339. 내부 확장·측면 이동 — 측면 이동 타임라인 작성

시스템 보안 · 취약점 › G. 내부 확장 · 측면 이동 징후 · 39/50편 (전체 339/450)
학습 단계: 측면 이동 로그 분석
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

• 338. 내부 확장·측면 이동 — 내부 정찰·확산 경로 종합 분석
• 306. 출발지-목적지-계정-시점의 분석 축

1. 개념

측면 이동은 여러 호스트에 걸쳐 일어나므로, 타임라인(timeline)으로 분산된 로그를 시간순 통합해야 공격 전체가 보입니다. 타임라인은 "언제, 어디서, 어떤 계정이, 무엇을 했는가"를 시간축에 배열한 사건 재구성 결과입니다.

측면 이동 타임라인 작성
 1. 여러 호스트 로그 수집(인증·네트워크·실행)
 2. 시간 동기화(NTP·UTC 통일)
 3. 시간순 정렬 + 호스트·계정 표시
 4. 이동·상승·수집·유출 이벤트 배열
 = 공격 진행 과정 재구성

핵심: 분산 로그 → 시간순 통합 → 사건 스토리

타임라인은 사후 분석·보고·법적 증거의 기반입니다. 시간 동기화와 호스트 간 이벤트 연결이 핵심입니다.

2. 왜 중요한가

• 측면 이동은 여러 호스트에 분산되어, 시간순 통합 없이는 전체를 파악할 수 없습니다.
• 시간 동기화(NTP·UTC)가 안 되면 호스트 간 순서가 틀어져 재구성이 실패합니다.
• 타임라인은 사후 분석·보고·증거 보존의 기반입니다.

3. 핵심 명령어 / 설정

단계	작업	주의
수집	다수 호스트 로그	누락 방지
동기화	UTC 통일	시간대·NTP
정렬	시간순 배열	호스트 표시
연결	이동 간선	출발-목적
서술	사건 스토리	단계 표시

4. 실습 (실습 예시)

# 측면 이동 타임라인 작성 (분석 방법)
# 다수 호스트 인증·이동 이벤트를 UTC 시간순 정렬
sudo ausearch -k lateral,privesc,exfil -i --start recent 2>/dev/null | grep -E 'time->|ssh|sudo|mysqldump' | sort
# 시간 동기화 상태 확인(타임라인 신뢰성)
timedatectl 2>/dev/null | grep -E 'synchronized|Time zone'

5. 정상 상태

$ (시간순 이벤트) (정상 관리 활동이 산발적으로만)
$ (동기화) System clock synchronized: yes

이벤트가 산발적 정상 활동에 그치고 시간 동기화가 정상인 상태에서, 공격 단계가 시간순으로 연결되지 않는 것이 정상입니다.

6. 이상 상태

$ (시간순 이벤트)
09:01 web01  침투(초기 접근)
09:05 web01  nmap 내부 스캔(G29)
09:12 web01→db01 SSH 이동(G09)
09:15 db01   sudo 권한 상승(G36)
09:20 db01→dbmaster 이동 → mysqldump(G37)
09:25 dbmaster→외부 유출

• 분산 로그를 시간순 통합 → 침투부터 유출까지 스토리 재구성
• 각 단계(스캔·이동·상승·유출)가 시간축에 연결
• 타임라인으로 공격 전주기 파악 → 대응·보고 기반

7. 로그 분석 (분석 방법)

측면 이동 타임라인 분석입니다(가상의 예시).

시간축 →
09:01 ─ web01 침투
09:05 ─ web01 스캔(G29)
09:12 ─ web01→db01 이동(G09)
09:15 ─ db01 권한 상승(G36)
09:20 ─ db01→dbmaster 이동
09:22 ─ dbmaster mysqldump(G37)
09:25 ─ dbmaster→외부 유출
 = 24분간 침투→확산→유출 전주기 재구성

요소	역할
시간 동기화	순서 정확성
호스트 표시	위치 추적
계정 표시	주체 추적
단계 연결	스토리

분산 로그의 시간순 통합이 타임라인의 핵심입니다.

8. SOC 관제 포인트

• 측면 이동 타임라인은 분산된 여러 호스트 로그를 시간순 통합해 공격 과정을 재구성합니다.
• 시간 동기화(NTP·UTC)가 호스트 간 순서 정확성의 전제입니다.
• 타임라인은 사후 분석·대응·보고·증거 보존의 기반입니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_g,lateral,">
  <rule id="106380" level="10">
    <if_sid>106000</if_sid>
    <description>측면 이동 이벤트(타임라인 상관 대상)</description>
    <mitre><id>T1021</id></mitre>
  </rule>
</group>

SIEM에서 다수 호스트 이벤트를 UTC 기준 시간순으로 통합해 타임라인을 자동 생성합니다. NTP 동기화·로그 중앙 수집이 전제 조건입니다.

10. 대응 방법

1. 초기 확인 — 다수 호스트의 인증·이동·상승·유출 이벤트를 수집·동기화합니다.
2. 범위 확인 — 시간순 정렬·호스트·계정 표시로 사건을 재구성합니다.
3. 증거 확보 — 타임라인·원본 로그·시간 동기화 상태를 보존합니다.
4. 차단/조치 — 타임라인 완성 후 공격 단계별 대응·범위 확정·보고를 진행합니다.
5. 재발 방지 — 측면 이동 타임라인 작성을 운영합니다.

11. 핵심 정리

단계	작업
수집	다수 호스트 로그
동기화	UTC 통일
정렬	시간순·호스트 표시
연결	이동 간선·단계
면접 포인트	"측면 이동은 분산 — 시간 동기화된 통합 타임라인이 사건 재구성의 기반"

12. 다음 편 예고

다음 편 340. 내부 확장·측면 이동 — 침투→확장→목표 연계 분석 에서는 침투→확장→목표 연계 분석을 다루는 침투→확장→목표 연계 분석을 다룹니다.

---

이전 편: 338. 내부 확장·측면 이동 — 내부 정찰·확산 경로 종합 분석
📚 시리즈 전체 보기: 시스템 보안 · 취약점