시스템 보안 · 취약점 › G. 내부 확장 · 측면 이동 징후 · 43/50편 (전체 343/450)
학습 단계: 측면 이동 로그 분석
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.
선행 학습
1. 개념
공격 그래프(attack graph)는 상관분석(G42) 결과를 노드·간선으로 모델링해 측면 이동 전체를 시각적으로 재구성합니다. G33(경로 매핑)을 체계화한 것으로, 호스트·계정을 노드로, 이동·인증을 간선으로 그려 확산 구조·핵심 경로·차단 지점을 분석합니다.
공격 그래프 모델
노드: 호스트, 계정, 자산
간선: 이동(SSH), 인증, 자격 재사용
속성: 시간, 방향, 권한
분석:
· 중심성(허브) → 차단 우선순위
· 최단 경로 → 공격자 이동 경로
· 도달 가능성 → 위험 자산
핵심: 그래프 구조로 확산을 분석·시각화그래프로 보면 텍스트 로그로 안 보이는 구조(허브·경로·고립 클러스터)가 드러납니다. 중심성·경로 분석이 대응 우선순위를 정합니다.
2. 왜 중요한가
- 공격 그래프는 복잡한 다중 호스트 확산을 한눈에 보이게 합니다.
- 중심성(허브) 분석은 차단·격리 우선순위를 정량적으로 정합니다.
- 도달 가능성 분석은 어떤 핵심 자산이 위험한지 예측합니다.
3. 핵심 명령어 / 설정
| 그래프 요소 | 의미 | 분석 |
|---|---|---|
| 노드 | 호스트·계정 | 확산 범위 |
| 간선 | 이동·인증 | 경로 |
| 중심성 | 허브 | 차단 우선 |
| 최단 경로 | 이동 경로 | 추적 |
| 도달성 | 위험 자산 | 예측 |
4. 실습 (실습 예시)
# 공격 그래프 기반 확산 재구성 (분석 방법)
# 간선(출발→목적) 추출 → 그래프 입력
sudo ausearch -k lateral -i --start recent 2>/dev/null | grep -oE 'srcip=10\.[0-9.]+.*addr=10\.[0-9.]+' | sed -E 's/srcip=([0-9.]+).*addr=([0-9.]+)/\1 -> \2/' | sort | uniq -c
# 노드 중심성(연결 수 많은 허브 식별)
echo "출발+도착 연결 수 상위 노드 = 허브(차단 우선순위)"5. 정상 상태
$ (간선 목록) (정상 관리 경로 — 소수 고정 간선, 허브 없음)간선이 소수의 고정된 정상 관리 경로에 그치고, 다수 연결을 가진 허브나 핵심 자산으로의 경로가 없는 상태가 정상입니다.
6. 이상 상태
$ (간선 목록)
web01 -> db01 (허브 진입)
db01 -> app01, db01 -> app02, db01 -> file01 (db01 = 허브)
app01 -> dbmaster (핵심 자산 도달)
→ db01 중심성 최고, web01→db01→app01→dbmaster 경로- db01이 다수 연결(중심성 최고) → 차단 1순위 허브
- web01→db01→app01→dbmaster 최단 경로 → 공격자 이동 경로
- 그래프 구조 분석 → 확산 재구성·우선순위 → 정탐·대응
7. 로그 분석 (분석 방법)
공격 그래프 기반 확산 재구성입니다(가상의 예시).
web01 (진입)
↓
[db01] ← 허브(중심성 최고, 차단 1순위)
↙ ↓ ↘
app01 app02 file01
↓
dbmaster (핵심 자산, 도달성 위험)
분석:
· 허브: db01 → 격리하면 확산 대부분 차단
· 경로: web01→db01→app01→dbmaster
· 도달성: dbmaster 위험 → 우선 보호| 분석 | 결과 |
|---|---|
| 중심성 | db01 허브 |
| 최단 경로 | 4-홉 |
| 도달성 | dbmaster 위험 |
| 우선순위 | 허브 차단 |
그래프 구조 분석이 확산 재구성·대응 우선순위의 핵심입니다.
8. SOC 관제 포인트
- 공격 그래프는 상관 결과를 노드·간선으로 모델링해 측면 이동 전체를 재구성합니다.
- 중심성(허브)·최단 경로·도달 가능성 분석이 차단 우선순위·위험 예측을 제공합니다.
- 텍스트 로그로 안 보이는 확산 구조(허브·경로·클러스터)를 시각화합니다.
9. 탐지 규칙
<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_g,lateral,">
<rule id="106420" level="12" frequency="5" timeframe="1800">
<if_matched_sid>106000</if_matched_sid>
<same_field>audit.srcip</same_field>
<description>단일 노드 다중 확산(공격 그래프 허브 — 차단 우선)</description>
<mitre><id>T1021</id></mitre>
</rule>
</group>SIEM 그래프 시각화(예: 노드-간선 대시보드)로 확산을 재구성합니다. 중심성 상위 노드를 차단·격리 우선순위로 자동 산출합니다.
10. 대응 방법
- 초기 확인 — 이동 이벤트에서 노드·간선을 추출해 공격 그래프를 구성합니다.
- 범위 확인 — 중심성(허브)·최단 경로·도달 가능성을 분석합니다.
- 증거 확보 — 그래프·간선 목록·중심성 결과를 보존합니다.
- 차단/조치 — 그래프 분석 후 허브 우선 차단·경로 차단·위험 자산 보호를 진행합니다.
- 재발 방지 — 공격 그래프 기반 확산 재구성을 운영합니다.
11. 핵심 정리
| 그래프 요소 | 의미 |
|---|---|
| 노드 | 호스트·계정 |
| 간선 | 이동·인증 |
| 중심성 | 허브(차단 우선) |
| 도달성 | 위험 자산 |
| 면접 포인트 | "그래프로 구조가 보임 — 중심성 허브 차단이 확산을 가장 효율적으로 끊음" |
12. 다음 편 예고
다음 편 344. 내부 확장·측면 이동 — Wazuh 기반 측면 이동 탐지 에서는 Wazuh 기반 측면 이동 탐지를 다루는 Wazuh 기반 측면 이동 탐지를 다룹니다.
이전 편: 342. 내부 확장·측면 이동 — 측면 이동 이벤트 상관분석
📚 시리즈 전체 보기: 시스템 보안 · 취약점
