398. 방어 회피·흔적 삭제 — 방어 회피·흔적 삭제 탐지 규칙 모음

목록 보기

398/450

시스템 보안 · 취약점 › H. 방어 회피 · 흔적 삭제 징후 · 48/50편 (전체 398/450)
학습 단계: SOC 탐지 연계
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

1. 개념

H영역에서 다룬 방어 회피·흔적 삭제 탐지 룰을 체계적으로 정리합니다. 로그 삭제·변조, 보안 무력화·은닉, 위장·난독화, 로그 분석, SOC 연계로 분류하고, 운영 시 튜닝·우선순위 기준을 제시합니다.

H영역 탐지 규칙 분류(107000~107460)
 [로그 삭제·변조] 107080~107170 (H09~H18)
 [보안 무력화·은닉] 107180~107270 (H19~H28)
 [위장·난독화] 107280~107370 (H29~H38)
 [로그 분석] 107380~107420 (H39~H43)
 [SOC 연계] 107430~107460 (H44~H47)
 [상관] 107270·107370·107410 (결합 탐지)

운영: 중요도·오탐률 기반 튜닝·우선순위

핵심은 "분류 + 튜닝"입니다. 개별 룰을 유형별로 묶고, 중앙 수집·상관 룰을 상위에 두며, 오탐원(패치·점검·로테이션)을 기준선으로 관리합니다.

2. 왜 중요한가

H영역 룰은 로그 삭제·무력화·위장·분석·SOC 연계로 분류해 체계화합니다.
중앙 수집·상관 룰(결합 탐지)을 상위 우선순위로 운영합니다.
오탐원(패치·로테이션·점검)을 기준선·변경 관리로 관리해 정탐률을 높입니다.

3. 핵심 명령어 / 설정

분류	룰 범위	핵심
로그 삭제·변조	107080~107170	FIM·명령 감사
보안 무력화·은닉	107180~107270	메타 감사·교차
위장·난독화	107280~107370	실체 교차
로그 분석	107380~107420	복원·상관
SOC 연계	107430~107460	중앙·대응

4. 실습 (실습 예시)

# 방어 회피·흔적 삭제 탐지 규칙 운영 (분석 방법)
# H영역 룰 로드 확인
sudo grep -E 'rule id="1070[0-4][0-9]0"' /var/ossec/etc/rules/local_rules.xml 2>/dev/null | wc -l
# 룰별 트리거 빈도(튜닝 기준)
sudo grep -oE '"rule":\{"id":"1070[0-9]+"' /var/ossec/logs/alerts/alerts.json 2>/dev/null | sort | uniq -c | sort -rn | head
# 오탐원 기준선(변경 창·로테이션 일정)
echo "패치·점검·로테이션 일정을 오탐 필터로 등록"
# 적용 전 검증
echo "모든 룰 wazuh-logtest + 테스트 환경 검증 필수"

5. 정상 상태

$ (룰 로드) H영역 룰 정상 로드
$ (트리거 빈도) 정상 범위(과다 오탐 없음)

H영역 룰이 정상 로드되고, 각 룰의 트리거 빈도가 과다 오탐 없이 정상 범위인 상태가 잘 튜닝된 운영 상태입니다.

6. 이상 상태

운영 튜닝 예(가상의 예시):
- 107080(로그 삭제): 로테이션 오탐 多 → 변경 창 제외 필터
- 107180(보안 중지): 패치 재시작 오탐 → 변경 관리 대조
- 107410(상관): 결합 탐지 → 우선순위 최상위(고신뢰)
- 107440(중앙-로컬 불일치): 전송 지연 오탐 → 지연 임계 조정
→ 상관·중앙 룰 상위, 개별 룰은 오탐 필터 후 운영

개별 룰은 오탐원 필터링 후 적용
상관·중앙 수집 룰을 고신뢰·상위 우선순위로
분류·튜닝·우선순위로 운영 최적화

7. 로그 분석 (분석 방법)

방어 회피 탐지 규칙 체계입니다(가상의 예시).

[개별 룰] 삭제·무력화·위장·분석 (107080~107460)
   ↓ (분류·튜닝)
[오탐 필터] 패치·로테이션·점검 → 변경 관리 대조
   ↓
[상관 룰] 결합 탐지 (107270·107370·107410)
   ↓ (우선순위)
[중앙·대응] 중앙 수집(107450)·대응(107460)
   ↓
= 분류→튜닝→상관→중앙 계층으로 체계적 운영

계층	룰	우선순위
개별	유형별 탐지	중(필터 후)
상관	결합 탐지	고
중앙·대응	수집·대응	최상위

계층적 분류·튜닝이 규칙 운영의 핵심입니다.

8. SOC 관제 포인트

H영역 룰은 로그 삭제·무력화·위장·분석·SOC 연계로 분류해 체계화합니다.
중앙 수집·상관(결합) 룰을 고신뢰·상위 우선순위로 운영합니다.
오탐원(패치·로테이션·점검)을 변경 관리·기준선으로 관리하고, 모든 룰은 사전 검증합니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<!-- H영역 탐지 규칙 체계(요약) -->
<group name="local,syssec_h,defense_evasion,">
  <!-- 로그 삭제·변조: 107080~107170 -->
  <!-- 보안 무력화·은닉: 107180~107270 -->
  <!-- 위장·난독화: 107280~107370 -->
  <!-- 로그 분석: 107380~107420 -->
  <!-- SOC 연계·대응: 107430~107460 -->
  <rule id="107470" level="3">
    <if_sid>107000</if_sid>
    <description>방어 회피·흔적 삭제 탐지 규칙 체계(요약·인덱스)</description>
    <mitre><id>TA0005</id></mitre>
  </rule>
</group>

유형별 분류·오탐 필터·상관 우선순위를 문서화해 운영합니다. 모든 룰은 wazuh-logtest와 테스트 환경에서 검증한 뒤 단계적으로 적용합니다.

10. 대응 방법

초기 확인 — H영역 룰을 유형별로 분류하고 로드·트리거 빈도를 점검합니다.
범위 확인 — 오탐원을 변경 관리·기준선으로 필터링하고 상관·중앙 룰을 상위에 둡니다.
증거 확보 — 룰 구성·튜닝 이력·검증 결과를 보존합니다.
차단/조치 — 운영 중 오탐·미탐을 지속 튜닝하고 신규 회피 기법을 룰에 반영합니다.
재발 방지 — 방어 회피·흔적 삭제 탐지 규칙 모음을 운영합니다.

11. 핵심 정리

분류	룰 범위
로그 삭제·변조	107080~107170
보안 무력화·은닉	107180~107270
위장·난독화	107280~107370
로그 분석·SOC	107380~107460
면접 포인트	"룰은 분류·튜닝·상관 우선순위로 체계화 — 중앙·상관 룰이 고신뢰"