METIS-FL can be used as a fireman elevator or a passenger elevator. It is installed in the fire-proof closed structure of the building to ensure the safe passage of users. Specification Of METIS-FL Firefighter Elevators NO. Specification 800(10/P) 1050(14/P) 1350(18/P) 1600(21/P) 1 Capacity (kg) 800 1050 1350 1600 2 Speed (m/s) 1 1.75 2 1 1.75 2 2.5 1 1.75 2 2.5 1 1.75 2 2.5 3 Operation System full collective selection operation 4 Driving System VVVF 5 Door Operator System VVVF 6 Traction Machine Permanent Magnet Synchronous Gearless type 7 Control System CTRL80 9 Parallel Elevators 2 units 10 Group Control Elevators 3-8 units 11 Wide Car Car Dimension mm 1350x1400 1600x1500 1950x1500 1950x1750 width depth 13 Shaft Size mm 2000x2150 2200x2200 2600x2300 2600x2550 W H 14 Deep Car Car Dimension mm - 1100x2100 1200x2400 1400x2400 width*depth 16 Shaft Size mm - 2050x2550 2150x2850 2400x2850 We can also provide kinds of fireman's lift elevator for sale, if you are interested, please contact us. IFE lift, as an excellent elevators factory , offers a wide range of lift elevator for you to choose from.
시스템 보안 · 취약점 › I. 지속성 · 재침투 징후 · 45/50편 (전체 445/450) 학습 단계: SOC 탐지 연계 실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」 이며, IP·계정·호스트명은 가상의 값입니다. 선행 학습 444. 지속성·재침투 — Wazuh 기반 지속성·재침투 탐지 395. 방어 회피·흔적 삭제 — ELK/SIEM 기반 방어 회피 탐지와 정탐·오탐 판단(H영역) 1. 개념 지속성 탐지에서 가장 흔한 오탐 원인은 정상 자동화 입니다. 패키지 업데이트는 유닛과 cron을 바꾸고, Ansible은 sudoers와 SSH 키를 배포합니다. SIEM에서는 이런 정상 변경을 근거와 함께 걸러내는 질의와 예외 가 필요합니다. 지속성 대시보드 구성(예) ┌ 패널1: 호스트별 지속성 Alert 수 (class별 색) ├ 패널2: 시간대 분포 (업무 외 강조) ├ 패널3: actor 상위 (구성관리 계정 vs 대화형 사용자) ├ 패널4: 미소유 신규 항목 (persist-diff ADD) └ 패널5: 재침투 통로 (reentry_* 목적지·포트) 대표 오탐 3종 패키지 업데이트 : exe=dnf/apt, 같은 시각 대량 변경 구성관리 배포 : actor=deploy, 여러 호스트 동시 동일 변경 백업·모니터링 : 승인된 cron·유닛, 기준선 반영 누락 핵심: 예외는 "누가·무엇으로"로 좁게 — 경로 전체 예외는 금지 예외를 경로 단위로 걸면(예: /etc/cron.d 전체 제외) 공격자도 그 경로를 그대로 쓸 수 있습니다. 예외는 actor + method + 대상 을 모두 지정해 좁게 만듭니다. 2. 왜 중요한가 오탐이 많으면 관제원이 지속성 Alert를 무시하게 됩니다. 좁은 예외는 정상 자동화를 걸러내면서 공격 경로는 남겨 둡니다. 판정 근거를 질의로 남기면 같은 유형의 판정이 빨라집니다. 3. 핵심 명령어 / 설정 질의 목적 KQL 예 대화형 수정 rule.groups:persistence and not data.audit.exe:(*dnf* or *rpm* or *ansible*) 업무 외 rule.groups:persistence and not hour_of_day:[9 TO 18] 동시 다호스트 rule.id:108200 집계 → 같은 분 다수 호스트 = 배포 서비스 계정 data.audit.uid:(apache or www-data) and rule.groups:persistence 4. 실습 (실습 예시) # 오탐 판정 질의 순서 (분석 방법) # 1) 같은 시각 같은 변경이 여러 호스트에서? → 배포 가능성 # Kibana: rule.id:108200 → Visualize: date_histogram(1m) × terms(agent.name) # 2) 변경 주체가 구성관리 계정? → data.audit.auid:deploy # 3) 변경 도구가 패키지 관리자? → data.audit.exe:(*dnf* or *apt*) # 4) 승인 티켓과 시각 일치? → 변경관리 시스템 조회 # 5) 위 4개 모두 Y → 정상 행위, 기준선 반영 + 좁은 예외 검토 5. 정상 상태 10-02 10:12 rule 108200 × 38 호스트 (exe=/usr/bin/dnf, CHG-1090) 판정: 정상 행위(패키지 업데이트) → 기준선 일괄 갱신 여러 호스트에서 같은 시각 패키지 관리자가 만든 변경은 승인 티켓과 맞으면 정상 행위로 판정하고 기준선을 갱신합니다. 6. 이상 상태 10-08 03:02 rule 108200 × 1 호스트(web01), exe=/usr/bin/systemctl, auid=webadmin 같은 세션: 108080·108140·108180·108260 판정: 정탐 (단일 호스트·대화형·업무 외·다분류) 한 호스트에서만 발생 + 대화형 사용자 → 배포 아님 같은 세션 다분류 지속성 → 설치 단계(정탐) 예외 후보가 될 근거 없음 → 에스컬레이션 7. 