302. 내부 확장·측면 이동 — 측면 이동(lateral movement)의 개념과 공격 단계

목록 보기

302/450

시스템 보안 · 취약점 › G. 내부 확장 · 측면 이동 징후 · 2/50편 (전체 302/450)
학습 단계: 측면 이동 기본 개념
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

1. 개념

측면 이동(lateral movement)은 공격자가 처음 침투한 호스트에서 내부의 다른 호스트로 접근을 확장하는 기법입니다. 핵심 자산은 보통 외부에서 직접 닿지 않으므로, 공격자는 거점을 발판으로 옆으로(lateral) 이동해 목표에 도달합니다.

측면 이동의 역할과 패턴
 침투점(외부 노출) → 거점 → 측면 이동 → 핵심 자산
 패턴:
  ① 정찰: 내부 호스트·서비스·계정 파악
  ② 자격증명: 탈취·재사용으로 인증
  ③ 이동: SSH·원격 실행으로 다른 호스트 접근
  ④ 반복: 홉(hop)을 거쳐 목표까지

목적: 외부에서 못 닿는 핵심 자산 도달

측면 이동은 "정찰 → 자격증명 → 이동"을 반복하며 여러 홉(multi-hop)을 거쳐 목표로 향합니다. 각 홉이 탐지·차단의 기회입니다.

2. 왜 중요한가

핵심 자산은 외부 직접 접근이 막혀 있어, 공격자는 측면 이동으로 우회 도달합니다.
측면 이동은 정상 인증·관리 트래픽과 섞여 은밀하므로 패턴·맥락 분석이 필요합니다.
각 홉(이동 단계)이 탐지·차단 지점이며, 조기 차단이 확산을 막습니다.

3. 핵심 명령어 / 설정

패턴	내용	위험
내부 정찰	호스트·서비스·계정 파악	확산 준비
자격증명 재사용	탈취 인증 정보 활용	인증 이동
원격 이동	SSH·원격 실행	호스트 확장
다단계 홉	여러 호스트 경유	목표 도달
정상 관리	승인된 이동	정상

4. 실습 (실습 예시)

# 측면 이동 패턴 분석 (분석 방법)
# 한 출발지에서 여러 내부 목적지로의 이동
sudo ausearch -k lateral,internal_auth -i --start recent 2>/dev/null | grep -oE 'addr=[0-9.]+' | sort | uniq -c | sort -rn | head
# 내부 홉 체인(A→B→C)
# 인증 로그에서 연쇄 로그인 추적
sudo grep 'Accepted' /var/log/secure 2>/dev/null | grep -oE 'from [0-9.]+' | sort | uniq -c | tail

5. 정상 상태

$ (내부 이동 패턴)
정상: 관리 호스트(mgmt01) → 정해진 서버들, 업무 시간

측면 이동이 관리 호스트에서 정해진 서버로, 업무 시간에만 발생하는 정상 관리 패턴 상태입니다.

6. 이상 상태

$ (내부 이동 패턴)
web01 → db01, app01, app02, file01 (04시, 연쇄)
→ 한 거점에서 여러 호스트로 연쇄 이동

web01(거점)에서 db01·app01·app02·file01로 연쇄 SSH → 측면 이동
새벽·평소 없던 경로·다수 호스트 → 확산 패턴
거점에서 다수 내부 호스트로 연쇄 이동 → 정탐

7. 로그 분석 (분석 방법)

측면 이동 공격 패턴입니다(가상의 예시).

[침투] web01 (외부 노출 취약점)
   ↓ ① 정찰
내부 스캔: 10.0.0.0/24 호스트·서비스 파악
   ↓ ② 자격증명
web01에서 탈취한 SSH 키·비밀번호
   ↓ ③ 이동
web01 → db01 (SSH, 1홉)
   ↓ ④ 반복
db01 → dc01 (2홉) → 핵심 자산

홉	이동	탐지 기회
1홉	web01→db01	내부 SSH
2홉	db01→dc01	연쇄 이동
목표	핵심 자산	최종 접근

각 홉에서 조기 탐지·차단하면 목표 도달을 막습니다.

8. SOC 관제 포인트

측면 이동은 거점에서 내부 다른 호스트로 확장해 핵심 자산에 도달하는 기법입니다.
정찰→자격증명→이동을 반복하며 여러 홉(multi-hop)을 거칩니다.
각 홉이 탐지·차단 지점이며, 조기 차단이 확산을 막습니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_g,lateral,">
  <!-- 한 출발지에서 여러 내부 호스트로 연쇄 이동 -->
  <rule id="106010" level="12" frequency="4" timeframe="600">
    <if_sid>106000</if_sid>
    <same_field>srcip</same_field>
    <description>한 거점에서 다수 내부 호스트로 연쇄 이동(측면 이동)</description>
    <mitre><id>T1021</id></mitre>
  </rule>
</group>

출발지(srcip) 기준으로 다수 목적지 연쇄 이동을 상관합니다. 정상 관리 호스트는 예외 처리합니다(G46).

10. 대응 방법

초기 확인 — 한 출발지에서 여러 내부 목적지로의 연쇄 이동을 확인합니다.
범위 확인 — 정찰→자격증명→이동 반복과 홉 체인을 확인합니다.
증거 확보 — 출발지-목적지 이동 로그와 홉 경로를 보존합니다.
차단/조치 — 측면 이동 정탐이면 경로 차단·확산 호스트 격리를 진행합니다.
재발 방지 — 정찰→자격증명→이동 패턴 기반 측면 이동 탐지를 운영합니다.

11. 핵심 정리

패턴	내용
내부 정찰	호스트·서비스·계정 파악
자격증명 재사용	탈취 인증 활용
원격 이동	SSH·원격 실행
다단계 홉	여러 호스트 경유
면접 포인트	"측면 이동은 정찰→자격증명→이동 반복 — 각 홉이 차단 기회"