349. 내부 확장·측면 이동 — 실전 시나리오 — 침투부터 핵심 자산 장악까지

목록 보기

349/450

시스템 보안 · 취약점 › G. 내부 확장 · 측면 이동 징후 · 49/50편 (전체 349/450)
학습 단계: 실전 시나리오·종합
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

1. 개념

G영역에서 배운 탐지·분석·대응을 하나의 실전 시나리오로 종합합니다. 외부 웹 침투부터 내부 확산, 핵심 자산(DB 마스터) 장악, 유출 시도까지의 전 과정을 SOC 관점에서 탐지·조사·차단하는 흐름을 연습합니다.

실전 시나리오: 침투 → 핵심 자산 장악
 1. 침투: 웹 취약점으로 web01 장악
 2. 정찰: 내부 스캔·열거(G29·G30)
 3. 인증 이동: SSH 키 재사용으로 db01(G10)
 4. 상승·수집: 권한 상승·자격 수집(G36·G32)
 5. 확산: db01→app01→dbmaster(G33·G35)
 6. 목표: dbmaster 데이터 수집·유출(G37)
 ← 각 단계에서 탐지·차단 기회

이 시나리오는 가상의 예시이며, 각 단계마다 어떤 신호가 발생하고 어떻게 탐지·대응하는지를 종합합니다.

2. 왜 중요한가

실전 시나리오는 개별 탐지 지식을 하나의 사건 흐름으로 통합합니다.
각 단계마다 탐지·차단 기회가 있어, 다층 방어의 가치를 보여줍니다.
조기 단계(정찰·초기 이동) 탐지가 피해를 최소화함을 확인합니다.

3. 핵심 명령어 / 설정

단계	신호	탐지 룰
침투	웹 이상·웹셸	웹 로그
정찰	스캔·열거	106280·106290
인증 이동	키 재사용	106080
상승·수집	sudo·자격 수집	106350·106310
목표	핵심 자산·유출	106330·106360

4. 실습 (실습 예시)

# 실전 시나리오 탐지 흐름 (분석 방법)
# 단계별 신호를 시간순 종합 조회(타임라인)
sudo ausearch -k lateral,recon,privesc,exfil -i --start recent 2>/dev/null | grep -E 'nmap|id_rsa|sudo|dbmaster|mysqldump' | sort
# 확산 경로·허브 식별
sudo ausearch -k lateral -i --start recent 2>/dev/null | grep -oE 'srcip=10\.[0-9.]+.*addr=10\.[0-9.]+' | sort | uniq -c

5. 정상 상태

$ (단계별 신호) (평시 — 각 단계 신호 없음, 정상 운영)

평시에는 정찰·이동·상승·유출 신호가 없고, 단계가 연쇄되지 않는 정상 운영 상태입니다.

6. 이상 상태

$ (단계별 신호 — 시나리오 진행)
09:00 web01 웹셸(침투)
09:05 web01 nmap(정찰, 106280)
09:12 web01→db01 SSH 키 재사용(이동, 106080)
09:15 db01 sudo 상승(106350) + id_rsa 수집(106310)
09:20 db01→app01→dbmaster(확산, 106340)
09:25 dbmaster mysqldump → 외부 유출(106360)
→ 각 단계 탐지 룰 발동, 상관으로 캠페인 경보(106430)

각 공격 단계가 대응 탐지 룰을 발동 → 다층 탐지
상관 룰(106430)이 캠페인으로 묶어 경보
조기 단계(정찰·초기 이동) 차단 시 핵심 자산 보호 가능

7. 로그 분석 (분석 방법)

실전 시나리오 탐지·대응 흐름입니다(가상의 예시).

[침투] web01 웹셸
   ↓ 탐지: 웹 로그 이상
[정찰] nmap 스캔(106280) ← 차단 기회 1
   ↓
[이동] SSH 키 재사용 db01(106080) ← 차단 기회 2
   ↓
[상승·수집] sudo(106350)+키 수집(106310) ← 차단 기회 3
   ↓
[확산] db01→app01→dbmaster(106340) ← 차단 기회 4
   ↓
[목표] mysqldump→유출(106360) ← 마지막 기회
   ↓ 상관
캠페인 경보(106430) → 대응 플레이북(G47)
 = 다층 탐지로 어느 단계든 차단 가능

차단 기회	효과
정찰 단계	피해 없음
이동 단계	확산 전 차단
확산 단계	핵심 자산 보호
목표 단계	유출 저지

조기 단계 탐지일수록 피해가 작음을 보여줍니다.

8. SOC 관제 포인트

실전 시나리오는 침투→정찰→이동→상승·수집→확산→목표의 전 과정을 종합합니다.
각 단계마다 탐지 룰이 발동하고 상관으로 캠페인 경보가 나는 다층 방어를 확인합니다.
조기 단계(정찰·초기 이동) 탐지가 핵심 자산 보호와 피해 최소화의 열쇠입니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_g,lateral,scenario,">
  <rule id="106480" level="15" frequency="4" timeframe="1800">
    <if_matched_group>lateral</if_matched_group>
    <same_field>audit.srcip</same_field>
    <description>침투-정찰-이동-확산-목표 전 단계 연쇄(실전 캠페인)</description>
    <mitre><id>T1190</id><id>T1021</id><id>T1041</id></mitre>
  </rule>
</group>

단계별 룰과 상관 룰을 종합해 전 과정을 추적합니다. 조기 단계 경보에 신속 대응하면 핵심 자산 도달 전에 차단할 수 있습니다.

10. 대응 방법

초기 확인 — 단계별 신호를 시간순 종합(타임라인)해 시나리오를 재구성합니다.
범위 확인 — 각 단계 탐지 룰 발동·상관 경보·차단 기회를 확인합니다.
증거 확보 — 전 과정 타임라인·경로·증거를 보존합니다.
차단/조치 — 가장 이른 탐지 단계에서 확산 차단·자산 보호 대응을 진행합니다.
재발 방지 — 실전 시나리오 기반 측면 이동 탐지·대응을 연습·운영합니다.

11. 핵심 정리

단계	탐지 룰
침투	웹 로그
정찰	106280·106290
인증 이동	106080
목표	106330·106360
면접 포인트	"실전은 다층 탐지 — 조기 단계(정찰·이동) 차단이 핵심 자산을 지킴"