292. 프로세스·지속성 — 프로세스·지속성 이벤트 상관분석

시스템 보안 · 취약점 › F. 비정상 프로세스 · 지속성 징후 · 42/50편 (전체 292/450)
학습 단계: 프로세스·지속성 로그 분석
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

• 291. 프로세스·지속성 — 프로세스·지속성 로그의 정규화와 수집
• 194. 권한 변경 이벤트 상관분석(D영역)

1. 개념

5단계 마무리로, 통합된 로그(F41)를 다축 상관분석합니다. 세션·계보·시간·목적지를 교차하면, 단일 이벤트로는 놓치는 거점 구축 공격을 고확신으로 확정합니다. F영역 상관의 특징은 계보(process lineage) 축입니다.

프로세스·지속성 상관분석 축
 [세션]  같은 ses: 유출(E)→실행→지속성→C2
 [계보]  부모-자식 체인(웹셸→셸→C2) — F영역 고유
 [시간]  실행 직후 지속성·C2(짧은 간격)
 [목적지] C2 동일 목적지 반복(비컨)
 [주체]  한 auid·계정의 다중 거점

단일 이벤트=부분 / 다축 상관=거점 구축 확정

F영역 상관의 핵심은 계보 축입니다. 프로세스 계보(F05)를 따라 웹셸→셸→지속성→C2의 전체 체인을 하나로 묶습니다.

2. 왜 중요한가

• 단일 이벤트 상관은 부분만 보지만, 세션·계보 다축 상관은 거점 구축 전체를 확정합니다.
• 계보 축(F영역 고유)은 "무엇이 무엇을 실행·설치했나"의 인과를 드러냅니다.
• E영역(유출)→F영역(거점) 세션 상관이 전체 공격 체인을 완성합니다.

3. 핵심 명령어 / 설정

상관 축	교차	포착
세션	E→F 전 단계	공격 체인
계보	웹셸→셸→C2	인과 체인
시간	실행→지속성→C2	즉시 거점화
목적지	C2 반복	비컨
주체	다중 거점	중복 백도어

4. 실습 (실습 예시)

# 프로세스·지속성 상관분석 (분석 방법)
# 세션별 실행+지속성+C2 결합
sudo ausearch -k proc_exec,persist -i --start today 2>/dev/null | grep -oE 'ses=[0-9]+' | sort | uniq -c | sort -rn | head
# 계보 체인 추적(웹셸→셸→C2)
SES=99
sudo ausearch -k proc_exec -i --session $SES 2>/dev/null | grep -E 'ppid_comm|comm=|exe='

5. 정상 상태

$ (세션별 결합) 실행만 있는 세션(지속성·C2 결합 없음)

실행은 있으나 같은 세션·계보에 지속성·C2가 결합되지 않은, 교차 상관이 음성인 정상 상태입니다.

6. 이상 상태

$ (세션별 결합)
  9 ses=99 (실행 1 + 지속성 2 + C2 1 결합)
$ (계보 체인)
nginx(985) → sh(3001) → /tmp/.x(3002) → bash → /dev/tcp/4444
+ /tmp/.x가 cron.d·systemd 등록(지속성)

• ses=99에 실행+지속성+C2 결합 → 교차 상관 양성
• 계보 체인(웹셸→셸→실행→C2)+지속성 등록 → 거점 구축 확증
• 세션·계보·시간 다축 일치 → 거점 구축 확정(고확신) → 정탐

7. 로그 분석 (분석 방법)

프로세스·지속성 상관분석 흐름입니다(가상의 예시).

[계보 축] nginx→sh→/tmp/.x→bash→C2 (인과 체인)
   ↕ (세션 상관 ses=99)
[실행] /tmp/.x (F09)
[지속성] cron+systemd (F19·20)
[C2] /dev/tcp/4444 (F29)
   ↓
[상관 판정] 세션·계보·시간 일치 → 거점 구축 확정
 + E영역(유출)과 세션 연계 → 전체 공격

축	단일	다축
실행만	애매	—
계보+세션	—	인과 확정
+지속성+C2	—	거점 확정

계보 축이 F영역 상관의 핵심으로 인과 체인을 드러냅니다.

8. SOC 관제 포인트

• 프로세스·지속성 상관분석은 세션·계보·시간·목적지 다축 상관으로 거점 구축을 고확신 확정합니다.
• 계보 축(F영역 고유)이 웹셸→셸→지속성→C2의 인과 체인을 드러냅니다.
• E영역(유출)→F영역(거점) 세션 상관이 전체 공격 체인을 완성합니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_f,correlation,">
  <!-- 계보+세션 기반 실행→지속성→C2 상관 -->
  <rule id="105410" level="15" frequency="3" timeframe="900">
    <if_matched_sid>105080</if_matched_sid>
    <if_matched_group>persistence,c2</if_matched_group>
    <same_field>audit.session</same_field>
    <description>프로세스·지속성·C2 다축 상관(거점 구축 고확신 확정)</description>
    <mitre><id>T1059</id><id>T1543</id><id>T1071</id></mitre>
  </rule>
</group>

계보(ppid_comm) 기반 상관은 Sysmon·ELK 집계로 보완합니다. E영역 유출 룰과 세션 상관해 전체 공격을 포착합니다.

10. 대응 방법

1. 초기 확인 — 세션·계보·시간·목적지·주체 다축 상관 지표를 확인합니다.
2. 범위 확인 — 계보 체인(웹셸→셸→C2)·실행→지속성→C2 결합을 확인합니다.
3. 증거 확보 — 교차 상관에 쓰인 전체 로그와 계보·연계 근거를 보존합니다.
4. 차단/조치 — 거점 구축 확정 정탐이면 타임라인(F39)·전수 제거·재침해 감시를 진행합니다.
5. 재발 방지 — 세션·계보 다축 상관을 최상위 탐지 계층으로 운영합니다.

11. 핵심 정리

상관 축	포착
세션	E→F 공격 체인
계보	웹셸→셸→C2 인과
시간·목적지	즉시 거점화·비컨
주체	다중 거점
면접 포인트	"F영역 상관의 핵심은 계보 축 — 웹셸→셸→지속성→C2 인과 체인 확정"

12. 다음 편 예고

다음 편 293. 프로세스·지속성 — 프로세스 계보 기반 공격 체인 재구성 에서는 프로세스 계보 기반 공격 체인 재구성을 다루는 프로세스 계보 기반 공격 체인 재구성을 다룹니다.

---

이전 편: 291. 프로세스·지속성 — 프로세스·지속성 로그의 정규화와 수집
📚 시리즈 전체 보기: 시스템 보안 · 취약점