SB-07 Detection Evidence

본 문서는 OZZY PMS Chain 침해 흐름에 대한 Detection Evidence 기록이다. 분석 목적은 차단 여부를 주장하는 것이 아니라, 사후 분석 단계에서 ELK 쿼리와 Windows 원본 아티팩트를 통해 동일한 흐름을 재구성할 수 있음을 입증하는 데 있다. 각 항목은 원본 이벤트, 수집 경로, 재현 가능한 KQL, 해석 한계를 함께 기록한다.

Evidence Scope

Evidence Summary

BAS Validation Evidence

SB-07에서는 실제 loader artifact 증거와 별도로, 전체 Technique Used에 대응하는 안전한 BAS emulation event를 ELK에 투입했다. 이 검증은 source event 수집, custom correlator 처리, alert index 적재까지 이어지는 탐지 파이프라인의 재현성을 확인하기 위한 것이다.

Kibana Screenshot Evidence

아래 이미지는 2026-05-28에 Kibana Discover에서 직접 조회한 화면이다. 캡처 목적은 "탐지룰이 차단했다"가 아니라, 동일 KQL을 다시 실행했을 때 분석가가 같은 이벤트와 alert를 재현해서 찾을 수 있음을 보여주는 것이다. 각 이미지를 클릭하면 원본 크기 PNG가 새 탭에서 열린다.

Full BAS Source Events

run.id:"SB07-FULL-BAS-20260528-111840" / Hanguel AD Agent / 48 documents

Open full-size screenshot

Full BAS Correlation Alerts

correlation.key:"run:SB07-FULL-BAS-20260528-111840" / Hanguel Alerts / 20 documents

Open full-size screenshot

Manual Mapping Inference Rule

rule.id:"sb07-manual-mapping-inferred-014" / Hanguel Alerts / 4 documents

Open full-size screenshot

DC WinRM Whoami Pivot

event.action:"dc_winrm_whoami" / Hanguel AD Agent / 3 documents

Open full-size screenshot

Custom Correlator vs Elastic Native Rules

따라서 면접/보고서에서는 "Kibana native detection rule을 검증했다"가 아니라 "ELK 위에 구현한 Hanguel custom sequential correlator가 hanguel-alerts-*로 alert를 생성하는 것을 검증했다"라고 표현한다.

rule.id: "sb07-pms-patch-discovery-001"
rule.id: "sb07-credential-dc-access-002"
rule.id: "sb07-dc-access-lsass-004"
rule.id: "sb07-loader-forensic-triad-012"
rule.id: "sb07-manual-mapping-inferred-014"
rule.id: "sb07-pass-the-hash-simulated-021"

BAS Rule Coverage Matrix

BAS Event to Rule Matrix

이 표는 "어떤 emulation event를 넣었고, 어떤 sequential rule이 발화했는지"를 면접 답변용으로 정리한 것이다. 전부 안전한 emulation event 기반이며 실제 credential dumping 재실행을 의미하지 않는다.

BAS Performance Assessment

Operational Performance Evidence

이 섹션은 Hanguel AD Agent와 custom correlator가 기업형 환경에 배치될 때 운영 가능한지 판단하기 위한 성능 근거를 분리해 기록한다. 현재 값은 SB-07 BAS 검증 결과, Elasticsearch 조회 결과, AWS CloudWatch 지표에서 확인된 항목만 Measured로 표기한다. CloudWatch host CPU처럼 agent 프로세스 단위로 분리되지 않은 값은 Partial로 분리한다.

