348. 내부 확장·측면 이동 — 내부 확장·측면 이동 탐지 규칙 모음

Об этом предложении

시스템 보안 · 취약점 › G. 내부 확장 · 측면 이동 징후 · 48/50편 (전체 348/450) 학습 단계: SOC 탐지 연계 실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」 이며, IP·계정·호스트명은 가상의 값입니다. 선행 학습 347. 내부 확장·측면 이동 — 측면 이동 Alert 대응 절차 344. Wazuh 기반 측면 이동 탐지 1. 개념 G영역에서 설계한 측면 이동 탐지 규칙을 공격 단계별로 분류한 카탈로그 로 정리합니다. 정찰→인증 이동→원격 실행→확산→목표의 단계마다 핵심 룰을 매핑해, 다층 방어(defense in depth) 관점에서 운영합니다. 측면 이동 탐지 규칙 카탈로그(단계별) [정찰] 스캔·열거·디렉터리 [인증 이동] SSH·키 재사용·자격 재사용·PtH [원격 실행] 명령·스케줄러·SMB·DB·웹·터널 [확산] 경로·홉·자격 수집 [목표] 핵심 자산·상승 연계·유출 연계 [상관] 캠페인·부채꼴·체인 = 단계별 다층 탐지 카탈로그의 목적은 "어느 단계든 하나는 걸리게" 하는 다층 방어입니다. 단계별 룰을 모두 운영해 탐지 사각을 줄입니다. 2. 왜 중요한가 측면 이동은 여러 단계를 거치므로, 단계별 다층 룰이 탐지 확률을 높입니다. 어느 단계든 탐지하면 조기 차단 기회이므로 전 단계 커버가 중요합니다. 카탈로그로 룰을 체계화하면 누락 점검·튜닝·갱신이 쉬워집니다. 3. 핵심 명령어 / 설정 단계 핵심 룰 MITRE 정찰 106280·106290·106300 T1046·T1087 인증 이동 106080·106110·106130 T1021·T1550 원격 실행 106170·106200·106230 T1210·T1059 확산 106310·106320·106340 T1552·T1090 목표·상관 106330·106360·106430 T1041·T1078 4. 실습 (실습 예시) # 측면 이동 탐지 규칙 운영 점검 (분석 방법) # 적재된 G영역 룰 목록·레벨 확인 sudo grep -rE 'id="10(6)[0-9]{3}"' /var/ossec/etc/rules/ 2>/dev/null | grep -oE 'id="[0-9]+" level="[0-9]+"' | sort # 단계별 룰 커버리지 점검(누락 단계 확인) echo "정찰·인증이동·원격실행·확산·목표·상관 각 단계 룰 존재 여부 점검" # 전체 룰 문법 검증 sudo /var/ossec/bin/wazuh-logtest 5. 정상 상태 $ (룰 목록) (정찰~상관 전 단계 룰 적재·검증 통과) 정찰부터 상관까지 전 단계 룰이 적재되고 문법 검증을 통과해, 단계별 커버리지에 누락이 없는 상태가 정상입니다. 6. 이상 상태 운영 이슈 예: · 특정 단계 룰 누락 → 그 단계 탐지 사각 · 과도한 레벨·광범위 조건 → 오탐 폭증 · 기준선 예외 미설정 → 정상 관리 오탐 · 룰 미갱신 → 새 이동 기법 미탐 → 카탈로그로 누락·튜닝·갱신 점검 단계 누락 → 탐지 사각 → 전 단계 커버 확인 필요 광범위 조건·기준선 미설정 → 오탐 → 조건 정밀화·예외 설정 카탈로그 기반 정기 점검으로 사각·오탐·미탐 관리 7. 로그 분석 (분석 방법) 측면 이동 탐지 규칙 카탈로그 구조입니다(가상의 예시). 공격 단계 → 탐지 룰(다층) [정찰] ────── 106280(스캔)·106290(열거)·106300(디렉터리) [인증 이동] ── 106080(키 재사용)·106110(자격 재사용)·106130(계정 전환) [원격 실행] ── 106170(명령)·106200(SMB)·106230(DB)·106260(터널) [확산] ────── 106310(수집)·106320(경로)·106340(홉) [목표] ────── 106330(핵심 자산)·106360(유출 연계) [상관] ────── 106430(캠페인)·106450(흐름 연계) = 어느 단계든 하나는 걸리는 다층 방어 관점 운영 단계별 다층 커버 레벨 우선순위 기준선 오탐 제거 갱신 신규 기법 단계별 다층 커버 + 지속 튜닝이 카탈로그 운영의 핵심입니다. 8. SOC 관제 포인트 G영역 탐지 규칙을 공격 단계별 카탈로그 로 정리해 다층 방어를 운영합니다. 정찰→인증 이동→원격 실행→확산→목표→상관 전 단계를 커버해 사각을 줄입니다. 카탈로그로 누락 점검·오탐 튜닝·신규 기법 갱신을 체계적으로 관리합니다. 9. 탐지 규칙 <!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 --> <group name="local,syssec_g,lateral,catalog,"> <!-- 단계별 룰은 각 편(106080~106450)을 참조, 베이스로 묶음 관리 --> <rule id="106470" level="3"> <if_group>lateral</if_group> <description>측면 이동 탐지 카탈로그(단계별 룰 묶음 관리)</description> <mitre><id>T1021</id></mitre> </rule> </group> lateral 그룹으로 전 단계 룰을 묶어 관리하고, 레벨·기준선 예외를 일괄 튜닝합니다. 정기적으로 커버리지·오탐·신규 기법을 점검·갱신합니다. 10. 대응 방법 초기 확인 — 단계별(정찰~상관) 룰 적재·커버리지·문법을 점검합니다. 범위 확인 — 레벨·조건·기준선 예외의 오탐·미탐 균형을 확인합니다. 증거 확보 — 룰 카탈로그·커버리지 맵·튜닝 이력을 문서화·보존합니다. 차단/조치 — 누락 단계는 룰 추가, 오탐은 예외·조건 정밀화로 지속 튜닝합니다. 재발 방지 — 측면 이동 탐지 규칙 카탈로그를 운영·갱신합니다. 11. 핵심 정리 단계 핵심 룰 정찰 106280·106290·106300 인증 이동 106080·106110·106130 원격 실행 106170·106200·106230 목표·상관 106330·106360·106430 면접 포인트 "단계별 다층 룰로 어느 단계든 탐지 — 카탈로그로 사각·오탐·갱신 관리" 12. 다음 편 예고 다음 편 349. 내부 확장·측면 이동 — 실전 시나리오 — 침투부터 핵심 자산 장악까지 에서는 침투부터 핵심 자산 장악까지의 실전 시나리오를 다루는 실전 시나리오 — 침투부터 핵심 자산 장악까지 를 다룹니다. 이전 편: 347. 내부 확장·측면 이동 — 측면 이동 Alert 대응 절차 📚 시리즈 전체 보기: 시스템 보안 · 취약점