368. 방어 회피·흔적 삭제 — 로그 삭제·변조 종합 분석

목록 보기

368/450

시스템 보안 · 취약점 › H. 방어 회피 · 흔적 삭제 징후 · 18/50편 (전체 368/450)
학습 단계: 로그 삭제·변조
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

1. 개념

H09~H17에서 다룬 로그 삭제·변조 기법을 종합합니다. 로그 삭제·선택 변조·히스토리·auditd·syslog·wtmp·전송 차단·타임스톰핑·FIM 우회는 모두 "증거를 없애거나 왜곡"하는 공통 목적을 가지며, 공통 대응 원리는 중앙 수집 + 교차 검증입니다.

로그 삭제·변조 종합(H09~H17)
 [대상별] 로그 파일(H09·10)·히스토리(H11)
          auditd(H12)·syslog(H13)·wtmp(H14)
 [수단별] 전송 차단(H15)·타임스톰핑(H16)·FIM 우회(H17)
   ↓ 공통 목적
 증거 제거·왜곡
   ↓ 공통 대응
 중앙 수집(로컬 삭제 무력화) + 교차 검증(변조 탐지)

개별 기법은 달라도 대응 원리는 하나입니다. 로컬 밖(중앙)에 증거를 두고, 여러 소스를 교차하면 어떤 삭제·변조도 드러납니다.

2. 왜 중요한가

로그 삭제·변조 기법은 다양하지만 "증거 제거·왜곡"이라는 공통 목적을 가집니다.
공통 대응은 중앙 수집(로컬 삭제 무력화)과 교차 검증(변조 탐지)입니다.
여러 흔적 제거가 한 사건에서 연쇄되므로 상관분석이 탐지력을 높입니다.

3. 핵심 명령어 / 설정

대상/수단	기법	대응
로그 파일	삭제·선택 변조	중앙 수집
히스토리·auditd	삭제·무력화	execve·저널
syslog·wtmp	중지·변조	교차 검증
전송·시각	차단·타임스톰핑	하트비트·ctime
FIM	우회·재생성	메타 감사

4. 실습 (실습 예시)

# 로그 삭제·변조 종합 점검 (분석 방법)
# 모든 흔적 제거 신호 통합 조회
sudo ausearch -k log_tamper,audit_tamper,cmd_hist -i --start recent 2>/dev/null | tail -40
# 중앙 수집·에이전트 하트비트 상태(공통 안전장치)
sudo /var/ossec/bin/agent_control -l 2>/dev/null | head
echo "중앙 vs 로컬 교차 비교로 삭제·변조 구간 식별"

5. 정상 상태

$ (흔적 제거 신호) (산발적 정상 관리 — 연쇄 없음)
$ (중앙 수집) 정상 가동

흔적 제거 신호가 정상 로그 관리에 그치고, 중앙 수집이 정상 가동되어 교차 검증이 가능한 상태가 정상입니다.

6. 이상 상태

$ (흔적 제거 신호 — 연쇄)
03:00 전송 차단(H15) → 03:02 auditd 중지(H12)
→ 03:05 rm /var/log/secure(H09) → 03:06 history -c(H11)
→ 03:08 touch -r 타임스톰핑(H16)
= 한 세션에서 다수 흔적 제거 연쇄

전송 차단 → 보안 무력화 → 로그 삭제 → 히스토리 삭제 → 타임스톰핑 연쇄
여러 흔적 제거가 짧은 시간에 연쇄 → 조직적 방어 회피
흔적 제거 연쇄 → 공격 마무리·은폐 → 정탐(중앙·교차로 복원)

7. 로그 분석 (분석 방법)

로그 삭제·변조 종합 분석입니다(가상의 예시).

[공격자 흔적 제거 연쇄]
 ① 전송 차단(H15) — 안전장치 먼저
 ② auditd 중지(H12) — 감사 차단
 ③ 로그 삭제(H09) — 흔적 제거
 ④ 히스토리 삭제(H11) — 명령 흔적
 ⑤ 타임스톰핑(H16) — 시각 왜곡
      ↕ (공통 대응)
[중앙 수집] 차단 전 로그 + 하트비트 끊김 경보
[교차 검증] 중앙 vs 로컬·ctime·secure vs wtmp
   ↓
= 로컬을 다 지워도 중앙+교차로 복원·탐지 → 정탐

공격	대응
로컬 삭제	중앙 수집
변조	교차 검증
연쇄	상관분석

중앙 수집 + 교차 검증이 모든 흔적 제거의 공통 대응입니다.

8. SOC 관제 포인트

H09~H17의 로그 삭제·변조는 "증거 제거·왜곡"의 공통 목적을 가집니다.
공통 대응은 중앙 수집(로컬 삭제 무력화) + 교차 검증(변조 탐지)입니다.
흔적 제거의 연쇄(전송 차단→무력화→삭제→시각 왜곡)는 조직적 방어 회피 신호입니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_h,defense_evasion,">
  <rule id="107170" level="15" frequency="3" timeframe="600">
    <if_matched_sid>107000</if_matched_sid>
    <same_field>audit.srcip</same_field>
    <description>단시간 다수 흔적 제거 연쇄(조직적 방어 회피)</description>
    <mitre><id>T1070</id><id>T1562</id></mitre>
  </rule>
</group>

개별 룰(107080~107160)을 세션·호스트별로 상관해 흔적 제거 연쇄를 포착합니다. 중앙 수집·교차 검증을 복원 기반으로 운영합니다.

10. 대응 방법

초기 확인 — 흔적 제거 신호(삭제·변조·무력화·타임스톰핑)를 통합 조회합니다.
범위 확인 — 한 세션의 흔적 제거 연쇄와 중앙 수집 상태를 확인합니다.
증거 확보 — 중앙 수집본·교차 검증 결과·연쇄 타임라인을 보존합니다.
차단/조치 — 흔적 제거 연쇄 정탐이면 중앙·교차로 복원·은폐된 공격 전모 분석을 진행합니다.
재발 방지 — 로그 삭제·변조 종합 탐지를 운영합니다.

11. 핵심 정리

대상/수단	기법
로그 파일	삭제·선택 변조
히스토리·auditd	삭제·무력화
syslog·wtmp	중지·변조
전송·시각·FIM	차단·타임스톰핑·우회
면접 포인트	"흔적 제거 기법은 다양하나 대응은 하나 — 중앙 수집+교차 검증"