346. 내부 확장·측면 이동 — 네트워크 탐지(NDR)·흐름 로그 연계

NDR Soc netflow 내부 확장·측면 이동 리눅스 보안관제 시스템 보안 · 취약점 시스템보안 흐름로그

시스템 보안 · 취약점

목록 보기

346/450

시스템 보안 · 취약점 › G. 내부 확장 · 측면 이동 징후 · 46/50편 (전체 346/450)
학습 단계: SOC 탐지 연계
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

1. 개념

호스트 로그(auditd·sshd)는 호스트에 에이전트가 있어야 보이지만, NDR(Network Detection & Response)·흐름 로그(NetFlow·sFlow)는 네트워크 관점에서 모든 동-서 트래픽을 봅니다. 에이전트 없는 호스트·IoT·레거시의 이동도 포착하는 보완 관점입니다.

NDR·흐름 로그 연계
 호스트 로그: 에이전트 있는 호스트만(상세)
 흐름 로그: 모든 트래픽(src·dst·port·bytes)
 NDR: 트래픽 행위 분석(비정상 패턴)
 연계:
  호스트 로그(무엇을) + 흐름 로그(어디로)
  → 사각 없는 측면 이동 탐지

핵심: 네트워크 관점으로 호스트 로그 사각 보완

G05(동-서 트래픽)의 네트워크 구현입니다. 호스트 로그와 흐름 로그를 연계하면 에이전트 사각지대까지 커버합니다.

2. 왜 중요한가

흐름 로그는 에이전트 없는 호스트의 이동도 포착해 호스트 로그 사각을 보완합니다.
NDR은 트래픽 행위 분석으로 암호화된 이동도 패턴(빈도·크기·방향)으로 탐지합니다.
호스트 로그(무엇을)와 흐름 로그(어디로)의 연계가 완전한 탐지를 만듭니다.

3. 핵심 명령어 / 설정

관점	보는 것	강점
호스트 로그	명령·계정	상세(무엇을)
흐름 로그	src·dst·port·bytes	전체(어디로)
NDR	트래픽 행위	패턴·암호화
연계	호스트+네트워크	사각 제거
커버리지	에이전트 무관	전수

4. 실습 (실습 예시)

# NDR·흐름 로그 연계 탐지 (분석 방법)
# 흐름 로그에서 동-서(내부→내부) 비정상 연결
# (NetFlow 수집기 쿼리 개념 예시)
echo "src=10.0.0.0/24 dst=10.0.0.0/24 → 동-서 흐름 집계"
echo "한 src → 다수 dst(부채꼴), 평소 없던 포트·대량 bytes 탐지"
# 호스트 로그와 흐름 로그 시간·IP 매칭(연계)
sudo ausearch -k lateral -i --start recent 2>/dev/null | grep -oE 'addr=10\.[0-9.]+' | sort | uniq | head

5. 정상 상태

$ (동-서 흐름) (정상 서비스 간 고정 패턴)
$ (호스트-흐름 매칭) (일치 — 알려진 트래픽)

동-서 흐름이 정상 서비스 간 고정 패턴에 그치고, 호스트 로그와 흐름 로그가 일치(알려진 트래픽)하는 상태가 정상입니다.

6. 이상 상태

$ (동-서 흐름)
10.0.0.5 → 10.0.0.11,12,13...:22 (부채꼴, 평소 없던 SSH)
평소 없던 포트·대량 bytes(도구 전송·유출)
$ (호스트-흐름 매칭)
흐름에는 있으나 호스트 로그 없음 → 에이전트 사각 호스트 이동

흐름 로그에서 부채꼴 동-서 연결 → 네트워크 관점 측면 이동
흐름엔 있으나 호스트 로그 없음 → 에이전트 사각 호스트의 이동 포착
NDR 행위 분석 + 흐름 → 사각 없는 탐지 → 정탐

7. 로그 분석 (분석 방법)

NDR·흐름 로그 연계 분석입니다(가상의 예시).

[호스트 로그] web01: ssh db01 (무엇을·계정)
      +
[흐름 로그] 10.0.0.5→10.0.0.11:22 (어디로·크기)
      +
[NDR] 부채꼴·비정상 포트·대량 전송(행위)
      ↓ 연계
 호스트 상세 + 네트워크 전체 → 사각 없는 측면 이동 탐지
 (에이전트 없는 IoT·레거시 이동도 흐름으로 포착)

연계	기여
호스트 로그	명령·계정
흐름 로그	경로·크기
NDR	행위 패턴
종합	사각 제거

호스트 로그 + 흐름 로그 + NDR 연계가 완전한 탐지의 핵심입니다.

8. SOC 관제 포인트

NDR·흐름 로그는 네트워크 관점에서 모든 동-서 트래픽을 봐 호스트 로그 사각을 보완합니다.
에이전트 없는 호스트·암호화된 이동도 흐름·행위 패턴으로 포착합니다.
호스트 로그(무엇을)와 흐름 로그(어디로)의 연계가 사각 없는 탐지를 만듭니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 테스트 환경 검증 필요 (흐름 로그 연계 개념 예시) -->
<group name="local,syssec_g,lateral,network,">
  <rule id="106450" level="12" frequency="15" timeframe="60">
    <if_sid>106000</if_sid>
    <same_field>srcip</same_field>
    <different_field>dstip</different_field>
    <description>동-서 흐름 부채꼴(NDR·NetFlow 연계 측면 이동)</description>
    <mitre><id>T1021</id><id>T1046</id></mitre>
  </rule>
</group>

NetFlow/흐름 로그를 SIEM에 수집해 호스트 로그와 IP·시간으로 상관합니다. NDR 경보와 호스트 경보를 결합해 사각을 제거합니다.

10. 대응 방법

초기 확인 — 흐름 로그·NDR로 동-서 트래픽의 부채꼴·비정상 패턴을 확인합니다.
범위 확인 — 호스트 로그와 흐름 로그를 IP·시간으로 매칭해 사각을 점검합니다.
증거 확보 — 흐름 로그·NDR 경보·연계 결과를 보존합니다.
차단/조치 — 연계 정탐이면 네트워크 경로 차단·사각 호스트 조사·세그먼트 점검을 진행합니다.
재발 방지 — NDR·흐름 로그 연계 탐지를 운영합니다.

11. 핵심 정리

관점	보는 것
호스트 로그	명령·계정(무엇을)
흐름 로그	src·dst·port·bytes(어디로)
NDR	트래픽 행위 패턴
연계	호스트+네트워크(사각 제거)
면접 포인트	"흐름 로그는 에이전트 사각 보완 — 호스트+네트워크 연계가 완전한 탐지"