352. 방어 회피·흔적 삭제 — 방어 회피(defense evasion)의 개념과 공격 단계

목록 보기

352/450

시스템 보안 · 취약점 › H. 방어 회피 · 흔적 삭제 징후 · 2/50편 (전체 352/450)
학습 단계: 방어 회피 기본 개념
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

1. 개념

방어 회피(Defense Evasion, ATT&CK TA0005)는 공격자가 탐지·방어 메커니즘을 회피하는 모든 활동입니다. 다른 전술(실행·지속성·확산)과 달리 "목적 달성"이 아니라 "들키지 않기"가 목표입니다.

방어 회피의 3대 목표
 ① 흔적 제거: 로그·히스토리·파일 삭제·변조
   → 사후 분석 근거 제거
 ② 탐지 차단: 보안 도구·감사·방화벽 무력화
   → 실시간 탐지 차단
 ③ 정상 위장: 난독화·masquerading·LOLBins
   → 분석가·룰을 속임

= 탐지·분석·대응 모두를 방해

방어 회피는 침투 직후부터 목표 달성 후까지 전 과정에 쓰입니다. 특히 흔적 삭제는 공격 마무리 단계에, 보안 무력화는 초기에 집중됩니다.

2. 왜 중요한가

방어 회피는 다른 모든 전술을 숨겨, 탐지 실패 시 침해 전체를 놓치게 합니다.
흔적 제거·탐지 차단·정상 위장의 3대 목표로 분류하면 체계적 탐지가 가능합니다.
ATT&CK Defense Evasion은 가장 많은 기법을 가진 전술로, 다양성이 큽니다.

3. 핵심 명령어 / 설정

목표	대표 기법	ATT&CK
흔적 제거	로그 삭제·타임스톰핑	T1070
탐지 차단	보안 도구 무력화	T1562
정상 위장	masquerading	T1036
난독화	인코딩·난독화	T1027
신뢰 악용	LOLBins·서명	T1218

4. 실습 (실습 예시)

# 방어 회피 기법 분류 점검 (분석 방법)
# ① 흔적 제거
sudo ausearch -k log_tamper -i --start recent 2>/dev/null | grep -E 'comm="(rm|shred|truncate)"' | tail
# ② 탐지 차단
sudo ausearch -k sec_disable -i --start recent 2>/dev/null | grep -E 'auditd|firewalld|selinux' | tail
# ③ 정상 위장
sudo ausearch -k proc_exec -i --start recent 2>/dev/null | grep -E 'exe=.*/tmp/.*name="(sshd|cron)"' | tail

5. 정상 상태

$ (3대 목표 흔적) (없음 — 정상 운영)

흔적 제거·탐지 차단·정상 위장 흔적이 모두 없는 상태가 정상입니다.

6. 이상 상태

$ (흔적 제거) shred -u /var/log/secure
$ (탐지 차단) systemctl stop auditd
$ (정상 위장) /tmp/.sshd (정상 이름으로 위장한 악성 실행)

로그 안전 삭제(shred) → 흔적 제거
감사 중지 → 탐지 차단
정상 프로세스명 위장 → 분석가 속이기
3대 목표 중 하나라도 나타나면 방어 회피 → 정탐

7. 로그 분석 (분석 방법)

방어 회피 전술 흐름입니다(가상의 예시).

[침투 직후] 보안 무력화(탐지 차단)
   auditd 중지, 방화벽 변조
   ↓ (공격 진행 중)
[난독화·위장] 정상처럼 활동
   LOLBins, masquerading, 난독화 명령
   ↓ (목표 달성 후)
[흔적 제거] 로그·히스토리 삭제
   = 전 과정에 방어 회피 병행

시점	방어 회피
침투 직후	탐지 차단
공격 중	정상 위장
마무리	흔적 제거

방어 회피는 공격 타임라인 전체에 분포합니다.

8. SOC 관제 포인트

방어 회피(TA0005)는 탐지·방어 회피가 목적인 전술로, 흔적 제거·탐지 차단·정상 위장의 3대 목표를 가집니다.
침투 직후(무력화)부터 마무리(흔적 삭제)까지 전 과정에 병행됩니다.
3대 목표로 분류하면 다양한 기법을 체계적으로 탐지할 수 있습니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_h,defense_evasion,">
  <rule id="107010" level="10">
    <if_sid>107000</if_sid>
    <description>방어 회피 기법 탐지(흔적 제거·탐지 차단·정상 위장)</description>
    <mitre><id>T1070</id><id>T1562</id><id>T1036</id></mitre>
  </rule>
</group>

3대 목표(흔적 제거·탐지 차단·정상 위장)별 하위 룰을 상속 구성합니다. ATT&CK Defense Evasion 하위 기법으로 세분화합니다.

10. 대응 방법

초기 확인 — 방어 회피 활동을 3대 목표(흔적 제거·탐지 차단·정상 위장)로 분류합니다.
범위 확인 — 공격 타임라인 어느 시점의 회피인지 확인합니다.
증거 확보 — 방어 회피 이벤트와 병행 공격 단계를 보존합니다.
차단/조치 — 방어 회피 정탐이면 은폐된 활동 추적·대응을 진행합니다.
재발 방지 — 방어 회피 전술 기반 탐지를 운영합니다.

11. 핵심 정리

목표	대표 기법
흔적 제거	로그 삭제·타임스톰핑
탐지 차단	보안 도구 무력화
정상 위장	masquerading·난독화
신뢰 악용	LOLBins·서명
면접 포인트	"방어 회피는 들키지 않기가 목적 — 흔적 제거·탐지 차단·정상 위장 3대 목표"