303. 내부 확장·측면 이동 — 측면 이동 감사의 기반 구성(네트워크·인증 로그)

목록 보기

303/450

시스템 보안 · 취약점 › G. 내부 확장 · 측면 이동 징후 · 3/50편 (전체 303/450)
학습 단계: 측면 이동 기본 개념
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

1. 개념

측면 이동 탐지의 기반은 인증 로그 + 네트워크 흐름 로그입니다. 호스트 단위 감사(A~F)와 달리, 측면 이동은 호스트 사이에서 일어나므로 여러 호스트의 로그를 중앙 집계해야 보입니다.

측면 이동 감사 구성
 [인증 로그] /var/log/secure, auth.log
   → 누가 어디서 어디로 로그인(Accepted/Failed)
 [auditd] 원격 연결·실행(connect, execve)
 [네트워크 흐름] NetFlow/방화벽/프록시
   → 내부 동-서(east-west) 연결
 [중앙 집계] 여러 호스트 로그 통합(SIEM) — 필수

핵심: 단일 호스트 로그로는 이동이 안 보임 → 중앙 집계

측면 이동은 호스트 A의 아웃바운드와 호스트 B의 인바운드를 연결해야 보입니다. 중앙 집계(SIEM)가 전제입니다.

2. 왜 중요한가

측면 이동은 호스트 사이에서 일어나 단일 호스트 로그로는 안 보입니다(중앙 집계 필수).
인증 로그는 "누가 어디로 로그인", 네트워크 로그는 "어디서 어디로 연결"을 제공합니다.
내부 동-서 트래픽 가시성(NetFlow·방화벽)이 경계 로그보다 중요합니다.

3. 핵심 명령어 / 설정

로그 소스	제공	키/필드
인증 로그	로그인 성공/실패	srcip·user
auditd connect	원격 연결	addr·comm
NetFlow	동-서 흐름	src·dst·port
방화벽(내부)	내부 연결	allow/deny
중앙 집계	통합 상관	host·time

4. 실습 (실습 예시)

# 측면 이동 감사 구성 (분석 방법)
# 인증 로그 중앙 수집(Wazuh agent localfile)
# <localfile><log_format>syslog</log_format><location>/var/log/secure</location></localfile>
# 원격 연결 감사(auditd)
sudo auditctl -a always,exit -F arch=b64 -S connect -k lateral 2>/dev/null
# 내부 로그인 확인
sudo grep -E 'Accepted|Failed' /var/log/secure 2>/dev/null | grep -oE 'from [0-9.]+' | sort | uniq -c | tail

5. 정상 상태

$ (내부 로그인)
  120 from 10.0.0.10 (mgmt01 — 정상 관리)

내부 로그인이 정상 관리 호스트(mgmt01)에서만 집계되고, 중앙 수집이 동작하는 상태가 정상입니다.

6. 이상 상태

$ (내부 로그인)
  45 from 10.0.0.50 (web01 — 평소 로그인 출발지 아님)
→ web01에서 다수 내부 로그인 발생(거점 기원)

web01(웹 서버)에서 다수 내부 로그인 출발 → 거점 기원 측면 이동
평소 로그인 출발지가 아닌 호스트에서 인증 → 이상
중앙 집계로 출발지 기준 이상 포착 → 정탐 기반

7. 로그 분석 (분석 방법)

측면 이동 감사 기반 구성 흐름입니다(가상의 예시).

[호스트 A] 아웃바운드 연결·로그인 시도 로그
      +
[호스트 B] 인바운드 로그인 성공/실패 로그
      ↓ (중앙 집계 SIEM)
[연결] A의 아웃 ↔ B의 인 = 이동 1건
      ↓
[탐지] 출발지-목적지-계정-시점 상관(G06·42)

소스	역할
인증 로그	로그인 주체·출발지
auditd/NetFlow	연결 경로
중앙 집계	호스트 간 연결

중앙 집계가 있어야 호스트 A→B 이동이 하나의 이벤트로 보입니다.

8. SOC 관제 포인트

측면 이동 기반은 인증 로그 + 네트워크 흐름 로그 + 중앙 집계입니다.
호스트 사이 이동은 단일 로그로 안 보여 SIEM 중앙 집계가 필수입니다.
내부 동-서 가시성(NetFlow·방화벽)이 경계 로그보다 중요합니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_g,lateral,">
  <rule id="106020" level="5">
    <if_sid>106000</if_sid>
    <field name="audit.key" type="pcre2">lateral|internal_auth</field>
    <description>측면 이동 감사 키 매칭(기반)</description>
    <mitre><id>T1021</id></mitre>
  </rule>
</group>

인증·네트워크 로그를 중앙(Wazuh/ELK)으로 수집해야 호스트 간 상관이 가능합니다. 수집 후 wazuh-logtest로 파싱을 검증합니다.

10. 대응 방법

초기 확인 — 인증·auditd·네트워크 흐름 로그의 중앙 수집 상태를 확인합니다.
범위 확인 — 출발지·목적지·계정 필드 추출과 호스트 간 연결을 확인합니다.
증거 확보 — 감사 구성·수집 상태·샘플 이벤트를 보존합니다.
차단/조치 — 수집 공백 시 로그 소스·중앙 집계를 구성합니다.
재발 방지 — 인증·네트워크 중앙 집계 기반을 G영역 탐지의 토대로 운영합니다.

11. 핵심 정리

로그 소스	제공
인증 로그	로그인 주체·출발지
auditd connect	원격 연결
NetFlow/방화벽	동-서 흐름
중앙 집계	호스트 간 상관
면접 포인트	"측면 이동은 호스트 사이 — 중앙 집계 없으면 안 보임, 동-서 가시성 필수"