329. 내부 확장·측면 이동 — 내부 네트워크 스캔 탐지

목록 보기

329/450

시스템 보안 · 취약점 › G. 내부 확장 · 측면 이동 징후 · 29/50편 (전체 329/450)
학습 단계: 내부 정찰·확산 경로
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

1. 개념

측면 이동 전 공격자는 내부 네트워크 스캔으로 다음 대상(살아있는 호스트·열린 포트·서비스)을 찾습니다. 외부 정찰과 달리 내부에서(거점에서) 내부로 향하는 스캔이라 동-서 트래픽 이상으로 나타납니다.

내부 네트워크 스캔
 호스트 발견: 내부 IP 대역 핑/연결 스윕
 포트 스캔: 대상 호스트의 열린 포트 탐색
 서비스 식별: 포트의 서비스·버전 확인
 특징: 거점 → 다수 내부 IP·포트로 짧은 시간 연결

핵심: 하나의 출발지 → 다수 대상(스캔 패턴)

스캔의 특징은 "하나의 출발지에서 다수의 내부 IP·포트로 짧은 시간에 연결 시도"입니다. 연결의 부채꼴(fan-out) 패턴이 신호입니다.

2. 왜 중요한가

측면 이동 대상 선정은 내부 스캔으로 시작하므로, 스캔은 이동의 전조입니다.
내부 스캔은 동-서 트래픽에서 "하나→다수" 부채꼴 연결로 나타납니다.
짧은 시간 다수 IP·포트 연결 시도(실패 포함)가 핵심 신호입니다.

3. 핵심 명령어 / 설정

스캔 유형	패턴	위험
호스트 발견	대역 핑·연결 스윕	중간(전조)
포트 스캔	다수 포트 연결	높음
서비스 식별	배너·버전 확인	높음
부채꼴 연결	하나→다수	높음
정상 모니터링	승인 스캔	정상

4. 실습 (실습 예시)

# 내부 네트워크 스캔 탐지 (분석 방법)
# 짧은 시간 다수 내부 IP 연결(부채꼴)
sudo ausearch -k net_conn,lateral -i --start recent 2>/dev/null | grep -oE 'addr=10\.[0-9.]+' | sort | uniq -c | sort -rn | head
# 다수 포트로의 연결 시도(포트 스캔)
ss -tn state syn-sent 2>/dev/null | grep -E '10\.|192\.168\.' | wc -l
# 스캔 도구 실행 흔적
sudo ausearch -k proc_exec -i --start recent 2>/dev/null | grep -E 'comm="(nmap|masscan|nc|fping)"' | tail

5. 정상 상태

$ (내부 IP 연결) (소수 정상 대상만)
$ (포트 연결 시도) (낮음)

내부 연결이 소수의 정상 대상에 그치고, 짧은 시간 다수 IP·포트로의 연결 시도가 없는 상태가 정상입니다.

6. 이상 상태

$ (내부 IP 연결)
addr=10.0.0.1 ~ 10.0.0.254 (대역 전체 연결 시도)
$ (포트 연결 시도)
SYN-SENT 수백 건 (다수 포트 스캔)
$ (스캔 도구)
comm="nmap" (스캔 도구 실행)

한 거점에서 내부 대역(10.0.0.0/24) 전체로 연결 시도 → 호스트 발견 스캔
다수 포트로 SYN 급증 → 포트 스캔
부채꼴 연결 + 스캔 도구 → 내부 정찰 → 정탐

7. 로그 분석 (분석 방법)

내부 네트워크 스캔 분석입니다(가상의 예시).

[거점] web01
   ↓ (호스트 발견)
10.0.0.1~254 전체 연결 스윕 → 살아있는 호스트 식별
   ↓ (포트 스캔)
발견 호스트들의 22·3306·445 포트 탐색
   ↓ (대상 선정)
db01:3306(DB), file01:445(공유) → 다음 이동 대상
 = 스캔으로 측면 이동 대상 선정

관찰	해석
대역 스윕	호스트 발견
다수 포트	포트 스캔
부채꼴	하나→다수
스캔 도구	정찰

하나의 출발지에서 다수 대상으로의 부채꼴 연결이 스캔의 지표입니다.

8. SOC 관제 포인트

내부 네트워크 스캔은 측면 이동 대상 선정을 위한 정찰로 이동의 전조입니다.
동-서 트래픽에서 "하나→다수" 부채꼴 연결 패턴으로 나타납니다.
짧은 시간 다수 IP·포트 연결 시도(실패 포함)·스캔 도구가 핵심 신호입니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_g,lateral,recon,">
  <rule id="106280" level="12" frequency="20" timeframe="60">
    <if_sid>106000</if_sid>
    <same_field>audit.srcip</same_field>
    <different_field>audit.dstip</different_field>
    <description>단시간 다수 내부 호스트 연결(내부 네트워크 스캔)</description>
    <mitre><id>T1046</id><id>T1595</id></mitre>
  </rule>
</group>

흐름 로그(NetFlow)·방화벽 로그와 결합해 부채꼴 연결을 포착합니다. 승인된 취약점 스캐너는 기준선 예외로 등록합니다.

10. 대응 방법

초기 확인 — 출발지 기준 내부 IP·포트 연결 분포(부채꼴)를 확인합니다.
범위 확인 — 대역 스윕·포트 스캔·서비스 식별·스캔 도구를 확인합니다.
증거 확보 — 연결 로그·흐름 로그·스캔 대상 목록을 보존합니다.
차단/조치 — 내부 스캔 정탐이면 출발지 격리·대상 호스트 경계·후속 이동 감시를 진행합니다.
재발 방지 — 내부 네트워크 스캔 탐지를 운영합니다.

11. 핵심 정리

스캔 유형	패턴
호스트 발견	대역 핑·스윕
포트 스캔	다수 포트 연결
서비스 식별	배너·버전
부채꼴 연결	하나→다수
면접 포인트	"내부 스캔은 이동 전조 — 하나의 출발지에서 다수 대상 부채꼴 연결이 신호"