> For the complete documentation index, see [llms.txt](https://h08.gitbook.io/undefined/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://h08.gitbook.io/undefined/custom-rule-and-active-response/2..md).

# 2. 명령 제어 및 권한 상승

## 1. 개요

* 공격자가 웹쉘 업로드에 성공한 직후, 시스템을 장악하기 위해 수행하는 실질적인 악성 행위 단계에 대한 탐지 
* 웹쉘을 통해 서버 내부 정보를 정찰하거나 권한 상승을 시도하는 명령어 실행 행위, 방화벽을 우회하기 위해 내부에서 외부로 연결을 시도하는 리버스 쉘(Reverse Shell) 공격을 탐지하고조기에 차단하는 것을 목표로  함

***

## 2. 탐지

<table><thead><tr><th width="244.22218322753906">탐지 영역</th><th>주요 탐지 내용</th><th>Rule ID</th></tr></thead><tbody><tr><td><a href="/undefined/custom-rule-and-active-response/2./2.1.md">웹쉘 명령어 실행</a></td><td>공격자가 웹페이지(웹쉘)에서 시스템 명령어를 입력했을 때, <br>서버 내부에서 실행되는 프로세스를 Auditd 로그를 통해 탐지</td><td><code>100520</code></td></tr><tr><td><a href="/undefined/custom-rule-and-active-response/2./2.2.md">리버스 쉘 연결 탐지 및 차단</a></td><td>공격자가 방화벽을 우회하여 역으로 연결을 시도하는 리버스 쉘 공격을 <br>도구 실행 단계(Auditd)와 네트워크 연결 단계(Lsof)로 나누어 탐지 및 차단</td><td><code>100510</code><br><code>100511</code></td></tr></tbody></table>