내부망 호스트에서 인터넷 호스트로 SSH 접속하여 데이터를 유출하는 경우 탐지합니다.
개요
| 중요도 | 하 |
|---|---|
| 유형 | 실시간 탐지 |
| 로그 스키마 | session |
| 메시지 | 외부 SSH 접속을 통한 데이터 유출: $src_ip -> $dst_ip:$dst_port ($sent_bytes bytes) |
| 출력 필드 순서 | _log_time, type, emp_key, emp_name, src_user, src_ip, src_port, dst_ip, dst_port, protocol, category, app, sent_bytes, rcvd_bytes, sent_pkts, rcvd_pkts, duration, action, end_reason |
| MITRE 기술 | T1048.001 Exfiltration Over Alternative Protocol |
| MITRE 전술 | TA0010 Exfiltration |
| 참조 객체 | 네트워크 대역 내부망 대역3 |
쿼리
1| search app == "ssh" and protocol== "TCP"
2| matchnet field=src_ip guid="bb994ca4-1471-4b91-89f2-99a61bd529b5" verify=f
3| matchnet invert=t field=dst_ip guid="bb994ca4-1471-4b91-89f2-99a61bd529b5" verify=f
4| search sent_bytes >= 1000000 and sent_bytes >= rcvd_bytes * 3
팔로알토 네트웍스 차세대 방화벽 수집 모델에 대해 아래 스트림 쿼리를 적용하여 실시간 탐지를 수행합니다. 팔로알토 네트웍스 방화벽은 L7 프로토콜을 식별하므로 포트 번호에 관계없이 SSH 접속을 정확하게 식별할 수 있습니다.
일반적으로 원격 SSH 작업은 명령어를 실행하고 터미널 출력을 수신하기 때문에 수신 바이트의 비율이 높으나, 송신 바이트가 수신 바이트보다 수 배 이상 많은 경우에는 데이터 유출 세션으로 판단할 수 있습니다.
참조 객체
- 내부망 네트워크 대역:
bb994ca4-1471-4b91-89f2-99a61bd529b5
위협 분석
- 공격자는 리눅스 셸에서
scp명령어를 사용하여 인터넷 호스트로 파일을 유출할 수 있습니다. - 특히 전송 바이트(sent_bytes) 값이 큰 경우 어떤 작업이 있었는지 확인할 필요가 있습니다.
오탐 유형
- 사용자의 정상적인 외부 SSH 접속도 탐지하므로, 특정 내부 IP 주소에서 특정 인터넷 서버로 SSH 접속하여 데이터를 전송하는 것이 허용된 경우에는 탐지 예외 조건을 추가하여 조정합니다.
- 예시: 정기적 외부 데이터 백업