402. 지속성·재침투 — 지속성(persistence)·재침투의 개념과 공격 단계

About this offer

시스템 보안 · 취약점 › I. 지속성 · 재침투 징후 · 2/50편 (전체 402/450) 학습 단계: 지속성·재침투 기본 개념 실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」 이며, IP·계정·호스트명은 가상의 값입니다. 선행 학습 401. 지속성·재침투 — 지속성·재침투 징후 분석 개요 253. 지속성(persistence) 메커니즘 탐지(F영역) 1. 개념 지속성(Persistence, ATT&CK TA0003) 은 공격자가 재부팅·로그아웃·세션 종료 후에도 접근을 유지하는 활동입니다. 재침투(re-entry) 는 접근이 끊겼을 때 다시 들어오는 것으로, 지속성 장치가 그 통로가 됩니다. 지속성 vs 재침투 지속성(persistence): 접근을 "유지" 백도어 계정·SSH 키·cron·서비스 → 끊겨도 자동 복귀 재침투(re-entry): 접근을 "복구" 심어둔 백도어로 재접속, 자격증명 재사용 관계: 지속성 장치 = 재침투 통로 → 둘은 동전의 양면 핵심: 지속성 장치를 남기면 언제든 재침투 가능 핵심은 "지속성과 재침투는 분리된 것이 아니다"입니다. 심어진 지속성 장치가 그대로 재침투 경로가 되므로, 둘을 함께 탐지·차단해야 합니다. 2. 왜 중요한가 지속성은 접근 유지, 재침투는 접근 복구이며, 지속성 장치가 재침투 통로가 됩니다. 공격자는 다중 지속성을 심어 하나가 제거돼도 다른 경로로 복귀합니다. 둘을 함께 봐야 "제거했는데 다시 들어오는" 상황을 막을 수 있습니다. 3. 핵심 명령어 / 설정 구분 지속성 재침투 목적 접근 유지 접근 복구 수단 백도어·키·cron 심은 장치 재사용 시점 침투 직후 설치 끊긴 후 복귀 관계 재침투 통로 제공 지속성 활용 대응 전수 제거 경로 차단 4. 실습 (실습 예시) # 지속성·재침투 개념 점검 (분석 방법) # 지속성 설치(접근 유지 장치) sudo ausearch -k account_persist,persist -i --start recent 2>/dev/null | tail # 재침투(심은 경로로 재접속) sudo grep 'Accepted' /var/log/secure 2>/dev/null | grep -E 'publickey' | tail # 다중 지속성 여부(여러 위치 동시 설치) echo "authorized_keys·cron·systemd·PAM 동시 변경 여부 교차 확인" 5. 정상 상태 $ (지속성 설치) (없음) $ (재접속) 정상 사용자·키만 지속성 설치 흔적이 없고, 재접속이 정상 사용자·등록 키로만 이뤄지는 상태가 정상입니다. 6. 이상 상태 $ (지속성 설치) authorized_keys 키 추가 + /etc/cron.d/.x + PAM 변조(다중) $ (재접속) 끊긴 뒤 미등록 키로 publickey 재접속(재침투) 여러 위치에 지속성 동시 설치 → 중복 복귀 경로 확보 끊긴 후 심은 키로 재접속 → 재침투 실행 지속성 설치 + 재접속 → 지속성·재침투 연계 → 정탐 7. 로그 분석 (분석 방법) 지속성·재침투 관계 분석입니다(가상의 예시). [침투 직후] 지속성 다중 설치 1 SSH 키 추가 2 cron 등록 3 서비스 enable ↓ (접근 끊김 — 관리자 세션 종료·IP 차단) [재침투] 심어둔 경로로 복귀 → 미등록 키로 재접속 / cron이 역셸 재실행 ↕ (탐지) [분석가] 지속성 장치 전수 점검 + 재접속 패턴 상관 하나라도 남으면 재침투 반복 ↓ = 지속성 장치 = 재침투 통로 → 함께 차단해야 종료 단계 공격 방어 설치 다중 지속성 전수 점검 복귀 재침투 경로 차단 반복 잔존 장치 완전 제거 지속성 전수 제거 없이는 재침투가 반복됩니다. 8. SOC 관제 포인트 지속성(TA0003)은 접근 유지, 재침투는 접근 복구이며 지속성 장치가 재침투 통로 입니다. 공격자는 다중 지속성으로 중복 복귀 경로를 확보해 부분 제거를 무력화합니다. 둘을 함께 탐지·전수 제거해야 "제거 후 재침투" 반복을 끊을 수 있습니다. 9. 탐지 규칙 <!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 --> <group name="local,syssec_i,persistence,"> <rule id="108010" level="10"> <if_sid>108000</if_sid> <description>지속성 설치·재침투 연계 이벤트(접근 유지·복구)</description> <mitre><id>T1098</id><id>T1133</id></mitre> </rule> </group> 지속성 설치와 재접속을 상관해 재침투 연계를 포착합니다. 다중 지속성은 전수 점검으로 모든 장치를 식별합니다. 10. 대응 방법 초기 확인 — 지속성 설치(접근 유지)와 재접속(접근 복구)을 함께 조회합니다. 범위 확인 — 다중 지속성 설치와 심은 경로를 통한 재침투 연계를 확인합니다. 증거 확보 — 지속성 설치·재접속 이벤트와 설치 위치 목록을 보존합니다. 차단/조치 — 연계 정탐이면 지속성 전수 제거·재침투 경로 차단을 함께 진행합니다. 재발 방지 — 지속성·재침투 연계 탐지를 운영합니다. 11. 핵심 정리 구분 지속성 vs 재침투 목적 접근 유지 vs 접근 복구 수단 백도어·키·cron vs 심은 장치 재사용 시점 침투 직후 vs 끊긴 후 관계 지속성 장치 = 재침투 통로 면접 포인트 "지속성과 재침투는 동전의 양면 — 전수 제거 없이는 재침투 반복" 12. 다음 편 예고 다음 편 403. 지속성·재침투 — 지속성·재침투 감사 기반 구성 에서는 지속성·재침투 감사 기반을 다루는 지속성·재침투 감사 기반 구성 을 다룹니다. 이전 편: 401. 지속성·재침투 — 지속성·재침투 징후 분석 개요 📚 시리즈 전체 보기: 시스템 보안 · 취약점