399. 방어 회피·흔적 삭제 — 실전 시나리오 — 침투 은폐부터 흔적 삭제까지

목록 보기

399/450

시스템 보안 · 취약점 › H. 방어 회피 · 흔적 삭제 징후 · 49/50편 (전체 399/450)
학습 단계: 실전 시나리오·종합
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

1. 개념

H영역의 모든 개념을 하나의 실전 시나리오로 엮습니다. 침투 직후 은폐부터 활동, 흔적 삭제, 그리고 분석가의 탐지·복원·대응까지 전 과정을 단계별로 따라가며, 방어 회피가 어떻게 포착·무력화되는지 종합합니다.

실전 시나리오 흐름
 [공격자] 침투 은폐 → 활동 → 보안 무력화 → 흔적 삭제
      ↕
 [방어자] 중앙 탐지 → 상관 → 복원 → 재구성 → 대응

핵심: 방어 회피는 완벽하지 않다
      (중앙·교차·복원이 회피를 무력화)

핵심은 "방어 회피는 완벽하지 않다"입니다. 공격자가 아무리 지워도 중앙 사본·교차 아티팩트·복원 가능성이 남아, 체계적 방어는 회피를 뚫습니다.

2. 왜 중요한가

실전 시나리오는 침투 은폐~흔적 삭제와 탐지~대응을 단계별로 종합합니다.
중앙 수집·교차 검증·복원이 결합하면 어떤 회피도 부분 이상 드러납니다.
방어 회피는 완벽할 수 없으며, 체계적 방어가 회피를 무력화함을 보여줍니다.

3. 핵심 명령어 / 설정

단계	공격자	방어자
1	침투 은폐(위장)	실체 교차
2	활동	중앙 수집
3	보안 무력화	메타 감사·하트비트
4	흔적 삭제	중앙 보존
5	—	복원·재구성·대응

4. 실습 (실습 예시)

# 실전 시나리오 탐지 흐름 (분석 방법)
# 1) 중앙에서 다기법 회피 결합 탐지(상관)
sudo ausearch -k sec_disable,log_delete,log_tamper,kmod -i --start recent 2>/dev/null | grep -oE 'auid=[0-9]+' | sort | uniq -c | sort -rn | head
# 2) 하트비트 끊김(에이전트 무력화)
sudo /var/ossec/bin/agent_control -l 2>/dev/null | head
# 3) 복원(열린 핸들·중앙 사본)
sudo lsof +L1 2>/dev/null | grep deleted | head
# 4) 타임라인 재구성(복원+중앙 병합)
echo "복원 로그 + 중앙 사본 시간 정규화 → 침투~삭제 통합 타임라인"

5. 정상 상태

$ (시나리오 신호) 없음 — 정상 운영

침투·은폐·무력화·삭제 신호가 없고, 중앙 수집·하트비트·무결성이 모두 정상인 상태입니다. 아래는 사건 발생 시의 전개입니다.

6. 이상 상태

통합 실전 시나리오(가상의 예시):
[공격자]
 01:10 ssh 침투 → argv[0]=sshd 위장(H29)
 01:25 /tmp/.x를 photo.jpg로 위장 실행(H30)
 01:40 python -c 역셸(LOLBins, H34)
 02:00 auditd 중지(H22) + falco kill(H23)
 02:03 rm auth.log; history -c(H09·H11)
 02:05 shred /var/log/syslog(H10)
[방어자]
 02:00 하트비트 끊김 → 에이전트 무력화 경보(H44)
 중앙 SIEM: 02:00 이전 로그 전부 보존(H46)
 상관: auid 동일, 6기법 결합 → 고위험 사건(H42)
 복원: lsof +L1로 열린 auth.log 핸들 복원(H39)
 재구성: 중앙+복원 병합 → 침투~삭제 타임라인(H41)
 대응: 세션 격리·증거 보존·무결성 복구(H47)
= 흔적 삭제에도 중앙·복원·상관으로 전모 재구성

공격자의 다층 회피(위장·무력화·삭제)를 중앙·교차·복원으로 무력화
하트비트·중앙 사본·상관·복원이 결합해 전모 재구성
방어 회피는 체계적 방어 앞에 부분 이상 드러남 → 정탐

7. 로그 분석 (분석 방법)

침투 은폐부터 흔적 삭제까지 실전 시나리오입니다(가상의 예시).

[공격자 타임라인]
 침투·위장 → 활동(LOLBins) → 무력화 → 삭제
      ↕ (방어 체계)
[중앙 수집] 삭제 전 모든 이벤트 전송·보존(H46)
[하트비트] 무력화 시점 경보(H44)
[상관] 다기법 결합 → 고위험(H42)
[복원] 핸들·중앙으로 삭제 흔적 복구(H39·H40)
[재구성] 통합 타임라인(H41)
[대응] 보존·격리·복구(H47)
   ↓
= 각 회피 기법마다 대응이 작동 → 전모 재구성

공격자 회피	방어자 대응	결과
위장·난독화	실체 교차	간파
무력화	하트비트·메타 감사	포착
흔적 삭제	중앙·복원	무력화

중앙·교차·복원의 결합이 방어 회피를 뚫는 핵심입니다.

8. SOC 관제 포인트

실전 시나리오는 침투 은폐~흔적 삭제와 탐지~대응을 단계별로 종합합니다.
중앙 수집·하트비트·상관·복원·재구성이 결합해 다층 회피를 무력화합니다.
방어 회피는 완벽할 수 없으며, 체계적 방어가 회피를 뚫고 전모를 재구성합니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_h,defense_evasion,">
  <rule id="107480" level="15" frequency="5" timeframe="900">
    <if_matched_sid>107000</if_matched_sid>
    <same_field>audit.auid</same_field>
    <description>실전 방어 회피 체인(위장+무력화+삭제 결합 사건)</description>
    <mitre><id>TA0005</id><id>T1070</id><id>T1562</id><id>T1036</id></mitre>
  </rule>
</group>

위장·무력화·삭제 룰을 세션·시간창으로 상관해 회피 체인을 단일 사건으로 확정하고, 중앙 수집·하트비트·복원·보존 플레이북을 자동 연계합니다.

10. 대응 방법

초기 확인 — 침투 은폐·활동·무력화·삭제의 전 과정을 중앙·상관으로 탐지합니다.
범위 확인 — 하트비트·중앙 사본·복원·재구성으로 삭제된 흔적과 전모를 복원합니다.
증거 확보 — 통합 타임라인·복원 증거·대응 조치를 보존합니다.
차단/조치 — 사건 확정이면 격리·무결성 복구·근본 원인 조사·재발 방지를 진행합니다.
재발 방지 — 침투 은폐부터 흔적 삭제까지 실전 대응을 운영합니다.

11. 핵심 정리

단계	방어자 대응
침투 은폐	실체 교차
활동	중앙 수집
보안 무력화	하트비트·메타 감사
흔적 삭제	중앙 보존·복원
면접 포인트	"방어 회피는 완벽하지 않다 — 중앙·교차·복원 결합이 회피를 무력화"