338. 내부 확장·측면 이동 — 내부 정찰·확산 경로 종합 분석

목록 보기

338/450

시스템 보안 · 취약점 › G. 내부 확장 · 측면 이동 징후 · 38/50편 (전체 338/450)
학습 단계: 내부 정찰·확산 경로
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

1. 개념

G29~G37에서 다룬 내부 정찰·확산 경로를 종합합니다. 스캔→열거→정찰→자격증명 수집→경로 매핑→핵심 자산 도달→다단계 홉→권한 상승 연계→유출 연계는 모두 "확산을 통해 목표에 도달"하는 단계들입니다.

내부 정찰·확산 경로 종합(G29~G37)
 G29 스캔 → G30 열거 → G31 디렉터리 정찰
   ↓
 G32 자격증명 수집 → G33 경로 매핑
   ↓
 G34 핵심 자산 → G35 다단계 홉
   ↓
 G36 상승 연계 → G37 유출 연계
 = 정찰부터 목표 달성까지 확산 전주기

각 단계는 독립이 아니라 하나의 확산 흐름입니다. 단계별 탐지 포인트를 연결해 확산 전주기를 포착합니다.

2. 왜 중요한가

내부 정찰·확산은 스캔부터 유출까지 하나의 연속된 흐름입니다.
단계별 탐지를 연결하면 확산 전주기와 공격 진행 단계를 파악합니다.
어느 단계에서든 탐지하면 조기 차단 기회가 되므로 다층 탐지가 중요합니다.

3. 핵심 명령어 / 설정

단계	핵심 신호	룰
정찰(스캔·열거)	부채꼴·반복 조회	106280·106290
디렉터리 정찰	LDAP 대량 조회	106300
자격증명 수집	홉마다 수집	106310
경로·홉	확산 그래프·경유	106320·106340
핵심 자산·연계	최종 목표·상승·유출	106330·106350·106360

4. 실습 (실습 예시)

# 내부 정찰·확산 경로 종합 점검 (분석 방법)
# 확산 단계별 신호 통합 조회
sudo ausearch -k lateral,recon,privesc,exfil -i --start recent 2>/dev/null | grep -E 'nmap|ldapsearch|id_rsa|crown_jewel|mysqldump' | tail -40
# 거점별 확산 단계 진행도 평가
echo "스캔→열거→수집→핵심자산→유출 중 어느 단계까지 진행했는지 평가"

5. 정상 상태

$ (확산 단계 신호) (산발적 정상 — 단계 연쇄 없음)

확산 단계 신호가 산발적 정상 활동에 그치고, 정찰→수집→핵심 자산→유출로 이어지는 단계 연쇄가 없는 상태가 정상입니다.

6. 이상 상태

$ (확산 단계 신호)
web01: nmap(스캔) → ldapsearch(디렉터리 정찰)
     → id_rsa 수집 → dbmaster 접근(핵심 자산)
     → mysqldump → 외부 전송(유출)
→ 확산 전주기 진행

한 캠페인에서 스캔→정찰→수집→핵심 자산→유출 단계가 순차 진행
확산 단계 연쇄 → 공격 진행도 평가 가능
단계 연쇄 확인 → 확산 캠페인 → 정탐

7. 로그 분석 (분석 방법)

내부 정찰·확산 경로 종합 분석입니다(가상의 예시).

[1 정찰] 스캔(G29)·열거(G30)·디렉터리(G31)
   ↓
[2 수집] 자격증명 수집(G32)
   ↓
[3 확산] 경로 매핑(G33)·다단계 홉(G35)
   ↓
[4 목표] 핵심 자산(G34)·상승 연계(G36)
   ↓
[5 완성] 유출 연계(G37)
 = 정찰→수집→확산→목표→완성 전주기

단계	탐지 포인트
정찰	스캔·열거·디렉터리
수집	자격증명
확산	경로·홉
목표·완성	핵심 자산·유출

단계 연쇄 확인이 확산 캠페인 탐지의 핵심입니다.

8. SOC 관제 포인트

G29~G37의 내부 정찰·확산은 스캔부터 유출까지 하나의 연속 흐름입니다.
단계별 탐지를 연결하면 확산 전주기와 공격 진행 단계를 파악합니다.
어느 단계에서든 탐지하면 조기 차단 기회이므로 다층 탐지가 핵심입니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_g,lateral,">
  <rule id="106370" level="15" frequency="3" timeframe="1800">
    <if_matched_group>recon</if_matched_group>
    <same_field>audit.srcip</same_field>
    <description>단일 거점의 정찰→확산→목표 단계 연쇄(확산 캠페인)</description>
    <mitre><id>T1046</id><id>T1021</id><id>T1041</id></mitre>
  </rule>
</group>

단계별 룰(106280~106360)을 거점·캠페인 단위로 상관해 확산 전주기를 포착합니다. 정상 활동은 기준선으로 구분합니다.

10. 대응 방법

초기 확인 — 확산 단계별 신호를 거점·캠페인 단위로 통합 조회합니다.
범위 확인 — 정찰→수집→확산→핵심 자산→유출 단계 연쇄와 진행도를 확인합니다.
증거 확보 — 단계별 이벤트와 캠페인 타임라인을 보존합니다.
차단/조치 — 확산 캠페인 정탐이면 진행 단계에 맞춰 차단·격리·유출 대응을 진행합니다.
재발 방지 — 내부 정찰·확산 경로 종합 탐지를 운영합니다.

11. 핵심 정리

단계	핵심 신호
정찰	부채꼴·반복·LDAP 조회
수집	홉마다 자격증명
확산	경로 그래프·다단계 홉
목표·완성	핵심 자산·상승·유출
면접 포인트	"정찰부터 유출까지 하나의 흐름 — 단계 연쇄 상관이 캠페인을 드러냄"