450. 지속성·재침투 — 지속성·재침투 징후 종합 정리

목록 보기

450/450

시스템 보안 · 취약점 › I. 지속성 · 재침투 징후 · 50/50편 (전체 450/450)
학습 단계: 실전 시나리오·종합
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

1. 개념

I영역 50편을 한 편으로 정리합니다. 지속성·재침투 대응은 "무엇이 남아 있는가(인벤토리)", "언제 생겼는가(타임라인)", "다시 돌아올 수 없는가(근절 검증)" 세 질문으로 요약됩니다.

I영역 50편 지도
 [기초 I01~08]      개념·감사 기반·기준선·분류(MITRE)·재침투 경로·정상 구분·판정 6축
 [계정·인증 I09~18] 백도어 계정·UID 0·휴면·SSH 키·sshd·PAM·sudoers·자격증명·CA
 [스케줄·부팅 I19~28] cron·at·service·timer·drop-in·rc.local·셸·udev·preload
 [통로·거점 I29~38] 리버스·리스너·웹셸·비컨·터널·신뢰 관계·커널 모듈·바이너리·복귀
 [분석·SOC I39~50] 인벤토리·정기 diff·타임라인·정규화·상관·Wazuh·ELK·근절·대응·룰·시나리오

세 질문
 무엇이 남았나 → 인벤토리(I39)
 언제 생겼나   → 타임라인(I41)
 돌아올 수 없나 → 근절 검증·감시 기간(I46·I37)

이 세 질문은 Linux 지속성뿐 아니라 Windows·클라우드 환경에서도 그대로 쓸 수 있는 범용 사고 대응 틀입니다.

2. 왜 중요한가

지속성은 사고 대응의 마지막 관문이며, 놓치면 사고가 반복됩니다.
I영역은 앞선 A~H영역(하드닝·인증·정찰·권한·접근·프로세스·회피)의 결과가 모이는 곳입니다.
범용 틀로 정리해 두면 새로운 지속성 기법에도 같은 방식으로 대응할 수 있습니다.

3. 핵심 명령어 / 설정

질문	도구	산출물
무엇이	인벤토리·기준선 diff	지속성 목록
누가·어떻게	auditd·FIM whodata	주체·방법
언제·순서	타임라인·상관	설치 순서·재생성 관계
얼마나 넓게	IOC·키 지문 상관	영향 호스트
끝났는가	재부팅 재수집·감시 기간	근절 증명

4. 실습 (실습 예시)

# I영역 최종 점검 루틴 (분석 방법) — 한 호스트 15분 점검
sudo /usr/local/sbin/persist-inventory | tee /root/ir/inv_$(hostname).tsv | grep -cP '\t미소유\t'
awk -F: '$3==0{print $1}' /etc/passwd
ls /etc/ld.so.preload 2>/dev/null; cat /proc/sys/kernel/tainted
sudo rpm -Va 2>/dev/null | grep -cE '^..5.* /(usr/)?s?bin/'
sudo ss -lntup | wc -l; sudo ss -tnp | grep -cE '"(bash|sh|python[0-9.]*|nc|ssh)"'
sudo atq; systemctl list-timers --all --no-legend | wc -l

5. 정상 상태

미소유 지속성 0 · UID 0 = root · preload 없음 · tainted 0
바이너리 불일치 0 · 셸 외부 연결 0 · atq 비어 있음

15분 점검 결과가 모두 기준값이면 해당 호스트에 알려진 지속성·재침투 경로가 없다고 판단하고, 결과를 기준선으로 보관합니다.

6. 이상 상태

미소유 지속성 4 · UID 0 = root, backup · tainted 12288
→ 계정·부팅·커널 층 동시 이상 → 깊은 거점 의심

여러 층에서 동시에 이상 → 단일 항목 제거로는 불충분
커널 taint + UID 0 → 호스트 신뢰 불가, 재설치 검토
I47 플레이북으로 즉시 전환

7. 로그 분석 (분석 방법)

「시스템 보안 · 취약점」 450편 전체 흐름입니다(가상의 예시).

A 서버 보안 설정(001~050)   기준선을 만든다
   ↓
B 계정·인증(051~100)        누가 들어오는지 본다
   ↓
C 정보 노출·수집(101~150)   들어와서 무엇을 살피는지 본다
   ↓
D 권한 변경(151~200)        어떻게 권한을 얻는지 본다
   ↓
E 중요 정보 접근(201~250)   무엇을 가져가는지 본다
   ↓
F 프로세스·지속성(251~300)  무엇을 실행하는지 본다
   ↓
G·H 로그 변조·방어 회피(301~400) 어떻게 숨는지 본다
   ↓
I 지속성·재침투(401~450)    어떻게 남고 돌아오는지 보고, 끊는다

단계	관제 질문
하드닝(A)	정상은 무엇인가
침투·상승(B~D)	누가 어떻게 들어와 권한을 얻나
행위(E~F)	무엇을 가져가고 실행하나
은폐·잔존(G~I)	어떻게 숨고 남고 돌아오나

450편은 결국 "정상을 알고(A), 이상을 단계별로 보고(B~H), 끝까지 끊는다(I)"는 하나의 관제 흐름입니다. 다음 학습은 이 흐름을 실제 SIEM 데이터와 사고 대응 보고서로 연결하는 것입니다.

8. SOC 관제 포인트

지속성 점검 15분 루틴을 사고 대응 초기 표준 절차로 씁니다.
인벤토리·타임라인·근절 검증 세 산출물을 모든 지속성 인시던트에 남깁니다.
A~I영역 룰셋(100100~108499)을 하나의 저장소로 관리하고 회귀 시험합니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_i,persistence,">
  <rule id="108490" level="3">
    <if_sid>108000</if_sid>
    <field name="audit.key" type="pcre2">^(persist_|account_persist|reentry_)</field>
    <description>I영역 지속성·재침투 감시 이벤트(종합 대시보드 집계용)</description>
    <mitre><id>TA0003</id></mitre>
  </rule>
</group>

종합 대시보드 집계용 저레벨 룰입니다. 상세 판정은 108080~108480 하위 룰이 담당하고, 이 룰은 호스트별·분류별 전체 추이를 보는 데 씁니다.

10. 대응 방법

초기 확인 — 15분 점검 루틴으로 호스트 상태를 확인합니다.
범위 확인 — 이상 층이 여러 개면 상관·인벤토리로 범위를 확정합니다.
증거 확보 — 인벤토리·타임라인·로그를 원격 보존합니다.
차단/조치 — I46 순서로 근절하거나 깊은 거점이면 재설치합니다.
재발 방지 — 감시 기간 0건 확인 후 기준선을 갱신하고 절차를 개선합니다.

11. 핵심 정리

축	핵심
무엇이	인벤토리
언제	타임라인
끝났나	근절 검증·감시 기간
범용성	Linux 외 환경에도 적용
면접 포인트	"지속성 대응은 세 질문 — 무엇이 남았나, 언제 생겼나, 다시 돌아올 수 없나"