251. 프로세스·지속성 — 비정상 프로세스·지속성 징후 분석 개요

Soc 개요 리눅스 보안관제 시스템 보안 · 취약점 시스템보안 프로세스지속성

시스템 보안 · 취약점

목록 보기

251/450

시스템 보안 · 취약점 › F. 비정상 프로세스 · 지속성 징후 · 1/50편 (전체 251/450)
학습 단계: 프로세스·지속성 기본 개념
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

1. 개념

F영역 「비정상 프로세스·지속성 징후」를 시작합니다. 공격자는 침투(C)·상승(D)·유출(E) 이후, 재부팅·재접속 후에도 거점을 유지하려고 비정상 프로세스를 실행하고 지속성(persistence)을 심습니다. 이 단계 탐지가 장기 침해를 끊는 핵심입니다.

공격 단계와 F영역의 위치
 정찰(C)→상승(D)→유출(E)→[프로세스·지속성(F)]→내부확장(G)
                              ↑ 장기 거점 유지

F영역 흐름
 비정상 프로세스  → 악성 실행·위장·은닉
 지속성(persist)  → cron·systemd·키·모듈
 백도어·C2        → 원격 제어·통신

A~E가 "침투~유출"이라면, F는 "장기 거점 유지"를 탐지합니다. 지속성을 제거하지 못하면 침해가 반복됩니다.

2. 왜 중요한가

지속성 제거 없이는 재부팅·계정 초기화 후에도 공격자가 다시 들어옵니다(침해 반복).
비정상 프로세스는 실행 경로·계보·명령줄로, 지속성은 등록 위치로 탐지합니다.
프로세스 실행 감사(execve)가 F영역 전체 탐지의 기반입니다.

3. 핵심 명령어 / 설정

단계	행위	탐지 영역
비정상 프로세스	악성·위장·은닉 실행	F09~18
지속성	cron·systemd·키·모듈	F19~28
백도어·C2	리버스셸·비컨·웹셸	F29~38
분석	계보·타임라인·상관	F39~43
관제	Wazuh·ELK·Sysmon	F44~48

4. 실습 (실습 예시)

# 프로세스·지속성 감사 기반 (분석 방법)
# execve(프로세스 실행) 감사 등록
sudo auditctl -a always,exit -F arch=b64 -S execve -k proc_exec
# 지속성 위치 watch
sudo auditctl -w /etc/cron.d -p wa -k persist
sudo auditctl -w /etc/systemd/system -p wa -k persist
sudo ausearch -k proc_exec,persist -i --start recent 2>/dev/null | tail

5. 정상 상태

$ (프로세스·지속성 이벤트)
(정상: 알려진 서비스·관리 프로세스, 지속성 변경은 패키지·배포 맥락)

실행 프로세스가 알려진 서비스·관리 작업뿐이고, 지속성 위치 변경이 패키지·배포 맥락과 일치하는 상태가 정상입니다.

6. 이상 상태

$ (프로세스·지속성 이벤트)
04:10 comm="sh" /tmp/.x (비표준 경로 실행)
04:11 cron.d/0hourly 변경 (지속성 등록)
04:12 nc → 외부 4444 (C2 연결)

비표준 경로 악성 실행 → cron 지속성 등록 → C2 연결의 3단
유출(E) 이후 장기 거점 확보 단계
비정상 실행+지속성+C2 연계 → 정탐(장기 침해)

7. 로그 분석 (분석 방법)

F영역 전체 탐지 흐름입니다(가상의 예시).

[E영역 유출] 데이터 탈취
      ↓
[비정상 프로세스] /tmp/.x 실행 (proc_exec)
      ↓
[지속성] cron.d·systemd 등록 (persist)
      ↓
[백도어·C2] 리버스셸·비컨 (외부 통신)
      ↓
[탐지] 각 단계 + 실행→지속성→C2 상관(F40·42)

단계	흔적
비정상 실행	execve 감사
지속성	등록 위치 변경
C2	외부 통신

세 단계를 세션·계보로 연계하면 장기 거점 구축이 드러납니다.

8. SOC 관제 포인트

F영역은 비정상 프로세스·지속성·백도어를 탐지해 장기 침해를 끊는 단계입니다.
지속성 제거 없이는 침해가 반복되므로 탐지·제거가 핵심입니다.
execve 프로세스 감사가 F영역 전체 탐지의 기반입니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_f,process,">
  <!-- F영역 기반 룰: 프로세스 실행·지속성 감사 포착 -->
  <rule id="105000" level="5">
    <decoded_as>auditd</decoded_as>
    <field name="audit.key" type="pcre2">proc_exec|persist</field>
    <description>프로세스 실행·지속성 감사 이벤트(기반)</description>
    <mitre><id>T1057</id></mitre>
  </rule>
</group>

105000은 F영역 기반 룰입니다. 개별 탐지(105010~)가 이를 상속해 유형별로 세분화합니다. Wazuh 룰 범위: F영역 105000번대.

10. 대응 방법

초기 확인 — 비정상 프로세스·지속성 이벤트(주체·경로·시점)를 확인합니다.
범위 확인 — 실행 후 지속성 등록·C2 연결로 이어졌는지 확인합니다.
증거 확보 — 프로세스 실행·지속성 로그를 계보·세션 기준으로 보존합니다.
차단/조치 — 장기 거점 정탐이면 프로세스 종료·지속성 제거·C2 차단을 진행합니다.
재발 방지 — execve 감사 기반 프로세스·지속성 탐지 체계를 운영합니다.

11. 핵심 정리

단계	탐지
비정상 프로세스	악성·위장·은닉(F09~18)
지속성	cron·systemd·키·모듈(F19~28)
백도어·C2	리버스셸·비컨·웹셸(F29~38)
분석·관제	계보·상관·Wazuh/ELK(F39~48)
면접 포인트	"F영역은 장기 거점 유지 탐지 — 지속성 제거 없으면 침해 반복"