로그 분석 (분석 방법) 정탐·오탐 판단 흐름입니다(가상의 예시). [Alert] persistence 그룹 ↓ 1 다호스트 동시? ─예→ 배포 의심 → 2 2 actor·exe = 구성관리·패키지? ─예→ 3 3 티켓 일치? ─예→ 정상 행위 (기준선 갱신) ↓ 어느 단계든 아니오 4 I08 6축 판정 → 정탐/의심 ↓ 5 반복 정상 행위 → 좁은 예외(actor+exe+경로) 예외 범위 평가 경로 전체 위험(공격 경로도 제외) actor+exe+경로 적정 시간 창 한정 배포 창에 한해 허용 예외 룰에도 만료일과 담당자를 기록해 두고, 분기마다 예외가 여전히 필요한지 검토해야 예외가 공격 경로로 굳지 않습니다. 8. SOC 관제 포인트 오탐 상위 룰을 주간으로 집계해 튜닝 대상을 고릅니다. 예외는 좁게, 만료일과 함께 관리합니다. 정상 행위 판정 후 기준선 갱신까지 마쳐야 같은 Alert가 반복되지 않습니다. 9. 탐지 규칙 <!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 --> <group name="local,syssec_i,persistence,"> <rule id="108440" level="0"> <if_group>persistence</if_group> <field name="audit.auid">^deploy$</field> <field name="audit.exe" type="pcre2">/ansible-playbook$|/python3 .*ansible</field> <description>구성관리(Ansible) 배포 계정의 지속성 위치 변경(예외 - 만료 2027-03-31)</description> </rule> </group> 레벨 0 예외 룰 예시입니다. 계정과 실행 도구를 함께 지정해 좁게 제외하고, 설명에 만료일을 적어 정기 검토 대상으로 둡니다. 10. 대응 방법 초기 확인 — 다호스트·주체·도구·티켓 순으로 오탐 여부를 확인합니다. 범위 확인 — 정탐이면 같은 세션·호스트의 다른 Alert를 묶습니다. 증거 확보 — 판정 질의와 결과를 티켓에 보존합니다. 차단/조치 — 정상 행위는 기준선 갱신, 반복 오탐은 좁은 예외로 처리합니다. 재발 방지 — 예외 목록을 만료일 기준으로 정기 검토합니다. 11. 핵심 정리 오탐 근거 패키지 업데이트 exe·다호스트·티켓 구성관리 actor·exe·티켓 기준선 누락 승인 작업 원칙 좁은 예외 + 만료일 면접 포인트 "오탐은 정상 자동화에서 온다 — 예외는 경로가 아니라 누가·무엇으로 좁게" 12. 다음 편 예고 다음 편 446. 지속성·재침투 — 지속성 근절과 재침투 차단 검증 에서는 지속성 인벤토리·타임라인을 바탕으로 재생성 장치부터 제거하는 근절 순서, 자격증명·통로 차단, 재부팅 재점검과 감시 기간 검증 방법을 다룹니다. 이전 편: 444. 지속성·재침투 — Wazuh 기반 지속성·재침투 탐지 📚 시리즈 전체 보기: 시스템 보안 · 취약점
시스템 보안 · 취약점 › I. 지속성 · 재침투 징후 · 47/50편 (전체 447/450) 학습 단계: SOC 탐지 연계 실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」 이며, IP·계정·호스트명은 가상의 값입니다. 선행 학습 446. 지속성·재침투 — 지속성 근절과 재침투 차단 검증 397. 방어 회피·흔적 삭제 — 방어 회피 Alert 대응 절차(H영역) 1. 개념 지속성 Alert는 "이미 침투가 끝났다"는 뜻일 수 있어 다른 Alert보다 대응 범위가 넓습니다 . 그래서 관제원이 같은 순서로, 같은 산출물을 만들며 대응하도록 플레이북으로 정리합니다. 지속성·재침투 대응 플레이북 1 분류(5분) : 룰·호스트·분류(class)·레벨 확인, 중복 Alert 병합 2 1차 조사(15분): I08 6축 체크 → 정탐/의심/정상/오탐 3 범위(30분) : 같은 세션·주체·실행 대상·IOC 상관(I43) + 인벤토리(I39) 4 봉쇄 : 통로 차단, 계정 잠금, 필요 시 호스트 격리 5 근절 : I46 순서 + 재부팅 검증 6 복구·감시 : 서비스 정상화, 감시 기간 운영(I37) 7 보고 : 타임라인·인벤토리 diff·원인·개선 핵심: 봉쇄 전 증거 확보, 근절 후 검증, 보고에 개선 항목 관제원(L1)은 1 2 와 초기 봉쇄 요청까지, 분석가(L2)는 3 5 를 담당하는 식으로 역할을 나누면 대응이 빨라집니다. 2. 왜 중요한가 지속성 대응은 단계가 많아 순서가 흔들리면 증거 손실·근절 실패가 생깁니다. 같은 산출물(판정 기록·인벤토리·타임라인)을 만들면 인계가 쉬워집니다. 에스컬레이션 기준이 명확해야 L1이 판단을 지연하지 않습니다. 3. 핵심 명령어 / 설정 단계 담당 산출물 분류·1차 조사 L1 판정 기록(6축) 범위 L2 상관 결과·인벤토리 봉쇄 L2 + 운영팀 차단·잠금 기록 근절·검증 운영팀 + L2 전후 diff·감시 결과 보고 L2 타임라인·원인·개선 4. 실습 (실습 예시) # L1 초기 대응 체크리스트 (분석 방법) cat <<'C' [ ] Alert ID / 룰 / 레벨 / 호스트 / 시각(UTC) [ ] 같은 호스트·세션의 최근 24h 지속성 Alert 병합 [ ] 6축 체크 + 근거 로그 위치 기록 (I08 템플릿) [ ] 정탐/의심 → L2 에스컬레이션 (레벨 12↑ 즉시) [ ] 봉쇄 요청 전: 인벤토리 스크립트 실행 결과 원격 저장 확인 [ ] 계정 잠금·통로 차단 요청 내역 기록 C 5. 정상 상태 Alert 108180 (cron 변경) → 6축 Y 0, auid=deploy, CHG-1121 판정: 정상 행위 → 기준선 갱신 요청 → 종료(12분) 정상 행위로 판정된 Alert는 근거와 함께 기준선 갱신까지 요청하고 종료하는 것이 정상 흐름입니다. 6. 이상 상태 Alert 108110 (authorized_keys) + 108180 + 108200, web01, ses=412 6축 Y 5 → 정탐 → L2 에스컬레이션(4분) 범위: db01에서 같은 키 지문 로그인 → 2개 호스트 여러 분류 Alert가 같은 세션 → 하나의 인시던트로 병합 6축 다수 해당 → 즉시 에스컬레이션 상관 결과 이웃 호스트 확산 → 범위 확대·동시 봉쇄 7. 