395. 방어 회피·흔적 삭제 — ELK/SIEM 기반 방어 회피 탐지와 정탐·오탐 판단

목록 보기

395/450

시스템 보안 · 취약점 › H. 방어 회피 · 흔적 삭제 징후 · 45/50편 (전체 395/450)
학습 단계: SOC 탐지 연계
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

1. 개념

ELK/SIEM은 다수 호스트 로그를 중앙 집중해 방어 회피를 교차·상관 탐지하고, 로컬 삭제와 무관하게 증거를 보존합니다. 핵심은 회피 신호를 정상 운영과 구분하는 정탐·오탐 판단입니다.

ELK/SIEM 방어 회피 탐지
 수집: 다수 호스트 → 중앙(로컬 삭제 무관)
 탐지: 로그 공백·보안 중지·FIM 변조 쿼리
 상관: 중앙 vs 로컬 수 차이, 다기법 결합
 판단: 정상 운영(패치·점검) vs 공격 구분
 보존: 중앙 사본 = 원본 증거

오탐원: 패치·로그로테이션·점검 작업

핵심은 "중앙 집중 + 정상 운영 구분"입니다. 로그 공백·보안 중지가 정상 유지보수인지 공격인지 변경 관리·맥락으로 판단합니다.

2. 왜 중요한가

ELK/SIEM은 다수 호스트를 중앙 집중해 회피를 교차·상관 탐지하고 증거를 보존합니다.
중앙 vs 로컬 이벤트 수 차이는 로컬 삭제를 강력히 입증합니다.
로그 공백·보안 중지는 정상 운영일 수 있어 변경 관리·맥락으로 판단해야 합니다.

3. 핵심 명령어 / 설정

신호	정탐	오탐(정상)
로그 공백	선택 삭제	로테이션·점검
보안 중지	무력화	패치·재시작
FIM 변조	백도어	패키지 업데이트
중앙<로컬	—	정상(일치)
중앙>로컬	로컬 삭제	전송 지연

4. 실습 (실습 예시)

# ELK/SIEM 기반 방어 회피 탐지 (분석 방법 — 쿼리 개념)
# 중앙 vs 로컬 이벤트 수 차이(로컬 삭제 입증)
# host:H AND event:auth | count(중앙) vs 로컬 wc -l
# 보안 도구 중지 + 변경 관리 대조
# event:("auditd stop" OR "falco kill") NOT change_window:true
# 로그 공백 구간 탐지(시간 갭 분석)
echo "호스트별 로그 수신 간격 분석 → 비정상 공백 = 전송 차단·삭제 의심"
# 다기법 결합(상관)
echo "host별 defense_evasion 태그 이벤트 집계 → 임계 초과 경보"

5. 정상 상태

$ (중앙 vs 로컬) 일치
$ (보안 중지) 변경 창 내(정상)
$ (로그 공백) 없음(연속 수신)

중앙과 로컬 이벤트 수가 일치하고, 보안 중지가 승인된 변경 창 내이며, 로그 수신 공백이 없는 상태가 정상입니다.

6. 이상 상태

$ (중앙 vs 로컬)
중앙 500 / 로컬 300 → 로컬 200건 삭제(변경 창 외)
$ (보안 중지)
auditd 중지 02:00 → 변경 관리 기록 없음(비인가)
$ (로그 공백)
host-5 02:00~03:00 중앙 수신 공백 → 전송 차단 의심

중앙>로컬 + 변경 창 외 → 로컬 삭제 정탐
보안 중지가 변경 기록 없음 → 무력화 정탐
로그 수신 공백 → 전송 차단·삭제 → 정탐(맥락 확인 후)

7. 로그 분석 (분석 방법)

ELK/SIEM 기반 탐지·판단입니다(가상의 예시).

[다수 호스트] 로그 → 중앙 ELK(삭제 전 전송됨)
      ↕ (탐지·판단)
[탐지] 중앙 vs 로컬 차이, 보안 중지, 로그 공백 쿼리
[판단]
 변경 관리 대조 → 패치·점검이면 오탐
 변경 창 외 + 다기법 결합 → 정탐
[보존] 중앙 사본 = 로컬 삭제 무관 원본 증거
   ↓
= 중앙 집중으로 삭제 입증 + 정상 운영 구분

축	정탐 조건	오탐 배제
로그 차이	변경 창 외	전송 지연 확인
보안 중지	변경 기록 없음	패치 작업
공백	설명 불가	로테이션

중앙 집중 + 변경 관리 대조가 정탐·오탐 판단의 핵심입니다.

8. SOC 관제 포인트

ELK/SIEM은 다수 호스트를 중앙 집중해 회피를 상관 탐지하고 증거를 보존합니다.
중앙 vs 로컬 이벤트 차이가 로컬 삭제를 강력히 입증합니다.
로그 공백·보안 중지는 변경 관리·맥락으로 정상 운영과 구분해야 오탐을 줄입니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_h,defense_evasion,siem,">
  <rule id="107440" level="13">
    <if_sid>107000</if_sid>
    <field name="audit.key">central_local_mismatch</field>
    <description>중앙-로컬 이벤트 불일치(로컬 삭제 입증, 변경 창 외)</description>
    <mitre><id>T1070</id><id>T1562.006</id></mitre>
  </rule>
</group>

중앙 집계와 로컬 수를 상관하고, 변경 관리 창·로그로테이션 일정을 오탐 필터로 적용합니다. 로그 수신 공백·보안 중지는 변경 기록과 대조해 정탐을 확정합니다.

10. 대응 방법

초기 확인 — 중앙 vs 로컬 이벤트 차이·보안 중지·로그 공백을 쿼리로 탐지합니다.
범위 확인 — 변경 관리·로테이션 일정과 대조해 정탐·오탐을 판단합니다.
증거 확보 — 중앙 사본·쿼리 결과·변경 대조 근거를 보존합니다.
차단/조치 — 정탐이면 중앙 사본 기반 조사·영향 범위 확정·대응을 진행합니다.
재발 방지 — ELK/SIEM 기반 방어 회피 탐지와 판단을 운영합니다.

11. 핵심 정리

신호	정탐 조건
로그 공백	설명 불가(변경 외)
보안 중지	변경 기록 없음
FIM 변조	패키지 외 변경
중앙>로컬	변경 창 외 삭제
면접 포인트	"ELK는 중앙 집중으로 삭제 입증 — 변경 관리 대조로 정탐·오탐 구분"