시스템 보안 · 취약점 › G. 내부 확장 · 측면 이동 징후 · 50/50편 (전체 350/450) 학습 단계: 실전 시나리오·종합 실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」 이며, IP·계정·호스트명은 가상의 값입니다. 선행 학습 349. 내부 확장·측면 이동 — 실전 시나리오·침투부터 핵심 자산 장악까지 301. 내부 확장·측면 이동 징후 분석 개요 1. 개념 G영역 「내부 확장·측면 이동 징후」 50편을 종합 정리합니다. 측면 이동은 거점 하나에서 조직 전체로 확산 되는 공격 단계로, 침투와 목표 달성(유출·파괴) 사이의 핵심 고리입니다. G영역은 이 확산을 탐지·분석·차단하는 전 과정을 다뤘습니다. G영역 전체 체계 [기초] 개념·공격 단계·기반·기준선·분석 축(G01~G08) [인증 이동] SSH·키/자격 재사용·PtH·계정 전환(G09~G18) [원격 실행] 명령·스케줄러·SMB·DB·웹·터널(G19~G28) [정찰·확산] 스캔·열거·수집·경로·핵심 자산·연계(G29~G38) [로그 분석] 타임라인·상관·그래프(G39~G43) [SOC 연계] Wazuh·SIEM·NDR·대응·카탈로그·실전(G44~G50) = 개념부터 실전 운영까지 측면 이동 탐지의 핵심은 "개별 이벤트가 아닌 연결(상관)"입니다. 단일 이동은 정상처럼 보여도, 출발지·계정·시간으로 연결하면 확산 패턴이 드러납니다. 2. 왜 중요한가 측면 이동은 침투와 목표 사이의 핵심 고리로, 여기서 차단하면 피해를 막습니다. 개별 이벤트는 정상처럼 보여, 상관(연결)이 탐지의 본질입니다. 조기 단계(정찰·초기 이동) 탐지가 핵심 자산 보호의 열쇠입니다. 3. 핵심 명령어 / 설정 영역 핵심 기초 동-서 트래픽·4대 축·기준선 인증 이동 키/자격 재사용·PtH·계정 전환 원격 실행 명령·SMB·DB·웹·터널 정찰·확산 스캔·수집·경로·핵심 자산 SOC 연계 상관·Wazuh/SIEM·대응 4. 실습 (실습 예시) # G영역 종합 운영 점검 (분석 방법) # 측면 이동 탐지 체계 전반 점검 echo "1. 중앙 수집·정규화(G41) 정상 여부" echo "2. 단계별 룰 커버리지(G48) 누락 여부" echo "3. 상관 룰(G42·G44) 작동 여부" echo "4. 기준선(G04)·핵심 자산 등록(G34) 최신 여부" echo "5. 대응 플레이북(G47) 준비 여부" sudo /var/ossec/bin/wazuh-logtest # 룰 검증 5. 정상 상태 종합 점검(정상 운영): · 중앙 수집·정규화 정상 · 단계별 룰·상관 룰 적재·작동 · 기준선·핵심 자산 최신 · 대응 플레이북 준비 수집·정규화·단계별 룰·상관·기준선·대응이 모두 정비되어, 측면 이동을 다층으로 탐지·대응할 준비가 된 상태가 정상입니다. 6. 이상 상태 운영 미비 시 위험: · 중앙 수집 미비 → 확산 추적 불가(사각) · 단계 룰 누락 → 그 단계 사각 · 상관 미작동 → 개별 정상으로 미탐 · 기준선·자산 미갱신 → 오탐·사각 → 종합 점검으로 체계 완결성 유지 수집·정규화 미비 → 측면 이동 추적 자체가 불가(가장 큰 사각) 상관 미작동 → 개별 이벤트가 정상으로 보여 미탐 종합 점검으로 탐지 체계의 완결성을 지속 유지 7. 로그 분석 (분석 방법) G영역 종합 체계입니다(가상의 예시). [기초] 개념·4대 축·기준선(G01~G08) ↓ [탐지] 인증 이동·원격 실행·정찰·확산(G09~G38) ↓ [분석] 타임라인·상관·그래프(G39~G43) ↓ [SOC] Wazuh·SIEM·NDR·대응·카탈로그(G44~G48) ↓ [실전] 시나리오·종합(G49~G50) = 개념→탐지→분석→운영→실전 완결 체계 핵심 원리: 개별 이벤트 → (상관) → 확산 패턴 → 탐지·차단 흐름 결과 기초 판단 기준 탐지 단계별 신호 분석 사건 재구성 SOC 운영 탐지·대응 개념부터 실전까지 측면 이동을 다루는 완결 체계입니다. 8. SOC 관제 포인트 측면 이동은 거점 하나에서 조직 전체로 확산 되는, 침투와 목표 사이의 핵심 고리입니다. 