로그 분석 (분석 방법) 에스컬레이션 판단 흐름입니다(가상의 예시). [Alert] persistence / reentry ↓ 레벨 ≥ 13 또는 class 2종 이상 ──→ 즉시 L2 + 봉쇄 준비 ↓ 아니오 6축 Y ≥ 3 ──→ L2 에스컬레이션 ↓ 아니오 Y 1~2 ──→ 추가 수집(기한 2시간) → 재판정 ↓ Y 0 + 티켓 ──→ 정상 행위 종료 조건 대응 레벨 13↑·다분류 즉시 에스컬레이션 6축 3↑ 에스컬레이션 6축 1~2 기한부 추가 수집 봉쇄(호스트 격리)는 공격자에게 탐지 사실을 알릴 수 있으므로, 범위 확인이 끝나기 전 격리는 확산·파괴 징후가 있을 때로 한정하는 기준을 미리 정해 둡니다. 8. SOC 관제 포인트 플레이북 단계별 소요 시간을 지표로 관리합니다. 인시던트마다 판정 기록·인벤토리·타임라인 세 산출물을 필수로 둡니다. 사후 검토에서 플레이북 개정 사항을 도출합니다. 9. 탐지 규칙 <!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 --> <group name="local,syssec_i,persistence,"> <rule id="108460" level="15"> <if_matched_group>persistence</if_matched_group> <same_field>agent.id</same_field> <different_field>rule.id</different_field> <timeframe>600</timeframe> <description>동일 호스트 10분 내 서로 다른 지속성 룰 다수 발생(즉시 에스컬레이션)</description> <mitre><id>TA0003</id></mitre> </rule> </group> 플레이북의 "즉시 에스컬레이션" 조건을 룰로 옮긴 예시입니다. 서로 다른 지속성 룰이 짧은 시간에 한 호스트에서 이어지면 최고 레벨로 올려 L2 호출 기준으로 씁니다. 10. 대응 방법 초기 확인 — Alert를 분류하고 같은 호스트·세션 Alert를 병합합니다. 범위 확인 — 6축 판정과 상관·인벤토리로 범위를 확정합니다. 증거 확보 — 봉쇄 전에 인벤토리·로그를 원격 보존합니다. 차단/조치 — 통로 차단·계정 잠금 후 I46 순서로 근절하고 검증합니다. 재발 방지 — 타임라인·원인·개선 항목을 보고하고 플레이북을 개정합니다. 11. 핵심 정리 단계 핵심 분류·조사 6축 판정 범위 상관·인벤토리 봉쇄·근절 증거 먼저, 순서대로 보고 타임라인·개선 면접 포인트 "지속성 Alert는 이미 안에 있다는 신호 — 같은 순서, 같은 산출물로 대응한다" 12. 다음 편 예고 다음 편 448. 지속성·재침투 — 지속성·재침투 탐지 규칙 모음 에서는 I영역 전편의 지속성·재침투 탐지 규칙(108000번대)과 감사 키를 한곳에 모아 분류·레벨·MITRE 매핑과 적용·검증 순서를 정리합니다. 이전 편: 446. 지속성·재침투 — 지속성 근절과 재침투 차단 검증 📚 시리즈 전체 보기: 시스템 보안 · 취약점
시스템 보안 · 취약점 › I. 지속성 · 재침투 징후 · 49/50편 (전체 449/450) 학습 단계: 실전 시나리오·종합 실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」 이며, IP·계정·호스트명은 가상의 값입니다. 선행 학습 448. 지속성·재침투 — 지속성·재침투 탐지 규칙 모음 399. 방어 회피·흔적 삭제 — 실전 시나리오 — 침투 은폐부터 흔적 삭제까지(H영역) 1. 개념 I영역의 내용을 하나의 가상 사고 로 엮어 봅니다. 공격 명령이 아니라 관제원이 보게 되는 Alert와 로그 흔적 중심으로, 1차 근절이 왜 실패했고 어떻게 바로잡았는지까지 따라갑니다. 시나리오 개요 (가상 환경: web01 Rocky 9, db01, Wazuh/ELK) D0 02:41 웹 업로드 취약점으로 웹셸 업로드 (침투) D0 02:49 webadmin 계정으로 sudo -i (상승, D영역) D0 02:51~03:12 지속성 설치 (계정·키·sudoers·cron·유닛·preload·udev·터널) D0 03:15 Alert 다발 → L2 에스컬레이션 D1 1차 근절 (udev·휴면 계정 누락) D6~D9 재접속 시도·휴면 계정 재로그인 → 재침투 확인 D10 원인 분석 → 재근절 → D24 감시 종료 핵심: 근절 실패의 원인은 "인벤토리 범위의 빈칸" 실제 사고에서도 1차 근절이 완벽한 경우는 드뭅니다. 중요한 것은 재침투를 빨리 알아차리고, 원인을 절차 개선으로 연결 하는 것입니다. 2. 왜 중요한가 개별 기법이 실제로는 한 번에, 서로를 되살리는 구조로 설치됨을 보여 줍니다. 근절 검증과 감시 기간이 왜 필요한지 구체적으로 확인할 수 있습니다. 면접에서 "지속성 대응 경험"을 구조적으로 설명하는 예시가 됩니다. 3. 핵심 명령어 / 설정 시각 관제 화면(Alert) 의미 02:43 108300 웹서버 → 셸 웹셸 사용 02:51 108080 passwd 직접 편집 백도어 계정 02:54 108110 authorized_keys 백도어 키 02:57 108140 sudoers.d 생성 권한 지속성 03:00 108180 apache crontab 재생성 장치 03:02 108200 dbus-helper.service 서비스 지속성 03:04 108260 ld.so.preload 전역 주입 03:12 108320 ssh -R 터널 재침투 통로 03:15 108170·108460 상관 지속성 세트·즉시 에스컬레이션 4. 실습 (실습 예시) # 시나리오 분석에 쓴 확인 명령 (분석 방법) sudo ausearch -ts 10/08/2026 02:40:00 -te 10/08/2026 03:20:00 -k persist_cron -k persist_svc -k persist_preload -k account_persist -i | grep -E 'auid=|exe=|name=' | head -40 sudo /usr/local/sbin/persist-inventory | grep -P '\t미소유\t' sudo ss -tnp | grep -E 'ssh|bash' # 재침투 후 원인 분석 sudo grep 'Accepted' /var/log/secure | grep -E 'oldsvc|203\.0\.113\.' sudo grep -rl 'RUN+=' /etc/udev/rules.d/ 5. 정상 상태 (사고 이전 web01 기준선) 미소유 지속성 0, LISTEN 22·443, 셸 외부 연결 없음 사고 이전 web01은 기준선과 일치하는 상태였고, 이것이 이후 모든 diff의 비교 기준이 되었습니다. 6. 