347. 내부 확장·측면 이동 — 측면 이동 Alert 대응 절차

About this offer

시스템 보안 · 취약점 › G. 내부 확장 · 측면 이동 징후 · 47/50편 (전체 347/450) 학습 단계: SOC 탐지 연계 실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」 이며, IP·계정·호스트명은 가상의 값입니다. 선행 학습 346. 내부 확장·측면 이동 — 네트워크 탐지(NDR)·흐름 로그 연계 308. 내부 확장·측면 이동 판정 기준 1. 개념 측면 이동 경보는 확산 중인 활성 공격 일 가능성이 높아, 신속·체계적 대응이 필요합니다. 접수→분류→조사→격리→확산 차단→복구의 플레이북 으로 대응하되, 측면 이동 특성상 확산 차단(추가 이동 저지) 이 최우선입니다. 측면 이동 Alert 대응 절차 1. 접수·분류: 정탐/오탐, 심각도(핵심 자산 근접?) 2. 조사: 4대 축·경로 매핑·타임라인 3. 격리: 영향 호스트·허브 격리 4. 확산 차단: 경로 차단·자격증명 교체 5. 복구: 정리·패치·모니터링 6. 사후: 타임라인·보고·교훈 핵심: 확산 차단(추가 이동 저지)이 최우선 측면 이동은 진행 중이면 매 순간 확산되므로, 조사와 병행해 확산 차단을 서두릅니다. 허브(G43) 격리가 확산을 가장 효율적으로 끊습니다. 2. 왜 중요한가 측면 이동 경보는 활성 확산일 가능성이 높아 신속 대응이 필수입니다. 확산 차단(추가 이동 저지)이 조사보다 우선할 수 있습니다(진행 중). 허브 격리·자격증명 교체가 확산을 끊는 핵심 조치입니다. 3. 핵심 명령어 / 설정 단계 조치 우선순위 분류 정탐/오탐·심각도 즉시 조사 경로·타임라인 병행 격리 호스트·허브 높음 확산 차단 경로·자격 교체 최우선 복구 정리·패치 이후 4. 실습 (실습 예시) # 측면 이동 Alert 대응 (분석 방법) # 1. 영향 범위 확인(경로 매핑) sudo ausearch -k lateral -i --start recent 2>/dev/null | grep -oE 'srcip=10\.[0-9.]+.*addr=10\.[0-9.]+' | sort | uniq -c # 2. 활성 세션 확인(진행 중 이동) ss -tnp 2>/dev/null | grep -E ':22\b' | grep -E '10\.|192\.168\.' # 3. 증거 보존(격리 전 로그 수집) sudo ausearch -k lateral,privesc,exfil --start recent > /var/log/ir_lateral_$(date +%s).log 2>/dev/null 5. 정상 상태 대응 준비 상태(정상 운영): · 플레이북·연락망·격리 권한 준비됨 · 경보 접수 시 즉시 분류·대응 가능 플레이북·연락망·격리 권한이 준비되어, 경보 접수 시 지체 없이 분류·대응에 들어갈 수 있는 상태가 정상(대응 준비 완료)입니다. 6. 이상 상태 측면 이동 경보 대응 흐름(정탐): 1. 분류: 핵심 자산 근접 → 심각도 상 2. 조사: web01→db01→app01 경로, db01=허브 3. 격리: db01(허브) 우선 격리 → 확산 차단 4. 자격 교체: 관련 SSH 키·계정 전면 교체 5. 복구: 발판·도구 제거, 진입점 패치 핵심 자산 근접 경보 → 심각도 상향 → 신속 대응 허브(db01) 우선 격리 → 추가 확산 차단 경로 차단 + 자격증명 교체 → 측면 이동 봉쇄 7. 로그 분석 (분석 방법) 측면 이동 Alert 대응 절차입니다(가상의 예시). [접수] 106430 상관 경보(캠페인) ↓ 분류 정탐 + 핵심 자산 근접 → 심각도 상 ↓ 조사(병행) 경로: web01→db01→app01, 허브=db01 ↓ 확산 차단(최우선) db01(허브) 격리 → SSH 키·계정 교체 ↓ 복구 발판·도구 제거, web01 진입점 패치 ↓ 사후 타임라인·보고·탐지 규칙 보강 단계 핵심 조치 분류 심각도·정탐 조사 경로·허브 확산 차단 허브 격리·자격 교체 복구 정리·패치 확산 차단(허브 격리·자격 교체)이 대응의 최우선입니다. 8. SOC 관제 포인트 측면 이동 경보는 활성 확산 일 수 있어 신속·체계적 플레이북 대응이 필요합니다. 접수→분류→조사→격리→확산 차단→복구 중 확산 차단이 최우선 입니다. 허브(G43) 격리와 자격증명 전면 교체가 확산을 끊는 핵심 조치입니다. 9. 탐지 규칙 <!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 --> <group name="local,syssec_g,lateral,response,"> <rule id="106460" level="14"> <if_sid>106430</if_sid> <description>측면 이동 캠페인 경보 — 대응 플레이북 가동(확산 차단 우선)</description> <mitre><id>T1021</id></mitre> </rule> </group> 고레벨 캠페인 경보는 자동 플레이북(격리·자격 교체 티켓)과 연동합니다. 격리 권한·연락망·증거 보존 절차를 사전 정비합니다. 10. 대응 방법 초기 확인 — 경보를 분류(정탐/오탐·심각도·핵심 자산 근접)합니다. 범위 확인 — 경로·허브·타임라인을 조사하며 확산 차단을 병행합니다. 증거 확보 — 증거 보존(격리 전 로그) 후 허브·호스트를 격리합니다. 차단/조치 — 경로 차단·자격증명 전면 교체·발판 제거·진입점 패치를 진행합니다. 재발 방지 — 사후 타임라인·보고·탐지 규칙 보강으로 측면 이동 대응을 마무리합니다. 11. 핵심 정리 단계 조치 분류 정탐/오탐·심각도 조사 경로·허브·타임라인 확산 차단 허브 격리·자격 교체(최우선) 복구 정리·패치·모니터링 면접 포인트 "측면 이동은 활성 확산 — 허브 격리+자격 교체로 확산 차단이 최우선" 12. 다음 편 예고 다음 편 348. 내부 확장·측면 이동 — 내부 확장·측면 이동 탐지 규칙 모음 에서는 내부 확장·측면 이동 탐지 규칙을 모으는 내부 확장·측면 이동 탐지 규칙 모음 을 다룹니다. 이전 편: 346. 내부 확장·측면 이동 — 네트워크 탐지(NDR)·흐름 로그 연계 📚 시리즈 전체 보기: 시스템 보안 · 취약점