호 — TLD·평판·나이·무작위성·ASN·위치
- 블록체인 DNS와 IDN(퓨니코드)
- 새 HTTP 표준 — HTTP/2, HTTP/3·QUIC, 웹소켓, 그리고 HTTP 정리
- 수상한 DNS 기록 판별표 · 정정 · 헷갈리는 포인트
- 스크린샷, 샌드박스, 그리고 수동 분석으로 넘어갈 때
- 암호화 DNS — DoT·DoH·DoQ·DNSSEC와 수집 전략
- 요청 판정 연습 — 점검법, 익스플로잇 킷, URL 속 URL
- 웹 서버, URL, GET 요청
- 응답 헤더와 응답 코드
- 익스플로잇 킷 판별과 악성·수상·정상 판정 연습
- 정상 사이트의 악성 파일, 파일 추출, 잦은 요청, IP 직접 접속
- 헤더 판독 실전 연습 — 요청 하나, 응답 하나
triage¶
tshark¶
tunneling¶
vulnerability-management¶
webshell¶
windows¶
- $MFT, $UsnJrnl, $LogFile
- Amcache
- DFIR용 레지스트리 키
- Eric Zimmerman 도구
- KAPE
- LNK 파일과 Jump Lists
- Prefetch
- SRUM
- Shimcache (AppCompatCache)
- Windows 이벤트 ID
- Windows 이벤트 로그 (EVTX)
- 시나리오별 아티팩트 식별
- 질문별 보안 검색
wireshark¶
- 1.10강 — 실습 가이드: tcpdump와 Wireshark 손에 익히기
- 1.13강 — 실습 가이드: 유출된 데이터 카빙하기
- 1.8강 — tcpdump 실전 옵션과 Wireshark 화면 읽기
- 1.9강 — Wireshark 디스플레이 필터와 스트림 따라가기