351. 방어 회피·흔적 삭제 — 방어 회피·흔적 삭제 징후 분석 개요

목록 보기

351/450

시스템 보안 · 취약점 › H. 방어 회피 · 흔적 삭제 징후 · 1/50편 (전체 351/450)
학습 단계: 방어 회피 기본 개념
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

1. 개념

H영역 「방어 회피 · 흔적 삭제 징후」를 시작합니다. 공격자는 침투·확산(A~G영역)과 동시에 탐지를 회피하고 흔적을 지웁니다. 이 영역은 로그 삭제·변조, 보안 기능 무력화, 위장·난독화를 탐지하고, 지워진 흔적을 복원·교차 검증하는 방법을 다룹니다.

방어 회피·흔적 삭제의 위치
 침투 → 실행 → 지속성 → 확산 → 목표
   ↕ (전 단계에 걸쳐 병행)
 방어 회피(defense evasion)
  · 로그 삭제·변조 (흔적 제거)
  · 보안 기능 무력화 (탐지 차단)
  · 위장·난독화 (정상처럼 보이기)

핵심: 공격을 숨기는 활동 자체가 강한 침해 신호

방어 회피는 특정 단계가 아니라 공격 전 과정에 병행됩니다. "흔적을 지우려는 행위" 자체가 역설적으로 가장 강력한 침해 지표입니다.

2. 왜 중요한가

방어 회피는 다른 모든 공격 단계를 숨기므로, 이를 놓치면 침해 전체를 놓칩니다.
로그가 삭제·변조되면 사고 분석의 근거가 사라져 대응이 불가능해집니다.
"흔적 삭제·보안 무력화" 시도 자체가 정상 운영에 없는 강한 침해 신호입니다.

3. 핵심 명령어 / 설정

분류	내용	편
기초	개념·기준선·판정	H01~H08
로그 삭제·변조	흔적 제거	H09~H18
보안 무력화·은닉	탐지 차단	H19~H28
위장·난독화	정상 위장	H29~H38
분석·SOC	복원·상관·대응	H39~H50

4. 실습 (실습 예시)

# 방어 회피 개요 점검 (분석 방법)
# 로그 삭제·보안 무력화 흔적 통합 조회
sudo ausearch -k log_tamper,sec_disable -i --start recent 2>/dev/null | tail
# 중앙 수집 상태(로컬 삭제 대비 핵심)
grep -rE '@@|omfwd|output' /etc/rsyslog.conf /etc/rsyslog.d/ 2>/dev/null | head

5. 정상 상태

$ (로그 삭제·보안 무력화) (없음 — 정상)
$ (중앙 수집) 설정됨

로그 삭제·보안 무력화 흔적이 없고, 중앙 로그 수집이 설정되어 로컬 삭제에도 증거가 보존되는 상태가 정상입니다.

6. 이상 상태

$ (로그 삭제·보안 무력화)
rm /var/log/secure (로그 삭제)
systemctl stop auditd (감사 중지)
→ 흔적 제거 + 탐지 차단 동시 시도

로그 삭제 + 보안 기능 중지가 함께 나타남 → 방어 회피 활동
흔적을 지우려는 행위 자체가 침해 진행의 신호
방어 회피 시도 → 다른 공격 단계 은폐 중 → 정탐

7. 로그 분석 (분석 방법)

H영역 학습 흐름입니다(가상의 예시).

[기초] 개념·안티포렌식·무결성·판정(H01~H08)
   ↓
[로그 삭제·변조] 삭제·히스토리·타임스톰핑(H09~H18)
   ↓
[보안 무력화·은닉] 도구 중지·루트킷·은닉(H19~H28)
   ↓
[위장·난독화] masquerading·난독화·LOLBins(H29~H38)
   ↓
[분석·SOC] 복원·상관·Wazuh/SIEM·대응(H39~H50)
 = 숨기는 활동을 역으로 탐지

흐름	목표
기초	판단 기준
탐지	삭제·무력화·위장
분석	복원·상관
SOC	탐지·대응

방어 회피 탐지는 "숨기려는 행위를 신호로 삼는" 역발상이 핵심입니다.

8. SOC 관제 포인트

H영역은 방어 회피·흔적 삭제(탐지 회피·증거 제거)를 탐지·복원하는 전 과정을 다룹니다.
방어 회피는 공격 전 단계에 병행되며, 흔적 삭제 시도 자체가 강한 침해 신호입니다.
중앙 로그 수집·무결성 감시가 로컬 삭제·변조에 맞서는 핵심 기반입니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_h,defense_evasion,">
  <rule id="107000" level="5">
    <decoded_as>auditd</decoded_as>
    <field name="audit.key" type="pcre2">log_tamper|sec_disable|evasion</field>
    <description>방어 회피·흔적 삭제 관련 감사 이벤트(H영역 베이스)</description>
    <mitre><id>T1070</id><id>T1562</id></mitre>
  </rule>
</group>

107000은 H영역 기반 룰입니다. 개별 탐지(107010~)가 상속해 세분화합니다. Wazuh 룰 베이스: H영역 107000번대.

10. 대응 방법

초기 확인 — 로그 삭제·보안 무력화·위장 흔적을 통합 조회합니다.
범위 확인 — 방어 회피 활동이 다른 공격 단계와 병행되는지 확인합니다.
증거 확보 — 방어 회피 이벤트와 중앙 수집 로그를 보존합니다.
차단/조치 — 방어 회피 정탐이면 은폐된 공격 단계 추적·대응을 진행합니다.
재발 방지 — H영역 방어 회피·흔적 삭제 탐지 체계를 운영합니다.

11. 핵심 정리

분류	내용
기초	개념·기준선·판정
로그 삭제·변조	흔적 제거
보안 무력화·은닉	탐지 차단
위장·난독화	정상 위장
면접 포인트	"흔적을 지우려는 행위 자체가 가장 강한 침해 신호"