291. 프로세스·지속성 — 프로세스·지속성 로그의 정규화와 수집

시스템 보안 · 취약점 › F. 비정상 프로세스 · 지속성 징후 · 41/50편 (전체 291/450)
학습 단계: 프로세스·지속성 로그 분석
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

• 290. 프로세스·지속성 — 실행→지속성→C2 연계 분석
• 193. 권한 변경 로그의 정규화와 수집(D영역)

1. 개념

프로세스·지속성 탐지를 자동화하려면, execve(실행)·지속성 watch·네트워크 로그를 공통 필드로 정규화해 중앙 수집해야 합니다. 특히 계보(ppid·ppid_comm)를 포함해야 F영역의 핵심인 계보·연계 분석이 가능합니다.

프로세스·지속성 로그 정규화 파이프라인
 [소스]
  execve: 경로·명령줄·주체·계보(ppid)
  지속성 watch: cron·systemd·키 변경
  네트워크: C2 연결·목적지
 [정규화] 공통 필드: exe·proctitle·auid·ppid_comm·session·dest
 [저장] Elasticsearch / Wazuh indexer
 [활용] 계보 분석·연계 룰·타임라인(F39·40)

핵심: 계보(ppid_comm)가 있어야 F영역 분석 가능

execve 로그에 부모 프로세스(ppid_comm)가 정규화되어야 계보(F05)·연계(F40) 분석이 됩니다. 계보 없는 로그는 F영역 탐지의 핵심을 잃습니다.

2. 왜 중요한가

• execve는 이벤트가 많아 정규화·필터링해야 SIEM에서 활용 가능합니다.
• 계보(ppid_comm) 정규화가 F영역의 핵심인 계보·연계 분석의 전제입니다.
• 지속성 watch·네트워크 로그를 함께 수집해야 실행→지속성→C2 연계가 됩니다.

3. 핵심 명령어 / 설정

로그 소스	제공 정보	정규화 필드
execve	경로·명령·계보	exe·proctitle·ppid_comm
지속성 watch	거점 변경	file·key(persist)
네트워크	C2 연결	dest_ip·port
세션	연계 키	session·auid
통합	체인 상관	계보+세션

4. 실습 (실습 예시)

# 프로세스·지속성 로그 정규화·수집 (분석 방법)
# execve 정규화 검증(계보 필드 포함)
echo 'type=SYSCALL ... syscall=execve ppid=985 ... exe="/tmp/.x"' | sudo /var/ossec/bin/wazuh-logtest
# 계보(ppid_comm) 추출 확인 — F영역 핵심
# 지속성 watch·네트워크 로그 localfile 수집(ossec.conf)
# 통합 검색 예: 계보 기반(ELK)
# audit.ppid_comm:nginx AND audit.comm:sh

5. 정상 상태

$ (정규화 결과)
audit.exe: /tmp/.x  audit.ppid_comm: sh  audit.session: 99
→ 계보(ppid_comm) 포함 정규화 성공(연계 분석 가능)

execve 로그가 계보(ppid_comm)·세션을 포함해 정규화되어 연계 분석이 가능한 상태가 정상입니다.

6. 이상 상태

$ (정규화 실패 예시)
ppid_comm 미추출 → 계보 분석 불가(F05·40 무력)
네트워크 로그 미수집 → C2 연결 탐지 공백

• ppid_comm 미추출 → 계보·연계 분석 불가(F영역 핵심 상실)
• 네트워크 로그 미수집 → C2 연결·비컨 탐지 공백
• 로그 소스·필드 누락 = F영역 탐지 공백

7. 로그 분석 (분석 방법)

프로세스·지속성 로그 통합 흐름입니다(가상의 예시).

[execve] 실행·명령·계보(ppid_comm)
   +
[지속성 watch] cron·systemd·키 변경
   +
[네트워크] C2 연결·목적지
   ↓ (공통 필드 정규화, 계보 포함)
[통합] session·계보 기준 상관
   ↓
[활용] 계보 분석(F05)·연계 룰(F40)·타임라인(F39)

소스	없으면
execve 계보	계보·연계 공백
지속성 watch	거점 공백
네트워크	C2 공백

세 소스+계보 정규화가 F영역 분석의 전제입니다.

8. SOC 관제 포인트

• 프로세스·지속성 탐지는 execve·지속성 watch·네트워크 로그를 공통 필드로 정규화·통합해야 자동화됩니다.
• 계보(ppid_comm) 정규화가 F영역의 핵심인 계보·연계 분석의 전제입니다.
• execve는 이벤트가 많아 정규화·필터링하고, 세 소스를 모두 수집합니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_f,normalize,">
  <!-- 프로세스·지속성 로그 정규화 기반(계보 포함) -->
  <rule id="105400" level="4">
    <field name="audit.key" type="pcre2">proc_exec|persist</field>
    <description>프로세스·지속성 로그 정규화(계보·세션 기반 상관 기반)</description>
  </rule>
</group>

execve·지속성·네트워크 디코더를 구성하고 계보(ppid_comm) 추출을 wazuh-logtest로 검증합니다. Sysmon(F46)이 계보 수집을 보완합니다.

10. 대응 방법

1. 초기 확인 — execve·지속성·네트워크 세 소스의 수집·정규화·계보 필드를 확인합니다.
2. 범위 확인 — 계보(ppid_comm)·세션·목적지 추출과 연계 가능 여부를 확인합니다.
3. 증거 확보 — 정규화된 통합 로그와 검증 결과를 보존합니다.
4. 차단/조치 — 누락 소스·계보 필드는 디코더·Sysmon으로 보강합니다.
5. 재발 방지 — execve·지속성·네트워크 통합(계보 포함) 파이프라인을 운영합니다.

11. 핵심 정리

로그 소스	제공 정보
execve	경로·명령·계보(ppid_comm)
지속성 watch	거점 변경
네트워크	C2 연결
세션·계보	연계 키
면접 포인트	"F영역은 계보(ppid_comm) 정규화가 전제 — 없으면 계보·연계 분석 불가"

12. 다음 편 예고

다음 편 292. 프로세스·지속성 — 프로세스·지속성 이벤트 상관분석 에서는 프로세스·지속성 이벤트 상관분석을 다루는 프로세스·지속성 이벤트 상관분석을 다룹니다.

---

이전 편: 290. 프로세스·지속성 — 실행→지속성→C2 연계 분석
📚 시리즈 전체 보기: 시스템 보안 · 취약점