365. 방어 회피·흔적 삭제 — 로그 전송 차단·중단 탐지

목록 보기

365/450

시스템 보안 · 취약점 › H. 방어 회피 · 흔적 삭제 징후 · 15/50편 (전체 365/450)
학습 단계: 로그 삭제·변조
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

1. 개념

중앙 로그 수집은 로컬 삭제·변조에 맞서는 핵심 안전장치입니다. 공격자는 로그를 지우기 전에 중앙 전송을 먼저 끊어 삭제 흔적까지 중앙에 안 남게 합니다. 전송 차단은 로그 삭제의 전조입니다.

로그 전송 차단 패턴
 전송 설정 제거: rsyslog @@logserver 라인 삭제
 전송 서비스 중지: rsyslog/filebeat/wazuh-agent 중지
 네트워크 차단: 중앙 서버로의 514/6514 방화벽 차단
 에이전트 종료: wazuh-agent·fluentd 중지

탐지: 중앙 수집 끊김(하트비트)·전송 설정 변경·에이전트 다운

핵심은 "중앙에서 본 로그 흐름이 끊기는 것"입니다. 에이전트 하트비트 중단·전송 설정 삭제가 로그 삭제의 전조 신호입니다.

2. 왜 중요한가

중앙 전송 차단은 로그 삭제·변조의 전조로, 삭제 흔적까지 숨기려는 준비입니다.
에이전트(wazuh·filebeat) 중지·방화벽 차단으로 전송을 끊습니다.
중앙에서 본 "로그 흐름 끊김"은 로컬에서 탐지 불가능한 것을 포착합니다.

3. 핵심 명령어 / 설정

차단 방식	수단	전조
전송 설정 제거	@@ 라인 삭제	삭제 준비
에이전트 중지	wazuh-agent stop	수집 중단
네트워크 차단	514/6514 drop	전송 차단
서비스 중지	rsyslog stop	수집 중단
하트비트 끊김	—	탐지 신호

4. 실습 (실습 예시)

# 로그 전송 차단 탐지 (분석 방법)
# 중앙 전송 설정 변경·삭제
sudo ausearch -k log_tamper -i --start recent 2>/dev/null | grep -E 'rsyslog|filebeat|ossec.conf|wazuh' | tail
# 로그 전송·에이전트 서비스 중지
sudo journalctl -u wazuh-agent -u filebeat -u rsyslog --no-pager 2>/dev/null | grep -iE 'stopped|deactivat' | tail
# 중앙 서버로의 전송 연결 유무
ss -tnp 2>/dev/null | grep -E ':(514|6514|1514|1515)\b'

5. 정상 상태

$ (전송 설정) 변경 없음, @@logserver 유지
$ (에이전트) Active(running)
$ (전송 연결) ESTAB → 중앙 서버 (정상 전송 중)

전송 설정이 유지되고, 로그 에이전트가 가동되며, 중앙 서버로의 전송 연결이 살아 있는 상태가 정상입니다.

6. 이상 상태

$ (전송 설정) ossec.conf에서 <server> 블록 삭제
$ (에이전트) wazuh-agent Deactivated (03:00)
$ (전송 연결) 중앙 서버 연결 없음(끊김)
→ 이후 03:05 로그 삭제 실행

중앙 전송 설정 삭제·에이전트 중지 → 전송 차단
전송 끊긴 직후 로그 삭제 → 삭제 흔적도 중앙에 안 남게 함
전송 차단 → 로그 삭제 전조 → 정탐(중앙 하트비트 끊김으로 포착)

7. 로그 분석 (분석 방법)

로그 전송 차단 분석입니다(가상의 예시).

[정상] web01 로그 → 에이전트 → 중앙 서버(실시간)
   ↓ (공격자 차단)
① wazuh-agent 중지 → 하트비트 끊김
② ossec.conf <server> 삭제 → 전송 설정 제거
   ↓ (차단 후)
③ rm /var/log/secure → 삭제(중앙에도 안 남음 시도)
      ↕ (중앙 관점 탐지)
[중앙 서버] web01 하트비트 03:00부터 끊김 → 경보
   ↓
= 전송 차단(하트비트 끊김)이 로그 삭제 전조로 포착 → 정탐

관찰	해석
에이전트 중지	전송 차단
하트비트 끊김	중앙 탐지
직후 로그 삭제	흔적 제거

중앙 하트비트 모니터링이 전송 차단·삭제 전조 탐지의 핵심입니다.

8. SOC 관제 포인트

로그 전송 차단은 중앙 수집 안전장치를 먼저 무력화하는 로그 삭제의 전조입니다.
전송 설정 삭제·에이전트 중지·네트워크 차단으로 중앙 전송을 끊습니다.
중앙의 에이전트 하트비트 끊김 모니터링이 로컬 탐지 불가 영역을 포착합니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_h,defense_evasion,">
  <rule id="107140" level="13">
    <if_sid>107000</if_sid>
    <field name="audit.proctitle" type="pcre2">systemctl\s+(stop|disable)\s+(wazuh-agent|filebeat|rsyslog)|ossec.conf|<server>|@@</field>
    <description>로그 중앙 전송 차단·에이전트 중지(로그 삭제 전조)</description>
    <mitre><id>T1562.001</id><id>T1070</id></mitre>
  </rule>
</group>

중앙 매니저에서 에이전트 하트비트 끊김을 핵심 경보로 설정합니다. 전송 차단 후 로그 삭제 연쇄를 상관해 탐지합니다.

10. 대응 방법

초기 확인 — 중앙 전송 설정·에이전트 상태·전송 연결을 확인합니다.
범위 확인 — 전송 설정 삭제·에이전트 중지·네트워크 차단과 직후 로그 삭제를 확인합니다.
증거 확보 — 하트비트 끊김 시각·전송 차단 이벤트·중앙 수집본을 보존합니다.
차단/조치 — 전송 차단 정탐이면 전송 복구·차단 구간 로컬 로그 대조 분석을 진행합니다.
재발 방지 — 로그 전송 차단·중단 탐지를 운영합니다.

11. 핵심 정리

차단 방식	수단
전송 설정 제거	@@·server 블록 삭제
에이전트 중지	wazuh-agent stop
네트워크 차단	514/6514 drop
서비스 중지	rsyslog stop
면접 포인트	"전송 차단은 로그 삭제 전조 — 중앙 하트비트 끊김이 로컬 불가 영역 포착"