이상 상태 [1차 근절 후 D6] DROP DST=198.51.100.7 DPT=443 5분 간격 재개 [D9] Accepted password for oldsvc from 203.0.113.80 [D9] /usr/lib/.x/agent 재생성 (ppid=systemd-udevd), /etc/ld.so.preload 재생성 1차 근절 후 비컨 재개 → 기동 장치 잔존 휴면 계정 oldsvc로 재로그인 → 재활성화 계정 미정리 udev가 agent·preload를 되살림 → 인벤토리에 udev 경로 누락 7. 로그 분석 (분석 방법) 사고 전체 흐름입니다(가상의 예시). [침투] 웹셸(02:41) ↓ [상승] sudo -i(02:49) ↓ [지속성 설치 23분] 계정: sysadm·oldsvc 재활성화 / 인증: 키 / 권한: sudoers.d 스케줄: apache cron / 서비스: dbus-helper / 실행: preload / 이벤트: udev 통로: ssh -R 터널 ↓ [1차 근절 D1] udev·oldsvc 누락 ↓ [재침투 D6~D9] 비컨 재개 · oldsvc 로그인 · agent 재생성 ↓ [원인 분석 D10] 인벤토리 범위에 udev·휴면 계정 상태 없음 ↓ [재근절 + 개선] 인벤토리 항목 추가 → 재부팅 검증 → 감시 14일 0건(D24) 교훈 개선 udev 누락 인벤토리에 udev·generator 추가 휴면 계정 누락 계정 "상태 변화"를 인벤토리에 포함 재부팅 검증 생략 근절 절차에 필수화 db01에서도 같은 키 지문 로그인이 있었으므로 db01 인벤토리를 수집했고, 키 1건과 cron 1건을 추가로 근절했습니다. 범위 산정에는 I34·I43의 상관 결과가 결정적이었습니다. 8. SOC 관제 포인트 여러 지속성 Alert가 짧은 시간에 몰리면 개별 처리보다 인시던트 병합을 먼저 합니다. 1차 근절 후 감시 기간에 비컨·재접속을 최우선 지표로 봅니다. 재침투 원인은 개인 실수가 아니라 절차의 빈칸으로 기록하고 개선합니다. 9. 탐지 규칙 <!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 --> <group name="local,syssec_i,persistence,"> <rule id="108480" level="15"> <if_matched_sid>108360</if_matched_sid> <same_field>agent.id</same_field> <timeframe>1209600</timeframe> <description>근절 후 14일 내 IOC 재출현 반복(재근절·범위 재산정 필요)</description> <mitre><id>TA0003</id></mitre> </rule> </group> I37의 IOC 재출현 룰(108360)이 감시 기간 안에 같은 호스트에서 다시 발생하면 근절 실패로 보고 최고 레벨로 올리는 시나리오용 상관 예시입니다. 10. 대응 방법 초기 확인 — Alert 다발을 하나의 인시던트로 병합하고 6축 판정으로 정탐을 확정합니다. 범위 확인 — 상관·인벤토리로 web01·db01 범위를 확정합니다. 증거 확보 — 인벤토리·타임라인·로그를 원격 보존합니다. 차단/조치 — I46 순서로 근절하고, 재침투 후 누락 항목을 포함해 재근절·재부팅 검증합니다. 재발 방지 — 인벤토리 범위·근절 절차를 개정하고 감시 기간 0건을 확인한 뒤 종료합니다. 11. 핵심 정리 단계 핵심 장면 설치 23분, 8개 분류 탐지 상관 룰로 즉시 에스컬레이션 실패 udev·휴면 계정 누락 개선 인벤토리 범위·재부팅 검증 면접 포인트 "1차 근절은 자주 실패한다 — 빨리 알아차리고 빈칸을 절차로 메우는 것이 실력" 12. 다음 편 예고 다음 편 450. 지속성·재침투 — 지속성·재침투 징후 종합 정리 에서는 I영역 「지속성 · 재침투 징후」 50편을 개념·탐지 위치·판정·Wazuh/ELK·근절·검증으로 종합하고, 「시스템 보안 · 취약점」 450편 전체 흐름을 정리합니다. 이전 편: 448. 지속성·재침투 — 지속성·재침투 탐지 규칙 모음 📚 시리즈 전체 보기: 시스템 보안 · 취약점
A commercial escalator is a type of moving staircase that is used in public places such as shopping malls, airports, and office buildings. The commercial weatherproof escalator is designed to transport people vertically between floors in a safe and efficient manner. GRACES GRACE stadium escalator provide the highest quality equipment for public places such as shopping malls, supermarkets, hospitals, etc. Why Choose IFE Commercial Escalator? GRACE escalator for shopping centers have advantages in energy saving. Space utilization and safety, and can provide customers with a variety of different requirements to configure equipment to meet different customer requirements. Escalators are widely used in public transportation and other places. And have become an important part of modern public places, transporting passengers from one floor to another, compared with straight elevators, it can meet the demand for uninterrupted transportation of passengers and greatly improve the utilization rate of equipment. IFE elevators, as an excellent elevators manufacturer, offers different types of elevators for you to choose from.
