306. 내부 확장·측면 이동 — 출발지-목적지-계정-시점의 분석 축

목록 보기

306/450

시스템 보안 · 취약점 › G. 내부 확장 · 측면 이동 징후 · 6/50편 (전체 306/450)
학습 단계: 측면 이동 기본 개념
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

1. 개념

측면 이동 이벤트를 판정하려면 여러 축으로 평가해야 합니다. 내부 이동의 5개 분석 축(출발지·목적지·계정·시점·방법)을 정리합니다. 각 축을 기준선(G04)과 비교해 이상을 평가합니다.

측면 이동 분석 5축
 ① 출발지(From): 어느 호스트에서(거점?)
 ② 목적지(To):  어느 호스트로(핵심 자산?)
 ③ 계정(Who):   어떤 계정으로(탈취·공유?)
 ④ 시점(When):  언제(업무/새벽, 정기/비정기)
 ⑤ 방법(How):   어떻게(SSH·원격실행·재사용)

각 축을 기준선(G04)·연결 맵과 비교 → 이탈 평가

5축은 G08(판정 기준)의 기초이며, 모든 개별 이동 탐지(G09~)가 이 축을 구체화한 것입니다. 특히 출발지(거점)·목적지(핵심 자산)가 중요합니다.

2. 왜 중요한가

단일 축(연결 발생)만으로는 정상 통신과 구분할 수 없어 다축 평가가 필요합니다.
출발지(거점 여부)·목적지(핵심 자산 여부)가 위험도를 크게 좌우합니다.
각 축을 연결 맵·기준선과 비교해 이탈을 평가합니다.

3. 핵심 명령어 / 설정

축	질문	이탈 신호
출발지	어디서	거점·서비스 서버 발
목적지	어디로	핵심 자산·다수
계정	누구로	탈취·공유·교차
시점	언제	새벽·비정기
방법	어떻게	SSH·재사용·원격실행

4. 실습 (실습 예시)

# 측면 이동 5축 분석 (분석 방법) — 한 이동을 5축으로
# 예: web01 → db01 SSH by root at 04:00
echo "① 출발지: web01(거점, 웹 서버) → 이탈"
echo "② 목적지: db01(핵심 자산 DB) → 이탈"
echo "③ 계정: root(평소 미사용) → 이탈"
echo "④ 시점: 04:00(새벽) → 이탈"
echo "⑤ 방법: SSH(연결 맵에 없음) → 이탈"
echo "=> 5축 전부 이탈 → 정탐"

5. 정상 상태

정상 이동 5축:
 ① mgmt01(관리) ② app01(정상 대상) ③ deploy(배포 계정)
 ④ 14:00(업무) ⑤ 정해진 배포 경로
 => 5축 정상 → 정상 관리 이동

관리 호스트가 배포 계정으로 업무 시간에 정해진 경로로 이동하는, 5축이 모두 정상인 상태입니다.

6. 이상 상태

이상 이동 5축:
 ① web01(거점) ② db01(핵심 자산) ③ root(탈취)
 ④ 04:00(새벽) ⑤ SSH(맵 외)
 => 5축 전부 이탈 → 정탐(측면 이동)

5축이 모두 기준선을 이탈 → 명백한 측면 이동
특히 출발지(거점)+목적지(핵심 자산) 조합이 결정적
정상(관리)과 정반대 → 정탐

7. 로그 분석 (분석 방법)

측면 이동 5축 분석 흐름입니다(가상의 예시).

[이동] web01 → db01 SSH (root, 04:00)
      ↓ (5축 평가)
 ① 출발지 web01(거점) → 이탈
 ② 목적지 db01(핵심 자산) → 이탈
 ③ 계정 root(탈취) → 이탈
 ④ 시점 04:00 → 이탈
 ⑤ 방법 SSH(맵 외) → 이탈
      ↓
[종합] 이탈 축 수 → 정탐/오탐(G08)

축	가중치
출발지·목적지	높음(거점·자산)
계정	높음(탈취)
시점·방법	보조

출발지(거점)+목적지(핵심 자산) 조합이 가장 결정적인 판정 근거입니다.

8. SOC 관제 포인트

측면 이동은 5축(출발지·목적지·계정·시점·방법)으로 분석합니다.
각 축을 연결 맵·기준선(G04)과 비교해 이탈을 평가합니다.
출발지(거점)+목적지(핵심 자산) 조합이 위험 판정의 핵심입니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_g,lateral,">
  <!-- 거점(서비스 서버)에서 핵심 자산(DB)으로 이동(출발지+목적지 축) -->
  <rule id="106050" level="13">
    <if_sid>106040</if_sid>
    <field name="audit.addr" type="pcre2">^10\.0\.0\.(10[0-9]|dbhost)$</field>
    <description>거점에서 핵심 자산으로 측면 이동(출발지+목적지 이탈)</description>
    <mitre><id>T1021</id></mitre>
  </rule>
</group>

핵심 자산 IP 목록을 정의해 목적지 축을 구체화합니다. 계정·시점·방법 축은 상관 룰(G42)로 보완합니다.

10. 대응 방법

초기 확인 — 이동 이벤트를 5축(출발지·목적지·계정·시점·방법)으로 평가합니다.
범위 확인 — 거점 발·핵심 자산 행·탈취 계정·새벽·맵 외 방법을 확인합니다.
증거 확보 — 5축 평가 근거와 이동 로그를 보존합니다.
차단/조치 — 다축 이탈이면 경로 차단·확산 추적·대응을 진행합니다.
재발 방지 — 측면 이동 5축 분석을 개별 탐지의 공통 틀로 운영합니다.

11. 핵심 정리

축	이탈 신호
출발지	거점·서비스 서버 발
목적지	핵심 자산·다수
계정	탈취·공유·교차
시점·방법	새벽 / SSH·재사용
면접 포인트	"측면 이동은 5축 평가 — 출발지(거점)+목적지(핵심 자산)가 결정적"