326. 내부 확장·측면 이동 — 원격 복사(scp·rsync) 기반 도구 전송 탐지

시스템 보안 · 취약점 › G. 내부 확장 · 측면 이동 징후 · 26/50편 (전체 326/450)
학습 단계: 원격 실행·서비스 악용
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

• 325. 내부 확장·측면 이동 — 웹 애플리케이션 피벗 탐지
• 273. 내부망 도구 다운로드·전송 탐지(F영역)

1. 개념

측면 이동 시 공격자는 대상 호스트에 공격 도구(스캐너·C2·권한 상승 익스플로잇)를 복사해야 합니다. scp·rsync·sftp 같은 원격 복사 도구가 이 전송(ingress tool transfer)에 쓰입니다.

원격 복사 기반 도구 전송
 scp/sftp: SSH 기반 파일 복사 → 대상에 도구 전송
 rsync: 디렉터리 동기화 → 대량 도구 배포
 전송 후 실행: 복사한 도구를 각 호스트에서 실행
 특징: 측면 이동(SSH)과 결합 — 이동+도구 전송

핵심: 각 호스트에 도구 배포 → 확산 발판

측면 이동(G09 SSH)이 "접근"이라면, 도구 전송은 "무장"입니다. 원격 세션을 통한 비정상 파일 복사와 직후 실행이 신호입니다.

2. 왜 중요한가

• 측면 이동 대상에 도구를 전송해야 추가 공격(스캔·권한 상승·C2)이 가능합니다.
• scp·rsync는 SSH 기반이라 측면 이동과 자연스럽게 결합됩니다.
• 전송 직후 복사 파일을 실행하면 확산 발판이 완성됩니다.

3. 핵심 명령어 / 설정

전송 도구	방식	위험
scp/sftp	SSH 파일 복사	높음
rsync	디렉터리 동기화	높음(대량)
전송 후 실행	도구 가동	높음
임시 경로	/tmp·/dev/shm	높음(은닉)
정상 배포	승인 전송	정상

4. 실습 (실습 예시)

# 원격 복사 기반 도구 전송 탐지 (분석 방법)
# 원격 세션에서 scp/rsync/sftp 수신·송신
sudo ausearch -k lateral,proc_exec -i --start recent 2>/dev/null | grep -E 'comm="(scp|rsync|sftp-server)"' | tail
# 임시 경로에 복사된 신규 실행 파일 → 직후 실행
sudo ausearch -k proc_exec -i --start recent 2>/dev/null | grep -E 'exe="(/tmp/|/dev/shm/)' | tail

5. 정상 상태

$ (scp/rsync) (없음 또는 정상 배포·백업)
$ (임시 경로 실행) (없음)

scp/rsync가 정상 배포·백업 용도에 그치고, 임시 경로에 복사된 파일의 비정상 실행이 없는 상태가 정상입니다.

6. 이상 상태

$ (scp/rsync)
comm="sftp-server" → /tmp/.scan 수신 (도구 전송)
rsync web01:/tmp/tools/ db01:/dev/shm/ (호스트 간 도구 배포)
$ (임시 경로 실행)
exe="/tmp/.scan" (전송 직후 실행)

• 원격 세션으로 /tmp에 도구(.scan) 전송 → 측면 이동 대상 무장
• 호스트 간 rsync로 도구 배포 → 확산 발판
• 도구 전송 + 직후 실행 → 측면 이동 무장 → 정탐

7. 로그 분석 (분석 방법)

원격 복사 기반 도구 전송 분석입니다(가상의 예시).

[거점] web01 (도구 보유)
   ↓ SSH 측면 이동(G09)
[대상] db01
   ↓ scp/rsync (도구 전송)
db01:/tmp/.scan, /dev/shm/c2 (도구 배포)
   ↓ 실행
db01에서 스캐너·C2 가동 → 추가 확산
 = 이동 + 도구 전송 + 실행 = 무장 완료

관찰	해석
scp/rsync	도구 전송
임시 경로	은닉 배치
직후 실행	무장
호스트 간	확산 배포

원격 세션 발 파일 복사 + 임시 경로 실행이 도구 전송의 지표입니다.

8. SOC 관제 포인트

• 측면 이동에는 대상 호스트 도구 전송(ingress tool transfer)이 수반됩니다.
• scp·rsync·sftp가 SSH 기반으로 측면 이동과 결합해 도구를 배포합니다.
• 원격 세션 발 파일 복사 + 임시 경로 복사·직후 실행이 핵심 신호입니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_g,lateral,">
  <rule id="106250" level="11">
    <if_sid>106000</if_sid>
    <field name="audit.comm" type="pcre2">^(scp|rsync|sftp-server)$</field>
    <field name="audit.exe" type="pcre2">(/tmp/|/dev/shm/|/var/tmp/)</field>
    <description>원격 복사로 임시 경로에 도구 전송(측면 이동 무장)</description>
    <mitre><id>T1570</id><id>T1105</id></mitre>
  </rule>
</group>

F23(도구 다운로드)과 결합해 전송 경로(외부 다운로드/내부 복사)를 종합합니다. 전송 직후 실행과 상관하면 신뢰도가 높습니다.

10. 대응 방법

1. 초기 확인 — 원격 복사(scp/rsync/sftp)의 출발지·대상·경로·파일을 확인합니다.
2. 범위 확인 — 임시 경로 복사·직후 실행·호스트 간 배포를 확인합니다.
3. 증거 확보 — 파일 전송 이벤트·복사 파일·실행 계보를 보존합니다.
4. 차단/조치 — 도구 전송 정탐이면 도구 제거·경로 차단·대상 호스트 조사를 진행합니다.
5. 재발 방지 — 원격 복사 기반 도구 전송 탐지를 운영합니다.

11. 핵심 정리

전송 도구	방식
scp/sftp	SSH 파일 복사
rsync	디렉터리 동기화
전송 후 실행	도구 가동
임시 경로	/tmp·/dev/shm 은닉
면접 포인트	"측면 이동엔 도구 전송이 따름 — 원격 복사+임시 경로 실행이 무장 신호"

12. 다음 편 예고

다음 편 327. 내부 확장·측면 이동 — 포트 포워딩·SSH 터널링 탐지 에서는 포트 포워딩·SSH 터널링을 다루는 포트 포워딩·SSH 터널링 탐지를 다룹니다.

---

이전 편: 325. 내부 확장·측면 이동 — 웹 애플리케이션 피벗 탐지
📚 시리즈 전체 보기: 시스템 보안 · 취약점