234. 중요 정보 접근 — ICMP·비표준 채널 유출 탐지

시스템 보안 · 취약점 › E. 중요 정보 접근 로그 분석 · 34/50편 (전체 234/450)
학습 단계: 데이터 유출(exfiltration) 징후
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

• 233. 중요 정보 접근 — DNS 터널링 유출 탐지
• 229. 데이터 유출(exfiltration) 징후 개요

1. 개념

DNS 외에도 공격자는 ICMP(ping) 페이로드나 비표준 포트·프로토콜로 유출합니다. ICMP는 데이터 필드에 내용을 담을 수 있고, 비표준 포트는 일반 트래픽 감시(80/443 위주)를 우회합니다.

ICMP·비표준 채널 유출
 ICMP 터널:  ping 패킷 data 필드에 데이터 인코딩
   비정상적으로 큰 ICMP 페이로드, 높은 빈도
 비표준 포트: 생소한 포트로 아웃바운드(예: 4444, 8888)
 프로토콜 오용: HTTPS 포트로 비HTTPS, raw TCP

특징: 일반 트래픽(80/443/DNS) 외의 아웃바운드 활동

ICMP·비표준 채널은 방화벽·감시의 사각지대를 노립니다. 비정상 프로토콜·포트·페이로드 크기가 탐지 지표입니다.

2. 왜 중요한가

• ICMP는 보통 감시가 느슨해, 큰 페이로드로 데이터를 실어 유출할 수 있습니다.
• 비표준 포트 아웃바운드는 일반 웹 트래픽 감시를 우회합니다.
• 정상 아웃바운드는 제한된 포트(80/443/53)이므로, 그 외는 이상 신호입니다.

3. 핵심 명령어 / 설정

채널	유출 방식	지표
ICMP 터널	ping 페이로드	큰 payload·고빈도
비표준 포트	생소한 포트	4444·8888 등
프로토콜 오용	포트-프로토콜 불일치	443에 비TLS
raw TCP/UDP	커스텀 채널	비표준 연결
정상(80/443/53)	표준	정상

4. 실습 (실습 예시)

# ICMP·비표준 채널 유출 탐지 (분석 방법)
# ICMP 전송 도구·큰 페이로드(분석용)
sudo ausearch -k exfil -i --start recent 2>/dev/null | grep -oE 'proctitle=.*(ping|hping|nping).*' | tail
# 비표준 포트 아웃바운드 연결
ss -tunp 2>/dev/null | grep -vE ':(80|443|53|22|123)\b' | grep -vE '127.0.0.1|내부대역' | head

5. 정상 상태

$ (ICMP 도구) (없음 또는 정상 모니터링 ping만)
$ (비표준 포트) (없음 — 표준 포트만 아웃바운드)

아웃바운드가 표준 포트(80/443/53)로만 발생하고, ICMP 터널·비표준 포트 연결이 없는 상태가 정상입니다.

6. 이상 상태

$ (ICMP 도구)
04:08 proctitle="ping -c 1000 -s 1400 192.0.2.88" (큰 페이로드·고빈도)
$ (비표준 포트)
www-data → 203.0.113.9:4444 (생소한 포트)

• 큰 페이로드(-s 1400)·대량(-c 1000) ping → ICMP 터널 유출
• 4444 포트 아웃바운드 → 비표준 채널 유출
• ICMP 터널·비표준 포트 → 은닉 유출 → 정탐

7. 로그 분석 (분석 방법)

ICMP·비표준 채널 유출 흐름입니다(가상의 예시).

[데이터] 인코딩된 조각
   ↓ (채널 선택)
 ├ ICMP: ping -s 1400 (페이로드에 데이터)
 └ 포트: nc 외부:4444 (비표준 포트)
   ↓ (일반 트래픽 감시 우회)
[공격자] 페이로드·연결에서 데이터 수신

지표	정상	유출
ICMP 크기	작음(64)	큼(1400)
ICMP 빈도	낮음	높음
포트	80/443/53	4444 등
프로토콜	표준	오용

비표준 프로토콜·포트·큰 ICMP 페이로드가 은닉 유출의 지표입니다.

8. SOC 관제 포인트

• ICMP·비표준 채널은 일반 트래픽 감시(80/443/DNS)를 우회하는 은닉 유출입니다.
• 큰 ICMP 페이로드·고빈도, 비표준 포트 아웃바운드가 핵심 지표입니다.
• 정상 아웃바운드는 제한된 표준 포트이므로, 그 외 활동을 이상으로 봅니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_e,exfiltration,">
  <!-- ICMP 터널 도구 또는 비표준 포트 전송 -->
  <rule id="104330" level="12">
    <if_sid>104000</if_sid>
    <field name="audit.proctitle" type="pcre2">(ping\s+.*-s\s+(1[0-9]{3}|[2-9][0-9]{2})|hping|nping|nc\s+\S+\s+(4444|8888|1337|9001))</field>
    <description>ICMP 터널·비표준 포트 유출 의심</description>
    <mitre><id>T1048.003</id><id>T1095</id></mitre>
  </rule>
</group>

네트워크 레벨(방화벽·IDS)의 비표준 포트·ICMP 페이로드 탐지와 결합합니다. 정상 모니터링 ping은 예외 처리합니다.

10. 대응 방법

1. 초기 확인 — ICMP 페이로드 크기·빈도, 비표준 포트 아웃바운드를 확인합니다.
2. 범위 확인 — 전송 도구·목적지·프로토콜-포트 일치 여부를 확인합니다.
3. 증거 확보 — 유출 프로세스·네트워크 연결·채널 정보를 보존합니다.
4. 차단/조치 — 은닉 유출 정탐이면 채널 차단·세션 종료·유출 범위 조사를 진행합니다.
5. 재발 방지 — 비표준 프로토콜·포트 기반 은닉 유출 탐지를 운영합니다.

11. 핵심 정리

채널	지표
ICMP 터널	큰 payload·고빈도
비표준 포트	4444·8888 등
프로토콜 오용	포트-프로토콜 불일치
표준(80/443/53)	정상
면접 포인트	"ICMP·비표준 포트는 일반 감시 우회 — 큰 ICMP·비표준 포트가 은닉 유출 지표"

12. 다음 편 예고

다음 편 235. 중요 정보 접근 — 클라우드·웹 업로드 유출 탐지 에서는 클라우드·웹 업로드 유출을 다루는 클라우드·웹 업로드 유출 탐지를 다룹니다.

---

이전 편: 233. 중요 정보 접근 — DNS 터널링 유출 탐지
📚 시리즈 전체 보기: 시스템 보안 · 취약점