공격 재현 → 증거 수집 → 원인 분석 → 탐지 → 대응
공급망 침해사고의 전 과정을 하나의 타임라인과 검증 가능한 증거로 연결하는 실전형 DFIR 프로젝트입니다.

Ganda-it Transfer는 공급업체와 병원 사이에서 업무 파일과 소프트웨어 패키지를 전달하는 가상의 B2B 파일 전송 서비스입니다. 정상 환경에서는 공급업체가 등록한 파일을 병원 수신 서버가 전달받아 내부 스케줄러로 처리합니다.

단일 로그만으로 결론을 내리지 않고, 호스트·네트워크·파일 증거를 시간축으로 교차 검증합니다.

• IIS 요청과 웹 셸 생성 시점을 연결하여 최초 침투 구간 재구성
• B2B 서비스 계정의 로그인·토큰 사용 이력과 파일 전송 기록 검증
• 예약 작업 등록, Dropper 실행, 하위 프로세스 생성 순서 복원
• Defender 비활성화 및 Volume Shadow Copy 삭제 시도 확인
• 암호화 대상 확장자, 랜섬노트 생성 시점, C2·유출 트래픽 분석
• 서로 다른 시간대의 로그를 UTC 기준으로 정규화해 통합 타임라인 작성

• YARA — 악성 웹 셸, Dropper 및 랜섬웨어 특징 기반 탐지
• Sigma — 비정상 예약 작업, 백업 삭제, 보안 기능 비활성화 행위 탐지
• Wazuh — Sysmon·Windows 이벤트 수집, 상관분석 및 Alert 구성
• Integrity Check — B2B 수신 파일의 해시·서명·승인 상태 검증

1. 식별 — Alert 검증, 영향 자산·계정·파일 범위 파악
2. 격리 — 감염 호스트와 B2B 전송 채널 분리, 악성 세션 차단
3. 보존 — 원본 로그·메모리·디스크·PCAP 확보 및 해시 기록
4. 제거 — 웹 셸·예약 작업·악성 파일 제거, 탈취 자격 증명 폐기
5. 복구 — 검증된 백업으로 복구하고 단계적으로 서비스 재개
6. 개선 — 탐지 규칙 보완, 서비스 계정 권한 분리, 재발 방지 대책 반영

각자 담당 영역을 중심으로 수행하되, 전 구성원이 침해사고 대응 역량을 전체적으로 경험할 수 있도록 공격 재현부터 분석·탐지·대응까지의 전체 흐름을 함께 수행함.

.
├── README.md
├── docs/
│   ├── architecture/          # 시스템 및 네트워크 구성도
│   ├── attack-scenario/       # 공격 시나리오와 재현 절차
│   ├── forensics/             # 포렌식 분석 기록
│   ├── threat-hunting/        # IoC·TTP 및 ATT&CK 매핑
│   └── response/              # 초동 대응 SOP와 개선 권고안
├── evidence/
│   ├── README.md              # 증거 관리 정책 및 메타데이터
│   ├── hashes/                # 증거 파일 해시 목록
│   ├── timeline/              # 정규화된 통합 타임라인
│   └── sanitized/             # 비식별·무해화된 공개 가능 자료
├── rules/
│   ├── yara/                  # YARA 탐지 규칙
│   ├── sigma/                 # Sigma 탐지 규칙
│   └── wazuh/                 # Wazuh Decoder 및 Alert Rule
├── scripts/
│   ├── collection/            # 증거 수집 자동화 스크립트
│   ├── analysis/              # 로그·아티팩트 분석 스크립트
│   └── validation/            # 탐지 규칙 검증 스크립트
├── reports/
│   ├── incident-response/     # 침해사고 분석 보고서
│   └── presentation/          # 최종 발표 자료
├── assets/
│   ├── diagrams/              # 아키텍처 및 공격 흐름도
│   └── screenshots/           # 대시보드 및 분석 화면
├── .gitignore
└── LICENSE

위 구조는 권장안이며 실제 프로젝트 진행 상황에 따라 변경될 수 있습니다.
원본 증거와 악성 샘플은 공개 저장소에 업로드하지 않고 별도의 통제된 저장소에서 관리합니다.

• 모든 공격 실증은 외부 네트워크와 완전히 차단된 가상 랩에서만 수행합니다.
• 모든 결론은 PCAP, OS·웹 서버 로그, 파일 해시 등 재현·검증 가능한 증거에 근거합니다.
• 증거 원본은 읽기 전용으로 보존하고 수집 시각, 출처, 담당자 및 해시값을 기록합니다.
• 공개 저장소에는 실제 악성코드, 자격 증명, 개인정보 및 즉시 악용 가능한 공격 자료를 업로드하지 않습니다.

_{K-Shield Junior 17기 · 침해사고 대응 및 분석 · 4조}