330. 내부 확장·측면 이동 — 내부 호스트·서비스 열거 탐지

시스템 보안 · 취약점 › G. 내부 확장 · 측면 이동 징후 · 30/50편 (전체 330/450)
학습 단계: 내부 정찰·확산 경로
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

• 329. 내부 확장·측면 이동 — 내부 네트워크 스캔 탐지
• 266. 시스템 정보 수집(discovery) 탐지(F영역)

1. 개념

네트워크 스캔(G29)으로 대상을 찾은 뒤, 공격자는 각 호스트의 계정·공유·설정·실행 서비스·네트워크 관계를 상세 열거(enumeration)합니다. 이동할 호스트의 "지도"를 그리는 단계입니다.

내부 호스트·서비스 열거
 계정 열거: 로컬 계정·sudo 권한·로그인 사용자
 공유 열거: 마운트·NFS·Samba 공유
 서비스 열거: 실행 서비스·버전·설정
 관계 열거: 연결 호스트·신뢰 관계·known_hosts

핵심: 대상 호스트 상세 조사 → 이동 경로 설계

F16(discovery)이 단일 호스트 자기 조사라면, 여기서는 측면 이동 대상 호스트들에 대한 반복적 열거에 집중합니다. 다수 호스트에서의 정찰 명령 반복이 신호입니다.

2. 왜 중요한가

• 열거는 스캔 이후 이동 경로를 설계하는 상세 정찰 단계입니다.
• 계정·공유·신뢰 관계 열거는 다음 측면 이동의 발판을 식별합니다.
• 다수 대상 호스트에서 반복되는 정찰 명령이 핵심 신호입니다.

3. 핵심 명령어 / 설정

열거 대상	명령 예	목적
계정	id·w·/etc/passwd	이동 계정 식별
공유	mount·showmount	공유 확산 경로
서비스	ss·systemctl	악용 서비스
관계	known_hosts·arp	이동 대상
반복성	다수 호스트	정찰 패턴

4. 실습 (실습 예시)

# 내부 호스트·서비스 열거 탐지 (분석 방법)
# 정찰 명령의 반복 실행(다수 호스트·원격 세션)
sudo ausearch -k proc_exec,lateral,discovery -i --start recent 2>/dev/null | grep -E 'comm="(id|w|who|arp|showmount|ss|netstat)"' | tail
# 신뢰 관계·이동 경로 파일 접근
sudo ausearch -k cred_access,discovery -i --start recent 2>/dev/null | grep -E 'known_hosts|/etc/hosts|authorized_keys' | tail

5. 정상 상태

$ (정찰 명령) (관리자 산발적 — 정상)
$ (관계 파일 접근) (없음 또는 소유자 정상 접근)

정찰 명령이 관리자의 산발적 사용에 그치고, 신뢰 관계 파일 접근이 비정상 주체에서 없는 상태가 정상입니다.

6. 이상 상태

$ (정찰 명령)
ppid_comm="sshd" comm="arp" / comm="showmount" / comm="ss"
→ 여러 호스트에서 반복(원격 세션 발)
$ (관계 파일 접근)
read ~/.ssh/known_hosts (다음 이동 대상 식별)

• 원격 세션에서 arp·showmount·ss 반복 → 호스트·공유·서비스 열거
• known_hosts 읽기 → 신뢰 관계로 다음 이동 대상 식별
• 다수 호스트 반복 열거 → 이동 경로 설계 → 정탐

7. 로그 분석 (분석 방법)

내부 호스트·서비스 열거 분석입니다(가상의 예시).

[스캔 결과] db01, file01, app01 발견(G29)
   ↓ (각 호스트 열거)
db01: id·ss·mount → 계정·서비스·공유 조사
   ↓ (관계 열거)
known_hosts·arp → 연결 호스트 식별
   ↓ (경로 설계)
file01(공유) → app01(신뢰) 이동 경로 도출
 = 열거로 측면 이동 경로 지도 작성

관찰	해석
계정·서비스 열거	대상 조사
공유 열거	확산 경로
관계 열거	이동 대상
반복성	정찰 패턴

다수 호스트에서 반복되는 정찰 명령이 열거의 지표입니다.

8. SOC 관제 포인트

• 내부 열거는 스캔 이후 대상 호스트 상세 조사로 이동 경로를 설계하는 단계입니다.
• 계정·공유·서비스·신뢰 관계 열거가 다음 측면 이동 발판을 식별합니다.
• 다수 대상 호스트에서 반복되는 정찰 명령·관계 파일 접근이 핵심 신호입니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_g,lateral,recon,">
  <rule id="106290" level="10" frequency="8" timeframe="120">
    <if_sid>106000</if_sid>
    <field name="audit.comm" type="pcre2">^(id|w|who|arp|showmount|ss|netstat|systemctl)$</field>
    <field name="audit.ppid_comm">sshd</field>
    <description>원격 세션에서 반복 호스트·서비스 열거(측면 이동 정찰)</description>
    <mitre><id>T1087</id><id>T1046</id></mitre>
  </rule>
</group>

F16(discovery) 룰과 결합하되, 원격 세션 발·다수 호스트 반복 조건으로 측면 이동 정찰을 구분합니다. 관리 자동화는 예외 처리합니다.

10. 대응 방법

1. 초기 확인 — 원격 세션 발 정찰 명령·관계 파일 접근을 확인합니다.
2. 범위 확인 — 계정·공유·서비스·신뢰 관계 열거와 다수 호스트 반복을 확인합니다.
3. 증거 확보 — 정찰 명령 로그와 대상 호스트 분포를 보존합니다.
4. 차단/조치 — 열거 정탐이면 출발지 조사·대상 호스트 감시·후속 이동 경계를 진행합니다.
5. 재발 방지 — 내부 호스트·서비스 열거 탐지를 운영합니다.

11. 핵심 정리

열거 대상	명령 예
계정	id·w·passwd
공유	mount·showmount
서비스	ss·systemctl
관계	known_hosts·arp
면접 포인트	"열거는 이동 경로 설계 — 원격 세션 발 반복 정찰 명령이 신호"

12. 다음 편 예고

다음 편 331. 내부 확장·측면 이동 — 도메인·디렉터리 서비스 정찰 탐지 에서는 도메인·디렉터리 서비스 정찰을 다루는 도메인·디렉터리 서비스 정찰 탐지를 다룹니다.

---

이전 편: 329. 내부 확장·측면 이동 — 내부 네트워크 스캔 탐지
📚 시리즈 전체 보기: 시스템 보안 · 취약점