342. 내부 확장·측면 이동 — 측면 이동 이벤트 상관분석

목록 보기

342/450

시스템 보안 · 취약점 › G. 내부 확장 · 측면 이동 징후 · 42/50편 (전체 342/450)
학습 단계: 측면 이동 로그 분석
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

1. 개념

상관분석(correlation)은 정규화된(G41) 여러 이벤트를 공통 키(출발지·계정·시간)로 연결해, 단일 이벤트로는 드러나지 않는 측면 이동 패턴을 탐지합니다. "같은 계정이 여러 호스트 로그인", "한 출발지에서 다수 대상 연결" 같은 패턴이 상관으로 보입니다.

측면 이동 상관분석
 상관 키:
  · 같은 계정(acct) → 여러 호스트 로그인
  · 같은 출발지(srcip) → 다수 대상 연결
  · 시간 윈도 → 짧은 시간 연쇄
 상관 패턴:
  · 부채꼴(하나→다수), 체인(A→B→C)
  · 수집→재사용, 이동→상승→유출

핵심: 공통 키 + 시간 윈도로 이벤트 연결

G06의 4대 축이 상관 키가 됩니다. 단일 이벤트는 정상이어도, 상관하면 이동 패턴(부채꼴·체인·연쇄)이 드러납니다.

2. 왜 중요한가

측면 이동은 여러 이벤트에 흩어져, 상관 없이는 개별 정상 활동으로 보입니다.
공통 키(계정·출발지·시간)로 연결하면 이동 패턴이 드러납니다.
상관분석은 오탐을 줄이고(맥락), 미탐을 줄입니다(연결).

3. 핵심 명령어 / 설정

상관 키	패턴	탐지
같은 계정	여러 호스트 로그인	계정 확산
같은 출발지	다수 대상 연결	부채꼴·스캔
시간 윈도	짧은 연쇄	체인·홉
단계 연쇄	이동→상승→유출	캠페인
빈도·임계	급증	이상

4. 실습 (실습 예시)

# 측면 이동 상관분석 (분석 방법)
# 같은 계정의 여러 호스트 로그인(계정 확산)
sudo ausearch -k lateral -i --start recent 2>/dev/null | grep -oE 'acct="[^"]+".*addr=10\.[0-9.]+' | sort | uniq -c | sort -rn | head
# 같은 출발지의 다수 대상(부채꼴)
sudo ausearch -k lateral -i --start recent 2>/dev/null | grep -oE 'srcip=10\.[0-9.]+' | sort | uniq -c | sort -rn | head

5. 정상 상태

$ (계정별 호스트) (각 계정 소수 고정 호스트)
$ (출발지별 대상) (각 출발지 소수 고정 대상)

각 계정·출발지가 소수의 고정된 대상에만 연결되고, 상관 키로 묶었을 때 이동 패턴(부채꼴·체인)이 없는 상태가 정상입니다.

6. 이상 상태

$ (계정별 호스트)
acct="svc_app" → 10.0.0.11,12,13,... (한 계정 다수 호스트 = 확산)
$ (출발지별 대상)
srcip=10.0.0.5 → 다수 대상 (부채꼴)
→ 상관: svc_app 계정이 web01 출발 다수 호스트로 짧은 시간 로그인

한 계정(svc_app)이 여러 호스트 로그인 → 계정 기반 확산
한 출발지에서 다수 대상 → 부채꼴 이동
공통 키 상관 → 개별 정상도 패턴으로 드러남 → 정탐

7. 로그 분석 (분석 방법)

측면 이동 상관분석입니다(가상의 예시).

개별 이벤트(각각은 정상):
 web01→db01 로그인, web01→app01 로그인,
 web01→file01 로그인 ...
   ↓ 상관(같은 출발지 + 시간 윈도)
web01에서 짧은 시간 다수 호스트 로그인(부채꼴)
   ↓ 추가 상관(같은 계정)
동일 계정 → 계정 확산 패턴
 = 단일은 정상, 상관하면 측면 이동 패턴

상관	드러나는 패턴
같은 출발지	부채꼴
같은 계정	계정 확산
시간 윈도	연쇄·체인
단계 연쇄	캠페인

공통 키 + 시간 윈도 상관이 이동 패턴 탐지의 핵심입니다.

8. SOC 관제 포인트

상관분석은 정규화된 이벤트를 공통 키(계정·출발지·시간)로 연결해 이동 패턴을 탐지합니다.
단일 이벤트는 정상이어도 상관하면 부채꼴·체인·연쇄 패턴이 드러납니다.
상관은 맥락으로 오탐을, 연결로 미탐을 줄여 탐지 정확도를 높입니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_g,lateral,">
  <rule id="106410" level="13" frequency="5" timeframe="300">
    <if_sid>106000</if_sid>
    <same_field>audit.acct</same_field>
    <different_field>audit.dstip</different_field>
    <description>동일 계정의 단시간 다수 호스트 접근(측면 이동 상관)</description>
    <mitre><id>T1021</id><id>T1078</id></mitre>
  </rule>
</group>

same_field(계정·출발지)·different_field(대상)·frequency·timeframe으로 상관 룰을 구성합니다. 정상 관리 계정·자동화는 기준선으로 예외 처리합니다.

10. 대응 방법

초기 확인 — 공통 키(계정·출발지·시간)로 이벤트를 상관합니다.
범위 확인 — 부채꼴·체인·계정 확산·단계 연쇄 패턴을 확인합니다.
증거 확보 — 상관 결과·연결된 이벤트·패턴을 보존합니다.
차단/조치 — 상관 정탐이면 관련 계정·경로 전면 차단·확산 조사를 진행합니다.
재발 방지 — 측면 이동 이벤트 상관분석을 운영합니다.

11. 핵심 정리

상관 키	패턴
같은 계정	여러 호스트 로그인
같은 출발지	다수 대상(부채꼴)
시간 윈도	짧은 연쇄(체인)
단계 연쇄	이동→상승→유출
면접 포인트	"단일은 정상, 상관하면 패턴 — 공통 키+시간 윈도가 상관의 핵심"