400. 방어 회피·흔적 삭제 — 방어 회피·흔적 삭제 징후 종합 정리

목록 보기

400/450

시스템 보안 · 취약점 › H. 방어 회피 · 흔적 삭제 징후 · 50/50편 (전체 400/450)
학습 단계: 실전 시나리오·종합
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

1. 개념

H영역 「방어 회피·흔적 삭제 징후」 50편을 종합 정리합니다. 기초 개념부터 로그 삭제·변조, 보안 무력화·은닉, 위장·난독화, 로그 분석, SOC 연계, 실전까지, 방어 회피 탐지의 전 체계를 한눈에 복습합니다.

H영역 전체 구조(351~400)
 ① 기초(H01~08): 개념·감사·기준선·판정
 ② 로그 삭제·변조(H09~18): 삭제·조작·타임스톰핑
 ③ 보안 무력화·은닉(H19~28): 도구중지·루트킷·은닉
 ④ 위장·난독화(H29~38): 위장·난독화·LOLBins
 ⑤ 로그 분석(H39~43): 복원·교차·타임라인
 ⑥ SOC 연계(H44~48): Wazuh·SIEM·중앙·대응
 ⑦ 실전·종합(H49~50)

관통 원리: 중앙 수집·교차 검증·복원

핵심 관통 원리는 셋입니다. 중앙 수집(삭제 무력화)·교차 검증(불일치로 입증)·복원(삭제는 참조 제거)이 방어 회피를 뚫는 토대입니다.

2. 왜 중요한가

H영역은 방어 회피 기초부터 탐지·복원·SOC 연계·실전까지 전 체계를 다룹니다.
관통 원리는 중앙 수집·교차 검증·복원 세 가지입니다.
방어 회피는 완벽할 수 없고, 체계적 방어가 회피를 무력화한다는 것이 결론입니다.

3. 핵심 명령어 / 설정

단계	범위	핵심
기초	H01~08	개념·기준선
로그 삭제·변조	H09~18	FIM·명령 감사
무력화·은닉	H19~28	메타 감사·교차
위장·난독화	H29~38	실체 교차
로그 분석	H39~43	복원·재구성
SOC·실전	H44~50	중앙·대응

4. 실습 (실습 예시)

# H영역 종합 점검 체크리스트 (분석 방법)
# 1) 중앙 수집 상태(삭제 무력화 토대)
sudo ss -tnp 2>/dev/null | grep -E ':514|:6514'; sudo /var/ossec/bin/agent_control -l 2>/dev/null | head
# 2) 무결성 기준(교차·변조 입증 토대)
sudo aide --check 2>/dev/null | grep -E 'changed|Entries' | head
# 3) 복원 가능성(열린 핸들)
sudo lsof +L1 2>/dev/null | grep deleted | head
# 4) H영역 룰 로드
sudo grep -cE 'rule id="1070[0-4][0-9]0"' /var/ossec/etc/rules/local_rules.xml 2>/dev/null

5. 정상 상태

$ (중앙 수집) 활성·하트비트 정상
$ (무결성 기준) AIDE 정상
$ (룰) H영역 로드 완료

중앙 수집·무결성 기준·탐지 룰이 모두 갖춰져, 방어 회피 탐지·복원·대응 체계가 정상 작동할 준비가 된 상태입니다.

6. 이상 상태

H영역 핵심 요약(가상의 예시):
- 로그 삭제돼도 → 중앙 사본·열린 핸들로 복원(H39·H46)
- 선택 삭제·변조 → 교차 검증 불일치로 입증(H40·H43)
- 보안 무력화 → 메타 감사·하트비트로 포착(H28·H44)
- 위장·난독화 → 실체(exe·magic·행위) 교차로 간파(H38)
- 다기법 결합 → 상관으로 고위험 사건 확정(H42)
→ 중앙·교차·복원이 모든 회피 대응의 공통 토대

어떤 회피도 중앙·교차·복원 중 하나 이상에 걸림
세 원리의 결합이 방어 회피를 체계적으로 무력화
H영역 전체가 "회피는 완벽하지 않다"를 입증

7. 로그 분석 (분석 방법)

H영역 「방어 회피·흔적 삭제 징후」 종합입니다.

[공격자] 위장 → 무력화 → 은닉 → 흔적 삭제
      ↕
[관통 원리 3]
 ① 중앙 수집: 삭제보다 전송이 먼저 → 삭제 무력화
 ② 교차 검증: 소스 간 불일치 → 삭제·변조 입증
 ③ 복원: 삭제=참조 제거 → 핸들·중앙·저널 복원
   ↓
[결과] 탐지·복원·재구성·대응 완성
   ↓
= 방어 회피는 완벽하지 않다 — 체계가 회피를 뚫음

원리	역할
중앙 수집	삭제 무력화
교차 검증	변조 입증
복원	흔적 재구성

세 원리의 결합이 H영역 전체를 관통하는 핵심입니다.

8. SOC 관제 포인트

H영역 50편은 방어 회피 기초·로그 삭제·무력화·위장·분석·SOC·실전을 종합합니다.
관통 원리는 중앙 수집(삭제 무력화)·교차 검증(변조 입증)·복원(흔적 재구성)입니다.
결론은 "방어 회피는 완벽하지 않다" — 체계적 방어가 회피를 뚫고 전모를 재구성합니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_h,defense_evasion,">
  <rule id="107490" level="3">
    <if_sid>107000</if_sid>
    <description>H영역 방어 회피·흔적 삭제 징후 종합(복습·인덱스)</description>
    <mitre><id>TA0005</id></mitre>
  </rule>
</group>

H영역 전체 룰(107000~107480)을 중앙 수집·교차 검증·복원 체계와 함께 운영합니다. 모든 룰은 사전 검증하고, 중앙 분리 저장·무결성 기준·복원 절차를 상시 유지합니다.

10. 대응 방법

초기 확인 — 중앙 수집·무결성 기준·복원 가능성·탐지 룰의 준비 상태를 점검합니다.
범위 확인 — 방어 회피 탐지·복원·재구성·대응 체계가 통합 작동하는지 확인합니다.
증거 확보 — 탐지 체계·기준선·룰 구성·대응 플레이북을 보존·문서화합니다.
차단/조치 — H영역 전체를 복습하고 신규 회피 기법을 지속 반영합니다.
재발 방지 — 방어 회피·흔적 삭제 징후 종합 체계를 운영합니다.

11. 핵심 정리

원리	역할
중앙 수집	삭제 무력화
교차 검증	변조 입증
복원	흔적 재구성
핵심 결론	방어 회피는 완벽하지 않다
면접 포인트	"방어 회피 대응은 중앙·교차·복원 — 체계가 회피를 뚫는다"