348. 내부 확장·측면 이동 — 내부 확장·측면 이동 탐지 규칙 모음

목록 보기

348/450

시스템 보안 · 취약점 › G. 내부 확장 · 측면 이동 징후 · 48/50편 (전체 348/450)
학습 단계: SOC 탐지 연계
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

1. 개념

G영역에서 설계한 측면 이동 탐지 규칙을 공격 단계별로 분류한 카탈로그로 정리합니다. 정찰→인증 이동→원격 실행→확산→목표의 단계마다 핵심 룰을 매핑해, 다층 방어(defense in depth) 관점에서 운영합니다.

측면 이동 탐지 규칙 카탈로그(단계별)
 [정찰] 스캔·열거·디렉터리
 [인증 이동] SSH·키 재사용·자격 재사용·PtH
 [원격 실행] 명령·스케줄러·SMB·DB·웹·터널
 [확산] 경로·홉·자격 수집
 [목표] 핵심 자산·상승 연계·유출 연계
 [상관] 캠페인·부채꼴·체인
 = 단계별 다층 탐지

카탈로그의 목적은 "어느 단계든 하나는 걸리게" 하는 다층 방어입니다. 단계별 룰을 모두 운영해 탐지 사각을 줄입니다.

2. 왜 중요한가

측면 이동은 여러 단계를 거치므로, 단계별 다층 룰이 탐지 확률을 높입니다.
어느 단계든 탐지하면 조기 차단 기회이므로 전 단계 커버가 중요합니다.
카탈로그로 룰을 체계화하면 누락 점검·튜닝·갱신이 쉬워집니다.

3. 핵심 명령어 / 설정

단계	핵심 룰	MITRE
정찰	106280·106290·106300	T1046·T1087
인증 이동	106080·106110·106130	T1021·T1550
원격 실행	106170·106200·106230	T1210·T1059
확산	106310·106320·106340	T1552·T1090
목표·상관	106330·106360·106430	T1041·T1078

4. 실습 (실습 예시)

# 측면 이동 탐지 규칙 운영 점검 (분석 방법)
# 적재된 G영역 룰 목록·레벨 확인
sudo grep -rE 'id="10(6)[0-9]{3}"' /var/ossec/etc/rules/ 2>/dev/null | grep -oE 'id="[0-9]+" level="[0-9]+"' | sort
# 단계별 룰 커버리지 점검(누락 단계 확인)
echo "정찰·인증이동·원격실행·확산·목표·상관 각 단계 룰 존재 여부 점검"
# 전체 룰 문법 검증
sudo /var/ossec/bin/wazuh-logtest

5. 정상 상태

$ (룰 목록) (정찰~상관 전 단계 룰 적재·검증 통과)

정찰부터 상관까지 전 단계 룰이 적재되고 문법 검증을 통과해, 단계별 커버리지에 누락이 없는 상태가 정상입니다.

6. 이상 상태

운영 이슈 예:
 · 특정 단계 룰 누락 → 그 단계 탐지 사각
 · 과도한 레벨·광범위 조건 → 오탐 폭증
 · 기준선 예외 미설정 → 정상 관리 오탐
 · 룰 미갱신 → 새 이동 기법 미탐
→ 카탈로그로 누락·튜닝·갱신 점검

단계 누락 → 탐지 사각 → 전 단계 커버 확인 필요
광범위 조건·기준선 미설정 → 오탐 → 조건 정밀화·예외 설정
카탈로그 기반 정기 점검으로 사각·오탐·미탐 관리

7. 로그 분석 (분석 방법)

측면 이동 탐지 규칙 카탈로그 구조입니다(가상의 예시).

공격 단계 →      탐지 룰(다층)
[정찰] ────── 106280(스캔)·106290(열거)·106300(디렉터리)
[인증 이동] ── 106080(키 재사용)·106110(자격 재사용)·106130(계정 전환)
[원격 실행] ── 106170(명령)·106200(SMB)·106230(DB)·106260(터널)
[확산] ────── 106310(수집)·106320(경로)·106340(홉)
[목표] ────── 106330(핵심 자산)·106360(유출 연계)
[상관] ────── 106430(캠페인)·106450(흐름 연계)
 = 어느 단계든 하나는 걸리는 다층 방어

관점	운영
단계별	다층 커버
레벨	우선순위
기준선	오탐 제거
갱신	신규 기법

단계별 다층 커버 + 지속 튜닝이 카탈로그 운영의 핵심입니다.

8. SOC 관제 포인트

G영역 탐지 규칙을 공격 단계별 카탈로그로 정리해 다층 방어를 운영합니다.
정찰→인증 이동→원격 실행→확산→목표→상관 전 단계를 커버해 사각을 줄입니다.
카탈로그로 누락 점검·오탐 튜닝·신규 기법 갱신을 체계적으로 관리합니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_g,lateral,catalog,">
  <!-- 단계별 룰은 각 편(106080~106450)을 참조, 베이스로 묶음 관리 -->
  <rule id="106470" level="3">
    <if_group>lateral</if_group>
    <description>측면 이동 탐지 카탈로그(단계별 룰 묶음 관리)</description>
    <mitre><id>T1021</id></mitre>
  </rule>
</group>

lateral 그룹으로 전 단계 룰을 묶어 관리하고, 레벨·기준선 예외를 일괄 튜닝합니다. 정기적으로 커버리지·오탐·신규 기법을 점검·갱신합니다.

10. 대응 방법

초기 확인 — 단계별(정찰~상관) 룰 적재·커버리지·문법을 점검합니다.
범위 확인 — 레벨·조건·기준선 예외의 오탐·미탐 균형을 확인합니다.
증거 확보 — 룰 카탈로그·커버리지 맵·튜닝 이력을 문서화·보존합니다.
차단/조치 — 누락 단계는 룰 추가, 오탐은 예외·조건 정밀화로 지속 튜닝합니다.
재발 방지 — 측면 이동 탐지 규칙 카탈로그를 운영·갱신합니다.

11. 핵심 정리

단계	핵심 룰
정찰	106280·106290·106300
인증 이동	106080·106110·106130
원격 실행	106170·106200·106230
목표·상관	106330·106360·106430
면접 포인트	"단계별 다층 룰로 어느 단계든 탐지 — 카탈로그로 사각·오탐·갱신 관리"