시스템 보안 · 취약점 › I. 지속성 · 재침투 징후 · 43/50편 (전체 443/450) 학습 단계: SOC 탐지 연계 실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」 이며, IP·계정·호스트명은 가상의 값입니다. 선행 학습 442. 지속성·재침투 — 지속성·재침투 로그의 정규화와 수집 393. 방어 회피·흔적 삭제 — 변조 전후 비교와 무결성 검증(H영역) 1. 개념 지속성 이벤트 하나는 정상 작업일 수도 있습니다. 하지만 같은 세션에서 계정 생성 → sudoers 변경 → cron 등록 → 외부 연결 이 이어지면 공격 체인입니다. 상관분석은 이렇게 약한 신호를 묶어 강한 결론 을 만드는 작업입니다. 상관 축 4가지 1 세션 : audit.ses 같음 → 같은 로그인에서 한 일 2 주체 : actor(auid) 같음 → 같은 사람이 한 일 3 실행 대상: 같은 바이너리 해시·경로 → 여러 트리거가 같은 악성코드 기동 4 호스트·IOC: 같은 C2·키 지문이 여러 호스트에 → 확산 ↓ 체인 예: 침투(웹) → 상승(sudo) → 지속성(cron·유닛) → 통로(C2) 핵심: 축이 겹칠수록 확신 상승 — 특히 3은 다중 트리거를 하나로 묶는다 I08 판정 기준의 6 연계 축을 SIEM 규칙과 질의로 구현하는 것이 이번 편의 목표입니다. 2. 왜 중요한가 단일 이벤트 경보는 오탐이 많지만 상관 결과는 확신도가 높습니다. 여러 트리거에 흩어진 지속성을 하나의 인시던트로 묶을 수 있습니다. IOC 상관은 다른 호스트로의 확산을 조기에 보여 줍니다. 3. 핵심 명령어 / 설정 상관 조건 결론 세션 ses 같음 + 지속성 2종 이상 설치 단계 주체 auid 같음 + 상승 후 30분 내 지속성 상승→지속성 체인 실행 대상 같은 exe 경로를 여러 트리거가 참조 다중 트리거 IOC 같은 키 지문·C2가 2개 호스트 이상 확산 4. 실습 (실습 예시) # Elasticsearch 집계 질의 예: 세션별 지속성 분류 수 (분석 방법) cat <<'Q' GET wazuh-alerts-*/_search { "size": 0, "query": { "range": { "@timestamp": { "gte": "now-24h" } } }, "aggs": { "by_ses": { "terms": { "field": "data.audit.session", "size": 20 }, "aggs": { "classes": { "cardinality": { "field": "persist.class" } }, "multi": { "bucket_selector": { "buckets_path": { "c": "classes" }, "script": "params.c >= 2" } } } } } } Q 5. 정상 상태 세션별 지속성 분류 수: 최대 1 (Ansible 배포 세션, schedule만) IOC 공유 호스트: 없음 한 세션에서 한 분류의 승인된 변경만 있고, 여러 호스트가 같은 IOC를 공유하지 않는 상태가 정상입니다. 6. 이상 상태 ses=412 actor=webadmin classes=5 (account·auth·schedule·service·boot) exe=/usr/lib/.x/agent ← cron·dbus-helper.service·udev·rc.local 4개 트리거가 참조 키 지문 SHA256:Qm3... ← web01·db01 두 호스트 로그인 한 세션에서 5개 분류 지속성 → 설치 단계 확정 같은 바이너리를 4개 트리거가 기동 → 하나의 악성코드, 다중 지속성 같은 키 지문이 db01에도 → 확산, 범위 확대 필요 7. 로그 분석 (분석 방법) 상관분석 절차입니다(가상의 예시). [정규화 이벤트] ↓ 1 세션 상관 → 설치 단계 묶음 2 주체 상관 → 상승 이후 지속성 체인 3 실행 대상 상관 → 트리거 ↔ 악성코드 매핑 4 IOC 상관 → 호스트 간 확산 ↓ [인시던트] 하나의 체인 + 영향 호스트 목록 상관 축 대표 산출 세션 설치 단계 주체 행위자 전체 행동 실행 대상 다중 트리거 지도 IOC 확산 범위 3 실행 대상 상관은 근절에도 직접 쓰입니다. 바이너리 하나를 기동하는 모든 트리거를 찾아야 그 바이너리가 다시 살아나지 않습니다. 8. SOC 관제 포인트 세션·주체 상관 룰은 실시간으로, 실행 대상·IOC 상관은 정기 질의로 운영합니다. 상관 결과로 생성된 인시던트에 원본 Alert를 모두 연결합니다. IOC 상관에서 새 호스트가 나오면 즉시 해당 호스트 인벤토리를 수집합니다. 9. 탐지 규칙 <!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 --> <group name="local,syssec_i,persistence,"> <rule id="108420" level="14"> <if_matched_group>persistence</if_matched_group> <same_field>audit.exe</same_field> <different_field>audit.key</different_field> <timeframe>86400</timeframe> <description>같은 실행 파일을 서로 다른 지속성 위치가 참조(다중 트리거 악성코드)</description> <mitre><id>TA0003</id></mitre> </rule> </group> 실행 대상 상관(3)의 예시입니다. 실제로는 지속성 파일 내용 속 실행 경로를 추출해야 하므로, 정규화 단계에서 persist.exec_target 필드를 만들어 기준 필드로 쓰는 편이 정확합니다. 10. 대응 방법 초기 확인 — 상관 결과의 체인과 연결된 Alert를 확인합니다. 범위 확인 — 실행 대상·IOC 상관으로 다중 트리거와 확산 호스트를 확인합니다. 증거 확보 — 상관 근거(질의·결과)와 원본 Alert를 보존합니다. 차단/조치 — 체인 전체를 하나의 근절 단위로 처리하고 확산 호스트를 함께 대응합니다. 재발 방지 — 상관 룰·질의를 정기 검증하고 개선합니다. 11. 핵심 정리 축 기준 세션 audit.ses 주체 auid 실행 대상 exe·해시 IOC 키 지문·C2 면접 포인트 "약한 신호를 묶어 강한 결론으로 — 같은 바이너리를 부르는 트리거는 하나의 사건" 12. 다음 편 예고 다음 편 444. 지속성·재침투 — Wazuh 기반 지속성·재침투 탐지 에서는 auditd 감사 키·FIM(whodata)·SCA·명령 모니터링·커스텀 룰(108000번대)을 묶어 Wazuh로 지속성·재침투를 탐지하는 구성을 다룹니다. 이전 편: 442. 지속성·재침투 — 지속성·재침투 로그의 정규화와 수집 📚 시리즈 전체 보기: 시스템 보안 · 취약점
