390. 방어 회피·흔적 삭제 — 아티팩트 교차 검증과 상호 보강

시스템 보안 · 취약점 › H. 방어 회피 · 흔적 삭제 징후 · 40/50편 (전체 390/450)
학습 단계: 방어 회피 로그 분석
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

• 389. 방어 회피·흔적 삭제 — 삭제된 로그·파일 복원 분석
• 346. 아티팩트 교차 상관 분석(G영역)

1. 개념

단일 로그는 삭제·변조될 수 있지만, 하나의 활동은 여러 독립 아티팩트에 흔적을 남깁니다. 공격자가 한 소스를 지워도 다른 소스가 남아, 교차 검증하면 공백을 메우고 삭제 자체를 입증할 수 있습니다.

아티팩트 교차 검증(상호 보강)
 인증: auth.log ↔ wtmp ↔ 중앙 ↔ sshd 저널
 실행: auditd ↔ 셸 히스토리 ↔ 프로세스 계보
 파일: FIM ↔ atime/mtime ↔ 백업
 통신: 로컬 로그 ↔ NetFlow ↔ 방화벽
 원리: 한 소스 삭제 → 다른 소스와 불일치 = 삭제 입증

대응: 소스 간 대조, 불일치 = 변조 신호

핵심은 "한 활동은 여러 곳에 흔적을 남긴다"입니다. 소스 간 불일치는 공백을 드러낼 뿐 아니라 삭제·변조 자체의 증거가 됩니다.

2. 왜 중요한가

• 하나의 활동은 여러 독립 아티팩트에 흔적을 남기므로 단일 삭제로는 못 지웁니다.
• 소스 간 불일치는 공백을 메우는 동시에 삭제·변조 자체를 입증합니다.
• 공격자가 모든 소스를 일관되게 조작하기 어려워 교차 검증이 강력합니다.

3. 핵심 명령어 / 설정

활동	교차 소스	불일치 의미
인증	auth·wtmp·중앙	선택 삭제
실행	auditd·히스토리·계보	히스토리 삭제
파일	FIM·타임스탬프·백업	변조·timestomp
통신	로컬·NetFlow·방화벽	로그 삭제

4. 실습 (실습 예시)

# 아티팩트 교차 검증 (분석 방법)
# 인증 로그 vs wtmp vs 중앙 대조
last -F 2>/dev/null | head; echo "--- vs ---"; sudo grep 'Accepted' /var/log/auth.log 2>/dev/null | tail
# 실행: auditd vs 셸 히스토리 수 비교
sudo ausearch -k proc_exec --start recent 2>/dev/null | grep -c proctitle
# 파일: FIM vs 실제 타임스탬프
echo "FIM 기록 vs stat atime/mtime/ctime 대조"
# 중앙 vs 로컬(가장 강력)
echo "SIEM 이벤트 수 vs 로컬 로그 수 — 차이 = 로컬 삭제"

5. 정상 상태

$ (인증 교차) auth.log ≈ wtmp ≈ 중앙(일치)
$ (실행 교차) auditd ≈ 히스토리(일치)
$ (중앙 vs 로컬) 일치

여러 소스가 서로 일치하고, 중앙과 로컬 로그 수가 맞아 변조·삭제 흔적이 없는 상태가 정상입니다.

6. 이상 상태

$ (인증 교차)
wtmp에 로그인 기록 / auth.log엔 없음 → auth.log 선택 삭제
$ (실행 교차)
auditd에 120건 / 셸 히스토리 20건 → 히스토리 삭제
$ (중앙 vs 로컬)
중앙 500건 / 로컬 300건 → 로컬 200건 삭제 입증

• wtmp엔 있고 auth.log엔 없음 → 인증 로그 선택 삭제
• auditd vs 히스토리 불일치 → 히스토리 삭제
• 소스 간 불일치 → 삭제·변조 입증 → 정탐

7. 로그 분석 (분석 방법)

아티팩트 교차 검증 분석입니다(가상의 예시).

[공격자] auth.log에서 자기 로그인만 삭제
   BUT wtmp·중앙 SIEM·sshd 저널엔 그대로
      ↕ (교차 검증)
[분석가]
 auth.log(삭제됨) vs wtmp(기록 있음) → 불일치
 중앙 SIEM(500) vs 로컬(300) → 200건 삭제 입증
 sshd 저널 교차 → 삭제된 세션 복원
   ↓
= 한 소스 삭제 → 다른 소스와 불일치 = 삭제 입증 + 공백 복원

소스A	소스B	불일치 결론
auth.log	wtmp	선택 삭제
로컬	중앙	삭제 입증
히스토리	auditd	히스토리 삭제

소스 간 대조가 삭제 입증과 공백 복원을 동시에 수행합니다.

8. SOC 관제 포인트

• 하나의 활동은 여러 독립 아티팩트에 흔적을 남겨 단일 삭제로 지울 수 없습니다.
• 소스 간 불일치는 공백을 메우는 동시에 삭제·변조 자체를 입증합니다.
• 인증·실행·파일·통신을 각각 다중 소스로 교차 검증하는 체계가 핵심입니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_h,defense_evasion,">
  <rule id="107390" level="13">
    <if_sid>107000</if_sid>
    <field name="audit.key">artifact_mismatch</field>
    <description>아티팩트 간 불일치(선택 삭제·변조 입증)</description>
    <mitre><id>T1070</id><id>T1562.006</id></mitre>
  </rule>
</group>

인증·실행·파일·통신별 다중 소스를 SIEM에서 상관하고, 소스 간 이벤트 수·내용 불일치를 변조 신호로 경보합니다. 중앙 vs 로컬 대조를 상시 운영합니다.

10. 대응 방법

1. 초기 확인 — 인증·실행·파일·통신을 각각 다중 독립 소스로 교차 대조합니다.
2. 범위 확인 — 소스 간 불일치(한쪽에만 존재·수 차이)로 삭제·변조를 입증합니다.
3. 증거 확보 — 교차 결과·불일치 증거·복원된 공백을 보존합니다.
4. 차단/조치 — 불일치 정탐이면 삭제 범위 확정·공백 복원·방어 회피 활동 재구성을 진행합니다.
5. 재발 방지 — 아티팩트 교차 검증과 상호 보강을 운영합니다.

11. 핵심 정리

활동	교차 소스
인증	auth·wtmp·중앙
실행	auditd·히스토리·계보
파일	FIM·타임스탬프·백업
통신	로컬·NetFlow·방화벽
면접 포인트	"한 활동은 여러 곳에 흔적 — 소스 간 불일치가 삭제 입증이자 복원 열쇠"

12. 다음 편 예고

다음 편 391. 방어 회피·흔적 삭제 — 흔적 삭제 타임라인 재구성 에서는 복원·교차 결과로 타임라인을 재구성하는 흔적 삭제 타임라인 재구성을 다룹니다.

---

이전 편: 389. 방어 회피·흔적 삭제 — 삭제된 로그·파일 복원 분석
📚 시리즈 전체 보기: 시스템 보안 · 취약점