268. 프로세스·지속성 — 비정상 프로세스 징후 종합 분석

changseop lee·2026년 10월 7일

Soc 리눅스 보안관제 비정상프로세스 시스템 보안 · 취약점 시스템보안 종합분석 프로세스지속성

시스템 보안 · 취약점

목록 보기

267/450

시스템 보안 · 취약점 › F. 비정상 프로세스 · 지속성 징후 · 18/50편 (전체 268/450)
학습 단계: 비정상 프로세스 징후
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

1. 개념

2단계(비정상 프로세스 징후, F09~17)를 종합합니다. 개별 탐지를 관점별로 묶어, "하나의 프로세스를 어떤 관점으로 종합 판정하는가"를 정리합니다.

비정상 프로세스 종합 체계
 [경로]   비표준·위장·삭제·fileless (F09·10·13·14)
 [계보]   비정상 부모-자식·셸·인터프리터 (F11·12)
 [수명]   단기·반복(비컨) (F15)
 [연결]   C2·bind shell (F16)
 [자원]   채굴·봇 (F17)
 [판정]   6축(F08) → 위험 축 수 → 정탐/오탐

하나의 악성 프로세스는 보통 여러 관점에서 동시에 이상합니다(비표준 경로+웹셸 계보+C2 연결). 관점을 종합하면 확신이 높아집니다.

2. 왜 중요한가

악성 프로세스는 보통 여러 관점(경로·계보·연결)에서 동시 이상이라, 종합이 확신을 높입니다.
관점별 우선순위(계보·연결이 결정적)로 처리 순서를 정합니다.
프로세스는 지속성(3단계)·C2(4단계)와 연계해야 전체 공격이 보입니다.

3. 핵심 명령어 / 설정

관점	핵심 탐지	편
경로	비표준·위장·삭제·fileless	F09·10·13·14
계보	서비스→셸·리버스셸	F11·12
수명	단기·반복(비컨)	F15
연결	C2·bind shell	F16
자원	채굴·봇	F17

4. 실습 (실습 예시)

# 비정상 프로세스 종합 점검 (분석 방법)
echo "비표준 경로 실행:"; sudo ausearch -k proc_exec -i --start today 2>/dev/null | grep -cE 'exe=.*(/tmp/|/dev/shm/)'
echo "서비스→셸 계보:"; sudo ausearch -k proc_exec -i --start today 2>/dev/null | grep -cE 'comm="(sh|bash)".*ppid.*(nginx|httpd|mysqld)'
echo "셸 네트워크 연결:"; ss -tnp 2>/dev/null | grep -cE 'sh|bash|/tmp/'
echo "deleted 바이너리:"; ls -l /proc/*/exe 2>/dev/null | grep -c '(deleted)'

5. 정상 상태

비표준 경로: 0  서비스→셸: 0  셸 연결: 0  deleted: 0

경로·계보·연결·삭제 지표가 모두 0인, 비정상 프로세스가 없는 상태가 정상입니다.

6. 이상 상태

비표준 경로: 1  서비스→셸: 1  셸 연결: 1  deleted: 1

비표준 경로+서비스→셸 계보+셸 연결+삭제 바이너리 → 다중 관점 이상
한 프로세스가 여러 관점에서 동시 이상 → 악성 확정
2단계 종합 지표 모두 위험 → 침해 → 정탐

7. 로그 분석 (분석 방법)

비정상 프로세스 종합 판정 흐름입니다(가상의 예시).

[프로세스] /tmp/.x
   ├ 경로: /tmp(비표준, F09) + (deleted)(F13)
   ├ 계보: nginx→sh→.x(F11)
   ├ 연결: →4444(C2, F16)
   └ 자원: CPU 99%(채굴, F17)
      ↓ (관점 종합)
[판정] 5관점 이상 → 악성 확정 → 지속성·C2 연계 확인

관점	이상
경로	비표준·삭제
계보	웹→셸
연결	C2
자원	채굴

여러 관점 동시 이상이 악성을 확정합니다.

8. SOC 관제 포인트

비정상 프로세스는 경로·계보·수명·연결·자원 관점으로 종합 판정합니다.
악성은 보통 여러 관점에서 동시 이상이라, 종합이 확신을 높입니다(계보·연결이 결정적).
프로세스를 지속성(3단계)·C2(4단계)와 연계해 전체 공격을 포착합니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_f,process,">
  <!-- 비표준 경로 + 비정상 계보 + 네트워크 결합 종합 경보 -->
  <rule id="105170" level="14" frequency="2" timeframe="300">
    <if_matched_sid>105080,105100,105150</if_matched_sid>
    <same_field>audit.session</same_field>
    <description>다중 관점 비정상 프로세스(2단계 종합 경보)</description>
    <mitre><id>T1059</id></mitre>
  </rule>
</group>

개별 룰(F09~17) 상위에 관점 종합 상관 룰을 두어 다중 관점 이상을 한 경보로 포착합니다.

10. 대응 방법

초기 확인 — 2단계 종합 지표(경로·계보·수명·연결·자원)를 확인합니다.
범위 확인 — 한 프로세스/세션이 여러 관점에서 동시 이상인지 확인합니다.
증거 확보 — 2단계 전체 프로세스 이벤트와 계보·연결을 보존합니다.
차단/조치 — 종합 판정이 정탐이면 프로세스 종료·지속성(3단계)·C2(4단계) 연계 조사를 진행합니다.
재발 방지 — 관점 종합 비정상 프로세스 탐지 체계를 운영합니다.

11. 핵심 정리

관점	핵심 탐지
경로	비표준·위장·삭제·fileless
계보	서비스→셸·리버스셸
수명·연결	비컨·C2·bind shell
자원	채굴·봇
면접 포인트	"악성 프로세스는 여러 관점 동시 이상 — 종합이 확신, 계보·연결이 결정적"