네트워크 흐름 데이터 및 내부 흐름 데이터를 캡처하고 분석하기 위한 패키지로, 네트워크 연구, 포렌식, 보안 모니터링에 사용됩니다.
_
() ___ _ _
| |/ _ | | | |
| | () | || |
/ |___/ _, |
|/ |/
네트워크 흐름 데이터와 플로우 내부 데이터를 캡처 및 분석하여
네트워크 연구, 포렌식, 보안 모니터링에 활용하기 위한 패키지
추가: 최신 네트워크 핑거프린팅 도구 및 데이터는 Mercury를 참조하십시오.
Joy는 BSD 라이선스의 libpcap 기반 소프트웨어 패키지로, IPFIX나 Netflow와 유사한 흐름 지향 모델을 사용하여 실시간 네트워크 트래픽이나 패킷 캡처(pcap) 파일에서 데이터 특징을 추출한 후, 이러한 데이터 특징을 JSON으로 표현합니다. 또한 이러한 데이터 파일에 적용할 수 있는 분석 도구도 포함하고 있습니다. Joy는 특히 보안 및 위협 관련 데이터를 대규모로 탐색하는 데 사용될 수 있습니다.
JSON은 데이터 분석 도구에서 출력을 쉽게 소비할 수 있도록 하기 위해 사용됩니다. JSON 출력 파일은 다소 장황하지만, 크기가 합리적이며 압축에 잘 반응합니다.
Joy는 플로우 내부 데이터, 즉 네트워크 플로우 내에서 발생하는 이벤트에 대한 데이터와 정보를 얻도록 구성할 수 있으며, 여기에는 다음이 포함됩니다:
구성 가능한 패킷 수까지 IP 패킷의 길이 및 도착 시간 순서
플로우 데이터 부분 내 바이트의 경험적 확률 분포와 그 값에서 파생된 엔트로피
TLS 레코드의 길이 및 도착 시간 순서
제안된 암호 스위트 목록, 선택된 암호 스위트, clientKeyExchange 필드의 길이, 서버 인증서 문자열과 같은 기타 비암호화 TLS 데이터
DNS 이름, 주소 및 TTL
HTTP 헤더 요소 및 HTTP 본문의 처음 8바이트
pcap이 실행되는 호스트에서 시작되거나 종료되는 플로우의 경우, 해당 플로우와 관련된 프로세스 이름
Joy는 보안 연구, 포렌식, 그리고 (소규모) 네트워크 모니터링을 통해 취약점, 위협 및 기타 무단 또는 원치 않는 행동을 탐지하기 위한 용도로 사용됩니다. 연구자, 관리자, 침투 테스터 및 보안 운영팀은 이 정보를 활용하여 모니터링되는 네트워크를 보호하고, 취약점의 경우 더 나은 방어 태세를 통해 광범위한 커뮤니티에 이익을 줄 수 있습니다. 다른 네트워크 모니터링 도구와 마찬가지로 Joy도 오용될 가능성이 있습니다. 소유자나 관리자가 아닌 네트워크에서는 사용하지 마십시오.
긍정 심리학에서 'flow'는 활동을 수행하는 사람이 에너지 넘치는 집중, 깊은 몰입, 기쁨의 감정에 완전히 빠져 있는 상태를 의미합니다. 이 두 번째 의미가 이 소프트웨어 패키지의 이름 선택에 영감을 주었습니다.
Joy는 알파/베타 소프트웨어입니다. 사용하고 혜택을 보시길 바라지만, 프로덕션 환경에는 적합하지 않음을 이해해 주십시오.
최근 가장 크고 정보량이 많은 오픈 소스 TLS 핑거프린트 데이터베이스를 공개했습니다. 다른 기능 중에서도, 우리의 접근 방식은 완전 자동화되고 TLS 핑거프린트에 훨씬 더 많은 정보를 주석으로 추가함으로써 이전 연구를 발전시켰습니다. 이 데이터베이스를 적용하고 Joy를 사용하여 새로운 데이터베이스를 생성할 수 있는 Python 도구 세트를 구축했습니다. 자세한 내용은 TLS 핑거프린팅 문서를 참조하십시오.
Joy는 Cisco의 암호화 트래픽 분석(ETA)을 위한 기반 연구를 지원했지만, ETA를 구현하는 Cisco 제품이나 서비스에 직접 통합되지는 않았습니다. Joy의 분류기는 몇 년 전 작은 데이터 세트로 훈련되었으며, ETA의 분류 방법이나 성능을 대표하지 않습니다. 이 기능의 목적은 네트워크 연구자들이 Joy가 생성하는 데이터 특징의 하위 집합에서 자신의 분류기를 신속하게 훈련하고 배포할 수 있도록 하는 것입니다. 자신의 분류기 훈련에 대한 자세한 내용은 saltUI/README를 참조하거나 [email protected]으로 문의하십시오.
이 패키지는 Cisco Systems Advanced Security Research Group (ASRG) 및 Security and Trust Organization (STO)의 David McGrew, Blake Anderson, Philip Perricone, Bill Hudson {mcgrew,blaander,phperric,bhudson}@cisco.com이 작성했습니다.
패키지의 4.0.1 릴리즈를 발표하게 되어 기쁘게 생각합니다. 이 릴리즈에는 다음과 같은 기능이 포함되어 있습니다:
패키지의 4.0.0 릴리즈를 발표하게 되어 기쁘게 생각합니다. 이 릴리즈에는 다음과 같은 기능이 포함되어 있습니다:
패키지의 3.0.0 릴리즈를 발표하게 되어 기쁘게 생각합니다. 이 릴리즈에는 다음과 같은 기능이 포함되어 있습니다:
패키지의 2.0 릴리즈를 발표하게 되어 기쁘게 생각합니다. 이 릴리즈에는 다음과 같은 기능이 포함되어 있습니다:
Joy는 Linux (Debian, Ubuntu, CentOS, Raspbian), Mac OS X 및 Windows에서 성공적으로 실행 및 테스트되었습니다. 시스템은 gcc와 GNU make로 빌드되었지만, 다른 개발 환경에서도 작동해야 합니다.
Wiki에서 빌드 가이드를 확인하십시오: 빌드 지침
Joy의 라이선스 참조
외부 라이브러리 라이선스에 대해서는 Copying 참조