Linux 지속성 메커니즘 분석은(는) 무엇을 하나요?
개요
공격자는 crontab 작업, systemd 서비스/타이머 유닛, LD_PRELOAD 라이브러리 인젝션, 셸 프로파일 수정(.bashrc, .profile), SSH authorized_keys 백도어, init 스크립트 조작을 통해 Linux 시스템에 지속성을 확보합니다. 이 스킬은 모든 알려진 지속성 벡터를 스캔하고, 파일 타임스탬프와 무결성을 확인하며, auditd 로그와 상관 분석하여 지속성 설치 타임라인을 구축합니다.
사용 시기
- 보안 인시던트 조사 시 Linux 지속성 메커니즘 분석이 필요할 때
- 이 도메인에 대한 탐지 규칙 또는 위협 헌팅 쿼리를 구축할 때
- SOC 분석가가 이 분석 유형에 대한 체계적인 절차가 필요할 때
- 관련 공격 기술에 대한 보안 모니터링 범위를 검증할 때
사전 요구 사항
- 대상 Linux 시스템에 대한 루트 또는 sudo 접근 권한 (또는 포렌식 이미지)
- 지속성 경로에 파일 감시 규칙이 설정된 auditd
- Python 3.8+ (표준 라이브러리: os, subprocess, json)
- 선택 사항: 파일 무결성 모니터링 알림을 위한 OSSEC/Wazuh 에이전트
단계
- Crontab 항목 스캔 — 모든 사용자 crontab, /etc/cron.d/, /etc/cron.daily/, anacron 작업을 열거하여 의심스러운 명령어 확인
- Systemd 유닛 감사 — /etc/systemd/system/ 및 ~/.config/systemd/user/에서 패키지로 관리되지 않는 서비스 및 타이머 유닛 확인
- LD_PRELOAD 하이재킹 탐지 — /etc/ld.so.preload 및 LD_PRELOAD 환경 변수에서 인젝션된 공유 라이브러리 확인
- 셸 프로파일 검사 — .bashrc, .bash_profile, .profile, /etc/profile.d/에서 인젝션된 명령어 또는 리버스 셸 스캔
- SSH Authorized Keys 확인 — 모든 authorized_keys 파일에서 명령어 제한이 있는 무단 공개 키 감사
- Auditd 로그 상관 분석 — 지속성 경로의 파일 수정 이벤트에 대해 auditd 로그 검색하여 설치 타임라인 구축
- 지속성 보고서 생성 — 발견된 모든 지속성 메커니즘에 대한 리스크 점수 보고서 생성
예상 출력
- 발견된 모든 지속성 메커니즘에 대한 리스크 점수가 포함된 JSON 보고서
- auditd 상관 분석을 통한 지속성 설치 타임라인
- MITRE ATT&CK 기술 매핑 (T1053, T1543, T1574, T1546)
- 탐지된 각 지속성 메커니즘에 대한 복구 명령어