321. 내부 확장·측면 이동 — WinRM·RPC·SMB 유사 프로토콜 이동 탐지

changseop lee·2026년 10월 8일

RPC Soc smb winrm 내부 확장·측면 이동 리눅스 보안관제 시스템 보안 · 취약점 시스템보안

시스템 보안 · 취약점

목록 보기

321/450

시스템 보안 · 취약점 › G. 내부 확장 · 측면 이동 징후 · 21/50편 (전체 321/450)
학습 단계: 원격 실행·서비스 악용
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

1. 개념

많은 조직은 혼합 환경(Windows+Linux)을 운영하므로, 공격자는 WinRM·RPC·SMB 같은 원격 관리 프로토콜로도 측면 이동합니다. Linux의 Samba(SMB)·RPC 서비스도 이 경로에 포함되며, 파일 공유·원격 실행을 악용합니다.

원격 관리 프로토콜 측면 이동
 SMB(445): 파일 공유·원격 실행(PsExec류) — Samba 포함
 WinRM(5985/5986): Windows 원격 관리
 RPC(135): 원격 프로시저 호출
 특징: Linux Samba/RPC 서비스도 대상
   혼합 환경에서 Windows↔Linux 교차 이동

포트(445·5985·135) + 비정상 출발지 연결로 탐지

Linux 관점에서는 Samba(SMB/445)·rpcbind(111/135) 서비스로의 비정상 내부 연결, 혼합 환경에서 Windows 호스트로의 WinRM 연결을 봅니다.

2. 왜 중요한가

혼합 환경에서 공격자는 SMB·WinRM·RPC로 Windows↔Linux 교차 측면 이동합니다.
Linux Samba(SMB)·RPC 서비스도 원격 실행·파일 접근 악용 대상입니다.
관리 포트(445·5985·135)로의 비정상 내부 연결이 핵심 신호입니다.

3. 핵심 명령어 / 설정

프로토콜	포트	악용
SMB	445	파일 공유·PsExec류 실행
WinRM	5985/5986	Windows 원격 관리
RPC	135/111	원격 프로시저
Samba(Linux)	445	공유·확산
정상 공유	승인	정상

4. 실습 (실습 예시)

# WinRM·RPC·SMB 이동 탐지 (분석 방법)
# 내부 SMB/WinRM/RPC 연결(비정상 출발지)
ss -tnp 2>/dev/null | grep -E ':(445|5985|5986|135)\b' | grep -E '10\.|192\.168\.' | grep -vE '127.0.0.1'
# Samba 접근 로그(Linux)
sudo grep -iE 'smbd|connect to service' /var/log/samba/*.log 2>/dev/null | tail
sudo ausearch -k lateral -i --start recent 2>/dev/null | grep -E 'dport=(445|5985|135)'

5. 정상 상태

$ (SMB/WinRM/RPC 연결) (없음 또는 정상 파일 서버 접근)

SMB/RPC 연결이 정상 파일 서버 접근에 그치고, 비정상 출발지·관리 포트 교차 연결이 없는 상태가 정상입니다.

6. 이상 상태

$ (SMB/WinRM/RPC 연결)
web01 → fileserver:445 (평소 없던 SMB)
web01 → winhost:5985 (Linux 거점 → Windows WinRM)

web01(Linux 거점)에서 SMB(445)로 파일 서버 접근 → 공유 악용 확산
web01 → Windows 호스트 WinRM(5985) → 혼합 환경 교차 이동
비정상 출발지·관리 포트·교차 이동 → 측면 이동 → 정탐

7. 로그 분석 (분석 방법)

원격 관리 프로토콜 이동 분석입니다(가상의 예시).

[거점] web01 (Linux)
   ↓ SMB(445)
[파일 서버] 공유 접근 → 도구 전송·실행(PsExec류)
   ↓ WinRM(5985)
[Windows 호스트] 원격 관리로 교차 이동
 = 혼합 환경에서 프로토콜 교차 측면 이동
[탐지] 관리 포트 + 비정상 출발지 + 교차(Linux↔Windows)

프로토콜	경로
SMB 445	파일 공유·실행
WinRM 5985	Windows 관리
RPC 135	원격 호출
교차 이동	Linux↔Windows

관리 포트로의 비정상 내부 연결 + 플랫폼 교차가 측면 이동 지표입니다.

8. SOC 관제 포인트

WinRM·RPC·SMB는 혼합 환경 교차 측면 이동의 주요 프로토콜입니다.
Linux Samba·RPC 서비스도 파일 공유·원격 실행 악용 대상입니다.
관리 포트(445·5985·135)로의 비정상 내부 연결·플랫폼 교차가 핵심 신호입니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_g,lateral,">
  <rule id="106200" level="12">
    <if_sid>106000</if_sid>
    <field name="audit.dport" type="pcre2">^(445|5985|5986|135)$</field>
    <field name="audit.addr" type="pcre2">^(10\.|192\.168\.|172\.(1[6-9]|2[0-9]|3[01])\.)</field>
    <description>내부 원격 관리 프로토콜(SMB/WinRM/RPC) 연결(측면 이동)</description>
    <mitre><id>T1021.002</id><id>T1021.006</id></mitre>
  </rule>
</group>

정상 파일 서버·관리 경로는 기준선 예외로 둡니다. 혼합 환경은 Windows 이벤트 로그와 상관해 교차 이동을 포착합니다.

10. 대응 방법

초기 확인 — 내부 SMB/WinRM/RPC 연결의 출발지·목적지·포트·플랫폼을 확인합니다.
범위 확인 — 비정상 출발지·관리 포트·Linux↔Windows 교차 이동을 확인합니다.
증거 확보 — 프로토콜 연결 로그·Samba/Windows 이벤트를 보존합니다.
차단/조치 — 측면 이동 정탐이면 경로 차단·공유 점검·교차 호스트 조사를 진행합니다.
재발 방지 — 원격 관리 프로토콜 기반 측면 이동 탐지를 운영합니다.

11. 핵심 정리

프로토콜	악용
SMB 445	파일 공유·원격 실행
WinRM 5985	Windows 관리
RPC 135	원격 프로시저
교차 이동	Linux↔Windows
면접 포인트	"혼합 환경은 SMB·WinRM·RPC 교차 이동 — 관리 포트 비정상 연결이 신호"