296. 프로세스·지속성 — Sysmon·FIM 연계 프로세스 감시

changseop lee·2026년 10월 7일

FIM SYSMON Soc 리눅스 보안관제 시스템 보안 · 취약점 시스템보안 프로세스감시 프로세스지속성

시스템 보안 · 취약점

목록 보기

296/450

시스템 보안 · 취약점 › F. 비정상 프로세스 · 지속성 징후 · 46/50편 (전체 296/450)
학습 단계: SOC 탐지 연계
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

1. 개념

auditd는 기본 프로세스 감사를 제공하지만, Sysmon for Linux는 더 풍부한 메타데이터(계보·해시·네트워크·이미지 로드)를 제공합니다. FIM(파일 무결성)과 결합하면 프로세스·지속성·변조를 심층 감시할 수 있습니다.

Sysmon·FIM 연계 심층 감시
 Sysmon for Linux:
   프로세스 생성(계보·해시·명령줄) — Event ID 1
   네트워크 연결 — Event ID 3
   파일 생성 — Event ID 11
   → auditd보다 풍부한 계보·해시·네트워크
 FIM(파일 무결성):
   지속성 위치·바이너리 변경·해시 감시

결합: 풍부한 프로세스 메타데이터 + 무결성 = 심층 탐지

Sysmon은 프로세스 계보·해시를 기본 제공해 F영역의 핵심인 계보·해시 분석을 강화합니다. FIM은 지속성·바이너리 변조를 보완합니다.

2. 왜 중요한가

Sysmon은 계보·해시·네트워크를 풍부하게 제공해 auditd 기반 탐지를 강화합니다.
해시 기반 탐지(IOC·변조)는 Sysmon·FIM으로 효과적으로 구현됩니다.
FIM은 지속성 위치·바이너리 무결성을 감시해 프로세스 감사를 보완합니다.

3. 핵심 명령어 / 설정

도구	제공	보완점
Sysmon 프로세스(ID1)	계보·해시·명령줄	풍부한 메타
Sysmon 네트워크(ID3)	연결·목적지	C2 탐지
Sysmon 파일(ID11)	파일 생성	드롭 탐지
FIM	무결성·해시	변조 탐지
결합	프로세스+무결성	심층

4. 실습 (실습 예시)

# Sysmon·FIM 연계 (분석 방법)
# Sysmon for Linux 이벤트(설치 시)
sudo cat /var/log/syslog 2>/dev/null | grep -i sysmon | grep -E 'ProcessCreate|NetworkConnect' | tail
# FIM 지속성 위치·바이너리 무결성(Wazuh syscheck)
sudo /var/ossec/bin/syscheck_control -i 2>/dev/null | grep -E 'cron|systemd|/usr/bin' | head
# 해시 기반 IOC 대조(Sysmon/FIM 해시)

5. 정상 상태

$ (Sysmon 이벤트) 정상 프로세스·연결(알려진 해시)
$ (FIM) 지속성 위치·바이너리 무결성 유지

Sysmon이 정상 프로세스·연결(알려진 해시)을 기록하고, FIM이 지속성·바이너리 무결성을 확인하는 상태가 정상입니다.

6. 이상 상태

$ (Sysmon 이벤트)
ProcessCreate: /tmp/.x hash=미상 parent=nginx (계보+해시)
NetworkConnect: /tmp/.x → 192.0.2.88:4444 (C2)
$ (FIM)
/usr/bin/ssh 해시 변경(변조), /etc/cron.d/0hourly-x 신규

Sysmon이 /tmp/.x의 계보(nginx)·미상 해시·C2 연결을 한 번에 기록
FIM이 ssh 바이너리 변조·신규 cron 지속성 탐지
Sysmon(프로세스)+FIM(무결성) 결합 → 거점·변조 심층 포착 → 정탐

7. 로그 분석 (분석 방법)

Sysmon·FIM 연계 흐름입니다(가상의 예시).

[Sysmon ID1] /tmp/.x 생성(계보 nginx·해시 미상·명령줄)
   +
[Sysmon ID3] /tmp/.x → C2 연결
   +
[FIM] ssh 바이너리 변조 + cron 지속성 신규
   ↓ (결합)
[심층 탐지] 프로세스(계보·해시·C2) + 무결성(변조·지속성)
 → auditd보다 풍부한 메타로 거점·변조 포착

신호	제공
계보·해시	Sysmon ID1
C2 연결	Sysmon ID3
변조·지속성	FIM
결합	심층

Sysmon 메타+FIM 무결성이 프로세스·지속성 탐지를 심화합니다.

8. SOC 관제 포인트

Sysmon for Linux는 계보·해시·네트워크 메타데이터를 풍부하게 제공해 탐지를 강화합니다.
FIM은 지속성 위치·바이너리 무결성을 감시해 프로세스 감사를 보완합니다.
Sysmon(프로세스)+FIM(무결성) 결합이 거점·변조 심층 탐지를 가능하게 합니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_f,sysmon,">
  <!-- Sysmon 프로세스 생성 + 미상 해시 + 비정상 계보 -->
  <rule id="105450" level="13">
    <decoded_as>sysmon_event1</decoded_as>
    <field name="sysmon.image" type="pcre2">^(/tmp/|/dev/shm/)</field>
    <field name="sysmon.parentImage" type="pcre2">(nginx|php-fpm|httpd|mysqld)</field>
    <description>Sysmon 비표준 경로 실행+웹서버 계보(심층 탐지)</description>
    <mitre><id>T1059</id></mitre>
  </rule>
</group>

Sysmon for Linux·FIM을 Wazuh/ELK로 수집해 계보·해시·무결성을 통합합니다. 해시 IOC 대조로 알려진 악성코드를 식별합니다.

10. 대응 방법

초기 확인 — Sysmon 프로세스(계보·해시·명령줄)·네트워크·FIM 무결성을 확인합니다.
범위 확인 — 미상·악성 해시·비정상 계보·바이너리 변조·지속성을 확인합니다.
증거 확보 — Sysmon 이벤트·FIM 결과·해시를 보존합니다.
차단/조치 — 심층 탐지 정탐이면 프로세스 종료·변조 복구·지속성 제거·IOC 등록을 진행합니다.
재발 방지 — Sysmon·FIM 연계 심층 프로세스 감시를 운영합니다.

11. 핵심 정리

도구	제공
Sysmon 프로세스(ID1)	계보·해시·명령줄
Sysmon 네트워크(ID3)	연결·목적지
Sysmon 파일(ID11)	파일 생성
FIM	무결성·변조
면접 포인트	"Sysmon은 계보·해시 풍부 — FIM(무결성)과 결합해 거점·변조 심층 탐지"