304. 내부 확장·측면 이동 — 측면 이동 정상 기준선 만들기

목록 보기

304/450

시스템 보안 · 취약점 › G. 내부 확장 · 측면 이동 징후 · 4/50편 (전체 304/450)
학습 단계: 측면 이동 기본 개념
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

1. 개념

측면 이동 탐지의 전제는 정상 내부 연결 기준선입니다. 내부망에는 정상적인 호스트 간 통신(웹→DB, 관리→전체)이 많으므로, 무엇이 정상 경로인지 알아야 이상 이동을 구분할 수 있습니다.

측면 이동 기준선 요소
 정상 연결 맵: 어떤 호스트가 어떤 호스트에 연결하나
   web→db(정상), app→cache(정상)
 정상 인증 출발지: 관리 호스트(mgmt)에서만 SSH
 정상 포트: 서비스별 정해진 포트
 정상 시점: 업무 시간·배포 창
 정상 계정: 호스트별 사용 계정

기준선 밖 연결 = 측면 이동 후보

내부 연결은 대부분 정해진 패턴(웹→DB 등)을 따릅니다. 기준선(정상 연결 맵)에서 벗어난 새로운 경로가 측면 이동 후보입니다.

2. 왜 중요한가

내부망엔 정상 호스트 간 통신이 많아, 기준선 없이는 이상 이동을 구분할 수 없습니다.
정상 연결 맵(누가 누구에게)·인증 출발지·포트·시점이 비교 기준입니다.
기준선은 네트워크 구조(서비스 의존 관계) 이해에서 나옵니다.

3. 핵심 명령어 / 설정

기준선 요소	정상	이상 신호
연결 맵	web→db·app→cache	새 경로(web→dc)
인증 출발지	mgmt 호스트	서비스 서버 발
포트	서비스 정해진	비표준·다수
시점	업무·배포	새벽·비정기
계정	호스트별 정해진	교차·공유

4. 실습 (실습 예시)

# 측면 이동 기준선 수립 (분석 방법)
# 정상 내부 연결 맵(출발지→목적지:포트)
sudo ausearch -k lateral -i --start week 2>/dev/null | grep -oE 'addr=[0-9.]+' | sort | uniq -c | sort -rn > /root/baseline/conn_map.txt
# 정상 인증 출발지
sudo grep Accepted /var/log/secure 2>/dev/null | grep -oE 'from [0-9.]+' | sort | uniq -c > /root/baseline/auth_src.txt
cat /root/baseline/auth_src.txt

5. 정상 상태

$ (정상 인증 출발지)
  450 from 10.0.0.10 (mgmt01)
   30 from 10.0.0.11 (backup01)
→ 관리·백업 호스트에서만 내부 SSH(정상 맵)

내부 SSH가 관리·백업 호스트에서만 발생하고, 연결 맵이 서비스 의존 관계와 일치하는 상태가 정상입니다.

6. 이상 상태

$ (정상 인증 출발지)
  450 from 10.0.0.10 (mgmt01)
   22 from 10.0.0.50 (web01 — 신규 출발지)
→ web01에서 내부 SSH 발생(기준선에 없던 출발지)

web01(웹 서버)에서 내부 SSH 출발 → 기준선 이탈(웹 서버는 SSH 출발지가 아님)
정상 연결 맵(web→db만)을 벗어난 web→app·web→file 경로 출현
기준선 밖 출발지·경로 → 측면 이동 후보 → 정탐

7. 로그 분석 (분석 방법)

측면 이동 기준선 비교 흐름입니다(가상의 예시).

[기준선] 정상 연결 맵·인증 출발지(mgmt)·포트·시점
      ↓ (비교)
[관측] web01 → db01,app01 SSH (04시)
      ↓
[이탈 판정]
 출발지: web01(관리 호스트 아님) → 이탈
 경로: web→app(맵에 없음) → 이탈
 시점: 04시(비업무) → 이탈
      ↓
[측면 이동 후보] 6축 판정(G08)

축	기준선	관측	판정
출발지	mgmt	web01	이탈
경로	web→db	web→app	이탈
시점	업무	04시	이탈

기준선 대비 이탈 축이 많을수록 측면 이동 가능성이 높습니다.

8. SOC 관제 포인트

측면 이동 탐지는 정상 내부 연결 기준선(연결 맵·인증 출발지·포트·시점) 수립이 전제입니다.
내부망엔 정상 통신이 많아 기준선 없이는 이상 이동을 구분할 수 없습니다.
기준선 밖 출발지·경로·시점이 측면 이동 후보입니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_g,lateral,">
  <!-- 비관리 호스트(서비스 서버)에서 내부 SSH 출발(기준선 이탈) -->
  <rule id="106030" level="11">
    <if_sid>106000</if_sid>
    <field name="srcip" type="pcre2">^10\.0\.0\.(5[0-9]|[6-9][0-9])$</field>
    <description>서비스 서버 발 내부 SSH(인증 출발지 기준선 이탈)</description>
    <mitre><id>T1021.004</id></mitre>
  </rule>
</group>

정상 관리·백업 호스트는 화이트리스트로 예외 처리합니다. 기준선은 네트워크 구조에 맞게 조정합니다.

10. 대응 방법

초기 확인 — 내부 연결 맵·인증 출발지·포트·시점의 정상 기준선을 수립합니다.
범위 확인 — 관측된 이동이 어떤 축(출발지·경로·시점)을 이탈했는지 확인합니다.
증거 확보 — 연결 맵 기준선과 이탈 이벤트를 보존합니다.
차단/조치 — 기준선 이탈 이동은 6축 판정(G08)으로 정탐/오탐을 가립니다.
재발 방지 — 연결 기준선 기반 측면 이동 탐지를 운영합니다.

11. 핵심 정리

요소	정상 vs 이상
연결 맵	web→db vs 새 경로
인증 출발지	mgmt vs 서비스 서버
포트·시점	정해진·업무 vs 비표준·새벽
계정	호스트별 vs 교차·공유
면접 포인트	"내부망은 정상 통신 많음 — 연결 맵 기준선 이탈이 측면 이동 후보"