시스템 보안 · 취약점 › I. 지속성 · 재침투 징후 · 44/50편 (전체 444/450) 학습 단계: SOC 탐지 연계 실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」 이며, IP·계정·호스트명은 가상의 값입니다. 선행 학습 443. 지속성·재침투 — 지속성·재침투 이벤트 상관분석 394. 방어 회피·흔적 삭제 — Wazuh 기반 방어 회피 탐지(H영역) 1. 개념 지금까지 편마다 만든 감사 키와 룰을 Wazuh 하나의 탐지 스택 으로 묶습니다. 핵심은 "행위(auditd) + 결과(FIM·정기 점검) + 상태(SCA)"를 각각 다른 모듈로 받아 같은 룰 그룹에서 다루는 것입니다. Wazuh 지속성 탐지 스택 [에이전트] auditd 규칙 (persist_* / account_persist / reentry_* / module_load / bin_change) FIM(syscheck, whodata) : /etc/cron* /etc/systemd /etc/ssh /etc/pam.d /etc/sudoers.d ... 명령 모니터링(wodle command) : persist-inventory · persist-diff (매일) SCA 정책 : UID 0 단일 · ld.so.preload 없음 · rc.local 비실행 ... ↓ [매니저] 디코더 → local_rules (108000~108499, group=persistence) ↓ [대시보드] MITRE TA0003 · 호스트별 지속성 Alert 핵심: 행위·결과·상태 세 모듈이 서로의 공백을 메운다 FIM의 whodata 모드는 auditd를 이용해 "누가 바꿨는지"를 FIM 이벤트에 붙여 주므로, 지속성 위치 감시에 특히 유용합니다. 2. 왜 중요한가 모듈별로 흩어진 탐지를 한 룰 그룹으로 관리할 수 있습니다. whodata로 파일 변경 결과와 변경 주체를 한 Alert에서 볼 수 있습니다. SCA로 "지금 상태가 안전한가"를 지속적으로 평가할 수 있습니다. 3. 핵심 명령어 / 설정 모듈 역할 설정 위치 auditd 연동 행위(누가·무엇으로) /etc/audit/rules.d/persist.rules FIM whodata 결과 + 주체 ossec.conf <syscheck> command 인벤토리·diff ossec.conf <wodle name="command"> SCA 상태 평가 커스텀 정책 YAML 룰 판정·레벨·MITRE local_rules.xml 4. 실습 (실습 예시) # ossec.conf 핵심부 (실습 예시) cat <<'X' <syscheck> <directories whodata="yes" report_changes="yes">/etc/cron.d,/etc/crontab,/var/spool/cron</directories> <directories whodata="yes" report_changes="yes">/etc/systemd/system,/etc/ssh,/etc/pam.d,/etc/sudoers.d</directories> <directories whodata="yes">/etc/profile.d,/etc/udev/rules.d,/etc/modules-load.d</directories> <directories whodata="yes" report_changes="yes">/etc/ld.so.preload,/etc/rc.d/rc.local</directories> </syscheck> <wodle name="command"> <tag>persist-diff</tag> <command>/usr/local/sbin/persist-diff</command> <interval>1d</interval><run_on_start>yes</run_on_start> </wodle> X # 룰 검증 sudo /var/ossec/bin/wazuh-logtest 5. 정상 상태 wazuh-logtest: persist_cron 감사 이벤트 → rule 108180 (level 12) 매칭 FIM whodata: /etc/cron.d/backup modified by ansible (auid=deploy) SCA "persistence-baseline": 12/12 passed 감사·FIM·SCA·명령 모니터링 이벤트가 모두 매니저에 도착하고, 각 이벤트가 의도한 108000번대 룰에 매칭되는 상태가 정상입니다. 6. 이상 상태 wazuh-logtest: persist_udev 이벤트 → 매칭 룰 없음 (level 0) SCA: "ld.so.preload 없음" passed → failed FIM: /etc/ld.so.preload added (whodata: user=root, process=/usr/bin/cp, audit_name=webadmin) 감사 키가 룰 조건에 없어 매칭 실패 → 탐지 공백(키 이름 불일치) SCA 상태 변화 passed→failed → 지속성 설치 상태 감지 whodata로 원래 사용자(webadmin)까지 확인 → 주체 특정 7. 로그 분석 (분석 방법) Wazuh 구성 검증 흐름입니다(가상의 예시). [테스트 이벤트] 지속성 위치마다 무해한 변경 1회 ↓ [수집 확인] 매니저 archives에 도착? ↓ [룰 확인] wazuh-logtest → 기대 룰 ID·레벨 ↓ [공백 기록] 미매칭 키·경로 → 룰·감사 보강 → 재검증 결과 조치 미도착 에이전트·감사 규칙 점검 도착·미매칭 룰 조건 보강 매칭·레벨 부적절 레벨 조정 감사 키 이름을 바꾸거나 새로 만들 때 룰 조건을 함께 바꾸지 않으면 조용히 탐지가 멈춥니다. 키 목록과 룰 조건을 같은 저장소에서 버전 관리하는 이유입니다. 8. SOC 관제 포인트 룰·디코더·감사 규칙·SCA 정책을 Git으로 함께 관리합니다. 분기마다 지속성 위치별 테스트 이벤트로 탐지 회귀 시험을 합니다. SCA failed 전환은 실시간 Alert와 별도로 일일 보고에 포함합니다. 9. 탐지 규칙 <!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 --> <group name="local,syssec_i,persistence,"> <rule id="108430" level="12"> <if_group>syscheck</if_group> <field name="file" type="pcre2">^/etc/(cron|systemd/system|ssh|pam\.d|sudoers|profile\.d|udev/rules\.d|modules-load\.d|ld\.so\.preload|rc\.d/rc\.local)</field> <description>지속성 위치 FIM 변경(whodata 주체 포함)</description> <mitre><id>TA0003</id></mitre> </rule> </group> FIM 이벤트는 auditd 디코더가 아닌 syscheck 그룹으로 들어오므로 if_group syscheck 를 상위 조건으로 쓰며, 그래서 상위 auditd 룰(108000)에 묶지 않은 독립 룰로 작성했습니다. 10. 대응 방법 초기 확인 — 미매칭·미도착 이벤트와 SCA failed 항목을 확인합니다. 범위 확인 — 같은 호스트의 다른 지속성 Alert와 whodata 주체를 확인합니다. 증거 확보 — Alert 원문·FIM diff·SCA 결과를 보존합니다. 차단/조치 — 판정 절차에 따라 대응하고 룰·감사 공백을 보강합니다. 재발 방지 — 회귀 시험과 버전 관리로 탐지 스택을 유지합니다. 11. 핵심 정리 모듈 보는 것 auditd 행위 FIM whodata 결과 + 주체 command 정기 diff SCA 현재 상태 면접 포인트 "Wazuh는 행위·결과·상태를 각각 받는다 — 키와 룰은 함께 버전 관리" 12. 다음 편 예고 다음 편 445. 지속성·재침투 — ELK/SIEM 기반 지속성 탐지와 정탐·오탐 판단 에서는 Kibana 대시보드·KQL 질의로 지속성·재침투 Alert를 분석하고, 패키지 업데이트·구성관리·백업 작업 같은 대표 오탐을 판정·튜닝하는 방법을 다룹니다. 이전 편: 443. 지속성·재침투 — 지속성·재침투 이벤트 상관분석 📚 시리즈 전체 보기: 시스템 보안 · 취약점
