340. 내부 확장·측면 이동 — 침투→확장→목표 연계 분석

목록 보기

340/450

시스템 보안 · 취약점 › G. 내부 확장 · 측면 이동 징후 · 40/50편 (전체 340/450)
학습 단계: 측면 이동 로그 분석
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

1. 개념

측면 이동(확장)은 공격 생애주기의 중간 단계입니다. 침투(초기 접근)→확장(측면 이동)→목표(유출·파괴)로 이어지는 전체 사슬에서 확장을 해석해야 공격 의도·범위·대응 우선순위가 명확해집니다.

공격 생애주기 연계
 [침투] 초기 접근 — 어떻게 들어왔나
   ↓
 [확장] 측면 이동 — 어디로 퍼졌나(G영역)
   ↓
 [목표] 유출·파괴 — 무엇을 노렸나
 = 세 단계를 연결해 공격 전체 맥락 파악

핵심: 확장을 침투·목표와 연결해 해석

ATT&CK 전술 흐름(초기 접근→실행→지속성→권한 상승→방어 회피→자격증명 접근→발견→측면 이동→수집→유출)의 관점에서, G영역은 측면 이동 단계이며 앞뒤 단계와 연결됩니다.

2. 왜 중요한가

측면 이동은 침투와 목표 사이의 중간 단계로, 단독으로는 맥락이 불완전합니다.
침투 경로를 알면 초기 거점·근본 원인을, 목표를 알면 공격 의도를 파악합니다.
세 단계 연계는 대응 우선순위(침투 봉쇄·확산 차단·자산 보호)를 정합니다.

3. 핵심 명령어 / 설정

단계	질문	대응
침투	어떻게 들어왔나	진입점 봉쇄
확장	어디로 퍼졌나	경로 차단
목표	무엇을 노렸나	자산 보호
근본 원인	최초 취약점	패치
범위	영향 호스트	격리

4. 실습 (실습 예시)

# 침투→확장→목표 연계 분석 (분석 방법)
# 최초 거점(침투) 식별 — 확산 그래프의 루트
sudo ausearch -k lateral -i --start recent 2>/dev/null | grep -oE 'srcip=10\.[0-9.]+' | sort | uniq -c | head
# 최종 대상(목표) 식별 — 핵심 자산 접근
sudo ausearch -k crown_jewel,exfil -i --start recent 2>/dev/null | tail
echo "루트(침투)와 리프(목표)를 연결해 전체 사슬 재구성"

5. 정상 상태

$ (침투 거점) (외부 진입 흔적 없음)
$ (목표 접근) (핵심 자산 비정상 접근 없음)

외부 진입 흔적과 핵심 자산 비정상 접근이 모두 없어, 침투·확장·목표 단계가 성립하지 않는 상태가 정상입니다.

6. 이상 상태

$ (침투 거점)
web01 (외부 노출 웹 — 확산 그래프 루트 = 침투 지점)
$ (목표 접근)
dbmaster 접근 + 외부 유출 (리프 = 목표)
→ [침투] web01 취약점 → [확장] db01→app01 → [목표] dbmaster 유출

확산 그래프 루트(web01) = 침투 지점(근본 원인)
리프(dbmaster 유출) = 공격 목표(의도)
침투→확장→목표 연결 → 공격 전체 맥락 → 정탐·대응

7. 로그 분석 (분석 방법)

침투→확장→목표 연계 분석입니다(가상의 예시).

[침투] web01 (웹 취약점 — 진입점)
   ↓ (확장)
db01 → app01 → dbmaster (측면 이동, G영역)
   ↓ (목표)
dbmaster 데이터 유출 (공격 의도)

대응 우선순위:
 · 침투: web01 취약점 패치(근본 원인)
 · 확장: 이동 경로 차단(확산 저지)
 · 목표: dbmaster 격리(자산 보호)

단계	핵심
침투	진입점·근본 원인
확장	이동 경로
목표	공격 의도
연계	전체 맥락

세 단계 연결이 공격 맥락·대응 우선순위를 정합니다.

8. SOC 관제 포인트

측면 이동(확장)은 침투→확장→목표 생애주기의 중간 단계입니다.
침투(진입점·근본 원인)·목표(공격 의도)와 연결해야 전체 맥락이 완성됩니다.
세 단계 연계가 대응 우선순위(진입 봉쇄·확산 차단·자산 보호)를 정합니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_g,lateral,">
  <rule id="106390" level="13">
    <if_matched_sid>106000</if_matched_sid>
    <description>침투-확장-목표 연계(공격 생애주기 상관)</description>
    <mitre><id>T1190</id><id>T1021</id><id>T1041</id></mitre>
  </rule>
</group>

초기 접근(웹·피싱)·측면 이동·유출 룰을 ATT&CK 전술 흐름으로 연계합니다. 사건 대응 시 근본 원인부터 목표까지 전체를 추적합니다.

10. 대응 방법

초기 확인 — 확산 그래프 루트(침투)와 리프(목표)를 식별·연결합니다.
범위 확인 — 침투 경로·확장 경로·목표 자산과 공격 의도를 확인합니다.
증거 확보 — 전체 사슬·근본 원인·영향 범위를 보존합니다.
차단/조치 — 연계 분석 후 진입 봉쇄·경로 차단·자산 보호를 우선순위로 대응합니다.
재발 방지 — 침투→확장→목표 연계 분석을 운영합니다.

11. 핵심 정리

단계	질문
침투	어떻게 들어왔나
확장	어디로 퍼졌나(G영역)
목표	무엇을 노렸나
근본 원인	최초 취약점
면접 포인트	"확장은 중간 단계 — 침투·목표와 연결해야 맥락·대응 우선순위가 보임"