294. 프로세스·지속성 — Wazuh 기반 프로세스·지속성 탐지

changseop lee·2026년 10월 7일

Soc Wazuh 리눅스 보안관제 시스템 보안 · 취약점 시스템보안 탐지구성 프로세스지속성

시스템 보안 · 취약점

목록 보기

294/450

시스템 보안 · 취약점 › F. 비정상 프로세스 · 지속성 징후 · 44/50편 (전체 294/450)
학습 단계: SOC 탐지 연계
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

1. 개념

6단계는 SOC 탐지 구현입니다. 첫 번째는 Wazuh입니다. F영역 전편의 개별 룰(105000번대)을 하나의 Wazuh 탐지 스택으로 묶어, execve·지속성 watch·FIM·rootcheck·계보 상관을 통합 구성합니다.

Wazuh 프로세스·지속성 탐지 스택
 [입력]  execve 감사 + 지속성 watch + FIM + rootcheck
 [룰]    105000(기반) → 105010~105360(개별) → 105410(계보 상관)
 [연계]  MITRE(T1059/T1543/T1071/T1014)
 [출력]  alert → dashboard / 대응(F47)

계층: 기반 → 개별 탐지 → 계보·연계 상관 → 경보

Wazuh는 execve·FIM·rootcheck를 통합하고, 계보(ppid_comm) 기반 상관으로 F영역 전체 탐지를 한 플랫폼에서 구현합니다.

2. 왜 중요한가

Wazuh는 프로세스·지속성·FIM·rootkit 점검을 한 플랫폼에서 통합·상관합니다.
계층형 룰(기반→개별→계보 상관)로 오탐을 줄이고 거점 구축을 확정합니다.
execve 이벤트가 많으므로 서비스 제외·필터링과 Sysmon 보완이 중요합니다.

3. 핵심 명령어 / 설정

구성 요소	역할	편
execve 감사	프로세스 실행·계보	F03
지속성 watch	거점 변경	F03
FIM	파일·바이너리 변조	F04·46
rootcheck	rootkit·은닉	F34
계보 상관 룰	공격 체인	F42

4. 실습 (실습 예시)

# Wazuh 프로세스·지속성 탐지 구성 (분석 방법)
# 1) execve·지속성 감사 수집(ossec.conf audit)
# 2) FIM 지속성 위치·바이너리 감시(whodata)
# 3) rootcheck 활성화(rootkit·은닉 점검)
# 4) 커스텀 룰 배치 후 검증
sudo /var/ossec/bin/wazuh-logtest   # 룰 매칭 검증(필수)
sudo tail -f /var/ossec/logs/alerts/alerts.json | grep 1050

5. 정상 상태

$ (wazuh-logtest, 정상 서비스 실행)
Rule: 105000 (level 5) -> '프로세스 실행·지속성 감사' (기반 룰만)
→ 정상 서비스 실행은 저레벨 기반 룰만, 경보 없음

정상 서비스 실행이 기반 룰(저레벨)만 매칭하고 개별·상관 룰에 안 걸리는, 오탐 없는 상태가 정상입니다.

6. 이상 상태

$ (wazuh-logtest, /tmp/.x by nginx→sh)
Rule: 105080 (level 12) -> '비표준 경로 실행'
Rule: 105040 (level 13) -> '웹서버의 셸 생성(웹셸)'
Rule: 105410 (level 15) -> '프로세스·지속성·C2 상관'
→ 개별+계보+상관 룰 매칭, 최고 레벨 경보

웹셸 기원 비표준 실행이 개별(105080)+계보(105040)+상관(105410)에 매칭 → 최고 레벨
계층형 룰이 정상은 통과, 거점 구축은 확정 → 정확한 탐지
wazuh-logtest 검증 완료 → 운영 투입 가능

7. 로그 분석 (분석 방법)

Wazuh 프로세스·지속성 탐지 스택 흐름입니다(가상의 예시).

[execve] /tmp/.x (nginx→sh, proc_exec)
   ↓ (agent 수집·계보 파싱)
[기반 룰 105000] 실행 포착(level 5)
   ↓
[개별 룰 105080·105040] 비표준·웹셸 계보(level 12·13)
   ↓ (계보·세션 상관)
[상관 룰 105410] 거점 구축 확정(level 15)
   ↓
[경보] dashboard + 대응(F47)

계층	룰	역할
기반	105000	포착
개별	105xxx	유형·계보
상관	105410·105420	거점 확정

계층형 룰이 정상은 통과시키고 거점 구축만 고레벨로 확정합니다.

8. SOC 관제 포인트

Wazuh는 execve·지속성·FIM·rootcheck를 통합한 계층형 탐지 스택으로 구성합니다.
기반→개별→계보 상관 계층으로 프로세스를 포착하고 거점 구축을 확정합니다.
모든 룰은 wazuh-logtest로 검증하고, execve 이벤트는 필터·Sysmon으로 관리합니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_f,wazuh,">
  <!-- F영역 탐지 스택 요약: 기반 → 개별 → 계보 상관 -->
  <!-- 105000(기반) / 105010~105360(개별) / 105410·105420(계보 상관) -->
  <rule id="105430" level="12">
    <if_group>syssec_f</if_group>
    <field name="audit.key" type="pcre2">proc_exec|persist</field>
    <options>no_full_log</options>
    <description>프로세스·지속성 Wazuh 통합 탐지(그룹 집계용)</description>
    <mitre><id>T1059</id></mitre>
  </rule>
</group>

개별 룰을 유지하고 이 집계 룰은 대시보드·통계용으로 씁니다. 모든 룰 변경 후 wazuh-logtest 필수입니다.

10. 대응 방법

초기 확인 — execve·지속성 감사·FIM·rootcheck·커스텀 룰 배치를 확인합니다.
범위 확인 — wazuh-logtest로 정상(통과)·거점 구축(경보) 매칭을 검증합니다.
증거 확보 — 룰 구성·logtest 결과·alerts 로그를 보존합니다.
차단/조치 — 오탐은 서비스 화이트리스트 튜닝(F45), 미탐은 룰·Sysmon 보강으로 조정합니다.
재발 방지 — Wazuh 계층형 프로세스·지속성 탐지 스택을 운영합니다.

11. 핵심 정리

구성 요소	역할
execve 감사	실행·계보
지속성 watch·FIM	거점·변조
rootcheck	rootkit·은닉
계보 상관 룰	공격 체인
면접 포인트	"Wazuh는 execve·FIM·rootcheck 통합 계층형 — 계보 상관이 핵심, logtest 필수"