305. 내부 확장·측면 이동 — 동-서 트래픽(east-west)과 이상 탐지 원리

Об этом предложении

시스템 보안 · 취약점 › G. 내부 확장 · 측면 이동 징후 · 5/50편 (전체 305/450) 학습 단계: 측면 이동 기본 개념 실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」 이며, IP·계정·호스트명은 가상의 값입니다. 선행 학습 304. 내부 확장·측면 이동 — 측면 이동 정상 기준선 만들기 303. 측면 이동 감사의 기반 구성 1. 개념 네트워크 트래픽은 방향으로 구분됩니다. 남-북(north-south) 은 내부↔외부(경계)이고, 동-서(east-west) 는 내부 호스트 간 통신입니다. 측면 이동은 동-서 트래픽에서 일어나므로, 경계(남-북)만 보는 방어는 측면 이동을 놓칩니다. 트래픽 방향과 측면 이동 남-북(north-south): 내부 ↔ 외부 (방화벽·IPS가 봄) 동-서(east-west): 내부 ↔ 내부 (대개 감시 사각지대) → 측면 이동이 여기서 발생 전통적 경계 방어: 남-북만 감시 → 내부 확산 못 봄 필요: 동-서 가시성(내부 세그먼트·마이크로세그멘테이션) 대부분의 방어는 경계(남-북)에 집중돼 있어, 일단 내부에 들어온 공격자의 동-서 이동은 감시 사각지대입니다. 측면 이동 탐지는 동-서 가시성 확보가 핵심입니다. 2. 왜 중요한가 경계 방화벽·IPS는 남-북만 보고, 내부 동-서 트래픽은 대개 감시하지 않습니다. 측면 이동은 전부 동-서에서 일어나므로 동-서 가시성 없이는 탐지 불가입니다. 마이크로세그멘테이션·내부 NDR·호스트 로그 집계로 동-서를 봐야 합니다. 3. 핵심 명령어 / 설정 방향 경로 감시 남-북 내부↔외부 방화벽·IPS(보통 있음) 동-서 내부↔내부 사각지대(보강 필요) 측면 이동 동-서 동-서 가시성 필수 세그먼트 간 VLAN·존 내부 방화벽 세그먼트 내 같은 대역 호스트 로그·NDR 4. 실습 (실습 예시) # 동-서 트래픽 이상 탐지 (분석 방법) # 내부 대역 간 연결(동-서)만 필터 ss -tnp 2>/dev/null | grep -E '10\.|192\.168\.|172\.(1[6-9]|2[0-9]|3[01])\.' | grep -vE '127.0.0.1' # 세그먼트 간 비정상 연결(예: web 세그먼트 → db 세그먼트 신규) sudo ausearch -k lateral -i --start recent 2>/dev/null | grep -oE 'addr=10\.0\.[0-9]+\.[0-9]+' | sort | uniq -c | tail 5. 정상 상태 $ (동-서 연결) web01 → db01:3306 (정상 서비스 의존) app01 → cache01:6379 (정상) 동-서 연결이 정상 서비스 의존 관계(web→db, app→cache)에만 발생하는 상태가 정상입니다. 6. 이상 상태 $ (동-서 연결) web01 → db01:22, app01:22, file01:22 (SSH, 서비스 포트 아님) web01 → 10.0.1.0/24 (다른 세그먼트 신규 접근) web01이 내부 호스트들에 SSH(22) → 서비스 의존이 아닌 관리성 이동 다른 세그먼트(10.0.1.0/24) 신규 접근 → 세그먼트 경계 넘는 확산 동-서 비정상 연결(SSH·세그먼트 교차) → 측면 이동 → 정탐 7. 로그 분석 (분석 방법) 동-서 트래픽 이상 분석입니다(가상의 예시). [남-북] 외부 → web01:443 (경계 방화벽이 감시) ↓ (내부 침투 후) [동-서] web01 → db01:22 (경계가 못 봄) web01 → app01,file01 (확산) web01 → 10.0.1.x (세그먼트 교차) ↓ [탐지] 동-서 가시성으로만 포착 가능 = 경계만 보면 측면 이동 전부 놓침 방향 가시성 측면 이동 남-북 있음(경계) 안 보임 동-서 보강 필요 여기서 발생 동-서 가시성이 측면 이동 탐지의 전제입니다. 8. SOC 관제 포인트 측면 이동은 동-서(east-west, 내부 호스트 간) 트래픽에서 일어납니다. 경계(남-북) 방어만으로는 내부 확산을 놓치므로 동-서 가시성이 필수입니다. 마이크로세그멘테이션·내부 NDR·호스트 로그 집계로 동-서를 감시합니다. 9. 탐지 규칙 <!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 --> <group name="local,syssec_g,lateral,"> <!-- 서비스 서버 간 관리 포트(SSH) 동-서 연결 --> <rule id="106040" level="11"> <if_sid>106000</if_sid> <field name="audit.addr" type="pcre2">^(10\.|192\.168\.|172\.(1[6-9]|2[0-9]|3[01])\.)</field> <field name="audit.dport" type="pcre2">^(22|3389|5985|445)$</field> <description>내부 호스트 간 관리 포트 연결(동-서 측면 이동)</description> <mitre><id>T1021</id></mitre> </rule> </group> 정상 서비스 의존(web→db:3306 등)은 기준선 예외로 두고, 관리 포트·세그먼트 교차 동-서 연결을 탐지합니다. 10. 대응 방법 초기 확인 — 내부 동-서 연결(출발지·목적지·포트·세그먼트)을 확인합니다. 범위 확인 — 서비스 의존이 아닌 관리 포트·세그먼트 교차 연결을 확인합니다. 증거 확보 — 동-서 연결 로그와 세그먼트 경로를 보존합니다. 차단/조치 — 비정상 동-서 이동 정탐이면 세그먼트 격리·연결 차단을 진행합니다. 재발 방지 — 동-서 가시성 기반 측면 이동 탐지를 운영합니다. 11. 핵심 정리 방향 감시 남-북(내부↔외부) 방화벽·IPS 동-서(내부↔내부) 사각지대·보강 필요 측면 이동 동-서에서 발생 세그먼트 교차 내부 방화벽 면접 포인트 "측면 이동은 동-서에서 발생 — 경계(남-북)만 보면 전부 놓침" 12. 다음 편 예고 다음 편 306. 내부 확장·측면 이동 — 출발지-목적지-계정-시점의 분석 축 에서는 분석 축을 다루는 출발지-목적지-계정-시점의 분석 축 을 다룹니다. 이전 편: 304. 내부 확장·측면 이동 — 측면 이동 정상 기준선 만들기 📚 시리즈 전체 보기: 시스템 보안 · 취약점