🔎 윈도우 PC cmd 기반 이상 행위 탐지

✍️ Summary

• 윈도우 시스템상에서 사용되는 명령어들을 조사
• 일반적인 경우와 침해가 발생했을때 사용되는 명령어의 종류 빈도를 비교
• 기존에 발생하던 형태와 유사도 차이가 크면 Alert 발생

📗 Content

• 공개된 데이터 셋 활용시, 내부 환경과의 차이가 많기에 딥러닝의 방법은 활용하지 않음
• EDR 로그 중 주요 CMD를 필터링하여 저장 : https://github.com/JPCERTCC/DetectLM 데이터 참고
• 저장된 로그의 aggregation
• aggregation된 로그의 연산
• Endpoint의 증가를 고려하여 k8s를 이용, pod 증가를 통해 안정적인 운영 가능

⭐ Result

• 침해사고 발생 후 확산 과정에서 이벤트 발생