349. 내부 확장·측면 이동 — 실전 시나리오 — 침투부터 핵심 자산 장악까지

About this offer

시스템 보안 · 취약점 › G. 내부 확장 · 측면 이동 징후 · 49/50편 (전체 349/450) 학습 단계: 실전 시나리오·종합 실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」 이며, IP·계정·호스트명은 가상의 값입니다. 선행 학습 348. 내부 확장·측면 이동 — 내부 확장·측면 이동 탐지 규칙 모음 340. 침투→확장→목표 연계 분석 1. 개념 G영역에서 배운 탐지·분석·대응을 하나의 실전 시나리오 로 종합합니다. 외부 웹 침투부터 내부 확산, 핵심 자산(DB 마스터) 장악, 유출 시도까지의 전 과정을 SOC 관점에서 탐지·조사·차단하는 흐름을 연습합니다. 실전 시나리오: 침투 → 핵심 자산 장악 1. 침투: 웹 취약점으로 web01 장악 2. 정찰: 내부 스캔·열거(G29·G30) 3. 인증 이동: SSH 키 재사용으로 db01(G10) 4. 상승·수집: 권한 상승·자격 수집(G36·G32) 5. 확산: db01→app01→dbmaster(G33·G35) 6. 목표: dbmaster 데이터 수집·유출(G37) ← 각 단계에서 탐지·차단 기회 이 시나리오는 가상의 예시이며, 각 단계마다 어떤 신호가 발생하고 어떻게 탐지·대응하는지를 종합합니다. 2. 왜 중요한가 실전 시나리오는 개별 탐지 지식을 하나의 사건 흐름으로 통합합니다. 각 단계마다 탐지·차단 기회가 있어, 다층 방어의 가치를 보여줍니다. 조기 단계(정찰·초기 이동) 탐지가 피해를 최소화함을 확인합니다. 3. 핵심 명령어 / 설정 단계 신호 탐지 룰 침투 웹 이상·웹셸 웹 로그 정찰 스캔·열거 106280·106290 인증 이동 키 재사용 106080 상승·수집 sudo·자격 수집 106350·106310 목표 핵심 자산·유출 106330·106360 4. 실습 (실습 예시) # 실전 시나리오 탐지 흐름 (분석 방법) # 단계별 신호를 시간순 종합 조회(타임라인) sudo ausearch -k lateral,recon,privesc,exfil -i --start recent 2>/dev/null | grep -E 'nmap|id_rsa|sudo|dbmaster|mysqldump' | sort # 확산 경로·허브 식별 sudo ausearch -k lateral -i --start recent 2>/dev/null | grep -oE 'srcip=10\.[0-9.]+.*addr=10\.[0-9.]+' | sort | uniq -c 5. 정상 상태 $ (단계별 신호) (평시 — 각 단계 신호 없음, 정상 운영) 평시에는 정찰·이동·상승·유출 신호가 없고, 단계가 연쇄되지 않는 정상 운영 상태입니다. 6. 이상 상태 $ (단계별 신호 — 시나리오 진행) 09:00 web01 웹셸(침투) 09:05 web01 nmap(정찰, 106280) 09:12 web01→db01 SSH 키 재사용(이동, 106080) 09:15 db01 sudo 상승(106350) + id_rsa 수집(106310) 09:20 db01→app01→dbmaster(확산, 106340) 09:25 dbmaster mysqldump → 외부 유출(106360) → 각 단계 탐지 룰 발동, 상관으로 캠페인 경보(106430) 각 공격 단계가 대응 탐지 룰을 발동 → 다층 탐지 상관 룰(106430)이 캠페인으로 묶어 경보 조기 단계(정찰·초기 이동) 차단 시 핵심 자산 보호 가능 7. 로그 분석 (분석 방법) 실전 시나리오 탐지·대응 흐름입니다(가상의 예시). [침투] web01 웹셸 ↓ 탐지: 웹 로그 이상 [정찰] nmap 스캔(106280) ← 차단 기회 1 ↓ [이동] SSH 키 재사용 db01(106080) ← 차단 기회 2 ↓ [상승·수집] sudo(106350)+키 수집(106310) ← 차단 기회 3 ↓ [확산] db01→app01→dbmaster(106340) ← 차단 기회 4 ↓ [목표] mysqldump→유출(106360) ← 마지막 기회 ↓ 상관 캠페인 경보(106430) → 대응 플레이북(G47) = 다층 탐지로 어느 단계든 차단 가능 차단 기회 효과 정찰 단계 피해 없음 이동 단계 확산 전 차단 확산 단계 핵심 자산 보호 목표 단계 유출 저지 조기 단계 탐지일수록 피해가 작음을 보여줍니다. 8. SOC 관제 포인트 실전 시나리오는 침투→정찰→이동→상승·수집→확산→목표 의 전 과정을 종합합니다. 각 단계마다 탐지 룰이 발동하고 상관으로 캠페인 경보가 나는 다층 방어를 확인합니다. 조기 단계(정찰·초기 이동) 탐지가 핵심 자산 보호와 피해 최소화의 열쇠입니다. 9. 탐지 규칙 <!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 --> <group name="local,syssec_g,lateral,scenario,"> <rule id="106480" level="15" frequency="4" timeframe="1800"> <if_matched_group>lateral</if_matched_group> <same_field>audit.srcip</same_field> <description>침투-정찰-이동-확산-목표 전 단계 연쇄(실전 캠페인)</description> <mitre><id>T1190</id><id>T1021</id><id>T1041</id></mitre> </rule> </group> 단계별 룰과 상관 룰을 종합해 전 과정을 추적합니다. 조기 단계 경보에 신속 대응하면 핵심 자산 도달 전에 차단할 수 있습니다. 10. 대응 방법 초기 확인 — 단계별 신호를 시간순 종합(타임라인)해 시나리오를 재구성합니다. 범위 확인 — 각 단계 탐지 룰 발동·상관 경보·차단 기회를 확인합니다. 증거 확보 — 전 과정 타임라인·경로·증거를 보존합니다. 차단/조치 — 가장 이른 탐지 단계에서 확산 차단·자산 보호 대응을 진행합니다. 재발 방지 — 실전 시나리오 기반 측면 이동 탐지·대응을 연습·운영합니다. 11. 핵심 정리 단계 탐지 룰 침투 웹 로그 정찰 106280·106290 인증 이동 106080 목표 106330·106360 면접 포인트 "실전은 다층 탐지 — 조기 단계(정찰·이동) 차단이 핵심 자산을 지킴" 12. 다음 편 예고 다음 편 350. 내부 확장·측면 이동 — 내부 확장·측면 이동 징후 종합 정리 에서는 내부 확장·측면 이동 징후 전체를 종합하는 내부 확장·측면 이동 징후 종합 정리 를 다룹니다. 이전 편: 348. 내부 확장·측면 이동 — 내부 확장·측면 이동 탐지 규칙 모음 📚 시리즈 전체 보기: 시스템 보안 · 취약점