392. 방어 회피·흔적 삭제 — 방어 회피 이벤트 상관분석

시스템 보안 · 취약점 › H. 방어 회피 · 흔적 삭제 징후 · 42/50편 (전체 392/450)
학습 단계: 방어 회피 로그 분석
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

• 391. 방어 회피·흔적 삭제 — 흔적 삭제 타임라인 재구성
• 342. 측면 이동 이벤트 상관분석(G영역)

1. 개념

개별 방어 회피 신호(로그 삭제·보안 중지·위장)는 단독으로는 오탐일 수 있지만, 세션·호스트·시간으로 상관하면 단일 방어 회피 사건으로 판정됩니다. 여러 회피 기법이 한 주체에 몰리면 정교한 공격의 강한 신호입니다.

방어 회피 이벤트 상관
 축: 세션/사용자 · 호스트 · 시간창
 결합: 보안 중지 + 로그 삭제 + 위장 + 은닉
 점수화: 회피 기법 수·심각도 가중
 체인: 침투 → 활동 → 회피(흔적 삭제) 연결
 결과: 단일 저위험 → 결합 시 고위험 판정

목적: 오탐 감소 + 정교한 회피 조기 포착

핵심은 "단독은 약해도 결합은 강하다"입니다. 같은 주체에 여러 회피 기법이 몰리는 패턴이 정교한 공격의 핵심 신호입니다.

2. 왜 중요한가

• 개별 회피 신호는 오탐 가능성이 있으나 상관하면 사건으로 확정됩니다.
• 같은 세션·호스트에 여러 회피 기법이 몰리는 것이 정교한 공격의 신호입니다.
• 상관·점수화는 오탐을 줄이면서 조기에 고위험을 포착하게 합니다.

3. 핵심 명령어 / 설정

축	묶음	판정
세션/사용자	주체별 회피	주체 확정
호스트	호스트별 결합	범위 확정
시간창	단시간 다발	집중 공격
기법 수	다기법 결합	점수 상승
체인	침투→회피	사건 완성

4. 실습 (실습 예시)

# 방어 회피 이벤트 상관분석 (분석 방법)
# 세션·호스트별 회피 신호 집계
sudo ausearch -k sec_disable,log_delete,log_tamper,kmod -i --start recent 2>/dev/null | grep -oE 'auid=[0-9]+' | sort | uniq -c | sort -rn | head
# 단시간 다발 회피(시간창)
sudo ausearch -k sec_disable,log_delete --start recent 2>/dev/null | grep -c type=
# 회피 체인(보안중지→삭제→위장 순서)
echo "세션별 회피 이벤트 시간순 정렬 → 체인 확인"

5. 정상 상태

$ (주체별 회피) 0~1건(산발적)
$ (시간창) 임계 미만
$ (체인) 없음

회피 신호가 산발적이고, 시간창 내 다발이 없으며, 회피 체인이 형성되지 않은 상태가 정상입니다.

6. 이상 상태

$ (주체별 회피)
auid=1003: 보안중지+로그삭제+위장+은닉 = 4기법
$ (시간창)
02:00~02:10에 회피 이벤트 8건 집중
$ (체인)
침투(01:10) → 활동(01:40) → 보안중지(02:00)
→ 로그삭제(02:03) → 위장(02:05) = 완전한 회피 체인

• 한 주체에 4가지 회피 기법 결합 → 정교한 방어 회피
• 단시간 다발 + 침투→회피 체인 → 고위험 사건
• 상관·점수화 → 단일 사건 확정 → 정탐

7. 로그 분석 (분석 방법)

방어 회피 이벤트 상관분석입니다(가상의 예시).

[개별 신호] 보안중지(저)·로그삭제(중)·위장(중)·은닉(중)
   ↓ (상관)
[세션 축] auid=1003에 전부 집중 → 주체 확정
[시간 축] 02:00~02:10 다발 → 집중 공격
[체인] 침투→활동→회피 순서 연결
[점수] 4기법 결합 → 고위험 승급
   ↓
= 단독 저위험 신호가 결합으로 고위험 사건 확정

관점	단독	결합
위험도	저~중	고
판정	오탐 가능	사건 확정
대응	관찰	즉시 대응

세션·호스트·시간 상관이 방어 회피 사건 확정의 핵심입니다.

8. SOC 관제 포인트

• 개별 방어 회피 신호는 약해도 세션·호스트·시간 상관으로 사건이 확정됩니다.
• 한 주체에 여러 회피 기법이 몰리는 것이 정교한 공격의 강한 신호입니다.
• 상관·점수화·체인 분석은 오탐을 줄이면서 고위험을 조기에 포착합니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_h,defense_evasion,">
  <rule id="107410" level="15" frequency="4" timeframe="600">
    <if_matched_sid>107000</if_matched_sid>
    <same_field>audit.auid</same_field>
    <description>단일 주체 다수 방어 회피 기법 결합(정교한 회피 사건)</description>
    <mitre><id>T1562</id><id>T1070</id><id>T1036</id></mitre>
  </rule>
</group>

H영역 개별 룰을 auid·호스트·시간창으로 상관하고, 결합된 회피 기법 수에 따라 레벨을 승급합니다. 침투→활동→회피 체인을 SIEM에서 상관해 사건으로 확정합니다.

10. 대응 방법

1. 초기 확인 — 세션·호스트·시간창으로 개별 회피 신호를 집계·상관합니다.
2. 범위 확인 — 결합된 회피 기법 수·체인(침투→회피)으로 위험도를 판정합니다.
3. 증거 확보 — 상관 결과·주체·체인·점수를 보존합니다.
4. 차단/조치 — 사건 확정이면 통합 대응(격리·복구·전모 조사)을 진행합니다.
5. 재발 방지 — 방어 회피 이벤트 상관분석을 운영합니다.

11. 핵심 정리

축	묶음
세션/사용자	주체별 회피
호스트	호스트별 결합
시간창	단시간 다발
기법 수	다기법 결합
면접 포인트	"단독은 약해도 결합은 강함 — 세션·시간 상관으로 정교한 회피 포착"

12. 다음 편 예고

다음 편 393. 방어 회피·흔적 삭제 — 변조 전후 비교와 무결성 검증 에서는 변조 전후를 비교하는 변조 전후 비교와 무결성 검증을 다룹니다.

---

이전 편: 391. 방어 회피·흔적 삭제 — 흔적 삭제 타임라인 재구성
📚 시리즈 전체 보기: 시스템 보안 · 취약점