345. 내부 확장·측면 이동 — ELK/SIEM 기반 측면 이동 탐지와 정탐·오탐 판단

ELK SIEM Soc 내부 확장·측면 이동 리눅스 보안관제 시스템 보안 · 취약점 시스템보안 정탐오탐

시스템 보안 · 취약점

목록 보기

345/450

시스템 보안 · 취약점 › G. 내부 확장 · 측면 이동 징후 · 45/50편 (전체 345/450)
학습 단계: SOC 탐지 연계
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

1. 개념

ELK(Elasticsearch·Logstash·Kibana)/SIEM는 측면 이동 로그를 유연하게 쿼리·시각화·상관합니다. Wazuh(G44)가 룰 기반이라면, ELK/SIEM는 애드혹 쿼리·대시보드·행위 분석으로 탐지와 함께 정탐·오탐 판단에 강합니다.

ELK/SIEM 측면 이동 탐지·판단
 탐지:
  · 쿼리: 부채꼴·체인·계정 확산
  · 대시보드: 동-서 트래픽·이동 그래프
  · 상관 규칙: 단계 연쇄
 정탐/오탐 판단:
  · 정탐: 비정상 출발지·시간·계정+맥락
  · 오탐: 정상 관리·배치·점프 호스트

핵심: 유연한 쿼리·시각화 + 맥락 판단

ELK/SIEM의 강점은 유연성과 시각화입니다. 탐지 후 정탐·오탐 판단에는 기준선(G04)과 맥락(정상 관리 vs 공격)이 결정적입니다.

2. 왜 중요한가

ELK/SIEM는 애드혹 쿼리·대시보드로 측면 이동 탐지·조사에 유연합니다.
탐지만큼 정탐·오탐 판단이 중요하며, 기준선·맥락이 판단 기준입니다.
정상 관리(점프 호스트·배치·백업)를 오탐으로 거르는 것이 운영의 핵심입니다.

3. 핵심 명령어 / 설정

기능	활용	판단
쿼리	부채꼴·체인 검색	탐지
대시보드	동-서·이동 그래프	시각 탐지
상관 규칙	단계 연쇄	캠페인
기준선	정상 비교	오탐 제거
맥락	출발지·시간·계정	정탐 확정

4. 실습 (실습 예시)

# ELK/SIEM 측면 이동 쿼리 (분석 방법, KQL 예시)
# 같은 출발지의 다수 대상(부채꼴)
event.key:"lateral" and source.ip:"10.0.0.5"
  | stats dc(destination.ip) by source.ip   (대상 수 급증 탐지)

# 같은 계정 다수 호스트(계정 확산)
event.category:"authentication" and user.name:"svc_app"
  | stats dc(host.name) by user.name

# 정탐/오탐 판단: 기준선 대비
NOT source.ip:("10.0.0.2" or "10.0.0.3")   (점프 호스트 제외)
  and @timestamp: (업무 외 시간)

5. 정상 상태

정탐/오탐 판단(정상):
 · 출발지 = 점프 호스트(기준선) → 오탐
 · 시간 = 업무 시간 + 배치 창 → 오탐
 · 계정 = 정상 관리·서비스 계정 → 오탐

출발지가 점프 호스트, 시간이 업무·배치 창, 계정이 정상 관리/서비스 계정인 경우는 정상(오탐)으로 판단합니다.

6. 이상 상태

정탐/오탐 판단(정탐):
 · 출발지 = 비정상(평소 이동 안 하던 web01) → 정탐 가중
 · 시간 = 업무 외(03:00) → 정탐 가중
 · 계정 = 탈취·공유 계정 다수 호스트 → 정탐 가중
 · 맥락 = 스캔→이동→핵심 자산 연쇄 → 정탐 확정

비정상 출발지·업무 외 시간·탈취 계정·단계 연쇄가 겹치면 정탐 확정
기준선(점프 호스트·배치·정상 계정)에 맞으면 오탐
기준선 + 맥락(4대 축)으로 정탐·오탐을 판단

7. 로그 분석 (분석 방법)

ELK/SIEM 탐지·판단 분석입니다(가상의 예시).

[탐지] 쿼리: web01 → 다수 호스트(부채꼴)
   ↓ 정탐/오탐 판단
 · 출발지: web01(평소 이동 안 함) → 비정상 ✓
 · 시간: 03:00(업무 외) → 비정상 ✓
 · 계정: svc_app(다수 호스트) → 비정상 ✓
 · 맥락: 직전 nmap 스캔 → 공격 연쇄 ✓
   ↓
 정탐 확정 → 경보 상향
[오탐 예] 출발지=bastion, 시간=업무, 계정=admin → 오탐

판단 축	정탐	오탐
출발지	비정상	점프 호스트
시간	업무 외	업무·배치
계정	탈취·공유	정상 관리
맥락	공격 연쇄	단독 정상

기준선 + 4대 축 맥락이 정탐·오탐 판단의 핵심입니다.

8. SOC 관제 포인트

ELK/SIEM는 유연한 쿼리·대시보드·상관으로 측면 이동 탐지·조사에 강합니다.
탐지만큼 정탐·오탐 판단이 중요하며, 기준선(G04)과 4대 축 맥락(G06)이 기준입니다.
정상 관리(점프 호스트·배치·정상 계정)를 오탐으로 거르는 것이 운영의 핵심입니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 테스트 환경 검증 필요 (ELK Detection Rule 개념 예시) -->
<group name="local,syssec_g,lateral,siem,">
  <rule id="106440" level="12">
    <if_sid>106000</if_sid>
    <field name="audit.srcip" negate="yes" type="pcre2">^(10\.0\.0\.2|10\.0\.0\.3)$</field>
    <description>비정상 출발지 측면 이동(점프 호스트 제외 — 정탐 후보)</description>
    <mitre><id>T1021</id></mitre>
  </rule>
</group>

ELK Detection Engine에서 임계·상관 규칙으로 탐지하고, 기준선 필터(점프 호스트·배치 창·정상 계정)로 오탐을 제거합니다. 정탐은 맥락 보강 후 경보합니다.

10. 대응 방법

초기 확인 — ELK/SIEM 쿼리·대시보드로 측면 이동을 탐지합니다.
범위 확인 — 기준선(점프 호스트·배치·정상 계정)과 4대 축으로 정탐·오탐을 판단합니다.
증거 확보 — 탐지 쿼리·판단 근거·기준선 예외를 보존·문서화합니다.
차단/조치 — 정탐이면 대응 절차(G47)로, 오탐이면 기준선·필터 보강으로 처리합니다.
재발 방지 — ELK/SIEM 기반 측면 이동 탐지·판단을 운영합니다.

11. 핵심 정리

기능	활용
쿼리	부채꼴·체인 검색
대시보드	동-서·이동 그래프
상관 규칙	단계 연쇄
기준선·맥락	정탐·오탐 판단
면접 포인트	"ELK는 유연·시각화 강점 — 기준선+4대 축 맥락이 정탐·오탐 판단 기준"