298. 프로세스·지속성 — 비정상 프로세스·지속성 탐지 규칙 모음

시스템 보안 · 취약점 › F. 비정상 프로세스 · 지속성 징후 · 48/50편 (전체 298/450)
학습 단계: SOC 탐지 연계
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

• 297. 프로세스·지속성 — 프로세스·지속성 Alert 대응 절차
• 198. 권한 변경 이상 징후 탐지 규칙 모음(D영역)

1. 개념

F영역에서 만든 모든 탐지 규칙(105000번대)을 하나의 레퍼런스로 모읍니다. "어떤 규칙이 있고, 무엇을, 어떤 레벨로 탐지하는가"를 빠르게 찾을 수 있게 집대성합니다.

F영역 탐지 규칙 체계(105000번대)
 105000        기반(프로세스·지속성 감사)
 105010~105170 비정상 프로세스(비표준·위장·계보·fileless)
 105180~105270 지속성(cron·systemd·셸·키·PAM·커널)
 105280~105370 백도어·C2·은닉(셸·비컨·웹셸·rootkit·anti-forensic)
 105380~105420 분석·상관·계보 재구성
 105430~105460 SOC 탐지·튜닝·Sysmon·대응

레벨: 정상 예외(2) ~ 거점 구축 확정(15)

모든 규칙은 실습용 예시이며, wazuh-logtest와 테스트 환경 검증 후 적용해야 합니다.

2. 왜 중요한가

• 규칙 모음은 운영·인수인계·튜닝의 레퍼런스로, 전체 탐지 범위를 한눈에 보여줍니다.
• 레벨 체계로 대응 우선순위를, MITRE 매핑으로 공격 기법을 추적합니다.
• 누락 유형(미탐)을 점검하는 커버리지 체크리스트 역할도 합니다.

3. 핵심 명령어 / 설정

규칙 ID	탐지	레벨	MITRE
105040·105080	웹셸 계보·비표준 실행	13·12	T1505·T1059
105180·105190	cron·systemd 지속성	13	T1053·T1543
105280·105310	리버스셸·웹셸	14	T1059·T1505
105230·105260	preload·커널 rootkit	14	T1574·T1014
105410·105420	거점 구축 상관	15	T1543·T1071

4. 실습 (실습 예시)

# 탐지 규칙 모음 적용·검증 (분석 방법)
# 1) 전체 룰 문법 검사
sudo /var/ossec/bin/wazuh-logtest -v 2>&1 | head
# 2) 유형별 샘플 로그로 매칭 검증(각 룰)
# 3) 커버리지 점검: 유형별 룰 존재 확인
grep -oE 'rule id="1050[0-9]{2}"' /var/ossec/etc/rules/local_rules.xml | sort -u | wc -l

5. 정상 상태

$ (룰 문법 검사) 0 errors
$ (커버리지) 프로세스·지속성·C2·은닉·상관 전 유형 존재

모든 룰이 문법 오류 없이 로드되고, 프로세스·지속성·C2 전 유형을 커버하는 상태가 정상입니다.

6. 이상 상태

$ (룰 문법 검사) 1 error: rule 105410 pcre2 syntax
$ (커버리지) 커널 rootkit(105260) 룰 누락

• 룰 문법 오류(105410) → 상관 탐지 미동작(수정 필요)
• 커널 rootkit 룰 누락 → 커널 지속성 미탐(커버리지 공백)
• 규칙 모음 점검으로 오류·공백을 사전 발견

7. 로그 분석 (분석 방법)

탐지 규칙 체계 지도입니다(가상의 예시).

[기반] 105000 프로세스·지속성 감사
   ├ [프로세스] 105010~105170 (비표준·위장·계보·fileless)
   ├ [지속성] 105180~105270 (cron·systemd·셸·키·PAM·커널)
   ├ [C2·은닉] 105280~105370 (셸·비컨·웹셸·rootkit·anti-forensic)
   └ [분석·SOC] 105380~105460 (상관·계보·Sysmon·대응)
         ↓
   wazuh-logtest 검증 → 테스트 환경 → 운영

영역	규칙 범위
비정상 프로세스	105010~105170
지속성	105180~105270
백도어·C2·은닉	105280~105370
분석·SOC·대응	105380~105460

규칙 모음이 전체 탐지 범위와 커버리지를 한눈에 보여줍니다.

8. SOC 관제 포인트

• F영역 탐지 규칙(105000번대)을 유형·레벨·MITRE로 집대성한 레퍼런스입니다.
• 레벨 체계(2~15)로 대응 우선순위, MITRE로 기법을 추적합니다.
• 모든 규칙은 실습용 예시이며, wazuh-logtest·테스트 환경 검증 후 적용합니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<!-- F영역 탐지 규칙 모음 요약 (105000번대) -->
<!-- 105000 기반 / 105010~105170 비정상 프로세스 / 105180~105270 지속성 -->
<!-- 105280~105370 백도어·C2·은닉 / 105380~105420 분석·상관 / 105430~105460 SOC·대응 -->
<group name="local,syssec_f,ruleset,">
  <rule id="105470" level="3">
    <if_group>syssec_f</if_group>
    <description>비정상 프로세스·지속성 탐지 규칙 모음(레퍼런스 집계)</description>
  </rule>
</group>

규칙은 환경·서비스 구조마다 조정이 필요합니다. 반드시 테스트 환경에서 정탐·오탐을 검증한 뒤 운영에 반영하세요.

10. 대응 방법

1. 초기 확인 — 전체 규칙의 문법·로드·매칭을 wazuh-logtest로 검증합니다.
2. 범위 확인 — 유형별 커버리지(프로세스·지속성·C2·은닉·상관)를 점검합니다.
3. 증거 확보 — 규칙 세트·검증 결과·커버리지 매트릭스를 보존합니다.
4. 차단/조치 — 오류·공백을 수정·보강하고 테스트 환경에서 재검증합니다.
5. 재발 방지 — 규칙 모음을 운영·인수인계 레퍼런스로 유지관리합니다.

11. 핵심 정리

규칙 범위	탐지
105010~105170	비정상 프로세스
105180~105270	지속성
105280~105370	백도어·C2·은닉
105380~105460	분석·상관·SOC·대응
면접 포인트	"규칙 모음은 커버리지 레퍼런스 — 레벨·MITRE 매핑, logtest·테스트 검증 필수"

12. 다음 편 예고

다음 편 299. 프로세스·지속성 — 실전 시나리오 — 침투부터 지속성·C2까지 에서는 실전 시나리오로 전 과정을 엮는 실전 시나리오 — 침투부터 지속성·C2까지를 다룹니다.

---

이전 편: 297. 프로세스·지속성 — 프로세스·지속성 Alert 대응 절차
📚 시리즈 전체 보기: 시스템 보안 · 취약점