Firefighter elevator are special elevators that are designed specifically for use by firefighters during emergencies. They are typically located in high-rise buildings and are designed to allow firefighters to quickly and safely reach the floors where fires or other emergencies are occurring. METIS-FL METIS-FL is a firefighter elevator developed by IFE for the residential market that doubles as a passenger elevator. It is installed in the fire-resistant closed structure of the building, has a front room and backup power. Why Choose IFE Firefighter Elevators? In terms of high temperature resistance function, when the ambient temperature is in the range of 0°C~+65°C, all electrical and electronic layer station control devices and indicators work normally for no less than 2 hours, so that firefighters can determine the position of the car for rescue. In terms of smoke resistance function, when smoke fills the hoistway and/or machine room, the control system of the firefighter elevator can work normally for no less than 2 hours. In terms of rescue function, firefighters can realize self-rescue and external rescue in the car through external rescue tools, rescue ladders and safety windows. In terms of fire function, through the special firefighter elevator switch on the firefighter entrance floor, the elevator is allowed to enter the special function for the exclusive use of firefighters IFE lift, as an excellent elevators manufacturer , offers a different china elevators for you to choose from.
IFE Elevator focuses on the Research and Developmenttherefore,our R & D department has over 200 professional engineer. Until now,we have gotten over 200national patent. Features Of GRACES Commercial weatherproof escalator No need to install a machine room on the top of the building and consider buffer pits on the ground floor, taking up less space than elevators Continuous and rapid evacuation of a large number of people Specification Of GRACES Commercial Escalator Specification GRACES-ID Lifting height range/m 1.5≤H≤13.0 Use segment length/m -- Tilt angle/° 30/35 Nominal width/mm 600/800/1000 Nominal speed/m/s 0.5 Applicable environment Indoors The type of work Normal type Handrail structure Vertical armrests Drag method Y-△/VVVF Startup mode Standard single speed Standard self-starting Frequency conversion low speed Frequency conversion self-starting Number of horizontal steps as standard H≤6m 2 H>6m 3 Pedal depth/mm as standard -- Additional brakes H≤6m No H>6m Yes Truss deflection ≤1/750 Safety factor for moving parts ≥5 Specification GRACES-III Lifting height range/m 1.5≤H≤13.0 Use segment length/m -- Tilt angle/° 30/35 Nominal width/mm 600/800/1000 Nominal speed/m/s 0.5 Applicable environment Outside The type of work Normal type Handrail structure Vertical armrests Drag method Y-△/VVVF Startup mode Standard single speed Standard self-starting Frequency conversion low speed Frequency conversion self-starting Number of horizontal steps as standard H≤6m 2 H>6m 3 Pedal depth/mm as standard -- Additional brakes H≤6m No H>6m Yes Truss deflection ≤1/750 Safety factor for moving parts ≥5 Specification GRACES-LD Lifting height range/m 1.5≤H≤18 Use segment length/m -- Tilt angle/° 27.3/30 Nominal width/mm 600/800/1000 Nominal speed/m/s 0.5/0.65 Applicable environment Indoor/Outdoor The type of work Public transport type Handrail structure Vertical armrests Stainless steel diagonal armrest Drag method VVVF Startup mode Frequency conversion low speed Frequency conversion self-starting Number of horizontal steps as standard H≤6m 3 H>6m 3 Pedal depth/mm as standard -- Additional brakes H≤6m Yes H>6m Yes Truss deflection ≤1/1000 Safety factor for moving parts ≥5 We can also provide kinds of waterproof escalator for sale, if you are interested, please contact us. IFE lift, as an excellent elevators company, offers a different types of escalators for you to choose from.
