305. 내부 확장·측면 이동 — 동-서 트래픽(east-west)과 이상 탐지 원리

목록 보기

305/450

시스템 보안 · 취약점 › G. 내부 확장 · 측면 이동 징후 · 5/50편 (전체 305/450)
학습 단계: 측면 이동 기본 개념
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

1. 개념

네트워크 트래픽은 방향으로 구분됩니다. 남-북(north-south)은 내부↔외부(경계)이고, 동-서(east-west)는 내부 호스트 간 통신입니다. 측면 이동은 동-서 트래픽에서 일어나므로, 경계(남-북)만 보는 방어는 측면 이동을 놓칩니다.

트래픽 방향과 측면 이동
 남-북(north-south): 내부 ↔ 외부 (방화벽·IPS가 봄)
 동-서(east-west):   내부 ↔ 내부 (대개 감시 사각지대)
   → 측면 이동이 여기서 발생

전통적 경계 방어: 남-북만 감시 → 내부 확산 못 봄
필요: 동-서 가시성(내부 세그먼트·마이크로세그멘테이션)

대부분의 방어는 경계(남-북)에 집중돼 있어, 일단 내부에 들어온 공격자의 동-서 이동은 감시 사각지대입니다. 측면 이동 탐지는 동-서 가시성 확보가 핵심입니다.

2. 왜 중요한가

경계 방화벽·IPS는 남-북만 보고, 내부 동-서 트래픽은 대개 감시하지 않습니다.
측면 이동은 전부 동-서에서 일어나므로 동-서 가시성 없이는 탐지 불가입니다.
마이크로세그멘테이션·내부 NDR·호스트 로그 집계로 동-서를 봐야 합니다.

3. 핵심 명령어 / 설정

방향	경로	감시
남-북	내부↔외부	방화벽·IPS(보통 있음)
동-서	내부↔내부	사각지대(보강 필요)
측면 이동	동-서	동-서 가시성 필수
세그먼트 간	VLAN·존	내부 방화벽
세그먼트 내	같은 대역	호스트 로그·NDR

4. 실습 (실습 예시)

# 동-서 트래픽 이상 탐지 (분석 방법)
# 내부 대역 간 연결(동-서)만 필터
ss -tnp 2>/dev/null | grep -E '10\.|192\.168\.|172\.(1[6-9]|2[0-9]|3[01])\.' | grep -vE '127.0.0.1'
# 세그먼트 간 비정상 연결(예: web 세그먼트 → db 세그먼트 신규)
sudo ausearch -k lateral -i --start recent 2>/dev/null | grep -oE 'addr=10\.0\.[0-9]+\.[0-9]+' | sort | uniq -c | tail

5. 정상 상태

$ (동-서 연결)
web01 → db01:3306 (정상 서비스 의존)
app01 → cache01:6379 (정상)

동-서 연결이 정상 서비스 의존 관계(web→db, app→cache)에만 발생하는 상태가 정상입니다.

6. 이상 상태

$ (동-서 연결)
web01 → db01:22, app01:22, file01:22 (SSH, 서비스 포트 아님)
web01 → 10.0.1.0/24 (다른 세그먼트 신규 접근)

web01이 내부 호스트들에 SSH(22) → 서비스 의존이 아닌 관리성 이동
다른 세그먼트(10.0.1.0/24) 신규 접근 → 세그먼트 경계 넘는 확산
동-서 비정상 연결(SSH·세그먼트 교차) → 측면 이동 → 정탐

7. 로그 분석 (분석 방법)

동-서 트래픽 이상 분석입니다(가상의 예시).

[남-북] 외부 → web01:443 (경계 방화벽이 감시)
   ↓ (내부 침투 후)
[동-서] web01 → db01:22 (경계가 못 봄)
         web01 → app01,file01 (확산)
         web01 → 10.0.1.x (세그먼트 교차)
   ↓
[탐지] 동-서 가시성으로만 포착 가능
 = 경계만 보면 측면 이동 전부 놓침

방향	가시성	측면 이동
남-북	있음(경계)	안 보임
동-서	보강 필요	여기서 발생

동-서 가시성이 측면 이동 탐지의 전제입니다.

8. SOC 관제 포인트

측면 이동은 동-서(east-west, 내부 호스트 간) 트래픽에서 일어납니다.
경계(남-북) 방어만으로는 내부 확산을 놓치므로 동-서 가시성이 필수입니다.
마이크로세그멘테이션·내부 NDR·호스트 로그 집계로 동-서를 감시합니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_g,lateral,">
  <!-- 서비스 서버 간 관리 포트(SSH) 동-서 연결 -->
  <rule id="106040" level="11">
    <if_sid>106000</if_sid>
    <field name="audit.addr" type="pcre2">^(10\.|192\.168\.|172\.(1[6-9]|2[0-9]|3[01])\.)</field>
    <field name="audit.dport" type="pcre2">^(22|3389|5985|445)$</field>
    <description>내부 호스트 간 관리 포트 연결(동-서 측면 이동)</description>
    <mitre><id>T1021</id></mitre>
  </rule>
</group>

정상 서비스 의존(web→db:3306 등)은 기준선 예외로 두고, 관리 포트·세그먼트 교차 동-서 연결을 탐지합니다.

10. 대응 방법

초기 확인 — 내부 동-서 연결(출발지·목적지·포트·세그먼트)을 확인합니다.
범위 확인 — 서비스 의존이 아닌 관리 포트·세그먼트 교차 연결을 확인합니다.
증거 확보 — 동-서 연결 로그와 세그먼트 경로를 보존합니다.
차단/조치 — 비정상 동-서 이동 정탐이면 세그먼트 격리·연결 차단을 진행합니다.
재발 방지 — 동-서 가시성 기반 측면 이동 탐지를 운영합니다.

11. 핵심 정리

방향	감시
남-북(내부↔외부)	방화벽·IPS
동-서(내부↔내부)	사각지대·보강 필요
측면 이동	동-서에서 발생
세그먼트 교차	내부 방화벽
면접 포인트	"측면 이동은 동-서에서 발생 — 경계(남-북)만 보면 전부 놓침"