394. 방어 회피·흔적 삭제 — Wazuh 기반 방어 회피 탐지

목록 보기

394/450

시스템 보안 · 취약점 › H. 방어 회피 · 흔적 삭제 징후 · 44/50편 (전체 394/450)
학습 단계: SOC 탐지 연계
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

1. 개념

6단계는 SOC 탐지 연계입니다. 첫 번째는 Wazuh 기반 방어 회피 탐지입니다. Wazuh의 FIM(syscheck)·명령 감사·로그 분석·중앙 수집을 통합하면, 로컬에서 삭제·변조해도 중앙에서 탐지·보존됩니다.

Wazuh 방어 회피 탐지 구성
 FIM(syscheck): 로그·바이너리·설정 변경 감시
 명령 감사(auditd 연동): 삭제·무력화 명령 포착
 로그 분석: 보안 도구 중지·규칙 삭제 이벤트
 중앙 수집: 에이전트→매니저(로컬 삭제 무관)
 Active Response: 회피 탐지 시 자동 대응

핵심: 로컬 삭제해도 중앙 매니저에 이미 전송됨

핵심은 "중앙 수집이 로컬 삭제를 무력화한다"입니다. 에이전트가 이벤트를 매니저로 즉시 전송하므로, 로컬 로그를 지워도 매니저 사본은 남습니다.

2. 왜 중요한가

Wazuh는 FIM·명령 감사·로그 분석·중앙 수집으로 방어 회피를 통합 탐지합니다.
에이전트가 이벤트를 매니저로 즉시 전송해 로컬 삭제를 무력화합니다.
FIM은 변조를, 명령 감사는 삭제·무력화 행위를, 로그 분석은 보안 중지를 포착합니다.

3. 핵심 명령어 / 설정

기능	탐지 대상	회피 대응
FIM(syscheck)	로그·바이너리 변조	변조 탐지
명령 감사	삭제·무력화 명령	행위 포착
로그 분석	보안 중지	무력화 탐지
중앙 수집	모든 이벤트	로컬 삭제 무관
Active Response	자동 대응	즉시 차단

4. 실습 (실습 예시)

# Wazuh 기반 방어 회피 탐지 구성 (분석 방법)
# FIM: 로그·바이너리·설정 실시간 감시(ossec.conf)
#   <syscheck><directories check_all="yes" realtime="yes">/var/log,/usr/bin,/etc</directories>
# 명령 감사: auditd 규칙 연동(로그 삭제·보안 중지 키)
sudo grep -E 'syscheck|localfile|command' /var/ossec/etc/ossec.conf 2>/dev/null | head
# 매니저 수신 확인(로컬 삭제돼도 중앙 보존)
sudo tail -5 /var/ossec/logs/alerts/alerts.json 2>/dev/null
# 에이전트 하트비트(무력화 시 끊김)
sudo /var/ossec/bin/agent_control -l 2>/dev/null | head

5. 정상 상태

$ (FIM) 실시간 감시 정상
$ (매니저 수신) 이벤트 정상 수신
$ (하트비트) 모든 에이전트 Active

FIM이 실시간 감시 중이고, 매니저가 이벤트를 정상 수신하며, 에이전트 하트비트가 모두 정상인 상태입니다.

6. 이상 상태

$ (FIM 경보)
syscheck: /var/log/auth.log 삭제, /usr/bin/ssh 변조
$ (명령 감사 경보)
107080(로그 삭제), 107180(보안 도구 중지) 트리거
$ (중앙 보존)
로컬 auth.log 삭제됐으나 매니저 alerts.json에 사본 존재
$ (하트비트)
에이전트 02:00 이후 끊김 → 에이전트 무력화 의심

FIM이 로그 삭제·바이너리 변조 포착
로컬 삭제돼도 매니저에 이벤트 사본 보존
중앙 탐지·보존 + 하트비트 이상 → 방어 회피 → 정탐

7. 로그 분석 (분석 방법)

Wazuh 기반 방어 회피 탐지입니다(가상의 예시).

[공격자] 로컬에서 로그 삭제·보안 중지
      ↓
[Wazuh 에이전트] 삭제·중지 이벤트를 즉시 매니저 전송
      ↓ (로컬 삭제 전에 이미 전송됨)
[Wazuh 매니저]
 FIM 경보(변조) + 명령 감사(삭제) + 중앙 사본 보존
 하트비트 끊김 → 에이전트 무력화 경보
 Active Response → 세션 차단
   ↓
= 로컬을 지워도 중앙에 탐지·보존 → 회피 실패

로컬	중앙(Wazuh)
삭제됨	이벤트 보존
변조됨	FIM 경보
보안 중지	하트비트 경보

중앙 수집이 로컬 삭제를 무력화하는 것이 Wazuh 탐지의 핵심입니다.

8. SOC 관제 포인트

Wazuh는 FIM·명령 감사·로그 분석·중앙 수집으로 방어 회피를 통합 탐지합니다.
에이전트가 이벤트를 매니저로 즉시 전송해 로컬 삭제·변조를 무력화합니다.
FIM(변조)·명령 감사(삭제 행위)·하트비트(무력화)를 결합해 회피를 포착합니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_h,defense_evasion,wazuh,">
  <rule id="107430" level="14">
    <if_group>syscheck</if_group>
    <field name="file" type="pcre2">/var/log/|/usr/bin/|/usr/sbin/</field>
    <description>Wazuh FIM — 로그·바이너리 변조·삭제(방어 회피)</description>
    <mitre><id>T1070</id><id>T1565</id></mitre>
  </rule>
  <rule id="107431" level="12">
    <if_sid>503</if_sid>
    <description>Wazuh 에이전트 중단(에이전트 무력화 의심)</description>
    <mitre><id>T1562.001</id></mitre>
  </rule>
</group>

FIM realtime 감시(/var/log·/usr/bin·/etc)·auditd 연동·에이전트 상태 모니터링을 결합하고, Active Response로 회피 탐지 시 자동 대응합니다. 매니저는 에이전트와 분리 보호합니다.

10. 대응 방법

초기 확인 — Wazuh FIM·명령 감사·로그 분석·에이전트 하트비트를 통합 점검합니다.
범위 확인 — 로컬 삭제·변조 대비 매니저의 중앙 사본 보존을 확인합니다.
증거 확보 — FIM 경보·명령 감사·중앙 이벤트·하트비트 상태를 보존합니다.
차단/조치 — 방어 회피 정탐이면 Active Response·중앙 사본 기반 조사·에이전트 복구를 진행합니다.
재발 방지 — Wazuh 기반 방어 회피 탐지를 운영합니다.

11. 핵심 정리

기능	탐지 대상
FIM(syscheck)	로그·바이너리 변조
명령 감사	삭제·무력화 명령
로그 분석	보안 중지
중앙 수집	로컬 삭제 무관
면접 포인트	"Wazuh는 중앙 수집으로 로컬 삭제 무력화 — FIM+명령 감사+하트비트 결합"