312. 내부 확장·측면 이동 — 자격증명 재사용(credential reuse) 탐지

목록 보기

312/450

시스템 보안 · 취약점 › G. 내부 확장 · 측면 이동 징후 · 12/50편 (전체 312/450)
학습 단계: 인증·자격증명 기반 이동
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

1. 개념

자격증명 재사용은 한 호스트에서 탈취한 비밀번호·계정을 다른 호스트에서 그대로 사용하는 측면 이동입니다. 많은 조직이 동일 비밀번호·공유 계정을 여러 호스트에 쓰므로, 자격증명 하나로 다수 호스트에 확산할 수 있습니다.

자격증명 재사용 측면 이동
 재사용 가능성: 동일 로컬 계정·비밀번호가 여러 호스트에
 탈취원: shadow 크래킹(E9), DB 자격증명(E13), 설정 파일(E14)
 패턴: 같은 계정이 평소와 다른 다수 호스트에서 인증 성공
 특징: 비밀번호 인증(password) + 비정상 출발지·다수

핵심: 하나의 자격증명이 여러 호스트에 재사용됨

핵심은 "같은 계정이 평소와 다른 호스트·출발지에서 인증 성공"입니다. 공유 비밀번호 정책이 있으면 재사용 확산이 특히 쉽습니다.

2. 왜 중요한가

동일 비밀번호·공유 계정 재사용은 자격증명 하나로 다수 호스트 확산을 가능하게 합니다.
탈취원(shadow·DB·설정)에서 얻은 자격증명이 재사용 측면 이동으로 이어집니다.
같은 계정의 다수 호스트·비정상 출발지 인증이 재사용의 신호입니다.

3. 핵심 명령어 / 설정

재사용 신호	패턴	위험
동일 계정 다수 호스트	재사용 확산	높음
비정상 출발지 인증	거점 발	높음
password 인증+새 경로	재사용 이동	높음
탈취 직후 재사용	E→G	높음
정상 공유 서비스 계정	기준선	정상

4. 실습 (실습 예시)

# 자격증명 재사용 탐지 (분석 방법)
# 같은 계정의 다수 호스트 인증(중앙 집계 대조)
sudo grep 'Accepted password' /var/log/secure 2>/dev/null | grep -oE 'for [a-z]+ from [0-9.]+' | sort | uniq -c | sort -rn | tail
# 비정상 출발지의 password 인증
sudo grep 'Accepted password' /var/log/secure 2>/dev/null | grep -vE 'from 10.0.0.1[01]'

5. 정상 상태

$ (계정별 인증)
  정상: 각 호스트 로컬 계정이 자기 호스트에서만 인증

각 계정이 정해진 호스트에서만 인증되고, 동일 계정의 다수 호스트 재사용이 없는 상태가 정상입니다.

6. 이상 상태

$ (계정별 인증)
  for admin from 10.0.0.50 (web01)
  for admin from 10.0.0.60 (db01)
  for admin from 10.0.0.70 (app01) — 동일 계정 다수 호스트

동일 계정(admin)이 web01·db01·app01에서 연속 인증 성공 → 자격증명 재사용
비밀번호 인증·거점 발·다수 호스트 → 공유 자격증명 확산
동일 계정·다수 호스트·비정상 출발지 → 재사용 측면 이동 → 정탐

7. 로그 분석 (분석 방법)

자격증명 재사용 분석입니다(가상의 예시).

[탈취] web01에서 admin 비밀번호 획득 (E9/E13)
   ↓ (재사용)
[확산] 동일 admin/비밀번호로:
   db01 로그인 성공(Accepted password for admin)
   app01 로그인 성공(동일 계정)
   file01 로그인 성공
 = 하나의 자격증명이 다수 호스트에 재사용
[추적] 같은 계정·비밀번호 인증의 다수 호스트 분포

관찰	해석
동일 계정 다수 호스트	재사용
password 인증	비밀번호 재사용
거점 발	확산 기원
탈취 연계	E→G

같은 계정의 호스트 분포 확산이 자격증명 재사용의 지표입니다.

8. SOC 관제 포인트

자격증명 재사용은 탈취한 비밀번호·계정을 다른 호스트에서 그대로 사용하는 확산입니다.
동일 비밀번호·공유 계정 정책이 재사용 확산을 쉽게 만듭니다.
같은 계정의 다수 호스트·비정상 출발지 인증이 핵심 신호입니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_g,lateral,">
  <!-- 동일 계정이 짧은 시간 다수 호스트에서 인증(재사용) -->
  <rule id="106110" level="13" frequency="4" timeframe="600">
    <decoded_as>sshd</decoded_as>
    <field name="rule.description" type="pcre2">Accepted password</field>
    <same_field>dstuser</same_field>
    <description>동일 계정 다수 호스트 인증(자격증명 재사용 측면 이동)</description>
    <mitre><id>T1078</id><id>T1550</id></mitre>
  </rule>
</group>

동일 계정의 호스트 분포는 중앙 집계(ELK)로 상관해야 완전합니다. 정상 공유 서비스 계정은 기준선 예외로 둡니다.

10. 대응 방법

초기 확인 — 동일 계정의 다수 호스트 인증·비정상 출발지·인증 방식을 확인합니다.
범위 확인 — 탈취원(E영역)과의 연계·공유 자격증명 확산을 확인합니다.
증거 확보 — 인증 로그와 계정별 호스트 분포를 보존합니다.
차단/조치 — 재사용 정탐이면 해당 자격증명 전 호스트 교체·고유 비밀번호 정책을 진행합니다.
재발 방지 — 동일 계정 호스트 분포 기반 재사용 탐지를 운영합니다.

11. 핵심 정리

재사용 신호	패턴
동일 계정 다수 호스트	재사용 확산
비정상 출발지	거점 발
password + 새 경로	재사용 이동
탈취 직후	E→G
면접 포인트	"자격증명 재사용은 공유 비밀번호 악용 — 동일 계정 다수 호스트가 신호"

12. 다음 편 예고

다음 편 313. 내부 확장·측면 이동 — Pass-the-Hash·티켓 재사용 탐지 에서는 Pass-the-Hash·티켓 재사용을 다루는 Pass-the-Hash·티켓 재사용 탐지를 다룹니다.

이전 편: 311. 내부 확장·측면 이동 — 비정상 내부 SSH 연결 패턴 탐지
📚 시리즈 전체 보기: 시스템 보안 · 취약점

changseop lee

코드에 숨겨진 위협을 읽고 AI로 보안의 미래를 설계합니다. 프론트엔드 개발 경험을 자산 삼아 더 견고하고 지능적인 보안 운영 시스템을 구축해 나가는 과정을 기록합니다