355. 방어 회피·흔적 삭제 — 안티포렌식(anti-forensics)의 원리

시스템 보안 · 취약점 › H. 방어 회피 · 흔적 삭제 징후 · 5/50편 (전체 355/450)
학습 단계: 방어 회피 기본 개념
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

• 354. 방어 회피·흔적 삭제 — 방어 회피 정상 기준선 만들기
• 005. 접근 주체·경로·시점의 분석 축(C영역)

1. 개념

안티포렌식(anti-forensics)은 포렌식 분석을 방해·무력화하는 기법입니다. 흔적을 지우는 것(삭제)을 넘어, 증거를 왜곡·은닉·파괴해 분석가가 사건을 재구성하지 못하게 합니다.

안티포렌식 4대 유형
 ① 파괴(destruction): 로그·파일 삭제·덮어쓰기(shred)
 ② 은닉(hiding): 숨김 파일·슬랙 공간·스테가노그래피
 ③ 왜곡(obfuscation): 타임스탬프 변조·가짜 흔적
 ④ 방해(counter-analysis): 분석 도구 탐지·VM 회피

한계: 완벽한 삭제는 어려움 — 중앙 로그·메모리·
      교차 아티팩트에 흔적이 남음

핵심은 "완벽한 안티포렌식은 어렵다"는 점입니다. 중앙 수집 로그, 메모리, 다른 아티팩트에 흔적이 남으므로 교차 검증으로 복원할 수 있습니다.

2. 왜 중요한가

• 안티포렌식은 단순 삭제를 넘어 증거 왜곡·은닉·파괴로 분석 자체를 방해합니다.
• 완벽한 삭제는 어려워 중앙 로그·메모리·교차 아티팩트에 흔적이 남습니다.
• 안티포렌식 유형을 알면 어디서 복원 단서를 찾을지 판단할 수 있습니다.

3. 핵심 명령어 / 설정

유형	기법	복원 단서
파괴	shred·덮어쓰기	중앙 로그·사본
은닉	숨김·슬랙 공간	파일시스템 분석
왜곡	타임스톰핑	로그 간 교차
방해	VM·분석 회피	행위 기반 탐지

4. 실습 (실습 예시)

# 안티포렌식 흔적 탐지 (분석 방법)
# 안전 삭제 도구(파괴) 사용
sudo ausearch -k log_tamper,proc_exec -i --start recent 2>/dev/null | grep -E 'comm="(shred|wipe|dd)"' | tail
# 숨김 파일·비정상 위치(은닉)
sudo find /tmp /dev/shm /var/tmp -name '.*' -type f 2>/dev/null | head
# 타임스탬프 변조 도구(왜곡)
sudo ausearch -k proc_exec -i --start recent 2>/dev/null | grep -E 'comm="touch".*-[tdr]' | tail

5. 정상 상태

$ (안전 삭제) (없음)
$ (숨김 파일) (정상 설정 파일만)
$ (타임스탬프 변조) (없음)

안전 삭제 도구·비정상 숨김 파일·타임스탬프 변조 흔적이 없는 상태가 정상입니다.

6. 이상 상태

$ (안전 삭제) comm="shred" /var/log/secure (복구 방지 삭제)
$ (숨김 파일) /dev/shm/.hidden_payload (은닉)
$ (타임스탬프 변조) touch -r /bin/ls /tmp/.x (정상 파일 시간 복사)

• shred로 로그 복구 방지 삭제 → 파괴형 안티포렌식
• /dev/shm 숨김 파일 → 은닉형
• touch -r로 타임스탬프 위조 → 왜곡형
• 안티포렌식 흔적 → 포렌식 방해 시도 → 정탐(강한 침해 신호)

7. 로그 분석 (분석 방법)

안티포렌식 vs 복원 분석입니다(가상의 예시).

[공격자 안티포렌식]
 shred 로그 삭제 → 로컬 증거 파괴
 touch 타임스탬프 위조 → 시간 왜곡
      ↕ (복원 분석)
[분석가]
 중앙 수집 로그 → 삭제 전 사본 확보
 로그 간 교차(auditd vs syslog) → 위조 시간 발견
 = 완벽한 삭제 불가 → 교차 검증으로 복원

안티포렌식	복원 수단
로그 파괴	중앙 사본
시간 왜곡	로그 교차
파일 은닉	FS 분석

중앙 수집·교차 검증이 안티포렌식을 무력화합니다.

8. SOC 관제 포인트

• 안티포렌식은 증거 파괴·은닉·왜곡·분석 방해로 포렌식을 무력화하는 기법입니다.
• 완벽한 삭제는 어려워 중앙 로그·메모리·교차 아티팩트에 흔적이 남습니다.
• 안티포렌식 시도 자체가 강한 침해 신호이며, 교차 검증으로 복원 가능합니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_h,defense_evasion,">
  <rule id="107040" level="13">
    <if_sid>107000</if_sid>
    <field name="audit.comm" type="pcre2">^(shred|wipe|srm)$</field>
    <description>안전 삭제 도구 사용(안티포렌식·증거 파괴)</description>
    <mitre><id>T1070.004</id><id>T1485</id></mitre>
  </rule>
</group>

안전 삭제·타임스톰핑·숨김 파일은 안티포렌식 신호로 높은 레벨로 경보합니다. 중앙 수집·FIM과 상관해 복원 단서를 확보합니다.

10. 대응 방법

1. 초기 확인 — 안티포렌식 유형(파괴·은닉·왜곡·방해)별 흔적을 확인합니다.
2. 범위 확인 — 안전 삭제·숨김 파일·타임스탬프 변조·분석 회피를 확인합니다.
3. 증거 확보 — 중앙 로그·교차 아티팩트로 복원 단서를 보존합니다.
4. 차단/조치 — 안티포렌식 정탐이면 교차 검증으로 복원·은폐 공격 추적을 진행합니다.
5. 재발 방지 — 안티포렌식 탐지·복원 관점을 운영합니다.

11. 핵심 정리

유형	기법
파괴	shred·덮어쓰기
은닉	숨김·슬랙 공간
왜곡	타임스톰핑
방해	VM·분석 회피
면접 포인트	"완벽한 안티포렌식은 어렵다 — 중앙 로그·교차 아티팩트로 복원 가능"

12. 다음 편 예고

다음 편 356. 방어 회피·흔적 삭제 — 로그 무결성과 변조 탐지 원리 에서는 로그 무결성과 변조 탐지 원리를 다루는 로그 무결성과 변조 탐지 원리를 다룹니다.

---

이전 편: 354. 방어 회피·흔적 삭제 — 방어 회피 정상 기준선 만들기
📚 시리즈 전체 보기: 시스템 보안 · 취약점