332. 내부 확장·측면 이동 — 내부 자격증명 수집 확산 탐지

목록 보기

332/450

시스템 보안 · 취약점 › G. 내부 확장 · 측면 이동 징후 · 32/50편 (전체 332/450)
학습 단계: 내부 정찰·확산 경로
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

1. 개념

측면 이동은 "이동 → 자격증명 수집 → 재사용 → 추가 이동"의 연쇄로 확산됩니다. 공격자는 접근한 각 호스트에서 SSH 키·토큰·캐시된 자격증명을 모아, 다음 호스트로 이동할 재료를 쌓습니다.

자격증명 수집 확산 연쇄
 호스트 A 장악 → A의 SSH 키·토큰 수집
   ↓ (재사용)
 호스트 B 이동 → B의 자격증명 수집
   ↓ (재사용)
 호스트 C 이동 → ...(눈덩이 확산)

핵심: 각 홉마다 자격증명 수집 → 확산 가속

C영역(자격증명 보호)·G12(재사용)와 연결됩니다. 여기서는 이동 호스트마다 반복되는 자격증명 파일 접근에 집중합니다. 홉마다 반복되는 키·토큰 수집이 신호입니다.

2. 왜 중요한가

측면 이동은 각 홉에서 자격증명을 모아 다음 이동 재료로 쓰는 눈덩이 확산입니다.
이동한 호스트마다 반복되는 키·토큰 수집이 확산 가속의 신호입니다.
수집한 자격증명의 즉각 재사용(G12)이 연쇄를 완성합니다.

3. 핵심 명령어 / 설정

수집 대상	경로	재사용
SSH 키	~/.ssh/id_*	다음 호스트 이동
토큰	환경변수·캐시	API·서비스 접근
캐시 자격	브라우저·설정	추가 서비스
히스토리	.bash_history	평문 자격·경로
반복성	홉마다 수집	확산 연쇄

4. 실습 (실습 예시)

# 자격증명 수집 확산 탐지 (분석 방법)
# 원격 세션에서 자격증명 파일 접근(홉마다 반복)
sudo ausearch -k cred_access,lateral -i --start recent 2>/dev/null | grep -E 'ppid_comm="sshd"' | grep -E '\.ssh/id_|credentials|\.aws/|token|\.bash_history' | tail
# 수집→재사용 연쇄(키 접근 직후 ssh)
sudo ausearch -k cred_access,lateral -i --start recent 2>/dev/null | grep -E 'id_rsa|id_ed25519' | tail

5. 정상 상태

$ (자격증명 접근) (소유자 정상 접근만)
$ (수집→재사용) (없음)

자격증명 파일 접근이 소유자 정상 사용에 그치고, 원격 세션에서 홉마다 반복되는 수집·재사용 연쇄가 없는 상태가 정상입니다.

6. 이상 상태

$ (자격증명 접근)
ppid_comm="sshd" read ~/.ssh/id_rsa (A에서 키 수집)
→ db01, app01에서도 반복(홉마다 수집)
$ (수집→재사용)
키 접근 직후 ssh db01 (수집→재사용 연쇄)

이동한 각 호스트에서 SSH 키·토큰 수집 → 다음 이동 재료
키 접근 직후 ssh 이동 → 수집→재사용 연쇄
홉마다 반복 수집·재사용 → 눈덩이 확산 → 정탐

7. 로그 분석 (분석 방법)

자격증명 수집 확산 분석입니다(가상의 예시).

[A] web01 장악
   ↓ 키 수집 → 재사용(G12)
[B] db01 이동 → db01의 토큰 수집
   ↓ 재사용
[C] app01 이동 → app01의 자격 수집
   ↓ 재사용
[D] ... (홉마다 수집으로 확산 가속)
 = 자격증명 수집 연쇄 = 눈덩이 확산

홉	행위
A	키 수집→재사용
B	토큰 수집→재사용
C	자격 수집→재사용
패턴	홉마다 반복

홉마다 반복되는 자격증명 수집이 확산 연쇄의 지표입니다.

8. SOC 관제 포인트

측면 이동은 "이동→수집→재사용→이동"의 눈덩이 확산 연쇄입니다.
이동 호스트마다 반복되는 SSH 키·토큰·캐시 자격증명 수집이 가속 신호입니다.
수집 직후 재사용(G12) 연쇄가 확산을 완성하므로 함께 상관합니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_g,lateral,">
  <rule id="106310" level="13" frequency="3" timeframe="600">
    <if_sid>106000</if_sid>
    <field name="audit.file" type="pcre2">\.ssh/id_|/\.aws/|credentials|token</field>
    <field name="audit.ppid_comm">sshd</field>
    <same_field>audit.srcip</same_field>
    <description>원격 세션에서 반복 자격증명 수집(측면 이동 확산 연쇄)</description>
    <mitre><id>T1552.001</id><id>T1555</id></mitre>
  </rule>
</group>

C영역 자격증명 접근 룰·G12 재사용 룰과 상관해 수집→재사용 연쇄를 포착합니다. 소유자 정상 접근은 예외 처리합니다.

10. 대응 방법

초기 확인 — 원격 세션의 자격증명 파일 접근과 홉별 반복성을 확인합니다.
범위 확인 — SSH 키·토큰·캐시 수집과 수집→재사용 연쇄를 확인합니다.
증거 확보 — 자격증명 접근 이벤트·홉별 타임라인을 보존합니다.
차단/조치 — 수집 확산 정탐이면 관련 자격증명 전면 교체·경로 차단·확산 범위 조사를 진행합니다.
재발 방지 — 자격증명 수집 확산 탐지를 운영합니다.

11. 핵심 정리

수집 대상	경로
SSH 키	~/.ssh/id_*
토큰	환경변수·캐시
캐시 자격	브라우저·설정
히스토리	.bash_history
면접 포인트	"측면 이동은 수집→재사용 눈덩이 — 홉마다 반복 자격증명 수집이 신호"