> For the complete documentation index, see [llms.txt](https://h08.gitbook.io/undefined/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://h08.gitbook.io/undefined/custom-rule-and-active-response/1..md).

# 1. 초기 침투

## 1. 개요

* 공격자가 내부망으로 진입하기 위해 웹 서버의 취약점을 탐색하고, 웹쉘을 업로드하여 첫번째 거점을 확보하는 단계
* 공격자의 정찰 행위를 조기에 식별하고, 시스템에 허용되지 않은 파일이 생성되거나 변조되는 것을 목표로 함

***

## 2. 탐지

<table><thead><tr><th width="160.2777862548828">탐지 영역</th><th>주요 탐지 내용</th><th>Rule ID</th></tr></thead><tbody><tr><td><a href="/undefined/custom-rule-and-active-response/1./1.1-gobuster.md">공격 도구 탐지 (Gobuster)</a></td><td>Gobuster 스캔 도구 및 반복적인 접근 시도 탐지</td><td><code>100420</code> <code>100421</code></td></tr><tr><td><a href="/undefined/custom-rule-and-active-response/1./1.2-fim.md">웹쉘 업로드 및 변조 탐지 (FIM)</a></td><td>웹 루트 내 스크립트 파일 생성(Upload) 및 수정(Modify) 탐지</td><td><code>100500</code> <code>100501</code></td></tr><tr><td><a href="/undefined/custom-rule-and-active-response/1./1.3.md">난독화 된 웹쉘 탐지</a></td><td>정적분석<br>YARA 룰 기반의 악성 패턴 매칭<br>PHP 실행 후킹(EvalHook) 분석</td><td><code>100600</code> <code>100503</code></td></tr></tbody></table>