336. 내부 확장·측면 이동 — 측면 이동과 권한 상승 연계 탐지

changseop lee·2026년 10월 8일

Soc 권한상승연계 내부 확장·측면 이동 리눅스 보안관제 시스템 보안 · 취약점 시스템보안 측면이동

시스템 보안 · 취약점

목록 보기

336/450

시스템 보안 · 취약점 › G. 내부 확장 · 측면 이동 징후 · 36/50편 (전체 336/450)
학습 단계: 내부 정찰·확산 경로
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

1. 개념

측면 이동과 권한 상승(D영역)은 서로를 강화합니다. 이동한 호스트에서 권한을 높이면 더 많은 자원·자격증명에 접근해 추가 이동이 쉬워지고, 추가 이동은 다시 상승 기회를 늘립니다. 이 "이동 ↔ 상승" 상호 강화 루프가 공격 확산의 엔진입니다.

측면 이동 ↔ 권한 상승 연계
 이동(G) → 새 호스트 저권한 접근
   ↓ 권한 상승(D)
 root/관리자 권한 획득 → 자격증명·자원 접근
   ↓ 측면 이동(G)
 더 많은 호스트로 확산
   ↓ (루프 반복)
 = 이동과 상승이 서로를 강화

핵심: 호스트마다 이동→상승→재이동 루프

G(이동)와 D(상승)의 교차점입니다. 이동 직후 권한 상승, 상승 직후 추가 이동의 연쇄가 신호입니다.

2. 왜 중요한가

이동과 상승은 상호 강화 루프를 이뤄 확산을 가속합니다.
이동한 호스트에서의 권한 상승은 더 넓은 이동 범위를 엽니다.
이동→상승→재이동의 짧은 연쇄가 핵심 신호입니다.

3. 핵심 명령어 / 설정

단계	행위	결과
이동	새 호스트 접근	저권한 발판
상승	root 권한 획득(D)	전체 접근
수집	자격증명·자원	재이동 재료
재이동	추가 확산	범위 확대
루프	반복	확산 가속

4. 실습 (실습 예시)

# 측면 이동-권한 상승 연계 탐지 (분석 방법)
# 원격 세션 후 권한 상승(sudo·setuid·익스플로잇)
sudo ausearch -k lateral,privesc -i --start recent 2>/dev/null | grep -E 'ppid_comm="sshd"' | grep -E 'comm="(sudo|su|pkexec)"|uid=0' | tail
# 상승 직후 추가 이동(root→ssh)
sudo ausearch -k lateral,privesc -i --start recent 2>/dev/null | grep -E 'uid=0.*comm="ssh"' | tail

5. 정상 상태

$ (이동 후 상승) (정상 관리 sudo만)
$ (상승 후 재이동) (없음)

원격 세션 후 권한 상승이 정상 관리 sudo에 그치고, 상승 직후 추가 측면 이동 연쇄가 없는 상태가 정상입니다.

6. 이상 상태

$ (이동 후 상승)
ppid_comm="sshd" → sudo/pkexec → uid=0 (이동 후 상승)
$ (상승 후 재이동)
uid=0 → ssh app01 (상승 후 추가 이동)
→ db01 이동→상승→app01 재이동 루프

이동한 호스트에서 권한 상승(D영역) → root 획득
상승 직후 추가 이동 → 더 넓은 확산
이동↔상승 루프 반복 → 확산 가속 → 정탐

7. 로그 분석 (분석 방법)

측면 이동-권한 상승 연계 분석입니다(가상의 예시).

[web01] 침투(저권한)
   ↓ 권한 상승(D)
root 획득 → 자격증명 수집(G32)
   ↓ 측면 이동(G)
[db01] 이동(저권한)
   ↓ 권한 상승(D)
root 획득 → 재수집
   ↓ 측면 이동(G)
[app01] ... (이동↔상승 루프)
 = 각 호스트에서 이동→상승→재이동 가속

루프	효과
이동	발판 확보
상승	전체 접근
수집	재이동 재료
재이동	범위 확대

이동 직후 상승, 상승 직후 재이동의 연쇄가 연계의 지표입니다.

8. SOC 관제 포인트

측면 이동과 권한 상승은 "이동 ↔ 상승" 상호 강화 루프로 확산을 가속합니다.
이동한 호스트의 권한 상승은 더 넓은 이동 범위·자격증명 접근을 엽니다.
이동→상승→재이동의 짧은 연쇄가 핵심 신호이며 G·D 룰을 상관합니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_g,lateral,privesc,">
  <rule id="106350" level="14" frequency="2" timeframe="300">
    <if_sid>106000</if_sid>
    <field name="audit.ppid_comm">sshd</field>
    <field name="audit.comm" type="pcre2">^(sudo|su|pkexec)$</field>
    <description>측면 이동 직후 권한 상승(이동↔상승 연계 루프)</description>
    <mitre><id>T1021</id><id>T1548</id></mitre>
  </rule>
</group>

D영역 권한 상승 룰과 G영역 이동 룰을 호스트별·시간순으로 상관해 루프를 포착합니다. 정상 관리 작업은 기준선 예외로 둡니다.

10. 대응 방법

초기 확인 — 원격 세션 후 권한 상승과 상승 후 재이동을 확인합니다.
범위 확인 — 이동↔상승 루프·호스트별 반복·확산 가속을 확인합니다.
증거 확보 — 이동·상승 이벤트를 호스트별 타임라인으로 보존합니다.
차단/조치 — 연계 루프 정탐이면 전 호스트 격리·자격증명 교체·루프 차단을 진행합니다.
재발 방지 — 측면 이동-권한 상승 연계 탐지를 운영합니다.

11. 핵심 정리

단계	행위
이동	새 호스트 접근
상승	root 획득(D영역)
수집	자격증명·자원
재이동	추가 확산
면접 포인트	"이동과 상승은 상호 강화 루프 — 이동→상승→재이동 연쇄가 확산 엔진"