344. 내부 확장·측면 이동 — Wazuh 기반 측면 이동 탐지

목록 보기

344/450

시스템 보안 · 취약점 › G. 내부 확장 · 측면 이동 징후 · 44/50편 (전체 344/450)
학습 단계: SOC 탐지 연계
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

1. 개념

G영역 전반에서 설계한 측면 이동 탐지 규칙을 Wazuh로 통합 구현합니다. Wazuh는 다수 에이전트 로그를 중앙 매니저로 수집(G41)해, 룰·디코더·상관(frequency·same_field)으로 측면 이동을 탐지하는 데 적합합니다.

Wazuh 측면 이동 탐지 구성
 에이전트(각 호스트) → 매니저(중앙 수집)
   ↓
 디코더: auditd·sshd 로그 → 공통 필드
   ↓
 룰: 개별 탐지(106000~106420)
   ↓
 상관 룰: frequency·same_field·if_matched
   → 부채꼴·체인·캠페인 탐지
 = 수집→정규화→탐지→상관 파이프라인

Wazuh의 강점은 다수 에이전트 중앙 상관입니다. 개별 룰과 상관 룰을 결합해 단일 호스트~다중 호스트 측면 이동을 포착합니다.

2. 왜 중요한가

Wazuh는 다수 에이전트 로그를 중앙 수집·상관해 측면 이동 탐지에 적합합니다.
개별 룰(호스트 내)과 상관 룰(호스트 간)을 결합해야 완전한 탐지가 됩니다.
MITRE 태그·레벨 체계로 경보 우선순위와 ATT&CK 매핑을 관리합니다.

3. 핵심 명령어 / 설정

구성 요소	역할	예
에이전트	로그 수집	auditd·sshd
디코더	필드 추출	srcip·acct
개별 룰	단일 탐지	106000~
상관 룰	호스트 간	frequency·same_field
레벨·태그	우선순위	level·MITRE

4. 실습 (실습 예시)

# Wazuh 기반 측면 이동 탐지 구성 (분석 방법)
# 룰 문법 검증(적용 전 필수)
sudo /var/ossec/bin/wazuh-logtest
# 측면 이동 룰 적재 확인
sudo grep -rE 'syssec_g|lateral' /var/ossec/etc/rules/ 2>/dev/null | head
# 에이전트 연결 상태(중앙 수집 확인)
sudo /var/ossec/bin/agent_control -l 2>/dev/null | head

5. 정상 상태

$ wazuh-logtest (룰 문법 정상, 예상 룰 매칭)
$ (에이전트) 다수 Active (중앙 수집 정상)

룰이 wazuh-logtest에서 정상 매칭되고, 에이전트가 중앙 매니저에 정상 연결되어 수집되는 상태가 정상(탐지 준비 완료)입니다.

6. 이상 상태

$ wazuh-logtest 입력(측면 이동 로그)
→ Rule id 106410 fired: "동일 계정 단시간 다수 호스트 접근"
   level 13, MITRE T1021,T1078
$ (상관 발동)
여러 에이전트 이벤트 → if_matched_sid 상관 → 캠페인 경보

측면 이동 로그가 개별 룰(106410) 매칭 → 단일 탐지
여러 에이전트 이벤트가 상관 룰 매칭 → 캠페인 경보
Wazuh 수집→룰→상관 파이프라인으로 측면 이동 탐지 운영

7. 로그 분석 (분석 방법)

Wazuh 측면 이동 탐지 구조입니다(가상의 예시).

[web01 에이전트] ┐
[db01 에이전트]  ┤→ Wazuh 매니저(중앙)
[app01 에이전트] ┘      ↓ 디코더(공통 필드)
                   ↓ 개별 룰(106000~106420)
                   ↓ 상관 룰(frequency·same_field)
                부채꼴·체인·캠페인 탐지
                   ↓
                경보(level·MITRE) → SOC
 = 다중 에이전트 중앙 상관으로 측면 이동 탐지

계층	탐지
개별 룰	단일 호스트
상관 룰	호스트 간
레벨	우선순위
MITRE	ATT&CK 매핑

개별 룰 + 상관 룰 결합이 Wazuh 측면 이동 탐지의 핵심입니다.

8. SOC 관제 포인트

Wazuh는 다수 에이전트 중앙 수집·상관으로 측면 이동 탐지에 적합합니다.
개별 룰(호스트 내)과 상관 룰(frequency·same_field, 호스트 간)을 결합합니다.
모든 룰은 wazuh-logtest 검증·테스트 환경 확인 후 적용하며, MITRE·레벨로 관리합니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_g,lateral,">
  <!-- 개별 룰 베이스(G영역 공통 부모) -->
  <rule id="106000" level="3">
    <decoded_as>auditd</decoded_as>
    <field name="audit.key">lateral</field>
    <description>측면 이동 관련 감사 이벤트(G영역 베이스)</description>
  </rule>
  <!-- 상관: 호스트 간 캠페인 -->
  <rule id="106430" level="14" frequency="4" timeframe="600">
    <if_matched_sid>106000</if_matched_sid>
    <same_field>audit.acct</same_field>
    <description>Wazuh 상관 — 동일 계정 다중 호스트 측면 이동 캠페인</description>
    <mitre><id>T1021</id><id>T1078</id></mitre>
  </rule>
</group>

베이스 룰(106000)을 부모로 G영역 개별·상관 룰을 계층 구성합니다. 정상 관리·자동화는 기준선 예외 룰로 분리해 오탐을 줄입니다.

10. 대응 방법

초기 확인 — wazuh-logtest로 룰 문법·매칭을 검증합니다(적용 전 필수).
범위 확인 — 에이전트 연결·중앙 수집·개별/상관 룰 발동을 확인합니다.
증거 확보 — 룰 구성·디코더·경보·MITRE 매핑을 문서화·보존합니다.
차단/조치 — 탐지 운영 중 오탐은 기준선 예외로, 미탐은 룰 보강으로 조정합니다.
재발 방지 — Wazuh 기반 측면 이동 탐지를 운영합니다.

11. 핵심 정리

구성 요소	역할
에이전트	로그 수집
디코더	필드 추출
개별 룰	단일 호스트 탐지
상관 룰	호스트 간 캠페인
면접 포인트	"Wazuh는 중앙 상관이 강점 — 개별 룰+상관 룰로 단일~다중 호스트 탐지"