369. 방어 회피·흔적 삭제 — 보안 도구 비활성화·중지 탐지

시스템 보안 · 취약점 › H. 방어 회피 · 흔적 삭제 징후 · 19/50편 (전체 369/450)
학습 단계: 보안 기능 무력화·은닉
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

• 368. 방어 회피·흔적 삭제 — 로그 삭제·변조 종합 분석
• 268. 서비스·데몬 기반 지속성 탐지(F영역)

1. 개념

3단계는 보안 기능 무력화·은닉을 다룹니다. 첫 번째는 보안 도구 비활성화·중지입니다. 공격자는 백신·EDR·감사·방화벽·모니터링 에이전트를 끄거나 멈춰, 실시간 탐지를 선제적으로 차단합니다. ATT&CK T1562.001(Disable or Modify Tools)에 해당합니다.

보안 도구 비활성화·중지 패턴
 서비스 중지: systemctl stop/disable <보안도구>
 프로세스 종료: kill/pkill <보안 에이전트>
 부팅 제외: systemctl disable, 부팅 스크립트 제거
 설정 무력화: 보안 도구 설정을 비활성으로 변경
 대상: auditd·wazuh·falco·clamav·firewalld·osquery

탐지: 보안 서비스 중지·종료·disable 명령 + 하트비트 끊김

핵심은 "방어 도구를 끄는 행위"입니다. 중지된 도구 자신은 못 보므로, 중앙 모니터링·systemd 저널·끊김 경보로 교차 탐지합니다.

2. 왜 중요한가

• 보안 도구 무력화는 실시간 탐지를 선제 차단해 이후 공격을 숨깁니다.
• kill·stop·disable로 에이전트를 멈추면 그 도구의 탐지가 전부 사라집니다.
• 중지된 도구는 자기를 못 보므로 중앙 모니터링·끊김 경보가 필수입니다.

3. 핵심 명령어 / 설정

무력화	명령	대상
서비스 중지	systemctl stop	auditd·wazuh
프로세스 종료	kill·pkill	EDR·백신
부팅 제외	systemctl disable	재부팅 후 비활성
설정 무력화	설정 변경	탐지 약화
하트비트	끊김	중앙 탐지

4. 실습 (실습 예시)

# 보안 도구 비활성화·중지 탐지 (분석 방법)
# 보안 서비스 중지·disable·종료 명령
sudo ausearch -k sec_disable,proc_exec -i --start recent 2>/dev/null | grep -E 'systemctl.*(stop|disable)|kill|pkill' | grep -E 'auditd|wazuh|falco|clamav|firewalld|osquery|ossec' | tail
# 보안 서비스 상태(중지 여부)
systemctl is-active auditd wazuh-agent firewalld 2>/dev/null

5. 정상 상태

$ (보안 도구 조작) (없음)
$ (서비스 상태) active active active (정상 가동)

보안 도구 조작 명령이 없고, 핵심 보안 서비스가 모두 active로 가동되는 상태가 정상입니다.

6. 이상 상태

$ (보안 도구 조작)
proctitle="systemctl stop falco" (EDR 중지)
proctitle="pkill -9 wazuh" (모니터링 에이전트 종료)
proctitle="systemctl disable auditd" (부팅 제외)
$ (서비스 상태) inactive (중지됨)

• falco·wazuh 중지·종료 → 실시간 탐지 차단
• auditd disable → 재부팅 후에도 비활성
• 보안 도구 무력화 → 이후 공격 은폐 준비 → 정탐(중앙 끊김으로 포착)

7. 로그 분석 (분석 방법)

보안 도구 무력화 분석입니다(가상의 예시).

[공격 준비] 침투 직후
   ↓ (탐지 선제 차단)
systemctl stop falco (EDR 중지)
pkill wazuh-agent (모니터링 종료)
systemctl disable auditd (감사 부팅 제외)
      ↕ (중앙 탐지)
[중앙 모니터링]
 · wazuh 에이전트 하트비트 끊김 → 경보
 · systemd 저널: 서비스 Deactivated 기록
 · 중지 직전 명령 이벤트 보존
   ↓
= 도구를 꺼도 중앙이 끊김을 포착 → 정탐

무력화	중앙 탐지
서비스 중지	하트비트 끊김
프로세스 종료	에이전트 다운
disable	저널 기록

중앙 모니터링·끊김 경보가 보안 도구 무력화 탐지의 핵심입니다.

8. SOC 관제 포인트

• 보안 도구 비활성화·중지(T1562.001)는 실시간 탐지를 선제 차단하는 방어 회피입니다.
• systemctl stop/disable·kill로 백신·EDR·감사·모니터링을 멈춥니다.
• 중지된 도구는 자기를 못 보므로 중앙 모니터링·하트비트 끊김 경보로 교차 탐지합니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_h,defense_evasion,">
  <rule id="107180" level="14">
    <if_sid>107000</if_sid>
    <field name="audit.proctitle" type="pcre2">(systemctl\s+(stop|disable)|service\s+\S+\s+stop|kill|pkill).*(auditd|wazuh|ossec|falco|clamav|firewalld|osquery|crowdstrike|edr)</field>
    <description>보안 도구 비활성화·중지(실시간 탐지 차단)</description>
    <mitre><id>T1562.001</id></mitre>
  </rule>
</group>

보안 에이전트 하트비트 끊김을 중앙에서 핵심 경보로 설정합니다. 정상 재시작(패치)은 변경 관리와 대조해 예외 처리합니다.

10. 대응 방법

1. 초기 확인 — 보안 서비스 중지·disable·종료 명령과 서비스 상태를 확인합니다.
2. 범위 확인 — 무력화 대상(백신·EDR·감사·모니터링)과 하트비트 끊김을 확인합니다.
3. 증거 확보 — 무력화 이벤트·저널·중앙 끊김 기록을 보존합니다.
4. 차단/조치 — 보안 도구 무력화 정탐이면 도구 복구·무력화 이후 은폐 활동 분석을 진행합니다.
5. 재발 방지 — 보안 도구 비활성화·중지 탐지를 운영합니다.

11. 핵심 정리

무력화	명령
서비스 중지	systemctl stop
프로세스 종료	kill·pkill
부팅 제외	systemctl disable
설정 무력화	설정 변경
면접 포인트	"보안 도구 무력화는 탐지 선제 차단 — 중앙 하트비트 끊김으로 교차 탐지"

12. 다음 편 예고

다음 편 370. 방어 회피·흔적 삭제 — 방화벽·iptables 규칙 변조 탐지 에서는 방화벽·iptables 규칙 변조를 다루는 방화벽·iptables 규칙 변조 탐지를 다룹니다.

---

이전 편: 368. 방어 회피·흔적 삭제 — 로그 삭제·변조 종합 분석
📚 시리즈 전체 보기: 시스템 보안 · 취약점