297. 프로세스·지속성 — 프로세스·지속성 Alert 대응 절차

changseop lee·2026년 10월 7일

Alert대응 Soc 리눅스 보안관제 시스템 보안 · 취약점 시스템보안 프로세스지속성 플레이북

시스템 보안 · 취약점

목록 보기

297/450

시스템 보안 · 취약점 › F. 비정상 프로세스 · 지속성 징후 · 47/50편 (전체 297/450)
학습 단계: SOC 탐지 연계
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

1. 개념

탐지(F44·45)가 경보를 만들면, 관제원은 표준 절차로 대응합니다. 프로세스·지속성은 거점 구축 특성상, 전수 제거(모든 지속성·C2)와 재침해 방지(근본 원인 제거)가 핵심입니다. 하나라도 놓치면 침해가 반복됩니다.

프로세스·지속성 Alert 대응 절차(플레이북)
 ① 분류:   경보 레벨·단계(실행/지속성/C2)
 ② 조사:   6축(F08)+계보 재구성(F43)+타임라인(F39)
 ③ 판정:   거점 범위·root cause 결정
 ④ 봉쇄:   C2 차단·프로세스 종료·격리(확산 방지)
 ⑤ 근절:   지속성·C2 전수 제거 + root cause 제거

핵심: 전수 제거(하나라도 남으면 반복) + root cause 차단

프로세스·지속성 대응은 봉쇄(즉시 확산 방지)와 근절(전수 제거·근본 원인)이 분리됩니다. 전수 제거 없이는 재침해됩니다.

2. 왜 중요한가

표준 절차는 거점 구축의 신속·완전한 대응을 보장합니다.
봉쇄(C2 차단·프로세스 종료)로 확산을 막고, 근절(전수 제거)로 재침해를 방지합니다.
계보 재구성(F43)으로 root cause(최초 침투점)를 제거해야 근본 해결됩니다.

3. 핵심 명령어 / 설정

단계	핵심 행동	참조
분류	레벨·단계	F08
조사	6축·계보·타임라인	F39·43
판정	거점 범위·root cause	F43
봉쇄	C2 차단·종료·격리	—
근절	전수 제거·root cause	F28

4. 실습 (실습 예시)

# 프로세스·지속성 Alert 대응 (분석 방법)
SES=99
# ② 조사: 계보·타임라인·제거 대상
sudo ausearch -k proc_exec,persist -i --session $SES 2>/dev/null | grep -E 'proctitle=|exe='
# ④ 봉쇄(정탐 시 예시): C2 연결 차단(방화벽)·프로세스 종료
# ⑤ 근절: 지속성 전수 제거(F28 체크리스트)
echo "제거 대상: cron·systemd·키·preload·커널·C2·웹셸(root cause)"

5. 정상 상태

$ (오탐 대응 예시)
경보: 빌드 도구의 /tmp 실행 (make, 배포)
조사: 6축·계보 모두 정상(빌드 계보)
판정: 오탐 → 빌드 예외 튜닝(F45)

정상 빌드 경보를 조사해 오탐으로 판정하고 좁은 예외로 튜닝해 종결하는 것이 정상 흐름입니다.

6. 이상 상태

$ (정탐 대응 예시)
경보: 실행→지속성→C2 체인 (ses=99, 105410)
조사: 계보 재구성(F43) → root cause=nginx 웹셸
판정: 정탐, 거점=cron+systemd+C2+웹셸
봉쇄: C2 차단 → /tmp/.x·셸 프로세스 종료
근절: cron·systemd·키 전수 제거 + 웹셸·취약점(root cause) 제거

계보 재구성으로 root cause(웹셸)·거점 전체 파악
봉쇄: C2 차단→프로세스 종료, 근절: 지속성 전수 제거+웹셸 제거
root cause(웹 취약점) 제거로 재침해 방지·종결

7. 로그 분석 (분석 방법)

프로세스·지속성 Alert 대응 흐름입니다(가상의 예시).

[경보] 프로세스·지속성 Alert (level 13+)
   ↓ ① 분류(레벨·단계)
[우선순위] 거점 구축(상관 룰) 최우선
   ↓ ② 조사(6축·계보·타임라인)
[판정] ③ 거점 범위·root cause
   ↓ ④ 봉쇄(C2 차단·종료·격리)
[확산 방지]
   ↓ ⑤ 근절(전수 제거 + root cause)
[재침해 방지·종결]

단계	산출
분류·조사	우선순위·계보
판정	거점·root cause
봉쇄	확산 방지
근절	전수 제거·재침해 방지

봉쇄(즉시)와 근절(전수·근본)이 거점 대응의 두 축입니다.

8. SOC 관제 포인트

프로세스·지속성 경보는 표준 플레이북(분류→조사→판정→봉쇄→근절)으로 대응합니다.
봉쇄(C2 차단·종료)로 확산을 막고, 근절(전수 제거·root cause)로 재침해를 방지합니다.
계보 재구성(F43)으로 root cause를 제거해야 근본 해결됩니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_f,response,">
  <!-- 거점 구축 고위험 경보에 대응 우선순위 태깅 -->
  <rule id="105460" level="14">
    <if_sid>105270,105370,105410,105420</if_sid>
    <description>거점 구축 고위험 경보 — 즉시 봉쇄·근절 플레이북 적용</description>
    <mitre><id>T1543</id><id>T1071</id></mitre>
    <group>response_priority,</group>
  </rule>
</group>

거점 구축 경보는 대응 우선순위로 태깅합니다. active-response(자동 격리)는 테스트 검증 후 신중히 적용하고, 전수 제거는 F28 체크리스트를 따릅니다.

10. 대응 방법

초기 확인 — 경보를 레벨·단계(실행/지속성/C2)로 분류합니다.
범위 확인 — 계보 재구성(F43)·타임라인(F39)으로 거점 범위·root cause를 판정합니다.
증거 확보 — 경보·계보·제거 대상 목록을 보존합니다.
차단/조치 — 봉쇄(C2 차단·종료)→근절(지속성 전수 제거+root cause)을 진행합니다.
재발 방지 — 표준 대응 플레이북을 일관되게 운영·기록합니다.

11. 핵심 정리

단계	핵심 행동
분류	레벨·단계
조사	6축·계보·타임라인
판정	거점 범위·root cause
봉쇄·근절	C2 차단·종료 / 전수 제거·root cause
면접 포인트	"거점 대응은 봉쇄+근절 — 전수 제거(하나라도 남으면 반복)+root cause 차단"