308. 내부 확장·측면 이동 — 내부 확장·측면 이동 판정 기준

시스템 보안 · 취약점 › G. 내부 확장 · 측면 이동 징후 · 8/50편 (전체 308/450)
학습 단계: 측면 이동 기본 개념
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

• 307. 내부 확장·측면 이동 — 피벗(pivot)·터널링의 개념
• 304. 측면 이동 정상 기준선 만들기

1. 개념

내부망에는 정상 관리·배포 이동이 많으므로, 판정 기준이 없으면 탐지가 오탐투성이가 됩니다. 1단계(기본 개념)를 마무리하며, 측면 이동을 판정하는 6가지 축을 정리합니다.

측면 이동 판정 6축
 ① 출발지: 거점·서비스 서버 발(위험) vs 관리 호스트(정상)
 ② 목적지: 핵심 자산·다수(위험) vs 정해진 대상(정상)
 ③ 계정:  탈취·공유·교차(위험) vs 전용 관리 계정(정상)
 ④ 방법:  재사용·터널·원격실행(위험) vs 정상 관리 도구(정상)
 ⑤ 시점:  새벽·비정기(위험) vs 업무·배포 창(정상)
 ⑥ 연계:  정찰·상승·확산 결합(위험) vs 단독(정상)

다수 축 위험 = 정탐 / 대부분 정상 = 오탐

6축은 G09~ 모든 개별 탐지의 판정 근거입니다. 출발지(거점)·목적지(핵심 자산)·연계(확산)가 특히 결정적입니다.

2. 왜 중요한가

• 단일 축(내부 연결)으로 판정하면 정상 관리·배포까지 경보가 됩니다(과탐).
• 다축 결합이 정탐 정확도를 높이고, 출발지·목적지·연계 축이 공격을 확정합니다.
• 판정 기준 명문화로 관제원 일관성과 룰 설계 근거를 제공합니다.

3. 핵심 명령어 / 설정

축	위험 신호	정상 신호
출발지	거점·서비스 서버	관리 호스트
목적지	핵심 자산·다수	정해진 대상
계정	탈취·공유·교차	전용 관리
방법	재사용·터널	정상 도구
시점	새벽·비정기	업무·배포
연계	정찰·상승·확산	단독

4. 실습 (실습 예시)

# 측면 이동 판정 (분석 방법) — 한 이동을 6축으로
# 예: web01→db01 SSH, root, 04시, 스캔 후, 다수 대상
echo "① 출발지: web01(거점) → 위험"
echo "② 목적지: db01(핵심 자산) → 위험"
echo "③ 계정: root(탈취) → 위험"
echo "④ 방법: 탈취 키 재사용 → 위험"
echo "⑤ 시점: 04시 → 위험"
echo "⑥ 연계: 직전 내부 스캔+다수 대상 → 위험"
echo "=> 6축 전부 위험 → 정탐"

5. 정상 상태

정상(오탐) 판정:
 mgmt01 → app01 SSH, deploy 계정, 14시, 단독 배포
 ① 관리호스트 ② 정해진대상 ③ 전용계정 ④ 정상도구 ⑤ 업무 ⑥ 단독
 => 6축 정상 → 정상 관리 이동(Benign)

관리 호스트가 전용 계정으로 업무 시간에 정해진 대상에 단독 배포하는 정상 동작은 6축이 모두 정상입니다.

6. 이상 상태

정탐 판정:
 web01 → db01 SSH, root, 04시, 스캔 후, 다수 대상
 ① 거점 ② 핵심자산 ③ 탈취 ④ 재사용 ⑤ 새벽 ⑥ 정찰+확산
 => 6축 전부 위험 → 정탐(측면 이동)

정상 사례와 6축이 모두 반대입니다. 축별 판정이 일관되게 정탐을 가리킵니다.

7. 로그 분석 (분석 방법)

측면 이동 판정 6축 적용입니다(가상의 예시).

이동                         출발 목적 계정 방법 시점 연계  판정
mgmt01→app01(deploy,14시)    정   정   정   정   정   정    정상
web01→db01(root,04시,스캔후) 위   위   위   위   위   위    정탐
app01→app02(deploy,14시)     정   ?    정   정   정   -     확인

위험 축 수	판정
0~1	정상·오탐
2~3	확인
4+	정탐

8. SOC 관제 포인트

• 측면 이동은 6축(출발지·목적지·계정·방법·시점·연계) 결합으로 판정합니다.
• 단일 축은 오탐 가능, 다축 위험은 정탐이며 출발지·목적지·연계 축이 결정적입니다.
• 이 판정 기준이 G영역 전체 탐지의 근거입니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_g,lateral,">
  <!-- 거점 발 + 핵심 자산 행 + 야간 다축 결합 -->
  <rule id="106070" level="13">
    <if_sid>106050</if_sid>
    <field name="audit.hour" type="pcre2">^(0[0-5]|2[2-3])$</field>
    <description>야간 거점→핵심 자산 측면 이동(다축 위험)</description>
    <mitre><id>T1021</id></mitre>
  </rule>
</group>

축을 조합할수록 정확합니다. 연계(정찰·상승·확산) 축은 상관 룰(G42)로 보완하고, 정상 관리 호스트는 예외 처리합니다.

10. 대응 방법

1. 초기 확인 — 이동 이벤트를 6축으로 평가해 위험 축 수를 산정합니다.
2. 범위 확인 — 다축 위험이면 정찰·상승·확산 연계를 확인합니다.
3. 증거 확보 — 6축 판정 근거와 이동 로그를 보존합니다.
4. 차단/조치 — 정탐은 경로 차단·확산 격리, 오탐은 관리 호스트 화이트리스트 튜닝을 진행합니다.
5. 재발 방지 — 6축 판정 기준을 G영역 탐지의 표준으로 운영합니다.

11. 핵심 정리

축	위험 vs 정상
출발지·목적지	거점·핵심자산 vs 관리·정해진대상
계정·방법	탈취·터널 vs 전용·정상도구
시점·연계	새벽·확산결합 vs 업무·단독
결정 축	출발지·목적지·연계
면접 포인트	"측면 이동은 6축 결합 판정 — 출발지(거점)+목적지(자산)+연계(확산)가 핵심"

12. 다음 편 예고

다음 편 309. 내부 확장·측면 이동 — SSH를 통한 측면 이동 탐지 에서는 2단계로 넘어가 SSH를 통한 측면 이동 탐지를 다룹니다.

---

이전 편: 307. 내부 확장·측면 이동 — 피벗(pivot)·터널링의 개념
📚 시리즈 전체 보기: 시스템 보안 · 취약점