내부 호스트에서 인터넷 구간으로 대량 데이터 전송 발생 시 탐지합니다.
Overview
| Priority | Medium |
|---|---|
| Type | Stream |
| Log schema | session |
| Message | 대량 데이터 유출: $src_ip -> $dst_ip:$dst_port ($sent_bytes 바이트) |
| Output field order | _log_time, type, emp_key, emp_name, src_user, src_ip, src_port, dst_ip, dst_port, protocol, category, app, sent_bytes, rcvd_bytes, sent_pkts, rcvd_pkts, duration, action, end_reason |
| MITRE Techniques | T1048 Exfiltration Over Alternative Protocol |
| MITRE tactics | TA0010 Exfiltration |
| Referenced objects | Network range 내부망 대역3 |
Query
1| search sent_pkts >= 100000000
2| search rcvd_bytes > 0
3| search sent_bytes >= rcvd_bytes * 10
4| matchnet field=src_ip guid="bb994ca4-1471-4b91-89f2-99a61bd529b5" verify=f
5| matchnet invert=t field=dst_ip guid="bb994ca4-1471-4b91-89f2-99a61bd529b5" verify=f
팔로알토 네트웍스 차세대 방화벽 수집 모델에 대해 아래 쿼리를 적용하여 실시간 탐지를 수행합니다.
설명
- 업로드 세션 분류: 100MB 이상 송신한 세션 중 수신 바이트 대비 송신 바이트 값이 10배 이상인 경우
- 외부 데이터 유출 분류: 출발지 IP가 내부망 IP 대역이고, 목적지 IP가 내부망 IP 대역이 아닌 세션
참조 객체
- 내부망 네트워크 대역: bb994ca4-1471-4b91-89f2-99a61bd529b5
Threat analysis
- 공격자는 임의의 네트워크 프로토콜을 통해 인터넷 호스트로 대량의 데이터를 유출할 수 있습니다.
- 특히 전송 바이트(sent_bytes) 값이 큰 경우 어떤 작업이 있었는지 확인할 필요가 있습니다.
False positives
- 정상적인 대량 데이터 전송도 탐지하므로, 특정 내부 IP 주소에서 특정 인터넷 서버로 대량의 데이터를 전송하는 것이 허용된 경우에는 해당 IP 주소의 쌍을 탐지 예외 조건으로 추가하여 조정합니다.
- 예시: 내부 에이전트가 클라우드 SIEM 서버로 로그 데이터 대량 전송