397. 방어 회피·흔적 삭제 — 방어 회피 Alert 대응 절차

목록 보기

397/450

시스템 보안 · 취약점 › H. 방어 회피 · 흔적 삭제 징후 · 47/50편 (전체 397/450)
학습 단계: SOC 탐지 연계
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

1. 개념

방어 회피 경보 대응은 일반 경보와 달리 증거 보존이 최우선입니다. 공격자가 이미 흔적을 지우고 있으므로, 추가 삭제를 막고 중앙 사본·메모리·열린 핸들을 즉시 확보한 뒤 분석합니다.

방어 회피 Alert 대응 절차
 ① 분류: 삭제·무력화 유형·범위 파악
 ② 보존(최우선): 중앙 사본·메모리·열린 핸들 즉시 확보
 ③ 차단: 추가 삭제 방지(세션 격리·쓰기 차단)
 ④ 복원: 중앙·백업·핸들로 삭제 흔적 복원
 ⑤ 분석: 복원 데이터로 전모 재구성
 ⑥ 복구·보고: 무결성 복구·재발 방지

차이점: "지우는 중"이므로 보존·차단이 급선무

핵심은 "지우는 중이므로 보존이 급선무"입니다. 일반 대응과 달리 증거가 실시간 소실되므로, 보존·차단을 분석보다 앞세웁니다.

2. 왜 중요한가

방어 회피 경보는 증거가 실시간 소실 중이므로 보존·차단이 최우선입니다.
중앙 사본·메모리·열린 핸들을 즉시 확보해야 삭제 전 상태를 보존합니다.
세션 격리·쓰기 차단으로 추가 삭제를 막은 뒤 복원·분석을 진행합니다.

3. 핵심 명령어 / 설정

단계	핵심 작업	목적
분류	유형·범위	우선순위
보존	중앙·메모리·핸들	증거 확보
차단	격리·쓰기 차단	추가 삭제 방지
복원	중앙·백업·핸들	흔적 복구
분석	전모 재구성	원인 규명
복구·보고	무결성·재발 방지	정상화

4. 실습 (실습 예시)

# 방어 회피 Alert 대응 (분석 방법 — 보존 우선)
# ② 보존: 열린 핸들·메모리 즉시 확보(삭제 전)
sudo lsof +L1 2>/dev/null | grep deleted | head   # 삭제+열림 복원 대상
# 중앙 사본 즉시 스냅샷(로컬 삭제 무관)
echo "중앙 SIEM에서 해당 호스트 전체 로그 export → 증거 보존"
# ③ 차단: 세션 격리(추가 삭제 방지)
echo "의심 세션 격리·네트워크 차단(프로세스 즉시 kill은 메모리 증거 소실 주의)"
# ④ 복원: 중앙·백업·핸들 대조
sudo ausearch -k log_delete,sec_disable -i --start recent 2>/dev/null | tail

5. 정상 상태

$ (방어 회피 경보) 없음(정상 운영)

방어 회피 경보가 없고, 삭제·무력화 신호 없이 정상 운영되는 상태입니다. 경보 발생 시 아래 대응 절차를 가동합니다.

6. 이상 상태

대응 흐름(가상의 예시):
① 분류: auth.log 삭제 + auditd 중지 경보
② 보존: 중앙 SIEM 로그 즉시 export, lsof로 열린 핸들 복원,
        메모리 덤프(프로세스 kill 전)
③ 차단: 해당 세션 격리, /var/log 쓰기 차단
④ 복원: 중앙 사본 + 핸들로 삭제된 auth.log 복원
⑤ 분석: 복원 로그로 침투~삭제 타임라인 재구성
⑥ 복구: auditd 재가동·무결성 검증·재발 방지

보존을 분석보다 먼저(증거 실시간 소실)
프로세스 즉시 kill보다 메모리·핸들 확보 우선
보존→차단→복원→분석 순서가 방어 회피 대응의 핵심

7. 로그 분석 (분석 방법)

방어 회피 Alert 대응 절차입니다(가상의 예시).

[경보] 로그 삭제 + 보안 중지 탐지(지우는 중)
   ↓
① 분류: 유형·범위
② 보존(최우선): 중앙 export + 핸들 복원 + 메모리 덤프
③ 차단: 세션 격리·쓰기 차단(추가 삭제 방지)
   ↓
④ 복원: 중앙·백업·핸들로 삭제 흔적 복구
⑤ 분석: 복원 데이터로 전모 재구성
⑥ 복구·보고: 무결성 복구·재발 방지
   ↓
= 보존·차단을 앞세워 소실 중인 증거 확보

일반 대응	방어 회피 대응
분석 우선	보존 우선
차단 후 분석	보존·차단 동시
로컬 로그	중앙·핸들·메모리

보존 우선순위가 방어 회피 대응을 일반 대응과 구분합니다.

8. SOC 관제 포인트

방어 회피 경보는 증거가 실시간 소실 중이므로 보존·차단이 최우선입니다.
중앙 사본·메모리·열린 핸들을 즉시 확보해 삭제 전 상태를 보존합니다.
보존→차단→복원→분석→복구 순서로, 프로세스 즉시 kill보다 증거 확보를 앞세웁니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_h,defense_evasion,">
  <rule id="107460" level="14">
    <if_sid>107000</if_sid>
    <field name="audit.key">evasion_response</field>
    <description>방어 회피 경보 — 증거 보존 우선 대응 절차 트리거</description>
    <mitre><id>T1070</id><id>T1562</id></mitre>
  </rule>
</group>

방어 회피 경보에 보존 우선 플레이북을 연결하고, 중앙 사본 자동 스냅샷·세션 격리·쓰기 차단을 Active Response로 자동화합니다. 프로세스 종료는 메모리 증거 확보 후 수행합니다.

10. 대응 방법

초기 확인 — 경보 유형·범위를 분류하고 증거 소실 속도를 평가합니다.
범위 확인 — 중앙 사본·메모리·열린 핸들을 즉시 보존하고 추가 삭제를 차단합니다.
증거 확보 — 보존 증거·복원 데이터·대응 조치를 기록·보존합니다.
차단/조치 — 복원·분석으로 전모를 재구성한 뒤 무결성 복구·재발 방지를 진행합니다.
재발 방지 — 방어 회피 Alert 대응 절차를 운영합니다.

11. 핵심 정리

단계	핵심 작업
분류	유형·범위
보존	중앙·메모리·핸들
차단	격리·쓰기 차단
복원	중앙·백업·핸들
면접 포인트	"방어 회피 대응은 보존 우선 — 지우는 중이므로 중앙·핸들·메모리 즉시 확보"