300. 프로세스·지속성 — 비정상 프로세스·지속성 징후 종합 정리

목록 보기

300/450

시스템 보안 · 취약점 › F. 비정상 프로세스 · 지속성 징후 · 50/50편 (전체 300/450)
학습 단계: 실전 시나리오·종합
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

1. 개념

F영역 「비정상 프로세스·지속성 징후」 50편을 종합 정리합니다. 비정상 프로세스·지속성·백도어를 탐지·분석·대응하는 전체 체계를 한 편으로 집약합니다. E영역(유출) 이후 공격자가 장기 거점을 유지하는 과정을 다뤘습니다.

F영역 전체 구조(251~300)
 1단계(F01~08) 프로세스 기본·감사·계보·판정 기준
 2단계(F09~18) 비정상 프로세스(비표준·위장·계보·fileless)
 3단계(F19~28) 지속성(cron·systemd·셸·키·PAM·커널)
 4단계(F29~38) 백도어·C2·은닉(셸·비컨·웹셸·rootkit)
 5단계(F39~43) 로그 분석(타임라인·연계·상관·계보 재구성)
 6단계(F44~50) SOC 탐지·Sysmon·대응·시나리오·정리

E영역이 "목적 달성(유출)"이었다면, F영역은 "장기 거점 유지(지속성·C2)"의 탐지였습니다.

2. 왜 중요한가

F영역은 공격자의 장기 거점을 탐지·제거해 침해 반복을 끊는 단계입니다.
모든 탐지는 6축 판정·계보 분석·실행→지속성→C2 연계를 공유합니다.
다음 영역(G: 내부 확장·측면 이동)은 거점에서 다른 시스템으로 확산하는 단계입니다.

3. 핵심 명령어 / 설정

단계	핵심	편
판정 체계	6축·계보·기준선	F04·05·08
비정상 프로세스	비표준·위장·fileless	F09~18
지속성	cron·systemd·키·커널	F19~28
백도어·C2	셸·비컨·웹셸·rootkit	F29~38
분석·탐지	계보 재구성·상관·SOC	F39~50

4. 실습 (실습 예시)

# F영역 종합 점검 체크리스트 (분석 방법)
echo "[1] 프로세스 감사:"; sudo auditctl -l 2>/dev/null | grep -c execve
echo "[2] 비표준 경로 실행:"; sudo ausearch -k proc_exec -i --start today 2>/dev/null | grep -cE 'exe=.*(/tmp/|/dev/shm/)'
echo "[3] 지속성 이탈:"; { diff /root/baseline/services.txt <(systemctl list-unit-files --state=enabled 2>/dev/null|sort); sudo grep -rl '@reboot\|/tmp/' /etc/cron* 2>/dev/null; } | grep -c .
echo "[4] 백도어·C2:"; ss -tlnp 2>/dev/null | grep -cvE 'sshd|nginx|mysqld|systemd'
echo "[5] rootkit·무결성:"; sudo rkhunter --check --sk 2>/dev/null | grep -ic warning

5. 정상 상태

[1] 감사: 2  [2] 비표준 실행: 0  [3] 지속성 이탈: 0  [4] 백도어: 0  [5] rootkit: 0

감사 활성·비표준 실행 없음·지속성 이탈 없음·백도어 없음·rootkit 없음의 5개 항목이 모두 양호한 상태가 정상입니다.

6. 이상 상태

[1] 감사: 0(미설정)  [2] 비표준 실행: 2  [3] 지속성 이탈: 3  [4] 백도어: 1  [5] rootkit: 1

프로세스 감사 미설정 → 비정상 실행 자체가 기록 안 됨(탐지 불가)
비표준 실행·지속성 이탈·백도어·rootkit 존재 → 이미 거점 구축됨
체계 공백이 가장 큰 위험 → 감사 기반부터 복구

7. 로그 분석 (분석 방법)

F영역 전체 탐지 체계입니다(가상의 예시).

[E영역 유출] 목적 달성
      ↓
[F영역: 프로세스·지속성 탐지 체계]
   기반: execve 감사 + 지속성 watch + FIM + rootcheck + 기준선
      ↓
   탐지: 비정상 프로세스(F09~18)·지속성(F19~28)·C2(F29~38)
      ↓
   분석: 계보 재구성·타임라인·연계·상관(F39~43)
      ↓
   대응: 판정(6축)→봉쇄→근절(전수+root cause)(F44~47)
      ↓
[G영역] 내부 확장·측면 이동(다른 시스템으로 확산)

축	내용
기반	감사·기준선·rootcheck
탐지	유형별 룰(105000번대)
분석	계보 재구성·상관
대응	6축·봉쇄·근절

기반→탐지→분석→대응의 체계가 거점 구축을 전 과정에서 포착합니다.

8. SOC 관제 포인트

F영역은 비정상 프로세스·지속성·백도어를 탐지·분석·대응하는 장기 거점 제거 단계입니다.
6축 판정·계보 분석·실행→지속성→C2 연계가 전편 공통 기법입니다.
D(상승)→E(유출)→F(거점)→G(확장)로 공격 단계가 이어집니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<!-- F영역 종합: 프로세스·지속성 탐지 체계 요약 -->
<!-- 기반(105000·감사) → 탐지(105010~105370) → 분석·상관(105380~105420) → SOC·대응(105430~105480) -->
<group name="local,syssec_f,summary,">
  <rule id="105490" level="3">
    <if_group>syssec_f</if_group>
    <description>F영역 비정상 프로세스·지속성 탐지 체계(종합)</description>
    <mitre><id>T1059</id><id>T1543</id><id>T1071</id></mitre>
  </rule>
</group>

F영역의 모든 규칙은 실습용 예시입니다. 환경·서비스 구조에 맞춰 wazuh-logtest·테스트 검증 후 운영에 반영하세요.

10. 대응 방법

초기 확인 — F영역 체크리스트(감사·비표준 실행·지속성·백도어·rootkit)로 탐지 체계를 점검합니다.
범위 확인 — 기반 공백·비표준 실행·지속성 이탈·백도어·rootkit 여부를 종합 확인합니다.
증거 확보 — 탐지 체계 구성·기준선·규칙 세트를 유지관리 문서로 보존합니다.
차단/조치 — 공백은 기반부터 복구하고, 거점은 봉쇄·전수 근절로 처리합니다.
재발 방지 — 프로세스·지속성 탐지 체계를 지속 운영하며 G영역(내부 확장)으로 연계합니다.

11. 핵심 정리

단계	핵심
판정 체계	6축·계보·기준선
비정상 프로세스/지속성	비표준·위장·cron·systemd·커널
백도어·C2	셸·비컨·웹셸·rootkit
분석·대응	계보 재구성·봉쇄·전수 근절
면접 포인트	"F영역은 장기 거점 제거 — 6축·계보·실행→지속성→C2 연계, 전수 근절"