401. 지속성·재침투 — 지속성·재침투 징후 분석 개요

Soc 개요 리눅스 보안관제 시스템 보안 · 취약점 시스템보안 재침투 지속성 지속성·재침투

시스템 보안 · 취약점

목록 보기

401/450

시스템 보안 · 취약점 › I. 지속성 · 재침투 징후 · 1/50편 (전체 401/450)
학습 단계: 지속성·재침투 기본 개념
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

1. 개념

I영역 「지속성 · 재침투 징후」를 시작합니다. 공격자는 침투에 성공하면 접근을 계속 유지(persistence)하고, 끊겨도 다시 들어올 경로(re-entry)를 확보합니다. 이 영역은 계정·스케줄·서비스·백도어에 심어진 지속성 메커니즘을 탐지하고, 재침투 채널을 차단하는 방법을 다룹니다.

지속성·재침투의 위치
 침투 → 실행 → 지속성 확보 → 재침투 경로 → 장기 거점화
   ↕
 지속성(persistence): 접근 유지
  · 계정·인증 (백도어 계정·키)
  · 스케줄·서비스 (cron·systemd)
  · 백도어·재침투 채널 (리버스·웹셸)

핵심: 한 번 심으면 재부팅·패치 후에도 살아남음

핵심은 "한 번 심은 지속성은 반복적으로 되살아난다"는 점입니다. 지속성을 하나라도 놓치면 제거·복구 후에도 공격자가 다시 돌아옵니다.

2. 왜 중요한가

지속성은 접근을 유지시켜, 하나라도 놓치면 사고 복구 후 재침투를 허용합니다.
재침투 경로는 침해의 "뒷문"으로, 지속성과 결합해 장기 거점을 만듭니다.
지속성 메커니즘은 재부팅·패치에도 살아남도록 설계되어 완전 제거가 어렵습니다.

3. 핵심 명령어 / 설정

분류	내용	편
기초	개념·기준선·판정	I01~I08
계정·인증	백도어 계정·키	I09~I18
스케줄·서비스	cron·systemd	I19~I28
백도어·재침투	리버스·웹셸·C2	I29~I38
분석·SOC	인벤토리·상관·대응	I39~I50

4. 실습 (실습 예시)

# 지속성·재침투 개요 점검 (분석 방법)
# 주요 지속성 위치 통합 조회
sudo ausearch -k persist,account_persist -i --start recent 2>/dev/null | tail
# 자동 실행 항목 개요(cron·systemd·프로파일)
systemctl list-unit-files --state=enabled 2>/dev/null | head; crontab -l 2>/dev/null | head

5. 정상 상태

$ (지속성 변경) (없음 — 정상)
$ (자동 실행 항목) 승인된 항목만

지속성 관련 변경이 없고, 자동 실행 항목이 모두 승인된 정상 항목뿐인 상태가 정상입니다.

6. 이상 상태

$ (지속성 변경)
authorized_keys에 미등록 키 추가
/etc/cron.d/.x (은닉 cron)
systemctl enable malsvc (악성 서비스)
→ 여러 위치에 접근 유지 장치 심음

미등록 SSH 키·은닉 cron·악성 서비스 → 다중 지속성
재부팅·세션 종료 후에도 복귀 가능한 장치 설치
지속성 메커니즘 설치 → 장기 거점화 → 정탐

7. 로그 분석 (분석 방법)

I영역 학습 흐름입니다(가상의 예시).

[기초] 개념·메커니즘 분류·판정(I01~I08)
   ↓
[계정·인증] 백도어 계정·SSH 키·PAM(I09~I18)
   ↓
[스케줄·서비스] cron·systemd·부팅(I19~I28)
   ↓
[백도어·재침투] 리버스·웹셸·C2·신뢰관계(I29~I38)
   ↓
[분석·SOC] 인벤토리·상관·Wazuh/SIEM·대응(I39~I50)
 = 심은 장치를 빠짐없이 찾아 재침투 차단

흐름	목표
기초	판단 기준
탐지	계정·스케줄·백도어
분석	인벤토리·상관
SOC	탐지·대응

지속성 탐지는 "심어진 장치를 빠짐없이 찾는" 전수 점검이 핵심입니다.

8. SOC 관제 포인트

I영역은 지속성(접근 유지)·재침투(복귀 경로)를 탐지·제거하는 전 과정을 다룹니다.
지속성은 재부팅·패치에도 살아남으므로 하나라도 놓치면 재침투를 허용합니다.
계정·스케줄·서비스·백도어의 전수 점검과 기준선 비교가 핵심 기반입니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_i,persistence,">
  <rule id="108000" level="5">
    <decoded_as>auditd</decoded_as>
    <field name="audit.key" type="pcre2">persist|account_persist|reentry</field>
    <description>지속성·재침투 관련 감사 이벤트(I영역 베이스)</description>
    <mitre><id>TA0003</id><id>T1098</id></mitre>
  </rule>
</group>

108000은 I영역 기반 룰입니다. 개별 탐지(108010~)가 상속해 세분화합니다. Wazuh 룰 베이스: I영역 108000번대.

10. 대응 방법

초기 확인 — 계정·스케줄·서비스·백도어 등 지속성 위치를 통합 조회합니다.
범위 확인 — 자동 실행·인증 설정 변경이 다른 공격 단계와 연계되는지 확인합니다.
증거 확보 — 지속성 변경 이벤트와 자동 실행 인벤토리를 보존합니다.
차단/조치 — 지속성 정탐이면 전수 점검으로 모든 장치 제거·재침투 경로 차단을 진행합니다.
재발 방지 — I영역 지속성·재침투 탐지 체계를 운영합니다.

11. 핵심 정리

분류	내용
기초	개념·기준선·판정
계정·인증	백도어 계정·키
스케줄·서비스	cron·systemd
백도어·재침투	리버스·웹셸·C2
면접 포인트	"지속성은 하나만 놓쳐도 재침투 허용 — 전수 점검이 핵심"