오늘 끝나면
포스트 익스플로잇
- ✓포스트 익스플로잇의 핵심 문제를 한 문장으로 설명한다
- ✓오른쪽 실습에서 포스트이 어떻게 움직이는지 관찰한다
- ✓다음 강의와 이어지는 한계를 말할 수 있다
실습 미션
들어간 뒤 — 지속성·측면 이동 이 문장이 실제로 무슨 뜻인지 실습에서 한 번 손으로 확인한다.
성공 조건
- □실습의 기본값을 먼저 관찰
- □입력값이나 모드를 한 번 이상 바꿔 결과 비교
- □왜 결과가 바뀌었는지 한 문장으로 설명
화이트해킹 · 18
포스트
익스플로잇
한 대 뚫는 건 시작일 뿐이다.
공격자는 그 발판을 지키고, 옆으로 번지고, 흔적을 지운다.
방어는 망 분할과 로그와 EDR로 그 모든 단계를 보이게 만드는 일이다.
들어간 다음이 진짜 시작
영화는 비번 뚫는 데서 끝난다. 실제 공격은 거기서부터 시작이다.
한 대를 뚫어 발판을 얻은 뒤의 모든 활동을 포스트 익스플로잇이라 부른다.
첫 호스트는 대개 별 값어치 없는 끝단이다. 인턴 PC나 노출된 웹서버 같은 것이다.
공격자가 노리는 진짜 표적은 그 안쪽에 있는 계정 정보와 DB, 도메인 컨트롤러다.
그래서 침투 직후 네 가지를 한다.
발판을 유지하고(지속성), 옆으로 이동하고(측면 이동), 권한을 키우고, 흔적을 지운다.
이 강은 그 네 동작과 각각을 막는 방어를 한 칸씩 본다.
비번 뚫기는 1단계, 진짜는 2~4단계에서 일어난다
지속성, 다시 들어올 뒷문
처음 들어온 통로는 언제 막힐지 모른다. 그래서 공격자는 따로 뒷문을 심는다.
이걸 지속성(persistence)이라 한다. 핵심은 다시 들어올 길을 확보하는 것이다.
재부팅이나 패치, 비번 변경에도 살아남도록 부팅 항목과 예약 작업, 서비스에 끼워 둔다.
개념만 보면 “시스템이 켜질 때 내 통로도 같이 켜져라”를 등록하는 것이다.
방어는 정상 상태와 다른 점을 찾는 것이다.
새로 생긴 자동 실행 항목과 낯선 예약 작업, 처음 보는 서비스를 표시하면 드러난다.
EDR이 부팅 항목 변경을 기록하고 경보하면 심어둔 뒷문이 곧 보인다.
부팅 자동 실행
켜질 때 같이 실행
예약 작업
정해진 시각마다 실행
서비스 등록
백그라운드 상주
측면 이동, 옆으로 번지기
뚫은 한 대로는 부족하다. 공격자는 거기서 옆 호스트로, 또 그 옆으로 번진다.
이걸 측면 이동(lateral movement)이라 한다.
파랑은 점령한 호스트이고, 테두리만 파란 노드는 다음 표적이다.
한 발 번지기를 누르면 인접한 호스트가 차례로 넘어가고, 결국 도메인 컨트롤러(DC)까지 닿는다.
핵심은 인접성이다. 같은 망에서 서로 닿을 수 있으면 한 줄로 이어진다.
그래서 방어 스위치도 같이 있다. 망 분리를 켜면 분리선 너머 통로가 끊긴다.
엣지가 뚫려도 코어로 못 넘어가고, 번짐이 한 칸에 갇힌다.
Q. 측면 이동이란? (권한을 더 높이기 · 한 시스템에서 다른 시스템으로 침투 확장 · 흔적을 지우기 · 다시 들어올 뒷문 심기)
정답은 한 시스템에서 다른 시스템으로 침투를 확장하는 것이다.뚫은 발판을 딛고 인접한 호스트로 옆걸음 치며 표적에 다가간다.
권한 키우기와 흔적 삭제, 뒷문 심기는 포스트 익스플로잇의 다른 동작이다.
측면 이동은 그중 “옆으로 번지는” 단계다.
엣지와 코어가 한 망에 섞여 있다. 한 대만 뚫리면 DC까지 한 줄로 이어진다.
다음 한 발이면 PC-1로 번진다. 인접한 호스트가 차례로 표적이 된다.
권한 유지 · 흔적 삭제
번지는 동안 두 가지를 같이 한다. 더 센 권한을 쥐고, 다닌 자국을 지운다.
끝단 PC는 보통 일반 사용자 권한이다. 그걸로는 깊은 데를 못 본다.
그래서 관리자나 시스템 권한으로 올라서려 한다(권한 상승). 한 번 올라서면 그 망에서 못 할 게 줄어든다.
높은 권한은 더 많은 호스트로 번질 열쇠도 된다.
동시에 흔적을 지운다. 로그인 기록과 실행 이력, 로그 항목을 지우거나 흐린다.
방어는 로그를 한곳에 모으는 것이다. 공격자가 닿을 수 없는 별도 서버로 즉시 보낸다.
현장 로그는 지워도 멀리 보낸 사본은 남아 침입의 경로가 그대로 드러난다.
현장 로그
지워짐
원격 사본
그대로 남음
방어, 분할과 로그와 EDR
포스트 익스플로잇은 “들어온 다음 조용히 번지기”다. 방어는 그 조용함을 깨는 것이다.
망 분할은 번짐을 끊는다. 망을 조각으로 나눠 한 조각이 뚫려도 옆 조각으로 못 넘어가게 한다.
로그는 흔적을 남긴다. 누가 언제 어디서 무엇을 했는지 별도 서버에 모아 지울 수 없게 한다.
EDR은 호스트의 행동을 본다. 낯선 자동 실행과 권한 상승, 옆 호스트 접속을 실시간으로 경보한다.
세 겹이 함께 돌면 공격자는 번질 길이 막히고, 움직일 때마다 자국을 남기고, 그 자국이 곧 경보가 된다.
한 대 뚫리는 건 막기 어려워도 그게 도메인 전체로 번지는 건 막을 수 있다.
포스트 익스플로잇 방어의 목표는 “침투 0”이 아니라 “번짐 0, 발각 빠름”이다.
Q. 한 대가 뚫려도 망 전체로 번지는 걸 가장 직접 막는 방어는? (백신 설치 · 망 분할 · 비번 길게 · 화면 잠금)
정답은 망 분할이다.측면 이동은 인접성으로 번진다. 망을 조각으로 나누면 분리선 너머로 못 넘어간다.
백신과 긴 비번, 화면 잠금은 첫 침투를 줄이는 데 도움이 되지만 이미 들어온 뒤의 확산을 끊지는 못한다.
여기에 로그와 EDR을 더하면 번짐을 끊고 남은 움직임까지 보이게 된다.
조각으로 나눠 옆 칸 차단
별도 서버에 모아 지울 수 없게
낯선 실행·이동을 실시간 경보