Shell GUARD가 서버에서 웹쉘을 탐지하면 이벤트가 발생합니다.

Overview

Priority	High
Type	Stream
Log schema	shellguard-detect
Message	웹쉘 탐지: $agent_id
Output field order	_log_time, log_type, agent_id, file_path, line_num, sid, url_count
MITRE Techniques	T1505.003 Server Software Components: Web Shell
MITRE tactics	TA0003 Persistence

Query

Shell GUARD의 모든 웹쉘 탐지 유형(실시간 웹쉘 탐지, 정기 웹쉘 탐지, 업로드 필터링)에 대해 탐지합니다.

Target logger models

• Shell GUARD syslog

Threat analysis

• 웹 서버에 웹쉘이 설치되면 공격자가 지속적으로 웹쉘을 통해 임의의 제어 명령을 내릴 수 있습니다.

False positives

• Shell GUARD가 정상 파일을 웹쉘 파일로 오탐지 할 수 있습니다.

Response actions

• Shell GUARD 로그에서는 접속 IP가 식별되지 않으므로, 웹 로그를 통하여 웹쉘을 업로드하거나 접근한 클라이언트 IP를 조사합니다.
• 방화벽에서 웹쉘을 업로드하거나 접근한 출발지 IP를 차단하여 악의적인 명령을 내릴 수 없도록 조치합니다.
• 서버에서 웹쉘 파일을 제거하고, 웹쉘을 통해서 시스템에 추가 설치된 파일을 조사하여 제거합니다.
• 방화벽 로그를 통해 해당 웹 서버에서 내부망에 접근한 흔적을 조사하고, 내부 침투로 이어졌는지 조사하여 조치합니다.
• 웹쉘을 업로드할 수 있었던 취약점을 확인하여 패치합니다.