347. 내부 확장·측면 이동 — 측면 이동 Alert 대응 절차

목록 보기

347/450

시스템 보안 · 취약점 › G. 내부 확장 · 측면 이동 징후 · 47/50편 (전체 347/450)
학습 단계: SOC 탐지 연계
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

1. 개념

측면 이동 경보는 확산 중인 활성 공격일 가능성이 높아, 신속·체계적 대응이 필요합니다. 접수→분류→조사→격리→확산 차단→복구의 플레이북으로 대응하되, 측면 이동 특성상 확산 차단(추가 이동 저지)이 최우선입니다.

측면 이동 Alert 대응 절차
 1. 접수·분류: 정탐/오탐, 심각도(핵심 자산 근접?)
 2. 조사: 4대 축·경로 매핑·타임라인
 3. 격리: 영향 호스트·허브 격리
 4. 확산 차단: 경로 차단·자격증명 교체
 5. 복구: 정리·패치·모니터링
 6. 사후: 타임라인·보고·교훈

핵심: 확산 차단(추가 이동 저지)이 최우선

측면 이동은 진행 중이면 매 순간 확산되므로, 조사와 병행해 확산 차단을 서두릅니다. 허브(G43) 격리가 확산을 가장 효율적으로 끊습니다.

2. 왜 중요한가

측면 이동 경보는 활성 확산일 가능성이 높아 신속 대응이 필수입니다.
확산 차단(추가 이동 저지)이 조사보다 우선할 수 있습니다(진행 중).
허브 격리·자격증명 교체가 확산을 끊는 핵심 조치입니다.

3. 핵심 명령어 / 설정

단계	조치	우선순위
분류	정탐/오탐·심각도	즉시
조사	경로·타임라인	병행
격리	호스트·허브	높음
확산 차단	경로·자격 교체	최우선
복구	정리·패치	이후

4. 실습 (실습 예시)

# 측면 이동 Alert 대응 (분석 방법)
# 1. 영향 범위 확인(경로 매핑)
sudo ausearch -k lateral -i --start recent 2>/dev/null | grep -oE 'srcip=10\.[0-9.]+.*addr=10\.[0-9.]+' | sort | uniq -c
# 2. 활성 세션 확인(진행 중 이동)
ss -tnp 2>/dev/null | grep -E ':22\b' | grep -E '10\.|192\.168\.'
# 3. 증거 보존(격리 전 로그 수집)
sudo ausearch -k lateral,privesc,exfil --start recent > /var/log/ir_lateral_$(date +%s).log 2>/dev/null

5. 정상 상태

대응 준비 상태(정상 운영):
 · 플레이북·연락망·격리 권한 준비됨
 · 경보 접수 시 즉시 분류·대응 가능

플레이북·연락망·격리 권한이 준비되어, 경보 접수 시 지체 없이 분류·대응에 들어갈 수 있는 상태가 정상(대응 준비 완료)입니다.

6. 이상 상태

측면 이동 경보 대응 흐름(정탐):
 1. 분류: 핵심 자산 근접 → 심각도 상
 2. 조사: web01→db01→app01 경로, db01=허브
 3. 격리: db01(허브) 우선 격리 → 확산 차단
 4. 자격 교체: 관련 SSH 키·계정 전면 교체
 5. 복구: 발판·도구 제거, 진입점 패치

핵심 자산 근접 경보 → 심각도 상향 → 신속 대응
허브(db01) 우선 격리 → 추가 확산 차단
경로 차단 + 자격증명 교체 → 측면 이동 봉쇄

7. 로그 분석 (분석 방법)

측면 이동 Alert 대응 절차입니다(가상의 예시).

[접수] 106430 상관 경보(캠페인)
   ↓ 분류
정탐 + 핵심 자산 근접 → 심각도 상
   ↓ 조사(병행)
경로: web01→db01→app01, 허브=db01
   ↓ 확산 차단(최우선)
db01(허브) 격리 → SSH 키·계정 교체
   ↓ 복구
발판·도구 제거, web01 진입점 패치
   ↓ 사후
타임라인·보고·탐지 규칙 보강

단계	핵심 조치
분류	심각도·정탐
조사	경로·허브
확산 차단	허브 격리·자격 교체
복구	정리·패치

확산 차단(허브 격리·자격 교체)이 대응의 최우선입니다.

8. SOC 관제 포인트

측면 이동 경보는 활성 확산일 수 있어 신속·체계적 플레이북 대응이 필요합니다.
접수→분류→조사→격리→확산 차단→복구 중 확산 차단이 최우선입니다.
허브(G43) 격리와 자격증명 전면 교체가 확산을 끊는 핵심 조치입니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_g,lateral,response,">
  <rule id="106460" level="14">
    <if_sid>106430</if_sid>
    <description>측면 이동 캠페인 경보 — 대응 플레이북 가동(확산 차단 우선)</description>
    <mitre><id>T1021</id></mitre>
  </rule>
</group>

고레벨 캠페인 경보는 자동 플레이북(격리·자격 교체 티켓)과 연동합니다. 격리 권한·연락망·증거 보존 절차를 사전 정비합니다.

10. 대응 방법

초기 확인 — 경보를 분류(정탐/오탐·심각도·핵심 자산 근접)합니다.
범위 확인 — 경로·허브·타임라인을 조사하며 확산 차단을 병행합니다.
증거 확보 — 증거 보존(격리 전 로그) 후 허브·호스트를 격리합니다.
차단/조치 — 경로 차단·자격증명 전면 교체·발판 제거·진입점 패치를 진행합니다.
재발 방지 — 사후 타임라인·보고·탐지 규칙 보강으로 측면 이동 대응을 마무리합니다.

11. 핵심 정리

단계	조치
분류	정탐/오탐·심각도
조사	경로·허브·타임라인
확산 차단	허브 격리·자격 교체(최우선)
복구	정리·패치·모니터링
면접 포인트	"측면 이동은 활성 확산 — 허브 격리+자격 교체로 확산 차단이 최우선"