295. 프로세스·지속성 — ELK/SIEM 기반 프로세스·지속성 탐지와 정탐·오탐 판단

시스템 보안 · 취약점 › F. 비정상 프로세스 · 지속성 징후 · 45/50편 (전체 295/450)
학습 단계: SOC 탐지 연계
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

• 294. 프로세스·지속성 — Wazuh 기반 프로세스·지속성 탐지
• 196. ELK/SIEM 기반 권한 변경 탐지와 정탐·오탐 판단(D영역)

1. 개념

ELK/SIEM은 대량 execve 로그의 검색·집계·계보 트리 시각화·행동 분석에 강합니다. 프로세스·지속성 탐지를 ELK로 구현하고, 핵심인 정탐/오탐 판단과 튜닝을 다룹니다. execve는 노이즈가 매우 많아 튜닝이 특히 중요합니다.

ELK 프로세스·지속성 탐지·튜닝
 [쿼리]   proc_exec AND exe:(/tmp/* OR /dev/shm/*)
 [집계]   계보 트리·세션·목적지(상관 F42)
 [시각화] 프로세스 트리·타임라인·Top 비정상 실행
 [판정]   6축(F08)으로 정탐/오탐
 [튜닝]   오탐 → 정상 서비스·배포·빌드 예외

목표: 노이즈 많은 execve에서 거점 구축 추출

execve는 정상 실행이 매우 많아 노이즈가 큽니다. 정상 서비스·배포·빌드 패턴을 예외하고 비정상 실행·계보만 남기는 튜닝이 핵심입니다.

2. 왜 중요한가

• ELK는 execve를 집계·계보 트리 시각화하고 행동 이상(단기 반복·비컨)을 봅니다.
• 정탐/오탐 판단(6축 F08)이 노이즈 많은 프로세스 탐지의 실질 가치를 결정합니다.
• 계보 트리·세션 상관 시각화가 거점 구축을 직관적으로 드러냅니다.

3. 핵심 명령어 / 설정

판정	신호	처리
정탐(TP)	6축 위험·계보·연계	대응(F47)
오탐(FP)	서비스·배포·빌드	좁은 예외
미탐(FN)	룰·소스·계보 공백	보강
노이즈	정상 실행 과다	필터·선별
알림 피로	오탐 과다	튜닝

4. 실습 (실습 예시)

# ELK 프로세스·지속성 탐지·튜닝 (분석 방법, KQL 예시)
# 1) 비표준 경로 실행
audit.key:proc_exec and audit.exe:(/tmp/* or /dev/shm/* or /var/tmp/*)
# 2) 웹서버→셸 계보
audit.ppid_comm:(nginx or php-fpm or httpd) and audit.comm:(sh or bash)
# 3) 지속성+C2 세션 상관
audit.session:99 and (audit.key:persist or audit.comm:nc)
# 4) 정상 배포·빌드 예외
... and not (audit.ppid_comm:(dnf or make or gcc) )

5. 정상 상태

$ (튜닝 후 경보)
정탐 1 / 오탐 0 (최근 7일)
→ 서비스·배포·빌드 예외 후 비정상 실행만 남음

튜닝(서비스·배포·빌드 예외) 후 정탐만 남고 오탐이 0인, 신뢰할 수 있는 탐지 상태가 정상입니다.

6. 이상 상태

$ (튜닝 전 경보)
정탐 1 / 오탐 540 (최근 7일)
오탐 540건: 빌드·배포의 /tmp 스크립트 실행, 정상 서비스

• 튜닝 전 오탐 540건(빌드·배포 /tmp 실행) → 정탐 1건이 묻힘(알림 피로)
• 빌드(make·gcc)·배포·정상 서비스 계보 예외 → 오탐 제거 → 정탐 부각
• 튜닝은 정탐 유지하며 정상 실행 패턴만 좁게 예외

7. 로그 분석 (분석 방법)

정탐/오탐 판단·튜닝 흐름입니다(가상의 예시).

[경보] 프로세스 탐지 541건
   ↓ (6축·계보 판정 F08)
[분류] 정탐 1(웹셸 계보·거점) / 오탐 540(빌드·배포)
   ↓ (튜닝)
[예외] not ppid_comm:빌드도구, not 정상 서비스 계보 (좁게)
   ↓
[결과] 정탐 1건만 경보 → 대응 집중

항목	튜닝 전	튜닝 후
정탐	1(묻힘)	1(부각)
오탐	540	0
알림 피로	높음	낮음

튜닝으로 노이즈를 제거하면 거점 구축에 집중할 수 있습니다.

8. SOC 관제 포인트

• ELK/SIEM은 프로세스·지속성의 집계·계보 트리 시각화·정탐/오탐 판단에 강합니다.
• execve는 노이즈가 커, 정상 서비스·배포·빌드 패턴을 좁게 예외하는 튜닝이 핵심입니다.
• 계보 트리·세션 상관 시각화가 거점 구축을 직관적으로 드러냅니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_f,tuning,">
  <!-- 빌드·배포 도구의 /tmp 실행 예외(좁게) -->
  <rule id="105440" level="2">
    <if_sid>105080</if_sid>
    <field name="audit.ppid_comm" type="pcre2">^(make|gcc|cc|dnf|rpm|dpkg|pip[0-9.]*|npm|go)$</field>
    <description>빌드·배포 도구의 임시 경로 실행(정상, 예외)</description>
    <options>no_email_alert</options>
  </rule>
</group>

예외는 빌드·배포 부모 프로세스처럼 좁게 설계합니다. 넓은 예외는 거점 구축을 놓치므로 피합니다.

10. 대응 방법

1. 초기 확인 — 경보를 6축(F08)·계보로 정탐/오탐으로 분류합니다.
2. 범위 확인 — 오탐의 공통 정상 맥락(서비스·배포·빌드)을 식별합니다.
3. 증거 확보 — 경보·판정 근거·튜닝 전후 지표를 보존합니다.
4. 차단/조치 — 오탐은 좁은 예외로 튜닝, 미탐은 룰·Sysmon·계보 보강으로 조정합니다.
5. 재발 방지 — 정탐 유지+노이즈 최소화를 목표로 ELK 탐지를 운영합니다.

11. 핵심 정리

판정	처리
정탐(TP)	대응(F47)
오탐(FP)	좁은 예외
미탐(FN)	룰·Sysmon 보강
노이즈	필터·선별
면접 포인트	"execve는 노이즈 큼 — 서비스·배포·빌드 좁은 예외로 거점 구축 추출"

12. 다음 편 예고

다음 편 296. 프로세스·지속성 — Sysmon·FIM 연계 프로세스 감시 에서는 Sysmon·FIM 연계를 다루는 Sysmon·FIM 연계 프로세스 감시를 다룹니다.

---

이전 편: 294. 프로세스·지속성 — Wazuh 기반 프로세스·지속성 탐지
📚 시리즈 전체 보기: 시스템 보안 · 취약점