VirusTotal

VirusTotal은 파일 해시 또는 파일 자체를 넣으면, 여러 서비스가 수십 개 백신 엔진으로 동시에 검사해서 악성인지 아닌지 판정해 결과를 모아서 보여주는 서비스이다.

VirusTotal → 파일 해시 조회는 Wazuh 기본으로 내장되어 있다. ossec.conf 에서 설정할 수 있다.

Target-EC2(에이전트)

sudo mkdir -p /opt/vt-test        # 감시할 폴더 생성

sudo vi /var/ossec/etc/ossec.conf # 설정 파일 

#설정 추가
<directories check_all="yes" realtime="yes">/opt/vt-test</directories>

# directories 감시할 폴더 지정
# /opt/vt-test 감시 대상 폴더
# chekck_all = "yes" 파일의 해시, 크기, 권한, 소유자 등 전부 체크
# realtime="yes"     주기적으로 훑는 게 아니라 변화 즉시 탐지 

sudo systemctl restart wazuh-agent # 설정 파일 변경했으니 agent 재시작 

VirusTotal 연동에 필요한 이유는

FIM(File Integrity Monitoring)은 파일이 바뀌었는지 감시하는 기능이다. 이것은 Wazuh의 기능

VirusTtoal은 받은 해시가 악성인지 판별만 해준다.

1. FIM이 /opt/vt-test에 새 파일 생긴 걸 탐지 한다.
2. Wazuh Manager 에 “파일 추가됨” 알림
3. 그 해시를 VirousTotal에 조회
4. 악성이면 알림

Wazuh Manager-EC2

sudo vi /var/ossec/etc/ossec.conf # 설정 파일

<integration>
  <name>virustotal</name>
  <api_key>API키</api_key>
  <rule_id>550,554</rule_id>
  <alert_format>json</alert_format>
</integration>     #rule_id 554= 파일 새로 생김, 550 = 파일 내용 바뀜 -> 이 두 알림이 뜰 때만 VirusTotal 조회 

sudo systemctl restart wazuh-manager # 설정 파일 변경했으니 재시작