고객 POC 진행 절차
DSP는 고객 POC에서 흔한 문제를 해결하기 위해 설계되었습니다. 정상적이거나 폐쇄된 고객 네트워크에서는 짧은 평가 기간 동안 충분한 탐지 사례가 발생하지 않을 수 있습니다. 목표는 또 하나의 공격 Framework를 만드는 것이 아닙니다. 통제된 활동을 사용해 XDR/NDR의 탐지와 조사 과정을 고객이 직접 확인하고 반복해서 검증할 수 있게 하는 것입니다.권장 POC 흐름
실제 고객 POC에서는 다음 흐름을 권장합니다.- 승인된 CIDR, 제외 대상, Test Window를 합의합니다.
- 내부 호스트에서 실행할 필요가 없다면
local+normal로 시작합니다. - DSP를 실행하고 실제 생성된 활동과 실행 기록을 확인합니다.
- 같은 시간대와 호스트를 XDR/NDR 콘솔에서 확인합니다.
- Matching Detection ID, Screenshot, Note를 기록합니다.
- XDR 플랫폼이 관련 Signal을 하나의 Case로 연결했다면 Case 타임라인을 고객 검증 자료에 포함합니다.
dsp run은 대상 확장, 탐색, 시나리오 순서 결정, 실행, Event Store 기록, 검증, 보고를 한 번에 처리합니다. 위 그림은 고객 POC의 전체 흐름을 보여주며 각 단계가 별도 CLI 명령이라는 뜻은 아닙니다.Operator가 실제로 결정하는 세 가지
high는 더 넓은 Host Coverage가 의도된 경우에만 사용하세요. 대상별 Volume은 normal과 같고 더 많은 발견 Target으로 범위만 확장합니다.
Webshell Mode가 필요한 경우
POC 활동을 고객 네트워크 내부의 명시적으로 승인된 테스트 호스트에서 발생시켜야 한다면 검증된 JSP/PHP Webshell 방식을 사용할 수 있습니다. 내부 스캔, DNS, 웹, Identity Service, 프로토콜, 호스트 동작을 외부 DSP 호스트보다 실제 환경에 가까운 위치에서 생성할 수 있습니다. 현재 Release에서 ASPX/Windows IIS는 Preview 상태입니다.세 종류의 검증 자료를 구분해서 보기
이 세 계층을 분리하면 DSP 자체가 증명하는 범위를 과장하지 않을 수 있습니다.
시나리오 범위
POC 목적에 맞는 활동 유형을 선택합니다.
XDR Correlation Demo
NDR 탐지와 선택적인 외부 Alert을 하나의 XDR 조사 흐름으로 연결합니다.
보고서 및 검증 자료
DSP 실행부터 고객 검증 결과까지 추적할 수 있는 기록을 만듭니다.
안전 수칙 및 제한
실행 전에 대상 범위, 최대 호스트 수, 실행 위치를 확인합니다.