301. 내부 확장·측면 이동 — 내부 확장·측면 이동 징후 분석 개요

목록 보기

301/450

시스템 보안 · 취약점 › G. 내부 확장 · 측면 이동 징후 · 1/50편 (전체 301/450)
학습 단계: 측면 이동 기본 개념
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

1. 개념

G영역 「내부 확장·측면 이동 징후」를 시작합니다. 공격자는 한 호스트에 거점(F영역)을 확보한 뒤, 내부의 다른 시스템으로 확산(lateral movement)해 핵심 자산에 도달합니다. 이 단계 탐지가 피해를 한 대로 가두는 핵심입니다.

공격 단계와 G영역의 위치
 유출(E)→거점(F)→[내부 확장·측면 이동(G)]→목표 장악
                      ↑ 한 대 → 여러 대 확산

G영역 흐름
 인증 기반 이동  → SSH·자격증명 재사용
 원격 실행       → 원격 명령·서비스 악용
 내부 정찰·확산  → 스캔·열거·경로 매핑

A~F가 "한 호스트 안"이라면, G는 "호스트 사이"를 탐지합니다. 측면 이동을 막으면 침해가 한 대로 격리됩니다.

2. 왜 중요한가

측면 이동을 놓치면 한 대의 침해가 전체 내부망 장악으로 번집니다.
외부 경계(방화벽)는 측면 이동을 못 봅니다 — 내부 동-서(east-west) 가시성이 필요합니다.
인증(누가 어디로 로그인)·네트워크(어디서 어디로 연결) 로그가 탐지 기반입니다.

3. 핵심 명령어 / 설정

단계	행위	탐지 영역
인증 이동	SSH·자격증명 재사용	G09~18
원격 실행	원격 명령·서비스	G19~28
내부 정찰	스캔·열거·경로	G29~38
분석	타임라인·그래프·상관	G39~43
관제	Wazuh·ELK·NDR	G44~48

4. 실습 (실습 예시)

# 측면 이동 감사 기반 (분석 방법)
# 내부 인증 이동 감사(auth 로그 + auditd)
sudo ausearch -k priv_esc,recon_net -i --start recent 2>/dev/null | tail
# 내부 호스트로의 아웃바운드 연결(동-서)
ss -tnp 2>/dev/null | grep -E '10\.|192\.168\.|172\.(1[6-9]|2[0-9]|3[01])\.' | grep -vE ':(80|443)\b' | head

5. 정상 상태

$ (내부 인증·연결)
(정상: 알려진 관리 호스트·서비스 간 정해진 연결만)

내부 인증·연결이는 알려진 관리 호스트·서비스 간 정해진 경로에만 발생하는 상태가 정상입니다.

6. 이상 상태

$ (내부 인증·연결)
04:20 web01 → db01 SSH (평소 없던 경로)
04:21 web01 → 10.0.0.0/24 다수 포트 스캔
04:22 web01 → app01,app02 연속 SSH

web01이 평소 없던 내부 호스트(db01)로 SSH → 측면 이동
내부 대역 스캔 후 연속 SSH → 확산
한 거점에서 여러 내부 호스트로 확산 → 정탐(측면 이동)

7. 로그 분석 (분석 방법)

G영역 전체 탐지 흐름입니다(가상의 예시).

[F영역 거점] web01 장악
      ↓
[내부 정찰] 내부 스캔·호스트 열거 (G29~31)
      ↓
[인증 이동] SSH·자격증명 재사용 (G09~18)
      ↓
[원격 실행] 다른 호스트에서 명령 (G19~28)
      ↓
[목표 장악] 핵심 자산(db01) 도달
      ↓
[탐지] 각 단계 + 경로 그래프 상관(G33·43)

단계	흔적
내부 정찰	스캔·열거
인증 이동	내부 로그인
원격 실행	원격 명령

세 단계를 출발지-목적지로 연결하면 확산 경로가 드러납니다.

8. SOC 관제 포인트

G영역은 내부 확산(측면 이동)을 탐지해 침해를 한 대로 격리하는 단계입니다.
외부 경계가 아닌 내부 동-서(east-west) 가시성이 필요합니다.
인증·네트워크 로그가 측면 이동 탐지의 기반입니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_g,lateral,">
  <!-- G영역 기반 룰: 내부 호스트 간 인증·연결 포착 -->
  <rule id="106000" level="5">
    <decoded_as>auditd</decoded_as>
    <field name="audit.key" type="pcre2">lateral|internal_auth|recon_net</field>
    <description>내부 측면 이동 감사 이벤트(기반)</description>
    <mitre><id>T1021</id></mitre>
  </rule>
</group>

106000은 G영역 기반 룰입니다. 개별 탐지(106010~)가 상속해 유형별로 세분화합니다. Wazuh 룰 범위: G영역 106000번대.

10. 대응 방법

초기 확인 › 내부 인증·연결 이벤트(출발지·목적지·계정·시점)를 확인합니다.
범위 확인 — 정찰→인증 이동→원격 실행으로 확산됐는지 확인합니다.
증거 확보 — 내부 이동 로그를 출발지-목적지 기준으로 보존합니다.
차단/조치 — 측면 이동 정탐이면 경로 차단·세션 종료·확산 버위 격리를 진행합니다.
재발 방지 › 인증·네트워크 기반 측면 이동 탐지 체계를 운영합니다.

11. 핵심 정리

단계	탐지
인증 이동	SSH·자격증명 재사용(G09~18)
원격 실행	원격 명령·서비스(G19~28)
내부 정찰	스캔·열거·경로(G29~38)
분석·관제	그래프·상관·Wazuh/ELK/NDR(G39~48)
면접 포인트	"측면 이동은 호스트 사이 › 내부 동-서 가시성으로 한 대에 격리"