357. 방어 회피·흔적 삭제 — 탐지 우회 기법의 분류

목록 보기

357/450

시스템 보안 · 취약점 › H. 방어 회피 · 흔적 삭제 징후 · 7/50편 (전체 357/450)
학습 단계: 방어 회피 기본 개념
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

1. 개념

공격자는 탐지 방식에 따라 다른 우회 기법을 씁니다. 로그 기반·규칙 기반·행위 기반 탐지를 각각 어떻게 우회하는지 분류하면, 탐지 체계의 약점과 보강 방향이 보입니다.

탐지 방식별 우회 기법
 로그 기반 탐지 우회:
   로그 삭제·변조·전송 차단 → 로그 자체를 없앰
 규칙(시그니처) 기반 우회:
   난독화·인코딩·변형 → 패턴 매칭 회피
 행위 기반 우회:
   저속·간헐 실행, LOLBins → 정상 행위로 위장

핵심: 탐지 방식마다 우회 기법이 다름 → 다층 탐지 필요

단일 탐지 방식은 해당 우회 기법에 뚫립니다. 로그+규칙+행위 다층 탐지로 우회를 상호 보완해야 합니다.

2. 왜 중요한가

공격자는 탐지 방식(로그·규칙·행위)에 맞춰 각기 다른 우회 기법을 사용합니다.
단일 탐지 방식은 해당 우회에 뚫리므로 다층 탐지가 필요합니다.
우회 기법 분류는 탐지 체계의 약점과 보강 방향을 드러냅니다.

3. 핵심 명령어 / 설정

탐지 방식	우회 기법	보강
로그 기반	삭제·변조·차단	중앙 수집·무결성
규칙(시그니처)	난독화·인코딩	행위·이상 탐지
행위 기반	저속·LOLBins	기준선·상관
네트워크	터널·암호화	흐름·메타 분석
종합	다층 우회	다층 탐지

4. 실습 (실습 예시)

# 탐지 우회 기법 분류 점검 (분석 방법)
# 로그 기반 우회(삭제·전송 차단)
sudo ausearch -k log_tamper -i --start recent 2>/dev/null | tail
# 규칙 기반 우회(난독화·인코딩)
sudo ausearch -k proc_exec -i --start recent 2>/dev/null | grep -E 'base64|eval|\\\\x[0-9a-f]{2}' | tail
# 행위 기반 우회(정상 도구 악용)
sudo ausearch -k proc_exec -i --start recent 2>/dev/null | grep -E 'comm="(curl|wget|bash)".*/tmp/' | tail

5. 정상 상태

$ (로그·규칙·행위 우회) (없음 — 정상)

로그 삭제·난독화·정상 도구 악용 흔적이 모두 없는 상태가 정상입니다.

6. 이상 상태

$ (로그 기반 우회) rm /var/log/secure
$ (규칙 기반 우회) echo <base64> | base64 -d | bash (난독화 실행)
$ (행위 기반 우회) curl로 느리게 분할 다운로드(저속 회피)

로그 삭제 → 로그 기반 탐지 우회
base64 디코드 후 실행 → 시그니처 우회
저속·정상 도구 활용 → 행위 기반 우회
여러 우회 기법 동시 사용 → 다층 방어 회피 → 정탐

7. 로그 분석 (분석 방법)

탐지 우회 vs 다층 탐지입니다(가상의 예시).

[공격자 우회]          [방어 다층 탐지]
 로그 삭제     ──막힘── 중앙 수집(로그 밖 보존)
 난독화 명령   ──막힘── 행위 탐지(실행 계보)
 LOLBins 활용  ──막힘── 기준선·상관(비정상 맥락)
      ↓
 한 방식을 우회해도 다른 층에서 탐지
 = 다층 탐지가 우회를 상호 보완

우회	막는 층
로그 삭제	중앙 수집
난독화	행위 탐지
LOLBins	기준선·상관

다층 탐지가 단일 우회를 무력화합니다.

8. SOC 관제 포인트

탐지 우회는 로그 기반·규칙 기반·행위 기반 탐지를 각각 다른 기법으로 회피합니다.
단일 탐지 방식은 해당 우회에 뚫리므로 로그+규칙+행위 다층 탐지가 필요합니다.
우회 기법 분류는 탐지 체계의 약점과 보강 방향을 제시합니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_h,defense_evasion,">
  <rule id="107060" level="10">
    <if_sid>107000</if_sid>
    <description>탐지 우회 기법(로그·규칙·행위 기반 우회 분류 대상)</description>
    <mitre><id>T1070</id><id>T1027</id><id>T1562</id></mitre>
  </rule>
</group>

로그·규칙·행위 기반 탐지를 다층 구성해 우회를 상호 보완합니다. 각 층의 우회 신호를 별도 룰로 탐지합니다.

10. 대응 방법

초기 확인 — 탐지 방식(로그·규칙·행위)별 우회 기법을 분류·확인합니다.
범위 확인 — 각 우회가 다른 탐지 층에서 포착되는지(다층 보완) 확인합니다.
증거 확보 — 우회 신호·다층 탐지 결과를 보존합니다.
차단/조치 — 우회 정탐이면 뚫린 층 보강·은폐 활동 추적을 진행합니다.
재발 방지 — 다층 탐지 기반 우회 대응을 운영합니다.

11. 핵심 정리

탐지 방식	우회 기법
로그 기반	삭제·변조·차단
규칙(시그니처)	난독화·인코딩
행위 기반	저속·LOLBins
네트워크	터널·암호화
면접 포인트	"탐지 방식마다 우회가 다름 — 로그+규칙+행위 다층 탐지로 상호 보완"