331. 내부 확장·측면 이동 — 도메인·디렉터리 서비스 정찰 탐지

시스템 보안 · 취약점 › G. 내부 확장 · 측면 이동 징후 · 31/50편 (전체 331/450)
학습 단계: 내부 정찰·확산 경로
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

• 330. 내부 확장·측면 이동 — 내부 호스트·서비스 열거 탐지
• 315. 서비스 계정 오남용 이동 탐지

1. 개념

조직은 중앙 디렉터리 서비스(LDAP·Active Directory·FreeIPA·SSSD)로 계정·그룹·권한을 통합 관리합니다. 공격자는 이 디렉터리를 조회해 전체 계정·관리자 그룹·신뢰 관계·호스트 목록을 한 번에 파악하고, 고가치 측면 이동 대상을 선정합니다.

도메인·디렉터리 서비스 정찰
 계정·그룹 조회: 전체 사용자·관리자 그룹 열거
 권한 조회: sudo 규칙·역할·ACL
 호스트 조회: 등록 호스트·서비스 목록
 신뢰 관계: 도메인 신뢰·위임

핵심: 중앙 디렉터리 한 번 조회 → 전체 지도

디렉터리 정찰은 "한 번의 조회로 전체 환경 지도"를 얻는 효율적 정찰입니다. LDAP 쿼리 급증·대량 조회가 신호입니다.

2. 왜 중요한가

• 중앙 디렉터리는 전체 계정·그룹·호스트 정보를 담아 정찰 효율이 매우 높습니다.
• 관리자 그룹·sudo 규칙 조회는 고가치 측면 이동 대상을 식별합니다.
• 비정상 주체의 LDAP 대량 조회·열거가 핵심 신호입니다.

3. 핵심 명령어 / 설정

정찰 대상	조회	목적
전체 계정	ldapsearch·getent	계정 지도
관리자 그룹	admin·sudo 그룹	고가치 대상
호스트 목록	등록 호스트	이동 범위
신뢰 관계	도메인 신뢰	확산 경로
정상 조회	앱 인증	정상

4. 실습 (실습 예시)

# 도메인·디렉터리 서비스 정찰 탐지 (분석 방법)
# LDAP 조회 도구·대량 질의
sudo ausearch -k proc_exec,discovery,lateral -i --start recent 2>/dev/null | grep -E 'comm="(ldapsearch|getent|realm|sssctl)"' | tail
# SSSD/LDAP 로그의 대량 조회
sudo grep -iE 'ldap_search|objectclass=|member=' /var/log/sssd/*.log 2>/dev/null | wc -l

5. 정상 상태

$ (LDAP 조회 도구) (없음 또는 앱 서비스 정상 조회)
$ (대량 조회) (평소 수준)

LDAP 조회가 정상 애플리케이션 인증에 그치고, 비정상 주체의 대량 계정·그룹 열거가 없는 상태가 정상입니다.

6. 이상 상태

$ (LDAP 조회 도구)
comm="ldapsearch" args="... (objectClass=user)" (전체 계정 열거)
comm="getent" args="group" (전체 그룹 조회)
$ (대량 조회)
ldap_search 수천 건 급증 (대량 열거)

• ldapsearch로 전체 계정·관리자 그룹 열거 → 측면 이동 대상 지도
• 평소 없던 주체의 LDAP 대량 조회 급증 → 디렉터리 정찰
• 대량 디렉터리 열거 → 고가치 대상 선정 → 정탐

7. 로그 분석 (분석 방법)

도메인·디렉터리 정찰 분석입니다(가상의 예시).

[거점] app01 (디렉터리 연동)
   ↓ (디렉터리 조회)
ldapsearch → 전체 계정·관리자 그룹 열거
   ↓ (고가치 식별)
admins 그룹·sudo 규칙 → 관리자 계정 선정
   ↓ (호스트 조회)
등록 호스트 목록 → 이동 범위 확정
 = 한 번 조회로 전체 환경 지도 + 대상 선정

관찰	해석
전체 계정 조회	계정 지도
관리자 그룹	고가치 대상
호스트 목록	이동 범위
조회 급증	정찰

비정상 주체의 디렉터리 대량 조회가 정찰의 지표입니다.

8. SOC 관제 포인트

• 중앙 디렉터리(LDAP·AD·FreeIPA)는 한 번 조회로 전체 환경 지도를 주는 고효율 정찰 대상입니다.
• 관리자 그룹·sudo 규칙·호스트 목록 조회가 고가치 측면 이동 대상을 식별합니다.
• 비정상 주체의 LDAP 대량 조회·열거가 핵심 신호입니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_g,lateral,recon,">
  <rule id="106300" level="11">
    <if_sid>106000</if_sid>
    <field name="audit.comm" type="pcre2">^(ldapsearch|getent|realm|adcli|sssctl)$</field>
    <description>디렉터리 서비스 대량 계정·그룹 열거(측면 이동 정찰)</description>
    <mitre><id>T1087.002</id><id>T1069.002</id></mitre>
  </rule>
</group>

디렉터리 서버(LDAP/AD) 로그와 상관해 대량 조회를 포착합니다. 정상 애플리케이션 서비스 계정 조회는 기준선 예외로 둡니다.

10. 대응 방법

1. 초기 확인 — LDAP 조회 도구·대량 질의와 조회 주체를 확인합니다.
2. 범위 확인 — 전체 계정·관리자 그룹·호스트·신뢰 관계 열거를 확인합니다.
3. 증거 확보 — 조회 명령·디렉터리 서버 로그·조회량을 보존합니다.
4. 차단/조치 — 디렉터리 정찰 정탐이면 주체 조사·고가치 계정 보호·후속 이동 경계를 진행합니다.
5. 재발 방지 — 도메인·디렉터리 서비스 정찰 탐지를 운영합니다.

11. 핵심 정리

정찰 대상	조회
전체 계정	ldapsearch·getent
관리자 그룹	admin·sudo 그룹
호스트 목록	등록 호스트
신뢰 관계	도메인 신뢰
면접 포인트	"디렉터리는 한 번 조회로 전체 지도 — 비정상 LDAP 대량 조회가 정찰 신호"

12. 다음 편 예고

다음 편 332. 내부 확장·측면 이동 — 내부 자격증명 수집 확산 탐지 에서는 내부 자격증명 수집 확산을 다루는 내부 자격증명 수집 확산 탐지를 다룹니다.

---

이전 편: 330. 내부 확장·측면 이동 — 내부 호스트·서비스 열거 탐지
📚 시리즈 전체 보기: 시스템 보안 · 취약점