시스템 보안 · 취약점 › I. 지속성 · 재침투 징후 · 48/50편 (전체 448/450) 학습 단계: SOC 탐지 연계 실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」 이며, IP·계정·호스트명은 가상의 값입니다. 선행 학습 447. 지속성·재침투 — 지속성·재침투 Alert 대응 절차 398. 방어 회피·흔적 삭제 — 방어 회피·흔적 삭제 탐지 규칙 모음(H영역) 1. 개념 I영역에서 편마다 작성한 탐지 규칙을 하나의 룰셋 으로 정리합니다. 룰 번호는 108000 + (편-1)×10 규칙으로 배정했으므로, 룰 ID만 보고 어느 편에서 다룬 내용인지 바로 찾을 수 있습니다. I영역 룰셋 구조 (108000~108499) 108000~108070 기초 : 상위 룰·기준선·분류·판정 연계 108080~108170 계정·인증 : 백도어 계정·UID 0·휴면·키·sshd·PAM·sudoers·자격증명·CA·세트 108180~108270 스케줄·부팅: cron·at·service·timer·drop-in·rc.local·셸·udev·preload·다중 108280~108370 통로·거점 : 리버스·리스너·웹셸·비컨·터널·신뢰·모듈·바이너리·복귀·종합 108380~108499 분석·SOC : 인벤토리·diff·타임라인·정규화·상관·FIM·예외·근절·에스컬레이션 감사 키 체계 persist_{cron,svc,boot,shell,preload,ssh,pam,baseline} · account_persist reentry_{net,listen,trust} · module_load · bin_change · exec_web · exec_persist 핵심: 키 → 룰 → MITRE 가 한 줄로 이어져야 유지보수가 된다 룰셋은 문서가 아니라 운영 자산 이므로, 감사 규칙 파일·룰 파일·예외 목록·테스트 이벤트를 함께 버전 관리하는 구조로 정리합니다. 2. 왜 중요한가 흩어진 룰을 모아야 중복·충돌·공백을 확인할 수 있습니다. ID 규칙이 있으면 Alert에서 해당 편의 분석 방법으로 바로 연결됩니다. 면접·포트폴리오에서 탐지 설계 역량을 한 장으로 보여 줄 수 있습니다. 3. 핵심 명령어 / 설정 룰 ID 탐지 레벨 MITRE 108080 passwd 직접 편집(백도어 계정) 12 T1136.001 108090 UID 변경(UID 0) 13 T1098 108110 authorized_keys 변경 12 T1098.004 108130 PAM 모듈·설정 변경 14 T1556.003 108140 visudo 외 sudoers 변경 13 T1548.003 108180·108181 cron 변경·위험 CMD 12·13 T1053.003 108200 systemd 서비스 유닛 12 T1543.002 108210 systemd timer 12 T1053.006 108260 ld.so.preload 15 T1574.006 108280 리버스 셸 재접속 13 T1059.004 108300 웹셸 재침투 14 T1505.003 108320 SSH 역방향·동적 터널 13 T1572 108340 커널 모듈 로드 15 T1547.006 108350 시스템 바이너리 교체 15 T1554 4. 실습 (실습 예시) # 룰셋 배치·검증 순서 (실습 예시) # 1) 감사 규칙 배치 및 로드 sudo cp persist.rules /etc/audit/rules.d/ && sudo augenrules --load && sudo auditctl -l | grep -cE 'persist_|reentry_|account_persist' # 2) 룰 파일 문법 확인 후 매니저 재시작 sudo cp 108000-persistence.xml /var/ossec/etc/rules/ && sudo /var/ossec/bin/wazuh-analysisd -t && sudo systemctl restart wazuh-manager # 3) 테스트 이벤트 재생 → 기대 룰 ID 확인 sudo /var/ossec/bin/wazuh-logtest < tests/persist_cron.log 5. 정상 상태 auditctl -l: persist·reentry·account 감사 규칙 24개 로드 wazuh-analysisd -t: 문법 오류 없음 테스트 이벤트 30종: 기대 룰 ID 30/30 매칭 감사 규칙이 모두 로드되고, 룰 문법 검사를 통과하며, 테스트 이벤트가 모두 기대한 룰에 매칭되는 상태가 정상입니다. 6. 이상 상태 테스트 이벤트 30종: 27/30 매칭 - persist_udev → 미매칭 (감사 키는 persist_boot로 통일되어 있음) - 108311 비컨 빈도 룰 → 상위 108310 레벨 0으로 덮어씀 - 108440 예외 룰 → actor 조건 오타로 모든 cron Alert 억제 키 이름 불일치 → 탐지 공백 상위·하위 룰 레벨 충돌 → 상관 룰 무력화 예외 룰 조건 오류 → 정상·악성 모두 억제(가장 위험) 7. 로그 분석 (분석 방법) 룰셋 유지보수 흐름입니다(가상의 예시). [변경 요청] 신규 기법·오탐 튜닝 ↓ [수정] 감사 키 · 룰 · 예외 · 테스트 이벤트 함께 수정 ↓ [검증] analysisd -t → logtest 전체 회귀 시험 ↓ [배포] 스테이징 → 운영, 변경 이력 기록 ↓ [모니터링] 룰별 발생 수 급감·급증 감시(조용히 멈춘 룰 탐지) 점검 실패 시 위험 키-룰 일치 탐지 공백 상·하위 레벨 상관 무력화 예외 조건 전면 억제 가장 위험한 실패는 예외 룰 오류입니다. Alert가 "없어서 조용한" 상태와 "억제되어 조용한" 상태를 구분하려면 룰별 발생 수 추이를 감시해야 합니다. 8. SOC 관제 포인트 룰 ID·감사 키·MITRE 매핑표를 대시보드 범례로 씁니다. 룰 변경 시 전체 회귀 시험을 필수 절차로 둡니다. 일주일 이상 0건인 룰은 정상 여부를 점검합니다. 9. 탐지 규칙 <!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 --> <group name="local,syssec_i,persistence,"> <rule id="108470" level="3"> <if_sid>108000</if_sid> <field name="audit.key" type="pcre2">^(persist_|account_persist|reentry_|module_load|bin_change|exec_web|exec_persist)</field> <description>I영역 지속성·재침투 감사 이벤트(상위 집계 룰)</description> <mitre><id>TA0003</id></mitre> </rule> </group> I영역의 모든 감사 키를 받는 상위 집계 룰입니다. 하위 룰이 놓친 키도 레벨 3으로 남겨 두면 "어떤 룰에도 안 걸린 지속성 이벤트"를 찾는 공백 점검에 쓸 수 있습니다. 10. 대응 방법 초기 확인 — 룰별 발생 수와 미매칭 이벤트를 확인합니다. 범위 확인 — 키-룰 불일치·레벨 충돌·예외 오류를 확인합니다. 증거 확보 — 룰셋·감사 규칙·테스트 결과를 버전과 함께 보존합니다. 차단/조치 — 오류를 수정하고 전체 회귀 시험 후 배포합니다. 재발 방지 — 변경 이력과 0건 룰 점검을 정기적으로 운영합니다. 11. 핵심 정리 대역 내용 108000~070 기초·판정 108080~170 계정·인증 108180~270 스케줄·부팅 108280~370 통로·거점 108380~ 분석·SOC 면접 포인트 "룰셋은 문서가 아니라 운영 자산 — 키·룰·예외·테스트를 함께 관리한다" 12. 다음 편 예고 다음 편 449. 지속성·재침투 — 실전 시나리오 — 침투부터 지속성 설치·재침투까지 에서는 웹 침투 → 권한 상승 → 다중 지속성 설치 → 1차 근절 → 재침투 → 원인 분석 → 재근절까지의 가상 사고를 관제 화면·로그 흔적 중심으로 재구성합니다. 이전 편: 447. 지속성·재침투 — 지속성·재침투 Alert 대응 절차 📚 시리즈 전체 보기: 시스템 보안 · 취약점