316. 내부 확장·측면 이동 — 공유 계정·동시 로그인 이상 탐지

시스템 보안 · 취약점 › G. 내부 확장 · 측면 이동 징후 · 16/50편 (전체 316/450)
학습 단계: 인증·자격증명 기반 이동
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

• 315. 내부 확장·측면 이동 — 서비스 계정 오남용 이동 탐지
• 226. 비정상 시간대·주체의 데이터 접근 탐지(E영역)

1. 개념

같은 계정이 여러 출발지에서 동시에 로그인하면, 정상 사용자와 공격자(탈취 자격증명)가 동시에 쓰고 있을 가능성이 높습니다. 공유 계정 환경에서는 특히 구분이 어렵지만, 동시성·불가능 이동으로 이상을 포착합니다.

공유 계정·동시 로그인 이상
 동시 로그인: 같은 계정이 여러 출발지에서 동시 활성 세션
 불가능 이동: 짧은 시간에 멀리 떨어진 출발지(물리적으로 불가)
 공유 계정 문제: 누가 썼는지 추적 불가 → 책임 추적성 상실
 탈취 신호: 정상 세션 중 다른 출발지 로그인 추가

핵심: 동시성 + 출발지 불일치 = 자격증명 공유/탈취

핵심은 "한 계정의 세션이 여러 출발지에서 동시에 활성"인 것입니다. 정상 사용자가 로그인한 동안 다른 출발지에서 같은 계정 로그인이 추가되면 탈취 신호입니다.

2. 왜 중요한가

• 동시 로그인은 정상 사용자와 공격자가 같은 계정을 동시에 쓰는 신호입니다.
• 불가능 이동(짧은 시간 먼 출발지)은 자격증명 탈취의 강한 지표입니다.
• 공유 계정은 책임 추적성을 없애 측면 이동 탐지·대응을 어렵게 합니다.

3. 핵심 명령어 / 설정

이상 신호	패턴	위험
동시 활성 세션	여러 출발지	높음
불가능 이동	먼 출발지 단시간	높음
정상 세션+추가	탈취 침입	높음
공유 계정	추적 불가	구조적 위험
단일 세션	정상	정상

4. 실습 (실습 예시)

# 공유 계정·동시 로그인 탐지 (분석 방법)
# 같은 계정의 동시 활성 세션(출발지별)
who 2>/dev/null | awk '{print $1, $5}' | sort | uniq -c | sort -rn | head
# 같은 계정의 서로 다른 출발지 동시 로그인(인증 로그)
sudo grep 'Accepted' /var/log/secure 2>/dev/null | grep -oE 'for [a-z]+ from [0-9.]+' | sort | uniq | head

5. 정상 상태

$ (동시 세션)
  정상: 각 계정이 단일 출발지에서만 활성

각 계정이 단일 출발지에서만 활성 세션을 갖고, 동시 로그인·불가능 이동이 없는 상태가 정상입니다.

6. 이상 상태

$ (동시 세션)
  admin from 10.0.0.10 (정상 관리자, 활성)
  admin from 10.0.0.50 (web01, 동시 로그인 추가)
→ 같은 admin이 두 출발지에서 동시 활성

• admin 계정이 정상 출발지(mgmt)와 web01(거점)에서 동시 활성 → 자격증명 공유/탈취
• 정상 세션 중 거점(web01)에서 같은 계정 로그인 추가 → 탈취 침입
• 동시 로그인·출발지 불일치 → 측면 이동(탈취 계정) → 정탐

7. 로그 분석 (분석 방법)

공유 계정·동시 로그인 분석입니다(가상의 예시).

[정상 세션] admin from mgmt01 (업무 중)
   + (동시에)
[탈취 세션] admin from web01 (거점, 탈취 자격)
   ↓
[동시성 탐지] 같은 admin, 두 출발지, 동시 활성
   ↓ (불가능 이동이면 더 확실)
[판정] 자격증명 공유/탈취 → 측면 이동

세션	출발지	판정
정상	mgmt01	정상 사용자
추가	web01	탈취(거점)
동시성	불일치	탈취 신호

정상 세션과 동시에 거점 출발 세션이 생기면 탈취 측면 이동입니다.

8. SOC 관제 포인트

• 같은 계정의 동시 로그인·불가능 이동은 자격증명 공유/탈취의 신호입니다.
• 정상 세션 중 다른(거점) 출발지 로그인 추가가 탈취 측면 이동 지표입니다.
• 공유 계정은 책임 추적성을 없애므로 개인 계정·고유 자격을 권장합니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_g,lateral,">
  <!-- 같은 계정이 여러 출발지에서 짧은 시간 로그인(동시/불가능 이동) -->
  <rule id="106150" level="12" frequency="2" timeframe="300">
    <decoded_as>sshd</decoded_as>
    <field name="rule.description" type="pcre2">Accepted</field>
    <same_field>dstuser</same_field>
    <different_field>srcip</different_field>
    <description>동일 계정 다출발지 동시 로그인(자격증명 탈취·공유)</description>
    <mitre><id>T1078</id></mitre>
  </rule>
</group>

동시성·불가능 이동은 중앙 집계(ELK)에서 계정별 세션·출발지 상관으로 정밀 탐지합니다. 공유 계정은 개인 계정화로 구조 개선합니다.

10. 대응 방법

1. 초기 확인 — 같은 계정의 동시 활성 세션·출발지 불일치·불가능 이동을 확인합니다.
2. 범위 확인 — 정상 세션 중 거점 출발 로그인 추가·탈취 신호를 확인합니다.
3. 증거 확보 — 동시 세션·출발지·시간 로그를 보존합니다.
4. 차단/조치 — 탈취 정탐이면 전 세션 종료·자격 교체·공유 계정 개인화를 진행합니다.
5. 재발 방지 — 동시 로그인·불가능 이동 기반 탈취 측면 이동 탐지를 운영합니다.

11. 핵심 정리

이상 신호	패턴
동시 활성 세션	여러 출발지
불가능 이동	먼 출발지 단시간
정상+추가 세션	탈취 침입
공유 계정	추적 불가
면접 포인트	"동시 로그인·불가능 이동은 탈취 신호 — 공유 계정은 추적성 없애 위험"

12. 다음 편 예고

다음 편 317. 내부 확장·측면 이동 — 무차별 대입 기반 내부 확산 탐지 에서는 무차별 대입 기반 내부 확산을 다루는 무차별 대입 기반 내부 확산 탐지를 다룹니다.

---

이전 편: 315. 내부 확장·측면 이동 — 서비스 계정 오남용 이동 탐지
📚 시리즈 전체 보기: 시스템 보안 · 취약점