388. 방어 회피·흔적 삭제 — 위장·난독화 종합 분석

목록 보기

388/450

시스템 보안 · 취약점 › H. 방어 회피 · 흔적 삭제 징후 · 38/50편 (전체 388/450)
학습 단계: 위장·난독화·흔적 분석
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

1. 개념

H29~H37에서 다룬 위장·난독화 기법을 종합합니다. 프로세스·파일·경로 위장은 "정체 속이기", 명령 난독화·인코딩·시간 분산은 "형태·시점 속이기", LOLBins·서명·컨테이너는 "신뢰·격리 악용"으로, 공통 대응은 겉모습이 아닌 실체 교차 검증입니다.

위장·난독화 종합(H29~H37)
 [정체 속이기] 프로세스(H29)·파일(H30)·경로(H31) 위장
 [형태·시점] 난독화(H32)·인코딩(H33)·시간(H37)
 [신뢰·격리] LOLBins(H34)·서명(H35)·컨테이너(H36)
   ↓ 공통 대응
 실체 교차: 이름 vs exe/magic/인자/맥락/타임라인
 "겉모습은 속여도 실체(exe·내용·행위)는 다름"

개별 기법은 달라도 대응은 하나입니다. 보이는 것(이름·형태·신뢰)이 아닌 실체(exe·내용·인자·맥락·행위)를 교차 검증하면 어떤 위장도 드러납니다.

2. 왜 중요한가

위장·난독화는 정체·형태·신뢰를 속이지만 실체는 바꾸지 못합니다.
공통 대응은 겉모습이 아닌 실체(exe·magic·인자·맥락·행위)의 교차 검증입니다.
어떤 위장 기법도 실행 결과(행위)는 원본과 동일하므로 행위 기반이 최후 보루입니다.

3. 핵심 명령어 / 설정

유형	기법	실체 단서
정체	프로세스·파일·경로 위장	exe·magic·FIM
형태·시점	난독화·인코딩·시간	디코드·타임라인
신뢰·격리	LOLBins·서명·컨테이너	인자·맥락·NS
공통	—	실체 교차 검증

4. 실습 (실습 예시)

# 위장·난독화 종합 점검 (분석 방법)
# 위장·난독화 신호 통합 조회
sudo ausearch -k proc_exec -i --start recent 2>/dev/null | grep -E 'comm=.*exe=|base64|unshare|python.*-c' | tail -40
# 실체 교차(이름 vs exe, 확장자 vs magic)
echo "comm vs /proc/*/exe, 확장자 vs file, 인자 vs 맥락, 시점 vs 타임라인 교차"
# 행위 기반 최종 확인
echo "디코드·위장 뚫고 실제 수행 작업(다운로드·실행·반출) 확인"

5. 정상 상태

$ (위장·난독화 신호) (없음)
$ (실체 교차) 모두 일치

위장·난독화 신호가 없고, 이름 vs exe·확장자 vs magic·인자 vs 맥락이 모두 일치하는 상태가 정상입니다.

6. 이상 상태

$ (위장·난독화 연쇄)
comm=sshd exe=/tmp/.x(위장) + .jpg=ELF(파일위장)
+ base64|bash(난독화) + python -c(LOLBins)
+ unshare(컨테이너 은닉) + sleep 3600(시간 회피)
= 다층 위장으로 겉모습 전면 조작

프로세스·파일 위장 + 난독화 + LOLBins + 격리 + 지연 결합
여러 위장이 한 사건에 중첩 → 정교한 방어 회피
실체 교차 불일치 + 행위 포착 → 종합 정탐

7. 로그 분석 (분석 방법)

위장·난독화 종합 분석입니다(가상의 예시).

[공격자] 겉모습을 다층으로 조작
   정체(이름·파일·경로) + 형태(난독화·인코딩)
   + 신뢰·격리(LOLBins·서명·컨테이너) + 시점(지연)
      ↕ (공통 대응)
[실체 교차 검증]
 이름 vs exe, 확장자 vs magic, 인자 vs 맥락
 시점 vs 타임라인, 신뢰 경로 vs 실제 출처
[행위 기반] 위장 뚫고 실제 작업 확인(다운로드·반출)
   ↓
= 겉모습 전부 속여도 실체·행위는 하나 → 정탐

공격	대응
정체 위장	exe·magic 교차
형태 난독화	디코드·행위
신뢰·격리	인자·맥락·NS

실체 교차 검증 + 행위 기반이 모든 위장·난독화의 공통 대응입니다.

8. SOC 관제 포인트

H29~H37의 위장·난독화는 정체·형태·신뢰·시점을 속이지만 실체는 하나입니다.
공통 대응은 겉모습이 아닌 실체(exe·magic·인자·맥락·행위)의 교차 검증입니다.
어떤 위장도 행위는 원본과 동일하므로 행위 기반 탐지가 최후 보루입니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_h,defense_evasion,">
  <rule id="107370" level="15" frequency="3" timeframe="600">
    <if_matched_sid>107000</if_matched_sid>
    <same_field>audit.srcip</same_field>
    <description>단시간 다수 위장·난독화 연쇄(정교한 방어 회피)</description>
    <mitre><id>T1036</id><id>T1027</id></mitre>
  </rule>
</group>

개별 룰(107280~107360)을 세션·호스트별로 상관해 위장·난독화 연쇄를 포착합니다. 실체 교차 검증과 행위 기반 탐지를 상시 운영합니다.

10. 대응 방법

초기 확인 — 위장(정체)·난독화(형태)·신뢰·격리·시점 신호를 통합 조회합니다.
범위 확인 — 이름 vs exe·확장자 vs magic·인자 vs 맥락의 실체 교차 불일치를 확인합니다.
증거 확보 — 위장·난독화 이벤트·교차 결과·실제 행위를 보존합니다.
차단/조치 — 종합 정탐이면 실체 분석·행위 추적·연계 회피 기법 전모 조사를 진행합니다.
재발 방지 — 위장·난독화 종합 탐지를 운영합니다.

11. 핵심 정리

유형	실체 단서
정체	exe·magic·FIM
형태·시점	디코드·타임라인
신뢰·격리	인자·맥락·NS
공통 대응	실체 교차 검증
면접 포인트	"위장은 겉모습만 바꿈 — 실체(exe·내용·행위) 교차로 전부 간파"