402. 지속성·재침투 — 지속성(persistence)·재침투의 개념과 공격 단계

시스템 보안 · 취약점 › I. 지속성 · 재침투 징후 · 2/50편 (전체 402/450)
학습 단계: 지속성·재침투 기본 개념
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

• 401. 지속성·재침투 — 지속성·재침투 징후 분석 개요
• 253. 지속성(persistence) 메커니즘 탐지(F영역)

1. 개념

지속성(Persistence, ATT&CK TA0003)은 공격자가 재부팅·로그아웃·세션 종료 후에도 접근을 유지하는 활동입니다. 재침투(re-entry)는 접근이 끊겼을 때 다시 들어오는 것으로, 지속성 장치가 그 통로가 됩니다.

지속성 vs 재침투
 지속성(persistence): 접근을 "유지"
   백도어 계정·SSH 키·cron·서비스 → 끊겨도 자동 복귀
 재침투(re-entry): 접근을 "복구"
   심어둔 백도어로 재접속, 자격증명 재사용
 관계: 지속성 장치 = 재침투 통로
   → 둘은 동전의 양면

핵심: 지속성 장치를 남기면 언제든 재침투 가능

핵심은 "지속성과 재침투는 분리된 것이 아니다"입니다. 심어진 지속성 장치가 그대로 재침투 경로가 되므로, 둘을 함께 탐지·차단해야 합니다.

2. 왜 중요한가

• 지속성은 접근 유지, 재침투는 접근 복구이며, 지속성 장치가 재침투 통로가 됩니다.
• 공격자는 다중 지속성을 심어 하나가 제거돼도 다른 경로로 복귀합니다.
• 둘을 함께 봐야 "제거했는데 다시 들어오는" 상황을 막을 수 있습니다.

3. 핵심 명령어 / 설정

구분	지속성	재침투
목적	접근 유지	접근 복구
수단	백도어·키·cron	심은 장치 재사용
시점	침투 직후 설치	끊긴 후 복귀
관계	재침투 통로 제공	지속성 활용
대응	전수 제거	경로 차단

4. 실습 (실습 예시)

# 지속성·재침투 개념 점검 (분석 방법)
# 지속성 설치(접근 유지 장치)
sudo ausearch -k account_persist,persist -i --start recent 2>/dev/null | tail
# 재침투(심은 경로로 재접속)
sudo grep 'Accepted' /var/log/secure 2>/dev/null | grep -E 'publickey' | tail
# 다중 지속성 여부(여러 위치 동시 설치)
echo "authorized_keys·cron·systemd·PAM 동시 변경 여부 교차 확인"

5. 정상 상태

$ (지속성 설치) (없음)
$ (재접속) 정상 사용자·키만

지속성 설치 흔적이 없고, 재접속이 정상 사용자·등록 키로만 이뤄지는 상태가 정상입니다.

6. 이상 상태

$ (지속성 설치)
authorized_keys 키 추가 + /etc/cron.d/.x + PAM 변조(다중)
$ (재접속)
끊긴 뒤 미등록 키로 publickey 재접속(재침투)

• 여러 위치에 지속성 동시 설치 → 중복 복귀 경로 확보
• 끊긴 후 심은 키로 재접속 → 재침투 실행
• 지속성 설치 + 재접속 → 지속성·재침투 연계 → 정탐

7. 로그 분석 (분석 방법)

지속성·재침투 관계 분석입니다(가상의 예시).

[침투 직후] 지속성 다중 설치
 ① SSH 키 추가 ② cron 등록 ③ 서비스 enable
      ↓ (접근 끊김 — 관리자 세션 종료·IP 차단)
[재침투] 심어둔 경로로 복귀
 → 미등록 키로 재접속 / cron이 역셸 재실행
      ↕ (탐지)
[분석가]
 지속성 장치 전수 점검 + 재접속 패턴 상관
 하나라도 남으면 재침투 반복
   ↓
= 지속성 장치 = 재침투 통로 → 함께 차단해야 종료

단계	공격	방어
설치	다중 지속성	전수 점검
복귀	재침투	경로 차단
반복	잔존 장치	완전 제거

지속성 전수 제거 없이는 재침투가 반복됩니다.

8. SOC 관제 포인트

• 지속성(TA0003)은 접근 유지, 재침투는 접근 복구이며 지속성 장치가 재침투 통로입니다.
• 공격자는 다중 지속성으로 중복 복귀 경로를 확보해 부분 제거를 무력화합니다.
• 둘을 함께 탐지·전수 제거해야 "제거 후 재침투" 반복을 끊을 수 있습니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_i,persistence,">
  <rule id="108010" level="10">
    <if_sid>108000</if_sid>
    <description>지속성 설치·재침투 연계 이벤트(접근 유지·복구)</description>
    <mitre><id>T1098</id><id>T1133</id></mitre>
  </rule>
</group>

지속성 설치와 재접속을 상관해 재침투 연계를 포착합니다. 다중 지속성은 전수 점검으로 모든 장치를 식별합니다.

10. 대응 방법

1. 초기 확인 — 지속성 설치(접근 유지)와 재접속(접근 복구)을 함께 조회합니다.
2. 범위 확인 — 다중 지속성 설치와 심은 경로를 통한 재침투 연계를 확인합니다.
3. 증거 확보 — 지속성 설치·재접속 이벤트와 설치 위치 목록을 보존합니다.
4. 차단/조치 — 연계 정탐이면 지속성 전수 제거·재침투 경로 차단을 함께 진행합니다.
5. 재발 방지 — 지속성·재침투 연계 탐지를 운영합니다.

11. 핵심 정리

구분	지속성 vs 재침투
목적	접근 유지 vs 접근 복구
수단	백도어·키·cron vs 심은 장치 재사용
시점	침투 직후 vs 끊긴 후
관계	지속성 장치 = 재침투 통로
면접 포인트	"지속성과 재침투는 동전의 양면 — 전수 제거 없이는 재침투 반복"

12. 다음 편 예고

다음 편 403. 지속성·재침투 — 지속성·재침투 감사 기반 구성 에서는 지속성·재침투 감사 기반을 다루는 지속성·재침투 감사 기반 구성을 다룹니다.

---

이전 편: 401. 지속성·재침투 — 지속성·재침투 징후 분석 개요
📚 시리즈 전체 보기: 시스템 보안 · 취약점