탐지의 본질은 개별 이벤트의 상관(연결) 으로, 단일은 정상이어도 연결하면 확산이 보입니다. 중앙 수집·정규화·단계별 다층 룰·상관·기준선·대응을 갖춘 완결 체계가 핵심입니다. 9. 탐지 규칙 <!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 --> <group name="local,syssec_g,lateral,"> <rule id="106490" level="12"> <if_group>lateral</if_group> <description>G영역 측면 이동 탐지 체계(종합 — 상관 기반 확산 탐지)</description> <mitre><id>T1021</id><id>T1078</id><id>T1210</id></mitre> </rule> </group> G영역 전 룰(106000~106480)을 lateral 그룹으로 통합 운영하고, 중앙 수집·상관·기준선·대응을 하나의 체계로 유지합니다. 정기 점검으로 완결성을 지킵니다. 10. 대응 방법 초기 확인 — 중앙 수집·정규화·단계별 룰·상관·기준선·대응을 종합 점검합니다. 범위 확인 — 측면 이동 탐지 체계의 커버리지·상관 작동·완결성을 확인합니다. 증거 확보 — 탐지 체계·룰 카탈로그·운영 문서를 보존·갱신합니다. 차단/조치 — 미비 항목은 보강하고, 신규 이동 기법은 룰·기준선에 반영합니다. 재발 방지 — G영역 측면 이동 탐지 체계를 지속 운영·발전시킵니다. 11. 핵심 정리 영역 핵심 기초 동-서·4대 축·기준선 인증/원격 이동 키·자격 재사용·SMB·DB·터널 정찰·확산 스캔·수집·경로·핵심 자산 SOC 연계 상관·Wazuh/SIEM·대응 면접 포인트 "측면 이동 탐지의 본질은 상관 — 개별은 정상, 연결하면 확산이 보인다" 12. 다음 편 예고 이것으로 G영역 「내부 확장·측면 이동 징후」를 마칩니다. 다음 영역에서 또 다른 보안 주제로 이어집니다. 이전 편: 349. 내부 확장·측면 이동 — 실전 시나리오 — 침투부터 핵심 자산 장악까지 📚 시리즈 전체 보기: 시스템 보안 · 취약점
시스템 보안 · 취약점 › G. 내부 확장 · 측면 이동 징후 · 47/50편 (전체 347/450) 학습 단계: SOC 탐지 연계 실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」 이며, IP·계정·호스트명은 가상의 값입니다. 선행 학습 346. 내부 확장·측면 이동 — 네트워크 탐지(NDR)·흐름 로그 연계 308. 내부 확장·측면 이동 판정 기준 1. 개념 측면 이동 경보는 확산 중인 활성 공격 일 가능성이 높아, 신속·체계적 대응이 필요합니다. 접수→분류→조사→격리→확산 차단→복구의 플레이북 으로 대응하되, 측면 이동 특성상 확산 차단(추가 이동 저지) 이 최우선입니다. 측면 이동 Alert 대응 절차 1. 접수·분류: 정탐/오탐, 심각도(핵심 자산 근접?) 2. 조사: 4대 축·경로 매핑·타임라인 3. 격리: 영향 호스트·허브 격리 4. 확산 차단: 경로 차단·자격증명 교체 5. 복구: 정리·패치·모니터링 6. 사후: 타임라인·보고·교훈 핵심: 확산 차단(추가 이동 저지)이 최우선 측면 이동은 진행 중이면 매 순간 확산되므로, 조사와 병행해 확산 차단을 서두릅니다. 허브(G43) 격리가 확산을 가장 효율적으로 끊습니다. 2. 왜 중요한가 측면 이동 경보는 활성 확산일 가능성이 높아 신속 대응이 필수입니다. 확산 차단(추가 이동 저지)이 조사보다 우선할 수 있습니다(진행 중). 허브 격리·자격증명 교체가 확산을 끊는 핵심 조치입니다. 3. 핵심 명령어 / 설정 단계 조치 우선순위 분류 정탐/오탐·심각도 즉시 조사 경로·타임라인 병행 격리 호스트·허브 높음 확산 차단 경로·자격 교체 최우선 복구 정리·패치 이후 4. 실습 (실습 예시) # 측면 이동 Alert 대응 (분석 방법) # 1. 영향 범위 확인(경로 매핑) sudo ausearch -k lateral -i --start recent 2>/dev/null | grep -oE 'srcip=10\.