358. 방어 회피·흔적 삭제 — 방어 회피·흔적 삭제 판정 기준

시스템 보안 · 취약점 › H. 방어 회피 · 흔적 삭제 징후 · 8/50편 (전체 358/450)
학습 단계: 방어 회피 기본 개념
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

• 357. 방어 회피·흔적 삭제 — 탐지 우회 기법의 분류
• 354. 방어 회피 정상 기준선 만들기

1. 개념

정상 운영에도 로그 삭제·보안 재시작이 있으므로, 판정 기준이 없으면 오탐이 많습니다. 1단계(기초)를 마무리하며, 방어 회피를 판정하는 6가지 축을 정리합니다.

방어 회피 판정 6축
 ① 주체: 서비스 계정·탈취 계정(위험) vs root·logrotate(정상)
 ② 대상: 보안 로그·감사·방화벽(위험) vs 임시 로그(정상)
 ③ 방식: shred·수동 삭제·무력화(위험) vs logrotate(정상)
 ④ 시점: 비정기·새벽·공격 직후(위험) vs 정기(정상)
 ⑤ 연계: 다른 공격 단계 병행(위험) vs 단독(정상)
 ⑥ 복구성: 복구 방지(shred)·중앙 차단(위험) vs 일반(정상)

다수 축 위험 = 정탐 / 대부분 정상 = 오탐

6축은 H09~ 모든 개별 탐지의 판정 근거입니다. 특히 주체(서비스 계정)·연계(공격 병행)·복구성(shred·중앙 차단)이 결정적입니다.

2. 왜 중요한가

• 단일 축(로그 삭제)만으로 판정하면 정상 로그 관리까지 경보가 됩니다(과탐).
• 다축 결합이 정탐 정확도를 높이고, 주체·연계·복구성이 공격을 확정합니다.
• 판정 기준 명문화로 관제원 일관성과 룰 설계 근거를 제공합니다.

3. 핵심 명령어 / 설정

축	위험 신호	정상 신호
주체	서비스·탈취 계정	root·logrotate
대상	보안 로그·감사·방화벽	임시 로그
방식	shred·무력화	logrotate
시점	비정기·새벽	정기
연계	공격 병행	단독
복구성	복구 방지·중앙 차단	일반

4. 실습 (실습 예시)

# 방어 회피 판정 (분석 방법) — 한 사건을 6축으로
# 예: www-data가 shred /var/log/audit 03시, 직전 권한 상승
echo "① 주체: www-data(서비스 계정) → 위험"
echo "② 대상: audit 로그(감사) → 위험"
echo "③ 방식: shred(복구 방지) → 위험"
echo "④ 시점: 03시(비정기) → 위험"
echo "⑤ 연계: 직전 권한 상승(D영역) → 위험"
echo "⑥ 복구성: shred+중앙 차단 → 위험"
echo "=> 6축 전부 위험 → 정탐"

5. 정상 상태

정상(오탐) 판정:
 root가 logrotate로 임시 로그 정리, 정기 창, 단독
 ① root ② 임시로그 ③ logrotate ④ 정기 ⑤ 단독 ⑥ 일반
 => 6축 정상 → 정상 로그 관리(Benign)

root가 logrotate로 정기 창에 임시 로그를 정리하는 정상 동작은 6축이 모두 정상(오탐)입니다.

6. 이상 상태

정탐 판정:
 www-data가 shred /var/log/audit, 03시, 권한 상승 직후
 ① 서비스계정 ② 감사로그 ③ shred ④ 새벽 ⑤ 공격병행 ⑥ 복구방지
 => 6축 전부 위험 → 정탐(방어 회피)

정상 사례와 6축이 모두 반대입니다. 축별 판정이 일관되게 정탐을 가리킵니다.

7. 로그 분석 (분석 방법)

방어 회피 판정 6축 적용입니다(가상의 예시).

사건                               주체 대상 방식 시점 연계 복구 판정
root logrotate 임시로그(정기)       정  정  정  정  정  정  정상
www-data shred audit(03시,상승후)   위  위  위  위  위  위  정탐
admin rm app.log(업무시간,단독)     정  ?   ?   정  -   정  확인

위험 축 수	판정
0~1	정상·오탐
2~3	확인
4+	정탐

8. SOC 관제 포인트

• 방어 회피는 6축(주체·대상·방식·시점·연계·복구성) 결합으로 판정합니다.
• 단일 축은 오탐 가능, 다축 위험은 정탐이며 주체·연계·복구성이 결정적입니다.
• 이 판정 기준이 H영역 전체 탐지의 근거입니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_h,defense_evasion,">
  <!-- 서비스 계정 + 보안 로그 + 복구 방지 삭제 다축 결합 -->
  <rule id="107070" level="14">
    <if_sid>107030</if_sid>
    <field name="audit.comm" type="pcre2">^(shred|wipe)$</field>
    <description>서비스 계정의 보안 로그 복구 방지 삭제(다축 위험 방어 회피)</description>
    <mitre><id>T1070.004</id></mitre>
  </rule>
</group>

축을 조합할수록 정확합니다. 연계(공격 병행) 축은 상관 룰(H42)로 보완하고, 정상 로그 관리는 예외 처리합니다.

10. 대응 방법

1. 초기 확인 — 사건을 6축으로 평가해 위험 축 수를 산정합니다.
2. 범위 확인 — 다축 위험이면 병행 공격 단계·복구성을 확인합니다.
3. 증거 확보 — 6축 판정 근거와 관련 이벤트를 보존합니다.
4. 차단/조치 — 정탐은 은폐 공격 추적·대응, 오탐은 정상 관리 화이트리스트 튜닝을 진행합니다.
5. 재발 방지 — 6축 판정 기준을 H영역 탐지의 표준으로 운영합니다.

11. 핵심 정리

축	위험 vs 정상
주체·대상	서비스계정·보안로그 vs root·임시로그
방식·시점	shred·새벽 vs logrotate·정기
연계·복구성	공격병행·복구방지 vs 단독·일반
결정 축	주체·연계·복구성
면접 포인트	"방어 회피는 6축 결합 판정 — 주체(서비스계정)+연계(공격병행)+복구성이 핵심"

12. 다음 편 예고

다음 편 359. 방어 회피·흔적 삭제 — 로그 파일 삭제 탐지 에서는 로그 파일 삭제 탐지를 다루는 로그 파일 삭제 탐지를 다룹니다.

---

이전 편: 357. 방어 회피·흔적 삭제 — 탐지 우회 기법의 분류
📚 시리즈 전체 보기: 시스템 보안 · 취약점