396. 방어 회피·흔적 삭제 — 중앙 로그 수집으로 로컬 삭제 무력화

목록 보기

396/450

시스템 보안 · 취약점 › H. 방어 회피 · 흔적 삭제 징후 · 46/50편 (전체 396/450)
학습 단계: SOC 탐지 연계
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

1. 개념

방어 회피의 핵심은 로컬 흔적 삭제이므로, 대응의 핵심은 중앙 로그 수집입니다. 로그를 생성 즉시 분리된 중앙 서버로 전송하면, 공격자가 로컬을 지워도 중앙 사본이 남아 흔적 삭제가 무력화됩니다.

중앙 로그 수집으로 로컬 삭제 무력화
 ① 실시간 전송: 이벤트 발생 즉시 중앙 전송
 ② 분리 저장: 공격자 도달 불가 서버·계정
 ③ 추가 전용: append-only·WORM 저장
 ④ 무결성: 전송 서명·해시 체인
 ⑤ 전송 감시: 중단 시 경보(차단 탐지)

원리: 삭제보다 전송이 먼저 = 사본 보존

핵심은 "삭제보다 전송이 먼저"입니다. 실시간 전송·분리 저장·추가 전용·전송 감시를 갖추면 로컬 삭제는 무의미해집니다.

2. 왜 중요한가

중앙 수집은 로그를 생성 즉시 전송해 삭제보다 전송을 앞세웁니다.
분리 저장·추가 전용(WORM)은 공격자가 중앙 사본에 도달·변조하지 못하게 합니다.
전송 중단 감시는 공격자의 전송 차단 시도 자체를 경보로 포착합니다.

3. 핵심 명령어 / 설정

요소	역할	효과
실시간 전송	즉시 중앙화	삭제 전 보존
분리 저장	접근 차단	중앙 변조 방지
추가 전용	WORM	소급 삭제 방지
전송 서명	무결성	변조 탐지
전송 감시	중단 경보	차단 포착

4. 실습 (실습 예시)

# 중앙 로그 수집 구성 (분석 방법)
# 실시간 원격 전송(rsyslog TCP/TLS)
grep -E '@@|action.*omfwd|RebindInterval' /etc/rsyslog.conf /etc/rsyslog.d/*.conf 2>/dev/null | head
# 전송 상태·중단 확인(차단 시도 탐지)
sudo ss -tnp 2>/dev/null | grep -E ':514|:6514' | head
# 중앙 서버 수신 확인(로컬 삭제 무관 보존)
echo "중앙 서버에서 호스트별 최근 수신 시각 확인 → 공백 = 전송 차단"
# 추가 전용 보호(중앙 저장소)
echo "중앙 저장소 append-only(chattr +a)·WORM 적용 확인"

5. 정상 상태

$ (원격 전송) TLS 전송 활성·연결 유지
$ (중앙 수신) 모든 호스트 최신 수신
$ (저장 보호) append-only 적용

실시간 원격 전송이 활성이고, 중앙이 모든 호스트 로그를 최신으로 수신하며, 중앙 저장소가 추가 전용으로 보호된 상태가 정상입니다.

6. 이상 상태

$ (원격 전송)
rsyslog omfwd 연결 끊김(:6514) → 전송 차단 시도
$ (중앙 수신)
host-7 02:00 이후 수신 공백 → 로컬에서 전송 중단
$ (보존 확인)
BUT 02:00 이전 로그는 중앙에 이미 보존(삭제 무관)

전송 연결 끊김 → 공격자의 전송 차단 시도(그 자체가 신호)
중앙 수신 공백 → 차단 시점 특정
차단 이전 로그는 중앙 보존 → 흔적 삭제 무력화 확인

7. 로그 분석 (분석 방법)

중앙 로그 수집의 로컬 삭제 무력화입니다(가상의 예시).

[로그 생성] → [즉시 중앙 전송] → [중앙 분리 저장]
                                      (append-only)
      ↓ (이후)
[공격자] 로컬 로그 삭제 시도
   BUT 이미 중앙에 전송·보존됨
   전송 차단 시도 → 전송 감시가 경보
      ↕
[분석가]
 중앙 사본으로 삭제 전 활동 완전 복원
 전송 중단 시점 = 차단 시도 포착
   ↓
= 삭제보다 전송이 먼저 → 흔적 삭제 무력화

시점	로컬	중앙
생성 즉시	기록	전송·보존
삭제 후	공백	사본 유지
전송 차단	중단	경보

실시간 전송 + 분리 저장이 로컬 삭제 무력화의 핵심입니다.

8. SOC 관제 포인트

방어 회피의 핵심이 로컬 삭제이므로, 대응의 핵심은 중앙 로그 수집입니다.
실시간 전송·분리 저장·추가 전용(WORM)으로 "삭제보다 전송을 먼저" 만듭니다.
전송 중단 감시는 공격자의 전송 차단 시도 자체를 경보로 포착합니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_h,defense_evasion,">
  <rule id="107450" level="12">
    <if_sid>107000</if_sid>
    <field name="audit.key">log_forward_stop</field>
    <description>중앙 로그 전송 중단(전송 차단 시도·수신 공백)</description>
    <mitre><id>T1562.006</id><id>T1070</id></mitre>
  </rule>
</group>

실시간 원격 전송(TLS)·중앙 분리 저장(append-only)·전송 무결성(서명)을 구성하고, 호스트별 수신 공백을 전송 차단 신호로 경보합니다. 중앙 저장소는 공격자 도달 불가로 격리합니다.

10. 대응 방법

초기 확인 — 실시간 전송·분리 저장·추가 전용·전송 감시 구성을 점검합니다.
범위 확인 — 전송 중단·수신 공백(차단 시도)과 중앙 사본 보존을 확인합니다.
증거 확보 — 중앙 사본·전송 상태·중단 시점을 보존합니다.
차단/조치 — 전송 차단 정탐이면 중앙 사본 기반 복원·차단 원인 조사·전송 복구를 진행합니다.
재발 방지 — 중앙 로그 수집으로 로컬 삭제 무력화를 운영합니다.

11. 핵심 정리

요소	역할
실시간 전송	즉시 중앙화
분리 저장	접근 차단
추가 전용	WORM
전송 감시	중단 경보
면접 포인트	"삭제보다 전송이 먼저 — 실시간 중앙 수집+분리 저장으로 삭제 무력화"