334. 내부 확장·측면 이동 — 핵심 자산(크라운 주얼) 접근 시도 탐지

목록 보기

334/450

시스템 보안 · 취약점 › G. 내부 확장 · 측면 이동 징후 · 34/50편 (전체 334/450)
학습 단계: 내부 정찰·확산 경로
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

1. 개념

측면 이동의 종착지는 핵심 자산(crown jewels)입니다. DB 마스터·도메인 컨트롤러·키/인증서 저장소·백업 서버·소스 저장소 등 조직의 가장 중요한 자산에 대한 접근 시도는 공격의 결정적 순간으로, 최우선 탐지 대상입니다.

핵심 자산 접근 시도
 DB 마스터: 전체 데이터
 도메인 컨트롤러/디렉터리: 전체 인증 장악
 키/인증서 저장소: 신뢰 체계 장악
 백업 서버: 데이터+복구 무력화
 → 측면 이동의 최종 목표 도달

핵심: 핵심 자산 접근 = 최우선 경보

핵심 자산은 사전에 식별·등록(자산 인벤토리)하고, 이에 대한 비정상 접근을 최고 우선순위로 탐지합니다. 측면 이동 맥락에서의 핵심 자산 접근은 즉시 대응 신호입니다.

2. 왜 중요한가

핵심 자산은 공격의 최종 목표라, 접근 시도 탐지는 최우선순위입니다.
측면 이동 경로의 끝에서 핵심 자산 접근이 나타나면 즉시 대응 신호입니다.
핵심 자산 사전 식별·등록이 선행되어야 정밀 탐지가 가능합니다.

3. 핵심 명령어 / 설정

핵심 자산	장악 영향	우선순위
DB 마스터	전체 데이터	최상
도메인/디렉터리	전체 인증	최상
키·인증서 저장소	신뢰 체계	최상
백업 서버	데이터+복구	높음
소스 저장소	공급망	높음

4. 실습 (실습 예시)

# 핵심 자산 접근 시도 탐지 (분석 방법)
# 핵심 자산 호스트(사전 등록)로의 비정상 접근
sudo ausearch -k lateral,crown_jewel -i --start recent 2>/dev/null | grep -E 'addr=(10\.0\.0\.10|10\.0\.0\.11)' | tail
# 핵심 자산에서의 비정상 로그인·접근(측면 이동 발)
sudo ausearch -k lateral -i --start recent 2>/dev/null | grep -E 'ppid_comm="sshd"' | grep -E 'dbmaster|vault|backup' | tail

5. 정상 상태

$ (핵심 자산 접근) (등록된 정상 경로·계정만)

핵심 자산 접근이 사전 등록된 정상 관리 경로·계정에 그치고, 측면 이동 경로를 통한 비정상 접근이 없는 상태가 정상입니다.

6. 이상 상태

$ (핵심 자산 접근)
app01 → dbmaster(10.0.0.10):3306 (측면 이동 끝 핵심 자산)
ppid_comm="sshd" host=vault 비정상 계정 로그인
→ 측면 이동 경로의 종착지 = 핵심 자산

측면 이동 경로(G33)의 끝에서 DB 마스터·vault 접근 → 최종 목표 도달
비정상 출발지·계정의 핵심 자산 접근 → 결정적 순간
측면 이동 맥락 + 핵심 자산 접근 → 최우선 정탐

7. 로그 분석 (분석 방법)

핵심 자산 접근 시도 분석입니다(가상의 예시).

[확산 경로] web01 → db01 → app01 (G33)
   ↓ (종착지 도달)
app01 → dbmaster(10.0.0.10) 접근 시도
   ↓ 판정
 · 비정상 출발지(측면 이동 경로)
 · 핵심 자산(사전 등록)
 · 비정상 계정·시간
 = 측면 이동 최종 목표 도달 → 최우선 경보

신호	가중치
핵심 자산 대상	최상
측면 이동 경로	높음
비정상 계정	높음
종합	즉시 대응

측면 이동 맥락의 핵심 자산 접근이 즉시 대응 지표입니다.

8. SOC 관제 포인트

핵심 자산(크라운 주얼) 접근 시도는 측면 이동의 최종 목표 도달로 최우선 탐지 대상입니다.
DB 마스터·도메인/디렉터리·키 저장소·백업 서버가 대표 핵심 자산입니다.
핵심 자산 사전 식별·등록 후, 측면 이동 맥락의 접근을 즉시 대응 신호로 다룹니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_g,lateral,crown_jewel,">
  <rule id="106330" level="15">
    <if_sid>106000</if_sid>
    <field name="audit.dstip" type="pcre2">^(10\.0\.0\.10|10\.0\.0\.11|10\.0\.0\.12)$</field>
    <description>핵심 자산(크라운 주얼) 비정상 접근(측면 이동 최종 목표)</description>
    <mitre><id>T1021</id><id>T1005</id></mitre>
  </rule>
</group>

핵심 자산 IP·호스트를 사전 등록(자산 인벤토리)하고 최고 레벨로 경보합니다. 등록된 정상 관리 경로만 예외로 둡니다.

10. 대응 방법

초기 확인 — 측면 이동 경로의 종착지가 핵심 자산인지 확인합니다.
범위 확인 — 핵심 자산 대상·비정상 출발지·계정·시간을 확인합니다.
증거 확보 — 핵심 자산 접근 이벤트·경로·계정을 즉시 보존합니다.
차단/조치 — 핵심 자산 접근 정탐이면 즉시 자산 격리·세션 차단·비상 대응을 진행합니다.
재발 방지 — 핵심 자산 접근 시도 탐지를 최우선으로 운영합니다.

11. 핵심 정리

핵심 자산	장악 영향
DB 마스터	전체 데이터
도메인/디렉터리	전체 인증
키·인증서 저장소	신뢰 체계
백업 서버	데이터+복구
면접 포인트	"측면 이동 종착지는 핵심 자산 — 사전 등록+맥락 접근이 최우선 경보"