[0-9.]+.*addr=10\.[0-9.]+' | sort | uniq -c # 2. 활성 세션 확인(진행 중 이동) ss -tnp 2>/dev/null | grep -E ':22\b' | grep -E '10\.|192\.168\.' # 3. 증거 보존(격리 전 로그 수집) sudo ausearch -k lateral,privesc,exfil --start recent > /var/log/ir_lateral_$(date +%s).log 2>/dev/null 5. 정상 상태 대응 준비 상태(정상 운영): · 플레이북·연락망·격리 권한 준비됨 · 경보 접수 시 즉시 분류·대응 가능 플레이북·연락망·격리 권한이 준비되어, 경보 접수 시 지체 없이 분류·대응에 들어갈 수 있는 상태가 정상(대응 준비 완료)입니다. 6. 이상 상태 측면 이동 경보 대응 흐름(정탐): 1. 분류: 핵심 자산 근접 → 심각도 상 2. 조사: web01→db01→app01 경로, db01=허브 3. 격리: db01(허브) 우선 격리 → 확산 차단 4. 자격 교체: 관련 SSH 키·계정 전면 교체 5. 복구: 발판·도구 제거, 진입점 패치 핵심 자산 근접 경보 → 심각도 상향 → 신속 대응 허브(db01) 우선 격리 → 추가 확산 차단 경로 차단 + 자격증명 교체 → 측면 이동 봉쇄 7. 로그 분석 (분석 방법) 측면 이동 Alert 대응 절차입니다(가상의 예시). [접수] 106430 상관 경보(캠페인) ↓ 분류 정탐 + 핵심 자산 근접 → 심각도 상 ↓ 조사(병행) 경로: web01→db01→app01, 허브=db01 ↓ 확산 차단(최우선) db01(허브) 격리 → SSH 키·계정 교체 ↓ 복구 발판·도구 제거, web01 진입점 패치 ↓ 사후 타임라인·보고·탐지 규칙 보강 단계 핵심 조치 분류 심각도·정탐 조사 경로·허브 확산 차단 허브 격리·자격 교체 복구 정리·패치 확산 차단(허브 격리·자격 교체)이 대응의 최우선입니다. 8. SOC 관제 포인트 측면 이동 경보는 활성 확산 일 수 있어 신속·체계적 플레이북 대응이 필요합니다. 접수→분류→조사→격리→확산 차단→복구 중 확산 차단이 최우선 입니다. 허브(G43) 격리와 자격증명 전면 교체가 확산을 끊는 핵심 조치입니다. 9. 탐지 규칙 <!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 --> <group name="local,syssec_g,lateral,response,"> <rule id="106460" level="14"> <if_sid>106430</if_sid> <description>측면 이동 캠페인 경보 — 대응 플레이북 가동(확산 차단 우선)</description> <mitre><id>T1021</id></mitre> </rule> </group> 고레벨 캠페인 경보는 자동 플레이북(격리·자격 교체 티켓)과 연동합니다. 격리 권한·연락망·증거 보존 절차를 사전 정비합니다. 10. 대응 방법 초기 확인 — 경보를 분류(정탐/오탐·심각도·핵심 자산 근접)합니다. 범위 확인 — 경로·허브·타임라인을 조사하며 확산 차단을 병행합니다. 증거 확보 — 증거 보존(격리 전 로그) 후 허브·호스트를 격리합니다. 차단/조치 — 경로 차단·자격증명 전면 교체·발판 제거·진입점 패치를 진행합니다. 재발 방지 — 사후 타임라인·보고·탐지 규칙 보강으로 측면 이동 대응을 마무리합니다. 11. 핵심 정리 단계 조치 분류 정탐/오탐·심각도 조사 경로·허브·타임라인 확산 차단 허브 격리·자격 교체(최우선) 복구 정리·패치·모니터링 면접 포인트 "측면 이동은 활성 확산 — 허브 격리+자격 교체로 확산 차단이 최우선" 12. 다음 편 예고 다음 편 348. 내부 확장·측면 이동 — 내부 확장·측면 이동 탐지 규칙 모음 에서는 내부 확장·측면 이동 탐지 규칙을 모으는 내부 확장·측면 이동 탐지 규칙 모음 을 다룹니다. 이전 편: 346. 내부 확장·측면 이동 — 네트워크 탐지(NDR)·흐름 로그 연계 📚 시리즈 전체 보기: 시스템 보안 · 취약점