341. 내부 확장·측면 이동 — 측면 이동 로그의 정규화와 수집

시스템 보안 · 취약점 › G. 내부 확장 · 측면 이동 징후 · 41/50편 (전체 341/450)
학습 단계: 측면 이동 로그 분석
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

• 340. 내부 확장·측면 이동 — 침투→확장→목표 연계 분석
• 303. 측면 이동 감사의 기반 구성(네트워크·인증 로그)

1. 개념

측면 이동 탐지는 여러 호스트의 로그를 중앙에 모아 공통 필드로 정규화해야 가능합니다. 호스트마다 로그 형식(auditd·sshd·방화벽)이 다르므로, 출발지·목적지·계정·시간 같은 공통 필드로 통일해야 상관분석(G42)이 됩니다.

측면 이동 로그 정규화·수집
 1. 중앙 수집: 각 호스트 → SIEM/로그 서버
   (로컬 로그는 조작·삭제 위험 → 중앙 보존)
 2. 정규화: 다른 형식 → 공통 필드
   srcip, dstip, user, timestamp, action
 3. 보강: 호스트명·자산 등급·지오/세그먼트
 = 상관분석 가능한 통일 데이터

핵심: 다른 형식 → 공통 필드 → 중앙 보존

정규화의 핵심은 "출발지-목적지-계정-시점"(G06) 축을 모든 로그에서 동일 필드명으로 추출하는 것입니다. 중앙 수집은 로그 조작 방지와 상관의 전제입니다.

2. 왜 중요한가

• 측면 이동은 다수 호스트에 걸쳐, 중앙 수집 없이는 전체를 볼 수 없습니다.
• 로컬 로그는 공격자가 조작·삭제할 수 있어, 중앙 보존이 무결성을 지킵니다.
• 형식이 다른 로그를 공통 필드로 정규화해야 상관분석이 가능합니다.

3. 핵심 명령어 / 설정

작업	내용	효과
중앙 수집	호스트→SIEM	통합·무결성
정규화	공통 필드	상관 가능
공통 필드	src·dst·user·time	4대 축
보강	자산 등급·세그먼트	맥락
실시간성	지연 최소	조기 탐지

4. 실습 (실습 예시)

# 측면 이동 로그 정규화·수집 (분석 방법)
# 중앙 전송 설정 확인(rsyslog/filebeat)
grep -rE 'action.*omfwd|@@|output.logstash|hosts:' /etc/rsyslog.conf /etc/rsyslog.d/ /etc/filebeat/ 2>/dev/null | head
# 공통 필드 추출 예(정규화 대상)
sudo ausearch -k lateral -i --start recent 2>/dev/null | grep -oE '(addr|acct|exe|time->)[^ ]*' | head

5. 정상 상태

$ (중앙 전송) @@logserver:514 (중앙 수집 설정됨)
$ (공통 필드) addr·acct·exe 정상 추출

로그가 중앙 서버로 전송되도록 설정되고, 공통 필드가 정상 추출되는 상태가 정상(탐지 준비 완료)입니다.

6. 이상 상태

$ (중앙 전송)
(설정 없음) → 로컬에만 로그 (조작·삭제 위험, 상관 불가)
$ (정규화 불일치)
호스트마다 다른 필드명 → src_ip vs addr vs source
→ 상관분석 실패

• 중앙 전송 미설정 → 로그 조작·삭제 위험, 측면 이동 상관 불가(탐지 사각)
• 필드명 불일치 → 정규화 실패 → 상관분석 불가
• 수집·정규화 미비는 탐지 역량 자체의 결함 → 보강 필요

7. 로그 분석 (분석 방법)

로그 정규화·수집 구조입니다(가상의 예시).

[web01] auditd/sshd 로그 ┐
[db01]  auditd/sshd 로그 ┤→ 중앙 수집(SIEM)
[app01] 방화벽/흐름 로그 ┘      ↓ 정규화
                        공통 필드: srcip·dstip·user·time·action
                              ↓
                        상관분석(G42) 기반
 = 분산 로그를 통일해 측면 이동 추적 가능

요소	역할
중앙 수집	통합·무결성
정규화	공통 필드
4대 축	src·dst·user·time
보강	자산·세그먼트

중앙 수집 + 공통 필드 정규화가 상관분석의 전제입니다.

8. SOC 관제 포인트

• 측면 이동 탐지는 여러 호스트 로그의 중앙 수집 + 공통 필드 정규화가 전제입니다.
• 중앙 수집은 로그 조작·삭제 방지(무결성)와 통합 분석을 가능케 합니다.
• "출발지-목적지-계정-시점"을 동일 필드로 정규화해야 상관분석(G42)이 됩니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_g,lateral,">
  <rule id="106400" level="5">
    <if_sid>106000</if_sid>
    <description>측면 이동 로그 수집(정규화·상관 대상)</description>
    <mitre><id>T1021</id></mitre>
  </rule>
</group>

Wazuh 디코더로 공통 필드(srcip·dstip·user)를 추출하고, 중앙 매니저로 수집합니다. 로그 전송 단절은 별도 경보로 탐지 사각을 방지합니다.

10. 대응 방법

1. 초기 확인 — 중앙 수집 설정·로그 전송 상태·무결성을 확인합니다.
2. 범위 확인 — 공통 필드(출발지·목적지·계정·시점) 정규화 일관성을 확인합니다.
3. 증거 확보 — 수집 로그·정규화 스키마·전송 상태를 보존합니다.
4. 차단/조치 — 수집·정규화 미비 시 중앙 전송 설정·디코더 보강을 진행합니다.
5. 재발 방지 — 측면 이동 로그 정규화·수집을 운영 기반으로 구축합니다.

11. 핵심 정리

작업	내용
중앙 수집	호스트→SIEM
정규화	공통 필드 통일
공통 필드	src·dst·user·time
보강	자산 등급·세그먼트
면접 포인트	"측면 이동은 중앙 수집+정규화가 전제 — 로컬 로그는 조작·사각 위험"

12. 다음 편 예고

다음 편 342. 내부 확장·측면 이동 — 측면 이동 이벤트 상관분석 에서는 측면 이동 이벤트 상관분석을 다루는 측면 이동 이벤트 상관분석을 다룹니다.

---

이전 편: 340. 내부 확장·측면 이동 — 침투→확장→목표 연계 분석
📚 시리즈 전체 보기: 시스템 보안 · 취약점