Kibana Evidence Queries

campaign.id:"SB-07" and event.action:(
  "amcache_loader_artifact_found" or
  "shimcache_loader_artifact_found" or
  "application_loader_crash_observed" or
  "taskcache_loader_task_found" or
  "task_xml_loader_action_found" or
  "usn_loader_file_lifecycle_observed" or
  "loader_execution_log_found"
)

event.action:"sysmon_lsass_process_access" and data.message_excerpt:*hgl_loader.exe*

event.code:10 and process.executable:*hgl_loader.exe and winlog.event_data.TargetImage:*lsass.exe

AWS Control-Plane Bridge Evidence

dc_cred.xml 복호화 성공은 PMS SYSTEM 권한만으로 발생한 것이 아니라, 별도 AWS control-plane credential로 win01 EC2 local Administrator 컨텍스트를 확보한 뒤 확인된 결과다. 아래 항목은 verify_aws_control_plane_win01_admin.py의 redacted JSON 출력 기준이며, password와 IAM secret은 출력하지 않는다.

run.id:"SB07-AWS-BRIDGE-20260531135457" and log.id:"HAC-002"

event.action:("aws_get_password_data_win01_local_admin_verified" or "win01_local_admin_context" or "dc_cred_xml_imported" or "dc_winrm_whoami" or "dc_c_admin_share_access")

rule.id:"sb07-aws-control-plane-local-admin-022"

Windows Artifact Cross-Check

Analyst Reconstruction Chain

Capture Checklist

1. Kibana Discover에서 run.id:"SB07-FULL-BAS-20260528-111840" source event 캡처 완료.
2. Hanguel Alerts data view에서 correlation.key:"run:SB07-FULL-BAS-20260528-111840" alert 캡처 완료.
3. rule.id:"sb07-manual-mapping-inferred-014" 캡처 완료.
4. event.action:"dc_winrm_whoami" 캡처 완료.
5. HAC-002 redacted JSON에서 password_data_present:true, plaintext_printed:false, import_clixml_succeeded:true, dc_winrm_succeeded:true, dc_c_admin_share_succeeded:true를 캡처한다.
6. No-Defender branch는 correlation.key:"run:SB07-NO-DEFENDER-BAS-20260528-112012"로 재캡처 가능하다.
7. Windows Event Viewer에서 Application Event ID 1000의 hgl_loader.exe crash를 캡처한다.
8. ShimCache/AppCompatCache 또는 collector JSONL에서 C:\Windows\Temp\hgl_loader.exe context를 캡처한다.
9. 실제 endpoint Sysmon Event ID 10 hgl_loader.exe -> lsass.exe는 2026-05-29 재확인 결과를 기준으로 캡처한다.

LLM Prompt Playbook

LLM은 alert 판정 주체가 아니라 분석 보조 도구로 사용한다. 아래 프롬프트는 Kibana 결과를 넣었을 때 항상 Observed, Inferred, Missing Evidence를 분리하도록 강제한다.

[SB-07 Alert Triage Prompt]
You are a DF/IR analyst for the SB-07 OZZY PMS Chain lab.
Input events come from hanguel-ad-agent-*, langflow-agent-*, and hanguel-alerts-*.
Classify facts into Observed, Inferred, and Missing Evidence.
Do not claim Elastic native alert execution unless .internal.alerts-* evidence exists.
Return:
1. Attack behavior summary
2. Related Log IDs
3. ATT&CK mapping
4. Next KQL pivots
5. False-positive considerations
6. Report-ready Korean sentence

[SB-07 Timeline Reconstruction Prompt]
Given a list of event.action values and timestamps,
reconstruct the chain:
PMS patch -> win01 SYSTEM execution -> dc_cred.xml discovered ->
SYSTEM Import-Clixml failed -> AWS GetPasswordData local Administrator bridge ->
local Administrator Import-Clixml succeeded -> DC WinRM/C$ ->
loader/task/file artifact -> correlation alert.
Mark each step as confirmed, inferred, or missing.
Never convert BAS emulation into real endpoint execution.

[SB-07 KQL Pivot Prompt]
Given one SB-07 alert with rule.id, correlation.key, and related.events,
produce 5 Kibana KQL pivots:
- source event run.id
- related event.action
- Log ID pivot
- host/user pivot
- custom alert pivot
Also explain which data view to use.