337. 내부 확장·측면 이동 — 측면 이동과 데이터 유출 연계 탐지

목록 보기

337/450

시스템 보안 · 취약점 › G. 내부 확장 · 측면 이동 징후 · 37/50편 (전체 337/450)
학습 단계: 내부 정찰·확산 경로
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

1. 개념

측면 이동의 궁극적 목적은 대개 데이터 유출입니다. 공격자는 이동으로 데이터 자산(DB·파일 서버)에 도달한 뒤, 수집(E영역)→유출(E영역)로 공격을 완성합니다. G(이동)와 E(유출)의 연계는 공격 사슬의 마지막 고리입니다.

측면 이동 → 데이터 유출 연계
 측면 이동(G) → 데이터 자산 도달
   ↓ 데이터 수집(E영역)
 대량 조회·파일 수집·압축
   ↓ 데이터 유출(E영역)
 외부 전송·스테이징
 = 이동으로 접근, 유출로 완성

핵심: 이동 종착지에서 수집→유출 연쇄

E영역(데이터 접근·유출)과 G영역(이동)의 교차점입니다. 이동으로 도달한 호스트에서의 대량 수집·외부 전송이 신호입니다.

2. 왜 중요한가

측면 이동의 목적은 대개 데이터 자산 도달 후 유출입니다.
이동 종착지에서의 대량 데이터 수집·압축·외부 전송이 공격 완성 신호입니다.
G(이동)와 E(수집·유출)의 연계 상관이 전체 공격 사슬을 드러냅니다.

3. 핵심 명령어 / 설정

단계	행위	영역
이동	데이터 자산 도달	G
수집	대량 조회·파일 수집	E
압축·스테이징	전송 준비	E
유출	외부 전송	E
연계	이동→수집→유출	G+E

4. 실습 (실습 예시)

# 측면 이동-데이터 유출 연계 탐지 (분석 방법)
# 이동 종착지에서 대량 데이터 접근(원격 세션 발)
sudo ausearch -k lateral,data_access -i --start recent 2>/dev/null | grep -E 'ppid_comm="sshd"' | grep -E 'comm="(mysqldump|tar|cp|rsync)"' | tail
# 수집 직후 외부 전송(유출)
sudo ausearch -k lateral,exfil -i --start recent 2>/dev/null | grep -E 'comm="(curl|scp|nc)".*addr=' | grep -vE 'addr=(10\.|192\.168\.)' | tail

5. 정상 상태

$ (이동 후 대량 접근) (정상 배치 백업만)
$ (수집 후 외부 전송) (없음)

이동 종착지의 데이터 접근이 정상 배치 백업에 그치고, 수집 직후 외부 전송 연쇄가 없는 상태가 정상입니다.

6. 이상 상태

$ (이동 후 대량 접근)
ppid_comm="sshd" comm="mysqldump" (이동 호스트에서 DB 덤프)
ppid_comm="sshd" comm="tar" → /tmp/data.tar.gz (수집·압축)
$ (수집 후 외부 전송)
comm="curl" addr=203.0.113.50 (외부 유출)

이동으로 도달한 DB에서 mysqldump → 대량 수집(E영역)
수집·압축 직후 외부(203.0.113.x) 전송 → 유출
이동→수집→유출 연쇄 → 공격 사슬 완성 → 정탐

7. 로그 분석 (분석 방법)

측면 이동-데이터 유출 연계 분석입니다(가상의 예시).

[확산] web01 → db01 → dbmaster (G33)
   ↓ (데이터 자산 도달)
dbmaster: mysqldump → 대량 수집(E영역)
   ↓ (스테이징)
tar → /tmp/data.tar.gz (압축)
   ↓ (유출)
curl → 203.0.113.50 (외부 전송)
 = 이동→수집→유출 = 공격 사슬 완성

단계	행위
이동	데이터 자산 도달
수집	DB 덤프·파일 수집
스테이징	압축
유출	외부 전송

이동 종착지의 수집→유출 연쇄가 공격 완성의 지표입니다.

8. SOC 관제 포인트

측면 이동의 궁극 목적은 대개 데이터 유출이며, 이동→수집→유출로 완성됩니다.
이동 종착지의 대량 수집·압축·외부 전송이 공격 완성 신호입니다.
G(이동)와 E(수집·유출) 룰의 연계 상관이 전체 공격 사슬을 드러냅니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_g,lateral,exfil,">
  <rule id="106360" level="15" frequency="2" timeframe="600">
    <if_sid>106000</if_sid>
    <field name="audit.ppid_comm">sshd</field>
    <field name="audit.comm" type="pcre2">^(mysqldump|tar|scp|curl|rsync)$</field>
    <description>측면 이동 종착지의 데이터 수집·유출(이동→유출 연계)</description>
    <mitre><id>T1041</id><id>T1005</id></mitre>
  </rule>
</group>

E영역 수집·유출 룰과 G영역 이동 룰을 상관해 공격 사슬을 포착합니다. 정상 백업·배치는 기준선 예외로 둡니다.

10. 대응 방법

초기 확인 — 이동 종착지의 대량 데이터 접근과 외부 전송을 확인합니다.
범위 확인 — 수집·압축·스테이징·유출 연쇄와 외부 목적지를 확인합니다.
증거 확보 — 접근·전송 이벤트를 이동 경로와 함께 보존합니다.
차단/조치 — 이동→유출 연계 정탐이면 전송 차단·자산 격리·유출 범위 조사를 진행합니다.
재발 방지 — 측면 이동-데이터 유출 연계 탐지를 운영합니다.

11. 핵심 정리

단계	행위
이동	데이터 자산 도달
수집	대량 조회·파일 수집
스테이징	압축·전송 준비
유출	외부 전송
면접 포인트	"이동의 목적은 유출 — 종착지에서 이동→수집→유출 연쇄가 공격 완성"