311. 내부 확장·측면 이동 — 비정상 내부 SSH 연결 패턴 탐지

목록 보기

311/450

시스템 보안 · 취약점 › G. 내부 확장 · 측면 이동 징후 · 11/50편 (전체 311/450)
학습 단계: 인증·자격증명 기반 이동
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

1. 개념

개별 SSH 로그인(G09·10)을 넘어, 연결 패턴의 거시적 이상을 봅니다. 측면 이동은 일대다 확산·연쇄 홉·짧은 시간 집중 같은 패턴을 그리므로, 패턴 분석으로 개별로는 안 보이는 확산을 포착합니다.

비정상 내부 SSH 연결 패턴
 일대다(fan-out): 한 호스트 → 여러 호스트 SSH(스프레이)
 연쇄(chain): A→B→C→D (multi-hop)
 시간 집중(burst): 짧은 시간 다수 SSH
 역방향: 평소 받기만 하던 호스트가 SSH 출발

개별 로그인=정상일 수도 / 패턴=측면 이동

핵심은 "연결의 모양(topology)"입니다. 정상은 관리 호스트 중심의 별(star) 모양이지만, 측면 이동은 거점에서 퍼지는 확산(fan-out)·연쇄 모양입니다.

2. 왜 중요한가

개별 SSH는 정상일 수 있어도, 일대다·연쇄·집중 패턴은 측면 이동의 거시적 신호입니다.
평소 SSH를 받기만 하던 서버가 출발지가 되는 역방향은 거점화 신호입니다.
연결 그래프(topology) 분석으로 확산 경로를 시각화·추적합니다(G33·43).

3. 핵심 명령어 / 설정

패턴	모양	위험
fan-out	1→다수	높음(스프레이)
chain	A→B→C	높음(multi-hop)
burst	시간 집중	높음
역방향	수신→발신 전환	높음(거점화)
star(관리)	mgmt 중심	정상

4. 실습 (실습 예시)

# 비정상 SSH 연결 패턴 탐지 (분석 방법)
# 출발지별 목적지 수(fan-out)
sudo grep 'Accepted' /var/log/secure 2>/dev/null | grep -oE 'from [0-9.]+' | sort | uniq -c | sort -rn | head
# 짧은 시간 집중(burst) — 시간대별 로그인 수
sudo grep 'Accepted' /var/log/secure 2>/dev/null | grep -oE '^[A-Za-z]+ +[0-9]+ [0-9]{2}' | sort | uniq -c | sort -rn | head

5. 정상 상태

$ (출발지별 목적지)
  정상: mgmt01이 여러 서버 접속(별 모양, 관리)
$ (시간 집중) 업무 시간 분산

SSH 연결이 관리 호스트 중심의 별 모양이고, 시간대별로 분산된 정상 관리 패턴 상태입니다.

6. 이상 상태

$ (출발지별 목적지)
  web01 → 8개 내부 호스트 (fan-out, 평소 0)
$ (시간 집중)
  04시에 15건 집중(burst)

web01(평소 SSH 출발 0)이 8개 호스트로 fan-out → 확산 스프레이
04시 짧은 시간에 15건 집중 → burst 패턴
fan-out + burst + 역방향(web가 출발) → 측면 이동 패턴 → 정탐

7. 로그 분석 (분석 방법)

비정상 SSH 연결 패턴 분석입니다(가상의 예시).

[정상 topology] mgmt01 중심 별 모양
    mgmt01 → web, app, db (관리)
[측면 이동 topology] 거점 fan-out + chain
    web01 → db01, app01, app02, file01 ... (fan-out)
    web01 → db01 → dc01 (chain)
    ↓ (04시 집중)
    burst 패턴
 = 모양이 별→확산으로 변함

패턴	정상	측면 이동
중심	mgmt	거점(web)
모양	별	확산·연쇄
시간	분산	집중

연결 topology의 변화가 측면 이동을 거시적으로 드러냅니다.

8. SOC 관제 포인트

비정상 SSH 연결은 일대다(fan-out)·연쇄(chain)·시간 집중(burst)·역방향 패턴을 그립니다.
개별 로그인은 정상일 수 있어도 거시적 패턴이 측면 이동 신호입니다.
연결 그래프(topology) 분석으로 확산 경로를 시각화·추적합니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_g,lateral,">
  <!-- 한 출발지에서 짧은 시간 다수 호스트 SSH(fan-out+burst) -->
  <rule id="106100" level="13" frequency="5" timeframe="300">
    <if_matched_sid>106080</if_matched_sid>
    <same_field>srcip</same_field>
    <description>내부 SSH fan-out/burst(확산 스프레이 패턴)</description>
    <mitre><id>T1021.004</id></mitre>
  </rule>
</group>

fan-out·burst는 출발지 기준 빈도 상관으로 탐지합니다. 연결 topology 변화는 ELK 그래프 분석(G43)으로 보완합니다.

10. 대응 방법

초기 확인 — 출발지별 목적지 수(fan-out)·연쇄(chain)·시간 집중(burst)·역방향을 확인합니다.
범위 확인 — 정상 별 모양 대비 확산·연쇄 topology 변화를 확인합니다.
증거 확보 — 연결 패턴·topology·관련 로그를 보존합니다.
차단/조치 — 확산 패턴 정탐이면 거점 격리·확산 경로 차단·전수 조사를 진행합니다.
재발 방지 — 연결 패턴·그래프 기반 측면 이동 탐지를 운영합니다.

11. 핵심 정리

패턴	모양
fan-out	1→다수(스프레이)
chain	A→B→C(multi-hop)
burst	시간 집중
역방향	수신→발신(거점화)
면접 포인트	"연결 topology가 별(관리)→확산(거점)으로 변함 — 패턴이 측면 이동 신호"