318. 내부 확장·측면 이동 — 인증 기반 측면 이동 종합 분석

changseop lee·2026년 10월 8일

Soc 내부 확장·측면 이동 리눅스 보안관제 시스템 보안 · 취약점 시스템보안 인증이동 종합분석

시스템 보안 · 취약점

목록 보기

318/450

시스템 보안 · 취약점 › G. 내부 확장 · 측면 이동 징후 · 18/50편 (전체 318/450)
학습 단계: 인증·자격증명 기반 이동
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

1. 개념

2단계(인증·자격증명 기반 이동, G09~17)를 종합합니다. 개별 탐지를 인증 방식별로 묶어, "어떤 인증 경로로 이동하며 어떻게 종합 판정하는가"를 정리합니다.

인증 기반 측면 이동 종합 체계
 [자격증명 확보 방식]
  탈취 재사용: SSH키(G10)·비밀번호(G12)·해시/티켓(G13)
  계정 악용: 계정 전환(G14)·서비스 계정(G15)·공유 계정(G16)
  추측 공격: 무차별 대입·스프레이(G17)
 [이동 경로] SSH(G09·11)
 [판정] 6축(G08) → 위험 축 수 → 정탐/오탐
 [연계] 탈취(E)→재사용(G)→확산

핵심은 "자격증명을 어떻게 얻어(탈취/악용/추측) 어떤 인증으로 이동하는가"입니다. 탈취(E영역)→재사용(G영역) 연계가 전체 그림입니다.

2. 왜 중요한가

인증 기반 이동은 자격증명 확보 방식(탈취·악용·추측)으로 분류해 대응을 달리합니다.
SSH가 주 경로이며, 키·비밀번호·해시·티켓 재사용이 핵심 수단입니다.
탈취(E영역)→재사용(G영역) 연계가 확산을 확정합니다.

3. 핵심 명령어 / 설정

확보 방식	탐지	편
SSH 키 재사용	핑거프린트	G10
비밀번호 재사용	동일 계정 다수	G12
해시/티켓	keytab·Kerberos	G13
계정 악용	전환·서비스·공유	G14·15·16
추측 공격	실패 급증	G17

4. 실습 (실습 예시)

# 인증 기반 이동 종합 점검 (분석 방법)
echo "서비스 서버 발 SSH:"; sudo grep Accepted /var/log/secure 2>/dev/null | grep -cE 'from 10.0.0.(5[0-9]|[6-9][0-9])'
echo "동일 계정 다수 호스트:"; sudo grep Accepted /var/log/secure 2>/dev/null | grep -oE 'for [a-z]+' | sort | uniq -c | sort -rn | head -3
echo "내부 실패 급증:"; sudo grep 'Failed password' /var/log/secure 2>/dev/null | grep -cE 'from 10\.'
echo "서비스 계정 대화형:"; sudo ausearch -k proc_exec -i --start today 2>/dev/null | grep -cE 'auid=(deploy|svc-).*tty=pts'

5. 정상 상태

서비스 서버 발 SSH: 0  동일 계정 다수: 정상 분포  내부 실패: 2  서비스 대화형: 0

서비스 서버 발 SSH·동일 계정 재사용·내부 실패 급증·서비스 계정 대화형이 모두 없는 정상 상태입니다.

6. 이상 상태

서비스 서버 발 SSH: 12  동일 계정 다수: admin 5호스트  내부 실패: 85  서비스 대화형: 3

서비스 서버 발 SSH 12건 + 동일 계정 5호스트 재사용 + 내부 실패 85 + 서비스 계정 대화형 3
여러 인증 방식(재사용·악용·추측)이 동시 출현 → 인증 기반 확산
2단계 종합 지표 모두 위험 → 측면 이동 진행 → 정탐

7. 로그 분석 (분석 방법)

인증 기반 측면 이동 종합 판정 흐름입니다(가상의 예시).

[자격증명 확보] 탈취(E) / 악용 / 추측
      ↓
[방식 분류] 키·비밀번호·해시·티켓·계정·추측
      ↓
[인증 이동] SSH 로그인(출발지-목적지)
      ↓
[6축 판정] 출발지·목적지·계정·방법·시점·연계
      ↓
[종합] 탈취(E)→재사용(G) 연계 + 다축 → 정탐

지표	정상	위험
서비스 서버 발	0	다수
계정 재사용	없음	다수 호스트
내부 실패	소수	급증

여러 인증 방식 지표를 종합하면 인증 기반 확산을 정확히 판정합니다.

8. SOC 관제 포인트

인증 기반 측면 이동은 확보 방식(탈취·악용·추측)으로 분류해 종합 판정합니다.
SSH가 주 경로이며, 키·비밀번호·해시·티켓 재사용이 핵심 수단입니다.
탈취(E영역)→재사용(G영역) 연계와 6축(G08)으로 확산을 확정합니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_g,lateral,">
  <!-- 여러 인증 기반 이동 신호가 한 거점에서 결합 -->
  <rule id="106170" level="13" frequency="3" timeframe="600">
    <if_matched_sid>106080,106110,106160</if_matched_sid>
    <same_field>srcip</same_field>
    <description>동일 거점 다중 인증 기반 측면 이동(2단계 종합 경보)</description>
    <mitre><id>T1021</id><id>T1078</id></mitre>
  </rule>
</group>

개별 룰(G09~17) 상위에 거점 기준 종합 상관 룰을 두어 인증 기반 확산을 한 경보로 포착합니다.

10. 대응 방법

초기 확인 — 2단계 종합 지표(서비스 서버 발·계정 재사용·내부 실패·서비스 대화형)를 확인합니다.
범위 확인 — 여러 인증 방식이 한 거점·세션에 결합됐는지 확인합니다.
증거 확보 — 2단계 전체 인증 로그와 연계(E영역 탈취)를 보존합니다.
차단/조치 — 종합 판정이 정탐이면 거점 격리·자격 전수 교체·확산 추적을 진행합니다.
재발 방지 — 확보 방식·6축·연계를 묶은 종합 분석 체계를 운영합니다.

11. 핵심 정리

확보 방식	탐지
키 재사용	핑거프린트
비밀번호 재사용	동일 계정 다수
해시/티켓	keytab·Kerberos
계정 악용·추측	전환·서비스·실패급증
면접 포인트	"인증 이동은 확보 방식(탈취·악용·추측)으로 분류 — 탈취(E)→재사용(G) 연계"