333. 내부 확장·측면 이동 — 측면 이동 경로 매핑과 확산 추적

목록 보기

333/450

시스템 보안 · 취약점 › G. 내부 확장 · 측면 이동 징후 · 33/50편 (전체 333/450)
학습 단계: 내부 정찰·확산 경로
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

1. 개념

개별 이동 이벤트를 경로(path)로 연결하면 "침투 지점에서 어디로, 어떻게 퍼졌는가"를 알 수 있습니다. 측면 이동 경로 매핑은 출발지→목적지 연결을 그래프로 그려 확산 범위·방향·핵심 경유지를 파악하는 분석입니다.

측면 이동 경로 매핑
 이동 이벤트 = 간선(출발 호스트 → 목적 호스트)
 호스트 = 노드
 연결하면 → 확산 그래프
   침투 지점(루트) → 경유지 → 최종 대상
 핵심 경유지(허브) 식별 → 차단 우선순위

핵심: 점(이벤트)을 선(경로)으로 연결

G06(4대 분석 축)의 출발지-목적지 축을 그래프로 확장한 것입니다. 각 이동을 간선으로 연결해 확산 경로를 재구성합니다.

2. 왜 중요한가

개별 이동은 점이지만, 연결하면 확산 경로·범위가 드러납니다.
핵심 경유지(허브) 식별은 차단·격리 우선순위를 정합니다.
경로 매핑은 침투 지점(최초 거점)과 최종 대상을 연결해 전체 캠페인을 보여줍니다.

3. 핵심 명령어 / 설정

요소	의미	활용
노드	호스트	확산 범위
간선	이동 이벤트	경로 방향
루트	침투 지점	최초 거점
허브	핵심 경유지	차단 우선
리프	최종 대상	목표

4. 실습 (실습 예시)

# 측면 이동 경로 매핑 (분석 방법)
# 이동 이벤트에서 출발→목적 쌍 추출
sudo ausearch -k lateral -i --start recent 2>/dev/null | grep -oE 'srcip=10\.[0-9.]+ .*addr=10\.[0-9.]+' | sort | uniq -c | sort -rn
# 호스트별 아웃/인 이동 집계(허브 식별)
echo "각 호스트의 나가는/들어오는 이동 수 → 허브(경유지) 식별"

5. 정상 상태

$ (출발→목적 쌍) (정상 관리 경로만 — 소수 고정 쌍)

이동 쌍이 정상 관리 경로(고정된 소수 쌍)에 그치고, 침투 지점에서 뻗어나가는 확산 그래프가 없는 상태가 정상입니다.

6. 이상 상태

$ (출발→목적 쌍)
web01 → db01, web01 → file01 (루트에서 확산)
db01 → app01, db01 → app02 (db01이 허브)
app01 → dbmaster (최종 대상 접근)
→ 트리형 확산 그래프 형성

web01(침투 지점)에서 여러 호스트로 확산 시작
db01이 다수로 재확산 → 핵심 경유지(허브)
경로 연결 → 침투→확산→목표 전체 그래프 → 정탐

7. 로그 분석 (분석 방법)

측면 이동 경로 매핑 분석입니다(가상의 예시).

[루트] web01 (침투 지점)
   ├→ db01 ──┬→ app01 → dbmaster (목표)
   │         └→ app02
   └→ file01

허브: db01(재확산 다수) → 차단 1순위
경로: web01 → db01 → app01 → dbmaster
 = 침투 지점부터 목표까지 확산 경로 재구성

요소	식별
루트	web01(침투)
허브	db01(경유지)
리프	dbmaster(목표)
경로	4-홉 확산

출발→목적을 연결한 확산 그래프가 경로 매핑의 핵심입니다.

8. SOC 관제 포인트

측면 이동 경로 매핑은 개별 이동을 그래프로 연결해 확산 범위·방향·경유지를 파악합니다.
노드(호스트)·간선(이동)·루트(침투)·허브(경유지)·리프(목표)로 구조화합니다.
핵심 경유지(허브) 식별은 차단·격리 우선순위를 정합니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_g,lateral,">
  <rule id="106320" level="12" frequency="4" timeframe="900">
    <if_matched_sid>106000</if_matched_sid>
    <description>다중 호스트 측면 이동 경로 형성(확산 그래프)</description>
    <mitre><id>T1021</id></mitre>
  </rule>
</group>

SIEM에서 출발-목적 쌍을 그래프로 시각화(G43 공격 그래프 연계)합니다. 정상 관리 경로는 기준선 그래프로 등록해 비교합니다.

10. 대응 방법

초기 확인 — 이동 이벤트에서 출발→목적 쌍을 추출해 그래프를 구성합니다.
범위 확인 — 루트(침투)·허브(경유지)·리프(목표)·확산 범위를 확인합니다.
증거 확보 — 이동 쌍·그래프·경유지 집계를 보존합니다.
차단/조치 — 확산 경로 확인 시 허브 우선 차단·경로 차단·전 노드 조사를 진행합니다.
재발 방지 — 측면 이동 경로 매핑·확산 추적을 운영합니다.

11. 핵심 정리

요소	의미
노드	호스트
간선	이동 이벤트
루트	침투 지점
허브	핵심 경유지(차단 우선)
면접 포인트	"점(이벤트)을 선(경로)으로 — 허브 식별이 차단 우선순위를 정함"