265. 프로세스·지속성 — 단기 실행·반복 실행 프로세스 탐지

시스템 보안 · 취약점 › F. 비정상 프로세스 · 지속성 징후 · 15/50편 (전체 265/450)
학습 단계: 비정상 프로세스 징후
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

• 264. 프로세스·지속성 — 메모리 전용 실행(fileless) 징후 탐지
• 227. 접근 빈도·패턴 이상 탐지(E영역)

1. 개념

프로세스의 수명과 반복 패턴도 이상 신호입니다. 짧게 실행되고 사라지는 프로세스가 주기적으로 반복되면, C2 비컨·워처(프로세스 재생성)·스케줄 백도어일 가능성이 높습니다.

수명·반복 패턴 이상
 단기 반복: 같은 프로세스가 N초마다 실행·종료
   → C2 비컨(주기 통신), cron/워처 호출
 워처: 죽으면 재생성(A가 B 감시, B가 A 감시)
   → 하나 죽여도 부활(지속성)
 짧은 수명 네트워크: 실행→연결→종료 반복

정상: 서비스는 장기 실행 / 배치는 비주기·불규칙

C2 비컨은 정해진 간격으로 짧게 통신하고 종료합니다. 규칙적 주기·짧은 수명이 핵심 지표입니다(E27 빈도 분석과 연계).

2. 왜 중요한가

• 단기 반복 실행은 C2 비컨(주기 통신)·스케줄 백도어의 특징입니다.
• 워처(상호 감시·재생성) 프로세스는 하나를 죽여도 부활해 지속성을 유지합니다.
• 규칙적 주기(정확한 간격)는 사람이 아닌 자동화(봇·비컨) 신호입니다.

3. 핵심 명령어 / 설정

패턴	의미	위험
단기+규칙 주기	C2 비컨	높음
죽으면 재생성	워처(지속성)	높음
실행→연결→종료 반복	비컨 통신	높음
반복 cron 호출	스케줄 백도어	중간
장기 서비스	정상	정상

4. 실습 (실습 예시)

# 단기·반복 실행 탐지 (분석 방법)
# 같은 바이너리 반복 실행 빈도(execve)
sudo ausearch -k proc_exec -i --start recent 2>/dev/null | grep -oE 'exe="[^"]+"' | sort | uniq -c | sort -rn | head
# 실행 간격 규칙성(비컨 의심)
sudo ausearch -k proc_exec -i --start recent 2>/dev/null | grep '/tmp/.beacon' | grep -oE '[0-9]{2}:[0-9]{2}:[0-9]{2}' | tail

5. 정상 상태

$ (반복 실행 빈도) 정상 배치·크론의 불규칙·소수 실행
$ (실행 간격) 불규칙(정상 배치)

프로세스 실행이 장기 서비스·불규칙 배치에 그치고, 규칙적 주기 반복이 없는 상태가 정상입니다.

6. 이상 상태

$ (반복 실행 빈도)
  720 exe="/tmp/.beacon"  (대량 반복)
$ (실행 간격)
  04:00:00, 04:00:30, 04:01:00 ... (30초 규칙 간격)

• /tmp/.beacon이 30초마다 실행·종료 → C2 비컨(주기 통신)
• 규칙적 간격·짧은 수명 → 자동화 비컨 패턴
• 단기+규칙 주기 반복 → C2 → 정탐

7. 로그 분석 (분석 방법)

단기·반복 실행 분석입니다(가상의 예시).

[비컨 패턴]
04:00:00 /tmp/.beacon 실행 → 외부 연결 → 종료
04:00:30 /tmp/.beacon 실행 → 외부 연결 → 종료
04:01:00 ... (30초 규칙 반복)
 → 짧은 수명 + 규칙 주기 + 네트워크 = C2 비컨
[워처 패턴]
procA 죽임 → procB가 즉시 procA 재생성(부활)

지표	정상	비컨/워처
수명	장기	짧음
주기	불규칙	규칙적
재생성	없음	죽으면 부활

규칙적 주기·짧은 수명·재생성이 C2·워처의 지표입니다.

8. SOC 관제 포인트

• 프로세스 수명·반복 패턴(단기+규칙 주기)은 C2 비컨·워처의 신호입니다.
• 워처(상호 감시·재생성)는 하나를 죽여도 부활해 지속성을 유지합니다.
• 규칙적 주기는 자동화(봇·비컨) 신호로, 빈도 분석(E27)과 연계합니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_f,process,">
  <!-- 동일 바이너리 단기 반복 실행(비컨 의심) -->
  <rule id="105140" level="11" frequency="20" timeframe="600">
    <if_matched_sid>105010</if_matched_sid>
    <same_field>audit.exe</same_field>
    <description>동일 바이너리 단기 반복 실행(C2 비컨·스케줄 백도어)</description>
    <mitre><id>T1071</id><id>T1053</id></mitre>
  </rule>
</group>

규칙적 주기(간격 일정성)는 ELK 시계열 분석으로 정밀 탐지합니다. 정상 주기 배치는 예외 처리합니다.

10. 대응 방법

1. 초기 확인 — 반복 실행 바이너리·빈도·간격 규칙성·수명을 확인합니다.
2. 범위 확인 — 규칙적 주기(비컨)·워처 재생성·네트워크 연계를 확인합니다.
3. 증거 확보 — 반복 실행 이벤트·간격 통계·네트워크 로그를 보존합니다.
4. 차단/조치 — 비컨·워처 정탐이면 전체(워처 쌍 포함) 종료·C2 차단·지속성 제거를 진행합니다.
5. 재발 방지 — 수명·반복 패턴 기반 비컨·워처 탐지를 운영합니다.

11. 핵심 정리

패턴	의미
단기+규칙 주기	C2 비컨
죽으면 재생성	워처(지속성)
실행→연결→종료	비컨 통신
장기 서비스	정상
면접 포인트	"규칙적 주기+짧은 수명은 C2 비컨 — 워처는 죽여도 부활, 쌍으로 제거"

12. 다음 편 예고

다음 편 266. 프로세스·지속성 — 비정상 네트워크 연결 프로세스 탐지 에서는 비정상 네트워크 연결 프로세스를 다루는 비정상 네트워크 연결 프로세스 탐지를 다룹니다.

---

이전 편: 264. 프로세스·지속성 — 메모리 전용 실행(fileless) 징후 탐지
📚 시리즈 전체 보기: 시스템 보안 · 취약점