378. 방어 회피·흔적 삭제 — 보안 기능 무력화 종합 분석

목록 보기

378/450

시스템 보안 · 취약점 › H. 방어 회피 · 흔적 삭제 징후 · 28/50편 (전체 378/450)
학습 단계: 보안 기능 무력화·은닉
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

1. 개념

H19~H27에서 다룬 보안 기능 무력화·은닉 기법을 종합합니다. 보안 도구 중지·방화벽·MAC·감사 무력화는 "탐지 차단", 루트킷·프로세스·연결 은닉은 "존재 은폐"로, 공통 대응은 교차 검증 + 조작 행위 메타 감사입니다.

보안 무력화·은닉 종합(H19~H27)
 [탐지 차단] 보안 도구(H19)·방화벽(H20)·MAC(H21)
             auditd 규칙(H22)·EDR(H23)
 [존재 은폐] 커널 루트킷(H24)·사용자 루트킷(H25)
             프로세스·파일(H26)·연결(H27)
   ↓ 공통 대응
 ① 교차 검증: 도구 vs /proc·중앙·흐름 (은닉 뚫기)
 ② 메타 감사: 끄는·숨기는 행위 자체를 감사

개별 기법은 달라도 대응은 둘입니다. 여러 소스 교차(은닉 간파)와 조작 행위 자체 감사(무력화 포착)로 어떤 회피도 드러냅니다.

2. 왜 중요한가

보안 무력화(탐지 차단)·은닉(존재 은폐)은 다양하지만 교차 검증·메타 감사로 공통 대응됩니다.
무력화된 도구는 자기를 못 보므로 외부 채널(중앙·저널·흐름) 교차가 필수입니다.
"끄거나 숨기는 행위 자체"를 감사하면 결과 은닉과 무관하게 포착됩니다.

3. 핵심 명령어 / 설정

유형	기법	대응
탐지 차단	도구·방화벽·MAC·감사·EDR 무력화	메타 감사·중앙
존재 은폐	루트킷·프로세스·연결 은닉	/proc·흐름 교차
공통①	—	교차 검증
공통②	—	조작 행위 감사

4. 실습 (실습 예시)

# 보안 무력화·은닉 종합 점검 (분석 방법)
# 무력화·은닉 신호 통합 조회
sudo ausearch -k sec_disable,kmod,net_conn -i --start recent 2>/dev/null | tail -40
# 교차 검증 일괄(도구 vs 커널)
echo "ps vs /proc, ss vs /proc/net, lsmod vs /sys, 동적 vs 정적 ls 교차"
# 중앙 하트비트(무력화 포착)
sudo /var/ossec/bin/agent_control -l 2>/dev/null | head

5. 정상 상태

$ (무력화·은닉 신호) (없음)
$ (교차 검증) 모두 일치
$ (하트비트) 정상

무력화·은닉 신호가 없고, 모든 교차 검증이 일치하며, 중앙 하트비트가 정상인 상태입니다.

6. 이상 상태

$ (무력화·은닉 연쇄)
auditd 중지(H12) + falco kill(H23) + iptables -F(H20)
+ insmod .hide.ko(H24) + ss/proc 불일치(H27)
= 탐지 차단 + 존재 은폐 동시 수행

보안 도구·감사·방화벽 무력화(탐지 차단) + 루트킷·연결 은닉(존재 은폐) 결합
여러 무력화·은닉이 한 사건에 연쇄 → 조직적 방어 회피
교차 검증 불일치 + 조작 행위 감사 → 종합 정탐

7. 로그 분석 (분석 방법)

보안 무력화·은닉 종합 분석입니다(가상의 예시).

[공격자]
 탐지 차단: auditd·EDR·방화벽 끄기
 존재 은폐: 루트킷으로 프로세스·연결 숨기기
      ↕ (공통 대응)
[① 교차 검증]
 ps vs /proc, ss vs /proc/net, 동적 vs 정적 → 은닉 간파
[② 메타 감사]
 stop/kill/insmod/setenforce 명령 자체 기록 → 무력화 포착
[중앙] 하트비트 끊김 → 무력화 경보
   ↓
= 교차 검증(은닉) + 메타 감사(무력화)로 종합 탐지

공격	대응
탐지 차단	메타 감사·중앙
존재 은폐	교차 검증
연쇄	상관분석

교차 검증 + 메타 감사가 모든 무력화·은닉의 공통 대응입니다.

8. SOC 관제 포인트

H19~H27의 보안 무력화(탐지 차단)·은닉(존재 은폐)은 다양하지만 공통 대응은 둘입니다.
교차 검증(도구 vs /proc·중앙·흐름)으로 은닉을 간파하고, 메타 감사(조작 행위 자체)로 무력화를 포착합니다.
무력화·은닉 연쇄는 조직적 방어 회피 신호이므로 상관분석으로 종합 탐지합니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_h,defense_evasion,">
  <rule id="107270" level="15" frequency="3" timeframe="600">
    <if_matched_sid>107000</if_matched_sid>
    <same_field>audit.srcip</same_field>
    <description>단시간 다수 보안 무력화·은닉 연쇄(조직적 방어 회피)</description>
    <mitre><id>T1562</id><id>T1564</id></mitre>
  </rule>
</group>

개별 룰(107180~107260)을 세션·호스트별로 상관해 무력화·은닉 연쇄를 포착합니다. 교차 검증 점검과 메타 감사를 상시 운영합니다.

10. 대응 방법

초기 확인 — 무력화(탐지 차단)·은닉(존재 은폐) 신호를 통합 조회합니다.
범위 확인 — 교차 검증 불일치와 조작 행위(끄기·숨기기) 메타 감사를 확인합니다.
증거 확보 — 무력화·은닉 이벤트·교차 결과·중앙 상태를 보존합니다.
차단/조치 — 종합 정탐이면 보안 기능 복구·은닉 자원 조사·은폐 활동 전모 분석을 진행합니다.
재발 방지 — 보안 기능 무력화·은닉 종합 탐지를 운영합니다.

11. 핵심 정리

유형	기법
탐지 차단	도구·방화벽·MAC·EDR 무력화
존재 은폐	루트킷·프로세스·연결 은닉
공통①	교차 검증(은닉 간파)
공통②	메타 감사(무력화 포착)
면접 포인트	"무력화·은닉은 교차 검증+메타 감사로 — 결과를 숨겨도 행위는 남음"