236. 중요 정보 접근 — 대용량 아웃바운드 트래픽 탐지

시스템 보안 · 취약점 › E. 중요 정보 접근 로그 분석 · 36/50편 (전체 236/450)
학습 단계: 데이터 유출(exfiltration) 징후
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

• 235. 중요 정보 접근 — 클라우드·웹 업로드 유출 탐지
• 232. 외부 전송(아웃바운드) 유출 탐지

1. 개념

유출 방법이 무엇이든, 데이터가 나가면 아웃바운드 전송량이 늘어납니다. 전송 규모는 채널·위장과 무관한 공통 지표라, 대용량 아웃바운드는 유출의 강력한 탐지 신호입니다.

전송량 기반 유출 지표
 [급증]     평소 대비 아웃바운드 바이트 급증
 [비대칭]   업로드(아웃) >> 다운로드(인) — 서버는 보통 반대
 [목적지 집중] 한 외부 IP로 대량 전송
 [크기 제한 우회] split로 분할, 느린 유출(저속 지속)

판정: 베이스라인 대비 아웃바운드 바이트·비대칭

서버는 보통 다운로드(요청 수신)가 많고 업로드는 적습니다. 업로드 급증·비대칭은 데이터가 빠져나가는 신호입니다.

2. 왜 중요한가

• 전송량은 유출 채널·위장과 무관한 공통 지표라, 암호화·은닉 유출도 포착합니다.
• 서버의 업로드 급증·인아웃 비대칭은 데이터 유출의 강한 신호입니다.
• 공격자는 분할·저속으로 임계를 회피하므로, 누적량·지속성도 함께 봅니다.

3. 핵심 명령어 / 설정

전송량 지표	정상	유출
아웃바운드 바이트	베이스라인	급증
인/아웃 비율	인>아웃(서버)	아웃>>인
목적지 분포	분산·정상	단일 외부 집중
분할 전송	없음	split·chunk
저속 지속	없음	느린 유출

4. 실습 (실습 예시)

# 대용량 아웃바운드 트래픽 탐지 (분석 방법)
# 프로세스별 네트워크 전송량(nethogs/ss)
ss -tnp 2>/dev/null | grep -vE '127.0.0.1|내부대역' | head
# 인터페이스 아웃바운드 추이(베이스라인 대비)
cat /proc/net/dev 2>/dev/null | awk 'NR>2{print $1, "tx_bytes="$10}'
# 분할 전송 흔적
sudo ausearch -k exfil -i --start recent 2>/dev/null | grep -E 'split|-b [0-9]+M'

5. 정상 상태

$ (아웃바운드) 베이스라인 수준(서버는 인바운드 우위)
$ (분할 전송) (없음)

아웃바운드 전송량이 베이스라인 수준이고 인바운드 우위를 유지하며, 분할 전송이 없는 상태가 정상입니다.

6. 이상 상태

$ (아웃바운드)
www-data → 203.0.113.9: 2.3GB 업로드 (평소 아웃 50MB/일)
$ (분할 전송)
04:03 split -b 100M all.tgz  (10개 조각으로 분할 전송)

• 한 외부 IP로 2.3GB 업로드(평소의 46배) → 대용량 유출
• split로 100MB씩 분할 → 크기 제한·임계 회피
• 아웃바운드 급증·단일 목적지 집중·분할 → 유출 → 정탐

7. 로그 분석 (분석 방법)

대용량 아웃바운드 유출 흐름입니다(가상의 예시).

[베이스라인] 아웃 50MB/일, 인바운드 우위
      ↓ (비교)
[관측] 아웃 2.3GB, 단일 외부 IP, 분할 전송
      ↓
[판정] 전송량 급증·비대칭·목적지 집중
      ↓
[해석] 대용량 데이터 유출(채널 무관)

지표	정상	유출
아웃 바이트	50MB	2.3GB
인/아웃	인 우위	아웃 우위
목적지	분산	단일 외부
분할	없음	split

전송량·비대칭·목적지 집중이 채널과 무관하게 유출을 드러냅니다.

8. SOC 관제 포인트

• 대용량 아웃바운드는 채널·위장과 무관한 공통 유출 지표입니다.
• 업로드 급증·인아웃 비대칭·단일 목적지 집중이 핵심 신호입니다.
• 분할·저속 유출(임계 회피)은 누적량·지속성으로 포착합니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_e,exfiltration,">
  <!-- 분할 전송(크기 제한 우회) 흔적 -->
  <rule id="104350" level="11">
    <if_sid>104000</if_sid>
    <field name="audit.proctitle" type="pcre2">split\s+-b\s+[0-9]+[MG]|dd\s+.*bs=.*count=</field>
    <description>데이터 분할(전송 크기 제한 우회·유출 준비)</description>
    <mitre><id>T1030</id></mitre>
  </rule>
</group>

전송량 급증·비대칭은 네트워크 모니터링(NetFlow·프록시 로그)·ELK 집계로 탐지합니다. 룰은 호스트 흔적(split) 보완입니다.

10. 대응 방법

1. 초기 확인 — 아웃바운드 전송량·인아웃 비대칭·목적지 분포를 베이스라인과 비교합니다.
2. 범위 확인 — 단일 외부 집중·분할·저속 지속 유출을 확인합니다.
3. 증거 확보 — 전송량 통계·네트워크 연결·분할 흔적을 보존합니다.
4. 차단/조치 — 대용량 유출 정탐이면 연결 차단·세션 종료·전송량(유출 규모) 산정을 진행합니다.
5. 재발 방지 — 전송량 기반 아웃바운드 유출 탐지를 네트워크 모니터링과 함께 운영합니다.

11. 핵심 정리

전송량 지표	유출 신호
아웃바운드 바이트	급증
인/아웃 비율	아웃>>인
목적지 분포	단일 외부 집중
분할·저속	임계 회피
면접 포인트	"전송량은 채널 무관 공통 지표 — 업로드 급증·비대칭이 유출 신호"

12. 다음 편 예고

다음 편 237. 중요 정보 접근 — 유출 staging·임시 저장 탐지 에서는 유출 staging·임시 저장을 다루는 유출 staging·임시 저장 탐지를 다룹니다.

---

이전 편: 235. 중요 정보 접근 — 클라우드·웹 업로드 유출 탐지
📚 시리즈 전체 보기: 시스템 보안 · 취약점