침입자의 공격을 방어하고 추적하기 위해서는 실시간 로그 중앙 집중화와 침입 차단 시스템(IPS) 구축이 핵심이며, 칼리 리눅스의 디지털 포렌식 도구를 활용해 삭제된 로그를 복구하고 공격 경 > 네트워크/보안/해킹

• 목록

침입자의 공격을 방어하고 추적하기 위해서는 실시간 로그 중앙 집중화와 침입 차단 시스템(IPS) 구축이 핵심이며, 칼리 리눅스의 디지털 포렌식 도구를 활용해 삭제된 로그를 복구하고 공격 경로를 추적할 수 있습니다.

1. 침입자의 흔적 지우기 및 백도어 설치 기법

침입자들은 권한을 획득한 후 재접속과 추적 회피를 위해 다음과 같은 방식을 사용합니다. [1, 2]

백도어 설치 방식

• 웹셸(WebShell): 웹 서버의 업로드 취약점을 악용해 악성 스크립트 파일을 업로드합니다.
• 스케줄러 등록: cron이나 Windows 작업 스케줄러에 악성 코드가 정기 실행되도록 등록합니다.
• 계정 생성: 관리자 몰래 새로운 관리자(root) 권한의 계정을 생성합니다. [1, 2]

흔적 및 로그 삭제 방식

• 로그 파일 변조: sed, awk 명령어로 로그 파일에서 자신의 IP나 실행 기록만 골라 지웁니다.
• 환경 변수 조작: HISTSIZE=0 명령어로 리눅스 터미널 명령어 입력 기록(history)을 남기지 않습니다.
• 바이너리 변조: ps, netstat, ls 같은 시스템 기본 명령어를 변조하여 악성 프로세스나 파일을 숨깁니다.

2. 칼리 리눅스 디지털 포렌식의 용도와 로그 복구 가능 여부

칼리 리눅스(Kali Linux)는 해킹 툴뿐만 아니라 강력한 디지털 포렌식(Digital Forensics)도구들을 기본 탑재하고 있습니다. 포렌식 모드로 부팅하면 대상 시스템의 디스크 데이터를 변형시키지 않고 안전하게 증거를 수집할 수 있습니다. [1]

칼리 리눅스 포렌식의 주요 용도

• 침해 사고 분석: 공격자가 어떤 경로로 들어왔고 무슨 짓을 했는지 타임라인을 구성합니다.
• 증거 보존: 디스크 이미징 도구(dd, dc3dd)를 사용하여 법적 효력이 있는 원본 복사본을 만듭니다.
• 악성코드 분석: 시스템 내부에 숨겨진 웹셸이나 백도어 실행 파일을 찾아냅니다. [1, 2, 3]

삭제된 로그 복구 및 추적 가능 여부

네, 복구하여 추적할 수 있습니다.침입자가 단순히 파일을 삭제(rm)하거나 로그 내용을 지웠더라도, 디스크의 실제 데이터 영역(Data Blocks)에는 흔적이 남아 있습니다. 칼리 리눅스의 포렌식 도구를 쓰면 이를 살려낼 수 있습니다.

• Sleuth Kit (TSK) & Autopsy: 파일 시스템의 메타데이터와 아이노드(Inode)를 분석하여 삭제된 로그 파일의 구조를 복구합니다.
• Scalpel / Foremost: 파일 카빙(File Carving) 기술을 사용하여 파일 시스템 구조가 깨졌더라도 로그 파일의 고유한 시작과 끝 패턴(헤더/푸터)을 인식해 통째로 뽑아냅니다.
• Volatility: 침입자가 로그를 지우고 시스템을 끄지 않았다면, 메모리(RAM)를 덤프하여 지워지기 전 로그나 실행 중이던 백도어 프로세스 흔적을 완벽히 복구합니다.

3. 침입자 유형별 대처·방어·추적 보안법

침입자의 수준과 목적에 따라 방어 전략을 다르게 짜야 효과적입니다.

침입자 유형	주요 특징	대처 및 방어법	추적 및 포렌식 방법
스크립트 키디 (초급 해커)	공개된 자동화 툴이나 알려진 취약점(익스플로잇)을 무작위로 대입함.	• 정기적인 보안 패치 업데이트 • 기본 관리자 포트(22, 3389) 변경 • 방화벽 및 IP 차단 설정	• 시스템 로그 및 웹 서버 Access 로그 분석 • 공격 도구의 시그니처 IP 추적
내부 위협자 (전·현직 직원)	정당한 권한을 가지고 있으며 권한 오남용을 통해 데이터를 유출함.	• 직무 분리 및 최소 권한 원칙 적용 • 다중인증(MFA) 도입 • 데이터 유출 방지(DLP) 솔루션 도입	• 접근 제어(IAM) 솔루션 감사 로그 분석 • 행위 기반 모니터터링 시스템 추적
지능형 지속 위협(APT) (국가/기업 배후 전문 조직)	제로데이 취약점, 사회공학적 기법을 쓰며 흔적을 철저히 지움.	• 로그 중앙 집중화(SIEM)구축 • 엔드포인트 탐지 대응(EDR) 도입 • 네트워크 격리 및 제로 트러스트 도입	• 메모리(RAM) 포렌식 수행 • 타임라인 분석 기법 활용 • 침해지표(IoC) 공유 및 역추적

4. 침입 대처 및 추적을 위한 핵심 보안 수칙

• SIEM(원격 로그 서버) 구축: 로그를 공격 대상 서버에만 두면 침입자가 지울 수 있습니다. 로그 발생 즉시 원격의 별도 로그 저장 서버(Syslog, SIEM)로 실시간 전송해야 합니다. 이 서버는 쓰기만 가능하고 수정·삭제가 불가능하도록 설정(WORM)합니다.
• 무결성 검사 수행: AIDE나 Tripwire 같은 도구를 사용해 시스템 주요 파일의 해시값을 주기적으로 체크하면, 침입자가 백도어를 심거나 시스템 파일을 변조했을 때 즉시 탐지할 수 있습니다. [1]
• 침해 사고 발생 시 즉시 격리: 해킹이 의심된다면 시스템을 종료하지 말고(메모리 데이터 유실 방지), 네트워크 랜선부터 뽑아 격리한 뒤 칼리 리눅스 등의 도구로 메모리 덤프와 디스크 이미징을 먼저 수행해야 합니다. [1]

✅요약

침입자가 시스템 내부 로그를 지우더라도 칼리 리눅스의 Autopsy, Volatility 등의 포렌식 도구를 활용하면 삭제된 로그와 메모리 데이터에서 흔적을 복구하여 추적할 수 있습니다.가장 완벽한 방어는 흔적이 지워지기 전에 로그를 외부 감사 서버로 실시간 격리 보관하는 것입니다.