> For the complete documentation index, see [llms.txt](https://h08.gitbook.io/undefined/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://h08.gitbook.io/undefined/custom-rule-and-active-response/3..md).

# 3. 내부 전파 및 중요 정보 탈취

## 1. 개요 

* 공격자가 초기 침투 후 확보한 자격 증명(SSH Key 등)을 이용하여 내부망의 핵심 관리 시스템(Bastion Host) 및 중요 데이터베이스(Admin DB)로 이동하는 단계
* 중요 파일에 대한 비인가 접근, 허용되지 않은 원격 접속, 그리고 기만(Deception) 계정 사용을 실시간으로 탐지하여 공격자의 횡적 이동(Lateral Movement)을 차단하고 중요 자산을 격리하는 것을 목표로 함

***

## 2. 탐지

| 탐지                                                                                  | 주요 탐지 내용                                                           | Rule ID                                            |
| ----------------------------------------------------------------------------------- | ------------------------------------------------------------------ | -------------------------------------------------- |
| [중요 키 파일 접근 탐지](/undefined/custom-rule-and-active-response/3./3.1.md)               | Auditd 기반의 비인가 파일 읽기 및 복사 시도 감시                                    | `200100`                                           |
| [비인가 이동 및 SSH 접근 통제 및 차단](/undefined/custom-rule-and-active-response/3./3.2-ssh.md) | <p>SSH 성공 로그 분석 및 화이트리스트 기반 접근 제어</p><p>관리자 호스트 내 악성 명령어 실행 감지</p> | <p><code>109997</code> <br><code>109996</code></p> |
| [더미 계정 접근 탐지 및 차단](/undefined/custom-rule-and-active-response/3./3.3.md)            | 미끼 계정('admin') 로그인 성공 시 즉각적인 시스템 격리 및 백도어 프로세스 차단                  | `109998`                                           |