328. 내부 확장·측면 이동 — 원격 실행·서비스 악용 종합 분석

시스템 보안 · 취약점 › G. 내부 확장 · 측면 이동 징후 · 28/50편 (전체 328/450)
학습 단계: 원격 실행·서비스 악용
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

• 327. 내부 확장·측면 이동 — 포트 포워딩·SSH 터널링 탐지
• 319. 원격 명령 실행(remote exec) 탐지

1. 개념

G19~G27에서 다룬 원격 실행·서비스 악용 경로를 종합합니다. 원격 명령 실행·스케줄러·SMB/RPC·공유·컨테이너·DB·웹 피벗·도구 전송·터널링은 모두 "거점에서 다른 호스트/서비스로 명령·접근을 확장"하는 공통 목적을 가집니다.

원격 실행·서비스 악용 종합(G19~G27)
 G19 원격 명령 실행  G20 스케줄러 원격 실행
 G21 SMB/RPC/WinRM   G22 NFS·공유
 G23 컨테이너        G24 DB
 G25 웹 피벗         G26 도구 전송
 G27 터널링
   ↓ 공통
 거점 → 다른 호스트/서비스로 명령·접근 확장

경로는 달라도 공통 신호(원격 세션 발 실행, 비정상 내부 연결, 서비스 기능 악용)로 묶어 탐지 체계를 구성합니다.

2. 왜 중요한가

• 원격 실행 경로는 다양하지만 "거점 → 타 호스트 확장"이라는 공통 목적을 가집니다.
• 개별 탐지를 공통 신호로 묶으면 새로운 변형 경로도 포착하기 쉽습니다.
• 여러 경로가 한 사건에서 연쇄되므로 상관분석이 탐지력을 높입니다.

3. 핵심 명령어 / 설정

경로	공통 신호	룰
원격 명령/스케줄러	원격 세션 발 실행	106170·106190
SMB/RPC/공유	비정상 내부 연결·공유 변조	106200·106210
컨테이너/DB	서비스 기능 악용	106220·106230
웹 피벗/터널	내부 요청 중계	106240·106260
도구 전송	임시 경로 복사·실행	106250

4. 실습 (실습 예시)

# 원격 실행·서비스 악용 종합 점검 (분석 방법)
# 원격 세션 발 실행·내부 연결·서비스 악용 통합 조회
sudo ausearch -k lateral,proc_exec,net_conn -i --start recent 2>/dev/null | grep -E 'ppid_comm="sshd"|dport=(445|135|3306)|docker\.sock|169\.254\.169\.254' | tail -40
# 거점별 확장 행위 집계(출발 호스트 기준)
echo "거점 → 대상 확장 경로를 호스트별로 집계"

5. 정상 상태

$ (종합 조회) (산발적 정상 관리 — 상관 없음)

원격 실행·내부 연결·서비스 악용 신호가 산발적 정상 관리에 그치고, 한 거점에서 여러 경로가 연쇄되지 않는 상태가 정상입니다.

6. 이상 상태

$ (종합 조회)
web01: sshd→명령 실행(G19) + scp 도구 전송(G26)
     + ssh -D 터널(G27) + db01:3306 연결(G24)
→ 한 거점에서 다수 원격 실행 경로 연쇄

• 한 거점(web01)에서 원격 실행·도구 전송·터널·DB 접근이 연쇄 → 측면 이동 캠페인
• 여러 경로의 상관이 단일 경로보다 강한 신호
• 거점 중심 다중 경로 연쇄 → 측면 이동 → 정탐

7. 로그 분석 (분석 방법)

원격 실행·서비스 악용 종합 분석입니다(가상의 예시).

[거점] web01
 ├ G19 원격 명령 실행 → db01
 ├ G26 도구 전송(scp) → db01:/tmp
 ├ G27 터널(ssh -D) → 내부 세그먼트
 └ G24 DB 접근 → db01:3306
   ↓ 상관
한 거점에서 다중 원격 실행 경로 연쇄
 = 측면 이동 캠페인(단일 경로보다 강한 신호)

관점	종합
개별 경로	G19~G27
공통 신호	원격 실행·내부 연결·서비스 악용
상관	거점 중심 연쇄
탐지력	상관 > 단일

거점 중심 다중 경로 상관이 원격 실행 종합 탐지의 핵심입니다.

8. SOC 관제 포인트

• G19~G27의 원격 실행·서비스 악용은 "거점 → 타 호스트 확장"의 공통 목적을 가집니다.
• 공통 신호(원격 세션 발 실행·비정상 내부 연결·서비스 악용)로 탐지 체계를 묶습니다.
• 거점 중심 다중 경로 상관이 단일 경로보다 강한 측면 이동 신호입니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_g,lateral,">
  <rule id="106270" level="14" frequency="3" timeframe="600">
    <if_matched_sid>106000</if_matched_sid>
    <same_field>audit.srcip</same_field>
    <description>단일 거점에서 다중 원격 실행 경로 연쇄(측면 이동 캠페인)</description>
    <mitre><id>T1021</id><id>T1210</id></mitre>
  </rule>
</group>

개별 룰(106170~106260)을 거점(출발 호스트)별로 상관해 캠페인을 포착합니다. 정상 관리 호스트는 기준선으로 예외 처리합니다.

10. 대응 방법

1. 초기 확인 — 원격 실행·내부 연결·서비스 악용 신호를 거점별로 집계합니다.
2. 범위 확인 — 한 거점의 다중 경로 연쇄·상관 여부를 확인합니다.
3. 증거 확보 — 경로별 이벤트와 거점 중심 타임라인을 보존합니다.
4. 차단/조치 — 측면 이동 캠페인 정탐이면 거점 격리·경로 전면 차단·확산 조사를 진행합니다.
5. 재발 방지 — 원격 실행·서비스 악용 종합 탐지를 운영합니다.

11. 핵심 정리

관점	종합
개별 경로	G19~G27
공통 신호	원격 실행·내부 연결·서비스 악용
상관	거점 중심 연쇄
탐지력	상관 > 단일 경로
면접 포인트	"원격 실행 경로는 공통 목적 — 거점 중심 상관이 캠페인을 드러냄"

12. 다음 편 예고

다음 편 329. 내부 확장·측면 이동 — 내부 네트워크 스캔 탐지 에서는 내부 네트워크 스캔을 다루는 내부 네트워크 스캔 탐지를 다룹니다.

---

이전 편: 327. 내부 확장·측면 이동 — 포트 포워딩·SSH 터널링 탐지
📚 시리즈 전체 보기: 시스템 보안 · 취약점